This stream auto-updates
- Earlier
-
Недавно на российском рынке появился новый сервис повышения киберграмотности МТС RED на базе платформы Phishman. Он отличается широким набором учебных материалов, а также возможностью интеграции с корпоративными системами и решениями по кибербезопасности. ВведениеСостав и формат реализации сервиса повышения киберграмотности МТС REDФункциональные возможности и архитектура системы обучения PhishmanИнтерфейсФишингСоздание фишинговых писем и формУправление сотрудникамиОбучениеОтчётностьПравилаПодключение и сопровождение сервиса повышения киберграмотности МТС REDВыводыВведениеС каждым годом информационные технологии всё глубже проникают во все сферы жизни, в том числе в корпоративную среду. Поэтому всё более актуальным в компаниях становится обучение сотрудников основам кибербезопасности и культуре безопасного поведения. Несмотря на внедрение различных межсетевых экранов, антивирусов, систем предотвращения утечек и прочего, даже комплексные системы защиты (SIEM, IRP, SOAR и другие) не позволяют добиться эффекта абсолютной защищённости, так как пользователем информационных систем компании остаётся человек, от которого и зависит их безопасность.Подавляющее большинство угроз, нацеленных на компанию, связаны с действиями сотрудников внутри: соблюдают ли они общие принципы кибербезопасного поведения, применяют ли в своей работе практики, позволяющие повысить уровень защищённости. В целом человеческий фактор остаётся самым уязвимым звеном в кибербезопасности, что требует использовать упреждающие способы защиты и постоянно повышать осведомлённость сотрудников в сфере борьбы с киберугрозами.Для решения этой задачи на рынке ИБ существует класс продуктов «обучение сотрудников основам кибербезопасности» (Security Awareness). Постоянное повышение осведомлённости позволяет существенно снизить риски для кибербезопасности компаний. Вышедший на днях на российский рынок новый сервис повышения киберграмотности МТС RED на базе системы Phishman позволяет реализовать комплексный — теоретический и практический — подход к обучению для формирования у сотрудников культуры кибербезопасного поведения.Состав и формат реализации сервиса повышения киберграмотности МТС REDВ состав сервиса повышения киберграмотности МТС RED входят:Услуга по проведению тренировочных фишинговых рассылок: планирование, подготовка и рассылка тренировочных фишинговых писем по необходимой заказчику тематике.Услуга по сопровождению процесса обучения, включая анализ бизнес-процессов заказчика, поиск оптимальных форм тренировочных рассылок и настройки интеграций (при необходимости).Услуга по подготовке персонализированных под клиента фишинговых писем и форм.Предоставление фишингового домена для компании-клиента с целью учёта статистики рассылок.Доступ к системе обучения Phishman для прохождения пользователями обучающих курсов.Доступ к порталу управления параметрами сервиса.Услуга по предоставлению отчётности за заданный период по результатам прохождения сотрудниками обучения и эффективности тренировочных фишинговых рассылок.Сервис предоставляется в двух моделях на выбор заказчика: в облачной инфраструктуре МТС RED (заказчик получает к ней защищённый доступ) или в инфраструктуре заказчика (специалисты МТС RED получают к ней защищённый доступ для администрирования).Функциональные возможности и архитектура системы обучения PhishmanФункциональность системы включает в себя:проведение тренировочных фишинговых рассылок и учёт статистики по ним;назначение обучения сотрудникам;формирование отчётов по результатам тренировочных фишинговых рассылок и обучения;автоматизация процессов обучения и формирования тренировочных фишинговых рассылок с помощью правил;интеграции с системами управления обучением (Learning Management System, LMS), с Active Directory и со средствами защиты (антивирус, МТС RED SOC).Архитектурно система состоит из трёх элементов:Модуль обучения (образовательный портал) — собственная LMS для прохождения пользователями курсов.Модуль (портал) администрирования — управление настройками системы, создание тренировочных фишинговых рассылок, назначение учебных программ, администрирование системы в целом.Модуль фиксации (учёта статистики) тренировочных фишинговых рассылок.Интерфейс Рисунок 1. Интерфейс системы Phishman Продукт имеет дружественный и интуитивно понятный интерфейс. На главной странице отображаются комплексные показатели, демонстрирующие уровень риска и устойчивость работников к фишингу. Кроме того, здесь можно увидеть топ уязвимых и стойких сотрудников, а также фишинговую активность по часам.Фишинг Рисунок 2. Страница создания тренировочных фишинговых атак Одна из основных функций сервиса МТС RED на базе Phishman — создание тренировочных фишинговых атак. При их создании можно выбрать вид атаки и задать время рассылки. Доступно три типа атак: обычная, автоматическая и случайная автоматическая.Обычная атака позволяет отправить письма в строго фиксированный момент времени. Автоатака подразумевает отправку писем всем сотрудникам в несколько волн в определённом временном интервале. Случайная автоатака в дополнение к предыдущей схеме позволяет выбрать, какая часть (доля) сотрудников и шаблонов фишинговых писем будет задействована в каждой волне рассылки. Рисунок 3. Параметры фишинговой атаки После выбора типа атаки можно назначить её цели (сотрудников, на которых будет направлена рассылка) и шаблоны.Создание фишинговых писем и форм Рисунок 4. Страница шаблонов При выборе шаблонов имеется возможность поиска и выбора по категориям. Сейчас в системе доступно 12 категорий шаблонов из различных сфер деятельности, таких как онлайн-сервисы, услуги, образование, социальные сети. Имеется функция поиска необходимых шаблонов. Рисунок 5. Редактор фишинговых шаблонов и форм Система Phishman позволяет создавать шаблоны для фишинговых писем и форм с помощью встроенного редактора. Здесь можно задать название фишингового письма, выбрать категорию шаблона, по которому письмо будет сформировано, составить текст письма. При необходимости можно также внести правки в исходный код (HTML) элементов формы — например, чтобы исправить съехавшую разметку, убрать ссылки на оригинальные страницы и проч.Управление сотрудниками Рисунок 6. Раздел «Сотрудники» При формировании тренировочного фишингового письма можно либо добавлять сотрудников в список адресатов вручную, либо автоматически загружать перечень из CSV-файла либо из службы каталогов с помощью LDAP-протокола. Каждый сотрудник должен быть привязан к отделу. Отделы имеют иерархическую структуру. Рисунок 7. Добавление нового сотрудника Перед добавлением сотрудника вручную требуется создать отдел. Ручное добавление сотрудников происходит путём ввода данных и выбора отдела либо путём перечисления в аналогичном CSV формате (данные о пользователях указываются через запятую в каждой строке). Рисунок 8. Поиск по сотрудникам В интерфейсе также имеется опция поиска по сотрудникам. Фильтр поиска можно настраивать как по основным атрибутам пользователей (Ф. И. О., отдел, адрес электронной почты), так и по более специфичным (уровень риска / устойчивости, дата добавления сотрудника в систему, дата перемещения в другой отдел, учебные группы).Сотрудники по умолчанию распределяются в системе по отделам, но их также можно отдельно добавлять в учебные группы, что позволяет объединять сотрудников, например, по уровню знаний и назначать им соответствующее их уровню обучение. Рисунок 9. Настройка синхронизации с Active Directory Для загрузки списка пользователей из Active Directory (AD) требуется настроить параметры подключения и указать учётную запись для доступа. В дополнительных параметрах можно указать отделы, которые следует исключить из синхронизации, а также настроить фильтры поиска по AD и используемые атрибуты в AD для Ф. И. О. Рисунок 10. Дополнительные параметры синхронизации с Active Directory Обучение Рисунок 11. Раздел обучения Раздел обучения включает в себя список учебных программ, а также строку для поиска. Сотрудники компании по умолчанию имеют доступ ко всем учебным программам своей компании, однако пользователи сервиса могут настроить доступ конкретного сотрудника (или группы) к конкретным обучающим курсам. Обучение для сотрудников может назначаться вручную либо при возникновении различных событий из области безопасности на основе заданных в системе правил. Например, если сотрудник попытался отправить на внешний адрес электронной почты скан паспорта, ему будет автоматически назначен курс «Защита конфиденциальной информации». Рисунок 12. Создание учебной программы Для назначения обучения нужно создать учебную программу, куда включаются нужные курсы. На момент публикации обзора в сервисе представлено 15 курсов обучения. В последнем обновлении системы Phishman были добавлены специализированные курсы по 187-ФЗ (КИИ) и 152-ФЗ (персональные данные), включающие в себя полноценное обучение по всем аспектам этих законодательных актов и обязательную проверку знаний по итогам. При создании учебной программы можно выбрать период и порядок прохождения курсов, количество попыток. Рисунок 13. Выбор курсов После установки основных параметров происходит выбор курсов, а также сотрудников, которым они будут назначены. Сотрудники получают уведомление о назначенном им обучении, а новым работникам высылаются данные для входа в личный кабинет на образовательном портале. Рисунок 14. Интерфейс образовательного портала Прохождение курсов осуществляется на отдельном образовательном портале. Сотрудник входит на портал после получения регистрационных данных (логин и пароль). После входа можно увидеть ориентировочное время, необходимое для прохождения курса, и его название, а также выбрать любой из назначенных сотруднику курсов. Рисунок 15. Пример курса Каждый курс открывается в отдельном окне, при необходимости его можно развернуть на весь экран. Этапы прохождения курсов фиксируются, пользователь всегда может вернуться к прохождению с того места, на котором остановился. На главной странице курса есть значок «Термины»; нажав на него, сотрудник может ознакомиться с определениями основных терминов, встречающихся в курсе. Значок «Меню» позволяет увидеть перечень основных разделов (страниц) курса и осуществлять удобную навигацию по ним.Отчётность Рисунок 16. Стандартные виды отчётов В продукте представлено несколько вариантов отчётов по результатам фишинговых атак и обучения сотрудников. Можно выбрать любой вариант из заданных в системе или создать свой (пользовательский) вариант отчёта. Рисунок 17. Выбор отчёта Для формирования отчёта нужно выбрать фишинговую атаку или учебную программу. После этого можно сформировать отчёт и увидеть его содержимое. На странице отчёта показываются графики и таблица со статистикой. Все отчёты доступны для скачивания в форматах PDF и XLSX. Рисунок 18. Пример отчёта На странице отчёта можно сразу посмотреть сам отчёт в графическом представлении. В случае с отчётом по фишинговым атакам можно увидеть общую статистику по сотрудникам, минимальное время реакции на фишинг, кто из работников переходил по ссылкам или открывал вложения.Правила Рисунок 19. Раздел правил В продукте присутствует функциональность создания правил, позволяющих автоматизировать рутинные действия, такие как назначение обучения или отправка фишинга, и дающих возможность автоматически реагировать на действия различных подключённых источников данных о событиях по безопасности — например, антивируса. Клиентам центра мониторинга и реагирования на киберинциденты МТС RED также доступна интеграция с МТС RED SOC, что позволит оперативно назначать обучение основам киберграмотности по результатам корреляции и / или анализа событий первой линии мониторинга. Таким образом можно назначать курсы по событиям от всех используемых в компании средств защиты информации. Помимо назначения обучения при регистрации инцидента можно создать правило, позволяющее автоматически назначать обучение новым сотрудникам. Рисунок 20. Создание правила Для создания правила требуется указать его имя и время проверки. Рисунок 21. Выбор событий для правила После указания периода срабатывания и имени правила выбираются события, при наступлении которых оно будет применяться (например, переход по фишинговой ссылке). Рисунок 22. Действия при создании После формирования списка сотрудников происходит выбор действия, которое будет выполняться при наступлении заданного события (например, запись на учебный курс).Подключение и сопровождение сервиса повышения киберграмотности МТС REDДля подключения к сервису клиент заполняет опросный лист с базовой информацией о компании и указанием способа подключения сервиса. Специалисты МТС RED организуют доступ к системе обучения и помогут загрузить в систему список сотрудников компании. По запросу возможно использование защищённого с помощью ГОСТ VPN канала передачи данных.Команда МТС RED формирует необходимые заказчику тренировочные фишинговые рассылки, утверждает их дизайн и целевые группы у клиента. По согласованию с заказчиком формируются триггеры — события в информационных системах компании, при срабатывании которых сотрудникам автоматически назначается то или иное обучение.Ежемесячно компания получает отчёты о прохождении сотрудниками курсов обучения. Также в течение всего срока действия подписки на сервис пользователям доступны все обновления обучающих курсов — не только имеющихся в системе Phishman, но и разработанных сервисной командой МТС RED. Кроме того, сервис включает в себя решение любых задач по администрированию и сопровождению системы повышения киберграмотности сотрудников силами специалистов МТС RED.ВыводыСервис повышения киберграмотности МТС RED на базе системы Phishman имеет простой и удобный пользовательский интерфейс, обладает одним из самых широких на рынке наборов обучающих курсов для сотрудников. Интеграция с центром мониторинга и реагирования на киберинциденты МТС RED SOC, антивирусными и другими решениями по кибербезопасности позволяет компаниям отрабатывать ИБ-навыки своих сотрудников на реальных событиях.Читать далее -
Новые функции в Universal Virus Sniffer (uVS)
PR55.RP55 replied to demkd's topic in Universal Virus Sniffer (uVS) - развитие, использование и решение проблем
Сейчас есть проблемы с проверкой состояния UEFI Предлагаю добавить в uVS возможность копирования\бекап BIOS\UEFI Или как минимум получение информации. ( Версия; дата и т.д. ) Для последующего анализа\передачи файла на V.T. и вир. лабы. -
Компания ESET (/исэ́т/) — лидер в области информационной безопасности — представляет новые комплексные решения для многоуровневой и мультиплатформенной защиты, которые доступны в виде подписок — ESET HOME Security Essential и ESET HOME Security Premium. Таким образом, пользователи смогут обеспечить еще более мощную защиту устройств домашней сети на всех распространенных операционных системах, включая Windows, macOS, Android и iOS, а также позаботиться о безопасности важных конфиденциальных данных. Кроме того, была усовершенствована платформа управления безопасностью — ESET HOME, которая позволяет просматривать состояние домашних сетей и подключенных смарт-устройств, управлять лицензиями и загружать программы, доступные в рамках подписки. «Мы рады представить новые решения ESET для домашних пользователей. Это больше, чем просто безопасность, это комплексная защита пользователей в современной цифровой среде. Специалисты ESET объединили искусственный интеллект, человеческий опыт и облачную защиту для современной защиты от различных киберугроз. Новые планы подписок ESET обеспечивают многоуровневую защиту конфиденциальности и безопасность устройств домашней сети», — прокомментировала Мария Трнкова, директор по маркетингу ESET. Новые планы подписок и их возможности Теперь домашним пользователям доступны два плана подписок для защиты устройств — ESET HOME Security Essential и ESET HOME Security Premium, которые отвечают потребностям отдельных пользователей и их сетей для обеспечения конфиденциальности и безопасности цифровой жизни. Пользователи ESET HOME Security Essential или ESET HOME Security Premium могут использовать мощную защиту для всех основных операционных систем — Windows, macOS, Android и iOS (но количество одновременно защищенных устройств должно оставаться в рамках подписки!). ESET HOME Security Essential — это план стандартной подписки, который обеспечивает современную и многоуровневую защиту устройств от различных видов угроз в режиме реального времени с помощью следующих модулей: платформа ESET HOME для управления защитой; современная антивирусная защита ноутбуков и компьютеров (на базе операционной системы Windows — с помощью ESET Internet Security, на базе операционной системы macOS — с помощью ESET Cyber Security), смартфонов и планшетов Android (с помощью ESET Mobile Security), а также защита смарт ТВ (с помощью ESET Smart TV Security); родительский контроль (с помощью ESET Parental Control), который позволяет родителям контролировать использование мобильных устройств детьми; защита онлайн-банкинга и безопасный браузер, которые позволяют защищать конфиденциальные данные пользователей при осуществлении онлайн-платежей; расширение для конфиденциальности и безопасности браузера; инспектор сети, который предоставляет информацию о безопасности роутера и подключенных устройствах. Следует отметить, что с выходом обновленных решений были улучшены функции конфиденциальности и безопасности благодаря добавленным расширениям браузера. Кроме этого, пользователям также доступен инструмент очистки, который удаляет файлы cookie, историю и многое другое из браузера, автоматически или по требованию. ESET HOME Security Premium — план премиум-подписки, который обеспечивает еще более мощную защиту ноутбуков и компьютеров с помощью дополнительных модулей. Таким образом, в рамках данной подписки пользователям доступны все модули ESET HOME Security Essential, а также дополнительные уровни защиты ноутбуков и компьютеров (составляющие программы ESET Smart Security Premium): защита информации с помощью шифрования; управление паролями для защиты и хранения паролей и личных данных пользователей, а также для автоматического ввода данных для входа, что экономит время пользователей при заполнении веб-форм; мощное шифрование файлов и сменных носителей, что обеспечивает защиту конфиденциальных данных и предотвращает похищение информации при потере USB-накопителя или ноутбука; инструмент облачной защиты ESET LiveGuard, специально разработанный для обнаружения и обезвреживания неизвестных угроз. Подробнее о планах подписок и сравнение их функций читайте по ссылке. Обновленная платформа для управления безопасностью! Благодаря улучшению платформы ESET HOME пользователям доступны следующие возможности: управление устройствами, покупка, активация и обновление подписок, загрузка или обновление решений по безопасности, а также включение функций, в частности Управление паролями. Кроме того, теперь пользователи смогут просматривать общий уровень безопасности домашней сети, который учитывает состояние действия лицензий и статус защиты устройств, подключенных к учетной записи в трех категориях: «Защищено», «Требуется внимание» и «Предупреждение безопасности». Таким образом, пользователи получают самую современную защиту, тогда как для настройки продукта требуется минимальное взаимодействие. В то же время, новая платформа имеет параметры и функциональные возможности для активных пользователей, которые хотят контролировать и настраивать все самостоятельно. Следует отметить, что ESET HOME доступна для использования в виде веб-портала или мобильного приложения для устройств iOS и Android. Следует отметить, что помимо новых планов подписок пользователям все еще доступна защита отдельных устройств, в частности ноутбуков и компьютеров Windows, смартфонов и планшетов Android, а также программа для родительского контроля и защита смарт-телевизора. Чтобы попробовать новые возможности защиты ESET, перейдите по ссылке. Пресс-выпуск. -
Актуальные версии антивируса 17-го поколения
Ego Dekker добавил тема в Eset NOD32 Antivirus & Smart Security
ESET NOD32 Antivirus 17.0.15 (Windows 10, 32-разрядная) ESET NOD32 Antivirus 17.0.15 (Windows 10/11, 64-разрядная) ESET Internet Security 17.0.15 (Windows 10, 32-разрядная) ESET Internet Security 17.0.15 (Windows 10/11, 64-разрядная) ESET Smart Security Premium 17.0.15 (Windows 10, 32-разрядная) ESET Smart Security Premium 17.0.15 (Windows 10/11, 64-разрядная) ESET Security Ultimate 17.0.15 (Windows 10, 32-разрядная) ESET Security Ultimate 17.0.15 (Windows 10/11, 64-разрядная) ● ● ● ● Руководство пользователя ESET NOD32 Antivirus 17 (PDF-файл) Руководство пользователя ESET Internet Security 17 (PDF-файл) Руководство пользователя ESET Smart Security Premium 17 (PDF-файл) Руководство пользователя ESET Security Ultimate 17 (PDF-файл) Полезные ссылки: Технологии ESET ESET Online Scanner Удаление антивирусов других компаний Как удалить антивирус 17-й версии полностью (пользователям Windows)? -
Обзор услуг кибербезопасности от МегаФон ПроБизнеса
AM_Bot добавил тема в Выбор корпоративных средств защиты
