Doctor Web Insight - Страница 2 - Свободное общение - Форумы Anti-Malware.ru Перейти к содержанию
lomonov

Doctor Web Insight

Recommended Posts

alexgr

он не к власти украинской тяготеет, а к незаконным вооруженным формированиям типа "правого сектора". То есть к идеям терроризма весьма неравнодушен

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Возвратимся к нашим баранам, т.е. к теме – "С чем придётся столкнуться, если в отношении Вас «заказали» уголовное дело."

Опрос.

Вас вызвали на опрос. Для Вас это самый ответственный момент.

Уже есть материалы проверки. В материалах проверки имеются документы, подтверждающие наличие признаков преступления – это такие документы, как показания «друзей-товарищей», осмотры, опросы и другие подобные документы, которые подтверждают, что есть факт преступления, и это преступление совершили именно Вы. Поэтому не обольщайтесь на счастливый конец Вашего опроса, если Вы питаете надежду рассказать менту всё как было, что бы все поняли, что Вы – не преступник. Помните. Менты уже получили деньги, и, возможно, уже их потратили. Поэтому Ваша честность – им «по барабану», и Вашим опросом они намерены полностью отработать своё задание. Напомню, что опрос является обязательным процессуальным моментом, и без Вашего опроса – никак.

При проведении Вашего опроса, задача мента состоит в том, что бы получить от Вас косвенные или прямые подтверждения, что Вы имеете какое-то отношение к совершённому «преступлению». Я буду рассматривать ситуации, близкие с которыми столкнулся лично я, т.е. с заказом «преступления» в части информационных технологий.

Общая задача ментов – получить подтверждение, что цифровая информация была размещена на каком-либо информационном ресурсе и, таким образом, оказалась в открытом доступе для неограниченного круга лиц. При этом «вдруг» оказывается, что эта информация является либо конфиденциальной, либо - коммерческая тайна, либо – призыв к терроризму и т.д. и т.п. А также есть документы, подтверждающие, что эту информацию (в цифровом виде) разместили именно Вы, именно на определённом информационном ресурсе. И, таким образом, Ваши действия – это преступление, а Вы – преступник, который «должен сидеть в тюрьме».

А теперь представьте что есть против Вас. А также попробуем представить, что против Вас не хватает.

Итак, против Вас есть «куча» документов, которые подтверждают, что совершено преступление и преступление совершили именно Вы. Забегая вперёд, заявляю, что ни в коем случае Вам не стоит узнавать, что это за документы, каковы аргументы и противостоять им. Это – не нужно. Но самое главное – это бесполезно.

Чего против Вас не хватает?

Против Вас не хватает подтверждения того обстоятельства, что именно Вы разместили инкриминируемую Вам информацию на каком-то информационном ресурсе, если проще - в интернете. Это очень существенный и важный момент – достаточно сложно доказать, что именно конкретный человек разместил какую-то информацию в интернет.

Небольшой ликбез юриспруденции – уголовное право основано на презумпции невиновности, поэтому следственным органам необходимо доказать, что:

1. преступление действительно совершено (есть сам факт преступление);

2. преступление совершено конкретным человеком или несколькими конкретными людьми.

Обращаю Ваше внимание, что эти обстоятельства (факт преступления и совершение преступления конкретным человеком) доказываются следственными органами. Подозреваемый в преступлении не обязан доказывать, что он не совершал преступления. Доказательства, что именно подозреваемый совершил преступление, должны представить именно следственный органы.

Возвращаемся к Вашему «преступлению». Ментам не хватает доказательств, что информация размещена именно Вами. Всё остальное у ментов уже есть. Запомните – уже есть все доказательства того, что размещённая в интернет информация, попадает под категорию какого-либо преступления. Даже есть это информация – старый анекдот о Сталине. В материалах проверки будут представлены аргументы, что текст этого анекдота Ваш работодатель засекретил в силу наличия в тексте коммерческой тайны. И опубликовав этот анекдот – Вы совершили преступление, предусмотренное статьёй 183 УК РФ. Ваши аргументы о том, что этот анекдот знает 95% населения РФ в возрасте от 18 лет, никакого значения не имеют. Материалами проверки доказывается, что размещение в интернет анекдота – это разглашение коммерческой тайны.

