InfoWatch: Центр расследований

Основные статьи:

• DLP - Data Loss / Leak Prevention - Технологии предотвращения утечек конфиденциальной информации
• Ситуационные центры (определение, основные задачи)

2024

Представление «Младшего аналитика»

24 сентября 2024 года ГК InfoWatch анонсировала технологическое решение в Центре расследований InfoWatch – «Младший аналитик». Это разработка на базе искусственного интеллекта для обработки информации, которую собирают продукты InfoWatch для обеспечения безопасности данных. Задача «Младшего аналитика» – оптимизировать время и ресурсы на мониторинг трафика и анализ инцидентов. На сентябрь 2024 года инструмент проходит внутреннее тестирование и будет доступен для пользователей консоли InfoWatch Центр расследований уже в 2025 году.

«Младший аналитик» – собственная разработка ГК InfoWatch на базе технологий искусственного интеллекта с применением больших языковых моделей. Его работа строится на основе интерактивного взаимодействия: в отдельном окне внутри Центра расследований офицер безопасности задает вопрос текстом или голосом, просит выгрузить конкретные данные, показать активность нужного пользователя или групп либо другую информацию. «Младший аналитик» обрабатывает данные из DLP-системы Traffic Monitor и всех продуктов для защиты данных, которые работают в компании (Activity Monitor, Data Discovery, Data Access Tracker), и предоставляет текстовый ответ или данные по запросу, визуализированные на виджетах. В результате офицер безопасности получает структурированные ответы со ссылками на данные из Центра расследований.Российский рынок облачных ИБ-сервисов только формируется 2.5 т

«Младший аналитик» сможет ответить на несколько категорий вопросов, среди которых формирование выборки нарушителей, предмет и интенсивность общения между сотрудниками, поиск и оценка аномалий в работе с конфиденциальной информацией, качественная оценка коммуникаций. На вопросы, не касающиеся ИБ, сервис не отвечает и предлагает вернуться к диалогу по теме, отмечают разработчики.

С Центром расследований специалист ИБ тратит в три раза меньше времени на всю цепочку действий от момента обнаружения подозрительного события до принятия решения о том, является ли оно инцидентом. Интерфейс позволяет видеть и сопоставлять информацию в общем пространстве с единой системой фильтров и перекрёстных переходов из одного представления данных в другое. А теперь представьте, что с подключением «Младшего аналитика» вы сделаете эту работу ещё быстрее. Мы стали первыми на рынке, кто сфокусировался на эффективности службы информационной безопасности. И благодаря данной возможности мы на порядок ускоряем работу по анализу трафика, принятию решений по инцидентам, а также по запросам других подразделений службы безопасности и руководителей ИБ, – отметил руководитель направления InfoWatch Центр расследований ГК InfoWatch Сергей Кузьмин.

«Младший аналитик» не лицензируется дополнительно и появится в Центре расследований по умолчанию у всех пользователей средств защиты данных InfoWatch. Потребуется отдельная установка сервиса и видеокарта. В будущем его можно будет кастомизировать и дать помощнику собственное имя. Инструмент будет доступен в Центре расследований уже в 2025 году.

Добавление инструментов InfoWatch Vision, InfoWatch Prediction и InfoWatch Data Discovery

13 сентября 2024 года ГК InfoWatch сообщила о расширении возможности продуктов в Центре расследований. В данной версии единой консоли InfoWatch реализована автоматическая разметка снимков экрана и расшифровка аудиозаписей, инструмент для работы с группами риска, а также другие дополнительные возможности для еще более быстрой работы офицера безопасности.

Центр расследований – это собственная разработка ГК InfoWatch, которая работает на базе ОС Linux, полностью соответствует требованиям импортозамещения и совместима с отечественными операционными системами. Центр расследований объединяет в себе возможности работы с событиями DLP-системы, данные о действиях сотрудников InfoWatch Activity Monitor, информацию о хранении и доступе к файлам InfoWatch Data Discovery, визуальную аналитику InfoWatch Vision и оповещение о вероятных рисках модуль работы с рисками InfoWatch Prediction в едином интерфейсном пространстве.

