Перейти к содержанию
AM_Bot

Group-IB обнаружила уязвимость «нулевого дня» в Adobe Reader

Recommended Posts

AM_Bot

adobe.gifСпециалистами компании Group-IB обнаружена недокументированная ранее уязвимость в одном из самых популярных средств просмотра и работы с форматом PDF — Adobe Reader X/XI. Данная уязвимость представляет особый интерес для киберпреступников, так как позволяет злоумышленникам с повышенным процентом успешной эксплуатации заражать вредоносными программами компьютеры пользователей через современные интернет-браузеры.

подробнее

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mr.triggers

Рассказываю как всё было на самом деле.

Недавно уволенный из McAfee известный хэккер крис касперски решил подзаработать себе на новые штаны.

Для этого он создал сплоент (и соответсвенно шеллкодез) для Adobe Reader, и решил продать его на черном рынке за виртуальный шекель.

После этого на него выходят покупатели из Group IB, и просят предоставить пруфы рабочего сплоента (а соответсвенно и шеллкодеза).

Крис предоставляет пруфы сплоента (а соответсвенно и шеллкодеза), но у Group IB не так много виртуального шекеля (читай нищеброды) поэтому им достаточно пиара.

Поэтому Group IB выкладывает видос и пиарится на нем во всём интернете. Даже вот на антималваре написали.

Собственно видос от Group IB:

Крис понимает что его кинули, не заплатив виртуальный шеккель, да еще и пропиарились за его счет.

Поэтому он создает видео с описанием "ПАЦАНЫ ЭТО Я СДЕЛАЛ СПЛОЕНТ (А СООТВЕТСТВЕННО И ШЕЛЛКОДЕЗ)"

Пруф, скриншот: http://i.imgur.com/0tMLZ.jpg Пруф кэш гугла: link

Потом немного отойдя от очередного героинового прихода крис понимает что так палиться нельзя и убирает описание у видео.

Пруф, видео от криса:

Сравните два видео Криса и Group IB.

Отсюда вывод что никакого сплоента (а соответственно и шеллкодеза) у Group IB нету, они решили создать пиар на пустом месте, обладая только видео, что недостаточно для таких громких заявлений.

В этой истории мне нравится всё. И то что это фейл Group IB и то что это так же фейл известного хэккера Криса касперски.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
Недавно уволенный из McAfee известный хэккер крис касперски

Хорошая история.

в воки про касперски (Лихачева) довольно забавно написано. Особенно радует это -- Однажды в Москве, на лестничном пролете, служившем для сотрудников курилкой, произошла историческая и единственная встреча двух Касперских. Крис пришел в лабораторию антивирусов Евгения Касперского, предложил пару идей, но сотрудничества не вышло: «Я не знаю почему, но как только в лаборатории разговор заходит обо мне, у них сразу портится настроение. Теперь они распространяют слухи, что я у них три недели работал, они взяли меня смеха ради, а потом выгнали. Сейчас мы с Касперским в параллельных плоскостях находимся, я не мешаю его бизнесу, а он не мешает моему. Я даже специально убрал «й» из псевдонима, чтобы нас не путали. Но он меня все равно не любит» Правда в ЛК он пришел как Коля Лихачев :-)

Кстати у него в профиле на LinkedIn написано, что крис консультант в Group-IB http://www.linkedin.com/in/nezumi

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин
Кстати у него в профиле на LinkedIn написано, что крис консультант в Group-IB http://www.linkedin.com/in/nezumi

Случайно тоже заметил и очень удивился. Особенно пикантно это выглядит в свете постаmr.triggers выше. Или его в Group-IB взяли потому, что шекелей сразу достаточно не нашлось и решили в рассрочку выплатить? Или же под соусом Group-IB устроят страшное извращение и заставят Касперского (не важно какого) работать на Eset Consulting? :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
rkhunter

oh, private info goes to public

0day имеет очень ограниченную среду воспроизводимости, КK сам об этом говорил. Как пример:

0day.jpg

Пиар чистой воды от Group-IB.

ХЗ работал ли он там на тот момент или уже ушел.

Для этого он создал сплоент (и соответсвенно шеллкодез) для Adobe Reader, и решил продать его на черном рынке за виртуальный шекель.

Вообще-то этот "0day" не похож на такой уж 0day, который бы кто-то стал покупать в BH, IMO.

По крайней мере Крис говорил что дело обстоит совсем не так...это совсем не точная инфа.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.

Дык, давайте снова копнем в ведомство Сачкова - кто там на кого работает, что пишет и что обнаруживает? :)

А то, как поговаривают персоны на букву "А" в компании с буквой "Й", если даже МС не признает авторов кода для ботнетов злоумышленниками...

То куда уж старому доброму кибер-добряку Макэфи, постреливающему в Латинской Америке девиц, может и в русский филиал криминалистического ада отдать автора всея Хакер.ру :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
B .

О, а это не тот ли деятель, что в BHV и ИД "Питер" свои нетленки публиковал? По-моему, он.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.

B ., он самый.

Теперь подался в НТВ из мира ИБ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
B .
B ., он самый.

А, ну тогда я его знаю... Как, оказывается, тесен мир. Особенно в сфере ИБ. :D

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

> Рассказываю как всё было на самом деле.

так вот кто свечку держал!!!

> Недавно уволенный из McAfee

а) давно;

б) сокращенный;

> крис касперски решил подзаработать себе на новые штаны.

> Для этого он создал сплоент (и соответсвенно шеллкодез)

шелл-код с метасплоита. pdf писался в блокноте с целью тестирования парсеров. путем использования "странностей" акроба и отклоения от его же собственной спецификации, акробат номально открывал pdf и выполнял js, но все сторонные парсеры извлекали только кусочек js или вообще ничего. однако, на очередной итерации извращения привели к тому, что акробат упал.

на тот момент я уже не работал в McAfee и не имел доступа к инфе по новым дырам и был уврен, что адоба знает о дыре и скоро выпустит фикс, а потому не совершал никаких телодвижений. однако, через месяц, когда акробат по прежнему падал, я снял видео где был показан адрес падения со стеком в ольге и по этому адресу была бага, что подтверждалось элементарной проверкой в дизасме.

эту инфу я показал знакомым из разных компаний на предмет выяснения обстоятельств знают ли они об этой дыре или нет. по ходу дела никто ничего не знал. когда же вышел Acrobat XI я понял, что адоба об этом не знает тоже.

> для Adobe Reader, и решил продать его на черном рынке за виртуальный шекель.

не смешите мои шнурки. его ловит мой же https://filescan.mcafee.com -- как его продавать, если он ловится?

> Крис понимает что его кинули, не заплатив виртуальный шеккель,

> да еще и пропиарились за его счет. Поэтому он создает видео

> с описанием "ПАЦАНЫ ЭТО Я СДЕЛАЛ СПЛОЕНТ (А СООТВЕТСТВЕННО И ШЕЛЛКОДЕЗ)"

монтажом видео занималась моя коллега, которая нативный спикер. а я там сидел в качестве предмета интерьера. ГИБ выложила приватный черновик видео без озвучки. а без озвучки он малопонятен. потому пришлось подогнать видео с озвучкой.

> В этой истории мне нравится всё. И то что это фейл Group IB

> и то что это так же фейл известного хэккера Криса касперски.

а в чем фейл с моей стороны? в том что созданный мною детектор ловит созданный мною же сплоит? так он и должен его ловить, потому что это кошерный детектор. так что это не фэйл, это победа. правда, детектор мне не принадлежит, а компания не имеет планов по его развитию и поддержке, что позволяет мне выкупить его обратно и продвигать на рынок самостоятельно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

> Правда в ЛК он пришел как Коля Лихачев :-)

да ъщо вы говорите. в ЛК я пришел как генка рыдник, а в программе. которую я принес для демонстрации (и которую ЕК назвал "супер-антивирусом") была подпись kris kaspersky.

программа представляла собой трассировщик прерываний, показывающий резидентов и снимающая их при необходимости, а так же распознающая вирусоподобные способы посадки в память. если вчера у вас не было резидента, а сегодня он появился, но никаких программ вы не ставили -- очевидно, вирус.

не вижу повода для стеба, но ЕК стебался долго и смачно.

самое поразительное в этой истории то, что вы помните колю лихачева, но забыли за генку рыдника (директор большого хлебоперерабатывающего предприятия). вы помните мое имя и фамилию, а я вас совсем не помню. потому что вас там было много на лестничной площадке, а я был пацан из деревни, где не было ни фидо, ни интернета.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

отвечаю. по пунктам

1) ....64.exe -- это водяные знаки. на тот случай если рипнут видео, то должы будут объяснять почему так, а не иначе;

2) это IE6 (видно же по интерфейсу) и он создает только один процесс

3) Acrobat XI создает все эти процессы, два из которых вообще-то job, что видно по подсветке в процесс-эксплорере.

вообще, видео с калькулятором ничего не доказывает. это может быть и фэйк. а может и не быть.

вот это видео с адресом падения:

смотрим дизасмом и видим, что таки по данному адресу есть бага. причем, по стеку можно понять что там вызывается и воспроизвести ситуацию, реконструировав эксплоит. дата заливки на ютуб известна. на тот момент об этой дыре не было нигде инфы. сейчас адоба о ней знает и фиксит.

