57 lines
3.5 KiB
Markdown
57 lines
3.5 KiB
Markdown
# Demo Scenario: ИБ
|
|
|
|
Цель: показать пользу AWatch-rus для ИБ как explainable security analytics
|
|
слоя без заявления продукта как SIEM, EDR или классической DLP.
|
|
|
|
Данные: только синтетический dataset
|
|
`docs/fixtures/pilot-v1-demo/demo-seed-data.json` и demo evidence pack.
|
|
|
|
## Что показывать
|
|
|
|
- роль `Безопасность`;
|
|
- UEBA Score v1;
|
|
- incident candidates;
|
|
- Risk Narrative;
|
|
- `Рекомендуемые действия ИБ`;
|
|
- security correlation, если она есть в текущем отчете;
|
|
- ограничения pfSense readiness как `contract_only`.
|
|
|
|
## Порядок показа
|
|
|
|
1. Выбрать роль `Безопасность`.
|
|
2. Показать UEBA Score v1: numeric score, severity и reason codes.
|
|
3. Показать кандидата на проверку `sec-demo-004`.
|
|
4. Объяснить, что severity является сигналом для ручной проверки, а не
|
|
автоматическим вердиктом.
|
|
5. Показать Risk Narrative: как Workforce KPI, UEBA, coverage и candidate
|
|
складываются в общий риск.
|
|
6. Показать `Рекомендуемые действия ИБ`: передать кандидата в ИБ, провести
|
|
проверку и зафиксировать решение.
|
|
7. При необходимости открыть demo evidence pack:
|
|
`docs/fixtures/pilot-v1-demo/evidence-pack/security-technical-summary.md`.
|
|
|
|
## Какие выводы делать
|
|
|
|
- ИБ получает объяснимую очередь проверки без ML/LLM.
|
|
- UEBA Score v1 rule-based: причины видны через reason codes.
|
|
- Кандидаты отделены от подтвержденных инцидентов.
|
|
- pfSense показан честно: contract/readiness layer, не production ingestion.
|
|
- Action Center помогает не потерять ручное действие и срок.
|
|
|
|
## Какие вопросы ожидать
|
|
|
|
| Вопрос заказчика | Ответ |
|
|
| --- | --- |
|
|
| Это SIEM-корреляция? | Нет. Это security analytics и readiness-контракты поверх существующих сигналов. |
|
|
| UEBA использует ML? | Нет. UEBA Score v1 rule-based, детерминированный и объяснимый. |
|
|
| Что значит incident candidate? | Это кандидат на ручную проверку, не подтвержденный инцидент. |
|
|
| pfSense уже собирается в production? | Нет. Для Pilot v1 pfSense readiness обозначен как `contract_only`, если ingestion отдельно не включен и не принят. |
|
|
| Можно ли автоматически блокировать пользователя? | Нет. Auto-remediation и блокировки не реализуются в этом demo-pack. |
|
|
|
|
## Границы демонстрации
|
|
|
|
- Не заявлять DLP/SIEM/EDR функциональность.
|
|
- Не обещать автоматическую блокировку, карантин или изменение политик.
|
|
- Не показывать реальные сетевые адреса; использовать только TEST-NET примеры.
|
|
- Не смешивать ИБ-экран с управленческим Workforce Dashboard.
|