Jet CSIRT стал использовать фиды IoC от Kaspersky ICS CERT

Jet CSIRT стал использовать фиды IoC от Kaspersky ICS CERT

Jet CSIRT стал использовать фиды IoC от Kaspersky ICS CERT

Центр мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет» интегрировал фиды IoC от Kaspersky ICS CERT об угрозах в системах промышленной автоматизации в SIEM-систему и базу знаний. Наличие уникальной информации об угрозах для промышленной инфраструктуры позволило повысить уровень экспертных сервисов аутсорсинга информационной безопасности для заказчиков из индустриального сектора.

Среди приоритетных ИБ-направлений компания «Инфосистемы Джет» выделяет развитие экспертных сервисов Jet CSIRT. Сегодня команда Центра насчитывает 40 специалистов, которые одновременно реализуют около 200 контрактов экспертных услуг: мониторинг и реагирование на инциденты ИБ, сервисы по техподдержке и эксплуатации средств защиты и другие. Для предоставления защиты «под ключ» максимально широкому кругу заказчиков Jet CSIRT использует сведения о киберугрозах из различных источников. Например, сюда входят бюллетени производителей и отчеты исследователей об уязвимостях в оборудовании, а также фиды от компаний, специализирующихся на анализе угроз в определенных областях. Ранее в арсенале специалистов были сведения преимущественно об угрозах в корпоративной ИТ-инфраструктуре. Между тем, фокус на обеспечении безопасности промышленных предприятий обусловил потребность в фидах об угрозах именно в АСУ ТП.

«Один из главных приоритетов в развитии нашего сервиса мониторинга и реагирования на инциденты ИБ — защита промышленных АСУ ТП, систем управления на объектах критической информационной инфраструктуры, объектов ТЭК. Особенно остро для нас встал вопрос о наличии информации об угрозах, специфичных для инфраструктуры промышленных предприятий. Проблема заключается в том, что в ИБ-индустрии пока очень мало организаций, ведущих системные исследования в области поиска индикаторов компрометации по угрозам АСУ ТП. Ещё меньшее количество компаний обладают достаточным числом источников данных об угрозах и штатом экспертов для их глубокого анализа. В стремлении выбирать лучшее для наших заказчиков мы проанализировали рынок и пришли к выводу, что лидером этого направления является “Лаборатория Касперского”», — отметил Алексей Мальнев, руководитель Центра мониторинга и реагирования на инциденты ИБ Jet CSIRT компании «Инфосистемы Джет».

Интегрировав поток данных об угрозах в системах промышленной автоматизации от «Лаборатории Касперского» в сентябре 2019 года, Jet CSIRT стал первым пользователем этого сервиса. Получаемые сведения позволяют специалистам своевременно обнаруживать вредоносное программное обеспечение и попытки атак на АСУ ТП и помогают расследовать сложные киберинциденты на промышленных предприятиях. Услуга подтвердила правильность выбора уже на этапе пилотного тестирования. Так, во время «пилота» используемые в Jet CSIRT средства обнаружения вторжений (IPS) успешно фиксировали сетевых червей, трояны, хакерские утилиты и т.д.

Обнаружение вредоносных программ и кибератак с помощью фидов IoC от Kaspersky ICS CERT происходит путем сравнения содержащихся в них индикаторов компрометации (Indicator of Compromise, IoC) с данными, собираемыми SIEM-системой с периметра сети, конечных станций и «песочниц». Примерами таких индикаторов служат IP- и URL-адреса, хеш-суммы файлов и т.д. Сведения об угрозах предоставляются в открытом формате JSON и постоянно обновляются.

«Данные регулярно обновляются за счет информации, получаемой через облачную инфраструктуру Kaspersky Security Network с защищаемых нашими продуктами компьютеров АСУ ТП. Эти данные проходят множество проверок как экспертными системами, так и аналитиками. Для этого используются, например, эвристический анализ, профилирование поведения, анализ подобия и многие другие техники и технологии, что позволяет гарантировать надежность поставляемых сведений», — прокомментировал Кирилл Круглов, старший разработчик-исследователь Центра исследования безопасности промышленных систем «Лаборатории Касперского» (Kaspersky ICS CERT).

Предполагаемый ботовод IcedID инсценировал свою смерть — не помогло

Украинец, разыскиваемый ФБР по делу о распространении трояна IcedID, попытался избежать экстрадиции в США, подкупив полицейских, чтобы те помогли ему попасть в списки умерших. Трюк сработал, но ненадолго.

Как пишет Cybernews со ссылкой на украинский Реестр исполнительных производств, хитрец допустил ошибку: после регистрации смерти киевским ЗАГС (по подложным документам) он остался в Ужгороде, по месту постоянной прописки, и в итоге был пойман.

Как выяснилось, оборотням в погонах удалось выдать за благодетеля безвестный труп, подменив идентификационные данные. Перед этим заказчик предусмотрительно переписал все свое имущество на родственников и знакомых.

Его опасения были не напрасны: через месяц стало известно об успехе Operation Endgame, очередного международного похода против ботнетов, созданных на основе особо агрессивных зловредов, в том числе банковского трояна IcedID.

Поиск подозреваемого после его мнимой смерти был прекращен, однако украинец в итоге чем-то привлек внимание правоохраны. Дело было вновь открыто, к повторному изучению свидетельств, раздобытых Интерполом и ФБР, были привлечены сторонние криминалисты и аналитики, и в итоге следствие пришло к выводу, что фигурант жив.

Триумфальное задержание произошло в конце 2025 года, однако обманщик даже тогда попытался выдать себя за другое лицо, предъявив фальшивые документы.

На его дом, автомобили и парковки наложен арест. Ввиду вероятности побега подозреваемого суд определил размер залога как $9,3 миллиона.

RSS: Новости на портале Anti-Malware.ru