Росреестр выделил 725 млн ₽ на лицензии и поддержку для своего центра управления инцидентами. Его задача – замечать инциденты и помогать их разбирать. В случае атаки важна скорость: как быстро удастся вернуть сервисы в работу. Документы закупки показывают, что деньги идут на защиту периметра, поиск уязвимостей, сбор событий и защиту рабочих мест.
Главная суперсила кибербезопасников: остановить атаку как можно раньше, пока она не нанесла непоправимый ущерб. Затем нужно понять масштаб и вернуть сервисы в работу.
Каждый час, пока сервисы недоступны, обходится бизнесу дороже. Может оказаться, что вредоносный скрипт поменял права у сотен сотрудников или удалил важные группы. Доступы вернутся только после восстановления прежних прав.
Если затронута служба каталога
Если инцидент затронул каталог, полностью восстанавливать его есть смысл после серьёзной аварии: когда он полностью испорчен или испорчены все данные в нём. Для одной удалённой группы такой способ избыточен. Банк же не закрывают на день, чтобы исправить один ошибочный перевод. Здесь нужен точечный возврат нужной группы, атрибута или права.
Хочется надеяться, что следующая крупная закупка Росреестра будет захватывать и защиту службы каталога – инфраструктуры нулевого уровня. Каталог обычно не замечают, как воздух, которым дышат. Но когда он перестаёт работать, бизнес это чувствует сразу: доступ к системам и данным пропадает. Нет каталога – нет доступа.
Нынешняя закупка закрывает две задачи: помогает раньше заметить атаку и быстрее её остановить. Но остановка атаки сама по себе не вернёт сервисы в работу. У каждой критичной системы свой сценарий восстановления. Для каталога это точечный возврат прав без отката всего каталога.