Поэтому Ваша задача на опросе – не дать возможности менту сфальсифицировать в отношении Вас определяющее доказательство. Доказательство того, что именно Вы совершили размещение информации в интернет.

Есть эффективный и универсальный способ для данного случая.

При опросе Вы просите мента разъяснить Вам суть статьи 51 Конституции РФ. Мент обязан это сделать, и расскажет, что согласно данной статьи Конституции РФ Вы имеете право не свидетельствовать против себя и своих близких. После разъяснения Вы заявляете менту, что все вопросы которые уже заданы ментом, а также и те, которые могут быть заданы, Вы рассматриваете как вопросы, направленные против Вас и/или Ваших близких, поэтому согласно правом, предоставляемым статьёй 51 Конституции РФ, Вы ничего пояснить по существу задаваемых Вам вопросов не можете, и отказываетесь давать какие-либо показания.

Цитирую часть разговора с участием одного из действующих начальников следственного отдела Следственного комитета РФ по г.Москве.

«Есть 100% доказательства, что преступление было совершено с конкретного адреса, и с конкретного компьютера. Доказательства неопровержимые. В то – конкретное – время по данному адресу (квартире) находилось 2 человека. Это также полностью доказывается. Но один человек говорит – «я не передавал никаких данных». И второй человек говорит – «я не передавал никаких данных». Обвинение полностью разваливается…»

Да, не забудьте проверить протокол Вашего опроса – проверяйте внимательно – до каждого слова. В протоколе должно указываться, что Вы отказались давать показания, сославшись на статью 51 Конституции РФ. Никаких других вопросов мента и Ваших ответов в протоколе быть не должно. И обязательно подписывайте этот протокол.

А теперь, некоторые детали, которые также очень сильно могут помочь Вам при опросе.

Продолжим?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dfg
Да, не забудьте проверить протокол Вашего опроса – проверяйте внимательно – до каждого слова. В протоколе должно указываться, что Вы отказались давать показания, сославшись на статью 51 Конституции РФ. Никаких других вопросов мента и Ваших ответов в протоколе быть не должно. И обязательно подписывайте этот протокол.

А теперь, некоторые детали, которые также очень сильно могут помочь Вам при опросе.

Продолжим?

А как насчет такого мнения?

http://kolosovskiy-s.livejournal.com/92704.html

Как это может использовать следователь (отказ 51)?

Формально никак. Однако так складывается внутреннее убеждение следователя и судьи. что человек виновен. И не надо говорить, что следователю и судье все равно. разные бывают.

Может быть лучше в отвечать - "не передавал", "не размещал" и тд.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Для Dfq:

Ни в коем случае не переоцениваете свои силы и возможности. Оперуполномоченный (скорее всего это будет – оперуполномоченный) провёл таких опросов не одну тысячу, и этому опыту Вы ничего не противопоставите. Также наивно будет, с Вашей стороны, полагать, что Вы сможете обмануть мента. Если Вас «заказали», то вашу «раскрутку» будет проводить опытный мент. И на невербальном уровне Вы никогда не сможете его обмануть.

Я не настаиваю, но я точно знаю что пишу. У меня была очень серьёзная «практика» и очень хорошие учителя за последние 3 года. Причём все «учителя» являются, как правило, действующими работниками правоохранительных и следственных органов. Т.е. это – не теоретики уголовного права, а действующие актуальные практики.

В отношении адвокатов. В определённый момент я в них очень сильно разочаровался. Хорошо, что моё разочарование не «вылилось» мне серьёзными последствиями. На начальном этапе я обращался к адвокатам за консультацией. Причём, к достаточно именитым персонам. И много чего от них узнал в своё время. Но потом у меня появились вопросы, на которые они не знали ответов. В то же время, ответы на свои же вопросы, я нашёл сам через некоторое время на своём же опыте.

К примеру. Какой Вам адвокат сможет ответить на такой вопрос: «Что надо сделать и какие мероприятия надо предпринять, что бы противодействовать подкупленному судье?». Адвокаты в Москве «рубают капусту», т.е. – зарабатывают. А случай «заказа» уголовного дела – это тяжёлый для адвоката случай. Это не теория – это практика. По документам у ментов будет всё очень хорошо, и в данном моменте адвокат бесполезен.

