CyberART Сервисная служба киберзащиты

2024: Использование MaxPatrol O2

Компания Innostage с 2024 года использует в SOC CyberART автопилот в области результативной кибербезопасности MaxPatrol O2 для повышения эффективности мониторинга собственной инфраструктуры. Это позволило увеличить скорость обработки инцидентов в несколько раз. Об этом InnoSTage сообщил 29 июля 2024 года.

Innostage SOC CyberART обрабатывает более 100 оповещений средств защиты сутки в своей инфраструктуре. Чтобы снизить нагрузку на аналитиков, Innostage внедрила метапродукт MaxPatrol O2, который среди большого количества событий ИБ выявляет цепочки подозрительной активности, предоставляя полный контекст происходящего.

Кроме того, весной 2024 года Innostage запустила программу открытых кибериспытаний, в которых «этичные хакеры» пытаются взломать инфраструктуру компании и похитить с ее счета деньги — это привело к увеличению количества атак на Innostage. Поэтому у компании возникла необходимость в усилении и ускорении мониторинга и реагирования на инциденты, чтобы снизить риски и повысить уверенность в защите бизнеса.

Автопилот MaxPatrol O2 оперативно анализирует не просто атомарные инциденты, а целые цепочки действий злоумышленников. В результате эффективность работы Innostage SOC CyberART значительно повышается: мы оперативнее получаем всю необходимую информацию про инциденты, которые происходят в компании, после чего минимизируем риск их повтора. При этом мы можем заранее описать конкретное недопустимое событие и задать параметры, чтобы в дальнейшем MaxPatrol O2 следил именно за ним и прогнозировал достижимость критичного актива в каждой появляющейся цепочке атаки. Это позволит дополнительно оценить потенциальный ущерб, который может быть нанесён, если вовремя не остановить злоумышленника, — отметил Максим Акимов, руководитель Innostage SOC CyberART.

Для получения информации об инцидентах, выстраивания цепочек атак и расчета достижимости недопустимых событий MaxPatrol O2 использует данные из продукта-сенсора MaxPatrol SIEM. Для видимости сетевых взаимодействий подключена система поведенческого анализа трафика PT Network Attack Discovery. Автоматизированное реагирование в т.ч. на конечных устройствах обеспечивается с помощью интеграции с продуктом MaxPatrol EDR, который защищает их от целевых атак во всех популярных операционных системах, включая российские.ИТ-директор «Роснефти» Дмитрий Ломилин выступит на TAdviser SummIT 28 ноября

Важно отметить, что команда SOC Innostage смогла адаптировать свой аналитический контент MaxPatrol SIEM под MaxPatrol O2 для использования своих наработок в области обнаружения компьютерных инцидентов при выявлении цепочек активностей.

Наши пилотные испытания в различных российских компаниях и государственных ведомствах показывают, что даже в условиях полной укомплектованности SOC реагирование на инцидент с использованием MaxPatrol O2 происходит намного быстрее за счет минимизации ручного труда. В SOC компании Innostage MaxPatrol O2 выступает «вторым пилотом», перепроверяет весь поток событий в области ИБ и снижает влияние человеческого фактора, что особенно важно для компании в условиях проведения открытых кибериспытаний, — отметила Анастасия Важенина, руководитель практики развития метапродуктов Positive Technologies.

2020

CyberART стал технологическим партнером Positive Technologies в рамках MSSP-программы

Оператор сервисов киберзащиты CyberART (входит в ГК InnoSTage) запустил коммерческие сервисы по мониторингу событий ИБ на базе MaxPatrol SIEM. Об этом InnoSTage сообщил 8 июня 2020 года.

Сервисы ориентированы на многие компании, в том числе на финансовые и энергетические, на государственный сектор. Они помогают в обеспечении защиты объектов критической информационной инфраструктуры, а также в повышении безопасности информации во всех других ключевых компьютерных системах.

Одна из ключевых компетенций ГК InnoSTage — реализация проектов и сервисов по защите информации. CyberART предоставляет сервисы киберзащиты в рамках задач по мониторингу информационной безопасности и предотвращению киберинцидентов. Сотрудничество с Positive Technologies позволит специалистам группы компаний расширить спектр сервисов для клиентов. Важно, что компании-клиенты получат сразу несколько преимуществ:

• услуги на базе решения от компании российского рынка;
• ежемесячно пополняемые правила обнаружения актуальных угроз в виде пакетов экспертизы в MaxPatrol SIEM;
• расширенную аналитику CyberART – обладая глубокими знаниями об ИТ-инфраструктуре заказчиков, специалисты помогут адаптировать пакеты правил с учетом всех особенностей компании-клиента, что позволит выявлять даже сложные нетиповые компьютерные атаки и эффективно им противодействовать;
• решение задач по реализации требований регуляторов в соответствии с 187-ФЗ (Федеральным законом «О безопасности критической информационной инфраструктуры РФ»;
• гибкую модель лицензирования.

