CISCO MONITORING, ANALYSIS AND RESPONSE SYSTEM (MARS) Программно-аппаратный комплекс Cisco MARS предназначен для управления угрозами безопасно- сти. В качестве источников информации о них могут выступать: сетевое оборудование (маршрутиза- торы и коммутаторы), средства защиты (межсетевые экраны, антивирусы, системы обнаружения атак и сканеры безопасности), журналы регистрации ОС (Solaris, Windows NT, 2000, 2003, Linux) и прило- жений (СУБД, web и т. д.), а также сетевой трафик (например, Cisco Netflow). Cisco MARS поддержи- вает решения различных производителей – Cisco, ISS, Check Point, Symantec, NetScreen, Extreme, Snort, McAfee, eEye, Oracle, Microsoft и т. д.
Механизм ContextCorrelation™ позволяет проанализиро- вать и сопоставить события от разнородных средств защиты. Визуализация их на карте сети в реаль- ном времени достигается с помощью механизма SureVector™. Данные механизмы позволяют отобразить путь распространения атаки в режиме реального времени. Автоматическое блокирование обнаруженных атак достигается с помо- щью механизма AutoMitigate™, который позволяет реконфигурировать различные средства защиты и сетевое оборудование.
Основные возможности • • Обработка до 10 000 событий в секунду или свыше 300 000 событий Netflow в секунду • • Возможность создания собственных правил корреляции • • Уведомление об обнаруженных проблемах по e-mail, SNMP, через syslog и на пейджер • • Визуализация атаки на канальном и сетевом уровнях • • Поддержка Syslog, SNMP, RDEP, SDEE, NetFlow, системных и пользовательских журналов регистрации в качестве источников информации • • Возможность подключения собственных средств защиты для анализа • • Эффективное отсечение ложных срабатываний и шума, а также обнаружение атак, пропущенных отдельными средствами защиты • • Обнаружение аномалий с помощью протокола NetFlow • • Создание и автоматическое обновление карты сети, включая импорт из CiscoWorks и других систем сетевого управления • • Мониторинг механизмов защиты коммутаторов • • Поддержка IOS 802.1x, NAC (фаза 2) (Dynamic ARP Inspection, IP Source Guard и т.
д.) • • Интеграция с системами управления инцидентами • • Интеграция с Cisco Security Manager (CSM Policy Lookup) с помощью XML Incident Notification • • Слежение за состоянием контролируемых устройств • • Мониторинг работоспособности компонентов Cisco MARS • • Аутентификация на RADIUS-сервере • • Syslog forwarding • • Динамическое распознавание новых сигнатур атак Дополнительная информация: http://www.cisco.com/go/mars на Cisco IPS и загрузка их в Cisco MARS 51