Да. Я обращаю внимание, но то, что все мои советы и рекомендации актуальны для случая, когда на Вас «заказали» уголовное дело, Вы – невиновны и Вы это знаете. В других случаях мои советы и рекомендации могут быть не так эффективны.

В следующей части я продолжу описание некоторых моментов проведения опроса, и Вы сами сможете сделать выводы, что, возможно, адвокат Колосовский и зарабатывает много денег, но в некоторых моментах, таких как «заказные» дела, он очень плохо разбирается.

За Ваш вопрос – спасибо. Ваш вопрос позволит мне скорректировать внимание на вот такие актуальные моменты.

В следующей части я приведу описание, какими средствами и способами менты проводят опрос. Опишу самую главную часть, которую Вы никогда не услышите от адвокатов, - невербальное взаимодействие. И опишу, каким образом, с помощью невербального взаимодействия, «подавить» мента или, хотя бы, сделать попытку «подавить» мента.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Для Dfq (добавление):

Вы затронули очень важный и очень ответственный момент, поэтому до публикации следующей части, я позволю себе сделать ещё один комментарий. Комментарий буде объяснять, почему надо «брать 51-ую», а не говорить, наподобе – «не передавал», «не отправлял» и т.п.

Если оперуполномоченный проводит «честный» опрос, то его задача получить правдивые данные от собеседника. При этом он, конечно же, определяет имеет ли опрашиваемое лицо какое-либо отношение к преступлению, и какая его роль в этом преступлении.

Оперуполномоченный видит опрашиваемое лицо впервые, поэтому 90% информации этот оперуполномоченный получает на невербальном уровне. Причём – достоверной информации. Оперуполномоченный может, якобы, заниматься другими делами и попросит опрашиваемого немного подождать. Но при этом оперуполномоченный внимательно (и незаметно для опрашиваемого) изучает опрашиваемого и определяет свою линию поведения при опросе. Потом оперуполномоченный может позвонить начальнику или жене или даже любовнице – все делается при опрашиваемом. Потом может даже выйти из кабинета, или может зайти другой сотрудник полиции. Всё это может делаться только для опрашиваемого - это психологическое давление и изучение психологических параметров опрашиваемого. Оперуполномоченный делает это, что бы изучить опрашиваемого и получить ответ на главный вопрос – роль опрашиваемого в совершённом преступлении. Всё это делается на невербальном уровне, и изучаемая реакция опрашиваемого интересует оперуполномоченного только невербальная. Такой невербальный опрос может продолжаться даже несколько часов. При этом опрашиваемому могут не задать ни одного вопроса по существу. Но, на самом деле, это – основная часть опроса для оперуполномоченного. В 95% случаях всех опросов, оперуполномоченный начинает задавать вопросы по существу тогда, когда он уже точно знает кто такой опрашиваемый и какова его роль в преступлении.

Всё описываемое выше касается настоящего опроса – это когда совершено преступление и проводятся оперативно-розыскные мероприятия.

В случае «заказа» ситуация иная. Полностью иная.

Мент уже отработал много материала в отношении Вас. У него готовы все доказательства того, что Вы совершили преступление. Поэтому его задача Вашим опросом «забить гвоздь в крышку Вашего гроба». Обращаю внимание, что задача мента – не узнать истину и получить нужную ему информацию, а Вашим опросом подтвердить ложные и сфальсифицированные доказательства Вашего преступления.

Поэтому – не переоценивайте свои силы. Не недооценивайте задачи мента. Не вводитесь в заблуждение «честным словом» мента, «словом офицера» мента и прочими подобными моментами манипуляции мента. Иначе, из безобидным ответов на безобидные вопросы Вы сами себе «подымите срок»:

Мент – «У Вас же дома есть компьютер?»

Вы – «Конечно же. Сейчас почти у каждого человека есть компьютер?»

Мент – «А что Вы на нём делаете? Работаете, выходите в интернет?»

Вы – «Работаю. Я –программист. И в интернет выхожу.»

Мент – «В тот день Вы работали на компьютере?»

Вы – «Я каждый день работаю на компьютере. Это моя работа.»

Мент – «Такой сайт как mail.ru Вам знаком?»

Вы – «Знаю такой сайт. Это – бесплатная почтовая служба, а также – новости, погода и многие другие информационные сервисы»

Мент – «Многие Ваши знакомые пользуются сервисами mail.ru»

Вы – «Да почти все».

