Академия информационных систем
Внедрение и развертывание системы мониторинга, сбора и анализа событий RuSIEM
Ближайшая дата
по запросу в будни
Длительность
2 дн. 16 ак.час
Форма обучения
Очно/Дистанционно
Документ
Удостоверение о повышении квалификации
Стоимость
45 000 ₽
О курсе
В процессе обучения слушатели подробно ознакомятся с вопросами внедрения и развертывания системы мониторинга, сбора и анализа событий RuSIEM. Получат необходимые знания и практические навыки по сценариям установки, настройки МЭ и агентов, по вариантам архитектуры, по диагностике системы и оптимизации демонов, резервному копированию, кластеризации и многое другое.
Кому будет полезен курс
Специалисты, занимающиеся внедрением систем мониторинга, сбора и анализа событий
Инженеры, ответственные за настройку процессов мониторинга и аудита информационной безопасности в организации.
Администраторы безопасности
Системные администраторы
Программа курса
RuSIEM
- Что такое SIEM
- Нормализация (поля таксономии)
- Корреляция (основное)
- Архитектура
- Варианты установки
- Системные требования
Установка
- Откуда взять скрипт установки
- Варианты установки (в скрипте)
- Факторы при планировании
- Лабораторные требования
- Лабораторная работа № 1
- Проверка выполнения
Источники
- Подключение источников (способы подключение и т.д.)
- Агент (архитектура, способы установки)
- Стенд: просмотр событий; события syslog; вкладка «Источники»:
- Модули агента
- Удаленный сбор (УЗ для сбора; настройки модуля)
- Модуль MS SQL Dr. Web
Поля событий
- Определение
- Стенд: Поля host и hostname
- Язык запросов lucene
- Группировка
- Метки времени: @timestamp (проставляется lsinput) и event.time
- Итог (презентация «Поля событий»)
- Лабораторная работа № 2
Корреляция
- Для чего нужна и как работает
- Разбор правил корреляции
- Начальная фильтрация
- Группировка
- Заполнение верхней части (название инцидента, категория и т.д.)
- Описание операторов
- Симптоматика в правилах
- Работа со списками
- Уведомление по правилу
- Выполнение shell-команд
- Содержимое события
- Промежуточная аттестация (в формате устного опроса)
Учебный план на день
- Разбор вопросов по итогам первого дня
- Описание плана работ на второй день
- Краткое повторение усвоенного материала
Парсеры и разбор работы frs_server
- Схема работы frs_server
- Фильтрация событий на уровне frs_server
Симптоматика и обогащение
- Категоризация событий от разных вендоров (механизм симптоматики)
- Задачи симптоматики (1 – категоризация событий; 2 – человека читаемое описание; 3 – вес события; 4 – пользовательские правила обогащения)
- Разбор симптома
- Группировка по симптомам (разбор события)
- Лабораторная работа № 3
- Проверка выполнения
Ролевая модель и мультитенантность
- Описание ролей
- Мультитенантность
Корреляция
- Повторение материала по корреляции
- Лабораторная работа № 4
- Проверка выполнения
Внутренние журналы и диагностические события системы. Поиск и устранение неполадок
- Логи микросервисов RuSIEM
- Логи БД RuSIEM
Микросервисная архитектура
- Типовые и кастомные схемы установки
- База данных конфигураций микросервисов
- Важные параметры конфигурации микросервисов
API
- Типовые задачи, решаемые при помощи API
- Создание учетной записи и токена для работы с API
- Итоговая аттестация (в формате устного опроса)
По окончании обучения выдается
- Удостоверение о повышении квалификации
- Сертификат вендора
Как вы будете учиться
Занятия
Занятия проводятся как очно в аудитории с непосредственным взаимодействием между преподавателем и слушателями. Для тех, кто не может присутствовать физически, предусмотрено участие через платформу MTS.link.
Процесс обучения
Занятия включают лекции, семинары и групповые проекты. Материалы подаются в виде презентаций, которые могут содержать графику, видео. Полученные знания закрепляются тестированиями и практическими заданиями, а затем вы получаете развернутую обратную связь от эксперта курса.
Сопровождение
Вы можете задавать вопросы преподавателю в режиме реального времени. Так же у каждой группы есть кураторы, которые всегда на связи и помогают решить организационные вопросы.
Получить персональное предложение
Хотите быть в курсе последних новостей?
Подпишитесь на нашу рассылку и станьте одним из первых, кто будет в курсе
всех новостей АИС!
