Максим Анненков, Борис Захир, Security Vision

Введение

В эпоху цифровизации и постоянно растущего количества киберугроз каждая компания стремится понять, сколько она вкладывает в кибербезопасность и какую отдачу это приносит. Кибербезопасность — небесплатное предприятие, и для эффективного управления рисками и оценки отдачи от инвестиций в безопасность требуется грамотный подход.

Один из ключевых аспектов такого подхода — оценка рисков. Это важный инструмент, который помогает понять соотношение затрат на меры защиты со степенью снижения подверженности угрозам, которой можно добиться за счет их внедрения. Оценка рисков может быть как качественной, так и количественной, но самое важное — извлечь из этого процесса полезные выводы, чтобы принять взвешенные и обоснованные решения.

И снова здравствуйте! Продолжаем наш цикл статей о методах сбора данных (Прошлые статьи здесь и здесь). В данной (третьей) статье опубликована сжатая аналитика по двум технологиям сбора на Linux Endpoint на основе проработки наших продуктов по лог-менеджменту и сбору событий.

За последнее десятилетие мы убедились, что выполнение вручную процессов расследования и реагирования ограничивает нас по скорости, что сильно сказывается на возможности обрабатывать прирастающий с каждым днем поток инцидентов и угроз. Для того, чтобы помочь в решении складывающейся ситуации специалисты ИБ начинают применять в своей практике новые подходы, такие как Everything as Code (EaC), который зародился на базе практик разработки ПО.

Одна из основных проблематик обнаружения инцидентов, процедур Threat hunting и обнаружения угроз (TI) — высокая гранулярность скриптов и функций, необходимость контроля версий и учета изменений. Поэтому инженеры по информационной безопасности, стремясь повысить эффективность детекта и улучшить качество работы переняли лучшие практики из IT-разработки и назвали этот метод Configuration-as-Code. Давайте разберемся, что он из себя представляет.

Продолжаем наш цикл статей о типах и методах работы сборщиков данных с конечных точек, или, как принято их называть – агентов. В первой статье мы познакомились с этой сущностью и изучили основные нюансы сбора данных с их помощью. Так как мы в рамках разработки своих продуктов занимаемся и лог-менеджментом, и сбором событий, то хочется поделиться продолжением нашей обширной аналитики в quickstart формате. Поэтому в этом выпуске подробнее разберем функционал и используемые инструменты источников на ОС Windows.

Гайнуллина Екатерина, Security Vision

В последние годы значение безопасности API значительно возросло. С увеличением использования API и резким ростом их трафика, поверхность атаки расширилась, что сделало API одной из главных целей для злоумышленников. Согласно отчету Salt Security за 2024 год, число инцидентов безопасности API удвоилось, причем 37% организаций сообщили об атаках. Это тревожный тренд, который подчеркивает необходимость улучшения стратегий защиты.

Как мы здесь оказались

В прошлой статье была затронута тема такого формата взаимодействия для задач, как деловые игры. На самом деле, и у нас, как у компании, и у некоторых наших сотрудников есть своя история и свой опыт в участии и проведении таких игр как для заказчиков, так и внутри.

Введение

Информационная безопасность является одной из ключевых областей в современном мире, где каждый день появляются новые угрозы и вызовы. Студенты, обучающиеся в вузах, получают ценные знания и навыки в области информационной безопасности, однако часто остаются неподготовленными к реальным задачам, с которыми сталкиваются специалисты в данной сфере.

В этой статье мы рассмотрим отличие между навыками, получаемыми после классического обучения в вузе, и навыками, которые реально требуются на практике в сфере информационной безопасности. Будут рассмотрены проблемы и противоречия, с которыми сталкиваются выпускники, а также предложены пути усовершенствования образовательных программ для более эффективной подготовки специалистов к работе в области кибербезопасности.

Данная тема является актуальной и важной, поскольку в сфере информационной безопасности решения принимаются на основе практического опыта и актуальных знаний о современных угрозах, технологиях и методах защиты. Анализ отличий между образованием и практикой в информационной безопасности поможет выявить ключевые аспекты, на которые необходимо обратить внимание при подготовке специалистов в данной области.