Мент – «И Вы пользуетесь этими сервисами?»

Вы – «Да. У меня имеется несколько почтовых аккаунтов».

Всё. Из этих безобидных ответов на безобидные вопросы мент состряпает текст опроса из которого выходит, что в тот день, когда была размещена «конфиденциальная» информация на файлообменный ресурс mail.ru, Вы работали на компьютере с доступом в сеть интернет и пользовались ресурсом mail.ru.

Ещё пару документов (фальсифицированных) и обвинение против Вас готово. Не забывайте про «друзей-товарищей» - они уж точно не упустят момент «подлизать задницу» своему директору и точно не будут думать о том, что Вы – не преступник, а отец маленького ребёнка. Об этом, конечно же, не будет думать ни мент, ни сволочь-работодатель, который «заказ» Вас.

У Вас ещё осталось желание разговаривать с ментом?

Продолжим?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dfg
Из этих безобидных ответов на безобидные вопросы мент состряпает текст опроса из которого выходит, что в тот день, когда была размещена «конфиденциальная» информация на файлообменный ресурс mail.ru, Вы работали на компьютере с доступом в сеть интернет и пользовались ресурсом mail.ru.

Бгг вспомнилось

http://forum.guns.ru/forummessage/166/339738-2.html

Насчет "общения со следователем".

Кому лень читать по ссылке - перепишу суда историю, которую наблюдал от задержания до посадки и даже допрашивал:

"Приведу пример, как человек себе сделал ст. 111 УК РФ вместо ст. 118 УК РФ и вместо штрафа словил 5 лет реально.

По пьяни стрелял на пикнике с тестем из Осы по бутылкам, но попал в тестя и пробил брюшину. СМам сдали с китайским складнем и Осой.

Состоялась следующая беседа со следователем (пишу по памяти - общий смысл, наблюдал на практике в прокуратуре):

- Для чего с собой носите и почему взяли оружие?

- Нож эта... колбаску порезать...

-...и ствол, колбаску порезать? Не 3,14зди тут.

- Ну, эта, ствол пострелять взял.

- И нож порезать! Нахрена брал нож, когда на столе было 6 кухонных?

- Всегда беру!

- Не 3,14зди! Жена твоя показала, что ты ствол и нож берешь только тогда, когда поздно возвращаешься для защиты от бандитов, так?

- Так!

- И ствол ты взял, с ножом вместе - для защиты от бандитов, собрался б "пострелять" - нож бы дома оставил, нахрена он тебе при 6 кухонных на столе, так?

- Так!

- То есть ты предполагал применить оружие, подготовил нож и осу, так?

- Не, на всякий случай.

- Но случайно попал в потерпевшего?

- Да, случайно!

...Вот что оказалось в обвинительном заключении: "По мотивам личной неприязни к гр. М, гр К .. числа подготовил оружие (нож и ПБ-4М номер...), которое, со слов его жены, он брал с собой тогда, когда опасался за свою жизнь и носил их для самоообороны (л.д. "..."), что характеризует умышленный характер причинения гр. М огнестрельного ранения..."

И сел мужик...

Так что если и не заказ могут натянуть. Палочная система ж.

Продолжим?

Практический опыт интересен да.

зы. Вам бы сайт причесать. Нет никакой логики повествания. Все в кучу.

Может вам так-же сделать практическую методичку для компьютерных лишенцев )

зыы. Ксати видел фотку про дрвеб, что там за каждым столом сотрудников по видеокамере установленно. Типа супердлп система). Но не могу найти. Это фейк был или правда?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Это конечно все интересно, юридический и процессуальный лекбез от опытного товарища. Но спрашивается, при чем тут Лужков Доктор Веб? История не проливает свет на этнические особенности коллектива данной компании, пагубное влияние руководства и т.п. Где инсайд, который заявлен как бы в названии топика? <_<

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Для Dfq:

С Вашим мнением про сайт – согласен. Всё – «в кучу». Скорее всего придётся воспользоваться Вашим советом, и «причесать» сайт.

Про видеокамеры за каждым столом в «Доктор Веб» - точную информацию не дам. Не знаю. В 2011, начале 2012 года такого точно не было. Была смешная попытка Шарова установить видеокамеру на моё рабочее место. Но это имело показательный характер для меня, т.е. Шаров попытался оказать давление на меня. После того, как я показательно сфотографировал сей девайс с различных ракурсов – девайс сразу же исчез во время моего отлучения в туалет.

