R-Vision TIP

R-Vision Threat Intelligence Platform (TIP) представляет собой специализированную платформу анализа информации об угрозах. Продукт обеспечивает автоматический сбор, нормализацию и обогащение индикаторов компрометации, передачу обработанных данных напрямую на внутренние средства защиты, а также поиск и обнаружение индикаторов во внутренней инфраструктуре организации.

При совместном использовании с R-Vision Endpoint позволяет получать:

• Осуществлять поиск индикаторов компрометации на конечных устройствах
• Обогащать найденные индикаторы дополнительным контекстом из R-Vision TIP
• Передавать инциденты для дальнейшего расследования и реагирования в R-Vision SOAR

Сбор данных Threat Intelligence

R-Vision Threat Intelligence Platform агрегирует данные об угрозах из различных источников в автоматическом режиме. Система обладает встроенной интеграцией с площадками обмена данными об угрозах и сервисами:

• R-Vision Threat Feed
• AT&T Cybersecurity 
• Kaspersky Threat Intelligence
• PT Threat Intelligence Feeds
• RST Threat Feed 
• BI.ZONE ThreatVision 
• АСОИ ФИНЦЕРТ
• MITRE ATT&CK®
• Открытые источники 
• Возможно подключение других источников

Обработка и обогащение

В процессе обработки индикаторы нормализуются и приводятся к единой модели представления, дублирующиеся индикаторы связываются и объединяются. Каждому индикатору компрометации присваивается рейтинг и определяются политики устаревания индикаторов. R-Vision TIP позволяет обогащать индикаторы компрометации дополнительным контекстом, который отсутствует в исходных данных от поставщика. Поддерживается > 20 сервисов обогащения:

• VirusTotal
• Whois
• RiskIQ
• pgeolocation.io
• OPSWAT Metadefender
• MaxMind
• Shodan
• Другие

Анализ взаимосвязей

Анализ взаимосвязей помогает ИБ-специалисту правильно интерпретировать данные и сформировать целостную картину угрозы. R-Vision TIP собирает имеющуюся у поставщика информацию об индикаторе и связанные с ним:

• ΒΠΟ
• Отчеты
• Уязвимости
• Субъекты угроз
• Техники, тактики и другой контекст из MITRE ATT&CK®

Экспорт на СЗИ

Предварительная обработка помогает снизить количество ложных срабатываний, которые часто возникают при использовании сырых данных. Обработанные данные автоматически передаются на имеющиеся внутренние средства защиты информации:

• UserGate
• Ideco UTM
• Check Point
• Palo Alto Networks 
• Cisco 
• Другие СЗИ

Дополнительно есть возможность обмена данными с помощью распространенных форматов: STIX 2.1, CSV, JSON.

Поиск и обнаружение в ИТ-инфраструктуре

R-Vision TIP обеспечивает ретроспективный и проактивный поиск релевантных индикаторов в событиях SIEM с помощью сенсоров и рассылает оповещения в случае обнаружения.

Автоматизация сценариев

Платформа позволяет настроить выполнение регулярно повторяющихся операций с индикаторами компрометации в автоматическом режиме. Задав последовательность правил обработки, можно полностью автоматизировать определенный сценарий работы с набором данных: от их получения до блокировки средствами защиты.

Формирование бюллетеней

Удобный конструктор бюллетеней помогает сформировать информационные материалы по угрозам и уязвимостям, разослать бюллетени по дочерним организациям, а также экспортировать на внешние системы с помощью АΡΙ.