«МегаФон ПроБизнес» с 2016 года предоставляет услуги информационной безопасности по модели MSSP (Managed Security Service Provider). Рассмотрим, какие сервисы предлагает компания и какие риски в ИБ минимизирует. ВведениеЗащита от DDoS-атакWAFNGFWЗащита корпоративной почтыКриптозащитаАнализ защищённости ИТ-инфраструктуры7.1. Решения для анализа безопасности ИТ-инфраструктуры7.2. Соответствие нормативным требованиямВыводыВведениеСогласно исследованию «Лаборатории Касперского», 42 % компаний обращаются к поставщикам управляемых ИБ-услуг (MSSP) в связи с нехваткой собственных специалистов по информационной безопасности, ещё столько же — в связи с экономической целесообразностью и необходимостью следования требованиям регуляторов.Согласно выводам из того же исследования, среди главных угроз ИБ следует выделять ненадлежащее использование ИТ-ресурсов сотрудниками компании, атаки с целью вызвать отказ в обслуживании (DDoS), инциденты с поставщиками услуг.Впервые «МегаФон ПроБизнес» начал предоставлять сервис по модели MSSP семь лет назад — это была «Защита от DDoS-атак». Сейчас в портфеле компании уже более 15 решений. Рассмотрим некоторые сервисы и предоставляемую ими помощь в борьбе с обозначенными угрозами.Общий обзор российского рынка и сравнение провайдеров услуг по управлению информационной безопасностью (MSSP) наша редакция проводила ранее.Защита от DDoS-атак«Защита от DDoS-атак» — это сервис мониторинга и защиты сетевой инфраструктуры, веб-ресурсов компании от атак, результатом которых может стать недоступность активов, использующих внешние адреса. Подобные действия могут совершаться с разными целями: для вмешательства конкурентов, шантажа, сокрытия атак другого типа и т. д. Обзор этого сервиса публиковался ранее.Услуга «Защита от DDoS-атак» осуществляет фильтрацию вредоносного трафика и сохраняет доступность сервисов и приложений легитимным пользователям.Сервис построен на базе высокопроизводительного аппаратно-программного комплекса фильтрации, который входит в реестр отечественного ПО и имеет сертификат соответствия от ФСТЭК России. Защита осуществляется на уровнях L3–L7 (от сетевого до уровня приложений), а реакция на атаку может наступить уже через пять секунд. Система способна отражать крупномасштабные атаки объёмом до 300 Гбит/c.Настройка услуги занимает от 15 минут до двух часов в зависимости от сложности, а само подключение может производиться в том числе и под атакой. Выделенная служба мониторинга и реагирования работает круглосуточно и без выходных.Всего под защитой описываемого сервиса находятся более 1100 организаций, включая банки из топ-10, организации из госсегмента и телеком-сектора.WAFУслуга «МегаФон WAF» предназначена для защиты веб-приложений от сетевых атак различных типов, включая вредоносные операции с использованием бот-сетей, атаки на прикладные интерфейсы (API) и эксплуатацию уязвимостей из перечня OWASP Top-10 (наиболее опасные бреши по мнению некоммерческой организации Open Web Application Security Project Foundation).Принцип работы услуги заключается в фильтрации веб-трафика программным комплексом межсетевого экранирования уровня приложений, установленном в «МегаФон Облаке» или в инфраструктуре клиента (on-premise). В случае обнаружения вредоносного трафика, попыток взлома приложений, кражи информации или чрезмерного потребления ресурсов серверных платформ такие попытки блокируются, а в приложения передаются только легитимные запросы.NGFWМежсетевой экран следующего поколения (NGFW) от «МегаФона» защищает информационные ресурсы от компьютерных атак, обеспечивает безопасный удалённый доступ по VPN и фильтрует интернет-запросы пользователей. Для этого используются модули предотвращения вторжений, антивирусной проверки, инспекции трафика и другие.NGFW предоставляется из «МегаФон Облака» или устанавливается в собственную инфраструктуру компании.Защита корпоративной почтыУслуга «Защита корпоративной почты» предназначена для очистки почтового трафика от спама, фишинга и вредоносных программ. Принцип действия заключается в перенаправлении почтового трафика через фильтрующие узлы путём перенастройки MX-записи в базе DNS-регистратора домена. Решение позволяет гибко настраивать все функции безопасности, в том числе и исключения для входящего почтового трафика.КриптозащитаВ рамках услуги «Криптозащита» шифруется вся информация, передаваемая по открытым каналам связи. Это позволяет обеспечивать конфиденциальность данных даже в случае их перехвата злоумышленниками.Шифрование передаваемого трафика выполняется с использованием современных российских криптографических алгоритмов на высокопроизводительном криптооборудовании ведущих производителей. Сервис позволяет организовать защищённое взаимодействие между географически удалёнными объектами в любых регионах России и выполнить требования регуляторов и российского законодательства. В рамках услуги «Криптозащита» используются СКЗИ (средства криптографической защиты информации), сертифицированные ФСБ России.Анализ защищённости ИТ-инфраструктуры«МегаФон ПроБизнес» предоставляет широкий спектр услуг по анализу защищённости ИТ-инфраструктуры, которые можно условно разделить на практическую безопасность и соответствие нормативным требованиям.Решения для анализа безопасности ИТ-инфраструктурыВ рамках услуг по анализу практической безопасности компания осуществляет поиск уязвимостей и ошибок в процессах обеспечения ИБ, которыми могут воспользоваться злоумышленники для совершения кибератак. «МегаФон ПроБизнес» предоставляет шесть услуг, направленных на выявление проблем связанных с уязвимостями и потенциальных инцидентов в ИБ.Объектами анализа могут быть внутренняя и внешняя инфраструктура, мобильные и веб-приложения, сети Wi-Fi, сотрудники (социотехнические тестирования), системы дистанционного банковского обслуживания (ДБО), автоматизированные системы управления технологическим процессом (АСУ ТП), бизнес-приложения (ERP, CRM) и другие. При проведении анализа защищённости описываются границы работ и модели нарушителей, составляется список выявленных уязвимостей и ошибок в бизнес-логике, разрабатываются подробные рекомендации по устранению выявленных уязвимостей. Также эксперты «МегаФон ПроБизнеса» дают общее заключение об уровне защищённости инфраструктуры и предоставляют рекомендации по его повышению.Тестирование на проникновение (пентест) помогает найти критические уязвимости. Команда «МегаФон ПроБизнеса» оценивает устойчивость инфраструктуры в случае вторжения злоумышленника и выявляет возможную глубину продвижения вглубь системы. Анализ защищённости используют для определения общего уровня безопасности инфраструктуры. Определяется максимальное количество уязвимостей, через которые может быть совершено вторжение злоумышленника без продвижения вглубь инфраструктуры. Во время командной имитации реальных кибератак (Red Teaming) проверяется работа технической защиты и команды ИБ, оцениваются скорость и эффективность реагирования на различные угрозы. Услуга реагирования на инциденты в ИБ включает в себя пакет сервисов по оперативному реагированию или расследованию уже случившихся инцидентов, а также подключение команды экспертов «МегаФон ПроБизнеса» для устранения последствий кибератак и проведения компьютерной криминалистической экспертизы (форензики). Преимуществом пакетного подхода является то, что если к концу срока там остались неиспользованные часы, то их можно потратить на другие виды активности. Аудит в формате «As Is / To Be» — это комплексное изучение уровня ИБ и процессов управления ИТ-инфраструктурой: оценка процессов, выявление и описание проблемных зон, выдача рекомендаций по их устранению с предоставлением дорожной карты и бюджетной оценки модернизации СУИБ и системы управления ИТ-процессами, анализ существующей архитектуры инфраструктуры и средств информационной безопасности, предоставление рекомендаций по настройке элементов инфраструктуры (харденинг). В рамках аудита и построения процессов безопасной разработки (SSDLC) команда «МегаФон ПроБизнеса» исследует конвейер разработки, адаптирует методологии и процессы для трансформации и перехода к безопасной разработке ПО.Соответствие нормативным требованиямАнализ соответствия нормативным требованиям может включать в себя несколько направлений. Для субъектов КИИ производятся обследование, категорирование и проектирование системы защиты значимых объектов критической информационной инфраструктуры и реализация системы защиты в соответствии с требованиями закона № 187-ФЗ. В связи с регулярно озвучиваемыми планами по увеличению штрафов за утечки персональных данных, услуга анализа и оценки соответствия требованиям закона № 152-ФЗ «О персональных данных» поможет понять, какие риски для бизнеса существуют в реалиях компании. Ещё одна услуга, оказываемая провайдером, — аттестация ГИС по требованиям ФСТЭК России, необходимая, в частности, для государственных информационных систем.ВыводыСервисы, предоставляемые «МегаФон ПроБизнесом» по модели MSSP, востребованны по нескольким причинам: они позволяют компаниям строить эффективную информационную защиту, экономить на капитальных инвестициях в собственную инфраструктуру и фонд оплаты труда, не тратить время на подбор квалифицированного персонала и его адаптацию под применяемые СЗИ, своевременно получать квалифицированную экспертизу от команды провайдера.Команда «МегаФон ПроБизнеса» регулярно участвует в программах поиска уязвимостей за вознаграждение (Bug Bounty) и обладает рядом профильных сертификатов, таких как CEH, CHFI, CND, MCSE, EXIN, OSCP, CISSP. Имеется опыт внедрения процессов ИБ и участия в расследовании инцидентов. При необходимости оперативная команда провайдера выезжает на место инцидента с целью поиска улик, которые могут понадобиться для дальнейшего расследования.Реклама. Рекламодатель ПАО «МЕГАФОН», ИНН 7812014560, ОГРН 1027809169585 от 15 июля 2002 г.LdtCKW8PDЧитать далее -
macos Актуальные версии антивируса 7-го поколения
Ego Dekker replied to Ego Dekker's topic in Eset NOD32 Antivirus & Smart Security
Домашние антивирусы для macOS были обновлены до версии 7.4.1600. -
26 октября Positive Technologies выпустила новую версию системы MaxPatrol SIEM — 8.0. Нововведения в продукте позволяют гарантированно выявлять попытки нарушения киберустойчивости компаний и инциденты в ИБ, ведущие к реализации недопустимых событий. ВведениеУпрощение работы аналитиков (Analyst Experience)2.1. Новый модуль BAD с машинным обучением2.2. Обновлённая карточка события2.3. Перекрёстные поисковые запросы и реагирование из карточки события2.4. Повышение удобства работы с PDQL2.5. Просмотр связанных корреляционных событий2.6. GeoIP: определение местоположения узлов по IP-адресуСкорость обработки — свыше 540 000 EPSДвукратная оптимизация ресурсовВыводыВведениеВ MaxPatrol SIEM 8.0 мы увеличили скорость обработки инцидентов операторами — за счёт того, что появилась новая подсистема поддержки принятия решений Behavioral Anomaly Detection (BAD), основанная на машинном обучении (ML). Также обновлена карточка события, которая позволяет просматривать связанные корреляционные феномены, проверять потенциально опасные артефакты и реагировать без переключения между интерфейсами разных продуктов. При этом скорость обработки превысила 540 000 событий в секунду, а ресурсов теперь требуется в два раза меньше, чем раньше.Упрощение работы аналитиков (Analyst Experience)По данным Forrester, аналитики центра мониторинга (SOC) посвящают основную часть времени не своим прямым задачам — расследованию инцидентов и реагированию на них, — а тому, чтобы преодолеть сложности использования инструментов ИБ. Одно из фокусных направлений развития MaxPatrol SIEM — упрощение деятельности аналитика (analyst experience, AX). Глобальная задача состоит в том, чтобы пользователь без опыта работы с системами этого класса смог быстро разобраться в продукте и обеспечивать с его помощью результативную кибербезопасность. Рисунок 1. Структура AX Совершенствование AX в MaxPatrol SIEM затрагивает сразу несколько аспектов: экспертизу, которая помогает без дополнительных вложений и доработок начать выявлять инциденты уже во время пилотного тестирования,технологии машинного обучения, берущие на себя рутинную работу аналитика (например, пометить похожие события как ложноположительные, написать похожие запросы) и помогающие принимать решения,оптимизацию интерфейса, позволяющую выявлять, расследовать инциденты и реагировать на них в едином окне.Специалисты нашего экспертного центра кибербезопасности PT Expert Security Center (PT ESC) и исследователи Positive Technologies постоянно изучают новые угрозы и регулярно передают данные о способах их выявления в единую базу знаний PT Knowledge Base в виде пакетов экспертизы. Кроме того, мы постоянно совершенствуем механизмы работы с базой знаний. В новой версии, например, установка и обновление правил нормализации и агрегации для облегчённой версии компонента MaxPatrol SIEM Server теперь происходят автоматически.Новый модуль BAD с машинным обучениемКак мы уже упоминали, в новой версии продукта появилась подсистема поддержки принятия решений на основе технологий машинного обучения — BAD (Behavioral Anomaly Detection). Этот модуль помогает оператору SOC принять решение с опорой не только на срабатывания правил корреляции, но и на альтернативное мнение о поведении объектов, связанных с событием. BAD выставляет оценку риска (risk score) от 0 до 100 на основании результатов работы порядка 30 моделей машинного обучения, основанных на более чем двадцатилетнем опыте изучения поведения злоумышленников во время атаки.Нагляднее — в нашем видео: Модуль BAD предоставляет больше контекста и информации о происходящем, поэтому его можно назвать интеллектуальным помощником, системой «второго мнения», помогающей сократить время на принятие решения.При этом инструмент для жёсткого профилирования в MaxPatrol SIEM также присутствует. Подробнее о нём можно прочитать здесь.Обновлённая карточка событияЦелый ряд изменений затронул работу с настраиваемыми карточками событий. Чтобы аналитик мог сконцентрироваться на наиболее важных деталях, мы упростили доступ к данным о субъекте, объекте, отправителе, получателе и источнике события, а также изменили внешний вид карточек нормализованных и корреляционных событий. Рисунок 2. Карточка события В новой версии можно изменить отображение карточки события с учётом требований конкретного пользователя и настроить удобный набор визуализируемых полей с гранулярностью PDQL-фильтра. Напомним, что PDQL (Positive Data Query Language) — это язык, разработанный в Positive Technologies для написания запросов к базе знаний при обработке событий, инцидентов, динамических групп активов и табличных списков.Перекрёстные поисковые запросы и реагирование из карточки событияВ MaxPatrol SIEM 8.0 можно отправлять поисковые запросы в сторонние системы и сервисы прямо из карточки события. На данный момент поддерживаются MaxPatrol EDR, PT Network Attack Discovery (PT NAD), RST Cloud, Spur, Whois7, VirusTotal, IP-API, AbuseIPDB, PT Threat Analyzer и др. MaxPatrol SIEM можно использовать совместно с MaxPatrol EDR. Таким образом помимо расширенных возможностей для фильтрации и группировки событий мы обеспечиваем реагирование на инциденты непосредственно со страницы события. Это существенно сокращает время реакции операторов и позволяет быстрее останавливать атаки. Рисунок 3. Реагирование на инцидент Повышение удобства работы с PDQLДля написания запросов в MaxPatrol SIEM 8.0 не нужно изучать документацию. В новой версии PDQL-запросы для фильтрации и группировки событий можно копировать и передавать как обычный текст. Например, чтобы передать запрос другому оператору, достаточно скопировать текст запроса и переслать его по электронной почте или в мессенджере.Для повышения удобства работы с запросами в скором времени появится подсветка синтаксиса PDQL в поле фильтра событий, а также конструктор условий с возможностью автозаполнения.Просмотр связанных корреляционных событийВ MaxPatrol SIEM 8.0 стало легче работать с инцидентами благодаря проверке гипотез. Просмотр связанных корреляционных событий повышает скорость обработки инцидентов. Аналитик может быстро перейти из дерева гипотез на интересующее его событие. Рисунок 4. Работа с деревом гипотез GeoIP: определение местоположения узлов по IP-адресуАктуальное обновление в настоящее время — это определение местоположения узлов по IP-адресу. В MaxPatrol SIEM 8.0 можно настроить обогащение событий данными GeoIP, дополнив информацию о событии уникальным номером (ASN), данными о городе, стране и организации, которым принадлежат узел-источник и узел назначения. Рисунок 5. Статистика по GeoIP Рисунок 6. Использование данных GeoIP Скорость обработки — свыше 540 000 EPSПроизводительность MaxPatrol SIEM продолжает увеличиваться, чтобы мониторинг энтерпрайз-уровня обеспечивался при самых высоких нагрузках. Скорость мониторинга выросла в девять раз: MaxPatrol SIEM 8.0 может обрабатывать более 540 000 событий в секунду (events per second, EPS) на одном ядре с полным набором экспертизы. Добиться такого результата удалось в том числе за счёт архитектурных возможностей: горизонтальное масштабирование позволяет подключать несколько конвейеров к одному ядру.Двукратная оптимизация ресурсовНайти подходящее оборудование — сегодня по-прежнему нетривиальная задача. Мы стремимся оптимизировать требования к аппаратным мощностям.Например, для развёртывания системы MaxPatrol SIEM 8.0, которая обрабатывает до 5000 EPS, требуется в два раза меньше виртуальных процессоров (vCPU) и вдвое меньше оперативной памяти, чем в предыдущих версиях. Начиная с версии MaxPatrol 7.0 можно использовать СУБД LogSpace, разработанную нашими специалистами. По эффективности она превосходит опенсорсные аналоги как минимум в два раза. Рисунок 7. Руководство по масштабированию Новое руководство по масштабированию можно посмотреть здесь.ВыводыЕсли описывать MaxPatrol SIEM 8.0 одним словом, то это — «результативность». Во-первых, MaxPatrol SIEM может обеспечивать мониторинг событий на огромных инсталляциях и требует в два раза меньше ресурсов, чем раньше. Во-вторых, новый ML-помощник BAD предоставляет альтернативный метод оценки событий, помогая аналитику держать фокус на самом важном. И, в-третьих, за счёт просмотра связанных корреляционных событий, проверки потенциально опасных IP-адресов, доменов и файлов, а также благодаря возможности реагирования из единого окна мы повышаем скорость обработки инцидентов.Если вы хотите протестировать функции MaxPatrol SIEM 8.0, заполните короткую форму на сайте.Если вы уже пользуетесь MaxPatrol SIEM, для обновления до последней версии обратитесь в техническую поддержку или к вашему интегратору — партнёру Positive Technologies.Любые вопросы по продукту можно обсудить в официальном телеграм-чате: t.me/MPSIEMChat.Реклама. Рекламодатель АО «Позитив Текнолоджиз», ИНН 7718668887, ОГРН 1077761087117LdtCKNgpUЧитать далее
-
Start EDU — платформа, которая помогает командам разработки научиться писать код без уязвимостей. Учебные модули подбираются автоматически на основе знаний разработчиков и характеристик продукта, над которым они работают. Интеграция с Jira помогает встроить обучение в рабочий процесс. ВведениеОписание Start EDUОтличия Start EDU от обычных онлайн-курсовКак устроено обучениеТемы обучающих юнитов Start EDUКакие языки программирования поддерживаютсяДополнительные возможности продукта Start EDUКак продуктовой команде подбирается курсКак внедрить Start EDU в работу командыОценка знаний, которые получил разработчикВыводыВведениеПродуктовым командам важно думать об информационной безопасности уже на этапе проектирования архитектуры и написания кода, потому что стандартные инструменты вроде SAST или DAST не могут выявить все потенциальные уязвимости и в любом случае делают это слишком поздно — когда код уже написан.Разрешить это противоречие может обучение безопасной разработке. Но классические курсы не «заточены» под задачи продуктовых команд, само обучение — неструктурированное и скучное, а главное — непонятно, как оценить его эффективность.Чтобы решить эту проблему, команда Start X (бывший «Антифишинг») выпустила продукт Start EDU. Это платформа интерактивного обучения, которая поможет продуктовым командам писать код без уязвимостей, а специалистам по безопасности приложений — кратно снизить риски компрометации систем и клиентских данных.В обзоре мы подробнее рассмотрим, как устроена платформа Start EDU.Описание Start EDUStart EDU помогает разработчикам научиться писать безопасный и качественный код с минимальным отвлечением от рабочих задач.Как это работает:Система проверяет навыки каждого разработчика через тестирование и автоматически составляет карту его компетенций.Руководитель продуктовой команды заполняет анкету, в которой указывает характеристики создаваемого ПО и распределяет разработчиков по командам.На основе этих данных платформа автоматически подбирает обучающие модули под уровень знаний разработчика и его рабочие проекты.Отличия Start EDU от обычных онлайн-курсовЕсть несколько особенностей, которые отличают обучение в Start EDU от типовых курсов по безопасной разработке.Учебные модули построены исходя из проектных задач каждого разработчика в команде. Основная цель — минимизировать количество времени и сил, которые разработчик потратит на обучение. Для этого в обязательных учебных модулях должна быть только та информация, с которой разработчик сталкивается в своей реальной деятельности.Прежде чем подобрать курс, платформа тестирует имеющиеся знания и навыки разработчика, а также анализирует характеристики ПО, с которым он работает в команде. После этого ему автоматически подбираются модули, которые нужно пройти в первую очередь, чтобы закрыть эти потребности.Так можно избежать классического подхода к обучению, когда на всех разработчиков компании массово назначается одинаковый набор курсов, но в реальной работе они не знают, как сделать продукт безопасным. Рисунок 1. Процесс разработки, в котором обучение по безопасности не учитывает специфики проектов Теория основана на экспертных знаниях и практике. Теория в обучении — всегда проблемная часть, потому что информация обычно не привязана к реальной работе специалистов и даёт только поверхностное понимание изучаемой темы. В Start EDU решили эту проблему: на основе личной карты компетенций разработчика платформа предложит ему учебные модули, информацию из которых он сразу сможет использовать в своих рабочих проектах. При этом каждый теоретический блок даёт полную информацию по изучаемой теме.Например, если говорить о безопасной работе с зависимостями, то в учебном модуле будет не общая теория, а конкретные кейсы, которые показывают векторы угроз для разработчиков, имеющих дело с этими зависимостями. Платформа учитывает реальный контекст и старается понятными разработчику терминами и ситуациями описывать эту уязвимость. Рисунок 2. Пример теории из учебного модуля по безопасной работе с зависимостями После теоретической части разработчик проходит тест (квиз) на реальных примерах, чтобы проверить свои знания. Рисунок 3. Процесс разработки, в котором обучение по безопасности учитывает специфику проектов Как устроено обучениеКаждый курс состоит из тем (юнитов) с актуальной теорией, обязательными примерами из реальной среды и проверочными заданиями, которые основаны на историях уязвимых приложений.Юнит — это специальный формат обучающего контента, который используется на платформе. Юниты написаны и построены таким образом, что будут полезны и интересны любому разработчику — специалисты сами выбирают, какие разделы изучать, в зависимости от своего уровня. Рисунок 4. Процесс создания юнита на платформе Среднее время прохождения юнита:Теория — 30–60 минут.Квиз — 10–15 минут, 3–5 заданий.Практика — 15–25 минут.Теоретическая часть описана «общим» языком, который понятен любому разработчику. В ней есть разделы «Зачем этот курс», «Как происходит атака». В разделах, где приводятся примеры кода, разработчики могут выбрать тот язык, на котором они хотят увидеть пример, и затем использовать полученные знания в работе.Квизы с проверочными вопросами, как и теория, основаны на реальных примерах. Примеры доступны на восьми языках. Рисунок 5. Пример проверочного вопроса в квизе В практике разработчикам нужно выполнять задания на поиск уязвимостей в приложениях — выбрать правильные варианты реализации защиты. Рисунок 6. Задание на поиск уязвимостей в приложении в формате ревизии кода (код-ревью) Темы обучающих юнитов Start EDUВ курсе 11 модулей, они охватывают основные темы по информационной безопасности:Защита от подделки межсайтовых запросов (CSRF).Работа с идентификационными файлами (cookie) и HTTP-заголовками.Защита от атак на XML-серверы (XXE).Кодирование и экранирование при работе с браузерами (XSS).Предотвращение манипуляции именами файлов и каталогов (Path Manipulation).Безопасная работа с зависимостями в коде.Работа с SQL.Предотвращение небезопасного прямого доступа (Insecure Direct Object Reference).Обработка входных данных.Работа с секретами (пароли, ключи, токены).Безопасная настройка Kubernetes.Какие языки программирования поддерживаютсяStart EDU даёт актуальную теорию и практику на 7 языках программирования (Java, Python, PHP, SQL, C#, Go, JavaScript) и на языке разметки HTML.Дополнительные возможности продукта Start EDUМасштабируемость на любое количество пользователей.Назначение баллов пользователю за пройденное обучение.Создание, добавление и назначение собственных обучающих материалов.Как продуктовой команде подбирается курсШаг 1. Оценка знаний и навыковStart EDU выявит навыки разработчиков через тестирование и автоматически составит матрицу их компетенций. Это позволит понять, что люди умеют, знают и понимают в безопасной разработке сейчас.Знания проверяются с помощью бесплатного публичного теста Security Champion, который основан на базе реальных кейсов по взлому приложений. В тесте 20 заданий по пяти темам, по каждой из них разработчик получает оценку. Рисунок 7. Личная карта компетенций сотрудника Шаг 2. Определение характеристик продуктаРуководитель (тимлид) заполняет анкету приложения, которым занимается его команда. На основе этой анкеты строится карта архитектуры продукта, по которой станет понятно, что сейчас важнее всего изучить разработчикам.На этом этапе можно добавить всех пользователей на платформу через Active Directory и распределить их по проектам. Рисунок 8. Карта архитектуры продукта, построенная на основе заполнения анкеты Шаг 3. Автоматический подбор обучающих модулей на основе знаний разработчиков и характеристик продуктовПосле тестирования разработчиков и картографирования архитектуры продукта Start EDU автоматически подбирает обучающие модули. Какие-то из них будут обязательными для этого проекта, какие-то — факультативными. В результате получится понятный план по обучению на основе реальных проектов продуктовой команды.Как внедрить Start EDU в работу командыЕсть несколько способов внедрить Start EDU так, чтобы это помогало решать реальные задачи безопасности.Интеграция с Jira. На этапе разработки, когда уже есть команда и она делает функции продукта, платформа может назначить обучение через Jira как задачу. В этом случае обучение выглядит не как внешнее дополнительное поручение, а как обычная рабочая задача, которую нужно закрыть.Ускоренное прохождение точек проверки (security gate). Во время релиза код проверяют сканеры — по их отчётам специалист по безопасности понимает, какие потенциальные уязвимости в коде нужно исправить. Отчёт может состоять из десятков замечаний, которые программист должен взять в работу. Проблема — в том, что сканирование только указывает на замечания, не всегда понятно, как их исправить. На этом этапе можно подключить Start EDU: платформа получит замечания, проанализирует их и даст рекомендации, как их исправить и что нужно изучить по теме.Подход «сдвиг влево» (shift left security). Start EDU можно внедрить уже на этапе требований к команде продукта. Допустим, команда будет делать мобильное приложение. Тогда уже известны потенциальные релевантные векторы угроз и платформа на раннем этапе сможет назначить обучение, чтобы разработчики понимали, как делать те или иные вещи в контексте безопасности. Это позволит на ранних этапах выявлять угрозы и уязвимости.Оценка знаний, которые получил разработчикВ Start EDU можно отслеживать статус обучения по проектам, командам и разработчикам в настоящем времени.Как это выглядит, показано на иллюстрациях далее. Рисунок 9. Личная карта компетенций Рисунок 10. Проектная карта компетенций Рисунок 11. Рейтинг сотрудников Карты компетенций и рейтинг сотрудников показывают, кто и с какими результатами проходит обучение. Также с их помощью можно узнать, в каких вопросах больше всего проблем с точки зрения обучения, какие темы проседают, и на этом основании, к примеру, назначать код-ревью.Ещё один способ проанализировать результаты обучения — провести входное и выходное тестирование с помощью бесплатного публичного теста Security Champion. Можно брать случайную выборку сотрудников, замерять их результаты в начале обучения и в его конце. Так команды безопасности наглядно увидят, каков прогресс у разработчиков и в каких темах они углубили свои знания.Всё это повышает культуру безопасности и учит писать качественный и безопасный код.ВыводыНа новой платформе Start EDU обучение становится для разработчиков интересным, эффективным и применимым на практике. Это возможно благодаря следующим особенностям:Обучение проводится с учётом специфики проекта и продукта.Прохождение курса встраивается в рабочие задачи команды.Практика учитывает разные языки программирования.После обучения можно оценить компетенции команды и каждого разработчика по отдельности.Получить демонстрацию Start EDU для своей команды можно по запросу на сайте вендора.Реклама. Рекламодатель ООО «Антифишинг», ИНН 6950191442, ОГРН 1166952058680LdtCKBgUyЧитать далее
