Juhtumitele reageerimise tarkvara on ülioluline, et võimaldada organisatsioonidel turvaprobleeme kiiresti tuvastada ja lahendada. Nende hulka kuuluvad mitmesuguste küberrünnakute, pahavara, ärakasutamiste ja mitmesuguste muude sisemiste ja väliste ohtude ning kahtlaste tegevuste käsitlemine.

Üldjuhul töötab intsidentidele reageerimise tarkvara koos muude turbetööriistadega, nagu viirusetõrje, tulemüürid jne. Sama toimimiseks koguvad tööriistad teavet süsteemilogidest, lõpp-punktidest, autentimissüsteemidest jne.

Organisatsiooni jaoks parima tööriista valimine võib osutuda keeruliseks. Ideaalse intsidentidele reageerimise tööriista leidmiseks on siin põhjalik juhend kõige kohta, mida peate lahenduse kohta teadma, sealhulgas 10 parima intsidentidele reageerimise tööriista loend.

Sisukord

• Mis on juhtumitele reageerimise tarkvara?
• Millised on juhtumitele reageerimise tarkvara ühised omadused?
• Millised on juhtumitele reageerimise tarkvara eelised?
• Kes kasutab intsidentidele reageerimise tarkvara?
• Millised on juhtumitele reageerimise tarkvara alternatiivid?
• Väljakutsed intsidentidele reageerimise tarkvaraga
• Kuidas valida oma vajadustele sobiv tööriist
• Kuidas osta küberintsidentidele reageerimise tarkvara
• Parimad tasuta ja avatud lähtekoodiga intsidentidele reageerimise tööriistad
• 1. Sumo loogika
• 2. AlienVault
• 3. Cynet 360
• 4. GRR kiirreageerimine
• 5. Taru
• 6. Wazuh
• 7. Osquery
• 8. MISP
• 9. Zeek
• 10. MozDef
• Järeldus
• Soovitatavad artiklid

Mis on juhtumitele reageerimise tarkvara?

Juhtumitele reageerimise (IR) platvorm vastutab kõigi vastu suunatud vastumeetmete juhtimise eest küberturvalisus rikkumisi. Samuti juurutab see etteplaneeritud ja automatiseeritud ohuvastuseid. Automatiseeritud ülesanded hõlmavad ohtude otsimist, palgaplokkide kasutamist reaalajas ohule reageerimiseks ja anomaaliate tuvastamist.

Need platvormid pakuvad teile vastuste käsiraamatut, mis on mõeldud rikkumiste ohjeldamiseks ja kõrvaldamiseks. Kavandatud töövood, käsiraamatud või mänguraamatud suunavad ohtusid või reageerivad neile automaatselt reaalajas. Need käivitatakse ohtude või intsidentide tuvastamise kaudu.

Samuti töötavad IRA platvormid vastavalt SLA poliitikale. Näiteks võib mänguraamat eskaleeruda konkreetse ohutasemeni, kui kõrge prioriteediga seade nakatub. Automaatne sünkroonimine ja toimimine aitavad reageerimismeeskondadel minimeerida juhtumite haldamiseks kuluvat aega ja ressursse.

Millised on juhtumitele reageerimise tarkvara ühised omadused?

Juhtumitele reageerimise platvormid pakuvad üldiselt järgmisi funktsioone.