Теоретические знания vs Практические навыки

Во-первых, хочется выделить самую распространенную проблему, которая кроется в отсутствии практических навыков у студентов. И это касается не только ИБ направлений, но и многих других образовательных программ. В частности, что касается ИБ, в университете студентов обычно учат основам криптографии, сетевым протоколам и другим базисным вещам. Однако, на практике в информационной безопасности требуются навыки практической реализации защиты информационных систем, умение анализировать уязвимости, проводить тестирование безопасности, реагировать на инциденты, анализировать вредоносное обеспечение и т.д. Поэтому, теоретические знания бесспорно важны, но не менее важно уметь применить теорию на практике. Все ,наверное, согласятся с тем, что никто ещё не научился водить машину или плавать, просто прочтя книгу. Поэтому, правила дорожного движения необходимо изучать всем, но на одной теории далеко не уедешь.

За последнее время внутри компании у нас появилось несколько энтузиастов, заинтересованных в DevSecOps по совершенно разным причинам. Кому‑то задал неудобный вопрос заказчик, кто‑то решил встать на путь саморазвития, а у кого‑то близкий человек — AppSec, и хочется иметь возможность поддерживать разговор о работе.

В этой статье хотелось бы рассказать простым «ИБшным» языком про ядро процесса безопасной разработки для тех, кто сталкивается с этим впервые или что‑то где‑то слышал, но не может увязать это в стройную картину. Потому что на самом деле это максимально близкая вещь к тому, что вы или ваши коллеги уже знаете из своей повседневной работы, даже если ни разу не работали в разработке и не касались исходного кода.

Теперь можно будет попробовать заговорить на одном языке с теми заказчиками, которые, помимо того, что хотят выстроить у себя ИБ‑процессы, являются еще и полноценными разработчиками собственного ПО. Поехали!

Гайнуллина Екатерина, инженер по информационной безопасности отдела развития Security Vision

Контейнеры Docker давно стали неотъемлемой частью современных IT-инфраструктур благодаря своей легкости и гибкости. Однако, несмотря на все их преимущества, они обладают и серьезными недостатками в плане безопасности. Представьте себе контейнер с root-доступом. Это, как если бы у вас была дверь с замком, но ключ от неё подходил бы ко всем замкам в доме.

В предыдущей статье мы рассказывали про методику оценки качества процесса расследования и реагирования. В двух словах: мы рассуждали, каким образом сформировать систему метрик на основе статистики действий аналитиков SOC, которые позволят проанализировать процессы и процедуры security operation. Применение системы метрик позволит, с одной стороны, оптимизировать действия аналитиков за счет исключения лишних действий (возможно, сделав их необязательными), автоматизировать повторяющихся действий, разработать воркэраунды для слишком долгих действий, пополнить плейбуки действиями, которые в них отсутствуют, но в реальности всегда выполняются. С другой стороны, система метрик позволит повысить качество детекта за счет сбора статистики по условиям, при которых правило коррреляции фолзит из раза в раз. И, в конце концов, система метрик может помочь проанализировать утилизацию средств защиты, а также экономическую эффективность подписок на аналитические сервисы и фиды. Каким образом? Давайте разбираться на реальных примерах.

Оптимизация планов реагирования за счет анализа статистики действий по инцидентам

Анализ планов реагирования стоит начать с проверки достижения им цели полноценного анализа ландшафта инцидента. Почему именно с этого? Да потому, что весь security management стремится в первую очередь к максимальной полноте и актуальности контекста: чем чище и корректнее данные, тем вернее будет решение. Поэтому для выстраивания хорошего процесса расследования надо понять:

·  Насколько качественно мы анализируем все артефакты, собранные в инциденте.

С ростом популярности контейнеров появилось множество преимуществ. Контейнеры являются основой архитектуры микросервисов, которые позволяют создавать облачные приложения любого размера. Однако из-за своей популярности контейнеры также являются главной мишенью для программ-вымогателей, хакеров и других угроз.

В результате предприятия, которым важна надежная система безопасности, должны иметь возможность решать общие проблемы безопасности контейнеров. Хотя не существует единого способа решения, применение комплексного подхода и использование правильных инструментов может принести большую пользу.

Максим Анненков, инженер-архитектор отдела развития Security Vision

Люди в целом подвержены когнитивным искажениям, то есть искажениям восприятия информации или событий. Например, одним из таких искажений является «подтверждение предвзятости», когда люди склонны искать и интерпретировать информацию таким образом, чтобы она подтверждала их уже существующие убеждения. Другим примером может служить «эффект выбора», когда человек делает выбор в пользу той информации, которая подтверждает его предпочтения, игнорируя другие возможные варианты.

