Оценка уязвимостей: методики, порядок проведения и анализ критичности рисков
Узнать большеПо данным исследования аналитиков Solar JSOC, многие российские компании подвергаются кибератакам из-за отсутствия непрерывного мониторинга. Они вовремя не замечают вредоносную активность и не успевают отреагировать. Рассказываем, какие ошибки в анализе безопасности IT-инфраструктуры совершают компании и как их избежать.
Ошибка 1: отсутствие круглосуточного непрерывного мониторинга
В компаниях возникают «слепые зоны» — недостаточный контроль ИТ-инфраструктуры. Например, в рабочие часы угрозы быстро обнаруживаются, и инциденты удается предотвращать сразу. А ночью или в выходные дни корпоративные системы обычно никто не контролирует. Рассчитывая на это, злоумышленники выбирают удобное время и начинают действовать. В таком случае атаку не получится распознать на старте и предотвратить без последствий для бизнеса.
Как организовать непрерывный мониторинг, чтобы избежать «слепых зон»:
- Устроить посменные дежурства, если в компании есть штат ИБ-специалистов.
- Привлечь сторонний центр мониторинга и противодействия киберугрозам (SOC), если нет своей команды экспертов.
Оперативное круглосуточное наблюдение — залог своевременного реагирования на угрозы и предотвращения ущерба для компании. Непрерывный мониторинг IT-инфраструктуры 24/7 — один из ключевых элементов защиты, без которого полноценная безопасность бизнеса невозможна.
Если не уверены, что справитесь своими силами, можете подключить сервис мониторинга информационной безопасности SOC от «Солар». Наши эксперты возьмут на себя круглосуточный мониторинг, оценку уязвимостей и анализ инцидентов ИБ. (Кнопка) Узнать больше
Ошибка 2: недостаточный уровень логирования и мониторинга
Непонимание важности логирования и непрерывного мониторинга — одна из самых серьезных ошибок, которые допускают компании. Часто организации ограничиваются базовой настройкой журналов событий или выборочным сбором данных. Это приводит к появлению пробелов в знаниях и создает условия для незаметного развития атак до того момента, когда последствия уже становятся критичными.
Полноценное логирование должно охватывать все уровни IT-инфраструктуры: сетевое оборудование, серверы, рабочие станции, базы данных, системы аутентификации и другие ИБ-решения, бизнес-приложения.
При выборе уровня логирования важно при сборе событий настроить приоритезацию, чтобы из общей массы выделить самые критичные. В итоге события, которые будут собраны с оборудования, позволят не только выявить атаки, но и провести расследования инцидентов. В то же время просто собирать данные недостаточно — их нужно анализировать. В этом помогут системы SIEM (Security Information and Event Management), которые проводят корреляцию событий, выявляют аномалии и оповещают о возможных инцидентах ИБ. С помощью таких решений можно не только ускорить обнаружение угроз, но и подготовить доказательную базу для расследований.
Специалисты по мониторингу и предотвращению кибератак рекомендуют уделить особое внимание качеству логов. При подключении системы важно убедиться, что события аудита содержат всю необходимую информацию для корректной идентификации активности в соответствии с требованиями законодательства. Полнота и корректность собранных данных играет ключевую роль в анализе безопасности IT-инфраструктуры и мониторинге инцидентов.
Ошибка 3: неполная интеграция инструментов и процессов
Многие компании используют для непрерывного мониторинга разрозненные инструменты, которые работают изолированно друг от друга. По факту это EDR, межсетевые экраны, антивирусы и другие, которые фиксируют события ИБ. Но если не увидеть, чем могут быть связаны между собой эти события, у специалистов не будет единого контекста инцидента. Даже если в итоге и удастся все сопоставить, время будет упущено.
Например, SIEM-система показала необычную сетевую активность, а EDR — подозрительное действие на конечной точке. Инструменты безопасности не были до конца интегрированы, поэтому специалисты не связали события друг с другом и пытались решить каждую проблему отдельно. На самом деле развивалась целенаправленная атака, которую нужно было устранять комплексно.
Разумный подход к непрерывному мониторингу и противодействию атакам заключается в интеграции инструментов в единую экосистему безопасности. SIEM выполняет роль централизованной платформы, куда стекаются данные из EDR, NDR, систем управления уязвимостями и других источников. В связке эти решения дают полный контекст: кто и как атаковал, через какую уязвимость, какие участки ИТ-инфраструктуры пострадали. Такой подход сокращает время на расследование и ускоряет реагирование.