1. Anomaaliate tuvastamine ja SIEM andmete allaneelamine
2. Juhtumitele reageerimise tarkvara pakub andmebaasi määruste ja muude parimate tavade reageerimisplaanide kohta.
3. IRP-d saavad korreleerida SIEM-i, lõpp-punktide ja mitmete muude allikate andmeid.
4. Juhtumitele reageerimise käsiraamatutel on kohandatavad eelehitatud standardid.
5. Pakub automaatset vastust kõigile turvahoiatustele
6. See töötleb puu- ja ajaskaala analüüsi ohtude tuvastamiseks.
7. Reaalajas tuvastamise ja kohtuekspertiisi analüüsimiseks ründab see käitumisanalüütikat.
8. Abistav võrgusisene juurdepääsu analüüs, juurdepääs ja mandaadi lukustamine
9. Isoleerib nakatunud süsteemid ja pahatahtlikud failid
10. Samuti automatiseerib see eskalatsiooni, et määrata ülesanded asjakohastele inimestele.
11. Pakutakse ka teenusetaseme lepingu (SLA) jälgimis- ja haldussüsteeme.
12. See võib säilitada kohtuekspertiisi andmeid ka intsidendijärgseks aruandluseks ja edasiseks analüüsiks.
13. Parandab planeerimist ja protsesside automatiseerimist
14. Vastavusaruande väljastamine
15. Eraldi rikkumistest teatamise poliitika ettevalmistamine

Millised on juhtumitele reageerimise tarkvara eelised?

Vahejuhtumitele reageerimise tööriistad on praeguste ettevõtete jaoks muutunud hädavajalikuks. Allpool on toodud kõik intsidentidele reageerimise tarkvara eelised:

Kiirem lahendus ja eskalatsioon

Kui teil on täpselt määratletud ja õigesti kasutatud intsidentide haldamise protseduur, saab rakendustugi loomulikult teie ettevõtte osaks. Juhtumid lahendatakse kiiremini, järjepidevalt ja järgitakse turu parimaid tavasid. Vastasel juhul toob halvasti dokumenteeritud ja ebaregulaarne intsidentide haldamine kaasa mitu lahenduskatset ja regulaarset tulekustutustööd.

Optimeeritud turvalisus kaugsaitidel

Juhtumitele reageerimise tööriistad saavad mugavalt hallata kõiki teie kaugsaite. Lisaks tagab see regulaarse turvalisuse, nõuetekohase hoolduse ja juhtimisjärelevalve.

Vähendab seisakuid

Juhtumitele reageerimise tööriista üks peamisi eeliseid on ettevõtte seisakuaja vähendamine. See koostab põhjaliku tegevusplaani kõikideks võimalikeks olukordadeks ning juhendab töötajaid parimal viisil erinevatele juhtumitele reageerimiseks.

Sisaldab usalduse ja läbipaistvuse süsteemi

Juhtumitele reageerimise tarkvara aitab teil luua ja säilitada avalikkuse usaldust alati, kui teie ettevõte on hädaolukorras. Näiteks kui saate looduskatastroofi korral kiiresti kõik andmed taastada, mõistab avalikkus, et teie ettevõte on väga usaldusväärne. Lisaks võib oluliste andmete kaotamine muuta klientide usalduse taastamise liiga keeruliseks. See omakorda kahjustab ettevõtte mainet.

Parem kogu protsessi käsitlemine

Kui seote intsidentidele reageerimise süsteemi tavapäraste integreerimis- ja edastamistehnikatega, toimub palju rohkem juurutusi. Võrreldes eelmise kuu statistikaga täidetakse need kiiresti. Lisaks kogub see inseneri- ja operatsioonimeeskondadele vähem tehnilisi võlgu, luues hästi ehitatud parandussüsteemi.

Kes kasutab intsidentidele reageerimise tarkvara?

Infoturbe (InfoSec) spetsialistid

InfoSeci spetsialistid kasutavad intsidentidele reageerimise tarkvara, et hoiatada ja kõrvaldada organisatsiooni turvaohtudest. Lisaks aitab see ka ohte jälgida ning selle tarkvara abil saavad professionaalid turvahoiatustele reageerimist automatiseerida ja kiiresti skaleerida.

IT-spetsialistid

Ettevõtted, millel pole spetsiaalseid infoturbe meeskondi, vajavad turvarollide võtmiseks IT-spetsialiste. Kõik need piiratud turbetaustaga spetsialistid toetuvad intsidentidele reageerimise tööriistadele, mis aitavad tuvastada ohte, teha turvaintsidentide korral õigeid otsuseid ja nii edasi.