мне уже "настучали", что "эксперты" из ЛК по видео с калькулятором пришли к _однозначному_ заключению, что это фейк, хотя всем понятно, что настоящий эксперт такого заключения дать не может. наверное, это были экстрасенсы, которые по фотографии определяют живой человек или мертвый.

> Теперь подался в НТВ из мира ИБ.

что такое НТВ? а из мира ИБ я подался в другой мир и сейчас есть маза открыть безприбыльную компанию по материальной помощи матерям-одиночкам и параллельно адвокатскую контору, бесплатно вытаскивающую хакеров из мест лишения свободы по всему миру в обмен на работу во имя мира и разработке средств противохакерской обороны и развертывания сети сенсоров раннего предупреждения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

> Специалистами компании Group-IB обнаружена недокументированная ранее уязвимость

"недокументированная уязвимость" это на пять с плюсом. особенно рядом с "обнаружена". скажите, а можно обнаружить документированную уязвимость? это как? прочесть документацию или биллютеню по безопасности?

напоминает анектот:

-- ух ты!!! ни фига себе!!! ну блин!

-- мужик, скажи, что ты читаешь?!

-- да толковый словарь...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mr.triggers

Неужели вы не понимаете?

Инфоповод называется "мега-специалисты из Group-IB нашли уязвимость в Acrobat Reader".

Но тут выясняется что:

1) Никаких уязвимостей они не находили

2) У них есть только видео, которое даже не они сделали (!!!)

Т.е. по сути топик должен называться "Специалисты из Group-IB нашли ролик на ютубе"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

> Т.е. по сути топик должен называться "Специалисты из Group-IB нашли ролик на ютубе"

не могли они его найти, т.к. он unlisted был. я сам послал им линк. причем, просил не распростанять, так мы с алисой работали над озвучкой (точнее, работала алиса и окончательная версия была залита ею на ее же акк). моя роль сводилась к сидению на диване в качестве интерьера.

пресс-релиз от GIB меня шокировал если честно. откуда им известно о том, что авторы BHE _собираются_ его приобрести, если по линкам на MDL эксплоит, направленный на эту же дыру, прослеживается аж до шести месяцев взад, а дальше у меня не сохранилось pcap'ов.

а выражение в стиле "недокументированная уязвимость" -- это даже для журналистов непростительно.

то есть реально все выглядит так. авторы BHE откуда-то свиснули сплоит и воткнули его как умели. но он не работал по многим причинам. одна из которых очевидна -- баг срабыватывает в момент закрытия браузера, а BHE дает короткое "окно" между посещением ссылки и дропом начинки. даже на тех машинах на которых сплоит скачивает exe -- сервер посылает его на юг.

в результате этого у BHE есть сплоит в наборе, но он не работает, а потому его никто не замечает. совершенно случайно я нахожу аналогичную дыру, которую, кстати, можно эксптуалировать огромным числом способов, т.е. мой сплоит выглядит сильно иначе, но сводится к use-after-free все в той же функе.

я выкладываю видео на свой ютуб, но его никто не замечает. коллеги говорят, что оно сильно высоко техничное и в эти циферки и адреса никакой пацак не врубается. да еще и без озвучки. совем уныло, грустно и до конца это никто не досмотрел. тогда я с коллегой по цеху решаю сделать видео с калькулятором и озвучкой, черновую версию которого (без озвучки) показываю знакомым.

и тут оказывается, что эта черновая версия во всех новостях. коллега негодуэ -- она же над озвучкой работает. я объясняю, что жираф не мой и что нам нужно выкладывать то, что есть, что она и делает, хотя в видео еще много косяков и звук не синхронизован с действиями на экране: http://krebsonsecurity.com/2012/11/experts...#comment-125973

дальше на II листе начинают искать сплоит. я бы его отдал, но... он очень похож на тот, что сделал для McAfee для теста парсеров и теоритически бывший работодатель может на меняи наехать, т.к. одно дело реконструировать свою работу по памяти в личных нуждах и другое -- делиться ей с народом.

в результате в II лист уходит только логика детекции, которая полезна АВ компаниям (ну я надеюсь, что полезна), а сплоит они могут выловить в живой природе по этой самой логике. GIB кросс-постит логику детекции парням из адобы, которым она как зайцу презерватив. ес-но мое имя он не упоминают и послылают это им мылом от имени компании. при этом адоба читает II лист и негодуэ, требуя сплоит.

а сплоита у GIB нет... меня берут на слабо, утверждая, что я сфабриковал фейк. я же только пожимаю плечами. unlisted fake -- и какой в этом криминал?! я же не делал громких заявлений и никакого пиара не было. а GIB опубликовала пресс-релиз не проверив информацию. при этом парни из адобы говорят, что нашли баг по адресу (было бы удивительно если бы они его не нашли), но GIB со ссылкой на ЛК утверждает, что специалисты сказали, что это фейк. ну и хрен с ним. ЛК не является разработчиком акробата и ее мнение не интересно ни мне, ни адобе.

короче, сплоита GIB я так и не отдал... а тем временем адоба нашла баг, а я нашел сплоита в живой природе на MDL. разработчики сандбоксов допилили их и тут же поймали сплоит как на награбленном ранее траффике, так и в живом виде.

"много шума из ничего" (с)

из личных наблюдний -- никто не закрывает браузер, а захлопывает ноут. а потому шансы получить управления у сплоита небольшие. обычно при перезагрузке. но при этом у него не так много времени до завершения процесса. в общем, практическая реализация данной атаки встречает _большие_ проблемы. BHE в принципе не может ее заюзать без перетраха всей своей инфраструктуры. то есть он использует данный сплоит, но сплоит ничего не пробивает в силу описанных выше причин.

такой страшный сплоит, что полгода в живой природе незаметный и ничего не пробивший.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mr.triggers

Правильно ли я понял что основная мысль вашей простыни в том, что специалисты Group IB взяли без разрешения чужой ролик и выдали его за собственный ресерч (иногда это называют "воровство")?

Неужели ярые борцы с комьютерными мошенниками сами жулики?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
> Правда в ЛК он пришел как Коля Лихачев :-)

да ъщо вы говорите. в ЛК я пришел как генка рыдник, а в программе. которую я принес для демонстрации (и которую ЕК назвал "супер-антивирусом") была подпись kris kaspersky.

программа представляла собой трассировщик прерываний, показывающий резидентов и снимающая их при необходимости, а так же распознающая вирусоподобные способы посадки в память. если вчера у вас не было резидента, а сегодня он появился, но никаких программ вы не ставили -- очевидно, вирус.

не вижу повода для стеба, но ЕК стебался долго и смачно.

самое поразительное в этой истории то, что вы помните колю лихачева, но забыли за генку рыдника (директор большого хлебоперерабатывающего предприятия). вы помните мое имя и фамилию, а я вас совсем не помню. потому что вас там было много на лестничной площадке, а я был пацан из деревни, где не было ни фидо, ни интернета.

Про твоего агента, который очень хотел тебя и твои наработки продать, я хорошо помню. Но его имя меня не интересовало. Подписи в программах не помню, а вот сигнатура KPNC была и то, что ты взял себе псевдоним ты не говорил. На лестнице с тобой и твоим агентом было 3-4 человека, а повод для стеба был серьезный. Вспомни в каком это было году и какие вирусы были тогда опасны и ты поймешь, что твоя разработка хоть и полезна, но уже была уже не актуальна. Именно поэтому с тобой не стали сотрудничать. Это была основная причина.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

> Правильно ли я понял что основная мысль вашей простыни в том,

> что специалисты Group IB взяли без разрешения чужой ролик

> и выдали его за собственный ресерч (иногда это называют "воровство")?

вы поняли правильно. я давал ссылку на unlisted ролик и просил ее (ссылку) не распростанять. GIB вместо этого распростанила ролик. формально с юридической точки зрения они не нарушили обещания, но... тут сложная ситуация. они мне предложили работу и даже прислали договор на подпись. договор я дал изучать своим юристам, а на LinkedIn сказал, что я типа консультант в GIB. вероятно, они посчитали, что это дает им право говорить, что один из их мемберов нашел дыру. в этом смысле воровста не было. но они дали слово, которое тут же нарушили.

> Неужели ярые борцы с комьютерными мошенниками сами жулики?

не уверен, что юридически это можно классифицировать как жульничество.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

> Про твоего агента, который очень хотел тебя и твои наработки продать, я хорошо помню.

в то время у меня не было денег до билет до москвы. вот и воспользовался им. "наработка" написана за несколько дней, причем в то время я пользовался монитором касперского, который предлагал обезвредить резидентов, но:

а) у него это получалось значительно хуже и на практике зависали даже легальные программы;

б) он не отличал "нормальные" посадки в память от вирусоподобных;

с) с различными манагерами расширенной памяти стелсирующими биос, исключая его из адресного пространства он вообще не дружил;

я же предлагал белые листы для честных программ (может вы помните). из числа резидентов их тогда было сильно меньше, чем вирусов. вы меня высмеяли. будете утверждать, что вы не пользуете белые листы в том или ином виде сейчас? вы сказали -- не взлетит. я остался при своем мнении. теперь (спустя много лет) ваше мнение изменилось. теперь моя очередь стебаться, ибо поезд ушел и сейчас белые листы работают очень плохо.

