По данным центра мониторинга внешних цифровых угроз ГК «Солар», за 2023 год в публичный доступ попали данные почти 400 российских организаций. Это означает, что в прошлом году каждый день в России происходила как минимум одна утечка данных. Основной массив утекших данных – это архивы внутренней документации, в том числе сканы документов, дампы (снимки) памяти систем, информация с компьютеров отдельных пользователей, исходный код программных продуктов.

На теневых ресурсах постоянно появляются предложения о продаже подобных данных, причем объем растет от года к году. Так, по данным другого исследования ГК «Солар», в 2023 году число подобных объявлений выросло в сравнении с 2022 годом на 42%, а за первые месяцы 2024 года в даркнет утекли данные 170 компаний — 40% от всего числа инцидентов за 2023 год. Взрывной рост угроз явно подчеркивает важность контроля над корпоративными хранилищами.

В этой статье Дмитрий Богомолов, архитектор из команды Центра технологий кибербезопасности ГК "Солар", рассказывает, как системы класса DAG/DCAP помогают организациям взять данные под контроль и оптимизировать работу систем централизованного хранения информации.

Что такое политики Solar webProxy и как они формировались раньше

Хотя приложение в большей степени является backend-ориентированным, важно чтобы и UI был удобным для администратора. В версии 4.2, которая вышла на рынок 5 декабря, одним из ключевых направлений работы стала переработка конструктора политик для улучшения пользовательского опыта.

Что же из себя представляет конструктор политик? В Solar webProxy – это раздел панели администратора, где можно создать или отредактировать набор правил фильтрации трафика, разделенных по типам слоев – фильтрация запросов, фильтрация ответов, маршрутизация соединений и т.д.

Людмила Севастьянова, менеджер по развитию продуктового портфеля управления доступом, поделилась статьей о том, зачем нужна аттестация прав сотрудников и почему ее нужно проводить регулярно, и почему она крайне важна для финансового сектора.

И небольшой спойлер - в тексте есть несколько "пасхалок", если найдете, пишите в комментариях.

В конце сентября 2024 года компания Netflix анонсировала выпуск нового, седьмого сезона фантастического сериала Black Mirror. Эта антология посвящена мрачным прогнозам на ближайшее будущее, предупреждая зрителей о последствиях непредсказуемого развития технологий. Первые серии Black Mirror вышли в 2011 году, и за это время некоторые сюжеты сериала пугающе приблизились к реальности.

Полина Сокол, старший аналитик данных R&D‑лаборатории Центра технологий кибербезопасности ГК «Солар», специально для Techinsider, а теперь и для Habr, собрала несколько примеров развития искусственного интеллекта (ИИ), которые уже существуют в нашей жизни или в скором времени могут стать реальностью.

Всем привет! В блоге центра исследования киберугроз Solar 4RAYS мы продолжаем делиться результатами расследований инцидентов, полезными инструментами для ИБ-специалистов и другими практическими материалами, часть которых мы размещаем и здесь.

Сегодняшняя статья от специалистов нашего отдела анализа защищенности «Солара» посвящена разработанному ими ПО для поиска и верификации уязвимостей.

Нам в отделе анализа защищенности довольно часто приходится искать и эксплуатировать уязвимости, которые, на первый взгляд, сложно выявить. Например, практически ни один проект не обходится без Blind-SSRF или Out-Of-Bound XXE, встречаются даже Blind-RCE. В этом материале мы расскажем о инструменте, который поможет пентестерам значительно упростить обнаружение разного типа уязвимостей. Но обо всем по порядку.

Solar NGFW вышел на рынок в 2023 году, а в первой половине 2024 ГК «Солар» представила решение в программно‑аппаратном исполнении. Разработка продукта такого уровня — это сложный и многокомпонентный процесс, который требует вовлечения множества специалистов самых различных областей компетенций. А значит, помимо технологических и организационных аспектов, необходимо учитывать и человеческий фактор — наем, обучение и удержание персонала. Альберт Маннанов, руководитель продукта Solar NGFW, рассказал о вызовах формирования и развития команды, а также о том, как с ними справляются в ГК «Солар».

Протокол WebSocket позволяет устанавливать постоянное двустороннее соединение между клиентом и сервером, что значительно снижает задержки и уменьшает объем передаваемых данных по сравнению с традиционными HTTP-запросами. WebSocket используется в динамически обновляющихся приложениях, работающих в режиме реального времени, – мессенджерах, торговых площадках и других коммерческих сервисах с быстро меняющимися данными. Благодаря корректным правилам фильтрации протокола WebSocket такой трафик может быть распознан и, при необходимости, заблокирован.