Juhtumitele reageerimise teenusepakkujad

Intsidendile reageerimise teenusepakkujad kasutavad intsidentidele reageerimise tööriistu, et aktiivselt tagada ja tagada kliendi süsteem ja muud turvateenused, pakkujad.

Millised on juhtumitele reageerimise tarkvara alternatiivid?

Lõpp-punkti tuvastamise ja reageerimise (EDR) tarkvara:Need ühendavad nii lõpp-viirusetõrje kui ka lõpp-punkti halduslahendused, et täita uurimise, ohtude otsimise ja võrgu seadmetesse sattunud turvaohtude eemaldamise funktsiooni.Hallatud tuvastamise ja reageerimise (MDR) tarkvara:Need võivad turvaintsidentide leidmiseks jälgida mitut üksust, nagu teie ettevõtte võrgud, lõpp-punktid ja muud IT-allikad.Extended Detection and Response (XDR) tarkvara: need on tööriistad, mis võivad automatiseerida turvaprobleemide leidmise ja kõrvaldamise protseduuri kõigis hübriidsüsteemides.Juhtumitele reageerimise teenusepakkujad:See sobib nende ettevõtete teenindamiseks, kes ei soovi osta intsidentidele reageerimise tarkvara (majasiseselt) ega arendada oma avatud lähtekoodiga lahendusi. Sellised ettevõtted kasutavad intsidentidele reageerimise teenusepakkujaid.Logi analüüsi tarkvara:Logianalüüsi tarkvara võimaldab teil dokumenteerida rakenduste logifailid salvestamiseks, analüüsimiseks ja logi haldamine .Logi jälgimise tarkvara: logi jälgimise tarkvara tuvastab logifailides mustrid ja hoiatab kasutajaid. Nii aitab see lahendada jõudlus- ja turvaprobleeme.Sissetungi tuvastamise ja ennetamise süsteemid (IDPS): IDPS-i on vaja IT-administraatorite informeerimiseks IT infrastruktuuri ja rakenduste anomaaliatest ja rünnakutest. Selline tarkvara tuvastab pahavara, turvarünnakud ja muud veebipõhised turvaohud.
1. Turvainfo ja sündmuste haldamine (SIEM) tarkvara: SIEM-tarkvara pakub lisaks turbetoimingute tsentraliseerimisele ühtsele platvormile turvateabe hoiatamist. Kuid erinevalt intsidentidele reageerimise platvormidest ei saa SIEM-tarkvara parandustoiminguid automatiseerida.
Ohu luuretarkvara: ohtude luuretarkvara pakub organisatsioonidele andmeid, mis on seotud küberohtude uusimate vormidega, nagu nullpäeva rünnakud, uut tüüpi pahavara ja nii edasi.Haavatavuse skanneri tarkvara:Haavatavuse skannerid on tarkvara, mida regulaarselt jälgib teie rakendusi ja võrke turvaaukude leidmiseks – need toimivad, säilitades teadaolevate haavatavuste kohta ajakohastatud andmebaasi ja teostades võimalike ärakasutamiste leidmiseks skannimisi. Plaastrihaldustarkvara: Paigutuste haldustööriistad võimaldavad teil tagada, et ettevõtte tarkvarapinu ja IT-infrastruktuuri elemendid on uusimat tüüpi. Seejärel hoiatavad nad kasutajaid vajalikest värskendustest või käivitavad värskendusi ise. Varundustarkvara: Varundustarkvara kaitseb äriandmeid, tehes serveritest, lauaarvutitest ja muudest seadmetest andmetest koopiaid kasutajaandmete, rikutud failide jms korral. Andmete kadumise korral mis tahes turvaintsidendi tõttu saab see tarkvara varukoopia abil taastada teabe vanasse olekusse.

Väljakutsed intsidentidele reageerimise tarkvaraga

Küberintsidentidele reageerimise süsteemid seisavad ettevõtetes üle kogu maailma silmitsi paljude väljakutsetega. Allpool on toodud viis peamist väljakutset, millega intsidentidele reageerimise tarkvara silmitsi seisab.