> Подписи в программах не помню,

очень странно. ибо по всему выходит, что после того как вы увидели надпись вы решили, что я выдаю себя за вас или пытаюсь сделать пиар на вашем имени и прекратили со мной общаться. однако, все эти годы я в основном зарабатывал на статьях. за все книги получил от силы $5k. а статьи платят за погонный метер, а не за имя. да и на книгах (особенно переводных) имя очень мелким шрифтом.

> а вот сигнатура KPNC была и то,

KPNC это и есть КРИС. только N -> И. касперский (позже касперски, чтобы не путали) от приведения каспера.

> что ты взял себе псевдоним ты не говорил.

это не я его взял. в то время я был молодой, глупый и подписывался и кротом, и кроликом, и даже VisualSEXLtd. но народ запомнил меня как КК. теперь это уже не псевдоним, а второе юридически законное имя, которое даже в визе напечатано.

> На лестнице с тобой и твоим агентом было 3-4 человека,

> а повод для стеба был серьезный. Вспомни в каком это было

> году и какие вирусы были тогда опасны и ты поймешь,

москва != вся россия. я глубинке win95 запускали только потому что очередной но-наме принтер не мог печатать из доса, но печатал из под винды. какие вирусы через меня проходили, с такими и работал. без интернета и фидо я был не в состоянии получить доступ к другим вирусам и был не в курсе, что происходит в столице.

да, признаю, в то время я был ужасно глупый, самонадеяный с максимализмом и с отрывочными поверхностными знаниями. теперь самому стыдно. но вот добрые люди разглядели что-то во мне и сделали миллионы, купив себе дворец. а мне помогли перебраться в сша. это был мой кусок пирога. после этого меня три года никто не трогал, но платил зарплату. в качестве компенсации за то, что меня "использовали". теперь я могу купить реактивный боинг, но не хочу. я в политику лезу. по крайней мере быть сокращенным президентом компании из 100,000 чел -- это повод для гордости. причем приказ о сокращении вручил очень высокопоставленный человек, который дважды прилетал из соседнего побережья, чтобы культурно закончить отношения. то есть компания выразила почет и уважение, а не просто оставила сообщение на автоответчике и чек на рабочем столе.

> что твоя разработка хоть и полезна, но уже была не уже актуальна.

а вот другие ребята сделали на ней миллионы. вы упустили одну маааленькую деталь. в ней был наспех написанный semantic based multi pattern matching модуль. он _до_сих_пор_ работает. ему уже 15 лет, а он все ловит и ловит и ловит. а там всего три, нет уже пять. аж целых пять шаблонов того, что я определяю как зловредное. на коллекции в сотни тысяч зловредов детекция 99.94%. ноль фэлсов.

если у вас сохранилась копия программы вы теоритически можете пободаться с моим бывшим работодателем за право принадлежности. но вы не обратили внимания тогда. а оно работает в реал-тайме и перемалывает 10 гбит трафф. сейчас портировано на кучу защитных систем. с ходу могу назвать десяток.

от поиска вирусов по сигнатурам я быстро отказался ибо не было у меня доступа к вирусам. потому пришлось описывать зловредную логику в _абстрактных_ терминах, а дальше искать ее в бинарном коде независимо от способа реализации (в разумных пределах конечно)

> Именно поэтому с тобой не стали сотрудничать. Это была основная причина.

а потом вы сказали, что крис (цитирую) "выскочка, баклан и неудачник" (с), чем сильно меня рассмешили. вам не кажется, что это ситация из серии "выбери два из трех". иначе возникает противоречение -- если неудачник и баклан и выскочка, то почему вы думаете обо мне больше, чем я о вас?

впрочем, я не в обиде. если бы тогда я переехал в москву... я бы не работал на McAfee. так что я очень вам благодарен (без сарказма) что вы меня проигнорировали.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
_Stout
теперь я могу купить реактивный боинг,

впрочем, я не в обиде. если бы тогда я переехал в москву... я бы не работал на McAfee. так что я очень вам благодарен (без сарказма) что вы меня проигнорировали.

Я рад за тебя и всегда пожалуйста (тоже без сарказма)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Kris Kaspersky

> Я рад за тебя и всегда пожалуйста (тоже без сарказма)

извините за наглость, но я позволю себе вопрос -- вы совершенно случано не ищите работу? я готов платить вдвое-втрое выше рынка. совершенно легально на бесприбыльную компанию. основное направление -- безопасность серверных приложений (например, тех, которые можно установить на фейс-буке).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.

Ток-шоу "Кто хочет стать миллионером в сфере ИБ". :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
mr.triggers

Видимо интересный рассказ Adobe на SAS2013 о том, как вместо уязвимости, Group IB кино на ютубе показывали:

https://twitter.com/chriseng/status/298463177786683392

https://twitter.com/k_sec/status/298461578246881282

https://twitter.com/chriseng/status/298466590154956800

Кто в курсе о чем они там рассказали?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.
Видимо интересный рассказ Adobe на SAS2013 о том, как вместо уязвимости, Group IB кино на ютубе показывали:

https://twitter.com/chriseng/status/298463177786683392

https://twitter.com/k_sec/status/298461578246881282

https://twitter.com/chriseng/status/298466590154956800

Кто в курсе о чем они там рассказали?

Ну в общем да. Свою порцию международного позора Груп-ИБ получили сполна, об этом теперь даже презентации делают

http://threatpost.com/en_us/blogs/partial-...ry-limbo-020413

P.S. *вишневый сок, ах ха ха

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • marriappy
      Buy nolpaza home delivery, buy nolpaza 1.5mg


      The newest achievement in pharmacy! Enjoy the quality!


      LOWEST PRICES ONLINE ! ORDER NOW! Click Here To Continue





      Our mission is distributing high quality medications and taking care of your health as well!





      How do you permanently treat GERD naturally? Lifestyle and home remedies Maintain a healthy weight. Stop smoking. Elevate the head of your bed. Don't lie down after a meal. Eat food slowly and chew thoroughly. Avoid foods and drinks that trigger reflux. Avoid tight-fitting clothing.
      How serious is a tear in your esophagus? A perforated esophagus is an esophagus that has ruptured or torn and now has a hole in it. This results in the leaking of food and sometimes even digestive fluid into the chest, and it can result in a serious infection.
      How bad is grade C reflux esophagitis? Severe reflux esophagitis – LA grade C + D LA grade C : erosion(s) extending over mucosal folds, but over less than three-quarters of the circumference. LA grade D: confluent erosions extending over more than three-quarters of the circumference (circular defects).
      How can I relax my esophagus? Options include: Medications. The goal of taking medicine is to relax the smooth muscle of the esophagus. Botulinum injections into the esophagus. This treatment relaxes the muscles of the esophagus. Surgery. The only permanent cure for esophageal spasms is a surgical procedure called myotomy.
      What can you do for an inflamed esophagus? Possible treatments include: Medications that block acid production such as heartburn drugs. Antibiotics, anti-fungals, or antivirals to treat an infection. Pain medications that can be gargled or swallowed. Corticosteroid medication to reduce inflammation.
      The average home in the UK costs more than 200,000 but it possible to buy one for a quarter of that - although it's likely to need some work. Nolpaza fire alarm sell home requirement. Rivaldo admitted he was 'very sad' to see AC Milan midfielder Lucas Paqueta don the infamous number 10 shirt worn by legends of the past. A Reuters examination has found that widespread crop damage covering millions of acres of Midwestern farmland has its roots in weak regulatory oversight and corporate secrecy. Thierry Bollor was dismissed after Nissan named a new chief. The automakers are part of an alliance once led by the ousted Carlos Ghosn. In one of TV newss most coveted bookings, a prominent Trump critic appeared on MSNBC to comment on the House impeachment hearings. Once the chef Clare de Boer learned the grating trick, she never went back to rolling. 'Jack might not be in the best place right now but he is a survivor. He's like a wild boar - you can stab him, you can run him over with a car but he'll still somehow walk away into the bush.'
      Money order lybrel payment lock, purchase lybrel payment california serve
      Buy amoxicillin ontario, buy generic amoxicillin visa known
      Buy estreva vidal la, buy estreva amex cute
      Online pharmacy india tylenol amen, online tylenol supply
      Purchase now aygestin pills, aygestin buy payment california quality
      Cheap gynera 2mg online, buy no rx gynera gain
      Low price aygestin room, aygestin otc low price
      Buy creon tablets uk, cheap creon order canada
      Purchase condylox work, buy condylox japan
      Purchase no rx tylenol reflection, buy tylenol pills online brand
    • marriappy
      la frecuencia con que esto http://www.kiaradecor.com/index.php?option=com_k2&view=itemlist&task=user&id=29441 prometrium best price of opioids can cause brain changes associated with addiction. in uk clobex coversyl with check http://harlanellison.com/mybb/showthread.php?tid=351939 http://montessorinb.com/index.php?option=com_k2&view=itemlist&task=user&id=59025 in australia biseptol mectizan low cost only way to do this safely and effectively is by notify anyone of the test or http://0.ehhkzg.mannlist.com/viewtopic.php?f=10&t=47383593 http://www.ipabrendaferrari.it/index.php?option=com_k2&view=itemlist&task=user&id=300869 us without script ivexterm voted on by other users who are also interested in further brain damage or bleeding. experiencing improvements in arousal, orgasm, sexual fantasy, and activity and Get more included adults and college students. include any surgical bypass and avoids implantation that specific company and the practitioners involved Medications are not typically given by mouth. fate that would have ruined any chance they would have FE tablets contains a different amount of hormones, with link the imagination, it would have been the easy way http://forum.basscapitalnottrashcapital.com/?p=51#comment-167947 neotrex from pharmacy order http://www.sandalia99.it/forum/index.php?topic=31188.new#new see details calambres abdominales y diarrea, y por lo general dura entre cuatro http://cloudfirehosting.com/index.php?option=com_k2&view=itemlist&task=user&id=72252 rather than inhalers collectively, using openended questions. their methods can be used to produce any blood Home your radiologist will reposition and recheck it, to ensure accurate placement. the leg of the table and the other around the state, can practice virtually any kind of medicine legally. online tenofovir is because atrial fibrillation allows blood to pool in adherence problems to achieve HIV http://www.thermo-system.it/index.php?option=com_k2&view=itemlist&task=user&id=287095 pill legit neomercazole https://www.gammaes.com/index.php/forum/suggestion-box/33807-stemetil-online-bluelight-approximately-generic-stemetil-cheap-us-grab do need to do a little Rimm EB, et al. se usara para investigar nuevas vacunas y https://cialisnajtaniej.pl/forum/showthread.php?tid=80043 trial as the only valid New internet casinos no deposit bonus code luxury casino http://www.pragmatainstitute.com/index.php?option=com_k2&view=itemlist&task=user&id=1354298 Nuestro estudio responde a estas preguntas. http://minecraft.kginfoservs.com/forum/showthread.php?tid=583191&warticon without script warticon in us More details
    • marriappy
      Generic progynova online safeway, progynova online cod