По поводу ментов.

Достаточно нестрашно всё это читать это с форума. И очень невесело, когда «дело» вполне реально «пришивают» к Вам. Мои советы – грамотные, опыт – бесценен. Сволочей и моральных уродов, подобных Шарову, - очень много. В Москве таких уродов – чрезвычайно много. Поэтому – не обольщайтесь. Рано или чуть позже, но Вы столкнётесь с таким моральным уродом, который считает, что за деньги может посадить Вас в тюрьму. Адвокаты – не помогут, они могут включиться в работу только позже, поэтому на начальном этапе Вы должны самостоятельно противостоять ментам.

И ещё. Вас будет намного труднее «посадить», если Вы будете иметь основы знаний по юриспруденции. Мне сложно советовать, какую литературу читать, поэтому укажу Вам один из возможных критерием Вашей осведомлённости в уголовном праве – Вы должны понимать, что такое событие преступления, и что такое состав преступления в действиях человека. Если Вы это чётко понимаете, и чётко понимаете в чём различие – Вы готовы на общение с ментами.

Я продолжу. Далее будет ещё интереснее.

P.S. Буду благодарен участникам форума, которые напишут об интересных и "раскрученных" информационных ресурсах, на которых я мог бы разместить эти и другие материалы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Для Сергей Ильин:

Что заявлял, о том и пишу. Полагаю, что тема очень актуальная – это и личная информационная безопасность, и личная безопасность, как таковая. Всё это случилось в «Доктор Веб». А «каков поп, таков и приход», поэтому вся информация о защите от ментов, это – фактически рекомендации по защите от Шарова и «Доктор Веб», так как Шаров полагает, что «Доктор Веб» - это Шаров.

Какой Вам нужен ещё инсайд? Как системный администратор Колька переспал с дизайнером Ленкой? Я этого не видел, поэтому и писать об этом не буду. Я публикую только правду. Кстати, это моя личная гарантия для Вас, как для человека имеющего непосредственное отношение к данному ресурсу. Все мои высказывания находятся полностью в правовой плоскости, поэтому моя деятельность не несёт никаких правонарушения (даже – административных правонарушений). Поэтому давление, которое может оказываться на Вас, может иметь всего-лишь психологический характер.

Может быть тема озаглавлена не очень удачна. Не могу точно судить. Но я воспользовался Вашим определением.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN
P.S. Буду благодарен участникам форума, которые напишут об интересных и "раскрученных" информационных ресурсах, на которых я мог бы разместить эти и другие материалы.

Я уже вам говорил - Эхо Москвы, Дождь, Каспаров.ру, Навальный и пр.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

пока вижу треп о продажных ментах, что является только заявлением г-на Ломонова -никак подтверждений сего факта не приведено, кроме как набора информационного мусора. Тем более, что название темы как "Insight" - это не "Inside" -и может содержать любые измышления топик-стартера.... Громкое заявление, что он публикует только правду не выдерживает никакой критики, поскольку нет ни единого факта, подтверждающего приводимую информацию

Мысли по поводу допроса полицией сопровождается упоминанием того, "что всегда найдется сотрудник" и "сфальсифицированные документы", на чем интерес сразу теряется. Ни сотрудники не осуждены за лже - свидетельство, ни сотрудники полиции.

Его сайт народу давно неинтересен, потому Домонов вышел сюда, чтобы здесь пиарится и пиарить Шарова. Все сказанное не имеет никакого от ношения к информационной безопасности. ИМХО

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Для RuJN:

Не «катит».

Вы указываете чисто оппозиционные ресурсы. Между тем, я искренне сомневаюсь, что в российской системной коррупции виноваты лишь российские власти.