-
Актуальные версии антивируса 16-го поколения
Ego Dekker replied to Ego Dekker's topic in Eset NOD32 Antivirus & Smart Security
Для домашних антивирусов ESET 16-й версии установлена ограниченная поддержка. -
В обновлённом релизе корпоративного менеджера паролей «Пассворк 6.0» представлен ряд улучшений для более гибкой и комфортной совместной работы с паролями, оптимизированы пользовательский интерфейс и раздел настроек, усилена безопасность. ВведениеКогда будет полезен менеджер паролей «Пассворк»Функциональные возможности «Пассворк»3.1. Сейфы и папки3.2. Работа с паролями3.3. Управление пользователями и безопасность3.4. Прочие возможности и особенностиНовые возможности «Пассворк 6.0»4.1. Ярлыки4.2. Безопасная отправка паролей4.3. Оптимизация работы с LDAP4.4. Управление настройками4.5. Прочие улучшенияВыводыВведениеЦифровизация жизни современного человека привносит в повседневность удобство и комфорт, экономит время. Множество различных веб-сервисов и приложений для работы, спорта, здоровья, шопинга и т. п. рано или поздно накапливаются у каждого пользователя, и наступает момент упорядочить хаос доступов в удобную структуру. А если речь заходит о бизнесе или госсекторе, то важнейшими атрибутами становятся безопасность и возможность коллективной работы с конфиденциальными данными.Настанет день, когда придётся задаться простым вопросом: где хранить сотни корпоративных паролей и как ими делиться с коллегами?Единственным на данный момент продуктом подобного типа, внесённым в реестр Минцифры России, является корпоративный менеджер паролей «Пассворк», который начал свой путь ещё в 2014 году и за прошедшее время завоевал симпатии сотен компаний.«Пассворк» упрощает совместную работу с доступами к корпоративным сервисам и обеспечивает при этом необходимую безопасность.Парольные данные в «Пассворк» зашифрованы, хранятся строго на серверах клиента, не выгружаются в облако и не передаются наружу. Отдел ИБ управляет правами пользователей, контролирует все действия с паролями и проводит аудит безопасности.Необходимые доступы к корпоративным ресурсам всегда находятся у сотрудника под рукой: «Пассворк» представлен не только в виде удобной веб-платформы, но и в качестве мобильного приложения (Android, iOS), а также расширения для браузера (поддерживаются Chrome, Firefox, Edge, Safari).Когда будет полезен менеджер паролей «Пассворк»Допустим, компанию покинул работник — службе безопасности необходимо знать, какие пароли к каким сервисам необходимо изменить. Если, наоборот, в компанию поступил новый человек, то необходимо оперативно выдать доступ к ресурсам с учётом рисков испытательного срока. Менеджер паролей для бизнеса «Пассворк» позволяет экономить время в рутинных делах, удобно организовывая безопасную работу с паролями в компании.Зачастую доступ к самым ценным данным есть у ограниченного круга сотрудников. В случае когда важный работник отдела не на связи, а логин и пароль к нужному ресурсу по той или иной причине находятся только у него, корпоративные данные рискуют оказаться заблокированными. «Пассворк» позволяет организовать контролируемый доступ к важным данным компании без задержек для бизнеса, при этом снижая риски в информационной безопасности.В случае роста компании и увеличения штата администраторов в «Пассворк» безопасно устроена совместная работа с базой паролей, что усиливает киберзащиту, исключая утечки данных из внешних облачных хранилищ.Рабочих сценариев, когда «Пассворк» экономит время и оказывается полезным, множество. Помимо корпоративной безопасности парольный менеджер ориентирован на удобство в рутинных задачах, что делает его важным инструментом сотрудников на каждый день.Предлагаем рассмотреть возможности и взглянуть на интересные решения актуальной на этот момент версии корпоративного менеджера паролей «Пассворк» — 6.0.Функциональные возможности «Пассворк»Сейфы и папкиИспользуя принцип защищённых контейнеров (сейфов), «Пассворк» хранит пароли в зашифрованном виде на сервере организации. Рисунок 1. Зашифрованное хранилище паролей (сейф) Сейф может содержать как пароли, так и вложенные папки. Папка тоже является контейнером и позволяет структурировать пароли в рамках сейфа, объединяя тематически схожие кодовые слова в удобные иерархические структуры.«Пассворк» поддерживает два типа сейфов: доступ в личный сейф есть только у его владельца, доступ к сейфам организации определяется политикой доступа.256-битный мастер-пароль ограничивает доступ к каждому сейфу и автоматически генерируется случайным образом при создании хранилища. Криптографический алгоритм (ГОСТ или AES-256, на выбор администратора) отвечает всем современным требованиям по безопасности. Рисунок 2. Импорт данных в сейф «Пассворк» Поддерживается возможность импортировать пароли в сейф из файлов CSV, JSON или в формате KeePass XML.Администратор может создать, переименовать, удалить сейф или просмотреть историю действий с ним, а также добавить или удалить пользователя, просмотреть права доступа к сейфу. Рисунок 3. Добавление пользователя в папку Ролевая модель позволяет удобно разграничить права доступа работников компании к сейфам на этапе добавления пользователя.Работа с паролямиПароли можно редактировать, копировать в буфер или отправлять другому пользователю системы. Есть история действий с паролями для отслеживания всех редакций. Рисунок 4. Добавление нового пароля в «Пассворк» При добавлении новых реквизитов доступа необходимо заполнить ряд стандартных полей, а также активировать дополнительные опции, если нужно — например, добавить поле для секрета двухфакторной аутентификации или указать тег для дополнительной категоризации.Нельзя не отметить, что разработчики удобно внедрили опцию генерации паролей в одноимённое поле. По щелчку можно быстро сгенерировать пароль с учётом всех требований по сложности и безопасности.История изменений пароля отображается на вкладке «История действий», рядом на вкладке «Редакции» можно откатиться к предыдущим версиям пароля.Поле «Поиск» позволит найти строки во всей базе с учётом прав доступа. Рисунок 5. Поиск по базе доступов в «Пассворк» Здесь же можно быстро отфильтровать данные по цветовым меткам или тегам.«Пассворк» позволяет безопасно поделиться паролем с конкретным сотрудником напрямую, отправив пароль в личные сообщения. Рисунок 6. Личные доступы в «Пассворк» У владельца сохраняется контроль над паролем, все изменения будут отображаться у всех сотрудников, с кем пользователь поделился данными.Также возможно безопасно передать пароль в виде URL любому человеку за пределы «Пассворк» (но в пределах периметра сети компании), создав одноразовую ссылку или ссылку со сроком жизни.Управление пользователями и безопасностьКак мы отметили выше, в «Пассворк» реализована гибкая ролевая модель: каждому пользователю назначаются определённые уровни доступа к паролям. Рисунок 7. Управление пользователями в «Пассворк» По каждому пользователю представлено своего рода досье: роль, сейфы, активные доступы, статус, настройки, последние действия. Здесь же можно деактивировать, отредактировать и удалить учётную запись, сбросить её пароль, настроить права и применить роль. В один щелчок деактивированный пользователь лишается доступа ко всем паролям организации.Для регистрации нового пользователя в системе администратор в ручном режиме создаёт новый аккаунт или генерирует ссылку-приглашение для самостоятельной регистрации, после которой потребуется подтверждение от администратора (лично или через специальный код). Рисунок 8. Панель безопасности в «Пассворк» В сводной панели администраторы могут обзорно оценить текущее состояние системы. «Пассворк» собирает все события и метаданные, которые связываются с паролями, и на базе анализа даёт заключения и рекомендации.Панель интерактивна, можно по наведению курсора получить подсказку о рисках и статусе, быстро внести необходимые изменения, по щелчку переходя в соответствующий раздел. Рисунок 9. История действий в «Пассворк» Полезная функция для проведения аудита безопасности или расследований — запись всех действий пользователей и администраторов в системе. История действий может быть экспортирована по протоколу Syslog в комплексы управления событиями (SIEM).Прочие возможности и особенностиОбзорно отметим наиболее важные особенности «Пассворк»:Устанавливается на локальные серверы, все данные шифруются, доступ и контроль осуществляет только заказчик.Гибкое управление пользователями и правами.Поддержка Active Directory / LDAP позволяет проводить авторизацию в среде «Пассворк» по соответствующему протоколу.Поддержка прикладного интерфейса (API) для более богатого обмена данными с инфраструктурой компании.Поддержка сквозного входа (SAML SSO) и двухфакторной аутентификации благоприятна для безопасности и экономит время.Открытый исходный код позволяет провести аудит на предмет уязвимостей или нелегитимных функций.Полностью российский продукт, входит в единый реестр российского ПО.Поддерживает кластеризацию и позволяет организовать отказоустойчивую инфраструктуру.Гибкое лицензирование удовлетворит потребности компании на любом этапе роста.Сертифицированный партнёр Astra Linux и «РЕД СОФТ».Простой интерфейс и быстрая интеграция в любую ИТ-инфраструктуру.Поддержка алгоритмов шифрования ГОСТ открывает возможности для внедрения «Пассворк» в государственном секторе и отвечает политике импортозамещения.Качественный портал с документацией и оперативная техподдержка.Расширение «Пассворк» для браузера является полноценным приложением для работы с паролями, которое включает в себя следующие функции: доступ ко всем паролям, автоматическое сохранение данных и заполнение форм аутентификации, добавление и редактирование паролей, поиск, генератор паролей, блокировка расширения ПИН-кодом. Рисунок 10. Вид мобильной версии менеджера паролей «Пассворк» Мобильная редакция «Пассворк» поддерживает все ключевые возможности настольной версии и гарантирует, что важные данные компании защищены и находятся всегда под рукой у сотрудника.Новые возможности «Пассворк 6.0»В «Пассворк 6.0» расширены возможности совместной работы с паролями, усилена безопасность действий администраторов, улучшено управление LDAP, добавлены новые уведомления и в целом оптимизирован интерфейс, что делает взаимодействие с программным комплексом ещё более удобным в повседневной корпоративной рутине.ЯрлыкиЕщё один способ быстро предоставить дополнительный доступ к паролю — создать ярлык. Теперь нет необходимости дублировать пароли в разных сейфах, достаточно создать несколько ярлыков в нужных директориях, и команда получит доступ к паролю. Рисунок 11. Дополнительный доступ к паролю через ярлык в «Пассворк» В случае смены пароля коллеги будут в курсе всех изменений: в зависимости от настроек ролевой модели пользователи имеют возможность просматривать или редактировать данные через ярлык.Безопасная отправка паролейТеперь, когда администратор выдаёт доступ к паролю (через «Входящие» или ярлык), пользователю предоставляется доступ непосредственно к кодовому слову без выдачи «частичного доступа» в сейф. Рисунок 12. Отправка пароля сотруднику в «Пассворк» Такой подход повышает общую безопасность системы и усиливает контроль доступа как к сейфам, так и к определённым паролям.Оптимизация работы с LDAPРазработчики изменили интерфейс раздела LDAP в «Пассворк» и переосмыслили логику управления пользователями: добавлять новые учётные записи посредством протокола LDAP стало проще и безопаснее, особенно если активировано клиентское шифрование.Теперь при первом входе в систему работник самостоятельно устанавливает мастер-пароль и после этого администратор подтверждает добавление нового пользователя. Рисунок 13. Добавление нового пользователя из LDAP в «Пассворк» Добавление новых пользователей из AD происходит через отдельное модальное окно, а зарегистрированные ранее представлены на вкладке «Пользователи». Все данные обновляются в фоновом режиме.Важно отметить, что «Пассворк 6.0» отображает больше данных о группах безопасности: те, которые связаны с ролями или не подгрузились после обновления, помечаются соответствующими тегами. Так администратор видит, что необходимо изменить настройки поиска или удалить группу из списка, плюс это даёт информацию о том, какие именно пользователи входят в состав каждой группы безопасности.Управление настройкамиВендор доработал раздел настроек: переосмыслил логику и привёл всё к единому визуальному стилю. Рисунок 14. Оптимизированные системные настройки в «Пассворк» В настройках системы на вкладке «Глобальные» все, у кого есть соответствующий уровень доступа к сейфу (права на редактирование и выше), могут создавать ссылки на пароли и отправлять их другим пользователям «Пассворк».В «Пассворк 6.0» любые изменения в настройках необходимо подтверждать для устранения рисков от случайных действий; для этого добавлены кнопки «Сохранить» и «Отменить изменения» в системных настройках.Также сотрудники теперь могут самостоятельно настроить индивидуальный тайм-аут для выхода из системы; администраторы задают только максимальную длительность сеанса при неактивности.Администраторы могут разрешить пользователям самостоятельно выбирать язык интерфейса.Прочие улучшенияВ контексте оптимизации интерфейса в «Пассворк 6.0» доработали перетаскивание: теперь система предлагает действия на выбор (переместить, копировать или создать ярлык). Рисунок 15. Улучшенный интерфейс при перетаскивании Также выделим из улучшений:Отдельные окна для доступа в сейф и дополнительного доступа. Информация о доступе теперь отображается в двух окнах: в одном — пользователи и роли, у которых есть доступ в сейф, в другом — доступ к паролям из сейфа через ярлыки, ссылки или отправленные пароли.Кнопки действий с паролем. Для оптимизации работы с паролем добавлена кнопка «Редактировать», а для дополнительного доступа к паролю — кнопки для ярлыка, ссылки или отправки лично пользователю.Дополнительные поля при импорте и экспорте паролей. «Пассворк 6.0» позволяет перенести не только логин и пароль, но и дополнительную информацию, которая хранится внутри карточки пароля.Новые уведомления. Администраторы теперь получают уведомления о новых неподтверждённых пользователях, а сотрудники — о новых паролях во «Входящих».Более полная информация о «Пассворк 6.0» представлена на официальном ресурсе вендора.Разработчик отмечает, что для обновления до версии 6.0 необходимо выполнить несколько шагов по инструкции: сначала обновиться до версии 5.4, пройти миграцию данных и подтвердить это на клиентском портале «Пассворк».ВыводыКорпоративный менеджер паролей «Пассворк» — программный комплекс от российского разработчика, минималистичный удобный продукт для безопасной совместной работы с паролями в компании.«Пассворк» функционирует на базе защищённых хранилищ (сейфы), которые могут содержать парольные данные от любых систем (веб-ресурс, сервер, приложение, накопитель и т. д.), файлы ключей или сертификатов.Браузерное расширение и мобильное приложение, удобная иерархическая структура, полная интеграция с Active Directory / LDAP, авторизация с помощью SSO и 2FA, собственный API, ролевая модель доступа и отслеживание действий сотрудников обеспечивают безопасность, гибкость и комфорт в рутинных процессах организации каждый день.Программный комплекс разворачивается на мощностях компании-заказчика, данные хранятся в зашифрованном виде согласно требованиям регуляторов (ГОСТ или AES-256), что в контексте импортозамещения последних лет добавляет платформе веса. Кроме того, «Пассворк» поставляется с открытым исходным кодом, зарегистрирован в реестре отечественного ПО, имеет гибкую схему лицензирования, которая подойдёт как крупной состоявшейся корпорации, так и начинающей свой путь компании.«Пассворк» востребован на рынке РФ, ему доверяет множество организаций с 2014 года, продукт постоянно развивается и растёт. В свежем релизе «Пассворк 6.0» оптимизирован интерфейс, совместная работа стала ещё более гибкой и удобной, переработаны и расширены настройки, усилены безопасность и контроль за действиями пользователей, что увеличивает возможности специалистов по безопасности при расследовании инцидентов и предотвращении утечек конфиденциальных данных. Всё это делает «Пассворк» важным инструментом в корпоративном арсенале для продуктивной и безопасной совместной работы с данными доступа.Читать далее
-
macos Актуальные версии антивируса 6-го поколения
Ego Dekker replied to Ego Dekker's topic in Eset NOD32 Antivirus & Smart Security
Домашние антивирусы для macOS были обновлены до версии 6.11.414. Добавлена поддержка macOS Sonoma (версия 14). -
SpaceVM — корпоративная облачная платформа, предназначенная для создания виртуальной инфраструктуры на базе универсальных серверных платформ с архитектурой х86-64. ВведениеФункциональные возможности системы SpaceVMАрхитектура и системные требования SpaceVMСценарии использования SpaceVMВыводыВведениеООО «ДАКОМ М» — российский разработчик программного обеспечения и исследовательский (R&D) центр, создающий инновационные решения на основе облачных технологий для построения распределённых инфраструктур коммерческих и корпоративных предприятий различных масштабов.Space — это марка линейки решений, разрабатываемых компанией «ДАКОМ М». Среди них — облачная платформа SpaceVM, предназначенная для развёртывания корпоративных облачных сред и оснащения центров обработки данных, а также Space VDI — решение для организации виртуальных рабочих столов. Есть примеры реализации системы у таких заказчиков, как ОСК, «Якутскэнерго», «Россети Сибири», Росфинмониторинг.SpaceVM — инструмент серверной виртуализации для эффективного управления ИТ-инфраструктурой. Представляет собой комплексную платформу для развёртывания полноценного частного облака в корпоративной среде с необходимыми дополнительными инструментами для автоматизации и оркестровки работы облачных сервисов. Система работает на базе серверов стандартной архитектуры x86-64 и не только позволяет перенести в облако веб-сайты, порталы и бизнес-приложения, но и обеспечивает работу телекоммуникационных сервисов, виртуальных маршрутизаторов, межсетевых экранов, почтовых и прокси-серверов. SpaceVM — полнофункциональный российский аналог систем серверной виртуализации иностранного производства (VMware и Microsoft).Рассмотрим систему SpaceVM, её функциональные возможности и задачи, которая она поможет решить, более подробно.Функциональные возможности системы SpaceVMОтметим основные функциональные возможности системы SpaceVM:полноценное развёртывание частного корпоративного облака;весь набор для автоматизации и оркестровки виртуальных сервисов;позволяет перенести на свою платформу что угодно: веб-сайты, бизнес-приложения, внутренние сервисы;обеспечивает развёртывание иной ИТ-инфраструктуры: межсетевых экранов (МСЭ), почтовых и прокси-серверов;предоставляет возможность работы с технологией Grid от NVIDIA — высоконагрузочные математические вычисления;есть возможность переноса диска при миграции с ESXi на SpaceVM;обеспечивает микросегментацию сети.В продуктовой линейке экосистемы Space присутствует отдельное направление для аппаратных платформ на базе процессора «Эльбрус». Из уже заложенных в актуальную версию SpaceVM возможностей также необходимо отметить подключение внешних хранилищ данных по NFS, iSCSI и FС, встроенный МСЭ, интеграцию с LDAP и SSO, журналирование событий и встроенную систему резервного копирования. Из стандартных для систем этого класса возможностей присутствуют визуализация нагрузки на виртуальную машину (ВМ), кластеризация (до 96 серверов), живая миграция между узлами кластеров и снимки состояний ВМ (снапшоты). Рисунок 1. Архитектурное сравнение SpaceVM и SpaceVDI с платформой VMware SpaceVM развивается не только как система виртуализации. Среди прочего в план её совершенствования заложены такие доработки, как интеграция с комплексами управления информацией и событиями (SIEM) MaxPatrol и ArcSight, внедрение политик ИБ и взаимодействие с защитными решениями Kaspersky Light Agent и Kaspersky SVM. Рисунок 2. Совместимость системы SpaceVM с ПО и оборудованием российских производителей Архитектура и системные требования SpaceVMSpaceVM предназначена для использования на серверных платформах с архитектурой x86-64. Рисунок 3. Структурная схема SpaceVM Менеджер конфигурации (МК) представляет собой программный комплекс, предназначенный для управления SpaceVM. Управление ВМ обеспечивается модулем-гипервизором «qemu-kvm», входящим в состав технологической ОС. Гипервизор не требует отдельной установки. Таблица 1. Минимальные технические требования для системы SpaceVMКомпонентыТребованияМатеринская плата и процессорДолжны поддерживать технологию аппаратной виртуализации: VT-d и VT-х для Intel, AMD-v для AMD или другую аналогичную технологиюЦПНе менее 4 ядерОЗУНе менее 8 ГБСетевые интерфейсыНа каждом сервере должно быть не менее одного сетевого интерфейса Ethernet с пропускной способностью не менее 1 Гбит/cДисковое пространствоКаждый сервер должен иметь не менее одного запоминающего устройства объёмом не менее 32 ГБ (рекомендуется 120 ГБ) Лицензирование — по количеству физических хостов, не по сокетам. Также в лицензию входит возможность установки консоли управления (аналог VMware vCenter). Лицензии являются бессрочными.