Riski maht

Ligikaudu 80% ettevõtetest on teatanud, et 2020. aastal on küberrünnakute ja kahtlaste tegevuste arv tõusnud võrreldes 2019. aastaga. See arv suureneb konkreetsete tööstusharude puhul, pankadel on tõus üle 238%. Lisaks on teatud tüüpi rünnete, nagu andmepüügipettused, pilvepõhised rünnakud ja küberrünnakud, esinemissagedus suurenenud.

Iga juhtum ei saa muutuda rünnakuks. Enne rünnakuks saamist oli aga iga katse esmalt vahejuhtum. See tähendab, et numbrid kahvatuvad, kui võrrelda vahejuhtumite koguarvuga. Seega võib juhtumite hulk olla ettevõtete jaoks liiga suur.

Privaatsus

Sõltuvalt tööstusharust, kus teie ettevõte asub, võib see juba järgida mitmeid regulatiivseid juhiseid. Need võivad kõik olla väga erinevad ja olenevalt neid haldavast asutusest või organisatsioonist ning tundliku teabe säilitamise, töötlemise või transportimise eest vastutavatest asutustest.

Näiteks vajab ravikindlustuse kaasaskantavuse ja vastutuse seadus (HIPAA) rangeid standardeid igasuguse isikliku terviseteabe (nt haiguslood) käsitlemiseks. Seega on eeskirjade järgimine stabiilsete reeglitega väga keeruline. Veelgi enam, neid standardeid ajakohastatakse aja jooksul vastuseks rünnakutele ja need nõuavad pidevat parandamist. Seetõttu on palju muutuvaid privaatsusvajadusi, mis muudavad vastavuse säilitamise üsna keeruliseks.

Siseringi ähvardused

Paljud küberturvalisuse raamistikud on üles ehitatud eeldusele, et rünnakud genereeritakse väljastpoolt. Kuid see pole absoluutne stsenaarium. Sageli on näha, et ettevõtted ei ole hästi varustatud seestpoolt tulevate rünnakutega toimetulemiseks.

Inimesed, kellel on privilegeeritud juurdepääs ettevõtte võrgule, on kõige levinumad kurjategijad. 2020. aasta siseringirünnakute statistika uuringu kohaselt toimub USA-s iga päev umbes 2500 sisejulgeoleku rikkumist. See skoor teeb selle veidi alla 1 miljoni aastas.

Teabe puudumine

Teine põhjus, miks ettevõte ei suuda riske tuvastada ja neile reageerida, on teabe puudumine. Peamine väljakutse on siin kõigi praktiliste intsidentidele reageerimise tööriistade jaoks vajalike andmete koostamine, kategoriseerimine ja töötlemine. See kehtib väikeste ja keskmise suurusega ettevõtete kohta, kellel on IT-le vähem ressursse.

Seal on palju teavet, mida peate reaalajas analüüsimiseks ja otsuste tegemiseks salvestama ja optimeerima. Lisaks peate andmeid kaitsma ka krüptimise, autentimise ja muu sellisega. Riskide tuvastamiseks on vaja teada kogu teavet selle asukoha kohta ja seda, kuidas sellele kiiresti juurde pääseda.

Eelarve piirangud

On näha, et sageli on intsidentide haldamise süsteeme raske rakendada, kuna organisatsioonidel puudub selleks vajalik eelarve. Eeldatavasti teevad IT-kulutused palju kärpeid. See tähendab, et osakondadel, mis töötasid juba väikese eelarvega, on nüüd küberkaitseoperatsioonide jaoks veelgi vähem ribalaiust. See hõlmab juhtumitele reageerimise haldamist.

Kuidas valida oma vajadustele sobiv tööriist

Iga organisatsiooni nõuded juhtumitele reageerimise tööriistadele on erinevad. Ja näib, et üks seade vastab praegu teie vajadustele, kuid ei pruugi seda pikas perspektiivis täita. Enne intsidentidele reageerimise platvormi investeerimist peate kaaluma paljusid asju.