При поддержке партнера мы расширяем сервисы нашего SOC в области мониторинга - фундамента для построения защиты компании-заказчика. MSSP-сотрудничество с Positive Technologies обеспечивает нас гибкостью в работе с клиентами. В рамках проектов по информационной безопасности компании будут получать не только технологию, но и основанные на многолетней практике и опыте знания наших специалистов по контролю и мониторингу событий безопасности. Также в дополнение к нашему опыту мы сможем предоставить модель лицензирования от одного из ведущих вендоров на рынке кибербезопасности, комментирует Айдар Гузаиров, директор ГК InnoSTage.

Positive Technologies реализует программу MSSP-партнерства с 2017 года. Мы очень тщательно подходим к определению партнеров MSSP-программы. CyberART соответствует всем требованиям – компания имеет действующие сертификаты на техническую поддержку MaxPatrol SIEM и, самое главное, сертифицированных специалистов, отлично знающих, как наш продукт может решать задачи обеспечения безопасности клиентов, комментирует Максим Филиппов, директор по развитию бизнеса Positive Technologies в России.

Группа компаний InnoSTage в рамках партнёрства с компанией Positive Technologies также имеет специализации по PT Application Firewall ― гибкому и точному инструменту для всесторонней защиты от веб-атак, а также по PT Industrial Security Incident Manager (системе управления киберинцидентами АСУ ТП).

Чек-лист по проверке уровня защищенности «хоум-офиса»

Оператор сервисов киберзащиты CyberART подготовил чек-лист по проверке уровня защищенности своей компании, а также обозначил основные этапы, необходимые для обеспечения комплексной безопасности «хоум-офиса». Об этом 31 апреля 2020 года сообщили в компании InnoSTage.

Ряд компаний уже находятся в процессе организации частичной или полной «удаленки» для своей команды. Однако чтобы защитить «удаленку», нужен комплексный подход, поскольку формат «хоум-офиса» сам по себе увеличивает количество потенциальных угроз для безопасности компании.

По рекомендации CyberART, тем, кто уже начал перевод на дистанционный режим, можно ответить на следующие вопросы, чтобы оценить текущий уровень безопасности:

• 1. Для удалённой работы используются защищенные каналы связи, например, при помощи VPN (Virtual Private Network)?
• 2. При подключении к инфраструктуре пользователь проходит двухфакторную аутентификацию (токены, одноразовые пароли)?
• 3. При удалённом подключении не используются личные устройства сотрудников?
• 4. На удалённых рабочих местах контролируются съемные носители, запрещен «прямой» доступ в сеть интернет?
• 5. При подключении к сети компании происходит проверка удалённых устройств на наличие антивируса и его актуальности и на наличие необходимых обновлений безопасности?
• 6. Использование корпоративных сервисов разрешено только со специально сконфигурированных «джамп-узлов»: терминальных серверов, виртуальных рабочих столов (VDI)?
• 7. В ИТ-инфраструктуре компании выполнено сегментирование и настроены разграничения доступа, пользователи имеют минимальный для работы набор прав?
• 8. В ИТ-инфраструктуре компании определены и применяются политики информационной безопасности и аудита событий?
• 9. Обеспечивается ли постоянный мониторинг и реагирование на события безопасности для обнаружения и предотвращения компьютерных атак и инцидентов, до того момента, как они могут вызвать реальные негативные последствия для компании?
• 10. Выполняется ли контроль изменений состава ресурсов, для которых предоставлен удалённый доступ, анализ защищенности сетевого периметра и инфраструктуры, обнаружение и устранение уязвимостей и ошибок настройки?

Зачастую такие кризисы и необходимость экстренных мер обостряют существующие проблемы ИБ в организации. Если у компании будут незащищённые удалённые рабочие места и «домашние офисы», то у злоумышленников появится большой спектр для следующих возможностей:

• кража конфиденциальной информации и персональных данных;
• перевод денег с расчетного счета;
• «заражение» крипто-вирусом ИТ-инфраструктуры компании. Это в свою очередь сможет вывести из строя ИТ-системы и системы промышленной автоматизации, нарушить бизнес- и производственные процессы предприятий и т.д.

Помимо этого, угрозами уже стали рост количества фишинговых кампаний на удалённых сотрудников, появление фейковых сайтов, приложений - всего того, что на волне паники, связанной с коронавирусом, может спровоцировать сотрудника открыть электронное письмо, кликнуть на вложение, перейти по ссылке или зайти на вредоносный сайт.