Сценарии использования SpaceVMSpaceVM предназначена для решения следующих задач:Повышение эффективности использования вычислительных ресурсов путём запуска нескольких виртуальных серверов (машин) на одном физическом сервере.Обеспечение выполнения несовместимых приложений на одном физическом сервере.Организация общего виртуального пространства с возможностью объединять физические серверы в кластер единого управления.Повышение доступности и обеспечение непрерывности работы приложений, когда ВМ переносятся на другой сервер кластера без прерывания выполнения пользовательского приложения и самовосстанавливаются на резервных серверах в кластере.Повышение удобства управления вычислительными ресурсами с помощью централизованного веб-интерфейса с повышенной степенью автоматизации для сокращения времени администрирования и снижения порога вхождения персонала.Пользователями системы могут быть компании государственного сектора, топливно-энергетического комплекса, промышленности и производства, частные финансовые компании и банки, организации в сфере здравоохранения и образования, научные центры.Рассмотрим основные возможности SpaceVM наглядно.Войти в систему можно как с локальной учётной записью, так и с доменной. Главная страница представляет собой окно мониторинга основных метрик гипервизора. Рисунок 4. Интерфейс главной страницы консоли управления SpaceVM Есть возможность определить локации, куда сразу будут перемещаться все виртуальные машины при их создании, задать выделенные мощности и ресурсы. Рисунок 5. Вкладка локаций SpaceVM По аналогии с VMware в системе SpaceVM используется понятие кластера. Из соответствующего раздела в интерфейсе ведутся распределение ВМ и управление ими, мониторинг их статуса, нагрузки и ресурсов, перенос хостов с кластера на кластер. Здесь возможно управлять такими сущностями, как хранилища ВМ, параметры высокой доступности, пул ресурсов, настройки DRS и пределы ресурсов кластера, а также логированием событий. Рисунок 6. Вкладка кластеров SpaceVM Внутри кластера возможно увидеть список ВМ и далее совершать с ними весь набор стандартных рабочих процедур: изменение ресурсных мощностей, добавление внешних дисков и медиаустройств, создание снапшотов, подключение через консоль гипервизора, применение vGPU для высоконагрузочных вычислений. Рисунок 7. Интерфейс меню виртуальных машин кластера Рисунок 8. Интерфейс меню управления ВМ в SpaceVM Вкладка «Серверы» открывает меню управления серверными мощностями и нодами гипервизора. Рисунок 9. Вкладка «Серверы» системы SpaceVM Рисунок 10. Интерфейс меню управления сервером гипервизора SpaceVM Управление и настройку также возможно осуществлять через стандартный интерфейс командной строки. Рисунок 11. Интерфейс командной строки гипервизора SpaceVM Кроме того, в SpaceVM выделен особый раздел под настройки безопасности, включая управление администраторами и их ролевой моделью в системе, ограничениями по сессиям, ключами шифрования и логированием событий.Среди прочего SpaceVM обеспечивает фильтрацию пакетов сетевого трафика, поступающего из внешней сети, по IP-адресу / порту / имени сетевого интерфейса источника и назначения, а также по протоколу. Рисунок 12. Вкладка «Безопасность» в SpaceVM Рисунок 13. Журнал событий в SpaceVM В журнал вносятся записи о следующих событиях:авторизация пользователя в интерфейсе управления;ошибка аутентификации пользователя;изменение состояния физического сервера (доступен, недоступен);добавление нового физического сервера;удаление физического сервера;время создания ВМ;запуск ВМ;остановка ВМ;уничтожение ВМ;миграция ВМ;создание копии состояния ВМ (снапшота);создание резервной копии.Добавим, что SpaceVM прошла испытания по интеграции и подтвердила совместимость с системой резервного копирования «Кибер Бэкап», благодаря чему появляется возможность обеспечить защиту данных и образов ВМ. Безагентная технология взаимодействия позволяет системе «Кибер Бэкап» производить резервное копирование всех элементов виртуализации на уровне ядра системы и гарантировать быстрое восстановление любых сервисов или данных в случае сбоя.На декабрь 2023 года запланирован релиз системы для совместимости с vGate — универсальной платформой безопасности облака, которую мы ранее обозревали.ВыводыSpaceVM — система виртуализации от российского разработчика, которая помогает снизить расходы на ЦОД, повысить время бесперебойной работы систем и приложений, а также значительно упростить работу ИТ-отдела в период импортозамещения.Облачная платформа SpaceVM — полнофункциональный российский аналог систем серверной виртуализации иностранного производства (VMware, Microsoft). Построение ИТ-инфраструктуры предприятия с использованием SpaceVM позволит обеспечить санкционную устойчивость и технологический суверенитет.Достоинства:Включена в реестр отечественного ПО.Собственная разработка.Поддержка на базе сервисных центров.Наличие авторизованных центров обучения.Совместимость с серверами из реестра Минпромторга (поддерживает работу на базе серверной инфраструктуры от российских производителей Delta Computers и YADRO).Индивидуализация и доработка по запросам заказчиков.Лицензируется по количеству хостов (физических серверов), а не сокетов.Недостатки:SpaceVM ещё развивается и пока не может на 100 % заменить продукты иностранных производителей систем виртуализации. В то же время большая часть аналогичных функциональных возможностей уже реализована: так, по заявлению разработчика, обеспечено замещение 80 % функций VMware vSphere 7 Enterprise Plus.РЕКЛАМА. Рекламодатель ООО «ДАКОМ М», ИНН 7734235312, ОГРН 1027739141649LdtCK9uphЧитать далее
-
Ideco UTM (Unified Threat Management) — это комплексная система безопасности (российский межсетевой экран), предназначенная для защиты информационных ресурсов и сетей организаций от различных угроз и атак. Узнайте, что нового в свежей версии 15. ВведениеФункциональные возможности Udeco UTM 15Архитектура Ideco UTM 15Новые возможности Ideco UTM 15Системные требования Ideco UTM 15Основные направления применения Ideco UTM 15ВыводыВведениеВ июле 2023 года компания «Айдеко» анонсировала релиз межсетевого экрана Ideco UTM 15. Ранее, в 2022 году, мы делали обзор предыдущей версии этого продукта. Сейчас в основе Ideco UTM лежит концепция объединения нескольких функций безопасности в одной системе. Это позволяет организациям контролировать различные аспекты защиты с помощью целостного интегрированного решения.Разработчик продолжает поддержку версии 14, забрав часть новых функций в 15-ю версию, и, наоборот, часть возможностей версии 15 будут интегрированы в 14-ю для более плавного обновления у заказчиков. Поддержка Ideco UTM 12.11 закончилась 20 июня, а версия 13.12 будет поддерживаться до 6 ноября 2023 года; в связи с этим компания рекомендует всем, кто ещё не перешёл на 14-ю версию, сделать это и далее провести плавное обновление на версию 15 по факту её выхода в 2023 году.Функциональные возможности Udeco UTM 15Назовём некоторые из основных функций и возможностей Ideco UTM. Рисунок 1. Основные возможности Ideco UTM 15 Межсетевой экран. Обеспечивает контроль и фильтрацию сетевого трафика на основе правил. Может блокировать нежелательный трафик и предотвращать несанкционированный доступ к сети. Также предоставляет защиту для корпоративных внутренних и внешних сетей, обеспечивая безопасную связь и контроль доступа к ресурсам организации.Антивирусная защита. Обнаруживает и блокирует вирусные, троянские, шпионские программы и другие подобные угрозы. В версии 15 появилась возможность интеграции сигнатур от «Лаборатории Касперского». Стандартная проверка осуществляется с помощью антивируса ClamAV.VPN (виртуальная частная сеть). Позволяет создавать защищённые соединения через общедоступные сети, обеспечивая конфиденциальность и целостность данных при передаче между удалёнными местоположениями. Есть собственный VPN-агент.Защита от DDoS-атак. Помогает предотвращать и смягчать атаки типа «отказ в обслуживании» (DDoS) путём мониторинга трафика и применения различных методов противодействия.Веб-фильтрация. Обеспечивает фильтрацию веб-содержимого для контроля доступа к определённым сайтам или категориям веб-ресурсов. Может быть использована для повышения производительности сети и предотвращения доступа к вредоносным или нежелательным ресурсам. Контент-фильтр охватывает 145 категорий сайтов, от развлекательных до фишинговых.Контроль приложений. Возможен запрет торрентов, онлайн-игр, криптомайнеров (в общей сложности — более 250 приложений).Контроль на уровне L7. Осуществляется контроль веб-трафика в отношении доступа к облачным хранилищам, соцсетям и форумам. Есть возможность задать определённый набор действий: к примеру, запретить выгрузку данных, но разрешить их загрузку в сеть организации.IPS / IDS (обнаружение и предотвращение вторжений). Можно настроить сигнатурный анализ веб-трафика на предмет сетевых атак, в том числе исходящих от вредоносных ботов, с последующей блокировкой.Почтовый релей (промежуточный узел). Сервер Ideco UTM 15 можно использовать в качестве первого рубежа защиты почтового трафика. Доступны все функции фильтрации писем, включая многоуровневую проверку на вирусы, спам и фишинговые ссылки. Применяются базы от «Лаборатории Касперского».Журналирование и мониторинг. События регистрируются и анализируются в настоящем времени. Это помогает выявлять потенциальные угрозы, обнаруживать аномалии и проводить аудит безопасности. В версии 15 появилась возможность логировать действия администраторов системы.Отчётность. Составление разовой или плановой отчётности по использованию трафика, веб-атакам и прочей статистике.Архитектура Ideco UTM 15Ideco UTM 15 является масштабируемой системой, которая может быть настроена и адаптирована под конкретные требования. Если у вас распределённая филиальная сеть, вы можете использовать консоль Ideco CENTER для централизованного управления настройками нескольких межсетевых экранов Ideco UTM.Продукт динамически развивается в ответ на внешние факторы, такие как пандемия или уход иностранных вендоров. Дополнительный акцент делается на эффективной и быстрой техподдержке и умеренной ценовой политике.Помимо основной линии разработки компания ведёт альтернативную — с использованием DPDK / VPP для маршрутизации и обработки трафика в пользовательском пространстве и освобождения сетевого стека ядра. В дальнейшем эта технология должна стать основной. Также предполагается развитие следующих прогрессивных направлений:протокол DPDK / VPP — увеличение скорости передачи данных;межсетевой экран на основе технологии eBPF — возможность работы со 100 000 правил на скорости до 20 Гбит/с;аутентификация посредством «КриптоПро NGate»;разработка ПАК Ideco UTM на 96-ядерных процессорах.Новые возможности Ideco UTM 15В Ideco UTM 15 появились следующие изменения и дополнения:Обновлённая платформа на базе ядра Linux 6.0.5.Балансировка трафика на несколько серверов с помощью обратного проксирования (reverse proxy).Обработка мультикаст-трафика (IGMP proxy), трафика WCCP (Web Cache Communication Protocol) L2 / L3.Интеграция с Aladdin ALD Pro и BaseALT (ранее — Alt Linux).Взаимодействие с сервисом «Мультифактор» для обеспечения двухфакторной аутентификации.Обработка NTP-запросов ко внешним серверам.Ускорение обработки трафика модулями глубокой инспекции (DPI) во многоядерных конфигурациях.Отрицание в правилах файрвола: например, теперь вместо пары правил «Россию разрешить» и «все остальные страны запретить» можно сделать одно правило вида «всё, что не Россия, запретить».За счёт перехода на новую СУБД ClickHouse удалось значительно сократить размер журналов событий.Выгрузка отчётов из раздела «Трафик» в формате CSV.Рисунок 2. Примеры крупных нововведений Ideco UTM 15 Обозначим отдельно улучшения по части информационной безопасности:Сигнатуры для антивируса и IPS от «Лаборатории Касперского» (дополнительные опции, тарифицируются отдельно).Аудит действий администраторов.Обновлён модуль системы предотвращения вторжений (повышены производительность и надёжность определения трафика).Добавлены правила безопасности по GeoIP и по спискам НКЦКИ.В контроль приложений добавлены протоколы ADSAnalytic (рекламные трекеры), AdultContent (сервисы распространения порнографии), SRTP. Улучшено определение приложений.Системные требования Ideco UTM 15Ideco UTM распространяется как виртуальное устройство или программно-аппаратный комплекс. Требования к аппаратному обеспечению варьируются в зависимости от сетевой нагрузки и используемых сервисов. Минимальные требования Ideco UTM приведены в таблице ниже. Таблица 1. Минимальные рекомендованные требования для установки Ideco UTM 15 в виде отдельного виртуального устройстваТехнические характеристикиТребованияЦПIntel i3 / i5 / i7 / i9 / Xeon с поддержкой SSE 4.2Дисковое пространствоSSD, 150 ГБ или больше, с интерфейсом SATA, mSATA, SAS, NVMe. При использовании почтового сервера нужен дополнительный SSDОЗУОт 16 ГБСетевые адаптерыДве сетевые карты (или два сетевых порта) 100 / 1000 Мбит/с. Рекомендуется использовать карты на чипах Intel. Поддерживаются Realtek, D-Link и другиеГипервизорVMware, Microsoft Hyper-V (2-го поколения), VirtualBox, KVM, Citrix XenServerДополнительноОбязательна поддержка UEFI. Не поддерживаются программные RAID-контроллеры (интегрированные в чипсет). Для виртуальных машин необходимо использовать фиксированный, а не динамический размер жёсткого диска Для установки и работы продукта не требуется предустановленной ОС и дополнительного ПО. Ideco UTM устанавливается на выделенный сервер с загрузочного образа, компакт-диска или USB-накопителя, при этом автоматически создаётся файловая система и устанавливаются все необходимые компоненты.Основные направления применения Ideco UTM 15Если ранее система рассматривалась на рынке в большей степени как продукт для небольших компаний (до 1000 сотрудников), то теперь есть примеры развёртывания на крупных площадках (5000–10000 работников) и интеграции с иными СЗИ. Имеется комплекс модулей для защиты периметра и полноценного функционирования в качестве NGFW. Система готова работать «из коробки», предлагается множество предустановленных правил фильтрации.Покажем нововведения Ideco UTM 15 на иллюстрациях. Начнём с логирования действий системных администраторов. Рисунок 3. Журнал логирования действий системных администраторов В новой версии появилось меню онлайн-проверки подозрительных доменов и IP-адресов. Рисунок 4. Меню проверки доменов Реализована поддержка протокола WCCP. Рисунок 5. Настройка работы с протоколом WCCP Добавлена возможность обработки IGMP-трафика. Рисунок 6. Проброс мультикаст-трафика ВыводыМежсетевой экран Ideco UTM 15 может по праву называться полноценной системой класса NGFW, поскольку в нём реализован целый ряд функций безопасности: межсетевой экран, контентная фильтрация, модуль предотвращения вторжений, антивирусная защита и т. д. Система продолжает развиваться, на выпуск новой версии производителю понадобилось лишь 100 дней. Компания «Айдеко» старается поддерживать возможности своего программного продукта в актуальном состоянии, чтобы отвечать новым требованиям рынка и глобальным угрозам информационной безопасности.Читать далее
-
Universal Virus Sniffer (uVS), Вопросы разработчику
akoK replied to demkd's topic in Universal Virus Sniffer (uVS) - развитие, использование и решение проблем
Отбой, не тот ADK скачал. -
Очистка пользовательских временных каталогов
PR55.RP55 replied to Евгений Красильников's topic in Universal Virus Sniffer (uVS) - развитие, использование и решение проблем
Хакеры использовали политику Microsoft для изменения даты подписи вредоносных драйверов https://habr.com/ru/news/747692/ Open Source Developer, William Zoltan, Luca Marcone, HT Srl, Beijing JoinHope Image Technology Ltd., Shenzhen Luyoudashi Technology Co., Ltd., Jiangsu innovation safety assessment Co., Ltd., Baoji zhihengtaiye co.,ltd, Zhuhai liancheng Technology Co., Ltd., Fuqing Yuntan Network Tech Co.,Ltd., Beijing Chunbai Technology Development Co., Ltd, 绍兴易游网络科技有限公司, 善君 韦, NHN USA Inc. -
Последние несколько лет компании активно развивают тему мониторинга событий в своих инфраструктурах для выявления компрометации и компьютерных атак. Цена коммерческих платформ такого рода порой весьма высока, поэтому заслуживают рассмотрения системы с открытым исходным кодом. ВведениеОсновные возможности WazuhВзаимодействие компонентов WazuhУстановка WazuhРабота с событиями в WazuhВыводыВведениеИметь системы класса SIEM для специалистов по информационной безопасности уже стало необходимостью, поскольку они позволяют собирать события в одном месте и выполнять их анализ — не вручную, конечно, а при помощи написанных правил корреляции. Правила применяются ко всему потоку событий и при срабатывании дают специалистам инцидент, который уже можно расследовать. В качестве источников к SIEM-системам могут быть подключены средства защиты информации, сетевое оборудование, серверы и рабочие станции на любых операционных системах — в общем, все сущности, которые способны отправлять события в подходящем для SIEM формате.Существует несколько проблем, которые необходимо будет решить компании, если она решила вести мониторинг в интересах информационной безопасности. Во-первых, продукты этого класса очень дорогостоящи. Далеко не во всех компаниях выделяется достаточный бюджет на информационную безопасность, да ещё и на постоянной основе. Во-вторых, на рынке труда очень мало специалистов, умеющих обслуживать SIEM, писать для него правила корреляции и обнаруживать компьютерные атаки на инфраструктуру.Более доступный способ — воспользоваться услугами коммерческого центра мониторинга (SOC). Коммерческие SOC занимаются обнаружением и предотвращением компьютерных атак, а также реагированием на инциденты и их расследованием. Если у вас ещё нет SIEM из-за скромного бюджета, есть интересное решение этой проблемы — платформа Wazuh с открытым исходным кодом.Основные возможности WazuhПроект появился в 2015 году, сейчас его постоянно поддерживают около 200 человек, живущих по всему миру. Wazuh используется в более чем ста тысячах организаций и имеет десятки миллионов скачиваний ежегодно.Главные функциональные возможности Wazuh связаны с мониторингом событий, написанием правил корреляции и созданием панелей мониторинга (дашбордов) для анализа. Много правил уже есть в готовом виде, но с ними нужно будет поработать, потому что иначе вам будет обеспечено большое количество ложноположительных срабатываний. Правила пишутся вполне просто, есть механизм их тестирования перед сохранением.После установки агента вы получаете полноценный аудит конечной точки: сведения о системе, об установленных программах, о процессах и сетевых настройках. Это весьма полезно для команд автоматизации (DevOps) и администраторов. Отображаются уязвимости хостов и оценка безопасности их конфигураций с рекомендациями. Есть возможность посмотреть соответствие хостов нормативным требованиям PCI DSS, GDPR и др. Можно реализовать контроль целостности, указав, изменение каких файлов или веток реестра нужно отслеживать (и оповещать вас, если с ними что-то произошло). В модуле MITRE ATT&CK все события распределяются по тактикам и техникам одноимённой матрицы, представляются в виде графиков. Рисунок 1. Модуль MITRE ATT&CK Агенты можно настроить не только для отправки событий и аудита, но и для работы в режиме EDR. В частности, могут быть реализованы функциональные возможности по блокировке вредоносных IP-адресов, выявлению атак методом перебора (брутфорс), обнаружению подозрительных исполняемых файлов, вредоносных программ (с помощью YARA-правил или интеграции с VirusTotal), атак с использованием SQL-инъекций. Доступен также мониторинг выполнения потенциально вредоносных команд. Взаимодействие компонентов WazuhПринцип работы системы заключается в установке агентов на конечные точки и управлении ими из серверной части. Агенты выполняют сбор событий и их отправку, отправлять можно любые журналы по работе системы или приложений. Сервер Wazuh может получать события от источников и без агента — по протоколам Syslog, SSH или с использованием прикладного программного интерфейса (API). Это позволяет подключать разнообразные источники событий, например Kaspersky Security Center, OpenVPN, Suricata и др. Сервер Wazuh разбирает журналы с помощью декодеров, большое их количество предустановлены; если для нужного вам журнала или источника нет декодера, его можно написать самостоятельно. С правилами корреляции всё обстоит так же: есть много готовых правил от сообщества, но в конкретной инфраструктуре придётся их дорабатывать и писать собственные. Для высоконагруженных систем есть возможность создать кластер, состоящий из ведущей и ведомых нод («Master» и «Worker»). После сбора, декодирования и анализа событий сервер Wazuh передаёт их в индексатор; там данные записываются в индексы, с которыми взаимодействует оператор. Индексатор Wazuh представляет собой полнотекстовое аналитическое ядро на базе OpenSearch. Раньше использовался стек ELK, но после того как в январе 2021 года Elastic NV изменила политику лицензирования, сообщество перешло на OpenSearch. Рисунок 2. Архитектура Wazuh За представление данных в веб-интерфейсе отвечает компонент «Wazuh dashboard», аналог Kibana в ЕLK. Там находятся средства мониторинга агентов, вкладки по срабатываниям правил корреляции, соответствию нормативным требованиям, найденным уязвимостям и др. Интерфейс интуитивно понятен. Рисунок 3. Веб-интерфейс «Wazuh dashboard» Резюмируем: устройства с агентами или без них отправляют события на сервер Wazuh, он их декодирует, анализирует и передаёт в компонент «Wazuh indexer», где события индексируются, после чего появляется возможность выполнять полнотекстовый поиск средствами OpenSearch. «Wazuh dashboard» нужен для визуализации и удобства использования всей системы. Установка WazuhУстановка центральных компонентов, описанных в предыдущем разделе (сервер, индексатор и дашборд), может быть выполнена как на одном сервере, так и на нескольких отдельных (для высоконагруженных систем). Установить агенты Wazuh на конечные точки можно централизованно с использованием Ansible, Puppet, групповых политик Microsoft Active Directory. Рисунок 4. Минимальные системные требования для центральных компонентов Рассчитать объём памяти (в ГБ) для хранения логов можно по приведённым далее таблицам. Он зависит от типа конечной точки и количества оповещений в секунду (APS). Период хранения событий принят за 90 дней. Рисунок 5. Объём памяти для журналов (индексатор) Рисунок 6. Объём памяти для журналов (сервер) Система может быть развёрнута в виде виртуальных машин (OVA, AMI), контейнеров Docker и Kubernetes и в облачном варианте (есть 14-дневный бесплатный период).Работа с событиями в WazuhМониторинг событий осуществляется в веб-интерфейсе компонента «Wazuh dashboard», модуль «Security events». Рисунок 7. Модуль «Security events» Здесь можно посмотреть события за выбранный интервал времени, приведено несколько графиков для аналитика, есть возможность добавить свои. Правила корреляции в Wazuh классифицируют события по уровням критической значимости от 0 до 16, для событий с уровнем 12 и выше есть отдельная кнопка с фильтром. При написании правил корреляции особо важным правилам тоже можно присваивать такие уровни для удобного отображения наиболее значимых.Кнопка «Events» открывает полнотекстовый поиск. События здесь представлены в более развёрнутом виде. Допустим, сработало правило корреляции по добавлению учётной записи в группу доменных администраторов; в поле поиска можно ввести логин этой учётной записи и посмотреть все связанные с нею события. Фильтровать можно по строкам и при помощи запросов с использованием Query DSL. Рисунок 8. Полнотекстовый поиск ВыводыПосле установки и длительной работы с OSSEC Wazuh осталось много положительных впечатлений. Компоненты системы изначально вполне легко устанавливаются и настраиваются, существует множество вариантов развёртывания в зависимости от ваших потребностей. Агенты никак не нарушают работу конечных точек, то есть можно централизованно устанавливать их на большое количество устройств, не боясь, что всё сломается. Вполне просто построен и процесс написания собственных правил корреляции.В то же время нужно понимать, что использование продуктов с открытым кодом в своей инфраструктуре — занятие не для малодушных: очень многое придётся искать самостоятельно, плюс практически полностью отсутствуют русскоязычные статьи и сообщество. Всё больше компаний используют Wazuh в России, но специалисты не слишком активно группируются для обсуждений — автору, например, известно об одном телеграм-чате менее чем на 100 человек. Также компании должны быть готовы к тому, что разбирающихся в подобных системах людей очень мало на рынке, поэтому могут быть проблемы при уходе знающих сотрудников и поиске людей на замену им.Мы знаем, что новые уязвимости и методы компрометации появляются ежедневно и вендоры коммерческих СЗИ вполне быстро выпускают детектирующие правила. При использовании Wazuh этого, конечно, не будет, команде мониторинга придётся самостоятельно следить за новыми угрозами и писать детектирующие правила. При этом в OSSEC Wazuh очень много функциональных возможностей — мало в каких вендорских продуктах есть столько всего в одном, скорее всего, придётся приобретать несколько. При правильной настройке, хорошей команде инженеров и выстроенном процессе работы эта система может сэкономить вашей компании очень солидный бюджет.Достоинства:Лёгкость установки.Много различных вариантов развёртывания.Агенты не нарушают работоспособность серверов и рабочих мест.Простота написаний правил корреляции.Большое количество функциональных возможностей.Экономия средств при грамотном подходе.Недостатки:Работа с продуктом с открытым исходным кодом.Отсутствие русскоязычных материалов.Отсутствие поддержки.Сложности с поиском людей для администрирования.Отсутствие быстрых обновлений правил детектирования угроз, нужно всё писать самим.Читать далее
