Мониторинг. Как быстрая реакция на события безопасности помогает отражать кибератаки
- Стандартные превентивные средства кибербезопасности сами по себе не помогут уберечься от всех киберугроз.
- Эффективная защита строится на проактивном сборе и постоянном мониторинге событий кибербезопасности.
- Чтобы определить критически важные участки для наблюдения, мы рекомендуем применять анализ воздействия на бизнес (business impact analysis, BIA).
- Центр мониторинга и реагирования на инциденты кибербезопасности (security operations center, SOC) обеспечивает полноценный контроль над событиями в инфраструктуре.
- Прежде чем запускать собственный SOC, компании следует принять взвешенное решение о том, набирать ли свою команду или отдать мониторинг на аутсорсинг.
Сегодняшние киберпреступники научились тщательно маскировать свои действия, и это сильно усложняет задачу по обеспечению кибербезопасности. Типичный пример: на компьютере HR-менеджера пользователь начинает смотреть, какие права есть у учетной записи, запускать легитимные средства удаленного подключения к интернету, выполнять другие действия, необычные для сотрудника из отдела кадров.
Превентивные средства кибербезопасности — антивирусы, межсетевые экраны, системы обнаружения вторжений — в этой ситуации не будут блокировать такие действия, по крайней мере, при стандартных настройках. Они ищут точные признаки кибератак, например попытки установить соединение с известным небезопасным ресурсом, загрузить вредоносный файл или запустить на компьютере средства слежения. А запросить права своей учетной записи или удаленно подключиться к сети с помощью стандартных программ — вполне легитимные действия для большинства компаний.
Однако специалист по безопасности поймет, как события могут развиваться дальше. Если на компьютер HR-менеджера проник злоумышленник, то он сможет в любое время открыть удаленное подключение к этой рабочей станции и внедрить вредоносное программное обеспечение, а информация об учетных записях поможет ему развить атаку.
Чтобы исключить потенциальный взлом, такие действия нужно отслеживать и контролировать. Именно в этом основная задача мониторинга кибербезопасности.
Без мониторинга угроз компания, скорее всего, узнает о взломе постфактум, когда не заметить его станет невозможно, например при шифровании данных на серверах и рабочих станциях. Проактивный же подход позволяет своевременно выявлять нелегитимную активность через централизованный сбор, систематизацию и анализ событий безопасности. Работать это может по-разному.
Некоторые организации выделяют одного специалиста, который наблюдает за алертами — оповещениями средств защиты, например антивируса, о подозрительной активности. В какой-то степени это тоже мониторинг, но реальную защиту он обеспечить не может: эксперт будет контролировать лишь небольшой участок инфраструктуры.
Более продвинутый вариант — и так делают многие компании — внедрить SIEM-систему (security information and event management, система управления событиями безопасности). Она будет собирать данные с разных участков инфраструктуры, составлять цепочки событий и отслеживать тревожные сигналы. К сожалению, этого тоже может быть недостаточно, поскольку просто обнаружить проблему — мало.
Для зрелого подхода к кибербезопасности и полноценной защиты нужно еще:
- Иметь возможность заранее предусмотреть, с какими инцидентами может столкнуться компания.
- Если событие произошло, проанализировать, что именно случилось.
- Правильно отреагировать на инцидент.
- Провести работу над ошибками, чтобы в будущем ситуация не повторилась.
Чтобы выстроить такие процессы, понадобится интегрировать мониторинг событий безопасности с проактивным анализом угроз и реагированием на инциденты. Эффективнее делать это в рамках специального подразделения, которое так и называется: центр мониторинга и реагирования на киберугрозы (security operations center, SOC). Он может работать как на собственных ресурсах компании, так и с привлечением сторонней команды..
SOC связывает технологии, людей и процессы кибербезопасности: такое сочетание обеспечивает оптимальную защиту в условиях, когда атаки становятся все сложнее.
Дальше расскажем, как работает SOC и как добиться от него максимальных результатов.
Прежде чем внедрять мониторинг, компании нужно позаботиться о превентивных средствах защиты, которые помогут уберечься от типовых атак. Этот этап работы можно обозначить как предотвращение (prevention). Внедренные средства защиты информации (СЗИ) смогут автоматически блокировать известные атаки, но многие злоумышленники давно научились их обходить. Чтобы справиться с «невидимыми» угрозами, компании требуются иные инструменты, в частности, системы мониторинга.
По своей сути этап prevention не входит непосредственно в процесс мониторинга угроз, но является его важным предшественником.
Как мы говорили выше, основная часть компаний выстраивает мониторинг кибербезопасности на базе SIEM-систем. В этом случае процесс можно разложить на следующие этапы:
- В сети устанавливаются СЗИ: антивирусы, межсетевые экраны, сетевые сканеры безопасности и прочие системы, основная цель которых — в автоматическом режиме искать признаки взлома.