Меня зовут Александр Лемаев, я ведущий аналитик в команде Solar webProxy. Solar webProxy — это шлюз веб-безопасности (SWG), который разграничивает доступ к веб-ресурсам, защищает от зараженных и фишинговых сайтов и блокирует утечки через веб-канал. В статье я расскажу, в чем преимущества WebSocket, и как наш прокси-сервер Solar webProxy помогает фильтровать этот протокол.

Полина Сокол, старший аналитик данных R&D-лаборатории Центра технологий кибербезопасности ГК «Солар», подготовила материал о методах работы с данными и ML-моделями.

Это направление исследований позволяет на выходе обеспечить требования к прозрачности, ответственности и рискам, связанных с искусственным интеллектом. И его невозможно игнорировать при использовать ML в продуктах, предназначенных для защиты от целенаправленных атак, которые и сами могут стать одной из целей атакующих − EDR, NTA, XDR, SIEM и другие классы решений.

Громкие скандалы в сфере кибербезопасности, в которых виновными были признаны сотрудники крупных компаний и госструктур, стали одной из главных тем последних трех лет. От утечек конфиденциальных данных до масштабных хакерских атак - во многих инцидентах ключевую роль сыграли инсайдеры, использовавшие свои служебные полномочия для нанесения вреда работодателям. Виновные найдены и наказаны, дело закрыто. Но так ли однозначно в этих делах обстоит вопрос вины? Можно ли найти закономерности в этих историях?

Действительно, статистика впечатляет: начиная от скандала с Anthem Inc., где 78 млн личных данных клиентов были похищены сотрудником IT-отдела, и заканчивая взломом систем российских органов власти, − во всех этих историях фигурируют виновные инсайдеры, приговоренные к внушительным срокам заключения.

Но при расследовании подобных дел нередко упускается из виду целый ряд факторов, которые могли повлиять на поведение сотрудника и в итоге спровоцировать его на противоправные действия. И, что самое главное, эти факторы, как правило, кроются внутри самих организаций: в их системах найма, контроля и мотивации персонала.

Станислав Карпович, заместитель директора департамента "Киберполигон" по развитию бизнеса, в новом материале постарался развеять несколько мифов о человеческом факторе в кибербезопасности.

Требования к функциональности IdM-решений растут вслед за ожиданиями и новыми сценариями по управлению доступом в компаниях. Наряду с базовыми опциями востребованными становятся возможности систем для расследования инцидентов, информативность интерфейса, повышенная скорость работы. На российских вендоров также большое влияние оказывает планка, заданная иностранными поставщиками IGA/IdM-решений, и рост цифровой зрелости российских заказчиков, которым необходимо системное управление доступом.

В этом материале Мария Конорева, ведущий аналитик отдела управления доступом к информационным системам, рассказывает о новой функции в Solar inRights, которая позволяет эффективно построить гибкую ролевую модель и оптимизировать затраты на выполнение рутинных заявок для назначения прав доступа.

Всем привет! Активно развивающийся тренд на импортозамещение привел к разработке большого количества разнообразных отечественных СЗИ и ОС, которые мы нередко встречаем в ходе мониторинга ИБ-событий в инфраструктурах наших заказчиков. При работе со средствами защиты и операционными системами появляются интересные аномалии и особенности – о самых интересных из них мы расскажем в этом материале.

Всем привет! Надеемся, вы уже знаете, что у центра исследования киберугроз Solar 4RAYS есть собственный блог. В нем мы делимся исследованиями различных APT-группировок, подробно рассказываем о расследованиях и делимся индикаторами компрометации. В этом материале мы решили рассказать, с чего, как правило, начинаются наши расследования — по каким признакам определяем, что в инфраструктуру заказчика попали профессиональные хакеры и как ищем следы их атак. Также мы расскажем, какие уловки хакеры применяют для маскировки своих атак и как в этом случае компаниям защититься от злоумышленников.

Привет! Мы в «Соларе» накопили достаточно компетенций, чтобы делиться ими не только со стажерами, но и с сотрудниками компаний-заказчиков. Нередко у заказчика после инсталляции СЗИ возникает потребность в их грамотном внедрении в рабочие процессы, поддержке в актуальном состоянии, а кроме того, необходимо налаживать взаимодействие сотрудников как внутри самого SOC, так и со смежными подразделениями. Помимо этого, даже продвинутые ИБ-команды заказчика нуждаются в «переопылении» на образовательных мероприятиях, чтобы они продолжали своевременно и корректно реагировать на кибератаки, а работа не превращалась в рутину с монотонным закрытием тикетов.

Все эти задачи мы решаем за счет качественного обучения персонала заказчика. В последней части нашего цикла статей мы расскажем, как оно устроено.