-
uVS - Тестирование
PR55.RP55 replied to demkd's topic in Universal Virus Sniffer (uVS) - развитие, использование и решение проблем
\DEVICE\HARDDISKVOLUME1\EFI\MICROSOFT\BOOT\ ------ Там не так много файлов. Можно в качестве превентивной меры добавлять в список все файлы раздела. даже если по какой то причине uVS не увидит как запускается файл - файл всё равно будет в списке. А если Оператор захочет понять что и как - то... твик 39 и т.д. -
Обзор экосистемы Kaspersky OT CyberSecurity
AM_Bot добавил тема в Выбор корпоративных средств защиты
«Лаборатория Касперского» интегрировала между собой две разработки для защиты критической инфраструктуры и систем промышленного сектора — Kaspersky Industrial CyberSecurity for Nodes и Kaspersky Industrial CyberSecurity for Networks, тем самым объединив возможности анализа и защиты как сетевого трафика, так и конечных точек в единую панель управления безопасностью инфраструктуры предприятия. ВведениеKaspersky OT CyberSecurity: экосистема промышленной кибербезопасности2.1. Технологии2.2. Экспертиза2.3. ЗнанияАрхитектура промышленной XDR-платформы KasperskyПример расследования киберинцидента с использованием XDR-платформы KICSОписание расследования инцидента на основе тестового стендаВыводыВведениеС помощью комплексного моновендорного подхода возможно максимально быстро и эффективно для бизнеса внедрить средства контроля, мониторинга и устранения различных угроз. Такие средства могут включать в себя защиту ИТ-периметра промышленной организации, контроль непрерывности процесса производства, безопасность передачи данных вовне и внутри организации.Обозримое будущее — за адаптивными экосистемами, которые возможно интегрировать в стек технологий заказчика для реализации всесторонней киберзащиты от всевозможных векторов современных атак.Решения, сервисы и экспертиза, объединённые в экосистему, могут полноценно накапливать и анализировать данные, управлять информационными потоками и предоставлять возможности для своевременного реагирования и организации многоуровневой системы информационной безопасности. Без комплексного подхода труднее обеспечивать развитие и цифровизацию предприятия, защиту его ресурсов, технологических процессов и информационных активов, конкурентоспособность и доверие к продукции, а также исполнение регуляторных требований по безопасности критически важных объектов инфраструктуры. Пример такой экосистемы — Kaspersky OT CyberSecurity для защиты промышленных сред. «Лаборатория Касперского» продемонстрировала возможности ключевого элемента своей промышленной экосистемы — XDR-платформы Kaspersky Industrial CyberSecurity.Kaspersky OT CyberSecurity: экосистема промышленной кибербезопасностиУстойчивое развитие промышленных предприятий и объектов КИИ напрямую зависит от стабильности производственных и бизнес-процессов, надёжной защиты важных активов и безопасности промышленной (OT) и информационной (ИТ) инфраструктур. Постоянный рост количества и сложности киберугроз в эпоху четвёртой промышленной революции, глобализация информационной среды и необходимость соответствия требованиям регулирующих органов — всё это побуждает организации задуматься о комплексном подходе к обеспечению кибербезопасности.Назовём основные стимулы, подталкивающие промышленные предприятия к рассмотрению и внедрению комплексных решений для киберзащиты:Увеличение количества точек входа злоумышленников в инфраструктуру на стыке OT и ИТ.Ужесточение регуляторных требований в отношении защиты КИИ.Рост интереса злоумышленников к промышленным предприятиям.Отсутствие собственных компетенций и кадров в области обеспечения ИБ на предприятии, необходимость автоматизировать мониторинг и реагирование на угрозы.Проблематика промышленного сектора в области ИБ в целом такая же, как у бизнес-сегмента, основным отличием же является то, что при реализации киберинцидента здесь возможен прямой физический ущерб: сбой на производстве, утечка опасных материалов, прекращение поставок продукции, урон государственному сектору экономики и промышленности. В связи с этим выбор в пользу грамотных компетенций в части защиты инфраструктуры с помощью нескольких взаимосвязанных продуктов по безопасности выглядит наиболее приемлемым решением, тем более когда их безопасность для процессов и оборудования технологического предприятия подтверждена сертификатами. Рисунок 1. Состав экосистемы Kaspersky OT CyberSecurity Экосистема Kaspersky OT CyberSecurity — это не только перечень программных продуктов, но и опыт, знания и экспертиза в промышленной безопасности в целом.ТехнологииОсновной стек технологий защиты включает в себя XDR-платформу Kaspersky Industrial CyberSecurity (KICS for Nodes и KICS for Networks), а также решение класса SIEM Kaspersky Unified Monitoring and Analysis (KUMA) для сбора, мониторинга и корреляции событий по информационной безопасности. Эффективное внедрение этого комплекса решений мы рассмотрели в статье «Как АЭМЗ построил экосистему киберзащиты производства на базе решений Kaspersky», где рассказали о том, как в рамках промышленного предприятия было развёрнуто более 10 решений от одного вендора для киберзащиты как промышленного сектора, так и бизнес-подразделений.Помимо основных продуктов по части защиты перечень решений включает в себя Kaspersky Machine Learning for Anomaly Detection (MLAD) — систему мониторинга и выявления аномалий в работе технологических процессов, Kaspersky SD-WAN — решение для обеспечения надёжности сети и построения безопасной распределённой инфраструктуры промышленных объектов, а также Kaspersky Antidrone — систему защиты от беспилотных роботизированных аппаратов: дронов, квадрокоптеров и прочих управляемых объектов, с помощью которых возможно вести шпионаж или наблюдение либо попытаться нанести физический вред на территории предприятия.Отдельно необходимо отметить класс решений на базе собственной операционной системы KasperskyOS — к примеру, комплекс защиты объектов интернета вещей Kaspersky IoT Infrastructure Security и средство организации безопасного удалённого рабочего места Kaspersky Secure Remote Workspace.ЭкспертизаВ части применения накопленных знаний и опыта следует выделить анализ защищённости. Kaspersky ICS Security Assessment — это комплекс процедур по тестированию применяемых организационных мер и технологий защиты на устойчивость к реальным попыткам проникновения и взлома.Kaspersky Managed Detection and Response, сервис по мониторингу и реагированию на инциденты в ИБ силами экспертов «Лаборатории Касперского», проверяет оповещения и проактивно анализирует метаданные, получаемые от установленных в сети клиента продуктов «Лаборатории Касперского», на предмет наличия признаков компрометации. Эти метаданные сопоставляются с аналитическими сведениями «Лаборатории Касперского» об угрозах с целью выявления тактик, техник и процедур, применяемых преступниками против конкретной организации. Kaspersky Incident Response обеспечивает реагирование на инциденты и ликвидацию их последствий.Отметим здесь также Kaspersky Industrial Emergency Kit — «стартовый набор» сервисов, технологий и экспертизы для оперативной помощи промышленным предприятиям в вопросах защиты объектов КИИ. Эксперты «Лаборатории Касперского» оценят текущий уровень защищённости АСУ ТП промышленного объекта, а заказчик получит аналитику по возможным киберугрозам и рекомендации в отношении того, как своевременно реагировать на киберинциденты и повышать уровень осведомлённости в организации.ЗнанияKaspersky ICS Threat Intelligence — это обширная и постоянно пополняемая аналитика по угрозам, включающая в себя специализированные отчёты и потоки данных (data feeds) об угрозах и уязвимостях в АСУ ТП, в том числе на основе данных, которые поступают от линейки продуктов «Лаборатории Касперского».Kaspersky Security Awareness Platform — это онлайн-платформа обучения персонала и повышения осведомлённости в области кибербезопасности АСУ ТП о современных киберугрозах и приёмах злоумышленников, в том числе методах социальной инженерии.Kaspersky ICS CERT Training — это экспертные тренинги и курсы для ИБ-специалистов предприятия от ведущих экспертов «Лаборатории Касперского» по безопасности АСУ ТП.Архитектура промышленной XDR-платформы KasperskyKaspersky Industrial CyberSecurity (KICS) представляет собой XDR-платформу, которая объединяет мониторинг и обнаружение вторжений в промышленной сети, где работает KICS for Networks, с защитой промышленных рабочих мест, на которых развёрнуто решение KICS for Nodes со встроенной технологией EDR. Платформа обеспечивает защиту технологических процессов без влияния на них, в том числе с возможностью работы в неблокирующем режиме, когда действия по активному реагированию не применяются. Помимо пассивного мониторинга решение KICS for Networks имеет функцию активного опроса, которую можно использовать в отношении выбранного объекта сети. Благодаря интеграции компонентов платформы друг с другом можно централизованно контролировать все разрозненные промышленные сети, рабочие места и системы автоматизации. Это способствует повышению осведомлённости о ситуации и более эффективному противодействию сложным угрозам. Рисунок 2. XDR-платформа Kaspersky Industrial CyberSecurity За счёт интеграции KICS for Nodes и KICS for Networks заказчик получает возможность реализовывать сценарии инвентаризации промышленной сети, мониторинга защищённости АСУ ТП в единой консоли и обогащения сетевых событий телеметрией с конечных узлов. Все события, сформированные KICS for Nodes, могут отправляться в консоль KICS for Networks и участвовать в корреляции с уже имеющимися сетевыми событиями. Функциональные возможности KICS for Networks позволяют:составлять список активов и логическую карту сети,выявлять аномалии технологического процесса,контролировать целостность сети и появление новых устройств,проводить аудит безопасности и оценку рисков, формировать отчётность,обнаруживать уязвимости как в ПО, так и в прошивках промышленного оборудования,обеспечивать возможность интеграции с иными СЗИ для обогащения телеметрии.Основным поставщиком данных для анализа выступает агент на конечной точке, в частности — EDR-решение «Лаборатории Касперского», специально разработанное для промышленного сегмента АСУ ТП. Оно предоставляет базовые возможности по расследованию и реагированию на инциденты, включая изоляцию узла, сканирование по индикаторам компрометации, завершение подозрительного процесса.Отдельно необходимо отметить, что в KICS for Nodes поддерживается автоматизированная настройка аудита безопасности конечных точек, включая ряд необходимых проверок в формате OVAL на основе стандартов, законодательства или индивидуальных настроек заказчика. Рисунок 3. Возможности автоматизированного аудита OVAL Все указанные наработки — что в части сбора расширенной телеметрии, что в части автоматизированного аудита — приводят заказчика к иному взгляду на управление киберинцидентами: процесс отходит от стандартного «что случилось?» в сторону оценки киберрисков и управления ими, то есть к парадигме «что может случиться?».Ядром всей платформы мониторинга событий по ИБ выступает SIEM-система KUMA, в которую возможно направлять не только события из сетей АСУ от продуктов из линейки Kaspersky ОТ CyberSecurity, но и информацию из бизнес-инфраструктуры от Kaspersky Symphony, получая тем самым полную картину происходящего во всей инфраструктуре организации. События и инциденты обогащаются актуальной информацией о репутации файлов, IP- и URL-адресов путём интеграции SIEM KUMA с потоками данных об угрозах из портфолио Threat Intelligence. Рисунок 4. Корреляция событий в рамках единой SIEM По направлению Threat Intelligence в команде «Лаборатории Касперского» работают не только стандартные поставщики информации об угрозах, как внешние, так и внутренние (Red Team, APT Research Team или специалисты SOC), но и эксперты по изучению уязвимостей сектора АСУ ТП и реагированию на инциденты — международная команда Kaspersky ICS CERT.Пример расследования киберинцидента с использованием XDR-платформы KICSВ качестве примера мы рассматриваем киберинцидент в АСУ ТП на объекте электроэнергетики, а именно — в инфраструктуре трансформаторной подстанции 110/10 кВ, и используем для этого имитационную модель на базе виртуальных машин с ПО АСУ ТП и устройств защиты. Мы допускаем, что данная подстанция может обеспечивать электроэнергией жилой квартал, производственное предприятие или промышленный объект, для которых бесперебойная подача электричества может иметь критическое значение. В этой инфраструктуре можно выделить сегмент АСУ ТП, где представлены узлы локальной системы управления: узел оператора, сервер SCADA, инженерная станция. Уровнем выше находится сегмент диспетчерского центра, который предположительно контролирует работу в том числе других подстанций, но в данном случае нас интересует выделенная подстанция, а также офисный ИТ-сегмент, в котором сотрудники работают с базовыми офисными приложениями, корпоративной почтой и ресурсами интернета. Высокоуровневая схема инфраструктуры представлена на рисунке 5. Рисунок 5. Инфраструктура виртуальной подстанции Для обеспечения информационной безопасности объекта в его состав включены следующие продукты «Лаборатории Касперского»:SIEM-система KUMA,средство защиты узлов (серверов и рабочих станций АСУ ТП) KICS for Nodes,средство мониторинга промышленной сети KICS for Networks.Высокоуровневая схема инфраструктуры с интегрированными СЗИ представлена на рисунке 6. Рисунок 6. Инфраструктура виртуальной подстанции с СЗИ В представленном тестовом сценарии не преследуется цель полностью воспроизвести реальный случай целевой атаки, однако синтезированный для демонстрации случай использует элементы имевшей место и хорошо изученной к настоящему времени целевой атаки Industroyer, а также легитимные компоненты и утилиты операционных систем и средства администрирования. Мы умышленно не противодействуем ходу атаки и применяем такие конфигурации продуктов защиты, которые позволят ей проявить себя в полной мере, чтобы наглядно представить возможные последствия, а также возможности платформы в части обнаружения и реагирования.Отправной точкой развития атаки является ноутбук инженера, свободно перемещающийся между сегментами сети. Функции защиты ноутбука выключены или не задействованы в полной мере, а пользователь является локальным администратором. Компрометация ноутбука происходит в ИТ-сегменте предположительно в результате поиска его владельцем необходимого ПО и посещения для этого небезопасных ресурсов в открытых источниках сети «Интернет». Компрометация сопровождается хищением с ноутбука инженера данных о технологическом объекте и загрузкой на него первоначального скрипта, который явным образом не содержит вредоносных файлов, но является источником развития будущей атаки.Ноутбук возвращается в ОТ-сегмент, и атака получает новое развитие, затрагивая уже диспетчерский центр и расположенный в нём сервер телемеханики, на котором имеется интерфейс удалённого доступа для обслуживания и наладки, использующий для установления связи публичную сеть «Интернет». Скрипт активирует этот интерфейс и инициирует загрузку компонентов, необходимых для дальнейшего развития целевой атаки. В том числе скрипт блокирует удалённый доступ к серверу телемеханики, чем затрудняет противодействие атаке. Одновременно с этим скрипт выполняет подмену штатной службы клиента протокола МЭК 104 на сервере в диспетчерском центре, равно как и компонентов системы управления в сегменте подстанции, лишая оператора возможности управлять системой локально.Дальнейшее развитие атаки происходит по скомпрометированному таким образом каналу управления МЭК 104 от диспетчерского центра к подстанции. За счёт перенаправления нелегитимных управляющих команд через центральный сервер системы управления на оборудование подстанции предполагаемому злоумышленнику удаётся повлиять на работу объекта и прервать электроснабжение потребителей.В заключение вредоносная программа восстанавливает работу легитимного клиента протокола МЭК 104 и очищает следы своей работы, удаляя большую часть использованных компонентов, загруженных на узлы инфраструктуры объекта.Описание расследования инцидента на основе тестового стендаРассмотрим, как приведённый выше сценарий выглядит на стороне объекта защиты и как информация от средств защиты позволяет выявить и/или предотвратить развитие вредоносной активности.На АРМ диспетчерского центра оператор может обнаружить факт начала вредоносной активности по событиям обнаружения вредоносных компонентов целевой атаки, поступающим от специализированного средства антивирусной защиты KICS for Nodes. Как было указано ранее, компоненты защиты намеренно настроены с учётом возможности полной реализации атаки, потому вполне скоро в интерфейсе системы управления мы сможем увидеть результаты вредоносной активности, а именно — постепенный перевод коммутационных аппаратов подстанции в инверсное состояние (выключатели и разъединители размыкаются, а заземляющие ножи начинают замыкаться). Данное поведение говорит о том, что электрическая цепь «разбирается» и, как следствие, происходит отключение потребителя от источника. При этом оператор лишён возможности управления со своей рабочей станции и не может противодействовать атаке и оперативно восстановить электроснабжение потребителя.Визуальное отображение интерфейсов и событий на экране АРМ оператора представлено на рисунке 7. Рисунок 7. Визуальное отображение атаки на тестовом стенде Одновременно с атакой на технологический сегмент происходит завершение сессии удалённого управления со стороны диспетчерского центра без возможности повторного подключения. В отсутствие возможности управления, а также в условиях намеренно задействованного неблокирующего режима функций защиты сценарий атаки выполняется полностью до своего завершения. Рисунок 8. Разрыв сессии подключения к серверу телемеханики в диспетчерском центре Воспользовавшись данными от средств защиты узлов и телеметрией, собранной средством сетевого мониторинга, попробуем изучить, что произошло в инфраструктуре системы управления. Для этого откроем консоль SIEM KUMA и рассмотрим поступившие события. Рисунок 9. Уведомления в консоли KUMA Начать следует с телеметрии, собранной с сервера диспетчерского управления. В уведомлениях SIEM кроме факта обнаружения вредоносного объекта, компонента Industroyer, нам доступны данные о сетевой активности, контрольные суммы задействованных в целевой атаке файлов, их расположение в файловой системе, а также ссылки на идентификаторы угроз, обогащённые данными из источников Threat Intelligence.Корреляция выполнена как по факту выявления вредоносной программы, так и по признакам её активности, в том числе по взаимодействию с узлами в сети. Присутствует информация о технологических изменениях — отключениях разъединителей, замыканиях ножей, прочая полезная для расследования инцидента и последующего восстановления работоспособности подстанции и технологического процесса информация. Следует отметить, что XDR-платформа Kaspersky Industrial CyberSecurity позволяет выполнить корреляцию событий автоматически на основе набора обновляемых правил, заложенных в продукт. Тем не менее на уровне SIEM-системы KUMA аналитиком ИБ могут быть созданы собственные корреляционные правила, отвечающие актуальным потребностям работы с инцидентом. Рисунок 10. Подробный разбор активности вредоносного объекта Рассмотрев подробнее зафиксированные события в ОТ-сегменте сети, можно предположить, что первым был скомпрометирован ноутбук инженера, с которого в дальнейшем было инициировано подключение к серверу диспетчерского управления, откуда и продолжилась основная атака. Но нам всё же не хватает подробных данных о принадлежности ноутбука и пути его заражения. Выполнив поиск по MAC-адресу ноутбука и изучив полученные логи, можно понять, что узел с данным МАС-адресом ранее подключался к ИТ-сегменту сети, где получал IP-адрес от сервера DHCP. Из журналов сетевой активности, полученных с прокси-сервера, можно понять, что ноутбук обращался к неизвестному ресурсу в интернете. Взаимодействие с интернет-ресурсом сопровождалось обменом файловыми данными, в частности отправкой файлов PDF, по названиям которых можно судить об их отношении к проектной или рабочей документации АСУ ТП, и загрузкой EXE-файлов, по названиям которых можно судить об их принадлежности к компонентам и утилитам для обновления прошивок промышленных устройств. На основе этих данных можно предположить, что через упомянутый публичный ресурс и произошла компрометация инженерного ноутбука, а данные по организации промышленного сегмента сети стали доступны злоумышленнику. Рисунок 11. Изучение логов активности скомпрометированного ноутбука Для проверки репутации ресурса, к которому обращается ноутбук инженера, а также для выявления возможных связанных с этим ресурсом угроз, в которых он уже был замечен ранее, мы можем сделать запрос Threat Lookup. Рисунок 12. Поиск информации в фидах Threat Intelligence К сожалению, подробная информация по данному ресурсу отсутствует, но это не всегда является критерием отсутствия рисков: возможно, ресурс используется в этих целях впервые.В рассматриваемом случае средства защиты на ноутбуке инженера не установлены или деактивированы, и это лишает нас возможности получить информацию и исследовать, что происходило на скомпрометированном узле между его включением в ИТ- и OT-сегменты защищаемой сети.Сделав первичные выводы о точке проникновения вредоносной активности через ИТ-сегмент, перейдём к более детальному исследованию инцидента в OT-сегменте и постараемся имеющимися средствами отследить основные этапы развития атаки.