Из-за когнитивных искажений мы можем ставить отдельные компании или даже целые холдинги в зависимость от субъективного восприятия лиц, принимающих решения. Эта проблема существует в каждом аспекте деятельности организации, однако в этой статье мы рассмотрим, насколько она релевантна для области обеспечения информационной безопасности и то, как бумажная безопасность может стать полезным инструментом в борьбе с когнитивными искажениями.

В прошлой статье мы рассматривали геймификацию применительно к ИБ-сфере, с учетом соответствующей специфики. Теперь же хочется обсудить то, что уже в каком-то виде существует во многих компаниях, которые могут относиться не только к ИБ, но все же используют игровые методики в своей работе.

Какие эти игры, для чего их внедряют в работу?

При создании динамических планов реагирования должны быть сформулированы и учитываться критерии, которые будут подтверждать качество разработанного алгоритма действий для решения конкретного типа инцидента информационной безопасности.

Критерии формулируются на основе основных параметров инцидента, которые должны быть учтены в работе над его расследованием, реагированием и постинцидентной активности. При этом важно учитывать тот факт, что работа над инцидентом – гораздо шире, чем стандартный анализ и реакт на скоррелированные события ИБ. Работа над инцидентом – это: 

В данном цикле статей мы глубже погрузимся в исследование агентов, расскажем, зачем они нужны, об их возможностях и нюансах работы с ними. А текущая статья, как вводная, даст общее понимание такого явления, кратко затронет типы агентов и общие форматы их внедрения в сетевую структуру.

Как помочь растормошить команду SOCа и заставить их бороться против настоящего, а не вымышленного злоумышленника? С чем чаще всего связана некоторая халатность в отношении процесса постинцидента и как это влияет на процесс расследования в целом?

От чего в наибольшей степени будeт зависеть этап подготовки к расследованию и само расследование? Сегодня мы рассмотрим взаимосвязь пентеста для компании и процессов Lessons Learned.

В чем вообще цель работы над ошибками: в том, чтобы изменить что-то вокруг или поменять свой подход к работе?

Парадигма, к которой мы привыкли, это продукты под ключ: уже готовые решения с определенным набором функций, опций и кнопочек, со своим конкретным визуалом, подобранным под внутреннюю архитектуру. У каждого вендора свое видение не только о потребностях, но и о том, сколько он готов открыть «внутрянки» для конечного пользователя. В итоге в этом или нет гибкости, или есть очень много вариантов аддонов и плагинов, это как дать рыбу вместо удочки.

Представьте, что вы заходите в оснастку какого-то продукта и у вас нет quickstart guide, обучения, ничего. Как вы в нем будете разбираться? А как настраивать? Как может выглядеть продукт для того, чтобы им могли и сразу пользоваться, и сразу разрабатывать?

В прошлой статье мы рассмотрели возможности проверки открытого кода различными способами, вендорскими и самостоятельными. В целом, частая проверка обновлений на предмет подозрительной или даже вредоносной активности – вещь кропотливая, ответственная, и если заниматься этим вручную – отнимает много времени.

Есть различные способы автоматизировать данный процесс, но в контексте того, что методы завуалировать вредонос под легитимное ПО эволюционируют день ото дня, процесс его выявления также должен развиваться чуть ли не в большем темпе.

Гайнуллина Екатерина, инженер по информационной безопасности, Отдел развития Производственного департамента Security Vision

Беляева Ева, руководитель отдела развития Производственного департамента Security Vision

Введение

Как часто, пользуясь open source, вы задумывались о том, что придет с грядущим обновлением? Скорее всего, регулярно, особенно за последние несколько лет. Весь мир давно говорит о том, что любые обновления проприетарного ПО требуют тестирования и проверки, с обновлениями opensource-решений такая же история.

В последние годы атаки на цепочку поставок стали значительной угрозой для безопасности программного обеспечения.

Любая организация зависит от совместной работы профессионалов различных областей на достижение общих результатов. Исключительно редко возможно достичь целостного успеха, не выходя за рамки собственной компетенции.

И чем масштабнее становится бизнес, тем более нетривиальной задачей становится обеспечение его устойчивости, ведь для ее решения необходимо распутать клубок взаимозависимости людей процессов и технологий. Такая задача требует совместной работы бизнеса, технических специалистов, безопасников и рисковиков для того, чтобы рассмотреть возможные последствия остановки деятельности организации со всех точек зрения.

На выходе такой комплексный подход к вопросам обеспечения непрерывности позволит не только выявить необходимость резервирования особенно важных активов, но и получить побочный положительный эффект от оптимизации процессов и устранения «бутылочных горлышек».