Задачу решают системы мониторинга и управления событиями ИБ (SIEM). Они автоматизируют и централизуют управление безопасностью, и помогают оперативно настроить всю защитную инфраструктуру на отражение новых угроз.  Как это работает, разберем на примере системы «СёрчИнформ Мониторинг безопасности» («СёрчИнформ SIEM»).

Эксперты по киберразведке в специализированных центрах (Cert) изучают инциденты и выявляют индикаторы угроз (или индикаторы компрометации) — конкретные цифровые следы и приметы, которые оставляют хакеры при подготовке или проведении атаки. Это могут быть подозрительные сетевые адреса, имена вредоносных программ, странные команды или цифровые отпечатки (хеши) опасных файлов. Сами по себе индикаторы не защищают, но служат ориентирами для ИБ-специалистов: компания знает тактики хакеров, видит уязвимые места и успевает закрыть замок до прихода вора. Без них защитники ищут иголку в стоге сена, а с ними — проверяют все происходящее в инфраструктуре по конкретному списку примет.

В свою очередь, системы мониторинга и управления событиями ИБ (SIEM) — это диспетчерский пункт защиты компании, который позволяет эти проверки автоматизировать. «СёрчИнформ Мониторинг безопасности» («СёрчИнформ SIEM») собирает сообщения о событиях безопасности с ИТ-оборудования, ПО и средств защиты (СЗИ) в компании, анализирует их в реальном времени и сообщает об инцидентах, сопоставляя сигналы от разных источников. Получается «взгляд сверху» на всю ИТ-инфраструктуру.

С данными киберразведки система превращается в «цифровой радар», который обнаруживает не только сбои, ошибки и разрозненные нарушения, но конкретные целевые атаки. Для этого индикаторы угроз должны оперативно попадать в систему и регулярно обновляться. Но базы угроз растут непрерывно, а вносить сотни новых индикаторов вручную — долго и неэффективно. Поэтому в «СёрчИнформ Мониторинг безопасности» их импорт автоматизирован.

Баз данных киберразведки много, как правило, они открытые, либо распространяются внутри сообществ. Источником экспертизы могут быть:

• Государственные центры. Специальные ведомства (например, ФинЦЕРТ для банков или ФСТЭК) собирают данные об атаках. Одни присылают готовые файлы для СЗИ, другие — подробные текстовые отчеты для ручного изучения.
• Профессиональные сообщества. Группы экспертов, которые обмениваются свежим опытом борьбы с хакерами. Пожалуй, самый известный пример такой работы — матрица MITTRE ATT&CK.
• Разработчики антивирусов и другого ИБ-софта. Поставляют готовые базы угроз, которые, как правило, сразу интегрированы с СЗИ. Например, в «СёрчИнформ Мониторинг безопасности» доступны 9 разных баз данных уязвимостей (БДУ), включая базу ФСТЭК.

Если индикаторы компрометации получены в структурированном виде (например, csv-таблицы или файлы формата STIX 2.1, которые рассылает ФинЦЕРТ), «СёрчИнформ Мониторинг безопасности» встроит их в работу немедленно. Нужно только указать путь к папке, куда скачиваются архивы с индикаторами — затем система будет несколько раз в минуту вычитывать эти файлы, распаковывать их и на лету обновлять «черные списки». При необходимости списки можно верифицировать вручную.

Импортированные индикаторы используются как «триггеры» для правил корреляции. Любое обращение пользователя, оборудования или ПО к ресурсу из загруженного списка становится инцидентом. Система мгновенно сверяет текущие события с базой индикаторов и, если находит совпадение (например, сотрудник кликнул на мошенническую ссылку или программа связалась с сервером хакеров), тут же бьет тревогу и уведомляет ИБ-аналитика.

Просто загрузить индикаторы мало — они могут создать цифровой шум. Нужен четкий цикл работы:

• Настройка правил. Импортированные индикаторы распределяют по черным (запрещенным) и белым (разрешенным) спискам и привязывают к правилам корреляции: проверки трафика, входов, запуска процессов и др. В «Мониторинге безопасности» эти правила в основном готовые, их более 500, но можно создать свои — и все легко донастроить. Так, достаточно один раз задать списки исключений и затем включать их как опцию в нужных правилах корреляции. По спискам правила будут или отбирать события, соответствующие индикаторам, либо, наоборот, исключать их.
  Помогает, что «СёрчИнформ Мониторинг безопасности» сама по себе спроектирована с фокусом на защиту инфраструктуры от компрометации. Большинство готовых правил нацелены на раннее обнаружение проблем, исключая избыточные модели развития атак — это экономит вычислительные ресурсы. Импорт индикаторов усиливает эффект.Рис.2. Настройка правила корреляции в «СёрчИнформ Мониторинг безопасности»
  Правила выявления инцидентов можно уточнить, включив сопоставление событий из разных источников. Механизм кросс-корреляции позволит, например, связать сетевые события (NetFlow, Syslog) с действиями пользователей на рабочих станциях. Такие связки настраиваются в простом графическом конструкторе без программирования.
• Страховка от ошибок. Чтобы при изменении фильтров случайно не сломать логику контроля, стоит всегда делать копию рабочего правила. Фильтрация по белым/черным спискам с индикаторами угроз применяется к копии, а базовое правило остается нетронутым. Это дает возможность экспериментировать с настройками без риска потерять важные события.
• Приоритизация мониторинга. Индикаторов угроз тысячи, правил корреляции сотни — чтобы не закопаться в сработках, нужно сфокусировать контроль в самых критичных точках. В первую очередь отслеживайте отклонения от нормы: нетипичные права, подозрительные сетевые адреса, появление опасных файлов или пустые поля в системных отчетах для источников типа контроллеров домена, сетевого оборудования, СЗИ и критичных бизнес-систем. Количество уведомлений должно быть соразмерно силе вашей команды. Как раз тут помогут списки исключений, отсеяв тысячи ложных срабатываний.Рис. 3. Настройка правила кросс-корреляции в «СёрчИнформ Мониторинг безопасности»
  
• Регулярность процесса. Работа должна идти по кругу: загрузили свежие индикаторы — проверили систему — нашли причину сбоя — устранили уязвимость — обновили списки.

Такой подход позволяет накапливать информацию об угрозах и адаптировать систему к изменениям. В итоге выявлять инциденты и проактивно с ними работать.

Правила корреляции, усиленные индикаторами угроз, выявляют проблемы — задача ИБ-специалиста их устранить. Для этого в «СёрчИнформ Мониторинг безопасности» есть инструменты для анализа и расследования, реагирования и отчетности.

После сработки правила корреляции можно дополнить картину инцидента, воспользовавшись Картой сети — она покажет затронутые узлы в инфраструктуре и заодно подсветит уязвимости на этих узлах, сверившись с интегрированными БДУ. Или Картой сетевых адресов (Geo IP): она наглядно визуализирует, откуда происходят попытки внешних подключений, соотнесет их с географическими аномалиями и данными киберразведки, помогая быстро зафиксировать компрометацию аккаунтов. Оценить масштабы проблемы поможет панель визуализации (дашборд): покажет все статистические аномалии в понятных представлениях.

Встроенный менеджер задач (Task Manager) в «Мониторинге безопасности» позволяет ИБ-отделу вести скоординированную работу непосредственно внутри системы. В рамках одной задачи аналитики могут объединять разрозненные сработки по индикаторам компрометации, добавлять комментарии, отслеживать динамику и экспортировать выявленную цепочку атаки обратно в правило кросс-корреляции.

Если триггер по индикаторам сработал (например, зафиксирован адрес управляющего сервера C2 или запуск процесса с известным вредоносным хешем), «Мониторинг безопасности» может «дотянуться» до любого элемента инфраструктуры и запустить заранее прописанные сценарии (скрипты автоматического реагирования). Например, система отдаст команду контроллеру домена на блокировку скомпрометированной учетной записи или инициирует изоляцию хоста через антивирусное ПО.

«СёрчИнформ Мониторинг безопасности» позволяет напрямую выгружать и адресовать карточки инцидентов регуляторам (через ГосСОПКА) или во внешние центры мониторинга инцидентов (SOC) и системы автоматизированного реагирования (IRP). Это особенно полезно для компаний из критических отраслей, которые должны отчитываться о любых атаках и угрозах по 187-ФЗ.

Данные киберразведки — это ценное сырье для защиты, но сами по себе они не работают. Чтобы они приносили пользу, их нужно автоматически импортировать в централизованную систему управления безопасностью (SIEM). «СёрчИнформ Мониторинг безопасности» («СёрчИнформ SIEM») берет на себя рутину по обновлению баз угроз, сопоставляет входящие события с индикаторами компрометации и позволяет остановить сложные атаки до того, как компании будет нанесен ущерб.

Попробовать систему в полном функционале можно бесплатно в течение 30 дней, оставьте заявку на сайте вендора .

Реклама ООО "Серчинформ" erid: 2W5zFH3GSv5