Security analytics platform
Helix SIEM operatsion tizim, tarmoq uskunasi, himoya vositalari, bulut, ilova va bazalar jurnallarini bitta konturga yig’adi, ularni yagona ma’lumot modeliga keltiradi va ustidan qidiruv, korelatsiya, insident va hisobot qatlamini quradi.
Har bir himoya vositasi o’z hodisasini o’zi ko’radi: antivirus — fayl haqida, firewall — ulanish haqida, WAF — so’rov haqida. Hech biri boshqasining ko’rganini bilmaydi. Hujum esa aynan ular orasidan o’tadi.
SIEM ularning o’rnini bosmaydi — ustiga yagona kuzatuv, aniqlash va hisobga olish qatlamini quradi. Bitta so’rov barcha manbalar bo’yicha ishlaydi, chunki hodisalar bir xil modelga keltirilgan: bir xil nomdagi maydon vendordan qat’i nazar bir xil narsani anglatadi.
Shu sababli qidiruv, korelatsiya qoidalari, dashbordlar va hisobotlar manba turiga bog’lanmaydi. Yangi vendor qo’shilganda qoidalarni qayta yozish shart emas.
| Bosqich | Nima bajariladi |
|---|---|
| Qabul | Manba tekshiriladi, diskka buferlanadi, dublikat va yo’qotishlar nazorat qilinadi |
| Qayta ishlash | Razbor, yagona modelga normalizatsiya, kategoriyalash, kontekst bilan boyitish |
| Aniqlash | Korelatsiya qoidalari, xatti-harakat profillari, ogohlantirishlar shakllantiriladi |
| Taqdim etish | Insidentlar, dashbordlar, hisobotlar va tashqi tizimlarga uzatish |
Hodisa yoshiga, qatlam hajmiga yoki band joyga qarab qatlamlar orasida ko’chadi. Muddatlar har manba sinfi uchun alohida beriladi; insidentga kirgan hodisalar uchun alohida siyosat ishlaydi.
| Profil | Hot | Warm | Cold-archive |
|---|---|---|---|
| Qisqa · 30 kun | 7 kun | 23 kun | — |
| Bazaviy · 90 kun | 14 kun | 76 kun | siyosat bo’yicha |
| Kengaytirilgan · 180 kun | 30 kun | 150 kun | 365 kungacha |
| Yillik · 365 kun | 30 kun | 180 kun | 185 kun |
| Uzoq · 1825 kun | 30 kun | 180 kun | 1615 kun |
Profillar konfiguratsiya namunasi sifatida keltirilgan. Matnli jurnallarda tipik siqish koeffitsienti 6–12×.
To’rt variantda funksionallik bir xil — faqat obrazlarni yetkazish usuli va masshtablash mexanizmi farq qiladi.
| Variant | Yetkazish | Masshtablash |
|---|---|---|
| Jismoniy muhit | RPM / DEB paketlari, ISO obraz | Tugun va disk javonlarini qo’shish |
| Virtualizatsiya | OVA / QCOW2 / VHDX obrazlari | VM resurslarini o’zgartirish, klonlash |
| Xususiy va ommaviy bulut | VM obrazlari, IaC shablonlari | Masshtablash guruhlari, obyekt xotirasi |
| Konteyner va gibrid | OCI obrazlari, Helm-chartlar | Replikalar sonini o’zgartirish, StatefulSet |
Bir necha maydonchali infratuzilma uchun “markaziy tugun — uzoq maydonchalar” sxemasi: maydonchada Helix Collector hodisalarni mahalliy qabul qiladi, 1–72 soat buferlaydi va TLS 1.2/1.3 orqali markazga uzatadi.
Yo’q. SIEM himoya vositasi emas — u ularning ustidagi kuzatuv va hisobga olish qatlami. Vositalar o’z ishini bajaradi, SIEM esa ularning hodisalarini bir joyga yig’ib, o’zaro bog’laydi va insidentni shakllantiradi.
Bazaviy yetkazmada 600+ manba turi uchun tayyor razbor qoidalari bor. Ro’yxatda yo’q manba uchun dekoder konfiguratsiya bilan yoziladi — mahsulot kodi o’zgartirilmaydi va komponentlar qayta yig’ilmaydi.
Yo’q. Agent konechnaya tochkada kerak bo’lganda ishlatiladi; tarmoq uskunasi, himoya vositalari va bulut xizmatlari agentsiz — Syslog, REST API, WMI, SNMP yoki provayder API orqali yig’iladi.
Manba yozuvi o’zgartirilmasdan saqlanadi, har yozuv uchun nazorat summasi hisoblanadi va bloklar hash-zanjiriga kiritiladi. Buzilish yoki o’chirish rejali fon tekshiruvida aniqlanadi; davr bo’yicha yaxlitlik hisoboti tayyorlanadi.
Bu oqim hajmi va saqlash muddatiga bog’liq. Matnli jurnallarda tipik siqish koeffitsienti 6–12×, saqlash esa uch qatlamga bo’lingan — eng qimmat NVMe faqat hot qatlam uchun kerak. Aniq hisob-kitob oqimingiz o’lchangandan keyin beriladi.
Qaysi manbalar, qanday hajm va qancha muddat kerakligini aniqlaymiz — shundan keyin komponentlar va saqlash hajmi bo’yicha aniq taklif beramiz.