В Центре Расследований InfoWatch офицер информационной безопасности может видеть и сопоставлять различные данные в общем пространстве с единой системой фильтров и перекрестных переходов из одного представления в другое. Благодаря этому специалист ИБ тратит в три раза меньше времени с момента обнаружения подозрительного события до момента принятия решения о том, является ли это инцидентом. И мы пошли еще дальше – во-первых, добавили возможности, помогающие пользователям ЦР держать фокус на важных событиях, поскольку от этого зависит скорость реагирования на инциденты. Во-вторых, расширили количество источников, к которым специалист ИБ обращается для понимания контекста нарушения, чтобы принимать решения взвешено и с учетом всех факторов. Также улучшили инструменты прогнозирования – с их помощью офицеры безопасности могут работать на опережение и таким образом снижать число потенциальных инцидентов в будущем, – сказал руководитель направления InfoWatch Центр расследований ГК InfoWatch Сергей Кузьмин.

Фокусировку на важных событиях обеспечивают новые инструменты InfoWatch Vision, InfoWatch Prediction и InfoWatch Data Discovery. В модуле визуальной аналитики InfoWatch Vision разработана дополнительная функциональность по отображению данных DLP-системы. Появилась возможность редактировать граф связей для подготовки отчетов – теперь офицер безопасности может отредактировать граф связей, чтобы сфокусировать внимание руководства на нужных деталях. В InfoWatch Prediction добавлены инструменты для работы с группами риска: в разделе «Риски» Центра расследований появилась вкладка «Контроль рисков», которая помогает специалистам ИБ оперативно оценить, какие сотрудники входят сразу в несколько групп риска и как меняется количество персон в каждой из таких групп. Модуль InfoWatch Data Discovery, в свою очередь, теперь поддерживает мгновенный поиск похожих по смыслу файлов.

InfoWatch Activity Monitor разработчики дополнили возможностями широкого анализа контекста – обновленный модуль обеспечивает автоматическую разметку снимков экрана, распознает запрещенные или потенциально опасные графические объекты. Также Activity Monitor переводит аудио в текст, это позволяет специалисту ИБ вдвое быстрее анализировать аудио-окружение ПК персоны под наблюдением, определять в тексте ключевые слова и использовать документ для составления отчета. Появились новые виджеты для контроля печати, что дает возможность отслеживать события отправки документов на печать, а также новые виджеты со статистикой по сотрудникам и принтерам. Это упрощает контроль за печатной техникой и помогает выявлять ее нецелевое использование. Кроме того, расширение анализа контекста обеспечивают новые возможности модуля InfoWatch Vision. В разделе «События» Центра расследований теперь можно открывать и просматривать сообщения из мессенджеров в виде диалога. С появлением этой функции специалисты ИБ могут видеть сразу весь диалог пользователей и оперативно оценивать ситуацию, исходя из контекста и истории общения.

Для работы на опережение разработчики Центра расследований добавили в InfoWatch Data Discovery функционал по автоматической группировке 100% текстовых документов в периметре организации. Благодаря технологии группировки документов собственной разработки появилась возможность автоматически рассортировать по смыслу все текстовые документы на файловых хранилищах и ПК сотрудников. Кроме того, в InfoWatch Prediction добавлены инструменты анализа рисков с учетом актуальной геополитической ситуации.

Представление центра расследований

ГК InfoWatch 28 марта 2024 года представила новую разработку для бизнеса в области защиты конфиденциальных данных – Центр расследований. Это интерфейсное решение, которое объединяет данные всей линейки InfoWatch по защите информации по принципу «одного окна». Такой подход к организации работы ИБ-специалистов позволяет проводить мониторинг трафика, анализ и расследование инцидентов на принципиально новом уровне погружения в данные и работать со всеми продуктами линейки InfoWatch по защите данных, включая DLP-систему последнего поколения, одновременно.

𝓲

InfoWatch

Центр расследований объединяет в себе события DLP-системы, данные о действиях сотрудников InfoWatch Activity Monitor, информацию о хранении и доступе к файлам InfoWatch Data Discovery, визуальную аналитику InfoWatch Vision и оповещение о вероятных рисках InfoWatch Prediction в едином интерфейсном пространстве.

Центр расследований – это собственная разработка ГК InfoWatch, которая работает на базе ОС Linux, полностью соответствует требованиям импортозамещения и совместима с отечественными операционными системами.

