Yagona xavfsizlik platformasi
Helxis HEDE xavfsizlikning barcha modullarini bitta platformaga jamlaydi: fayl ishga tushishidan oldingi himoya va endpointdagi aniqlash-javobdan tortib, butun infratuzilma hodisalarini yig’ish, korelatsiya, kengaytirilgan aniqlash va ma’lumot himoyasigacha. Bitta ma’lumot modeli, bitta konsol, bitta insident oqimi — endpointda ko’rilgan narsa konturda ko’rilgani bilan shu yerda bog’lanadi.
Endpoint xavfsizligi, EDR, XDR, DLP va SIEM — bitta byudjet uchun raqobatlashadigan besh mahsulot emas. Har bir nom himoya qayerda turishini va qaysi savolga javob berishini bildiradi. Ularni bir-birining muqobili deb o’qish — bitta imkoniyat uchun ikki marta to’lab, boshqasini umuman yopmay qoldirishning eng qisqa yo’li.
Endpoint xavfsizligi — mashinaning o’zida yashaydigan juftlik. EPP faylga ishga tushishga ruxsat berilishini hal qiladi: hukm jarayon boshlanishidan OLDIN chiqadi, shuning uchun shu yerda to’xtatilgan hujum orqasida tekshiriladigan zarar qoldirmaydi. EDR esa nimadir allaqachon ishga tushgan deb hisoblaydi va u nima qilganini aytib bera oladigan yozuvni saqlaydi: qaysi jarayon qaysinisini boshlagan, nima yozgan, qayerga ulangan.
| Intizom | Nimani kuzatadi | Qaysi savolga javob beradi |
|---|---|---|
| EPP — endpoint himoyasi | Faylni, u ishga tushishidan oldin | Bu faylga ishga tushishga ruxsat berish mumkinmi? |
| EDR — aniqlash va javob | Mashinadagi jarayonlar, xotira va ulanishlar | Bu xostda nima sodir bo’ldi va uni kim boshladi? |
| SIEM — hodisalarni boshqarish | Infratuzilmadagi barcha manbalarning loglari | Butun kontur nimani ko’rdi? |
| XDR — kengaytirilgan aniqlash | Endpoint, identifikatsiya va tarmoq signallari birgalikda | Bu bitta hujummi yoki alohida hodisalarmi? |
| DLP — ma’lumot sizishining oldini olish | Maxfiy ma’lumotning harakati | Bu ma’lumot qayerga ketmoqda va ketishi kerakmi? |
HEDE — Helxis Endpoint Defense Engine. Beshala modul bitta platformaning qismlari: bitta ma’lumot modeli, bitta insident oqimi, bitta konsol — shuning uchun endpointdagi jarayon konturdagi autentifikatsiya bilan bitta ekranda bog’lanadi. Modullar joylashtirishga qarab yoqiladi: mijoz o’ziga kerakligidan boshlaydi va qolganini o’sha konsolga qo’shadi — na yangi tizim, na ikkinchi panel kerak bo’ladi.
Har bir himoya vositasi o’z hodisasini o’zi ko’radi: antivirus — fayl haqida, firewall — ulanish haqida, WAF — so’rov haqida. Hech biri boshqasining ko’rganini bilmaydi. Hujum esa aynan ular orasidan o’tadi.
Platforma ularning o’rnini bosmaydi — ustiga yagona kuzatuv, aniqlash va hisobga olish qatlamini quradi. Bitta so’rov barcha manbalar bo’yicha ishlaydi, chunki hodisalar bir xil modelga keltirilgan: bir xil nomdagi maydon vendordan qat’i nazar bir xil narsani anglatadi.
Shu sababli qidiruv, korelatsiya qoidalari, dashbordlar va hisobotlar manba turiga bog’lanmaydi. Yangi vendor qo’shilganda qoidalarni qayta yozish shart emas.
| Bosqich | Nima bajariladi |
|---|---|
| Qabul | Manba tekshiriladi, diskka buferlanadi, dublikat va yo’qotishlar nazorat qilinadi |
| Qayta ishlash | Razbor, yagona modelga normalizatsiya, kategoriyalash, kontekst bilan boyitish |
| Aniqlash | Korelatsiya qoidalari, xatti-harakat profillari, ogohlantirishlar shakllantiriladi |
| Taqdim etish | Insidentlar, dashbordlar, hisobotlar va tashqi tizimlarga uzatish |
Hodisa yoshiga, qatlam hajmiga yoki band joyga qarab qatlamlar orasida ko’chadi. Muddatlar har manba sinfi uchun alohida beriladi; insidentga kirgan hodisalar uchun alohida siyosat ishlaydi.
