Security Vision выпустила очередное обновление Security Vision 5 и на этот раз полезные изменения лежат не в области красивых обещаний, а в местах, где у ИБ-команд обычно болит сильнее всего: правила корреляции, workflow, парсинг данных и развертывание сервисов. Для российских компаний, которые живут в режиме постоянной доводки SIEM и SOAR-процессов, это выглядит не как «еще один релиз», а как попытка убрать часть ручной рутины из повседневной эксплуатации платформы.
По данным CNews, в релизе команда сосредоточилась на четырех блоках: развитии правил корреляции, упрощении установки компонентов, расширении возможностей рабочих процессов и обновлении интерфейсов настройки объектов, справочников и карточек. Если перевести с продуктового на человеческий, логика простая: меньше действий вслепую, меньше ручных обходных путей и меньше лишних движений при сопровождении системы. Особенно заметна ставка на тот слой платформы, где ошибка в настройке не просто раздражает, а бьет по качеству детекта или автоматизации.
Самое прикладное изменение в Security Vision 5 касается правил корреляции. В редакторе появилась отдельная вкладка «Тестирование»: правило можно прогнать на последовательности событий заданных типов и проверить, как именно оно сработает, еще до появления нужной комбинации событий в боевой инфраструктуре. Для SOC это важная история. Раньше корректность такой логики нередко проверяли либо на живом потоке, либо на полуискусственных сценариях с большим количеством ручных допущений. Теперь платформа дает более прямой способ убедиться, что условная цепочка событий действительно ведет к нужному результату, а не создает шум или, что еще хуже, пропускает инцидент. Дополнительно для правил в формате Sigma появилась автоматическая проверка кода, а сами правила можно выгружать в YAML-файлы Sigma и загружать обратно. Это уже про переносимость: если у команды есть набор детектов, который нужно синхронизировать между разными инсталляциями или сопоставить со сторонними системами, поддержка Sigma заметно упрощает жизнь.
Второй блок обновления касается рабочих процессов и обработки данных, а это уже зона, где ИБ постепенно срастается с low-code-автоматизацией. Для общих действий в графе объектов теперь можно переопределять входные параметры запускаемого рабочего процесса. На практике это означает, что один и тот же workflow можно запускать с разными значениями в зависимости от контекста действия и сценария автоматизации, не клонируя процесс под каждый частный случай. Параллельно в настройках обработки результатов команд коннекторов и нормализации обработчиков добавили динамические источники при выборе элементов парсинга: источниками могут быть входные параметры и переменные. Для тех, кто строит сложные цепочки enrichment, реагирования или инвентаризации, это не косметика. Это способ собрать более гибкий сценарий, в котором данные подставляются по ходу выполнения, а не зашиваются намертво на этапе первичной настройки.
Есть и обновления, которые на бумаге звучат скромнее, чем ощущаются в ежедневной работе. В релизе переработали интерфейс настройки типов объектов системы и справочников, а также дизайн редактора блоков карточки для типов объектов и справочников. Такие вещи редко попадают в презентации как главная звезда релиза, но именно на них быстро копится усталость администраторов и аналитиков платформы. Если модель данных сложная, если карточек много, если бизнес просит новые сущности и новые поля быстрее, чем команда успевает писать регламенты, то удобство редактора внезапно становится вполне измеримым фактором производительности. В российских внедрениях это особенно заметно: платформы ИБ у нас часто разворачиваются не как коробка «включил и забыл», а как постоянно дорабатываемая среда под внутренние процессы компании.
Отдельно стоит посмотреть на изменения в установщике. В мастер установки добавили возможность указывать внешний URL для устанавливаемого сервиса при выборочной инсталляции компонентов. Исключения всего два: портал webapi и сервис мониторинга состояния платформы healthcheck. Плюс установщик получил дополнительные параметры командной строки, чтобы до старта развертывания можно было посмотреть версию платформы и краткую справку по доступным опциям. Это выглядит как небольшой штрих, но для команд, которые раскатывают платформу в сегментированной инфраструктуре, в нескольких контурах или с нетривиальной схемой публикации сервисов, такие настройки снимают часть лишних операций уже на этапе инсталляции. И это, пожалуй, важный маркер зрелости продукта: когда разработчик думает не только о том, что можно настроить в системе, но и о том, как быстро и без лишней ручной подгонки эту систему вообще довести до рабочего состояния.
В более широком контексте обновление Security Vision 5 хорошо ложится в общий тренд российского ИБ-рынка: платформы конкурируют уже не только по числу модулей или громкости заявлений про «экосистему», а по тому, насколько удобно ими управлять после покупки. У заказчиков накопилась усталость от сложных продуктов, которые умеют почти все, но требуют слишком много ручной настройки и слишком легко превращаются в набор разрозненных сценариев. Поэтому любые улучшения вокруг тестирования детектов, повторного использования workflow, обмена правилами через Sigma и упрощения развертывания выглядят вполне прагматично. Вопрос теперь в следующем: ограничится ли рынок точечным улучшением UX для ИБ-инженеров или мы увидим следующую гонку уже за скорость сопровождения и переносимость настроек между разными классами защитных систем.