Пользовательские возможности и внешний вид Центра расследований спроектированы с учетом требований современного UX-дизайна, протестированы на фокус-группах офицеров безопасности компаний-клиентов и экспертов рынка и созданы с учетом их обратной связи. По оценкам участников фокус-групп, Центр расследований InfoWatch в три раза сокращает время от первого подозрения в нарушении до результата – принятия решения, что стало возможным благодаря основным опциям:

• единая консоль позволяет работать с необходимыми данными в одном окне
• единый фильтр и интерактивный интерфейс помогают быстро переключаться между разными срезами данных, сохранять контекст расследования и фокус на важных деталях
• можно сопоставлять информацию из нескольких модулей и быстро интерпретировать данные для принятия решений.

Это принципиально новый для индустрии информационной безопасности подход к ежедневной работе ИБ-специалиста, который позволяет офицеру безопасности анализировать данные из разных источников в едином контексте и работать с комплексной картиной событий при расследовании инцидентов ИБ. Такой подход особенно актуален для enterprise-компаний с большим штатом персонала и объемными массивами данных по ним.

Мы обсуждали с бизнес-сообществом продвинутые опции по защите данных и получили обратную связь: несмотря на интерес к новым возможностям, у организаций часто не хватает ИБ-ресурсов даже на разбор всех инцидентов за день. Каждый инструмент безопасности генерирует множество различных данных и кратно повышает нагрузку на офицера безопасности по их поиску в различных модулях, сопоставлению, интерпретации и подготовке отчетности. Мы поставили перед собой задачу максимально упростить для ИБ-специалиста сбор информации и помочь ему сконцентрироваться на проведении расследований и принятии решений. Так мы пришли к разработке Центра расследований – единого информационного пространства с оперативным доступом к максимально полному набору данных. Теперь офицер безопасности сможет в несколько кликов сформировать интересующий его срез данных, при необходимости донастраивать и дополнять его, без переключения между несколькими консолями отслеживать цифровой след сотрудника, анализировать его и при необходимости действовать на опережение, - отметил руководитель направления InfoWatch Employee Monitoring ГК InfoWatch Сергей Кузьмин.

Логика работы в Центре расследований построена таким образом, чтобы предоставить специалисту ИБ максимум релевантных данных, которыми можно управлять с помощью интерактивных инструментов сопоставления и поиска взаимосвязей, в удобном визуальном представлении. Например, специалист ИБ обращает внимание на инцидент на дашборде для ежедневного мониторинга и добавляет связанные события в расследование. Затем оценивает действия сотрудника до, во время и после инцидента в разделе «Мониторинг». Без перенастройки фильтра можно перейти в раздел «Аналитика» и на графе связей посмотреть круг общения сотрудника, чтобы найти всех задействованных в инциденте. В разделе «Риски» можно посмотреть, в какие группы риска входят задействованные сотрудники. Если же у специалиста ИБ возникает потребность оценить информацию на сетевых хранилищах, то он может сделать это в разделе «Хранение файлов». Собранная информация из четырех модулей InfoWatch Vision, Activity Monitor, Prediction и Data Discovery, включая данные о прошлых инцидентах и угрозах, аккумулируется в досье в разделе «Персоны». Оформить результаты расследования без перехода в сторонние текстовые редакторы можно в разделе «Расследования» и после этого выгрузить финальный отчет. А благодаря функции гибких отчетов есть возможность регулярно или по запросу предоставлять необходимые данные смежным департаментам.

Таким образом, после выхода Центра расследований решение InfoWatch Traffic Monitor становится единственной DLP-системой в России, которая в едином окне объединяет все технологии DLP нового поколения, а именно:

• контроль всех необходимых каналов передачи данных;
• точное детектирование конфиденциальной информации;
• автоматизированная настройка;
• интерактивная визуализация;
• поведенческая аналитика;

Важно, что Центр расследований не требует покупки дополнительных лицензий и доступен всем клиентам в рамках регулярного обновления любого из продуктов по защите данных ГК InfoWatch. Если в компании установлена DLP-система InfoWatch, но при этом не используется один или несколько ее дополнительных модулей, это не станет помехой для работы Центра расследований. В этом случае он будет работать с учетом возможностей установленных ИБ-решений. При этом его функционал в части расследований и составления отчетов будет полностью доступен при любой конфигурации защитного ПО.