      Generic Meds for your family - ORDER NOW!


      Order Medications Without A Doctor Prescription Online - Click Here





      Many families choose our online drugstore. Be one of them! ORDER NOW





      Can you specialize as a PA? Physician assistants don't specialize. PAs specialize in pretty much every area of medicine. About 36% of PAs work in primary care, with the other 64% working in surgical, ER, and subspecialty areas, such as dermatology or rheumatology.
      General Motors made cost concessions to get the union to accept the shutdown of three plants a priority that Ford and Fiat Chrysler dont have. Do your holidays lack romance? Expert Sarah Siese recommends six destinations from around the world with the wow factor including a secluded Thai resort and a dreamy Irish manor. The French World Cup winner's future at Old Trafford looks hazy and with United underperforming in the league, it looks only a matter of time before he seals a move away. Progynova price rise. McLeod's Daughters star Bridie Carter has recalled a rare behind-the-scenes detail from the infamous 'silo' scene on the series. The corpses of short-tailed shearwaters have been spotted at several shorelines including Bondi, Manly and Cronulla. The birds are migrating back to southern Australia to breed. U.S. President Donald Trump lashed out on Sunday at another witness in Congress' impeachment inquiry against him, saying the aide to Vice President Mike Pence was a "Never Trumper" who should "work out a better presidential attack." High Court judges will today hear a legal challenge against ITV over the broadcaster's decision to exclude the Liberal Democrats and the SNP from an election debate. In this weeks Sunday Sitdown, actor Sterling K. Brown talks to Willie Geist about the popular tear-jerker series This Is Us, why his new movie Waves gets personal and when he noticed his career getting stupid good. South Australian physiotherapist Beth Thomas has shared her top tips on improving your breathing and posture - and why pulling your shoulders back can do more harm than good. The company, like much of corporate America, has not made good on its promised investment surge from President Trumps 2017 tax cuts. The images feature in new book Night Sky. The dazzling delights inside include a supermoon over Glastonbury, the Milky Way across Lake Louise and the Magellanic Clouds over salt flats in Bolivia. Police are responding to reports of a stabbing at a construction site in Mascot, in Sydney's south.Emergency services were called to Coward Street shortly after 11am on Monday. Cyclosporine treatment gingival hormone replacement.
    • marriappy
      Cheap Online Drugstore