Далеко не у всех организаций имеются в штате специалисты ИБ-отдела или корпоративного SOC (Security Operations Center), которые могут грамотно оценить необходимость первоочередных мер для безопасного перехода на «удаленку». В зависимости от наличия собственных ресурсов, компаниям рекомендуется самостоятельно или, объединив усилия с внешними экспертами, выполнить следующие шаги, чтобы реализовать систему комплексной защиты удалённого доступа:

• Шаг 1. Защита каналов при помощи средств VPN, которые имеют функционал многофакторной аутентификации и проверки соответствия подключаемых устройств требованиям безопасности.
• Шаг 2. Повышение безопасности конечных узлов, используемых для удалённого доступа за счет настройки и распространения на них корпоративных политик безопасности.
• Шаг 3. Обнаружение вторжений на уровне сети и защита от вредоносного программного обеспечения.
• Шаг 4. Выявление и блокирование неизвестного ранее вредоносного программного обеспечения, целевых атак и атак нулевого дня.
• Шаг 5. Расширенный мониторинг и контроль действий привилегированных пользователей.
• Шаг 6. Раннее обнаружение атак при помощи ресурсов-приманок (HoneyPot), представляющих из себя программные ловушки, позволяющие оперативно обнаружить нарушителя на начальных этапах проникновения.
• Шаг 7. Защита каналов удалённого доступа от атак типа «отказ в обслуживании».
• Шаг 8. Оценка защищённости при помощи автоматизированных средств и ручных проверок для обнаружения и устранения уязвимостей и ошибок настройки.
• Шаг 9. Отслеживание событий безопасности, которые фиксируются как в средствах обеспечения удаленного доступа, так и в других компонентах контролируемых систем, обнаружение и устранение компьютерных атак и инцидентов безопасности до того момента, как они вызовут реальные негативные последствия.
• Шаг 10. Организация инфраструктуры безопасного доступа, включая технологии защиты конечных узлов, безопасного терминального доступа и виртуальных рабочих столов (VDI), организация ресурсов для безопасного обмена информацией и совместной работы.

Из-за срочности перехода на удалённый доступ, бизнес может упустить из виду привычные внутренние процессы по обеспечению безопасности, тем самым оставив для злоумышленника возможность атаки. Сам процесс организации «удаленки» расширяет количество актуальных векторов атаки на инфраструктуру, которая теперь не ограничена стенами офиса. Поэтому процесс перевода персонала на «хоум-офис» должен рассматриваться не только в разрезе необходимости быстро выполнить ИТ-задачи, но учета требований информационной безопасности, заключили в CyberART.

2019

В составе ГК InnoSTаge

С декабря 2019 года CyberART действует в рамках группы компаний InnoSTage.

Запуск CyberART

19 ноября 2019 года в России начала работу CyberART — профессиональная сервисная служба в сфере киберзащиты. CyberART, оператор сервисов киберзащиты, создан на базе центра мониторинга информационной безопасности и реагирования на компьютерные инциденты (SOC).

По информации компании, оператор будет оказывать комплексные услуги по мониторингу событий информационной безопасности и реагированию на компьютерные инциденты, предоставлению средств защиты информации и управлению ими, поведенческому анализу контента и контролю сетевой активности, управлению уязвимостями, тестированию на проникновение и еще ряду направлений в области информационной безопасности.

Трансформация центра мониторинга и реагирования в оператор CyberART обуславливается причинами: рост количества кибератак, их сложность, необходимость ряду организаций соответствовать требованиям регуляторов по обеспечению информационной безопасности. Чтобы самостоятельно закрывать такие задачи, компании нужно содержать дорогостоящий штат сотрудников, а также регулярно закупать и обновлять соответствующие технические решения. Работа с оператором сервисов киберзащиты позволит предприятию использовать только те услуги, которые ему необходимы, взаимодействовать с командой специалистов, которая регулярно обучается и имеет опыт предотвращения разнообразных угроз, а также снизить капитальные затраты на обеспечение информационной безопасности.

CyberART оказывает сервисы по следующим направлениям: анализ контента, контроль инфраструктуры, сетевая активность, аудит безопасности, защита данных, защита WEB-приложений, аудит инфраструктуры и другие.

Для многих компаний создание собственного SOC — трудоёмко и очень затратно. Понимая это и ощущая требования рынка, мы трансформировали работу SOC, чтобы оказывать услуги по сервисной модели. В этом формате продолжит развиваться оператор CyberART. рассказал Владимир Дмитриев, представитель оператора сервисов киберзащиты CyberART