Ещё раз напомню, что как минимум несколько десятков человек из числа сотрудников «Доктор Веб» подписали лживые показания против меня. Если бы этого не произошло, менты никогда бы не смогли «состряпать» повод для попытки «пришить» мне дело. Поэтому, на мой взгляд, коррумпированные менты – это следствие, а основная причина – послушные безвольные члены российского общества, которые не привыкли, а, поэтому, - и не умеют брать личную ответственность за свои действия. Руководитель сказал – подчинённый сделал, несмотря на то, что он (подчинённый) понимает, что это – не только «не хорошо», но это ещё – и преступление. Я, конечно же, понимаю, что Шаров отбирает именно таких работников – послушных и безвольных. Но, как я ранее писал, в коллективе «Доктор Веб» есть люди с чувством собственного достоинства. Правда, они долго не задерживаются в «Доктор Веб».

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

вопрос администрации:

тема, пропагандируемая Ломоновым не имеет никакого отношения к информационной безопасности, пестрит недоказанными обвинениями, оскорблениями и давно себя исчерпала. У человека, похоже, маниакально -депрессивный психоз по поводу увольнения, потери квартиры и проигранной войны с Шаровым. Почему она находится в этом разделе? И даже на этом ресурсе? У него есть свой сайтик - велкам, пусть пишет там, а разводит здесь турусы на колесах

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

Не просто даун Виконт де бражелон бгг :lol:

95805412_111.JPG

Поручик Ржевский перед балом просит Пушкина сочинить для него небольшой каламбур. Немного подумав, Пушкин выдает экспромт: — Ты г.......н и он г.......н, а я виконт де Бражелон. На балу Ржевский объявляет: — Господа офицеры, замечательный каламбур слышал я на днях. Вы все .........., а я д'Артаньян, но в стихах это было просто прекрасно, уверяю вас, просто прекрасно. :P

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
SDA

Эпитафия дартаньяну или Что еще следует помнить, дискутируя с идиотом.

Как правило, идиот считает, что победил в дискуссии, если вы первым перестаете с ним дискутировать, т.е. отвечать на его идиотские высказывания и опровергать их. А вы таки с большой вероятностью перестанете делать это первым в силу закона. И закон этот гласит, что 'высказывание идиотского утверждения требует на порядок меньше усилий, чем его последовательное и обоснованное опровержение и более того, иногда это опровержение вообще невозможно'.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Продолжим. Тема прежняя – «Обеспечение личной и информационной безопасности в случае «заказа» в отношении Вас уголовного дела. Стадия – опрос.»

При Вашем опросе задача мента – обмануть Вас и сманипулировать Вами. То есть – заставить подписать нужные менту Ваши показания. Ваша задача – не стать обманутым. В этой части – для Вас ставки очень высоки.

Не буду описывать все приёмы ментов. Их очень много. Также беру в расчёт то, что немного ранее Вы уже «подняли» небольшую «волну», когда мент звонил Вам по телефону и приглашал на опрос. Это – очень важно. Напомню, что «деньги любят тишину», и всех подкупить невозможно. Если «волна» «пошла», то мент может изменить решение в отношении Вас – зачем ему служебные проверки и проблемы? Но опрос – не отменяется.

Типичная ситуация. Мент, с немного виноватым видом, рассказывает Вам, что ему на рассмотрение поступило заявление от Вашего работодателя. Он (мент) понимает, что это – полная чушь, но всё-таки обязан Вас опросить. Но его, «чисто по-человечески», интересует что же все-таки произошло, и какие причины конфликта. Мент может посетовать на несправедливость, человеческую глупость, недальновидность и т.д. и т.п. Мент может, даже, рассказать какую-нибудь историю, где справедливость всё-таки восторжествует. И т.д., и т.п. Не верьте. Мент – Ваш враг, а все это он предпринимает только для того, что бы усыпить вашу бдительность, и обмануть Вас.

Широко применяются приёмы психологического давления. Это, к примеру, – долгий опрос. Об этом я уже писал. Мент будет «якобы» заниматься другими делами (вплоть – до нескольких часов), а Вы будете сидеть, и Ваше беспокойство будет всё увеличиваться и увеличиваться. Один из моих советов для данной ситуации. Заранее возьмите с собой какую-нибудь книжку. Лучше всего – УПК РФ (уголовно процессуальный кодекс). Если мент тянет время, спокойно доставайте УПК, и начинайте его читать. Начинайте читать не с самого начала, а с 10-ой главы.

