Пояснительная записка. Никифоров В.Н., 24Б. (1205536), страница 6

Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 6)

Таблица 2.4 – Визуализация и отчетность

IBM QRadar. По умолчанию доступны 9 типов графического представления. Существуют некоторые ограничения в кастомизации графических панелей. Интерфейс русифицирован. Отчеты могут быть экспортированы в файлы следующих форматов: MS Excel, RTF, PDF, XML, HTML.

PT MaxPatrol SIEM. Доступны гистограммы и графики, а также таблицы и отчеты. Интерфейс русифицирован. Есть встроенные отчеты, формат, поля, промежутки времени, но для их кастомизации необходимо использовать SDK.

HP ArcSight. Доступны более 20 типов графического представления. В качестве полей графического представления используются Data Monitor, Dashboard, Query Viewer. Русифицированный интерфейс решения доступен с февраля 2015 года. Отчеты могут быть экспортированы в следующие форматы: MS Excel, RTF, PDF, CSV, HTML.

Сканер ВС. Доступен Русский интерфейс, отчеты могут быть экспортированы в следующий формат PDF. Отсутствует возможность запуска отчетов за большие промежутки времени.

Результаты тестирования решений по критериям блока «Оповещение и приоритезация» представлены в таблице 2.5

Таблица 2.5 – Оповещение и приоритезация

IBM QRadar. Применение активного воздействия и реакции на оповещение доступно только для ряда продуктов IBM. При кастомизации параметров оповещения невозможно использовать переменные. Доступны следующие способы оповещения: E-mail, Syslog, Console. Отсутствует кастомизация приоритизации событий.

PT MaxPatrol SIEM. Присутствует применение активного воздействия и реакции на оповещение. Невозможно провести кастомизацию параметров оповещения. В качестве возможных способов оповещения доступен SNMP и SMTP. Высокая гибкость настройки. Отсутствует возможность объединения событий по параметрам инцидента.

HP ArcSight. Доступно применение активного воздействия, реакции на оповещение (нативные процедуры для некоторых продуктов HP, в других продуктах это возможно посредством выполнения скриптов) и кастомизации параметров оповещения. Возможные способы оповещения: E-mail, SMS, консоль, выполнение команд в ОС хоста менеджера или коннектора. Есть возможность кастомизации и приоритизации событий.

Сканер ВС. Способы оповещения доступен только SMTP. Невозможно провести кастомизацию параметров оповещения. Отсутствует применение активного воздействия и реакции на оповещение. Низкая гибкость настройки.

Результаты тестирования решений по критериям блока «Общие настройки и предустановленный функционал» представлены в таблице 2.6

Таблица 2.6 – Общие настройки и предустановленный функционал

IBM QRadar. Поддерживается аутентификация пользователей в различных LDAP. Возможность настройки парольной политики, существует встроенный функционал Workflow. Поддерживается интеграция со сторонними Workflow-системами (ограниченная по поддерживаемым операциям). Встроено большое количество предустановленных корреляционных ресурсов, отчётов и графических панелей. Защита канала при взаимодействии компонентов системы присутствует.

PT MaxPatrol SIEM. Отсутствует интеграция с LDAP и AD для обеспечения аутентификации, но данный функционал вендор обещает реализовать в 12-м релизе своей платформы. Для разграничения доступа между пользователями доступна ролевая модель. Присутствуют встроенные корреляционные правила, графические панели и отчёты. Реализован базовый функционал управления инцидентами.

HP ArcSight. Поддерживается аутентификация пользователей в различных LDAP. Реализован встроенный функционал Workflow с гибкими возможностями кастомизации. Поддерживается интеграция со сторонними Workflow-системами. Встроено большое количество предустановленных корреляционных ресурсов, отчётов и графических панелей.

Сканер ВС. Отсутствует поддержка интеграции с LDAP, AD для обеспечения аутентификации. Наличие Workflow и функций системы управления инцидентами ведется разработка, будет представлена в следующем релизе. Возможности по разграничению доступа отсутвует. Возможность настройки парольной политики отсутствует. Защита канала при взаимодействии компонентов системы отсутствует. Наличие предустановленных графических панелей (Dashboards) отсутствует. Наличие предустановленных отчетов ведется разработка в данном направлении, будет представлена в следующем релизе.

Результаты тестирования решений по критериям блока «Масштабирование, отказоустойчивость и хранение» представлены в таблице 2.7

Таблица 2.7 – Масштабирование, отказоустойчивость и хранение

IBM QRadar. Ограничением по количеству обрабатываемых событий в секунду является порог в 1 200 000 (максимальная инсталляция, по информации от вендора). Есть возможность реализации конфигурации High Availability. Осуществляется резервирование всех компонентов системы, вплоть до ядра. Сжатие данных при хранении происходит в соотношении один к десяти. Для хранения событий используются Ariel.

PT MaxPatrol SIEM. Ограничением по количеству обрабатываемых событий в секунду является порог в 30 000 (максимальная инсталляция, по информации от вендора). Отсутствует возможность резервирования компонентов системы и реализации отказоустойчивой конфигурации. Хранение событий осуществляется в исходном и нормализованном виде. Осуществляется сжатие данных до 30%. Для хранения событий используется MongoDB или MS SQL. Существует возможность интеграции с внешними массивами для хранения архивных данных.

Характеристики

Список файлов ВКР