Siin on kõige olulisem mõista kõiki väljakutseid ja riske, mida teie ettevõte püüab lahendada. Te ei saa lihtsalt hankida kõiki neid intsidentidele reageerimise tööriistu, mis ei määra teie organisatsiooni vajadusi.

Ettevõtte turvameeskond peab otsustama, mis on teie ettevõtte jaoks parim. Enne juhtumitele reageerimise platvormi ostmist mõelge järgmistele küsimustele.

• Mis on teie organisatsiooni eesmärk ja millised on nõuded selle saavutamiseks?
• Mida ettevõte peab kaitsma ja mille eest te seda kaitsete.
• Kas on vaja kaitsta kogu võrku või ainult kriitiliste süsteemide alamhulka?
• Millised on organisatsiooni praegused väljakutsed nähtavuse, kontrolli ja asjatundlikkuse osas?
• Kuidas tuleks kohandada turvapoliitikat, turbe töövooge ja plaane?
• Kuidas aitavad tööriistad organisatsioonil edu mõõta?
• Kas intsidentidele reageerimise tööriistad soodustavad või takistavad haavatavust ja läbitungimiskatse jõupingutusi?
• Mis on tööriistade eelarve ja kas see on piisav või mitte

Samuti peab teie turvameeskond selle vastu võtma OODA ahela lähenemine . Põhjus on selles, et aja möödudes on vaja intsidentidele reageerimise tarkvara ja üldist seadistust kohandada. Näiteks kui turvameeskond leiab võrguliikluse ja süsteemi käitumise nüansid. Seejärel tuleb tööriistu vastavalt vajadustele häälestada.

Lisaks on vaja kindlaks teha, kas kogutud andmed aitavad või takistavad otsuste tegemist. Vajalikuks võib osutuda uute turvastandardite kehtestamine või poliitikate kohandamine. Samal ajal peate tööriistade arenedes värskendama ka juhtumitele reageerimise plaani dokumente.

Kuidas osta küberintsidentidele reageerimise tarkvara

Te ei saa oma ettevõtte jaoks lihtsalt valida juhuslikele juhtumitele reageerimise tarkvara. Enne õige intsidentidele reageerimise tööriista viimistlemist tuleb arvestada mitme asjaga. Allpool on toodud sammud, mida peate õige tööriista valimiseks järgima.

Koguge kokku nõuded intsidentidele reageerimise platvormile

Enne intsidentidele reageerimise tarkvara otsimist peab teil olema tõhus intsidentidele reageerimise programm. Lisaks peab ettevõte kaaluma tarkvara praegust pinu ja kontrollima, kas seda on lihtne kasutada. Samuti tuleb kindlasti valida tarkvara, mis vastab ettevõtte funktsionaalsuse vajadustele.

Võrrelge juhtumitele reageerimise tarkvaratooteid

Peate uurima intsidentidele reageerimise tarkvaratooteid ja pakkujaid arvustuste ja hankijate pingerea põhjal. Samuti on vastuvõetav sorteerida tooteid toetatud keelte alusel.

Peate võrdlema nende tarkvaratoodete funktsioone, et ostjad saaksid hinnata omadusi tegelike kasutajate paremusjärjestusega.

Toote valimine

Ettevõttel on valikumeeskond, kuhu tõenäoliselt kuuluvad IT-meeskondade, turvameeskondade või intsidentide lahendamise meeskondade liikmed. Intsidendile reageerimise tarkvara igapäevase kasutamise eest vastutavad inimesed peavad kuuluma valikumeeskonda.

Intsidendile reageerimise tarkvara valikul tuleb lähtuda hindadest, funktsioonidest, tugipakettidest jne. Lisaks tuleb kaaluda ka juurutussüsteeme ja muid teenuseid.

Võib-olla teate juba, et paljud müüjad lubavad toodet enne selle ostmist lühiajaliselt proovida. Toote igapäevased kasutajad peavad enne otsuse tegemist tarkvara võimeid testima. Ja prooviperiood aitab sama.

