예방적 보안 도구가 회사를 보호하기에 충분하지 않은 이유
Представим, что на
Превентивные средства кибербезопасности — антивирусы, межсетевые экраны, системы обнаружения вторжений — в этой ситуации при стандартной настройке не будут блокировать такие действия. Они ищут точные признаки кибератак, например, попытки установить сетевое соединение с известным зловредным ресурсом, загрузить вредоносный файл или запустить на компьютере средства слежения. А запросить права своей учетной записи или удаленно подключиться к сети с помощью стандартных программ — вполне легитимные действия для большинства компаний.
Однако специалист по безопасности поймет, как события могут развиваться дальше. Если на компьютер HR-менеджера проник злоумышленник, то он сможет в любое время открыть удаленное подключение к этой рабочей станции и внедрить вредоносное программное обеспечение, а информация об учетных записях поможет ему развить атаку.
Чтобы исключить потенциальный взлом, такие действия нужно отслеживать и контролировать. Именно в этом и заключается основная задача мониторинга кибербезопасности.
효과적인 사이버 보안 모니터링이란?
Без мониторинга угроз компания, скорее всего, узнает о взломе постфактум, когда не заметить инцидент станет невозможно, например, при шифровании данных на серверах и рабочих станциях. В свою очередь, проактивный подход позволяет своевременно выявлять нелегитимную активность через централизованный сбор, систематизацию и анализ событий безопасности. Работать это может по-разному.
Некоторые организации выделяют одного специалиста, который наблюдает за алертами — оповещениями средств защиты, например, антивируса, о подозрительной активности. В какой-то степени это тоже мониторинг, но реальную защиту он обеспечить не может: эксперт будет контролировать лишь небольшой участок инфраструктуры.
고급 옵션 - 많은 옵션이 있습니다.SIEM 시스템(보안 이벤트 관리 시스템)을 구현하는 회사. 인프라의 여러 부분에서 데이터를 수집하고 이벤트 체인을 생성하며 경보를 추적합니다. 불행하게도 이것으로도 충분하지 않을 수 있습니다. 단순히 문제를 찾는 것만으로는 충분하지 않기 때문입니다.
SIEM-система будет собирать данные с разных участков инфраструктуры, составлять цепочки событий и отслеживать тревожные сигналы
Для зрелого подхода к кибербезопасности и полноценной защиты нужно еще:
- Иметь возможность заранее предусмотреть, с какими инцидентами может столкнуться компания.
- Если событие произошло, проанализировать, что именно случилось.
- Правильно отреагировать на инцидент.
- Провести работу над ошибками, чтобы в будущем ситуация не повторилась.
Такие процессы потребуют интегрировать мониторинг событий безопасности с проактивным анализом угроз и реагированием на инциденты.
Эффективнее делать это в рамках специального подразделения, которое так и называется: центр мониторинга и реагирования на киберугрозы (security operations center, SOC). Он может работать как на собственных ресурсах компании, так и с привлечением сторонней команды.
SOC связывает технологии, людей и процессы кибербезопасности: такое сочетание обеспечивает оптимальную защиту в условиях, когда атаки становятся все сложнее.
Дальше расскажем, как работает SOC и как добиться от него максимальных результатов.
SOC가 사고 모니터링을 보다 효율적으로 만드는 방법
Прежде чем внедрять мониторинг, компании нужно позаботиться о превентивных средствах защиты, которые помогут уберечься от типовых атак. Данный этап работы можно обозначить как предотвращение (prevention). Внедренные средства защиты информации (СЗИ) смогут автоматически блокировать известные атаки, но многие злоумышленники давно научились их обходить. Чтобы справиться с «невидимыми» угрозами, компании требуются иные средства, в частности, системы мониторинга.
По своей сути этап prevention не входит непосредственно в процесс мониторинга угроз, но является его важным предшественником.
Как мы говорили выше, основная часть компаний выстраивает мониторинг кибербезопасности на базе SIEM-систем. В этом случае процесс можно разложить на следующие этапы:
1. В сети устанавливаются СЗИ: антивирусы, межсетевые экраны, сетевые сканеры безопасности и прочие системы, основная цель которых — в автоматическом режиме искать признаки взлома.
2. С этих СЗИ, а также с конечных устройств, сетевого оборудования, приложений и других источников собираются события безопасности — пассивно или с установкой программ-агентов. События попадают в SIEM-систему, где к ним применяются правила корреляции. По итогу этого анализа удается определить потенциально опасные действия.
Этот этап работы можно обозначить как обнаружение (detection), и он уже входит в процесс мониторинга угроз.