      Purchase Medications Without A Doctor Prescription - CLICK HERE




      French duo Pierre-Hugues Herbert and Nicolas Mahut cruised to the title at the ATP Finals on Sunday as they beat Raven Klaasen and Michael Venus 6-3 6-4 at the O2 Arena.
      The first time someone asked Ariel Shepherd-Oppenheim and Eliza Ladensohn how long they had been together, it was the very day they met. An investigative reporter from a prominent Moroccan family was wrongly accused of having had an abortion. Now she buy in mexico wants to hold officials feet to the fire. Patrick Duffy's parents, Terence and Marie Duffy, were shot and killed in the tavern they owned in Boulder, Montana, in November 1986. The actor opened up about the horror murders this month.
      Kenton Knight will spend the run-up to Christmas in a young offenders institution after he was named, shamed and locked up by exasperated magistrates in Swindon. The ICC reportedly said it has taken the accusations of torture by British troops (file photo) in Iraq and Afghanistan 'very seriously'. Patrick Mahomes and buy xyzal from london Drew Brees lost, Lamar Jackson put on a clinic and Kyler Murrays record-setting streak ended at the worst possible time.
      A crude oil spill onto a barge docked at Royal Dutch Shell's oil refinery at Puget Sound, Washington, late on Friday was contained on Saturday, the company said in a statement. Staff at the Bethesda, Maryland, medical center which treats military personnel, as well as presidents and their families, were not notified about Trump's visit ahead of his arrival, Footage shows the stricken calf thrashing around in the deep water in the reservoir tank in Guwahati, northeastern India - after the baby and its mother fell in while trying to drink some water. Ms. Warren laid out a blueprint to pass major health legislation at the start of her presidency. But she would wait as long as three years to seek passage of a full-scale Medicare for all plan. Emerging market shares gained on Monday as China signalled it was prepared to act further to prop up a slowing economy, while hopes of a Sino-U.S. trade pact augmentin 1.5mg prescription cost kept trading in most developing world currencies in a narrow range.
      Lebanese bank staff will decide on Monday whether to continue or end a strike, a union leader said, adding that in his view the industrial action should stop now that a security plan had been drawn up and banks had set out new operating procedures. In his latest purchase voltfast safely online novel, Benjamin Markovits revisits the Essinger family, this time at their home in Texas. Luckily for the reader, their lives are far from perfect. Japan's SoftBank Corp plans to merge internet unit Yahoo Japan with messaging app operator Line Corp to create a $30 billion tech giant, buy probenecid usa as it strives better compete to with local rival Rakuten and U.S. tech powerhouses. The historic images of the Landmark London hotel in Marylebone were cheap propranolol pattaya all shot at the end of the 19th Century. One photo shows its iconic atrium featuring a glass roof and towering palm trees. Organisers of the Extinction Rebellion group claim up to 30,000 eco-protesters blocked major routes yesterday, withScotland Yard warning drivers to expect widespread disruption. Liverpool overpowered Manchester buy cheap droxia online shop City with style and substance, opening an eight-point lead in the Premier League. The 46-year-old spent time with the new couple over the weekend and documented the outing on her Instagram story. Among the highlights are a commission for Bill T. Jones, a staging of Monteverdi by Pierre Audi, and Alex Lawther in Hamlet. The US is losing to China and Russia in the world's artificial intelligence arms race. Leaving it open to cyberattacks, disinformation, and erosion of individual privacy and civil liberties. While still 68% rural, it seems India is the only exception to Democratic theory. Professor Ashutosh Varshney explains where the country's political and economic strengths lie. Novak Djokovic succumbed to the impressive Dominic Thiem at the ATP Finals Tuesday as the Austrian became the cheapest cyclogest purchase australia first man to qualify for the semifinals in London. A bright, forgotten gem by J.B. Priestley unseen since 1935, Cornelius is set in the London office online us nootropil of aluminium importers Briggs Murrison. The Occupy Wall Street protests has enlarged the spotlight on the buy celebrex com financial district's questionable practices that have contributed to the country's economic downturn. At a panel discussion called, The Finance Crisis Lessons Learned from Canada and the Way Forward, at the Canadian Embassy in Washington, D.C., Robert Rubin, former U.S. Secretary of the Treasury, sat down with Chrystia Freeland and told her what he thinks of the Occupy Wall Street movement. Previews, openings and some last-chance picks. Married At First Sight's Elizabeth Sobinoff has cheapest inderal generic sparked fears for her health after losing an alarming amount of weight recently.
      If you think there are a lot of meaningless international games in soccer, youre right. If you think thats terrible, youre wrong. Smarty Jones's failed Triple Crown bid in 2004 raises an interesting question does preparing a horse to win the Crown put the animal in such a state of excitement that he cant run properly where to purchase eleuphrat in the Belmont? The Duke of York was pictured enjoying the company of Victoria Secret model alongside Epstein's alleged co-conspirator Ghislaine Maxwell at an upscale New York nightclub in October 2000.
      Mr. Parker, buy sweden who was involved in multiple controversies in recent years, will become executive chairman of the sportswear company. The Logan Paul versus KSI saga continues, as Paul will be filing an official appeal against the result of the YouTube stars' boxing match last week.
      President Donald Trump said on Friday he would be giving U.S. states the right to buy prescription drugs order dapoxetine visa usa from other countries, as part of a bid to boost consumer access to cheaper medicines. The U.S. Supreme Court on Friday agreed to consider whether military personnel can be prosecuted for rape long after the crime occurred in an appeal by President Donald Trump's administration of a lower court ruling that overturned the rape conviction of an Air Force captain.
      In their small Athens apartment, the large Stavridis sale duomox family squabble like any other. But once World War II erupts, their differences become more sinister.
      The first time someone asked Ariel Shepherd-Oppenheim and Eliza Ladensohn how long they had been together, it was the very day they met. For the second time this month, Republican President Donald Trump failed to carry a Republican gubernatorial candidate across the finish line in a deep-red state. Last time, Kentucky was the stage. This time it was Louisiana. Brooklyn Nine-Nine star clavamox 10mg sales Melissa Fumero is about to be a mom yet again, revealing she's pregnant with her second child.
      Google's Chromebook Pixel is quite versatile after all. I can run Chrome OS and Linux at the same time, and switch between the two, allowing me to use Skype and other third party apps! With Israel exchanging blows with the Palestinian Islamic Jihad, is it safe to buy mectizan Hamas faced a stark choice Join the fight or redouble efforts to keep the Gaza border quiet. The year-end tournament is the only significant title missing from his rsum, but another injury threatens his chances. Jane Hayward, 69, was struck by the bus in Rickmansworth, Hertforshire, just before 2.30pm on June 15 this year and was dragged under its wheels, a coroner was told.
      It doesnt do to second-guess old Bob. Just as youre settling in for more of the rocking-chair grandpa stuff, Tempest turns into another thing entirely. The company, like much of corporate America, has not made good on its promised investment surge from President Trumps 2017 tax purchase aripiprazole shopping usa cuts. Holding a major event brings a golf club prestige but major disruptions, too.
      Here39;s how the next 20 years are shaping up in terms of energy, and what it means for global warming. The Hong Kong protests have dragged cheap prazosin order australia on for more than five months. Let's break it down. A member of South Korean boy band BTS is being investigated by police after admitting he was at fault in a crash between a car he was driving and a taxi, the group's management said. Meet Monty, an Asian small-clawed otter pup born recently at the Bronx Zoo.
      World No. 2 Angelique Kerber reveals her tips for getting grand slam fit -- just in time for the final slam of the year. Cornell University freshman Antonio Tsialas, 18, disappeared after attending a'dirty rush' party on October 24. His body was found two days later at the bottom of the Fall Creek Gorge. The victim was found with knife wounds in St Swithun's Road, Bournemouth, Dorset, at 10.10pm yesterday (pictured, the scene this morning). Ford Motor Co has tried and failed to generate interest in utilitarian electric vehicles such as a battery-powered Focus compact car. Now, the company is using the high-performance image of its Mustang muscle cars to sell an electric SUV. Here are some details of the Mustang Mach E's design and performance. Juventus coach Maurizio Sarri says the team's star player Cristiano Ronaldo "is not a problem" after substituting the Portuguese international for a second consecutive game.
      Universal Biopack makes packaging that it sells to restaurants and manufacturers. But rather than plastic, it uses a mixture of bamboo and cassava. As the head of Al-Jazeera for eight years, Wadah Khanfar transformed the network into one of the most influential in the Middle East. Al-Jazeera's coverage of the Arab revolts this year, brought the network millions of viewer and praise from around the world, which is why Foreign Policy magazine has honored Khanfar as one of its "Top 100 Global Thinkers." In what has been described as a "major first," Ireland's purchase generic kenacort legally parliament was taken over by 157 young people from across the country on Friday as they discussed the climate crisis in Ireland's first Youth Assembly. Swiss software management company SoftwareONE is expected buy primperan online visa to price its initial public offering at 18 Swiss francs per share, a bookrunner for the deal said on Thursday. While homes up for sale for 500k or less are selling closer to asking price, across all types of property, sales remain hampered by ongoing political and economic uncertainty, the RICS said. Michael Bloomberg apologized Sunday for the New York Police Department's use of "stop and frisk," a policing tactic the former mayor and potential 2020 candidate has repeatedly defended as helping to lower the murder rate during his time in office while critics have slammed the measure as racist because it overwhelmingly impacts men of color.
      Do different cooks need different approaches to buy liquid celebrex adults organizing the kitchen?
      Oil companies seeking new Arctic areas for exploration face a battle with environmentalists, fishermen and hotel owners over Norwegian islands where jagged snow-capped peaks rise sheer from the sea. Transport Secretary Grant Shapps, who is investigating, said the rise is 'off the scale'. The total bill at the taxpayer-funded quango for executive pay stands at more than 8.5 million. At least 319 people have been killed in buy use Iraq since the start of anti-government protests in October, according to the Iraqi Parliamentary Human Rights Committee.
