Обзор
Обзор — общая картина за период: час, сутки, неделя или месяц.
- Уровень угрозы считается по открытым инцидентам и активным алертам. 0 — тихо.
- Графики строятся из алертов, инцидентов и событий SIEM за период; клик по точке или категории фильтрует ленту.
- Колокол в шапке — неразобранные алерты и инциденты. Поиск в шапке ищет по инцидентам, алертам, хостам и DLP.
- MTTR — среднее время от создания инцидента до его закрытия.
Инциденты и алерты
Алерт — отдельное срабатывание правила или агента. Инцидент — карточка расследования со статусом, ответственным и хронологией. Оба списка — в разделе Инциденты.
Инцидент создают XDR (склеил несколько доменов), DLP (утечка), SOAR (playbook «создать инцидент») или AI Pentest (находки скана). В карточке — кто, где, когда, таймлайн и связанные алерты. Статусы: open → investigating → contained → resolved. HTML-отчёт по инциденту скачивается из карточки.
SIEM
SIEM — журнал всех событий SOC и правила «если в событии вот это — поднять алерт».
- Агент или внешний источник (syslog) присылает событие.
- Событие попадает в журнал: источник, хост, текст, серьёзность.
- Правила корреляции проверяют его: malware, утечки, brute-force (≥5 неудачных входов за 5 минут с одного хоста), phishing, lateral movement.
- Совпадение — алерт, дальше событие видят XDR и SOAR.
Правила можно редактировать, включать и выключать; счётчик hits показывает, сколько раз правило сработало.
DLP
DLP (Data Loss Prevention) не даёт вынести с ПК паспорта, номера карт, ключи и конфиденциальные файлы. Правила задаются в консоли, ловит нарушения агент на станции.
Каналы
Буфер обмена, набор текста в браузере и мессенджерах, документы, вложения, почта, загрузки, сеть, USB, печать. При совпадении агент создаёт инцидент или блокирует действие, если канал это поддерживает.
Как создать правило
- Правила → новое правило или карандаш у существующего.
- Тип: regex, ключевые слова, имя файла, тип файла или класс данных.
- Шаблон: для regex — выражение, для ключевых слов — слова через запятую, для типа файла —
.pdf,.docx. - Каналы, действие (alert / block / log / quarantine) и серьёзность. Сохранить.
Шумное правило лучше выключить, чем удалять. Ложное срабатывание отметьте в инциденте как false_positive и сузьте шаблон. Политика — набор правил с приоритетом (шаблоны PII, финансы, исходный код есть сразу); её назначают агенту на вкладке «Агенты».
EDR
EDR показывает конечные точки: статус, угрозы, изоляцию. Агент отслеживает процессы, подозрительные цепочки уходят в SIEM, станция получает статус at_risk. Isolate отключает хост от сети, Unisolate возвращает. Карантин файла и остановка процесса запускаются из SOAR командой агенту.
XDR
XDR склеивает события нескольких модулей в один инцидент. После срабатывания правила SIEM XDR смотрит соседние события того же хоста за 15 минут. Если в них есть минимум два домена (например EDR + DLP или NGFW + Threat Intel), создаётся кросс-доменный инцидент со списком доменов.
SOAR
SOAR запускает playbook — цепочку действий — по триггеру. Тумблер включает автозапуск, Run запускает вручную, журнал показывает каждый шаг.
- Malware Auto-Quarantine — карантин файла, остановка процесса, сканирование.
- Brute Force IP Block — правило Auto-Block в NGFW и уведомление.
- Phishing Email Quarantine — карантин письма в почтовом шлюзе.
- Lateral Movement — изоляция хоста, блокировка учётной записи, инцидент.
- DLP Violation — блокировка передачи и уведомление.
Уведомления приходят в приложение ntfy: адрес подписки вашей организации указан в «Настройках».
Threat Intelligence
Threat Intel — база индикаторов компрометации: IP, домены, URL. Источники: Feodo Tracker (C2 ботнетов), Spamhaus DROP (сети спама и ботнетов), URLhaus (вредоносные URL).
«Обновить ленты» загружает свежие индикаторы, свои IoC можно добавить вручную. При совпадении появляется алерт «IoC: …», а SOAR может добавить Auto-Block в NGFW.
NGFW / Сеть
NGFW — правила «IP / сеть / порт → Block, Allow или Monitor». Фильтр сайтов по имени — в «Агенты → Веб-фильтр».
- Название, например «Block C2 Dridex».
- Source и/или Destination: IPv4 или CIDR (хотя бы одно поле).
- Порт и протокол при необходимости, направление: inbound / outbound / vpn.
При совпадении IP в событии растёт счётчик Hits. SOAR при brute-force создаёт правило Auto-Block сам.
AI Firewall
AI Firewall — шлюз к нейросетям: проверяет запросы и ответы на инъекции, персональные данные и секреты.
- По умолчанию режим monitor: всё логируется, ничего не блокируется.
- Проверьте в песочнице запрос с инъекцией или email — в журнале появится запись.
- Выпустите ключ шлюза
pabfw_… и сохраните его в своём приложении. - В SDK укажите
baseURL=https://pabion.pabit.ru/api/ai-firewall/v1 и обычный chat/completions. - Когда ложных срабатываний мало — переключите режим на enforce.
Prompt injection и jailbreak по умолчанию блокируются, персональные данные и секреты подменяются на [REDACTED:…]. Блокировка в режиме enforce пишет событие в SIEM и открывает инцидент.
AI Pentest
AI Pentest проверяет ваш сайт: модель обходит приложение и ищет XSS, IDOR и похожие уязвимости.
- В настройках модуля укажите модель и API-ключ, нажмите «Проверить LLM».
- Укажите URL цели, при необходимости инструкцию, и режим quick или standard.
- Запустите скан; Stop останавливает прогон. Находки и отчёт появятся в карточке, критичные могут стать инцидентом.
Сканируйте только свои ресурсы или те, на проверку которых есть разрешение.