Данные карты сетевых взаимодействий KICS for Networks подтверждают факт нелегитимного сетевого взаимодействия ноутбука инженера. Красные линии на диаграмме от ноутбука к серверу телемеханики и далее от него к серверу SICAM-PAS, играющему роль центрального коммутирующего устройства подстанции, показывают наличие нехарактерных сетевых взаимодействий и событий по ИБ. Также следует отметить, что сервер SCADA выделен на карте красным; это говорит о наличии событий по безопасности и на этом узле, однако нелегитимных коммуникаций к узлу не зарегистрировано, что может свидетельствовать об атаке на узел через легитимный канал связи. Рисунок 13. Карта сетевых взаимодействий Перейдя в раздел «События», мы сможем увидеть несколько групп событий, объединённых по принципам использованных техник и тактик MITRE, а также источников информации, скоррелированных в один инцидент. Рисунок 14. События корреляции Среди событий, полученных из телеметрии, поставляемой компонентом EDR с узлов инфраструктуры (в том числе с узла сервера телемеханики в диспетчерском центре), стоит обратить внимание на событие активации на атакованном узле дополнительного интерфейса с доступом в сеть «Интернет». Вероятно, именно через данный интерфейс был осуществлён доступ ко внешнему C&C-серверу, послужившему источником дальнейшего развития атаки. О наличии возможности активации и использования этого интерфейса на атакованном узле злоумышленник мог узнать вследствие произошедшей ранее утечки информации. Вспомним, что на момент подключения ноутбука инженера к ИТ-сегменту был зарегистрирован обмен данными со внешним ресурсом в сети «Интернет», который и мог послужить каналом утечки данных об инфраструктуре. Рисунок 15. Обнаружение дополнительного сетевого интерфейса узла RDC В разделе событий мы видим подробную информацию обо всех действиях, которые были зафиксированы средствами защиты узлов KICS for Nodes и системой мониторинга KICS for Networks. В их числе присутствуют события об изменениях в реестре, файловых операциях в папках проекта SCADA, запуске скриптов и программ, а также нарушения технологического характера, заключающиеся в некорректной последовательности выдачи команд управления. Рисунок 16. События на узле диспетчерского центра и сервере SCADA На основе этой информации возможно выявить действия, которые выполнялись вредоносной программой, в том числе получить сведения об изменённых ключах реестра для блокировки удалённого доступа к узлу, об именах подменённых файлов в проекте SCADA. События по выявленным нелегитимным сетевым взаимодействиям и командам управления технологическим процессом обогащены данными с узлов о конкретных приложениях — источниках этих взаимодействий.Перейдя в карточку инцидента, сформированную на основе данных агента EDR на сервере телемеханики, мы увидим подробную информацию о процессах узла, связанных с инцидентом, в виде цепочки атаки. В карточке есть не только информация о вредоносном объекте, но и сведения о родительском процессе и его действиях на узле: сетевые коммуникации, загрузка файлов, правки реестра, запуск исполняемых файлов. Рисунок 17. Карточка инцидента Переходя от расследования к реагированию на инцидент, мы можем не только запретить запуск обнаруженных компонентов атаки, но и создать задачи по обнаружению индикаторов компрометации (IoC) или схожей активности на других доступных узлах инфраструктуры. Отдельно отметим, что поиск подозрительной файловой активности может осуществляться в том числе по данным функции контроля запуска приложений на узлах, опирающейся на эталонный набор разрешённого ПО. Этот механизм может способствовать выявлению используемых нелегитимных процессов либо блокировать их при соответствующих настройках. Рисунок 18. Задача поиска IoC (индикаторов компрометации) на узлах инфраструктуры С помощью модуля анализа конфигураций на базе OVAL дополнительно можно провести исследование и выявить узлы инфраструктуры, которые также могут или могли быть подвержены атаке в силу наличия в них соответствующих критических уязвимостей. Данные об уязвимостях могут быть получены вместе с обновлениями наборов правил OVAL, поставляемых экспертной группой ICS CERT «Лаборатории Касперского». Также для анализа конфигураций могут быть задействованы наборы правил от внешних поставщиков либо пользовательские наборы правил, подготовленные под определённые задачи. Рисунок 19. Использование модуля OVAL для поиска уязвимых узлов Результаты поиска индикаторов компрометации на узлах инфраструктуры показывают, что ряд артефактов вредоносной активности всё ещё присутствует на некоторых узлах. Рисунок 20. Результаты выполнения задачи по поиску IoC Например, «autorun.exe» был найден не только на сервере телемеханики, но и на SCADA-сервере, где файл может представлять дополнительную угрозу. В нашем случае угроза может быть нейтрализована одним из двух способов: переводом модуля контроля запуска приложений из состава KICS for Nodes в блокирующий режим (при условии, что в разрешающих правилах модуля данного файла нет — это можно легко проконтролировать поиском по определяемой контрольной сумме файла) либо запретом запуска указанного файла через блокирование его в политике агента EDR. Стоит отметить, что поиск IoC может быть использован и ретроспективно, за период хранения телеметрии на узлах; в этом случае выполняемая задача сканирования на IoC оповестит о следах присутствия файлов в том числе в ситуациях, когда подозрительные файлы уже были удалены. Рисунок 21. Рассмотрение обнаруженных IoC на конечных узлах В числе доступных мер реагирования на инцидент в безопасности доступно также контролируемое вручную полное отключение узла — источника угрозы от сети организации. Этот механизм может быть реализован путём API-интеграции KICS for Networks с активным сетевым оборудованием защищаемой инфраструктуры. В рассматриваемом случае интеграция с коммутатором Cisco сетевой инфраструктуры объекта позволяет блокировать порт коммутатора вручную через деавторизацию устройства на стороне KICS for Networks и в то же время таким же образом контролировать подключение в инфраструктуру любого другого неавторизованного устройства, доступ которому будет закрыт до момента авторизации соответствующего узла системой мониторинга.Рассматривая сценарий выявления авторизованного, но скомпрометированного устройства, которое было замечено во вредоносной активности, для точного определения места его подключения в инфраструктуре можно также воспользоваться топологической картой сети, построенной на основе данных активного опроса, выполненного KICS for Networks. Коммутатор и порт, к которому подключён скомпрометированный узел, мы видим по данным топологической карты. В то же время в рассматриваемом случае имеется настроенная интеграция KICS for Networks с коммутатором по API. При её наличии блокирование скомпрометированного узла доступно через его деавторизацию (смену статуса устройства на «неразрешённое») в интерфейсе KICS for Networks. Рисунок 22. Топологическая карта организации Рисунок 23. Смена статуса устройства на «Неразрешённое» в сети организации ВыводыПроведённая демонстрация работы XDR-платформы Kaspersky Industrial CyberSecurity и сценариев кросс-продуктовых интеграций, например, с SIEM-системой KUMA показывает широкий набор возможностей по анализу защищённости и предоставлению данных для планирования мер превентивной защиты предприятий от возможных угроз и вторжений (например, детальная инвентаризация инфраструктуры с данными об активах, их уязвимостях и сетевой инфраструктуре, ключевых рисках), по выявлению угроз в инфраструктурах промышленных предприятий и реагированию на них (включая специализированные возможности по сбору и анализу телеметрии и корреляции данных из различных источников, поиску признаков компрометации, встроенные инструменты расследования и реагирования).Совместное использование и интеграция специализированных решений KICS с другими решениями «Лаборатории Касперского» позволяет построить целостную экосистему для защиты промышленного сегмента предприятий, существенно расширив возможности по своевременному выявлению, расследованию и предотвращению промышленных угроз. В интеграции со средствами защиты, обнаружения и реагирования на угрозы для ИТ-сегмента предприятия появляется возможность существенно повысить общую осведомлённость об информационной безопасности и защищённость инфраструктуры, обеспечить своевременное обнаружение и оптимизировать реагирование на угрозы, имея в распоряжении коррелируемые данные из специализированных источников.Читать далее -
eol ESET SysRescue Live
Ego Dekker replied to Ego Dekker's topic in Eset NOD32 Antivirus & Smart Security
Жизненный цикл ESET SysRescue Live окончен. -
NGFW (Next Generation Firewall) изменили парадигму оперативного контроля внешнего сетевого трафика, предоставив компаниям возможность отсекать пакеты данных из определённых источников, а также анализировать сами передаваемые данные, проверять их на наличие вредоносных сигнатур, ограничивать работу с нежелательными ресурсами. Рассматриваем функции современного межсетевого экрана на примере представителя систем этого класса UserGate Next Generation Firewall. ВведениеФункциональные возможности UserGate Next Generation Firewall2.1. Фильтрация контента по правилам2.2. Анализ трафика2.3. Защита от DoS2.4. Контроль интернет-приложений2.5. Антивирус2.6. Реагирование2.7. Собственная ОС2.8. Варианты поставкиСценарии использования UserGate Next Generation Firewall3.1. Основные настройки UserGate Next Generation Firewall3.2. Создание политик3.3. Работа со сценариямиВыводыВведениеКлассические межсетевые экраны, или файрволы, предназначены для фильтрации трафика между двумя сегментами сети на основании относительно простых принципов. Получив пакет данных из внешнего, небезопасного, сегмента, межсетевой экран определяет возможность его дальнейшей передачи в локальную сеть на основании IP-адреса и порта источника либо назначения. Такое взаимодействие соответствует третьему, сетевому уровню модели OSI.Использование классического межсетевого экрана, строящего свою работу на списках запрещённых и разрешённых адресов, никак не защищает ото множества других угроз, связанных с сетевым трафиком. Такая система совершенно прозрачна для вредоносных программ, фишинговых писем, трафика связанного с определёнными приложениями и сервисами. Первоначальная концепция предполагала, что купированием этих угроз займутся инструменты информационной безопасности за файрволом: антивирусы, почтовые сканеры, системы предотвращения вторжений и другие средства.Такой подход таит в себе определённые проблемы. Сам факт попадания вредоносной нагрузки за периметр безопасности уже несёт определённые угрозы. При этом значительная часть векторов атаки сегодня вообще не связана с какими-либо нелегитимными инструментами, а базируется на действиях инсайдеров или использовании взломанных аккаунтов. Безусловно, и для таких угроз существуют отдельные средства безопасности, однако не лучше ли предотвращать атаки на рубежах доверенного сетевого окружения?Именно такую концепцию принесли на рынок межсетевые экраны нового поколения (Next Generation Firewall, NGFW). В отличие от классических файрволов, анализирующих только заголовок пакета, NGFW способны разбирать и его содержимое. Это значительно расширяет круг возможностей межсетевого экрана. Современные NGFW представляют собой многофункциональные комплексы сетевой защиты, поскольку могут иметь в своём составе самые разнообразные модули:антивирусы,системы обнаружения и предотвращения вторжений (IDPS),собственный прокси-сервер,средства контроля почтового трафика,инструменты морфологического анализа,средства защиты от DoS-атак.Одним из пионеров разработки межсетевых экранов нового поколения в России является компания UserGate, имеющая 13-летний опыт в этой сфере. Ключевые компетенции UserGate находятся именно в области разбора трафика, в том числе зашифрованного. Флагманский продукт вендора UserGate Next Generation Firewall является основой экосистемы корпоративной кибербезопасности и может служить хорошим примером полнофункционального межсетевого экрана, обеспечивающего комплексную защиту и фильтрацию трафика до его попадания в локальную сеть. В этом материале мы кратко рассмотрим основные возможности системы на примере версии 6, а также познакомимся с несколькими сценариями её использования.Функциональные возможности UserGate Next Generation FirewallНабор функциональных возможностей UserGate Next Generation Firewall охватывает разнообразные потребности в сфере защиты трафика и фильтрации контента. Гибкие механизмы настройки межсетевого экрана позволяют выстраивать сложные логические схемы обработки данных и в автоматическом режиме реагировать на потенциально опасные или нелегитимные действия. Кратко остановимся на наиболее важных аспектах работы UserGate Next Generation Firewall.Фильтрация контента по правиламФильтрование трафика в UserGate Next Generation Firewall основывается на механизме правил — по сути, политик безопасности, описывающих действия системы при наступлении тех или иных заданных условий. Правила фильтрации могут блокировать или, наоборот, разрешать движение данных в зависимости от их типа, источника, получателя, приложения, категории и других параметров. Правила могут применяться к одному или нескольким пользователям и выполняются последовательно, что даёт возможность строить гибкую систему обеспечения кибербезопасности и осуществлять контроль работы сотрудников.При помощи правил можно не только создавать белые и чёрные списки ресурсов, но и контролировать множество параметров передаваемых пакетов, например тип используемого браузера, наличие определённых словоформ или типов информации. Правила используются не только для фильтрации контента, но и в других функциональных блоках системы — межсетевом экране, подсистеме ограничения пропускной способности и пр.Анализ трафикаГлубокий разбор трафика является ключевой функцией NGFW, основным источником данных для других подсистем. UserGate Next Generation Firewall способен детально исследовать нагрузку каждого передаваемого пакета, «на лету» определяя потенциально небезопасное содержимое, а также триггеры, по которым активируются заранее заданные правила и сценарии. Помимо обычного трафика система расшифровывает и защищённые SSL пакеты, работая с протоколами HTTPS, SMTPS и POP3S. При этом сервер NGFW осуществляет подмену оригинального сертификата на собственный, отдавая на сторону пользователя по-прежнему защищённый контент.Защита от DoSОдним из механизмов безопасности в UserGate Next Generation Firewall является функция ограничения числа соединений, открытых одним пользователем. Так же как и многие другие элементы NGFW, она реализована при помощи механизма правил и сценариев, что позволяет гибко настраивать чувствительность системы в соответствии с особенностями конкретной компании. Ограничение на количество одновременно открытых пользователем сеансов обеспечивает эффективное противостояние возможным DoS-атакам (Denial of Service) через пользовательские или гостевые учётные записи.Контроль интернет-приложенийUserGate Next Generation Firewall работает с приложениями на седьмом уровне сетевого взаимодействия модели OSI. Система идентифицирует приложения и даёт администратору возможность ограничивать их использование. Например, NGFW способен полностью заблокировать работу мессенджеров, торрент-клиентов и других нежелательных программ. Собственная база обновляемых сигнатур позволяет помимо этого защищать локальную сеть от угроз связанных с теми программами, которые работают с интернетом.АнтивирусВ состав UserGate Next Generation Firewall входит потоковый антивирус, который может проверять внешний трафик на наличие вредоносных программ. Анализ ведётся при помощи собственной базы сигнатур, что обеспечивает достаточную надёжность и блокировку основных угроз до того, как данные пересекут контур безопасности. С другой стороны, использование лёгкого сигнатурного антивирусного ядра минимально нагружает систему, что даёт возможность, при необходимости, проверять весь трафик полностью. Антивирусная защита использует механизм правил безопасности NGFW.РеагированиеВ UserGate Next Generation Firewall встроена система предотвращения вторжений, которая способна в настоящем времени реагировать на атаки киберпреступников, эксплуатирующих известные уязвимости. UserGate Next Generation Firewall даёт администратору возможность создавать различные наборы сигнатур для защиты различных сервисов, а также формировать на базе универсального механизма правил собственные сценарии для каждого типа трафика. Это позволяет не только формировать реакции на кибератаки, но и контролировать вредоносную активность внутри сети.Собственная ОСВ основе UserGate Next Generation Firewall лежит оригинальная операционная система UGOS, оптимизированная для задач быстрой и эффективной обработки трафика. Платформа создана на базе дистрибутива Linux и не использует готовых комплексных модулей: все подсистемы безопасности разработаны программистами UserGate и не содержат стороннего кода. С одной стороны, это позволяет быстро адаптировать её под требования заказчика, а с другой — существенно снижает вероятность атак на систему с использованием общеизвестных уязвимостей.Варианты поставкиUserGate Next Generation Firewall может поставляться как в виде виртуального межсетевого экрана, развёрнутого на одном из гипервизоров (VMware, Hyper-V, Xen, KVM, OpenStack, VirtualBox, отечественные разработки), так и в виде программно-аппаратного комплекса, созданного UserGate. Производитель предлагает несколько вариантов исполнения таких NGFW, предназначенных для организаций разного масштаба — от компаний сегмента СМБ до крупных предприятий и дата-центров.Сценарии использования UserGate Next Generation FirewallОсновные настройки UserGate Next Generation FirewallПервоначальные настройки UserGate Next Generation Firewall не займут много времени и сводятся в общем случае к конфигурации портов для работы с интернетом и локальными ресурсами, добавлению DNS-серверов, определению доменных записей для страниц блокировки и авторизации, а также указанию параметров работы механизма SSL-фильтрации. Кратко рассмотрим каждое из этих действий.Задание параметров портов выполняется в секции «Сеть — Интерфейсы» раздела «Настройки» UserGate Next Generation Firewall. Здесь собраны все физические и виртуальные порты, имеющиеся в системе. Для каждого интерфейса можно выбрать тип («Layer 3» или «Mirror»), назначить ему определённую зону и указать профиль Netflow, который будет использоваться для отправки данных на коллектор, учитывающий сетевой трафик. Тут же задаётся тип IP-адреса порта — динамический, получаемый через DHCP, или заранее определённый, статический. При необходимости можно настроить работу DCHP Relay, который будет раздавать адреса со внешнего сервера устройствам своего сегмента сети. Рисунок 1. Настройка свойств порта в UserGate Next Generation Firewall Для настройки DNS-серверов необходимо выбрать пункт меню «Сеть — DNS» в разделе «Настройки», нажать кнопку «Добавить» и задать адрес соответствующего хоста. При необходимости UserGate Next Generation Firewall может перехватывать DNS-запросы пользователей и изменять их. Для этого следует задать параметры работы DNS-прокси. Важно, что для фильтрации DNS-запросов необходимо приобрести отдельный модуль и создать соответствующие правила. Рисунок 2. Раздел настройки DNS в UserGate Next Generation Firewall Авторизация неизвестных пользователей (не идентифицированных Windows или агентами терминальных серверов либо не имеющих явно указанного IP-адреса в свойствах) осуществляется в UserGate Next Generation Firewall при помощи перехватывающего портала. Применяются правила заданные администратором, однако для корректной работы сервиса следует настроить доменные имена страниц аутентификации, блокировки и выхода из системы. Этот шаг можно пропустить, если в качестве DNS-сервера используется сервер UserGate Next Generation Firewall. Если же применяется собственный DNS-сервер, то необходимо создать на нём три соответствующие A-записи и указать в них IP-адрес и порт подключения к локальной зоне.Корректная работа системы фильтрации контента UserGate Next Generation Firewall возможна только при настроенной инспекции данных передаваемых по шифрованным протоколам, таким как HTTPS, SMTPS или POP3S. Файрвол дешифровывает указанный трафик, после чего анализирует его на предмет наличия ограничений, заданных правилами. После дешифровки и анализа данные повторно кодируются при помощи собственного сертификата. Обязательно нужно добавить его в список доверенных корневых сертификатов, иначе браузеры пользовательских устройств будут сигнализировать о возможной подмене SSL-удостоверения. Рисунок 3. Раздел «Инспектирование SSL» в UserGate Next Generation Firewall Чтобы настроить режим проверки шифрованного трафика, необходимо перейти в пункт «Политики безопасности — Инспектирование SSL» раздела «Настройки» и добавить новое правило, описывающее процесс работы с SSL-трафиком. Для каждого трафика, среди прочего, можно задать:Пользователя, группу пользователей или тип пользователей, для которых применяется правило.Список доменов, чей трафик подлежит инспектированию.Списки IP-адресов источников и назначения трафика.Возможность блокировки внешних сертификатов, не вызывающих доверия (самоподписанных, отозванных, с истекшим сроком действия).Создание политикОсновным инструментом фильтрации контента в UserGate Next Generation Firewall являются правила, объединённые в политики безопасности. Это универсальный механизм, который может инициировать определённые действия системы по ряду заданных параметров. Файрвол анализирует трафик, после чего блокирует его (или, наоборот, разрешает передачу данных) при срабатывании одного из триггеров. Правила применяются последовательно, в соответствии с очерёдностью, установленной их списком. Такой подход даёт возможность гибко настраивать обработку данных по разным параметрам.Для создания нового правила необходимо выбрать пункт «Политики безопасности — Фильтрация контента», находящийся в разделе «Настройки». Каждая политика может выполнять одно из трёх действий:Блокировать доступ к веб-странице («Запретить»).Предоставить доступ к веб-странице («Разрешить»).Показать пользователю предупреждение о нежелательности посещения этой страницы («Предупредить»).Рисунок 4. Настройка правила фильтрации контента в UserGate Next Generation Firewall Частным случаем действия «Запретить» является проверка трафика встроенным антивирусом. Если в передаваемых данных будет обнаружена сигнатура вредоносной программы, содержащая её страница не будет открыта.После выбора действий необходимо указать одно или несколько условий, которые будут инициировать срабатывание правила. Каждое условие добавляется в правило через логическое «И», то есть правило выполняется только при срабатывании всех указанных в нём условий. Например, можно ограничить трафик определённой категории сайтов для определённого пользователя. При этом для всех остальных категорий передача данных этому пользователю будет разрешена. Ниже приведена краткая характеристика основных условий, доступных в правилах фильтрации контента UserGate Next Generation Firewall.Источник трафика: список IP-адресов или доменов, откуда идёт трафик. Разрешение доменных имён в IP-адреса производится каждые пять минут, а результат хранится в течение жизни DNS-записи.Назначение трафика: список IP-адресов или доменов, являющихся получателями трафика. Порядок работы системы с ними — такой же, как для источников.Пользователи или группы пользователей, для которых применяется правило. Допускается использование таких масок, как «Any» (любой пользователь), «Known» (известный, то есть идентифицированный, пользователь), «Unknown» (неидентифицированный пользователь).