- С этих СЗИ, а также с конечных устройств, сетевого оборудования, приложений и других источников собираются события безопасности — пассивно или с установкой программ-агентов. События попадают в SIEM-систему, где к ним применяются правила корреляции. По итогу этого анализа удается определить потенциально опасные действия. Этот этап работы можно обозначить как обнаружение (detection), и он уже входит в процесс мониторинга угроз.
- Обнаруженные правилами тревожные сигналы анализирует команда специалистов. Если угроза подтверждается, они инициируют реагирование. В его рамках могут быть использованы специализированные системы класса IRP/SOAR
, которые запускают (по команде аналитика или автоматически на базе преднастроенных правил) сценарии реагирования для выявленного типа инцидента — плейбуки. Этот этап работы можно обозначить как реагирование (response).
SOC дополняет цикл еще двумя этапами: непрерывное выявление уязвимостей (prediction) — чтобы своевременно их закрывать и снижать вероятность эксплуатации киберпреступниками — и извлечение уроков на будущее (lessons learned) — например, чтобы определить, какие события можно было бы предотвратить на этапе prevention, и дополнить политики срабатывания СЗИ. В совокупности это позволяет сформировать наиболее полный подход к защите.
Одна крупная компания обратилась к нам за аутсорсингом SOC. Мы наладили обмен данными между SIEM-системой нашего SOC с антивирусом заказчика. В какой-то момент антивирус обнаружил на почтовом сервере вредоносный скрипт для удаленного выполнения команд, так называемый веб-шелл. Информация поступила в SOC, и началась работа.
- Оперативно отправили заказчику первичное уведомление и начали разбираться.
- В ходе анализа обнаружили скомпрометированную учетную запись и еще несколько серверов с веб-шеллом. Параллельно выяснилось, что злоумышленник получил учетную запись с правами администратора домена и скопировал все логины и пароли пользователей.
- Подготовили рекомендации по уменьшению ущерба. Например, предложили изолировать серверы и сбросить пароли ко всем учетным записям.
- Штатными средствами SOC аналитикам не удалось выяснить, как злоумышленник попал в инфраструктуру. Поэтому к процессу подключили коллег — специалистов по расследованию инцидентов.
- Совместными усилиями определили точки присутствия злоумышленника и все скомпрометированные учетные записи.
- Расследование позволило выяснить, как хакер проник в инфраструктуру — через внешний сервер c сайтом HR-отдела для тестирования сотрудников, который компания запустила до того, как обратиться к нам. Уязвимость ресурса позволяла любому посетителю узнать логины и пароли работников, заходивших на сайт.
- Ключевой причиной инцидента оказался недостаток внимания к безопасности на этапе prediction.
- По итогам расследования команда подготовила для заказчика рекомендации, как устранить последствия атаки и доработать процессы кибербезопасности.
-
PredictionЭтот этап был пропущен, что и привело к инциденту
-
PreventionВ компании работал антивирус в связке с SIEM внешнего SOC
-
DetectionПри обнаружении вредоносного скрипта информация сразу поступила в SOC
-
ResponseАналитики начали разбор инцидента, локализовали источник угрозы, инициировали расследование.Здесь стало очевидно, что причиной инцидента стало отсутствие работы с уязвимостями и недостатками инфраструктуры
-
Lessons learnedПодготовлены рекомендации для улучшения процессов кибербезопасности, чтобы не допустить повторения атаки
Кроме стандартных инцидентов кибербезопасности, в компании могут произойти и иные события, способные нарушить непрерывность бизнес-процессов. Такие инциденты также важно выявлять в SOC, а значит, их следует ставить на мониторинг.
Возьмем для примера локальное очистное сооружение. Атака на автоматизированную систему управления технологическими процессами (АСУ ТП), ошибка оператора или нерегламентированная команда могут вызвать сброс неочищенных стоков. Итог — экологическая катастрофа, огромные штрафы, а то и уголовные дела против ответственных лиц. Чтобы снизить ущерб от инцидента, можно наладить круглосуточный мониторинг режима работы датчика задвижки: если она откроется, например, при неактивном режиме очистки, инженеры смогут немедленно принять меры. SOC — подходящая технологическая база для этого, если подготовить правила корреляции событий в SIEM и написать плейбуки.
Этот пример показывает, как стандартный инцидент кибербезопасности (атака на АСУ ТП) превращается в инцидент бизнес-уровня и насколько важно расширять плейбук за пределы чистой кибербезопасности. Ведь в этом случае, чтобы инцидент не нарушил непрерывность процессов, реагировать на него должны самые разные бизнес-подразделения: пресс-служба, инженеры, юристы и т. д.
Как же выявлять такие события и обогащать тем самым картину для мониторинга? Мы рекомендуем провести анализ воздействия на бизнес (business impact analysis, BIA). Он даст реальное представление о том, чем грозят разные инциденты, и поможет найти факторы риска — в том числе и за пределами кибербезопасности. Это могут быть технические уязвимости IT-сервисов, проблемы взаимодействия между системами, которые нарушают ход технологических операций, сбои бизнес-процессов. В кейсе из предыдущего раздела вовремя проведенный BIA помог бы найти уязвимый HR-портал.