Привет! Я Екатерина Васильева, инженер-тестировщик ГК «Солар». В нашей работе есть извечный вопрос, как сделать тестирование быстрым, качественным и эффективным. И знаете, что помогает? Правильная организация процесса. В «Соларе», например, мы активно используем концепции DoR (Definition of Ready) и DoD (Definition of Done) при тестировании продуктов. Эти критерии, хоть и встречаются чаще в разработке, оказались невероятно полезны и для нас, тестировщиков. Они помогают четко понимать, когда задача готова к тестированию, а когда уже можно выдохнуть и сказать: «Готово!». В итоге — никаких срывов сроков и релизы день в день. В этой статье я расскажу на примере Solar webProxy, как DoD и DoR помогают нам повысить качество тестирования и с какими трудностями мы столкнулись, внедряя эти критерии.

Дмитрий Богомолов, архитектор отдела проектирования, подготовил материал о ключевых различиям DLP и DAG-решений.

Стремительный рост объемов неструктурированного корпоративного контента стал одной из острейших проблем для ИТ- и ИБ-подразделений. При этом, по оценке международной аналитической компании ITC, суммарный объем данных в ближайшей перспективе достигнет уровня 175 зеттабайт, или 175 миллиардов гигабайт, и существенная доля такой информации будет неструктурированной.

Поэтому управление доступом к неструктурированным данным становится проблемой для большинства крупных компаний. Мы часто слышим, что для решения подобных задач достаточно использовать DLP-системы. Да, нередко подобные продукты закрывают ряд задач по управлению доступом к неструктурированным данным, но в большинстве случаев использование специализированных DAG-платформ более эффективно с точки зрения управления рисками в крупных компаниях.

Наш блог центра исследования киберугроз Solar 4RAYS, запущенный в конце 2023 года, продолжает радовать новыми исследованиями активных кибергруппировок с техническим анализом их инструментария, тактик и техник. Некоторые статьи из блога, как эта, мы публикуем и здесь.

Сегодня мы решили поделиться своим опытом разработки детектирующей логики, позволяющей своевременно выявлять эксплуатацию уязвимостей, которые злоумышленники использовали, действуя в атакованной  инфраструктуре. Опираясь на информацию из статьи «Распутываем змеиный клубок: по следам атак Shedding Zmiy» мы выделим артефакты, на которые можно (и нужно!) обращать внимание при мониторинге защищаемой инфраструктуры.

Solar Dozor – это не просто DLP-система, а настоящий страж корпоративных данных, с более чем 20-летним опытом на рынке. Благодаря своей отказоустойчивости, масштабируемости и высокой производительности система востребована крупнейшими организациями России и СНГ.

Суперсила Solar Dozor – умение распознавать графические данные. С помощью технологии нейронной сети или, так называемого компьютерного зрения Dozor детектирует изображения и «понимает», что на них изображено. Система умеет идентифицировать паспорта, банковские карты, печати и даже технические чертежи, оформленные по ГОСТу. Это позволяет системе эффективно защищать корпоративные данные от утечек, распознавая и блокируя передачу конфиденциальных документов.

Привет! В предыдущих статьях мы рассказали, как смогли организовать стажировку в центре противодействия кибератакам Solar JSOC на 1,1 тыс. человек, и как составили идеальную программу обучения. В этой части мы поделимся, как выстроить процесс обучения для стажеров, трудоустроенных в службе мониторинга JSOC, и сделать так, чтобы более 60 сотрудников за несколько месяцев успешно прошли испытательный срок.

Привет! Мы около года занимаемся фронтенд (на Angular) и бэкенд (на Scala) разработкой в Solar webProxy. Наш продукт является системой Secure Web Gateway и обеспечивает фильтрацию HTTP и SOCKS5 трафика, защиту от вредоносных программ и утечек данных, проверку SSL и многое другое.

Год назад панель управления нашим приложением представляла собой ExtJS-приложение, в которое встраивались компоненты на Angular, а отчеты строились с помощью «форкнутой» Grafana версии 4. Такой «зоопарк» технологий рождал целый ряд проблем:

В 2023 году мы запустили блог центра исследования киберугроз Solar 4RAYS, где делимся аналитикой об актуальных угрозах, результатами расследований инцидентов, полезными инструментами для реагирования на кибератаки и другими практическими материалами. Наиболее интересные исследования из блога мы публикуем и здесь, и это — одно из них.

В конце прошлого года мы в команде Solar 4RAYS провели расследование атаки на российскую телеком‑компанию. Её сеть была скомпрометирована азиатской APT‑группировкой, которую мы назвали Obstinate Mogwai (или «Упрямый Демон» в переводе с английского). Почему «Упрямый?» Хакеры вновь и вновь проникали в атакованную организацию с помощью давно известной уязвимости десериализации ненадежных данных в параметре VIEWSTATE среды ASP.NET (далее будем называть это десериализацией VIEWSTATE).

Мы смогли окончательно закрыть злоумышленникам все возможности для проникновения. Сегодня мы расскажем историю исследования уязвимости, опишем, как обнаружить подобные атаки и как на них реагировать, а в конце приведем индикаторы компрометации.