Категории электронных ресурсов. Трафик проверяется по крупнейшей базе электронных ресурсов, разбитых на более чем 70 категорий. Например, правило может срабатывать на социальные сети, порнографию, онлайн-казино и другие сайты. Администратор может переопределить категорию любого сайта. Для фильтрации по категориям необходима отдельная лицензия на базу данных UserGate URL Filtering.Списки URL: чёрные и белые. Администратор может создавать собственные списки или приобрести готовые.Тип контента. Данное условие срабатывает при передаче аудио, видео, исполняемых файлов и пр. Для описания видов контента используется формат MIME. Морфологические базы для проверки передаваемого контента на наличие определённых слов, словоформ и выражений.Кроме того, можно задавать время работы правила, значение User-Agent, HTTP-метод и рефереры открываемой страницы.Работа со сценариямиДля определённых типов правил можно использовать дополнительные условия, сценарии. Однако прежде чем перейти к описанию работы с ними, кратко остановимся на базовых свойствах правил межсетевого экрана и правил пропускной способности, где, собственно, и используются сценарии.Правила межсетевого экрана регулируют обработку транзитного трафика, проходящего через UserGate Next Generation Firewall. В качестве условий, при срабатывании которых система блокирует или, наоборот, разрешает передачу данных, могут выступать пользователи, сервисы, приложения, а также зоны и IP-адреса источника трафика или его назначения. Правила пропускной способности, основываясь на тех же параметрах, способны ограничивать канал передачи данных. Рисунок 5. Окно свойств правил межсетевого экрана в UserGate Next Generation Firewall Сценарии позволяют UserGate Next Generation Firewall реагировать не только на одномоментные события, но и на произошедшие за некоторый интервал времени — например, несколько попыток использования одного приложения. Для создания нового сценария необходимо нажать кнопку «Добавить» в меню «Политики безопасности — Сценарии» раздела «Настройки». Сценарий может действовать только для того пользователя, на котором он сработал, или распространяться на всех пользователей, указанных в правиле. Можно также задать срок работы сценария после его активации. После создания сценария его необходимо указать в том правиле, для которого он будет применяться. Рисунок 6. Окно настройки сценария в UserGate Next Generation Firewall В качестве условий сценария может выступать срабатывание системы обнаружения вторжений или появление следующих сущностей в трафике пользователя:URL заданных категорий.Вирусы.Приложения.Определённые типы контента.Пакеты данных, превышающие определённый размер.Количество сессий с одного IP-адреса, превышающее некоторое значение.Объём трафика за единицу времени, превышающий определённое значение.Доступность определённого ресурса.С таким перечнем удобно выстраивать логику регулирования трафика. Например, при помощи сценариев можно переключить сеть на работу с запасным шлюзом, в случае недоступности основного.ВыводыUserGate Next Generation Firewall представляет собой полнофункциональный комплекс защиты внешних периметров сети и управления сетевым трафиком. Система даёт возможность построить сложные сценарии обработки и анализа сетевых пакетов на основе универсальных политик безопасности. С её помощью специалисты по информационной безопасности могут фильтровать поступающие извне данные на основе вердиктов антивирусного ядра, морфологического анализа, информации о приложении и других параметров. Различные триггеры можно собирать в цепочки, связанные логическим «И» (условия в рамках одного правила), а также логическим «ИЛИ» (последовательность нескольких правил).Ещё одним средством кибербезопасности является система ограничения количества одновременных сеансов, что полезно для эффективного противодействия DoS-атакам. При этом простой фиксацией проблем возможности UserGate Next Generation Firewall не ограничиваются. Используя тот же механизм правил и сценариев, можно настроить варианты реагирования NGFW на определённые события в информационной безопасности или нелегитимную сетевую активность.Помимо защитных функций UserGate Next Generation Firewall предоставляет администратору возможность контролировать сетевую активность пользователей, запрещая работу с определёнными ресурсами или приложениями. Это важно не только для ИБ, поскольку позволяет отсекать нерабочую активность персонала — использование соцсетей, игровых платформ, торрентов. Дополнительно NGFW может ограничивать пропускную способность канала при достижении пользователем определённых объёмов трафика, а также переключаться между разными интернет-провайдерами при выполнении заданных условий.UserGate Next Generation Firewall занимает передовые позиции в секторе NGFW российского рынка информационной безопасности и может конкурировать с ведущими зарубежными аналогами. Компетенции компании UserGate в сфере анализа сетевого трафика позволили ей создать зрелый продукт, способный стать существенным препятствием для кибератак, универсальным инструментом первой необходимости, который сможет обезопасить компанию от большого числа инцидентов даже при частичной недоступности других инструментов информационной безопасности.Читать далее
-
Ankey ASAP (Advanced Security Analytics Platform) предназначен для углублённого изучения событий по информационной безопасности с функциями поведенческого анализа. Программный комплекс получает данные от СЗИ и информационных систем, формирует контент для помощи в расследовании киберинцидентов и анализирует поведение пользователей и компонентов корпоративной сети. У продукта появились новые возможности, расскажем о них. ВведениеИнтерфейс Ankey ASAPМодуль UEBA3.1. Анализатор терминальных команд3.2. Анализатор первых действий3.3. Анализатор базовой линии3.4. Работа анализаторов в действии3.5. Возможности по разработке собственного UEBA-контентаВыводыВведениеУвеличивающиеся риски целевых атак, новые требования регуляторов вместе с уходом иностранных вендоров с российского рынка заставили отечественные компании существенно пересмотреть подход к существующим внутри организаций средствам и методам обеспечения информационной безопасности. Не менее острой за прошедший год стала проблема определения и предотвращения инсайдерских атак. В некоторых случаях детектировать их имеющимися СЗИ представляется почти невозможным, так как во многих случаях это требует детального анализа пользовательского поведения внутри корпоративной сети, что, несомненно, влечёт за собой значительное увеличение затрат на обеспечение ИБ в организации. Одним из возможных решений проблемы можно назвать внедрение системы поведенческого анализа пользователей (UEBA).Ankey ASAP — программный комплекс, являющийся аналитической платформой кибербезопасности с функциями поведенческого анализа. Основываясь на данных, которые поставляются в систему в нормализованном виде из SIEM и иных средств защиты информации, Ankey ASAP анализирует поведение различных пользователей, устройств, других систем корпоративной сети с целью выявить признаки потенциальных киберугроз и целевых атак, а также злонамеренных действий инсайдеров. С момента последней публикации на Anti-Malware.ru статьи об Ankey ASAP платформа была комплексно переработана: от интерфейса до функциональных решений. Рассмотрим подробнее эти изменения.Интерфейс Ankey ASAPUX- / UI-дизайн системы претерпел комплексный рефакторинг, начиная от страницы аутентификации и заканчивая панелью визуализации инцидентов. Минимизация рабочей нагрузки на операторов системы (администраторов ИБ, аналитиков) путём частичного перекладывания ряда рабочих задач на платформу является одним из главных принципов при разработке системы. В этом Ankey ASAP помогают расширенные средства визуализации, навигации и работы со внутренним контентом. Рисунок 1. Панель визуализации инцидентов Удобная навигация между карточками позволяет легко ориентироваться во всех активах, а также связанных с инцидентами событиях. Система способна получать скоррелированные события изо внешних систем типа SIEM и выявлять ИБ-инциденты, происходящие в корпоративной сети, на основе алгоритмов поведенческого анализа. Благодаря средствам расширенной визуализации и обновлённым виджетам оператор платформы может выделить для себя наиболее значимые объекты анализа. В определении наиболее значимых инцидентов ему призваны помочь система гибкого скоринга и тесно связанная с ней система генерации уведомлений. Не стоит забывать и о постоянно растущем списке поддерживаемых системой источников.Модуль UEBAБыла существенно переработана функциональная часть Ankey ASAP. Изменения коснулись как отдельных компонентов архитектуры проекта, так и принципов работы ряда анализаторов, входящих в технологический блок UEBA-системы. О действующей функциональности этих анализаторов и пойдёт речь далее в статье. Рисунок 2. Подробные сведения об инцидентах Анализатор терминальных командЗа детектирование аномального поведения объектов наблюдения в Ankey ASAP отвечает ряд анализаторов, разделяемых по функциональному назначению. Одним из них является анализатор терминальных команд, призванный в первую очередь детектировать попытки реализации атак типа «Living-off-the-Land», то есть выявлять выполнение деструктивных терминальных команд при использовании легитимных или встроенных системных утилит (CMD, PowerShell, netcat и другие). На вход анализатора подаются события запуска процесса, а он по обученной заранее модели проводит классификацию: похоже это на LotL-атаку или нет. Рисунок 3. Принцип работы анализатора терминальных команд При сравнении методов работы существующих решений по безопасности следует особо отметить, что детектировать LotL-атаки возможно также и сигнатурными методами, однако там основой служат константные выражения в терминальных командах. Иначе говоря, для детектирования с помощью SIEM LotL-атаки с применением netcat необходимо, чтобы введённая команда содержала «nc» и некоторые определённые флаги. Переименовываем «netcat» в «моя секретная программа» — правила SIEM перестают работать; в ASAP же модель для классификации лишь немного потеряет в степени уверенности, что применяется именно netcat. Она также вынесет вердикт по оставшейся информации — например, по тем же самым флагам, которые были переданы в качестве аргументов.Анализатор первых действийГоворя о сигнатурных методах определения злонамеренной пользовательской активности, стоит также упомянуть, что рассматриваемые решения обычно позволяют детектировать уже реализованную угрозу. Однако одной из основных задач системы поведенческой аналитики является определение и пресечение потенциальной угрозы на более ранних этапах киберцепочки угроз (Cyber Kill Chain). Частично за выполнение этой задачи в Ankey ASAP отвечает анализатор первых действий сущностей. Внутренний контент платформы содержит в себе уже описанные аналитиками триггеры первых пользовательских действий, которые по всем своим признакам могут соответствовать легитимной модели поведения, однако их нетипичность применительно к определённым временным промежуткам свидетельствует об определённой степени «аномальности» подобного поведения.Такими триггерами могут быть:первое переключение пользователя в «root»;подключение к ИС нового съёмного носителя;обращение изо внутренней сети к новому внешнему хосту и др.Такие события вызывают в системе значительное изменение скоринга карточки анализируемого актива. Обо всех резких изменениях скоринга, а также о превышении определённого «безопасного» порога система сигнализирует соответствующими уведомлениями на информационной панели, что помогает оператору платформы своевременно реагировать и детектировать нетипичное для пользователя поведение.Анализатор базовой линииНа основе множества показателей, к которым относятся как собственное типичное поведение (например, учёт рабочего времени, проводимого конкретным пользователем за рабочим местом), так и признаки свойственные определённым группам сущностей (администратор, внешний нарушитель, вредоносные программы), анализатор формирует так называемые профили поведения для каждого объекта анализа. Так, любое отклонение поведения объекта от базового будет вызывать рост его скоринга в соответствии с описанной для данного сценария моделью.Анализатор позволяет предотвращать и детектировать инциденты в информационной безопасности, основываясь, например, на:нетипичном времени входа в систему;нетипичных операциях с сетевыми папками;нетипичных действиях по управлению политиками и др.Работа анализаторов в действииДля наглядности описания продемонстрируем работу анализаторов в одном из возможных сценариев. Находясь в разделе «Мониторинг» или «Инциденты», оператор платформы обнаруживает созданный системой инцидент о превышении скоринга для учётной записи «barbar». Рисунок 4. Раздел «Инциденты» в Ankey ASAP Перейдя к самой карточке учётной записи и установив фильтр по датам на интересующий нас временной промежуток, видим зафиксированные сигналы об аномальном поведении учётной записи, а также о начислении скоринга по каждому из них. Рисунок 5. Карточка инспектируемой учётной записи Обратимся к началу списка уведомлений, зарегистрированных для данной учётной записи. Рисунок 6. Список сгенерированных уведомлений для учётной записи Анализатор базовой линии фиксирует вход в нетипичное для данного пользователя время, о чём свидетельствует соответствующий сигнал. Затем уже следующий анализатор (первых действий) фиксирует просмотр и копирование содержимого сетевых папок, с которыми прежде пользователь не взаимодействовал. Уже на данном этапе система создаёт инцидент о резком росте скоринга в сутки (выше допустимых 100 баллов). Рисунок 7. Результат работы анализатора первых действий Двигаемся дальше: видим сгенерированное уведомление о попытке отправки архива через электронную почту. Инцидент, поступивший из SIEM, свидетельствует о том, что это действие было зарегистрировано DLP-системой, вследствие чего произошла блокировка отправки данных. Затем система отмечает подключение USB-накопителя, совершаемое впервые. Следующая за ним попытка копирования данных на съёмный носитель также зарегистрирована и блокирована DLP-системой. Больше никаких инцидентов от SIEM не поступало, поэтому можно посчитать, что отправка данных была успешно заблокирована.Однако, обращаясь к следующим сигналам, можно увидеть результат работы анализатора базовой линии: пользователь скопировал нетипичное для себя количество данных. Рисунок 8. Результат работы анализатора базовой линии Сразу за ним следует уведомление от анализатора терминальных команд. Видим, что пользователь всё же отправил данные во внешний репозиторий в обход DLP-защиты, применяя низкоуровневые механизмы взаимодействия (в данном случае — при помощи утилиты datasvcutil). DLP-система не регистрирует это событие, так как используемая утилита является штатной, что в данной ситуации эквивалентно «легитимной». Поскольку каждый сгенерированный системой сигнал вызывал своим появлением увеличение скоринга пользователя, Ankey ASAP создаёт инцидент по превышению скоринга, с чего и начинается расследование.Таким образом, в примерах из этого сценария мы можем разглядеть поведение типичного инсайдера. Анализируя события и инциденты в области безопасности раздельно, администратор ИБ может не получить полноценной картины проводимой атаки, особенно в тех случаях, когда злонамеренные действия пользователя сильно размыты во времени. Ситуация может быть осложнена тем, что некоторые СЗИ, использующие в своей работе сигнатурные методы обнаружения, порой упускают важный контекст из обрабатываемой информации, как, например, в описанном выше методе реализации LotL-атаки. Используемые в Ankey ASAP технологии машинного обучения, возможность подключения различных источников, аккумулирующий эффект скоринга способны значительно снизить подобные риски.Возможности по разработке собственного UEBA-контентаОтдельное внимание разработчики уделили созданию собственного внутреннего контента для платформы. Её функциональность может расширяться со стороны не только разработчика системы, но и пользователей. Для просмотра и редактирования существующего контента в платформе используется внутренний редактор конфигурационных правил. При необходимости администратор может править существующие модели, поставляемые вместе с платформой, а также на основе уже имеющихся создавать свои собственные. В этом разработчику контента способен помочь набор внутренних функций, используемых анализаторами. Все доступные функции подробно описаны в эксплуатационной документации.ВыводыИспользование платформ наподобие Ankey ASAP администраторами или аналитиками по ИБ способно значительно оптимизировать их рабочие процессы. Ankey ASAP помогает администратору выявлять аномальные или вредоносные действия пользователей или устройств: платформа может быть как инструментом активного мониторинга защищённости сети, так и конечной точкой аккумуляции всех сведений, которые необходимы для проведения расследований.В настоящее время активно ведётся работа по расширению уже имеющейся функциональности Ankey ASAP. Из планов на ближайшее будущее стоит выделить:поддержку новых источников данных, в частности — программного комплекса для мониторинга рабочего времени сотрудников StaffCop (ООО «Атом Безопасность»);расширение библиотеки анализаторов поведения;расширение имеющейся библиотеки виджетов панели мониторинга;реализацию отдельного дашборда по матрице MITRE ATT&CK;интеграцию с продуктами ООО «Газинформсервис» (линеек Ankey и Efros).Авторы:Андрей Шабалин, аналитик ИБ, компания «Газинформсервис»Расул Манкаев, инженер-аналитик, компания «Газинформсервис»Читать далее
-
Средство защиты информации «Блокхост-Сеть 4» комплексно и многофункционально обеспечивает безопасность информационных ресурсов рабочих станций и серверов, контролирует съёмные машинные носители информации, противодействует несанкционированному доступу. ВведениеАрхитектура и системные требования «Блокхост-Сеть 4»Соответствие требованиям регуляторовФункциональные возможности «Блокхост-Сеть 4»4.1. Централизованное развёртывание клиентов и внешних пакетов4.2. Установка клиента «Блокхост-Сеть»4.3. Установка сторонних программ4.4. Построение иерархии серверов управления4.5. Общее описание политик4.6. Наследование политик в иерархии групп и серверовУправление политиками механизмов безопасности на примере контроля USB5.1. Разграничение доступа к USB-устройствам5.2. Формирование доверенного списка устройствУправление жизненным циклом токенов (смарт-карт) и сертификатов6.1. Жизненный цикл управления токенами и сертификатами6.1.1. Приостановка и возобновление использования токена6.1.2. Вывод токена из использования6.1.3. Изъятие токена6.1.4. Выпуск носителя для аутентификации по сертификату6.1.5. Удалённое управление токеном пользователя6.1.6. Двухфакторная аутентификация с сохранённым паролем6.1.7. Формирование актов выдачи / изъятия токенов6.1.8. Отображение информации о сертификатах6.1.9. Оповещение по почте6.1.10. Инициализация токеновСбор аудита по иерархии управления7.1. Архивирование событий аудита7.2. Сбор событий в SIEM головного сервераНовое в «Блокхост-Сеть 4»8.1. Централизованная установка клиентов управления в Linux-системах8.2. Аутентификация по паролю на токене (смарт-карте) в Linux-системах8.3. Аутентификация по сертификату на смарт-карте в Linux-системах8.4. Централизованное управление доверенной загрузкой8.4.1. Управление политиками механизмов безопасности8.4.2. Прямое управление до загрузки ОС8.4.3. Централизованный сбор аудитаВыводыВведениеСегодня вопросы обеспечения информационной безопасности становятся предметом особого внимания. На территории Российской Федерации операторы информационных систем давно обязаны блокировать попытки несанкционированного доступа к данным, а также на постоянной основе осуществлять мониторинг защищённости ИТ-инфраструктуры. При этом борьба с угрозами не может исчерпываться принятием только организационных мер. Для реализации технических мер характерно использование различных программных и программно-аппаратных средств. Средство защиты информации «Блокхост-Сеть 4» предназначено для защиты информационных ресурсов рабочих станций и серверов в соответствии с требованиями ФСТЭК России.Архитектура и системные требования «Блокхост-Сеть 4»Компоненты «Блокхост-Сеть 4» устанавливаются на компьютеры с процессорами архитектур x86 и AMD64 под управлением ОС Microsoft Windows 2008R2 / 7 / 8.1 / 2012 / 2012R2 / 10 / 2016 / 2019, Astra Linux SE («Смоленск»), «Альт 8 СП».В состав продукта входят консоль и сервер управления, клиент СЗИ, а также клиент аутентификации и управления.Сервер управления «Блокхост-Сеть 4» устанавливается на серверы безопасности под управлением ОС Windows. С сервера осуществляются централизованное развёртывание клиентов, управление настройками клиентов СЗИ и клиентов управления, выпуск средств двухфакторной аутентификации пользователей, в том числе с записью цифровых сертификатов, а также сбор сведений для аудита безопасности и их передача во внешние системы корреляции событий.Консоль устанавливается на рабочее место администратора (ОС Windows или Linux) и позволяет управлять всеми возможностями серверов безопасности.Клиент «Блокхост-Сеть 4» устанавливается на рабочие станции под управлением ОС Windows и реализует весь спектр функций безопасности продукта.Клиент аутентификации и управления устанавливается на рабочие станции с сертифицированными ОС Linux и обеспечивает двухфакторную аутентификацию и централизованное управление средством доверенной загрузки.Для двухфакторной идентификации и аутентификации пользователей поддерживаются персональные электронные идентификаторы eToken, ruToken, JaCarta, eSmart, Avest Token.Соответствие требованиям регуляторовСЗИ от НСД «Блокхост-Сеть 4» имеет сертификат № 4374 ФСТЭК России:5-й класс защищённости для средств вычислительной техники (СВТ) в соответствии с руководящим документом «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищённости от несанкционированного доступа к информации» (Гостехкомиссия России, 1992);4-й уровень доверия в соответствии с документом «Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий» (утверждён приказом ФСТЭК России от 02 июня 2020 г. № 76);4-й класс защиты в соответствии с методическим документом «Профиль защиты средств контроля подключения съёмных машинных носителей информации четвёртого класса защиты ИТ.СКН.П4.ПЗ» (ФСТЭК России, 2014).Продукт обеспечивает возможность защиты от несанкционированного доступа к информации для автоматизированных систем (АС) класса защищённости до 1Г включительно и позволяет выполнять требования приказов ФСТЭК России:№ 17 по защите государственных информационных систем (ГИС), для объектов до 1-го класса защищённости включительно;№ 21 по защите информационных систем персональных данных (ИСПДн), для объектов до 1-го уровня защищённости включительно;№ 31 по защите автоматизированных систем управления технологическим процессом (АСУ ТП), для объектов до 1-го класса защищённости включительно;№ 239 по защите значимых объектов критической информационной инфраструктуры (КИИ), для объектов до 1-й категории включительно.Функциональные возможности «Блокхост-Сеть 4»Ключевыми возможностями «Блокхост-Сеть 4» являются:Идентификация и аутентификация пользователей информационной системы при попытках входа на защищаемые станции под управлением служб каталогов Microsoft Active Directory, FreeIPA, Samba, ALD Pro.Контроль прав доступа пользователей к защищаемой информации на компьютерах.Контроль подключения и использования съёмных носителей на защищаемых компьютерах.Двухфакторная аутентификация пользователей информационной системы при входе на защищаемые станции с помощью USB-токенов и смарт-карт.Управление жизненным циклом двухфакторной аутентификации для поддерживаемых Windows- и Linux-систем, в том числе с использованием цифровых сертификатов.Централизованный выпуск цифровых сертификатов удостоверяющих центров Microsoft CA и Dogtag для двухфакторной аутентификации.Централизованное управление средством доверенной загрузки SafeNode System Loader.