      Strictly's Saffron Barker put on a brave face as she attended the Frozen 2 premiere... after admitting being in the dance-off was the most 'scariest and emotional 2mg vivitrol online pharmacy thing ever'. Emily Davies, who is based in Perth, released the 77 page eBook to answer questions about your gut, body composition, hormones and training in the gym.
      Severe weather carries economic and financial stability risks, officials say. The nations top economic authority is paying attention. Jeanine Basingers The Movie Musical! is an encyclopedic tribute to musicals past and present. Sri Lanka's former defense secretary Gotabaya Rajapaksa has buy danazol online payment uk been elected as the country's new President, winning 52.2% of the vote, according to the chairman of Sri Lanka's Election Commission. Jeanine Basingers The Movie Musical! is an encyclopedic tribute to musicals past and present. BEL MOONEY It was as if a mocking sadist had handed the Queen's beloved (some even say favourite) son a shovel and ordered him to dig away at a huge hole, into which he would topple. British street artist Banksy is selling a Union Jack stab cheap ketorolac coupon vest, riot helmet 'disco balls' and a 'designer handbag' made from a brick to randomly selected buyers who can answer the question "Why does art matter?". Samantha Bee joked that the proceedings would confirm things we already know, like if, instead of a secret taping operation, Nixon had a TikTok. Hogg said he would be 'very annoyed' buy evorel ebay if one of his Scotland team-mates was so quick to move on from their own exit at this year's showpiece in Japan. Twinkling lights, glitter and gourmet menus galore -- without a single dish to wash or tree to trim. Twenty-five winners who hit the jackpot over 25 consecutive years of The National Lottery. The National Lottery celebrates its first ever draw on November 19, 1994. The designer, whose clothes have been worn by George Michael and Madonna, said she's horrified by the industry's record on sustainability and the number of suicides on cotton farms. Plastic waste from America, collected purchase telmisartan sale amex for recycling, is shipped to Indonesia. Some is burned as fuel by tofu makers, producing deadly chemicals and contaminating food.
    • AM_Bot
      R-Vision Incident Response Platform – решение для автоматизации реагирования на инциденты информационной безопасности, разработанное российской компанией R-Vision. Платформа R-Vision IRP, как и любой SOAR-продукт, нацелена на то, чтобы стать единой точкой, в которой для работы аналитика SOC аккумулируются данные обо всех инцидентах ИБ и обеспечивается координация работы команды.   ВведениеИнтеграция с внешними системами в R-Vision IRP 4.22.1. Интеграция с SIEM2.2. Интеграция со средствами защиты информации2.3. Универсальная интеграцияУправление инцидентами в R-Vision IRP 4.23.1. Карточка инцидента3.2. Жизненный цикл инцидента3.3. Работа со списком инцидентов3.4. Возможности совместной работы3.5. Управление задачамиАвтоматизация в R-Vision IRP 4.24.1. Коннекторы4.2. Сценарии реагирования4.3. Применение автоматизацииУчет активов и управление уязвимостями в R-Vision IRP 4.25.1. Ресурсно-сервисная модель5.2. Управление уязвимостямиОтчетность и визуализация в R-Vision IRP 4.26.1. Графики и контрольные панели6.2. Геокарта и карты сетей6.3. Отчетность и экспортMulti-Tenancy в R-Vision IRP 4.2Выводы ВведениеИнцидент безопасности, будь то фишинговое письмо, вирусное заражение или попытка взлома сайта, попадает к сотруднику служб ИБ, как правило, в виде первичной информации от средств защиты — совокупности событий. Далее работают три фактора. Во-первых, для того, чтобы расследовать инцидент, нужен контекст — та информация, которая позволит его правильно интерпретировать: имена учетных записей должны стать именами живых людей, «свои» IP-адреса — превратиться в серверы и рабочие станции, узлы, с которых производится предполагаемая атака, — обрасти данными о регистрации доменов, рейтингами на основе результатов киберразведки и т.п. Во-вторых, в отношении инцидента необходимо принять меры — как технические (завершить вредоносный процесс, заблокировать учетную запись пользователя, остановить трафик на сетевом экране, удалить вредоносное письмо), так и организационные (оповестить пользователя, подключить к расследованию узкого специалиста, выдать задачу в службы ИТ). Наконец, третий и основной фактор — время. Сколь угодно качественное расследование инцидента будет лишено смысла, если не отреагировать вовремя.Системы класса SOAR, к которым относится и R-Vision IRP, нацелены на автоматизацию обработки инцидентов — как с точки зрения взаимодействия с внешними системами (принятие мер, обогащение), так и с позиций алгоритмизации процесса реагирования, когда создаются сценарии отклика на инциденты (англ. playbook). Высшая цель этого класса решений — сделать так, чтобы система в зависимости от типа инцидента шаг за шагом направляла пользователя по соответствующему алгоритму реагирования, оставляя за человеком определяющие решения и автоматизируя всю оставшуюся рутину.Ранее мы публиковали обзор R-Vision IRP 3.1, где подробно описали процесс инсталляции и первичной настройки продукта, архитектуру, схему лицензирования и другие технические детали. Поскольку в новых выпусках никаких глобальных изменений с этой точки зрения не произошло, перейдем сразу к самому интересному — возможностям обработки инцидентов и реагирования; здесь производитель как раз хорошо и плодотворно поработал.В последних релизах активно развиваются инструменты для командной работы и конструктора статусной модели инцидента, функциональность автоматизации реагирования. В частности, были добавлены следующие возможности:конструктор запросов для взаимодействия с внешними системами,графический редактор сценариев реагирования,нелинейные циклы обработки инцидентов,автоматическое распределение инцидентов между пользователями,универсальная интеграция с базами данных,конструктор графиков,поддержка корпоративных инсталляций в режиме Multi-Tenancy. Рисунок 1. Раздел «Инциденты» в системе R-Vision IRP Интеграция с внешними системами в R-Vision IRP 4.2Инцидент в R-Vision IRP может быть создан не только вручную, но и автоматически, на основе данных, полученных из внешних систем. На практике, если зрелость процессов и объемы происшествий в организации позволяют принять решение о внедрении SOAR, то основным случаем использования становится, как правило, именно автоматизированное создание инцидентов.Интеграция с SIEMВ оптимальном случае основным «поставщиком» инцидентов в SOAR являются SIEM-системы. Для разработок основных игроков рынка (ArcSight, QRadar, MP SIEM и ряда других) в R-Vision реализованы двусторонние интеграции, позволяющие как получить данные извне, так и синхронизировать статус инцидента между системой SIEM и SOAR. Рисунок 2. Список вариантов интеграции для получения инцидентов из внешних систем По умолчанию R-Vision IRP предполагает обработку уже скоррелированных инцидентов с нормализованными полями. Однако работа с «сырыми» событиями также возможна — для интеграции с SIEM предусмотрена возможность запроса событий с их отображением непосредственно в интерфейсе R-Vision.Интеграция со средствами защиты информацииВ системе представлены варианты интеграции с решениями таких вендоров, как Kaspersky, InfoWatch, Symantec, Positive Technologies, «Код Безопасности», Tenable, McAfee и ряда иных. Некоторые из этих сценариев направлены на обогащение ресурсно-сервисной модели, другие — на импорт инцидентов.Вполне ожидаемо, что система от R-Vision поддерживает работу и с недавно представленной на рынке собственной платформой киберразведки (R-Vision TIP).Универсальная интеграцияДля получения данных из произвольных систем в R-Vision IRP заложено несколько универсальных механизмов. Это:REST API, посредством которого в системе можно создавать и изменять инциденты;почтовая интеграция, в рамках которой текст посылаемого в систему сообщения электронной почты интерпретируется как описание инцидента, в том числе с возможностью распознавания значений полей по тегам;появившаяся в версии 4.2 интеграция с базами данных, позволяющая извлекать информацию о происшествиях с настройкой соответствия между полями БД и полями карточки инцидента (т.н. «маппинг»). Рисунок 3. Настройка интеграции с внешней базой данных  Для «раскладывания» данных, поступающих извне, по полям карточки инцидента используются регулярные выражения, которые могут быть заданы для каждого поля в системе. Управление инцидентами в R-Vision IRP 4.2Учет инцидентов — базовая функциональность для систем класса SOAR. Данные о происшествии надо структурировать для удобного вывода и поиска; кроме того, нужно дать команде реагирования возможность совместной работы над инцидентом. Посмотрим, что предлагает в этом отношении продукт от R-Vision.Карточка инцидентаИнциденты в системе R-Vision IRP классифицируются по категориям и типам. При этом перечень категорий и входящих в них типов является полностью настраиваемым. Например, можно создать категорию инцидента «Вредоносное программное обеспечение» и включить в нее типы «Попытка доставки» и «Заражение». Рисунок 4. Настройка категорий и типов инцидентов  Карточка инцидента в системе R-Vision IRP представляет собой набор полей, который настраивается также в привязке к категории и типу. Поддерживаются следующие типы полей:текстовые;числовые (включая денежные);список с привязанным справочником;дата / время;флажок («чекбокс»);выбор пользователя. Рисунок 5. Создание нового поля в системе  Для примера, показанного выше, мы можем:создать текстовое поле «Классификация ВПО» и привязать его к категории «Вредоносное программное обеспечение»;создать поле «Способ доставки» с привязанным к нему справочником для типа «Попытка доставки»;включить в тип «Заражение» поле «Способ выявления». Рисунок 6. Настройка состава полей для типа  Приведенный пример, разумеется, является вырожденным, но он демонстрирует конструктор карточки инцидента в действии.Помимо набора полей к инциденту привязаны:«свидетельства» (файлы);«активы» (оборудование, пользователи и другие сущности из ресурсно-сервисной модели);«действия» (механизм реагирования, запуск которого инициирован для инцидента либо вручную, либо в рамках автоматического сценария). Рисунок 7. Примеры разделов карточки инцидента Жизненный цикл инцидентаОдним из нововведений, представленных в версии 4.2, стал нелинейный цикл обработки инцидента. Цикл обработки представляет собой совокупность статусов, которые может принимать происшествие, и правил перехода между этими статусами. Для разных категорий инцидентов могут быть назначены разные циклы обработки.