Parimad tasuta ja avatud lähtekoodiga intsidentidele reageerimise tööriistad

üks. Sumo loogika

See turbeanalüütika tarkvara kasutab pilvepõhist süsteemi ja võib töötada iseseisvalt või koos teiste SIEM-i lahendustega mitme pilve- ja hübriidkeskkondades. See kasutab ära masinõpe et võimaldada täiustatud ohtude tuvastamist ja uurimist. Samuti suudab see reaalajas tuvastada mitmeid turvaprobleeme ja neile reageerida.

See järgib ühtset andmemudelit ja võimaldab turvameeskondadel koondada turvaanalüüsi, logida ajahaldust, vastavust ja muid lahendusi ühte. See parandab kõiki intsidentidele reageerimise protsesse ja automatiseerib ka mitmeid turvatoiminguid. Lisaks on seda lihtne juurutada, kasutada ja hooldada ning see ei vaja kulukaid riist- ega tarkvarauuendusi.

kaks. AlienVault

AlienVault on ühtne lahendus, mis ühendab ohtude tuvastamise, intsidentidele reageerimise ja vastavushalduse ühes tööriistas. See pakub üksikasjalikku turvaseire ja pilve parandamine ja kohapealsed keskkonnad.

Lisaks on tööriistal mitmeid turbevõimalusi, mis hõlmavad sissetungimise tuvastamist, varade tuvastamist, haavatavuse hindamist, e-posti hoiatusi jne. See on hõlpsasti kasutatav intsidentidele reageerimise tarkvara, mis kasutab kergeid andureid ja lõpp-punkti agente. Samuti suudab see ohte reaalajas tuvastada.

3. Cynet 360

Cynet on intsidentidele reageerimise platvorm, mis pakub teile laiaulatuslikku parandustoimingute komplekti, mis suudab lahendada mitmeid probleeme. See saab väga hästi hakkama nakatunud hostidega, ründaja kontrolli all võrguliiklus , pahatahtlikud failid ja ohustatud kasutajakontod. Teie meeskond saavutab oma keskkonna läbipaistvuse vaid vähem kui tunniga ja rünnakute kõrvaldamiseks kulub üks klõps.

Keskhaldussüsteem võimaldab teil levitada avatud lähtekoodiga intsidentidele reageerimist kogu keskkonnas. Lisaks saate luua ka oma paranduspoliitikad, mis on mõeldud ohtude automaatseks blokeerimiseks ja eemaldamiseks.

See tööriist võimaldab teil kontrollida rünnaku ulatust ja indikaatoreid, et vähendada üldist uurimisaega. Cynetil on 24/7 tegevuskava, mis on valmis teid vajadusel abistama.

Neli. GRR kiirreageerimine

GRR Rapid Response on veel üks suurepärane avatud lähtekoodiga intsidentidele reageerimise süsteem, mida saate kasutada nii reaalajas kui ka kaugkohtuekspertiisi analüüside tegemiseks. See võimaldab teil ohuanalüüsiks kasutada sujuvat ja skaleeritavat meetodit. GRR-i kiirreageerimine koosneb kahest osast: esimene on GRR-i klient, mis on juurutatud uuritavas süsteemis. Teine on GRR-server, mis aitab analüütikutel erinevaid toiminguid ellu viia ja kogutud andmeid töödelda.

5. Taru

TheHive on veel üks suurepärane avatud lähtekoodiga intsidentidele reageerimise platvorm, mida saate kasutada juhtumite ja hoiatuste haldamiseks. See võimaldab mitmel analüütikul samaaegselt koostööd teha. See on loodud MISP-i toetamiseks ja teabe kogumiseks meiliaruannetelt, SIEM-idelt ja arvutitelefoniteenuste pakkujatelt.

Lisaks on sellega kaasas dünaamilised armatuurlauad, mis jälgivad kõigi juhtumite mõõdikuid ning toetavad orkestreerimise automatiseerimist ja reageerimist. TheHive saab märgistada, sortida ja filtreerida tõendeid, et uurida ja eksportida neid ohuteabe jagamiseks.

