СИСТЕМА И СПОСОБ АВТОМАТИЧЕСКОГО РАССЛЕДОВАНИЯ ИНЦИДЕНТОВ БЕЗОПАСНОСТИ

1. Система автоматического расследования инцидентов безопасности, выполненная в виде сервера администрирования, который содержит:
(а) средство сбора данных, хранящееся в памяти и исполняемое на процессоре сервера администрирования, предназначенное для загрузки с подключенных к серверу администрирования компьютерных устройств данных о системных событиях, фиксируемых в упомянутых компьютерных устройствах, при этом средство сбора данных связано с анализатором инцидентов;
(б) средство регистрации инцидентов, хранящееся в памяти и исполняемое на процессоре сервера администрирования, предназначенное для выделения, по меньшей мере, одного системного события из загруженных данных, вызвавшего инцидент безопасности, при этом средство регистрации инцидентов связано с анализатором инцидентов и средством сбора данных;
(в) анализатор инцидентов, хранящийся в памяти и исполняемый на процессоре сервера администрирования, предназначенный для:
- поиска событий, предшествующих зарегистрированному инциденту безопасности;
- определения, по меньшей мере, одного системного события, являющегося причиной возникновения инцидента;
(д) средство поиска решений, хранящееся в памяти и исполняемое на процессоре сервера администрирования, предназначенное для поиска решения для устранения последствий и предотвращения повторений инцидента безопасности соответствующего событию, определенному анализатором в качестве причины возникновения инцидента, при этом средство поиска решений связано с анализатором инцидентов.
2. Система по п.1, в которой данные о системных событиях, загружаемые с компьютерных устройств, хранятся на компьютерных устройствах в виде системных журналов или программных отчетов.
3. Система по п.1, в которой инцидентом безопасности является, по меньшей мере, одно из событий:
- нарушение политики безопасности;
- обнаружение вредоносной программы;
- некорректная работа средства защиты.
4. Система по п.1, в которой решение представляет собой, по меньшей мере, одну из мер:
- изменение политики безопасности;
- обновление программного обеспечения;
- рекомендацию пользователю, записанную в обрабатываемом на компьютерном устройстве формате.
5. Система по п.1, в которой анализатор инцидентов предназначен также для определения компьютерного устройства, на котором было зафиксировано событие, вызвавшее инцидент безопасности.
6. Система по п.5, в которой анализатор инцидентов предназначен также для определения пользователя, авторизованного на упомянутом компьютерном устройстве.
7. Система по п.1, которая дополнительно содержит сервер антивирусной лаборатории, предназначенный для обработки зарегистрированных инцидентов и загрузки нового решения в средство поиска решений.
8. Система по п.1, которая дополнительно содержит средство создания отчетов, предназначенное для генерации отчета, содержащего, по меньшей мере, описание системных событий, взаимосвязь событий, хронологию событий, найденные решения, примененные решения.
9. Способ автоматического расследования инцидентов безопасности, в котором:
(а) загружают данные о системных событиях с компьютерных устройств, подключенных к серверу администрирования;
(б) регистрируют, по меньшей мере, одно системное событие из загруженных данных, вызвавшее инцидент безопасности;
(в) анализируют загруженные события путем поиска событий, предшествующих зарегистрированному инциденту безопасности;
(г) определяют, по меньшей мере, одно системное событие, являющееся причиной возникновения инцидента;
(д) производят поиск и применение решения для устранения последствий и предотвращения повторений инцидента безопасности соответствующего событию, определенному в качестве причины возникновения инцидента.
10. Способ по п.9, в котором данные о системных событиях, загружаемые с компьютерных устройств, хранятся на компьютерных устройствах в виде системных журналах или программных отчетах
11. Способ по п.9, в котором инцидентом безопасности является, по меньшей мере, одно из событий:
- нарушение политики безопасности;
- обнаружение вредоносной программы;
- некорректная работа средства защиты.
12. Способ по п.9, в решение представляет собой, по меньшей мере, одну из мер:
- изменение политики безопасности;
- обновление программного обеспечения;
- рекомендацию пользователю, записанную в обрабатываемом на компьютерном устройстве формате.
13. Способ по п.9, который дополнительно содержит этап, на котором анализатор инцидентов определяет компьютерное устройство, на котором было зафиксировано событие, вызвавшее инцидент безопасности.
14. Способ по п.13, который дополнительно содержит этап, на котором анализатор инцидентов определяет пользователя, авторизованного на упомянутом компьютерном устройстве.
15. Способ по п.9, который дополнительно содержит этап, на котором генерируют отчет, содержащий, по меньшей мере, описание системных событий, взаимосвязь событий, хронологию событий, найденные решения, примененные решения.
16. Способ по п.9, который запускается на выполнение с заданной периодичностью.