3. Обнаруженные правилами тревожные сигналы анализирует команда специалистов. Если угроза подтверждается, они инициируют реагирование. В его рамках могут быть использованы специализированные системы класса IRP/SOAR (i), которые запускают (по команде аналитика или автоматически на базе преднастроенных правил) сценарии реагирования для выявленного типа инцидента — плейбуки.
Этот этап работы можно обозначить как реагирование (response).
(i) Incident Response Platform/Security Orchestration, Automation and Response — класс программных продуктов для координации систем безопасности и управления ими. Эти решения позволяют собирать из разных источников данные о событиях безопасности, обрабатывать их и автоматизировать типовые сценарии реагирования.
SOC дополняет цикл еще двумя этапами: непрерывное выявление уязвимостей (prediction) и извлечение уроков на будущее (lessons learned). Выявлять уязвимости на постоянной основе важно, чтобы своевременно их закрывать и снижать вероятность их эксплуатации киберпреступниками. А в ходе реагирования на инцидент компания может определить, какие события можно было бы предотвратить на этапе prevention, и вынести уроки, чтобы дополнить политики срабатывания СЗИ. В совокупности это позволяет сформировать наиболее полный подход к защите.
모니터링을 최대한 활용하는 방법
Кроме стандартных инцидентов кибербезопасности, в компании могут произойти и иные события, способные нарушить непрерывность бизнес-процессов. Такие инциденты также важно выявлять в SOC, а значит, их следует ставить на мониторинг.
Возьмем для примера локальное очистное сооружение. Атака на автоматизированную систему управления технологическими процессами (АСУ ТП), ошибка оператора или нерегламентированная команда могут вызвать сброс неочищенных стоков. Итог — экологическая катастрофа, огромные штрафы, а то и уголовные дела против ответственных лиц. Чтобы снизить ущерб от инцидента, можно наладить круглосуточный мониторинг режима работы датчика задвижки: если она откроется, например, при неактивном режиме очистки, инженеры смогут немедленно принять меры. SOC — подходящая технологическая база для этого, если подготовить правила корреляции событий в SIEM и написать плейбуки.
Как же выявлять такие события и обогащать тем самым картину для мониторинга? Мы рекомендуем провести анализ воздействия на бизнес (business impact analysis, BIA). Он даст реальное представление о том, чем грозят разные инциденты, и поможет найти факторы риска — в том числе и за пределами кибербезопасности.
На каждом из этапов (prediction, prevention, detection, response, lessons learned) этот анализ позволит оптимизировать процессы, приоритизировать риски, сформировать логику выявления и предотвращения различных атак и выработать эффективные меры реагирования, чтобы минимизировать возможный ущерб.
BIA можно провести самостоятельно, если в компании есть опытная команда экспертов, которые понимают процессы управления непрерывностью бизнеса и ориентируются в стандартах. Если таких специалистов в штате нет, к работе можно привлечь внешних экспертов.
모든 회사에 SOC가 필요합니까?
Ответ зависит от рисков, которые станут понятны по итогам BIA. При этом нужно рассматривать ущерб не только для ИТ-инфраструктуры: нарушить непрерывность бизнес-процессов могут, например, и сбои внешних сервисов, которые также важно выявлять в SOC.
По итогам анализа на одной чаше весов будут затраты на внедрение собственного или подключение внешнего SOC, а на другой — ущерб от запоздалой реакции на события безопасности. Руководство сможет принимать решения, оценивая конкретные сценарии. Если станет ясно, что потери от каких-либо инцидентов недопустимы для компании, а SOC при этом не создаст чрезмерную нагрузку на бюджет, есть смысл потратить средства, чтобы исключить те критические потери.
Может быть и наоборот: потенциальные потери бизнеса не оправдают расходы на SOC. Тогда компания может поставить на мониторинг отдельные ключевые события и выстроить процедуры реагирования на самые опасные сценарии.
SOC: 사내 또는 아웃소싱?
Когда компания определилась, что ей действительно нужен SOC, остается решить, будет ли он работать на ее собственных ресурсах или нужно обратиться в экспертную организацию.
Принять такое решение помогут следующие вопросы.
- 모니터링 측면에서 시스템의 중요도를 직접 평가할 수 있습니까?
Компании считают, что чем ценнее информация, которая хранится и обрабатывается в системе, тем критичнее эта система и тем важнее вести ее мониторинг. Но такой подход не всегда будет верным.
Если киберпреступники смогут добраться до этих критически важных систем и, например, выложить в сеть базу данных, защищать информацию поздно — ее уже скомпрометировали. Но на пути к цели злоумышленнику нужно получить доступ в инфраструктуру, провести разведку, создать себе учетную запись с максимальными правами и так далее. Задача компании — как можно раньше заметить нелегитимные действия и среагировать, не дожидаясь, пока взломщик получит доступ к критическим активам. Поэтому мониторинг должен охватывать не только такие активы, но и все точки, которые пройдет злоумышленник. Это могут быть почтовые серверы, рабочие станции пользователей, второстепенные информационные системы. Все это — элементы инфраструктуры, которые обычно не считаются критически важными.