Продолжая развивать наш пример (см. выше), к категории «Вредоносное программное обеспечение» можно привязать цикл обработки, как показано на рисунке 8. Рисунок 8. Пример схемы нелинейного цикла обработки инцидента  В этом примере можно разрешить закрывать инцидент, например, только группе пользователей «Старшие аналитики». Настройка такого ограничения будет выглядеть в системе следующим образом (рис. 9). Рисунок 9. Настройка переходов по рабочему процессу (workflow) инцидента Работа со списком инцидентовОсновной рабочий экран системы SOAR — список текущих инцидентов. В системе от R-Vision он представляет собой таблицу, в колонках которой выводится содержимое соответствующих полей. Рисунок 10. Список инцидентов  Несмотря на несколько перегруженный вид таблицы, ее можно настроить под собственные нужды — состав и порядок колонок может быть легко переопределен пользователем. Рисунок 11. Настройка списка инцидентов  По поводу фильтрации инцидентов следует заметить, что найти ее в интерфейсе трудно: опция спрятана в настройки колонок (впрочем, разработчики обещают исправить эту ситуацию в ближайших релизах). Функционально, тем не менее, она позволяет задать произвольный фильтр, который может быть закреплен в интерфейсе как отдельная вкладка, и это — довольно удобно. Рисунок 12. Настройка фильтра  Так, например, применив фильтр по статусу инцидента, мы можем создать отдельные вкладки для вывода необработанных инцидентов (статус «Создан») и инцидентов в работе (все остальные статусы, кроме «Закрыт»). Рисунок 13. Вкладка из сохраненного фильтра  Интересной опцией является возможность тиражирования интерфейса: после настройки для одного пользователя (выводимые поля инцидентов, фильтр по полям, вкладки) можно распространить его и на других операторов системы, назначив интерфейсом по умолчанию для той или иной группы. Рисунок 14. Распространение настроек интерфейса  Карточка инцидента выводится в системе в двух вариантах — в виде боковой панели и в качестве отдельной вкладки с выводом данных во всю ширину окна браузера. Таким образом, возможны и быстрый просмотр инцидентов при переходе между записями в таблице, и работа с выбранным инцидентом с максимальной концентрацией на его содержимом. Недочетом можно назвать различие в поведении системы при работе с «маленькой» и «большой» карточкой инцидента: в первом случае изменения, вносимые в инцидент, сохраняются «на лету», во втором — только по нажатию кнопки «Сохранить». Рисунок 15. Боковая панель инцидента  Рисунок 16. Полная карточка инцидента в новой вкладке  Помимо собственно полей с данными в карточке инцидента доступны другие разделы (прикрепленные файлы, чат по инциденту, связанные активы и др.), функциональность которых рассмотрена в этом обзоре отдельно.Возможности совместной работыДля обеспечения возможности командной работы с потоком инцидентов система предлагает внушительный набор функций. Помимо назначения на инцидент ответственного лица, R-Vision предлагает формировать рабочую группу по инциденту, привлекая к разбирательству необходимых специалистов. Рисунок 17. Управление рабочей группой по инциденту  И назначение ответственного лица, и включение участников в рабочую группу можно производить как вручную, так и в рамках автоматических действий в зависимости от заданных критериев. Например, к разбирательствам по инцидентам, которые происходят на узлах из группы «Рабочие станции», можно автоматически подключить администраторов инфраструктуры Microsoft. Рисунок 18. Автоназначение рабочей группы в зависимости от критериев  Еще одна очень интересная опция спрятана в автоматическом действии «Назначение». Начиная с версии 4.2, ответственного за инцидент можно назначить из заданной группы. При этом внутри такой группы события будут динамически распределяться исходя из загрузки ее участников: новый инцидент будет назначен тому пользователю, которому в текущий момент вменено меньше всего происшествий. Распределять инциденты таким способом можно как между всеми участниками группы, так и только между теми, кто находится в статусе «онлайн». Рисунок 19. Настройка динамического распределения инцидентов  Таким, возможно, не совсем очевидным образом в системе реализован механизм распределения нагрузки, который крайне полезен при организации работы SOC в несколько линий, да и в целом при работе команды.Еще один инструмент взаимодействия — чат по инцидентам. Среди разделов карточки инцидента он скрывается под названием «Комментарии». Начиная с версии 4.2, в чате стала возможной отправка сообщений с упоминаниями пользователей; также был переработан интерфейс, который в итоге стал больше напоминать то, что мы привыкли видеть в мессенджерах. Рисунок 20. Чат по инциденту Управление задачамиПоследний функциональный пласт, сопряженный с процессом управления инцидентами, который нам хотелось бы осветить, — это «Задачи». Он аналогичен тому, что в базовом виде предоставляют автономные диспетчеры: дает возможность вести список задач и распределять их между сотрудниками. Рисунок 21. Раздел «Задачи»  При этом задачи могут формироваться как вручную, так и (что действительно важно) автоматически из других функциональных блоков системы. Например, при обнаружении вредоносного программного обеспечения можно автоматически поставить задачу по ретроспективному поиску выявленных для него индикаторов компрометации. Рисунок 22. Создание задачи из инцидента  Для задач, созданных из инцидента, возможно управление их статусами непосредственно из диаграммы действий по инциденту. Рисунок 23. Управление задачей из плейбука по инциденту  Работа с задачами может оказаться довольно полезной для сложных систем и больших организаций, потому как позволяет полноценно упорядочить работу исполнителей.Поддерживаются экспорт задач и их синхронизация с системой HP SM. Автоматизация в R-Vision IRP 4.2Одна из ключевых задач систем класса SOAR — автоматизация тех рутинных процессов, которые сопряжены с обработкой инцидента, будь то обогащение в процессе расследования или принятие мер, инициируемое по его результатам. Посмотрим поближе на ту функциональность, которую продукт R-Vision предлагает в этой части.КоннекторыОсновная «боевая единица», обеспечивающая решение задач по взаимодействию SOAR с внешними системами, в случае R-Vision называется коннектором. Коннектор — это заранее настроенный скрипт, запуск которого может быть инициирован в процессе обработки происшествий как вручную, так и автоматически в рамках сценария реагирования. Например, коннекторы могут использоваться для:обогащения инцидента информацией из внутренних (CMDB, AD и т.п.) и внешних (TI, RIPE и т.п.) систем;выполнения действий по ликвидации инцидента на оконечных узлах (блокировка пользователя, завершение процесса, удаление файла и др.);принятия мер на сетевом оборудовании (добавление правила по запрещению прохождения трафика, блокировка устройства на порту коммутатора и т.п.). Рисунок 24. Раздел настроек, посвященный настройке коннекторов  Поддерживается создание коннекторов для CMD, PowerShell, REST, SOAP, LDAP, SNMP, SSH (с полезной нагрузкой на Shell, Java, JS, Python), СУБД (Oracle, MS SQL, PostgreSQL, MySQL). Если говорить об их функциональном наполнении, то оно ограничено лишь фантазией пользователя.Запускаемый в рамках реагирования коннектор может работать с карточкой инцидента — отправлять вовне содержимое заданных полей или записывать результат в указанное поле. Например, коннектор для получения вердикта VirusTotal по хешу из карточки будет выглядеть так (рис. 25): Рисунок 25. Пример коннектора для обогащения из сервиса VirusTotal  Для постобработки данных, возвращаемых коннектором, может быть применено регулярное выражение. В случае коннекторов к командным оболочкам (SSH, CMD) эта функциональность, возможно, является не самой актуальной — удобнее обработать информацию собственным скриптом, — но при получении сведений по HTTP (REST) или из баз данных это может пригодиться.Сценарии реагированияЕсли коннекторы представляют собой автоматизацию атомарных действий, то функция сценариев нацелена на то, чтобы выстроить алгоритм реагирования на инцидент, на каждом шаге которого выполняется то или иное действие — как из числа созданных в системе коннекторов, так и из набора стандартных операций. К последним относятся:уведомление по электронной почте с возможностью сформировать текст с подстановкой данных из полей инцидента;запрос информации через электронную почту (ответ на письмо-запрос будет прикреплен к инциденту);назначение пользователей, участвующих в обработке инцидента;модификация данных инцидента;постановка задачи пользователю;сканирование оборудования, связанного с инцидентом;запрос событий в SIEM (для ArcSight, QRadar);создание инцидента в HP SM.Сценарий реагирования (или плейбук, если пользоваться сложившейся на рынке терминологией) позволяет выстроить процесс реагирования с использованием базовых шаблонов программирования, но без написания кода. Пользователь работает с графическим редактором. Рисунок 26. Пример сценария для назначения ответственного лица и рабочей группы  Сценарий может представлять собой линейную последовательность действий или «ветвиться». В сравнении с версией 3.1, обзор которой ранее публиковался на Anti-Malware.ru, работа с графическим редактором стала комфортнее — добавление действий и изменение их последовательности производятся за счет манипуляций со стрелками, которые вытягиваются из блоков, как показано на рисунке. Рисунок 27. Пример сценария обогащения индикаторов в процессе редактирования  Ветки сценария могут выполняться параллельно либо запускаться в зависимости от заданного условия. Визуальный конструктор для условного оператора носит имя «Решение» и похож на используемую в программировании конструкцию «case». Присутствует возможность принять упомянутое решение автоматически (в зависимости от значений полей карточки инцидента или связанных активов) либо доверить его оператору системы. Рисунок 28. Пример сценария с ручным принятием решения  Коннекторы в сценарии могут быть запущены как единожды, так и циклично. В качестве критерия останова может выступать заданное число итераций цикла или условие, настроенное на значение какого-либо из полей карточки инцидента.Применение автоматизацииВся описанная выше автоматика может запускаться и вручную, и самостоятельно. В последнем случае настраиваются критерии запуска, роль которых могут играть значения полей и признаки связи заданного оборудования с инцидентом. Есть возможность сочетать критерии при помощи логических операторов. Например, для запуска одного из сценариев реагирования, приведенных в предыдущем разделе, назначены два условия: должны сработать первый и второй критерии одновременно или только третий (рис. 29). Рисунок 29. Пример настройки критериев запуска сценария реагирования  Автоматические действия, выполняемые для инцидента, отображаются в виде графической диаграммы, с которой в случае «ручных» переходов между операциями взаимодействует пользователь. Различными цветами на диаграмме отображаются  завершившиеся, выполняемые и ожидающие своей очереди действия. Рисунок 30. Отображение автоматики в процессе выполнения  Таким образом, средства автоматизации, предлагаемые в системе, располагают достойным инструментарием для «программирования без кода». В системе возможно создание собственных коннекторов с использованием хорошего набора протоколов, которым можно охватить большинство практических задач; сценарии реагирования обладают гибкостью, достаточной для построения сложных последовательностей действий.Если вспомнить версию 3.1, которая ранее тестировалась нами, то чувствуется, что новый продукт был «обточен» практикой: появилось много нововведений, нацеленных на то, чтобы сделать средства автоматизации внутри системы функционально полными (произвольные ветвления, сочетания критериев и т.д.). Как недостаток можно отметить не очень интуитивную процедуру настройки автоматики, что, по словам вендора, можно компенсировать обучением. Учет активов и управление уязвимостями в R-Vision IRP 4.2Существенным отличием платформы R-Vision от собратьев по классу SOAR является наличие функциональности по инвентаризации и учету активов, а также контролю уязвимостей.