Компании должны разрабатывать архитектуру безопасности с упором на интеграцию ИБ-решений, настройку коннекторов для обмена данными между системами. Для автоматизации реагирования на инциденты ИБ можно внедрить SOAR-платформу. Если используете Solar SIEM, то такое решение дополнительно интегрировать не нужно — в системе автоматического обнаружения угроз уже реализован модуль ручного и автоматизированного реагирования. Качественная интеграция систем безопасности способствует тому, что компания получает полный контекст угроз, в результате чего вовремя следует реакция на инциденты.
Ошибка 4: ошибки в настройке правил корреляции и анализа
Даже если компания внедрила системы непрерывного мониторинга, такие как SIEM или EDR, из-за некорректной настройки правил корреляции и механизмов аналитики есть риск пропустить часть инцидентов. Какие проблемы могут возникнуть:
- Ложные срабатывания — ситуации, когда системы сигнализируют об опасности, которой по факту нет. Аналитикам приходится перепроверять такие сигналы, рискуя пропустить реальные угрозы.
- Пропущенные инциденты безопасности — угрозы, которые были проигнорированы из-за того, что системы непрерывного мониторинга неправильно настроены либо правила корреляции устарели.
- Большой поток легитимной активности — ситуации, когда по факту происходит «согласованное» действие администраторов, внутренних систем безопасности, активности различных инструментов, а логика работы системы корректно выявляет признаки атаки.
Чтобы избежать рисков, необходимо регулярно адаптировать и обновлять правила корреляции и анализа.
При настройке учитывайте особенности ИТ-инфраструктуры, актуальный ландшафт киберугроз, распространенные тактики злоумышленников. Можно ориентироваться на базовые правила от поставщика систем безопасности, кастомизируя их под себя. Рекомендуем обогащать их с помощью внешних источников, например Threat Intelligence.
Постоянная работа над адаптацией правил корреляций под инфраструктуру способствует автоматическому обнаружению угроз, сокращает количество ложных тревог и повышает эффективность непрерывного мониторинга.
Ошибка 5: пренебрежение обновлением систем безопасности
Организовать мониторинг инцидентов безопасности и на этом успокоиться не выйдет. Нужно следить за обновлениями систем ИБ и регулярно проводить патчинг. Если компания продолжит работать на устаревших версиях, злоумышленники получат точки входа для атак. Отсутствие обновлений приведет к тому, что даже правильно настроенные инструменты для непрерывного мониторинга и автоматического обнаружения угроз начнут пропускать подозрительную активность. У хакеров появится серьезное преимущество — с помощью ботов и автоматизированных сканеров они будут выявлять уязвимости и эксплуатировать их.
Снизить риски поможет системный процесс управления обновлениями. Что он включает:
- Регулярный мониторинг обновлений от вендоров.
- Сканирование используемых систем на уязвимости, приоритизация слабых мест и своевременное устранение.
- Использование специализированных систем управления патчами.
Регулярное обновление систем непрерывного мониторинга и всего корпоративного ПО позволяет защищаться как от известных уязвимостей, так и от нетипичных атак.
Рекомендации по организации мониторинга
Непрерывный мониторинг инцидентов безопасности нужно правильно организовать. Не стоит пытаться охватить все, не понимая, что именно важно и критично.
Рекомендация от «Солара» — full-view для критичной инфраструктуры, усиленный контроль для промежуточного слоя и базовая гигиена для остальных.
Чтобы оценить уровень безопасности своей инфраструктуры, попробуйте ответить на 5 вопросов:
- Сможете ли вы по любому IP-адресу определить, где находится хост и кто за него отвечает?
- Сможете ли по учетной записи понять, кому она принадлежит и какие привилегии в системе у нее есть?
- Знаете/сможете быстро узнать, кто за последние два месяца подключался к ключевым системам вашего бизнеса?
- Проверяли ли вы хоть раз за последний месяц учетные записи уволенных сотрудников?
- Можете ли восстановить всю цепочку подключения к вашим ключевым системам? Кто, откуда, каким образом, с использованием каких инструментов подключается?
Если три и более раз вы ответили «нет», безопасность вашей инфраструктуры под угрозой. Чтобы изменить ситуацию, обратитесь за консультацией к экспертам ГК «Солар». Расскажем, как использовать сервис мониторинга и анализа инцидентов информационной безопасности.