Чтобы создать эффективный собственный SOC, компании нужны специалисты, которые смогут правильно ранжировать системы по значимости. Если у организации нет таких работников, ей помогут сторонние эксперты.
2.규제 기관에 사고를 보고하기 위한 법적 요구 사항을 준수해야 합니까?
Субъекты критической информационной инфраструктуры (КИИ) должны передавать информацию об инцидентах в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Для этого необходимо выстроить взаимодействие с регулятором, проработать регламенты, выполнить интеграцию, наладить автоматизированную передачу сведений об инцидентах и т. д.
Все это можно делать самостоятельно. Если же у компании нет возможности выделить собственные ресурсы на такую работу, можно поручить эти задачи внешнему SOC, у которого есть статус корпоративного центра ГосСОПКА.
삼.얼마나 빨리 모니터링을 시작해야 합니까?
Чтобы построить и ввести в работу свой SOC, компании может потребоваться несколько лет. SOC должен достичь определенного уровня зрелости, чтобы действительно начать выявлять инциденты, которые не заметили стандартные превентивные средства защиты. Наращивание экспертной базы правил, по которым выявляются подозрительные события, постоянная их актуализация, выстраивание процессов, подготовка плейбуков — все это требует очень много времени и ресурсов. Например, 1 300 правил (на январь 2023 года) в базе нашего SOC мы разрабатывали более четырех лет. При этом запустить внешний SOC можно за несколько недель.
4.귀하에게 중요한 사건 대응 속도는 무엇입니까?
Анализ воздействия на бизнес покажет, в какие рамки нужно уложиться при реагировании на инцидент. Может оказаться, что одночасовой сбой никак не скажется на бизнесе, через два часа начнутся проблемы в процессах, а два дня простоя будут грозить крупным финансовым и репутационным ущербом. Все это нужно учитывать в плейбуках, из которых будет понятна процедура реагирования. На некоторые инциденты необходимо реагировать в течение нескольких минут, в том числе и ночью. Следовательно, SOC должен работать круглосуточно, а если потребуются узкопрофильные эксперты, им нужно будет подключиться как можно скорее.
Собственный круглосуточный SOC — это большие затраты. Основную часть расходов составят кадры — людей нужно найти и адаптировать к работе в компании. Во внешнем SOC уже есть опытные специалисты, которые ежедневно в режиме 24/7 разбираются с инцидентами у компаний из различных отраслей.
5.큰 일회성 비용을 감당할 준비가 되셨습니까?
Вопросы бюджета при создании SOC у себя или с привлечением аутсорсинга решаются индивидуально, однозначного ответа насчет того, какой вариант будет дешевле, нет. Все зависит от численности и квалификации штата, используемых технических решений и сервисов, прочего инструментария.
Стоит учитывать, что собственный и внешний SOC относятся к разным статьям бюджета. В первом случае речь о капитальных вложениях: оборудование, программное обеспечение, лицензии, помещения, мебель. Во втором расходы будут операционные.
Соответственно, для создания своего SOC понадобятся крупные первоначальные инвестиции, а при аутсорсинге — нет.
6.자격을 갖춘 직원이 있습니까?
В SOC нужно изначально набирать высококвалифицированных специалистов, которые должны постоянно накапливать опыт. При этом решить кадровый вопрос сегодня нелегко. Во всем мире не хватает нескольких миллионов профильных сотрудников, в России счет приближается к ста тысячам человек. Сбор команды в штат может занять месяцы, а в стороннем SOC она уже есть. Кроме того, при планировании расходов на собственный центр мониторинга нужно учитывать не только зарплаты экспертов, но и затраты на профессиональное обучение, сертификацию и повышение квалификации.
요약
Без мониторинга инцидентов невозможно говорить о кибербезопасности — нельзя защититься от угроз, которые не видишь. Но, пожалуй, еще хуже потратить деньги и не добиться результата.
Начните с анализа воздействия событий на бизнес, чтобы определиться, какой мониторинг даст ожидаемый результат. Постоянно обновляйте список событий безопасности, которые влияют на устойчивость компании. Так вы улучшите общее качество мониторинга и значительно повысите уровень киберзрелости в вашей организации.
더 읽어보기 :
과학자들은 지구와 유사한 행성에서 이상한 무선 신호의 특성을 알아 냈습니다.
전문가들은 2100년까지 지구상에 얼마나 많은 사람들이 살게 될지 예측했습니다.
지구의 '우주 뒤뜰'에 숨어있는 새로운 유형의 블랙홀 발견