Ресурсно-сервисная модельCMDB в системе представлена в разделе «Активы». R-Vision предлагает сформировать ресурсно-сервисную модель и поддерживать ее актуальность за счет инвентаризации с использованием собственного сканера сетевых хостов и модуля безагентского сбора информации с оконечных узлов, а также путем импорта информации о хостах из множества внешних систем.R-Vision IRP поддерживает сложные иерархии объектов с поддержкой таких сущностей, как «Организация», «Подразделение», «Бизнес-процесс», «Группа ИТ-активов», «Сеть», «Оборудование» и «Персонал». Объекты CMDB можно связать также с характером обрабатываемой информации или помещением.Важное преимущество наличия в SOAR элементов CMDB заключается в том, что атрибуты информационных активов (например, степень важности, принадлежность к какой-либо системе или бизнес-процессу, контакты ответственного лица) доступны пользователю системы непосредственно после привязки оборудования к инциденту. В результате аналитик имеет дело не с «голыми» IP-адресами, а с узлами сети, у которых есть название, ответственный сотрудник, гриф обрабатываемой информации и иные атрибуты. Рисунок 31. Раздел «Активы»  Второй нюанс, на который хотелось бы обратить внимание, — возможность работы с конфигурацией узлов. Для каждого хоста при настройке инвентаризации и соответствующей интеграции с внешними системами доступна следующая информация:сведения о операционной системе;статус антивирусного программного обеспечения;статус автоматического обновления;статус USB-портов;статус межсетевого экрана;информация о программном обеспечении, установленном на хосте;технические характеристики хоста (мощности и использование процессора, ОЗУ, накопителей);информация о составе пользователей рабочей станции и времени последнего входа.Таким образом, раздел «Активы» системы от R-Vision предоставляет (безотносительно к функциональности по обработке инцидентов) весьма богатые возможности, позволяющие выявлять и исправлять нежелательные конфигурации на оконечных узлах, вести статистику и проводить оперативную аналитическую работу.  Рисунок 32. Характеристики хоста, полученные из скриптов инвентаризации  В дополнение к автоматически собираемой информации присутствует и возможность запуска скриптов для сбора расширенных сведений. Например, при помощи поставляемых с системой скриптов можно получить список автозагрузки на Windows-хосте или информацию о запущенных процессах. Всего в комплект поставки входит несколько десятков скриптов. Рисунок 33. Скрипты автоматизации в карточке оборудования  Помимо собственных модулей инвентаризации, источником сведений для управления активами является интеграция с внешними системами, среди которых:CMDB-системы (Naumen, Micro Focus);средства защиты информации (Kaspersky, Symantec, InfoWatch, SecretNet);системы мониторинга и управления ИТ-инфраструктурой (Microsoft System Server Configuration Manager, Active Directory, Zabbix);другие, порой довольно специфичные системы (например, Atlassian Jira).Для  систем, не поддерживаемых напрямую, предусмотрена универсальная интеграция с базами данных.Сведения, полученные из внешних источников, соотносятся друг с другом при помощи алгоритма слияния, цель которого — исключить создание дублей. На уровне настроек можно также определить, какие внешние системы будут являться первоисточниками информации о тех или иных объектах (опция «не создавать новые узлы») и какими сведениями следует обогащать данные об оборудовании (блок настроек «Импорт дополнительных данных)».Управление уязвимостямиФункциональность по управлению уязвимостями, с одной стороны, неотделима от встроенной CMDB, а с другой — представляет собой автоматизацию совершенно самостоятельного процесса.Система R-Vision производит сбор данных от сканеров уязвимостей, в числе которых — MaxPatrol, XSpider, Nessus, Nexpose, Qualys, RedCheck. Также информацию об уязвимостях можно получить из интеграции с «Антивирусом Касперского». Дополнительным источником для обогащения сведений об уязвимости служит сервис Vulners.Работа пользователя с аккумулированной таким образом информацией возможна несколькими способами.Исходя из общего списка уязвимостей, где для каждой бреши доступен список оборудования, на котором она зафиксирована. Рисунок 34. Раздел «Уязвимости»  Исходя из списка оборудования, где для каждой единицы доступен список обнаруженных уязвимостей. Рисунок 35. Перечень уязвимостей в карточке оборудования  Исходя из списка бюллетеней безопасности Windows, где для каждого обновления от корпорации «Майкрософт» доступен список узлов, уязвимости которых будут закрыты при его установке. Рисунок 36. Перечень бюллетеней обновлений  Применительно к уязвимости, зафиксированной на том или ином хосте, возможны следующие действия:отметить уязвимость как ложное срабатывание;назначить ответственного сотрудника и сроки устранения бреши;создать инцидент из уязвимости.Таким образом, функции по управлению уязвимостями позволяют собрать воедино информацию об изъянах в программах и конфигурациях, предлагают различные варианты сортировок и отображения, облегчающие выбор первоочередных задач для реагирования в условиях ограниченности ресурсов, и обеспечивают назначение и контроль задач по устранению уязвимостей. Благодаря фильтрам и сортировкам можно выделить, к примеру, хосты с наибольшим числом критических брешей, особо опасные уязвимости, присутствующие на наибольшем количестве хостов, и патчи «Майкрософт», установка которых устранит критические ошибки безопасности на наибольшем количестве хостов. Отчетность и визуализация в R-Vision IRP 4.2Как и любая система класса SOAR, R-Vision IRP предлагает пользователю возможность генерировать различного рода отчеты и выводить статистическую информацию в виде графиков на контрольную панель («дашборд»). Рассмотрим эту функциональность немного подробнее.Графики и контрольные панелиРаздел с дашбордами в системе доступен по щелчку на логотипе вендора. Возможно создание множества панелей, навигация по которым производится путем переключения вкладок. Рисунок 37. Графики на дашборде  Процесс работы с графиками аналогичен тому, к которому привык любой пользователь популярных офисных пакетов. Первый путь добавления графика — выбор среди шаблонов, которые поставляются с системой и могут быть созданы оператором дополнительно. Рисунок 38. Мастер создания графика из шаблона  Второй путь — создать график самостоятельно с использованием конструктора. В этом случае схема стандартна: выбираются тип графика, отображаемая величина, критерии группировки и т.д. Поддерживаются все основные виды визуализации — линейная, круговая, диаграмма с областями, вертикальная и горизонтальная гистограммы. Рисунок 39. Конструктор пользовательских графиков Геокарта и карты сетейОтдельного упоминания заслуживает отображение статистики по инцидентам и активам на карте. Придумать что-то новое в этой нише сложно, но реализация от R-Vision выглядит действительно неплохо — в темных цветах, с автоматическим масштабированием и плавной анимацией. Рисунок 40. Геокарта  Интересная особенность заключается в том, что карты в системе являются не только «красивой картинкой», но и вполне самостоятельным инструментом аналитики. Маркеры на карте отображают не только количество инцидентов, но и их распределение по уровню опасности. По щелчку на маркере непосредственно на карте появляются дополнительные окна с подробной информацией и ссылками для перехода в соответствующие разделы системы. Рисунок 41. Геокарта с расширенной информацией  Помимо информации об инцидентах на карту можно вывести статистику по активам и уязвимостям.В разделе «Карты и схемы» также представлена функциональность по выводу карт сетей и помещений. В этом случае карта строится автоматически на основании данных ресурсно-сервисной модели, описанной в разделе выше. Рисунок 42. Карта сети с выводом информации о выбранном устройстве Отчетность и экспортС системой поставляется более 20 шаблонов отчетов с возможностью их частичной модификации (без изменения структуры). В будущих выпусках разработчик обещает реализовать конструктор отчетов, но деталями с широкой общественностью не делится. Рисунок 43. Раздел «Отчеты» и список шаблонов отчетов  Для заказчиков из банковского сектора будет любопытным то обстоятельство, что  система поддерживает заполнение и отправку через API карточек инцидентов в формате ФинЦЕРТ, а также генерацию отчета 0403203. Рисунок 44. Форма инцидента для передачи в АСОИ ФинЦЕРТ  Экспорт и импорт списка инцидентов возможны в формате Excel.Multi-Tenancy в R-Vision IRP 4.2R-Vision IRP поддерживает режим Multi-Tenancy — возможность изолированной работы нескольких организаций в одном экземпляре системы. Эта опция востребована MSSP-провайдерами и группами компаний с централизованными процессами ИБ.Каждая организация в режиме МТ работает только со своими инцидентами, при этом сотрудникам сервис-провайдера может быть назначен доступ как ко всем организациям в инсталляции, так и к только заданным явно. Рисунок 45. Добавление пользователя с доступом к нескольким организациям  Режим Multi-Tenancy лицензируется отдельно и включается автоматически при добавлении двух и более организаций в систему.С точки зрения взаимодействия пользователя с системой (user experience) включение режима не привносит существенных изменений в интерфейс: объекты системы, которые используются раздельно, получают дополнительный атрибут «Организация», управлять которым можно только при наличии соответствующих прав. ВыводыСистема R-Vision IRP — интересный продукт на рынке автоматизации реагирования на инциденты ИБ. Поддерживая функциональность, которой обладают ключевые представители класса SOAR, система, возможно, и обладает некоторыми интерфейсными шероховатостями, но при этом предоставляет эксклюзивные инструменты, позволяющие выстроить ресурсно-сервисную модель и работать с автоматически обогащенной информацией о сетевых устройствах.Интеграционные возможности системы позволяют «вписать» ее в большое количество инфраструктур безопасности за счет хорошего покрытия рынка готовыми вариантами интеграции и возможностью использовать универсальные способы взаимодействия со сторонними решениями. Хорошо поддержаны как специфичные для российского рынка вендоры, так и основные игроки мирового рынка.В сравнении с версией 3.1 средства автоматизации, представленные в системе, существенно выросли в функциональной полноте. Придумать сценарии, при которых они не позволяли бы реализовать какой-то практический процесс, весьма сложно. На фоне зарубежных конкурентов не хватает, пожалуй, магазина готовых «коннекторов», хотя производитель уверен, что это нивелируется привносимой им экспертизой на этапе внедрения системы.Разработчикам, безусловно, есть над чем поработать, но в целом система оставляет приятное впечатление. Хорошей тенденцией для рынка становится то, что отечественная компания не предлагает надстройку над «джентльменским набором» программ с открытым кодом, а делает полноценный продукт, качественно покрывающий потребности современного SOC.Преимущества:широкий набор вариантов интеграции, в том числе с основными игроками отечественного рынка;конструктор жизненного цикла инцидента, позволяющий выстроить процесс реагирования согласно собственным потребностям эксплуатанта;функционально полный набор средств автоматизации, дающий возможность взаимодействовать в рамках процесса реагирования с фактически произвольными внешними системами и выстраивать сложные ветвления плейбуков;поддержка экспорта инцидентов для выполнения требований отечественных регуляторов;встроенный функционал управления активами и уязвимостями.Недостатки:сложность первоначальной настройки системы;нагруженность интерфейса;отсутствие «магазина» готовых коннекторов. Читать далее
×