Централизованное развёртывание клиентов и внешних пакетовВ «Блокхост-Сеть 4» предусмотрена возможность централизованного развёртывания клиентов с сервера безопасности, для чего необходимо выполнить задачу на установку агентов развёртывания на защищаемые рабочие станции, а затем — на установку клиентов средства защиты. Рисунок 1. Создание задачи на изменение программы в «Блокхост-Сеть 4» Список рабочих станций для установки агентов развёртывания может быть сформирован поиском по IP-адресам, запросом из службы каталогов или по списку клиентов «Блокхост-Сеть», зарегистрированных на сервере СЗИ. Рисунок 2. Редактирование задач в «Блокхост-Сеть 4» Для установки агентов развёртывания требуется указать учётные записи пользователей с административными правами, от имени которых будет производиться установка.Для выбора удобного времени установки предусмотрена возможность задать параметры запуска с помощью планировщика. Рисунок 3. Выполнение задач в «Блокхост-Сеть 4» Задачи установки пакетов могут быть связаны и запускаться последовательно. Рисунок 4. Редактирование задач в «Блокхост-Сеть 4» Установка клиента «Блокхост-Сеть»Для инсталляции клиента «Блокхост-Сеть» уже создана одноимённая предустановленная задача. Рисунок 5. Установка клиента в «Блокхост-Сеть 4» Модули безопасности «Блокхост-Сеть 4» могут устанавливаться по отдельности, так что в задаче установки доступен выбор тех из них, которые нужны для защиты рабочих станций. Рисунок 6. Выбор модулей для установки на рабочие станции в «Блокхост-Сеть 4» Инсталляция клиента «Блокхост-Сеть» происходит на станции с установленным агентом. Рисунок 7. Добавление рабочих станций в список установки клиента в «Блокхост-Сеть 4» При формировании списка рабочих станций доступен экспорт / импорт, в т. ч. их перечня из другой задачи.В планировщике предусмотрена возможность управлять временем перезагрузки операционной системы после установки клиента. Рисунок 8. Вкладка «Перезагрузка системы» окна редактирования параметров задачи в «Блокхост-Сеть 4» Результаты выполнения задач установки отображаются на круговой диаграмме. Рисунок 9. Результат выполнения задачи в «Блокхост-Сеть 4» На случай неуспешной установки предусмотрена возможность просмотреть историю операций и автоматически получить системные журналы аудита с рабочих станций. Рисунок 10. Просмотр результатов выполнения задачи в «Блокхост-Сеть 4» Установка сторонних программПомимо инсталляции клиентов СЗИ доступна возможность создания задач по установке стороннего программного обеспечения на клиентские рабочие станции. Это могут быть, например, обновления и драйверы устройств. Также можно централизованно устанавливать средство доверенной загрузки SafeNode System Loader и выполнять скрипты на подконтрольных станциях.Построение иерархии серверов управленияОбщий принцип построения иерархии, содержащей головной и подчинённые серверы, а также клиентские рабочие станции, изображён на рисунке. Рисунок 11. Иерархия серверов в «Блокхост-Сеть 4» Вся иерархия серверов управления отображается в левой части «Менеджера иерархий». Доступны операции по созданию групп в иерархии, поиску клиентских рабочих станций. Рисунок 12. Отображение иерархии в «Блокхост-Сеть 4» Серверы «Блокхост-Сеть 4» могут быть включены в иерархию в качестве головного или родительского сервера. Рисунок 13. Построение иерархии серверов в «Блокхост-Сеть 4» Подключение подчинённого сервера позволяет применить политики как к его рабочим станциям, так и к серверу в целом.Подчинённые серверы в общем дереве менеджера иерархий отображаются наравне с рабочими станциями. Рисунок 14. Подчинённые серверы в «Блокхост-Сеть 4» Общее описание политикЦентрализованное управление осуществляется посредством политик.В СЗИ существует три типа политик: серверная (определяет параметры работы серверов), клиентская (определяет параметры работы клиентских машин) и политика SafeNode System Loader (позволяет централизованно управлять средством доверенной загрузки ОС, где установлен клиент «Блокхост-Сеть 4»). Рисунок 15. Отображение политик в интерфейсе «Блокхост-Сеть 4» Настройки и параметры политик корневой группы «Все компьютеры» оказывают влияние на все группы в иерархии, если установлено принудительное наследование или если в этих группах нет собственных политик.Любая политика, кроме корневой группы «Все компьютеры», может быть неактивной и не влиять на работу серверов или клиентских рабочих станций.Наследование политик в иерархии групп и серверовНа сервере управления реализована возможность принудительного наследования отдельных параметров или разделов политик родительских групп политиками нижестоящих групп. Рисунок 16. Принудительное наследование параметров типа «флаг» в «Блокхост-Сеть 4» На иллюстрации выше символ открытого замка означает, что администраторам нижестоящих уровней иерархии можно изменять параметры или разделы. Закрытый замок на каком-либо параметре или разделе политики обозначает невозможность перезаписи параметра или раздела на всех нижестоящих уровнях иерархии.В случае принудительного наследования параметров политик типа «флаг» значение параметра политики станет идентичным тому значению, которое задано в политике верхнего уровня. Рисунок 17. Пример иерархии в «Блокхост-Сеть 4» Как видно, в «Клиентской политике 1» включён контроль установки или удаления программ, полученный из политики верхнего уровня.При наследовании списков «замок» может быть установлен как на весь список, так и на отдельные его элементы. Рисунок 18. Принудительное наследование после удаления элемента списка для текущей политики в «Блокхост-Сеть 4» Управление политиками механизмов безопасности на примере контроля USBВ «Блокхост-Сеть 4», как и во многих средствах защиты подобного класса, реализован механизм контроля устройств, предназначенный для разграничения доступа пользователей к отчуждаемым носителям информации, формирования списков разрешённых устройств на чтение / запись для пользователей или их групп, наследование списков которых также доступно в иерархии управления.Разграничение доступа к USB-устройствамВ политике контроля доступны для управления различные классы USB-устройств: съёмные USB-носители, WPD-устройства (телефоны, фотокамеры, музыкальные проигрыватели), адаптеры Wi-Fi и Bluetooth, смарт-карты и считыватели, клавиатуры, мыши и планшеты, а также прочие (не входящие ни в один из перечисленных классов). Рисунок 19. Разграничение доступа выбранного пользователя в «Блокхост-Сеть 4» Для накопителей и переносных устройств доступно разграничение по чтению и записи на уровне пользователей и их групп.Также возможно установить общий запрет или разрешение на доступ к выбранному классу устройств для всего сформированного списка пользователей (флаг «Доступ разрешён»).Для аудита предусмотрена возможность задать перечень фиксируемых событий. Рисунок 20. Настройка разграничения доступа к USB-устройствам в «Блокхост-Сеть 4» Можно организовать принудительное наследование параметров (установка «замка») всеми политиками, являющимися дочерними по отношению к текущей: для всего раздела USB-устройств, для общего запрета / разрешения на доступ к выбранному классу устройств, для пользователя в сформированном списке, а также для регистрируемых событий аудита.Формирование доверенного списка устройствНакопители и переносные устройства могут настраиваться индивидуально, путём формирования доверенного списка для выбранного пользователя или группы. Доступ к устройству из этого списка не зависит от ограничений, которые заданы для классов USB-устройств. Рисунок 21. Контроль устройств в «Блокхост-Сеть 4» Добавление в список разрешённых доступно для тех устройств, которые подключены к рабочей станции в настоящий момент (индикация зелёным цветом) или подключались к ней ранее. Рисунок 22. Добавление в список разрешённых устройств в «Блокхост-Сеть 4» Для разрешённых устройств доступно разграничение по типам доступа: чтение и запись. Рисунок 23. Разграничение доступа пользователей к выбранному устройству в «Блокхост-Сеть 4» Принудительное наследование параметров (установка «замка») всеми политиками, являющимися дочерними по отношению к текущей, также доступно для всего списка доверенных устройств или для каждого отдельно.Для простого формирования доверенного списка устройств предусмотрена возможность импорта из файла и экспорта в файл.Управление жизненным циклом токенов (смарт-карт) и сертификатовИспользование двухфакторной аутентификации позволяет существенно усилить защищённость информационной системы, но при большом количестве идентификационных устройств управление этой информационной системой начинает требовать всё больше ресурсов для их учёта и сопровождения.В «Блокхост-Сеть 4» есть опция управления жизненным циклом смарт-карт, USB-токенов и цифровых сертификатов инфраструктуры открытых ключей.Доступны следующие операции:Добавление токена (с возможностью инициализации).Назначение токена пользователю для учёта, а также для входа по паролю, сохранённому на токене, по управляемому сертификату, выпущенному на сервере СЗИ, или по стороннему сертификату.Приостановка / возобновление использования токена.Выведение токена из использования с отзывом записанных сертификатов.Изъятие токена и удаление связи с пользователем.Жизненный цикл управления токенами и сертификатамиПри подключении сервера управления к службе каталогов с развёрнутым центром сертификации (Microsoft AD и CA либо FreeIPA и Dogtag) можно централизованно выпускать управляемые сертификаты на USB-токены и смарт-карты пользователей.Токен с управляемым сертификатом может быть в следующих состояниях: «не зарегистрирован», «зарегистрирован», «используется», «выключен», «отозван». Перечень возможных действий с токеном определяется его состоянием. Рисунок 24. Жизненный цикл токена с выпуском управляемого сертификата Приостановка и возобновление использования токенаНазначенный пользователю токен можно временно отключить, например на время отпуска. Рисунок 25. Выключение токена в «Блокхост-Сеть 4» Приостановка и возобновление использования токена не требует его подключения к компьютеру.Вывод токена из использованияНазначенный пользователю токен выводится из использования в случае утери или неисправности. При этом все сертификаты, записанные на него, отзываются без возможности восстановления.Изъятие токенаПри изъятии токена его привязка к пользователю удаляется и он становится доступен для назначения другому сотруднику. Рисунок 26. Поиск устройств в «Блокхост-Сеть 4» Предусмотрена возможность аварийного изъятия токена, если по какой-либо причине не удаётся установить соединение с центром сертификации. При этом токен изымается без выполнения операции отзыва / временного отзыва сертификата для входа.Выпуск носителя для аутентификации по сертификатуНазначение токена пользователю для аутентификации на рабочих станциях заключается в привязке устройства к конкретному сотруднику, например, из окна токенов. Рисунок 27. Выпуск токена в «Блокхост-Сеть 4» Пользователю может принадлежать несколько токенов, но токен не может принадлежать нескольким пользователям. Рисунок 28. Шаги выпуска токена в «Блокхост-Сеть 4» Удалённое управление токеном пользователяДля USB-токенов и смарт-карт, которые подключены к рабочим местам пользователей, реализована возможность удалённого управления. Операция доступна при выборе рабочей станции через «Менеджер иерархий». Рисунок 29. Менеджер иерархий в «Блокхост-Сеть 4» Рисунок 30. Управление токенами в «Блокхост-Сеть 4» При удалённом управлении токенами администратору доступны следующие операции: назначение пользователю, приостановка и возобновление использования, вывод из использования, изъятие.При удалённом управлении токеном от пользователя потребуется ввести ПИН-код на своей рабочей станции. Рисунок 31. Запрос ПИН-кода пользователя администратором Операция будет завершена только после корректного ввода ПИН-кода токена.Двухфакторная аутентификация с сохранённым паролемПомимо аутентификации пользователя по смарт-карте и USB-токену с цифровым сертификатом в развёрнутой инфраструктуре открытых ключей «Блокхост-Сеть 4» позволяет обеспечить двухфакторную аутентификацию пользователей даже в том случае, если инфраструктура открытых ключей в локальной сети не развёрнута. Это делается за счёт использования сложного сгенерированного пароля, хранимого на токене.При первом входе с использованием токена с сохранённым паролем пользователю необходимо ввести ПИН-код к ключевому носителю и пароль. Последний будет заменён на сгенерированный средством защиты информации и сохранён на токен. Тогда вход пользователя в ОС будет доступен на клиентской рабочей станции только с предъявлением назначенного сотруднику токена и со вводом ПИН-кода. При этом доменные политики по смене пароля будут отрабатываться клиентом «Блокхост-Сеть 4» без участия пользователя. Рисунок 32. Назначение токена для безопасного входа по паролю в «Блокхост-Сеть 4» После успешного назначения токена для безопасного входа по паролю в карточке пользователя отобразится назначенное устройство. Рисунок 33. Отображение токена для учёта в карточке пользователя в «Блокхост-Сеть 4» Формирование актов выдачи / изъятия токенов Для документального сопровождения процессов передачи и изъятия USB-токенов в системе предусмотрена возможность автоматически формировать акты приёма-передачи токена, синхронизации, изъятия и удаления из системы, возврата, записи сертификата, удаления сертификата, уничтожения токена. Рисунок 34. Настройка шаблонов печати в «Блокхост-Сеть 4» Предусмотрен широкий перечень переменных для автоматизированного заполнения актов. При необходимости администратор может отредактировать предустановленные шаблоны актов, добавить или удалить автоматически заполняемые переменные. Рисунок 35. Отображение переменных-закладок в актах Отображение информации о сертификатахПосмотреть информацию о выданных токенах и сертификатах на них можно в карточке пользователя. Доступны управляемые сертификаты, выданные на сервере «Блокхост-Сеть 4» и используемые для входа пользователя в систему, а также наблюдаемые сертификаты, выданные сторонними средствами и применяемые для проставления электронной подписи в юридически значимом документообороте или для аутентификации при входе пользователя. Рисунок 36. Отображение сертификатов на токене в «Блокхост-Сеть 4» Предусмотрена индикация, указывающая администратору на появление нового сертификата на выбранном токене или удаление уже зарегистрированного в системе сертификата с токена. Рисунок 37. Информация о сертификатах на токене в «Блокхост-Сеть 4» По каждому сертификату можно получить информацию о назначении, владельце, удостоверяющем центре, выдавшем сертификат, состоянии, сроке действия.Оповещение по почтеДля контроля истекающих сертификатов пользователей предусмотрено оповещение администраторов и владельцев сертификатов о приближении срока окончания их действия. Рисунок 38. Настройки оповещений в «Блокхост-Сеть 4» Инициализация токеновПри добавлении токена можно выполнить инициализацию подключённого устройства, при которой все данные на нём удаляются. Это делается с использованием созданного заранее профиля инициализации или без него.При инициализации токена без использования профиля необходимо указать политики, которые будут действовать на устройстве. Рисунок 39. Инициализация токена в «Блокхост-Сеть 4» В случае использования готового профиля инициализации политики будут загружены из него. Рисунок 40. Добавление токена в «Блокхост-Сеть 4» Профили дают возможность настроить параметры инициализации для каждого типа устройств, поддерживаемого подсистемой жизненного цикла токенов. Рисунок 41. Профиль инициализации в «Блокхост-Сеть 4» Параметры профиля позволяют задать типовые ПИН-коды, параметры их ввода и политику их смены. Рисунок 42. Создание профиля в «Блокхост-Сеть 4» Рисунок 43. Политика ПИН-кода в «Блокхост-Сеть 4» Сбор аудита по иерархии управленияПолитика аудита позволяет сформировать список событий, которые нужно собирать по всей иерархии подчинённых серверов, и расписание их сбора.В подсистеме сбора событий администратору доступны:формирование сводного отчёта с информацией о состоянии клиентов, подключённых к серверам иерархии;сбор событий аудита с клиентов на сервер СЗИ;просмотр и фильтрация событий аудита, собранных с клиентских компьютеров на сервер;просмотр и фильтрация событий аудита напрямую из журнала клиентского компьютера;передача событий аудита вверх по иерархии серверов вплоть до головного сервера с последующей отправкой в SIEM-систему.В серверной политике администратор может выбрать события, которые будут собираться с подчинённых серверов или клиентских рабочих станций под управлением ОС Windows / Linux, включая произошедшие до запуска операционной системы на станциях с установленным средством доверенной загрузки, а также определить расписание сбора событий с клиентов и подчинённых серверов. Рисунок 44. Сбор событий в «Блокхост-Сеть 4» Архивирование событий аудитаДля долгосрочного хранения событий предусмотрена автоархивация. Система позволяет настроить время первого её запуска и интервал в днях, а также выбрать события для помещения в архив и действия над ними. Рисунок 45. Менеджер иерархий в «Блокхост-Сеть 4» Сбор событий в SIEM головного сервера«Блокхост-Сеть 4» позволяет передавать события аудита вверх по всей иерархии серверов управления и экспортировать их в SIEM-систему по протоколу CEF. Рисунок 46. Передача событий в «Блокхост-Сеть 4» Предусмотрена возможность выбора событий аудита для передачи в SIEM. Рисунок 47. Выбор типов событий для передачи в SIEM в «Блокхост-Сеть 4» Новое в «Блокхост-Сеть 4»Централизованная установка клиентов управления в Linux-системахЦентрализованная установка агента развёртывания и клиента «Блокхост-Сеть» с помощью подсистемы развёртывания СЗИ от НСД «Блокхост-Сеть 4» теперь доступна для ОС Astra Linux SE и «Альт 8 СП».Установка агента развёртывания на станции под управлением ОС Linux требует учётной записи и включённого SSH. Рисунок 48. Установка агентов развёртывания в «Блокхост-Сеть 4» В результате выполнения задачи на всех указанных в списке рабочих станциях под управлением ОС Linux будет установлен агент развёртывания. После этого на них уже можно будет установить клиенты «Блокхост-Сеть», для чего формируются пакет установки клиента и задача на установку программы. Рисунок 49. Установка программы в «Блокхост-Сеть 4» Клиент «Блокхост-Сеть» тоже будет установлен на всех указанных в списке рабочих станциях под управлением ОС Linux в результате выполнения соответствующей задачи.Аутентификация по паролю на токене (смарт-карте) в Linux-системахВ «Блокхост-Сеть 4» реализована возможность использования двухфакторной аутентификации с сохранением пароля пользователя на токене, доступная в доменах Microsoft AD, FreeIPA, ALD Pro и Samba DC AD, для Linux-систем по аналогии с Windows-клиентами. При первом входе пользователя с использованием аутентификации по паролю на токене «Блокхост-Сеть 4» потребует ввода пароля учётной записи и ПИН-кода к токену, в результате чего будет сгенерирован и записан на токен новый пароль. При последующих входах сотрудник предъявляет токен и вводит PIN-код, а пароль пользователя в операционной системе автоматически загружается с токена.Аутентификация по сертификату на смарт-карте в Linux-системахLinux-клиенты «Блокхост-Сеть 4» теперь могут проводить двухфакторную аутентификацию пользователей с использованием цифровых сертификатов.На сервере безопасности можно настроить централизованный выпуск сертификатов удостоверяющего центра Microsoft Certificate Authority для пользователей Microsoft Active Directory и сертификатов удостоверяющего центра Dogtag для пользователей FreeIPA. В обоих случаях потребуется служебная учётная запись, обладающая правами на выпуск сертификатов пользователей. Рисунок 50. Настройка центрального выпуска сертификатов в «Блокхост-Сеть 4» После подключения удостоверяющего центра появится возможность выпускать токен для входа по управляемому сертификату с помощью консоли управления.При аутентификации по сертификату на Linux-станциях пользователь подключает токен, содержащий выпущенный сертификат, и вводит ПИН-код токена. Остальные данные будут автоматически считаны с токена.Как и для Windows-станций, для Linux-клиентов доступен удалённый выпуск сертификатов на подключённые к рабочим станциям пользователей токены.Централизованное управление доверенной загрузкойС помощью подсистемы развёртывания СЗИ от НСД «Блокхост-Сеть 4» на клиентские рабочие станции можно централизованно установить средства доверенной загрузки SafeNode System Loader.Для установки SafeNode System Loader мастером создания пакетов формируются инсталляционные пакеты для ОС Windows (*.msi), Astra Linux SE (*.deb) и «Альт 8 СП» (*.rpm).Для подключения централизованного администрирования уже установленных экземпляров SafeNode System Loader предусмотрена задача взятия выбранных рабочих станций под управление.Управление политиками механизмов безопасностиПолитики SafeNode System Loader позволяют управлять параметрами механизмов безопасности средства доверенной загрузки, выполняемыми до запуска операционной системы. Можно устанавливать дополнительный этап аутентификации пользователей, управлять политиками пароля пользователя и администратора при прохождении аутентификации в SafeNode System Loader, а также параметрами контроля целостности аппаратной и программной конфигурации рабочей станции: объектов файловой системы, реестра ОС, аппаратных устройств ЭВМ, загрузочных секторов устройств хранения данных, переменных и драйверов UEFI. Рисунок 51. Изменение политик модуля SafeNodeSL в «Блокхост-Сеть 4» Рисунок 52. Контроль целостности в «Блокхост-Сеть 4» Рисунок 53. Изменение аппаратной среды в «Блокхост-Сеть 4» Прямое управление до загрузки ОСЕсть возможность удалённого управления разблокировкой пользователей на клиентских рабочих станциях.После удалённой разблокировки администратором пользователю будет доступен ввод данных в соответствии с назначенной политикой аутентификации.Централизованный сбор аудитаВ серверной политике предусмотрен раздел с параметрами сбора событий аудита, произошедших до загрузки операционной системы, со станций, которые защищены средством доверенной загрузки SafeNode System Loader. Рисунок 54. Сбор событий СДЗ в «Блокхост-Сеть 4» Выводы«Блокхост-Сеть 4» начиная с обновления 4.2 позволяет решать широкий класс задач на разных стадиях функционирования рабочих станций, начиная с централизованного управления доверенной загрузкой и контролем целостности загружаемой программной и аппаратной среды, обеспечения защиты при функционировании операционной системы, заканчивая управлением жизненным циклом двухфакторной аутентификации, в том числе в отсутствие инфраструктуры открытых ключей, как на платформе Windows, так и на сертифицированных отечественных операционных системах с ядром Linux, функционирующих в доменных структурах на основе Microsoft Active Directory, FreeIPA, ALD Pro, Samba AD DC.Достоинства:Сертифицировано ФСТЭК России, что позволяет использовать его для выполнения требований приказов ФСТЭК России № 17, № 21, № 31, № 239.Благодаря встроенной подсистеме развёртывания позволяет быстро внедрить как само СЗИ на ландшафте любой сложности с неограниченным числом серверов и рабочих станций, так и дополнительные программные компоненты сторонних разработчиков на рабочие станции.Обеспечивает для Linux- и Windows-клиентов единообразное управление двухфакторной аутентификацией и доверенной загрузкой.Осуществляет сбор событий аудита в крупных распределённых сетях по всей иерархии серверов безопасности и подчинённых рабочих станций, передаёт события аудита в системы корреляции для выявления инцидентов в безопасности.Позволяет управлять всей иерархией серверов безопасности подчинённых станций из единой консоли администрирования головного сервера.Недостатки:Нет возможности централизованно выпускать средства осуществления двухфакторной аутентификации с использованием криптоалгоритмов ГОСТ.Читать далее