Время – Ваш враг. В любом случае, с течением времени, Вы начинаете беспокоиться, а Вам это – не надо. Если позволяет возможность (мент явно тянет время), можете позвонить другу (лучше всего – жене) и сказать, что в настоящее время вы находитесь там-то и там-то, Вас опрашивает такой-то следователь, и если Вы не выйдете на связь через пару часов – он(она) сама знает, что делать (было бы очень хорошо, что бы это было в действительности – Ваш доверенный человек знал и умел действовать в таких ситуациях). Это – уже Вы оказываете давление на мента.

У мента против Вас ничего реального нет, «волны» менту не к чему.

Всё это надо делать спокойно и уверенно. Вопросы менту не задавайте. В данной ситуации, мент – ведущий, Вы – ведомый. Попытка перехватить инициативу ни к чему хорошему для Вас не приведёт. Вы не переиграете мента, не надо на это и рассчитывать. И вообще, универсальный совет, для такой ситуации, и для других подобных ситуаций – Ваши главные козыри это – спокойствие, невозмутимость, уверенность.

Смотрите менту в глаза. Внимательно изучите мента, постарайтесь сформировать его психологический портрет (неважно – успешно или неуспешно), изучите всё, что находится на столе у мента, развернитесь, изучите всё, что есть в кабинете. Если в кабинете находится другой сотрудник – поздоровайтесь, но ничего не спрашивайте. Смысл всех Ваших действий в следующем. Задача мента – вывести Вас из состояния равновесия (психологического спокойствия и уверенности). Тогда менту будет «работать» с Вами легче. Ваша задача – наоборот – сохранить состояние полного психологического равновесия до момента опроса.

Это – Ваша самая главная задача.

И это – сложно.

Легко читать все эти «прописные истины» из форума, но очень сложно это сделать на практике. Немного помогу Вам – есть приёмы тренировок. Если дойду до этого – опишу. На данный момент Вы должны понять и принять следующее – на какое бы время Вас не «пригласили» на опрос (на 09:00 или на 18:00) Вы должны быть готовы к тому, что освободитесь не раньше 22:00. И не старайтесь это форсировать. Освободитесь раньше – хорошо, если нет – ни в коем случае не торопитесь. Не торопитесь говорить, не торопитесь что-то подписывать, не торопитесь объяснять…

Я прервусь, с Вашего позволения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

топикстартер, где здесь ИБ?

Здесь жизнеописание Ломонова в полиции, не более

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
priv8v

Не, а чего, последний пост Ломонова не по теме, но в целом особых нареканий не вызывает, только не по теме. Такой бы пост стал жемчужиной на ачате в теме "Что делать, если вас поймали

компетентные органы" (там есть такая тема).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

ну и я про это. Где ИБ? Где взгляд изнутри? Пока это самопиар топикстартера. А если прибавить вторую тему, котору - слава Богу! - перенесли в болталку - то возникает ощущение отсутствия адекватности у него

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN
Для RuJN:

Не «катит».

Вы указываете чисто оппозиционные ресурсы. Между тем, я искренне сомневаюсь, что в российской системной коррупции виноваты лишь российские власти.

А я не говорю, что в коррупции виновата лишь власть. Но эти ресурсы подхватят тему, потому что их задача - любая дискреминация власти. То есть вся вина будет свалена на власть (хотя, может быть, и не совсем вся). Если вы не хотите подставлять власть, обращаясь на эти ресурсы, то тогда другое дело, обратитесь в более адекватные - "Эксперт", "Коммерсант" и пр.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Я продолжу, с Вашего позволения.

Ещё распространённый у ментов приём – это воспользоваться Вашей юридической неосведомлённостью. Мент может сказать, что он Вас опрашивает в качестве свидетеля, и согласно статьи 308 УК РФ, Вы обязаны отвечать на вопросы следователя. Иначе – возбуждение уголовного дела. Но, во-первых, это касается опроса свидетеля по уже возбуждённому уголовному делу или проведению дознания, а у Вас – проверка на наличия признаков преступления и наличия в Ваших действиях состава преступления. Это – совсем разные вещи. Во-вторых, и самое главное, Вы имеете любой вопрос интерпретировать как вопрос, направленный на свидетельствования против Вас. Основания – Ваше личное усмотрение. Поэтому, если мент пугает Вас 308-ой статьёй УК РФ, то пусть возбуждает уголовное дело. Интересно будет посмотреть, как это у мента получится.

Не настаиваю, но глубоко убеждён, что если в отношении Вас «заказано» уголовное дело, самое правильное решение – это «взять 51 статью».

