«Таможенная карта» обеспечивает непрерывность бизнеса с помощью MaxPatrol SIEM

26 июля 2018 года компания Positive Technologies сообщила о том, что платежная система «Таможенная карта» отслеживает события безопасности и выявляет инциденты при помощи MaxPatrol SIEM LE. В результате служба ИБ компании может получать полную информацию об инфраструктуре в любой момент, автоматически выявлять проблемные активы, аномалии, подозрительные активности в инфраструктуре. Это помогает обеспечить непрерывность бизнеса компании в соответствии с установленным SLA: все виды финансовых операций проводятся в любом таможенном органе на территории России в режиме 24/7.

Предпосылки и цель проекта

Вопросам непрерывности бизнеса и надежности финансовых транзакций в «Таможенной карте» уделяется первостепенное значение, в том числе с точки зрения информационной безопасности. До внедрения SIEM-системы анализ событий безопасности в «Таможенной карте» проводился вручную, что не позволяло оперативно реагировать на обнаруженные угрозы. Конфигурации сетевых узлов регулярно меняются и отсутствие актуальных знаний об инфраструктуре мешало выявлять инциденты. Поэтому для автоматизации анализа событий ИБ и выявления атак, аномалий и подозрительных действий в инфраструктуре было принято решение внедрить SIEM-систему.

Ход проекта

Департамент информационной безопасности компании оценил возможности трех систем — IBM QRadar, ArcSight и MaxPatrol SIEM. Сравнивались возможности интеграции и взаимодействия с инфраструктурой, а также ценовая политика. По итогам тестирования «Таможенная карта» выбрала SIEM-систему компании Positive Technologies версии LE, как наиболее соответствующую заявленным требованиям:

• законченное коробочное решение для небольших инфраструктур (общее количество сетевых узлов в «Таможенной карте» ― 200);
• дополнительные источники событий подключаются бесплатно в рамках техподдержки;
• доступная цена;
• присутствие в реестре отечественного ПО.

Подразделение ИБ самостоятельно внедрило и настроило MaxPatrol SIEM LE. Весь проект занял три месяца. За это время к SIEM-системе были подключены рабочие станции и источники с наибольшим количеством событий — контроллеры домена, прокси-серверы и межсетевой экран (всего около 100 узлов). Также к источникам событий добавились инфраструктурные серверы, системы защиты, бизнес-системы и критически значимые файловые серверы. На основе поступающих из источников данных MaxPatrol SIEM LE формирует базу активов и по правилам корреляции выявляет инциденты.

Итоги проекта

По итогам пилота «Таможенная карта» получила полностью работающий инструмент, готовый к промышленной эксплуатации.

«За три месяца с помощью консультаций специалистов Positive Technologies нам самостоятельно удалось внедрить систему и настроить необходимые источники. Благодаря этому мы получили подробную картину ИТ-инфраструктуры и отслеживаем инциденты ИБ. В дальнейших планах подключение к источникам событий серверов собственного удостоверяющего центра». Сергей Горчаков, директор по ИБ "Таможенной карты"