Типовая схема подключения: телеметрия с хостов и сетевых средств защиты собирается на стороне клиента, передаётся по ГОСТ-шифрованному каналу и обрабатывается в Elastic SIEM на высокопроизводительном кластере с обогащением от CTI-модуля и сетевым детектированием на NDR.
Два канала сбора на стороне клиента сходятся на лог-коллекторе и уходят в SOC по одному защищённому каналу.
Агент на хостах (Windows DC/Server, АРМ, Linux) собирает события ОС, процессов и реагирует на угрозы на уровне конечной точки. Телеметрия идёт через коллектор.
IPS/IDS и межсетевой экран отдают события по syslog в rsyslog и /var/log/ на коллекторе. Оттуда — через прокси на пересылку.
Агент на хостах клиента: детект и реагирование на конечных точках, сбор событий ОС и процессов.
Детектирование на уровне сети: анализ трафика, C2-каналы, латеральное перемещение, аномалии.
Сетевое детектирование анализирует трафик и выявляет то, что не видно на хостах: C2-каналы, латеральное перемещение, аномалии. Детекты уходят в SIEM.
Агент на хостах (Windows DC/Server, АРМ, Linux) собирает события ОС, процессов и реагирует на угрозы на уровне конечной точки. Телеметрия идёт через коллектор.
IPS/IDS и межсетевой экран отдают события по syslog в rsyslog и /var/log/ на коллекторе. Оттуда — через прокси на пересылку.
Сетевое детектирование анализирует трафик и выявляет то, что не видно на хостах: C2-каналы, латеральное перемещение, аномалии. Детекты уходят в SIEM.
Агент сбора, rsyslog, /var/log/ и прокси: нормализация, буферизация и пересылка телеметрии.
Канал между клиентом и SOC шифруется по ГОСТ (С-Терра) поверх IPsec — сертифицированная криптография.
Корреляция и хранение событий в высокопроизводительном кластере — масштаб под большой поток телеметрии.
Обогащение событий индикаторами компрометации из коммерческих фидов и OpenSource
Тикеты, инциденты и портал SOC: единая точка управления и коммуникации с клиентом.
Визуализация и доступ к событиям для клиента — дашборды и расследование на стороне клиента.
Агент на хостах клиента: детект и реагирование на конечных точках, сбор событий ОС и процессов.
Детектирование на уровне сети: анализ трафика, C2-каналы, латеральное перемещение, аномалии.
Агент сбора, rsyslog, /var/log/ и прокси: нормализация, буферизация и пересылка телеметрии.
Канал между клиентом и SOC шифруется по ГОСТ (С-Терра) поверх IPsec — сертифицированная криптография.
Корреляция и хранение событий в высокопроизводительном кластере — масштаб под большой поток телеметрии.
Обогащение событий индикаторами компрометации из коммерческих фидов и OpenSource
Тикеты, инциденты и портал SOC: единая точка управления и коммуникации с клиентом.
Визуализация и доступ к событиям для клиента — дашборды и расследование на стороне клиента.