В пакетах экспертизы R-Vision SIEM теперь больше 1050 правил корреляции, а покрытие матрицы MITRE ATT&CK v17.1 превысило 68%. Для российских SOC-команд это не декоративная цифра в презентации: чем шире готовый контент и чем чаще он обновляется, тем меньше времени уходит на сборку детектов вручную и тем выше шанс поймать атаку до того, как она превратится в затяжной разбор полетов.
О новом обновлении R-Vision SIEM сообщает CNews. По данным издания, за три года количество правил корреляции в системе выросло более чем в шесть раз, а сами пакеты экспертизы теперь выходят каждые две недели. Такой ритм для SIEM важнее, чем красивые обещания про «полное покрытие»: ландшафт угроз меняется быстрее, чем большинство корпоративных процессов согласования, и правила, которые не обновлялись месяцами, в реальной эксплуатации быстро превращаются в архив.
R-Vision добавила и обновила правила детектирования для заметного набора корпоративных систем и сервисов. В списке фигурируют Kubernetes, Yandex Cloud, «1С-Битрикс24», MultiFactor, Active Directory Certificate Services, Microsoft Exchange и другие источники событий. Смысл этой работы вполне прикладной: SIEM становится полезнее не тогда, когда у нее просто много коннекторов в каталоге, а когда по этим источникам есть рабочая логика обнаружения, завязанная на реальные сценарии атак. Для инфраструктур, где рядом живут облако, локальные сервисы, бизнес-приложения и старая добрая корпоративная идентификация, это как раз тот случай.
Отдельный акцент сделан на новых техниках атак и эксплуатации уязвимостей. В пакетах появились правила для PoC, опубликованных исследователем под псевдонимом Nightmare Eclipse, которого знают по публичным демонстрациям эксплуатации уязвимостей в компонентах Microsoft Windows. Кроме того, заявлено обнаружение эксплуатации CVE-2026-31431, известной как Copy Fail, а также других уязвимостей, которые либо уже используются в атаках, либо активно обсуждаются исследовательским сообществом. Для SOC это хорошая новость без лишней романтики: чем быстрее вендор превращает свежий исследовательский шум в прикладные детекты, тем меньше разрыв между публикацией техники и ее появлением в боевом мониторинге.
Не менее важная часть обновления касается нормализации событий. В перечень новых поддерживаемых источников вошли Positive Technologies Container Security, RedOS RedADM, IT Bastion, AVSoft Kairos, Check Point Endpoint Harmony, Efros NAC, MariaDB, MS Hyper-V, Rosa Virtualization, MultiFactor, Multidirectory, Dallas Lock ВИ, Ideco VPN, Jenkins, Harbor, Nexus Repository, Nextcloud и другие системы. В сумме R-Vision SIEM сейчас поддерживает 280 источников событий с правилами нормализации. Для заказчиков это означает более единообразные данные из разных сегментов инфраструктуры: от контейнерной среды и виртуализации до средств контроля доступа, DevOps-инструментов и хранилищ артефактов. А единообразие в SIEM обычно ценится выше, чем очередная маркетинговая легенда про «единое окно».
Есть и шаг в сторону эксплуатационного удобства. Команда подготовила примеры готовых конвейеров для сбора событий с поддерживаемых источников; их можно импортировать напрямую в систему из репозитория на GiteVerse. Параллельно обновился портал документации: там появились структурированные списки правил корреляции с навигацией по источникам событий и техникам MITRE ATT&CK. В таблицах указаны идентификатор и название правила, краткое описание сценария обнаружения, а также тактики и техники, которые оно закрывает. Для аналитиков SOC это экономит время на поиске нужного контента и упрощает разбор того, что именно детектируется и на каком основании. Для руководителей ИБ и архитекторов плюс другой: становится проще оценить, где в покрытии есть дыры, а где уже можно перестать писать одно и то же руками.
Еще один полезный штрих к обновлению — развитие открытого репозитория аналитических материалов по экспертизе для системы. Там публикуются исследования и материалы, которые становятся основой для правил корреляции. Практический смысл в том, что заказчик получает не только готовое правило, но и контекст: какие события оставляет атака, какие инструменты обычно применяются, какие артефакты стоит искать в инфраструктуре и почему логика детектирования устроена именно так. Это особенно важно для зрелых команд, которые не хотят слепо импортировать контент в SIEM, а предпочитают адаптировать его под свои процессы, инфраструктурные исключения и модель угроз.
В R-Vision подчеркивают, что задача обновлений — дать SOC-командам не просто набор правил, а прикладной контент для работы с реальными инцидентами. По сути, на рынке SIEM это уже базовое требование, а не бонус. Сами по себе сотни и тысячи правил мало что значат, если за ними нет регулярного сопровождения, понятной документации и поддержки тех источников, которые реально стоят у заказчика в контуре. Но если вендор держит темп обновлений раз в две недели, расширяет нормализацию и быстро реагирует на новые техники атак, то у российских команд ИБ появляется более прагматичный вариант: меньше времени тратить на рутину и больше — на расследование того, что действительно важно. Главный вопрос теперь не в том, сколько правил у R-Vision SIEM на счетчике, а сможет ли вендор удерживать этот темп по мере роста числа поддерживаемых систем и усложнения атак.