6. Wazuh

See on ühtne lahendus nõuetele vastavuse, terviklikkuse jälgimise, intsidentidele reageerimise ja ohtude tuvastamise jaoks. See pakub teile pidevat jälgimissüsteemi, mis eksisteerib nii pilve- kui ka kohapealsetes keskkondades.

Wazuh on hostipõhine sissetungimise tuvastamise süsteem (HIDS) ning süsteemiteabe ja sündmuste haldamise (SIEM) lahendus. See toimib läbi a serveriga ühendatud jälgimis- ja reageerimisagent süsteem, mis kogub luureandmeid ja viib läbi analüüse. Seda saab integreerida mitme ohuluure allikaga.

7. Osquery

See on avatud lähtekoodiga tööriist, mida saate kasutada lõpp-punkti nähtavuse lubamiseks. See võimaldab teil otsida mitut tüüpi teavet ja käivitada protsesse kiiresti. Samuti otsib see avatud võrguühendusi, laaditud tuumamooduleid, brauseri pistikprogramme jne.

Osquery ühildub Windowsi, Linuse ja macOS-i seadmetega. Selle töö hõlmab süsteemiteabe edastamist relatsiooniandmebaasisüsteemi. Saate selle andmebaasi kaudu hõlpsalt päringuid teha SQL olekuteabe filtreerimiseks ja otsimiseks analüüside tegemiseks. Osquery abil saate teha päringuid käsitsi, ajastada päringuid või käivitada küsimusi API kaudu.

8. MISP

Pahavara teabe jagamise platvorm on ohuluure avatud lähtekoodiga platvorm, mis võimaldab teil koguda, jagada ja salvestada teavet küberjulgeoleku ohtude, analüüside ja näitajate kohta. MISP-i saab kasutada Dockeri konteineris või mis tahes muus standardses Linuxi masinas. See pakub funktsioone SIEM-ide, võrgu sissetungimise tuvastamise süsteemide ja Linuxi sissetungimise tuvastamise süsteemi kaasamiseks.

Lisaks sisaldab see kõikehõlmavat juhtuminäitajate andmebaasi koos automaatse korrelatsioonimootoriga ja funktsioonidega sündmuste graafikute koostamiseks. Seda saab laiendada ka eelehitatud või eritellimusel valmistatud püüton moodulid.

9. Zeek

Zeek on varem tuntud kui Bro ja see on raamistik turvaseire ja võrk liikluse analüüs. See võimaldab teil võrguandmeid eraldada, et analüüsida ja automatiseerida tuvastamis- ja jälgimisülesandeid. See ühildub Linuxi, FreeBSD ja Mac OS X seadmetega.

Erinevalt teistest, mis põhinevad allkirjapõhisel tuvastamisel, tugineb see käitumisanalüüsile ja ohtude tuvastamisele. Zeek sisaldab ka rakenduse kihi analüüsi, tegevuste logimist ja API-d pistikprogrammide kaudu laiendamiseks. See saab kohandada analüüse Zeeki-spetsiifilises keeles skriptimise kaudu.

10. MozDef

MozDef on kogumik mikroteenused mida saate kasutada koos Elasticsearchiga SIEM-vormingus. See automatiseerib API kaudu liidestamist mitme turvatööriistaga. MozDefi saab kasutada Dockeri konteineris või otse CentOS 7 süsteemis.

See sisaldab automatiseerimisfunktsioone, mis on mõeldud mõõdikute, juhtumite käsitlemise, reageerimise töövoogude ja teabe jagamise jaoks. Lisaks on MozDefil ka reaalajas koostööks, skaleerimiseks ja logide haldamiseks mõeldud funktsioone.

Järeldus

Need on mõned parimad intsidentidele reageerimise tööriistad, mis praegu turul saadaval on. Loodetavasti aitas see artikkel teil mõista intsidentidele reageerimise protsessi. Samuti oleks see pidanud andma teile tarkvara valimiseks vajalikud üksikasjad.