🔺 IRIS — это система, ориентированная на цифровую криминалистику и реагирование на инциденты (DFIR), которая интегрируется с платформой TheHive для расширения возможностей управления инцидентами. IRIS предоставляет удобный веб-интерфейс для анализа и корреляции данных инцидентов, а также автоматизации части сценариев реагирования.
Основные возможности IRIS в связке с TheHive:
🔺 Автоматизация сбора и обработки данных о событиях, индикаторах компрометации и артефактах.
🔺 Корреляция данных для ускорения анализа и выявления контекста инцидентов.
🔺 Расширенная аналитика с возможностью подключения к различным источникам данных и системам.
🔺 Упрощение совместной работы специалистов с удобным интерфейсом и возможностями обмена информацией.
🔺 Интеграция с Cortex для автоматического запуска анализаторов (анализ файлов, URL, IP и др.).
🔺 Улучшение управления инцидентами за счет расширенных рабочих процессов и отчетов.
🔺 Несмотря на положительные стороны, IRIS относительно сложна во внедрении и ограничена по автоматизации.
🔺 Для развертывания системы из 10 пользователей, ежедневного использования около 200 оповещений и нескольких обращений:
Процессор: 8 ядер
Оперативная память: 32 ГБ
Хранилище: SSD-накопитель емкостью 1 ТБ
🔺 IRIS помогает командам реагирования оптимизировать рабочие процессы, ускорить анализ и устранение угроз, а также улучшить видимость всей цепочки инцидентов, работая в связке с TheHive и другими инструментами SOAR.
🔺 Используете ли IRIS с TheHive в своей инфраструктуре?