| Profil | Hot | Warm | Cold-archive |
|---|---|---|---|
| Qisqa · 30 kun | 7 kun | 23 kun | — |
| Bazaviy · 90 kun | 14 kun | 76 kun | siyosat bo’yicha |
| Kengaytirilgan · 180 kun | 30 kun | 150 kun | 365 kungacha |
| Yillik · 365 kun | 30 kun | 180 kun | 185 kun |
| Uzoq · 1825 kun | 30 kun | 180 kun | 1615 kun |
Profillar konfiguratsiya namunasi sifatida keltirilgan. Matnli jurnallarda tipik siqish koeffitsienti 6–12×.
To’rt variantda funksionallik bir xil — faqat obrazlarni yetkazish usuli va masshtablash mexanizmi farq qiladi.
| Variant | Yetkazish | Masshtablash |
|---|---|---|
| Jismoniy muhit | RPM / DEB paketlari, ISO obraz | Tugun va disk javonlarini qo’shish |
| Virtualizatsiya | OVA / QCOW2 / VHDX obrazlari | VM resurslarini o’zgartirish, klonlash |
| Xususiy va ommaviy bulut | VM obrazlari, IaC shablonlari | Masshtablash guruhlari, obyekt xotirasi |
| Konteyner va gibrid | OCI obrazlari, Helm-chartlar | Replikalar sonini o’zgartirish, StatefulSet |
Bir necha maydonchali infratuzilma uchun “markaziy tugun — uzoq maydonchalar” sxemasi: maydonchada Helix Collector hodisalarni mahalliy qabul qiladi, 1–72 soat buferlaydi va TLS 1.2/1.3 orqali markazga uzatadi.
Yo’q. EDR bitta mashinada nima bo’lganini chuqur ko’rsatadi, lekin faqat o’sha mashinani ko’radi. SIEM butun konturni ko’radi, lekin unga manbalar yuborgan narsanigina biladi. Hujum odatda ikkalasida ham iz qoldiradi: endpointda — jarayon, konturda — autentifikatsiya va ulanish. Shuning uchun ular bitta konsolda yonma-yon turadi.
Antivirus asosan allaqachon zararli deb tanilgan faylning imzosini qidiradi. HEDE ning ishga tushishdan oldingi skaneri esa fayl tuzilishini o’qiydi: import jadvali qanday chaqiruvlar birikmasini so’rayotgani, seksiya entropiyasi, imzoning haqiqiyligi va YARA to’plami — va bergan har bir bali uchun dalil qoldiradi. Shu sababli u hech kim ko’rmagan namunani ham baholay oladi va nega aynan shunday baholaganini ko’rsata oladi.
Yo’q — va bu ataylab shunday. Endpoint moduli faylni ishga tushishidan oldin o’zi baholaydi; qolgan modullar esa sizda allaqachon bor vositalarning hodisalarini bir joyga yig’ib, o’zaro bog’laydi va insidentni shakllantiradi. Vositalar o’z ishini bajaraveradi, platforma ular orasidagi bo’shliqni yopadi.
Bazaviy yetkazmada 600+ manba turi uchun tayyor razbor qoidalari bor. Ro’yxatda yo’q manba uchun dekoder konfiguratsiya bilan yoziladi — mahsulot kodi o’zgartirilmaydi va komponentlar qayta yig’ilmaydi.
Yo’q. Agent konechnaya tochkada kerak bo’lganda ishlatiladi; tarmoq uskunasi, himoya vositalari va bulut xizmatlari agentsiz — Syslog, REST API, WMI, SNMP yoki provayder API orqali yig’iladi.
Manba yozuvi o’zgartirilmasdan saqlanadi, har yozuv uchun nazorat summasi hisoblanadi va bloklar hash-zanjiriga kiritiladi. Buzilish yoki o’chirish rejali fon tekshiruvida aniqlanadi; davr bo’yicha yaxlitlik hisoboti tayyorlanadi.
Bu oqim hajmi va saqlash muddatiga bog’liq. Matnli jurnallarda tipik siqish koeffitsienti 6–12×, saqlash esa uch qatlamga bo’lingan — eng qimmat NVMe faqat hot qatlam uchun kerak. Aniq hisob-kitob oqimingiz o’lchangandan keyin beriladi.
Qaysi manbalar, qanday hajm va qancha muddat kerakligini aniqlaymiz — shundan keyin komponentlar va saqlash hajmi bo’yicha aniq taklif beramiz.
