Система мониторинга и корреляции событий HP ArcSight позволяет собирать и анализировать сообщения о событиях безопасности, поступающих от средств защиты, ОС, прикладного программного обеспечения и др.
Данная информация собирается в едином центре, обрабатывается и подвергается анализу в соответствии с заданными правилами по обработке событий, связанных с ИБ. Результаты анализа в режиме реального времени предоставляются администраторам безопасности в удобном виде для принятия решений по реагированию на инциденты безопасности.
Технология функционирования ArcSight предусматривает разделение процесса обработки событий безопасности на пять основных этапов: фильтрация, нормализация, агрегирование, корреляция и визуализация.
В процессе фильтрации система удаляет события, которые не имеют прямого отношения к инцидентам информационной безопасности. На этапе нормализации события приводятся к единому формату сообщений ArcSight. Агрегирование позволяет удалить повторяющиеся события, описывающие один и тот же инцидент. Эта процедура позволяет значительно сократить объем информации, которая хранится и обрабатывается в системе мониторинга.
Сформированные сообщения затем обрабатываются, используя механизмы корреляции, основанные на статистических методах, а также правилах встроенной экспертной системы. И наконец, ArcSight выдает полученные результаты на централизованную консоль, работающую в режиме реального времени.
ArcSight позволяет администраторам безопасности сфокусироваться на реальных угрозах, обеспечивая их средствами, позволяющими оперативно реагировать на угрозы безопасности сети.
Информационные ресурсы интегрируются в систему мониторинга в качестве источников сообщений о событиях информационной безопасности с помощью так называемых коннекторов (агентов).
Для визуализации результатов работы системы используется консоль администратора, которая в реальном времени позволяет проводить разделение событий по категориям, корреляцию событий как по ресурсам, так и по злоумышленникам, а также осуществлять подробный анализ.
С помощью карты нарушений безопасности можно получить представление об отклонениях в параметрах безопасности. Кроме того, консоль снабжена интуитивно понятным инструментальным интерфейсом и предоставляет непревзойденные возможности для подготовки табличных и графических отчетов о безопасности.
ArcSight позволяет осуществлять мониторинг всех необходимых ресурсов в режиме реального времени, получая информацию как на уровне средств защиты, так и на уровне сетевых ресурсов, приложений и баз данных, что позволяет построить комплексную систему мониторинга и управления событиями информационной безопасности.
Еще одной особенностью системы ArcSight является возможность реализации процесса управления инцидентами информационной безопасности строго в соответствии со стандартом PCI DSS.