Типовая схема подключения: телеметрия с хостов и сетевых средств защиты собирается на стороне клиента, передаётся по ГОСТ-шифрованному каналу и обрабатывается в Elastic SIEM на высокопроизводительном кластере с обогащением от CTI-модуля и сетевым детектированием на NDR.
Архитектура подключения к нашему SOC
Схема подключения
Как потоки данных доходят до SOC
Два канала сбора на стороне клиента сходятся на лог-коллекторе и уходят в SOC по одному защищённому каналу.
EDR Elastic Defend
Агент на хостах (Windows DC/Server, АРМ, Linux) собирает события ОС, процессов и реагирует на угрозы на уровне конечной точки. Телеметрия идёт через коллектор.
Сетевые СЗИ
IPS/IDS и межсетевой экран отдают события по syslog в rsyslog и /var/log/ на коллекторе. Оттуда — через прокси на пересылку.
NDR «Гарда»
Сетевое детектирование анализирует трафик и выявляет то, что не видно на хостах: C2-каналы, латеральное перемещение, аномалии. Детекты уходят в SIEM.
EDR Elastic Defend
Агент на хостах (Windows DC/Server, АРМ, Linux) собирает события ОС, процессов и реагирует на угрозы на уровне конечной точки. Телеметрия идёт через коллектор.
Сетевые СЗИ
IPS/IDS и межсетевой экран отдают события по syslog в rsyslog и /var/log/ на коллекторе. Оттуда — через прокси на пересылку.
NDR «Гарда»
Сетевое детектирование анализирует трафик и выявляет то, что не видно на хостах: C2-каналы, латеральное перемещение, аномалии. Детекты уходят в SIEM.
Из чего состоит архитектура
EDR · Elastic Defend
Агент на хостах клиента: детект и реагирование на конечных точках, сбор событий ОС и процессов.
NDR «Гарда»
Детектирование на уровне сети: анализ трафика, C2-каналы, латеральное перемещение, аномалии.
Лог-коллектор
Агент сбора, rsyslog, /var/log/ и прокси: нормализация, буферизация и пересылка телеметрии.
ГОСТ VPN · С-Терра
Канал между клиентом и SOC шифруется по ГОСТ (С-Терра) поверх IPsec — сертифицированная криптография.
Elastic SIEM
Корреляция и хранение событий в высокопроизводительном кластере — масштаб под большой поток телеметрии.
CTI-модуль
Обогащение событий индикаторами компрометации из коммерческих фидов и OpenSource
Simple One
Тикеты, инциденты и портал SOC: единая точка управления и коммуникации с клиентом.
Kibana
Визуализация и доступ к событиям для клиента — дашборды и расследование на стороне клиента.
EDR · Elastic Defend
Агент на хостах клиента: детект и реагирование на конечных точках, сбор событий ОС и процессов.
NDR «Гарда»
Детектирование на уровне сети: анализ трафика, C2-каналы, латеральное перемещение, аномалии.
Лог-коллектор
Агент сбора, rsyslog, /var/log/ и прокси: нормализация, буферизация и пересылка телеметрии.
ГОСТ VPN · С-Терра
Канал между клиентом и SOC шифруется по ГОСТ (С-Терра) поверх IPsec — сертифицированная криптография.
Elastic SIEM
Корреляция и хранение событий в высокопроизводительном кластере — масштаб под большой поток телеметрии.
CTI-модуль
Обогащение событий индикаторами компрометации из коммерческих фидов и OpenSource
Simple One
Тикеты, инциденты и портал SOC: единая точка управления и коммуникации с клиентом.
Kibana
Визуализация и доступ к событиям для клиента — дашборды и расследование на стороне клиента.