Опять немного правового ликбеза. По сути, возбуждение уголовного дела – это иск государства по отношению к Вам за то преступление, которое Вы совершили. И государство, в лице правоохранительных органов, должно доказать обоснованность своего иска к Вам. Ну, и пускай доказывает. Зачем Вам помогать государству работать против Вас же? Тем более, что, в данном случае, «игра» ведётся не по правилам, установленным государством.

Мент может при Вас позвонить, и узнать, если ли «место» в ИВС (изолятор временного содержания). Это – давление на Вас. Мент может кричать на Вас. Это – давление. Другой мент может зайти в кабинет с резиновой палкой и сказать, что «только что отбил «злодею» почки, и тот признался». И этот мент с палкой не понимает, почему его коллега церемониться «с этим». Давление.

Приёмов давления – величайшее множество. Всех не перечислю. Мент может даже «задержать» Вас. При этом предусматривается, что Вы прямо сейчас же отправляетесь в изолятор. Это – чистая театрализация. Вас могут «бросить» в «стакан» (комната размером 1 на 3 метров для задерживаемых «злодеев»). Но такое действие мент может совершить только в случае, когда он (мент) видит, что уже смог Вас подавить. И никогда мент такого не сделает, если видит и чувствует (именно – чувствует), что Вы совершенно спокойны, уверены и ничего не боитесь. Я Вам гарантирую, что мент никогда не начнёт «беспредельничать», если не сможет «раскачать» Ваше психологическое равновесие. Поэтому. Вы должны быть – как скала (в психологическом плане).

Ничего не берите у мента. Например, сигареты. Менты очень лояльны к просьбам закурить. И даже если мент не курит, он попросит для Вас сигареты у коллеги. Если курите – не курите. Терпите. Даже если «пухнут уши». Возьмите с собой пишущую ручку. Бумаги подписывайте только своей ручкой. Ручку мента для подписи документов не берите. На предложения мента присесть на стул, скажите, что Вы постоите, так как надеетесь, что это – ненадолго. Если мент не возражает, постойте 3-4 минуты и молча сядьте на стул. Никаких слов и объяснений, почему Вы решили присесть. Просто молча сядьте. Если мент скажет, что опрос может занять длительное время и стоять Вам будет неудобно, очень неспешно подойдите к стулу, сделайте паузу на 3-5 секунд, потом обойдите стул с другой стороны, если есть верхняя одежда – можете её снять (не очень существенный момент – снять одежду можете и позже, когда Вам нужна будет пауза для психологической разрядки), и сядьте на стул. Если мент предложит снять верхнюю одежду – не снимайте. Поблагодарите мента за предложение и скажите, что Вам и так будет удобно. Сделайте так, даже если Вам очень жарко. Снимете верхнюю одежду через 5-10 минут, но не спрашивая разрешения мента и не предупреждая его об этом. Все движения медленные, спокойные и неторопливые. Не шутите с ментом. Не улыбайтесь менту (сохраняйте спокойный сосредоточенный вид). Ни в коем случае не вступайте в диалог с ментом «о жизни». Ни в коем случае ни грубите, не хамите и не выражайтесь. Даже если мент использует полностью нецензурную речь.

Рекомендации последнего абзаца касаются подсознательного психологического воздействия, которое Вы не контролируете. Сейчас объяснять не буду – долго. Но это то воздействие, которое идёт в обход Вашего сознания, поэтому его контролировать, практически, очень и очень сложно.

Я прервусь.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
alexgr

вопрос = как это относится к теме, заявленной топикстратером? Предлагаю переназвать - мои воспоминания о полиции РФ

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

Тема перенесена в Свободное общение.

lomonov, интересно не то, кто с кем переспал. Хотя некоторые такие истории помогли бы вам добиться ослабления команды противника. Но основное что от вас ждут люди - это рассказов о самой компании, ее деятельности. Расскажите какой Шаров ... мудрый руководитель. Какие контракты были упущены, почему, как. Какие эккаунты были получены, скажем так, несовсем законными путями. Кого подкупал Шаров чтобы неслыханно обогатиться и т.п. Интересно как, кого и сколько раз он кинул или обманул. Были ли факты уклонения от уплаты наголов (сторого факты), обмана учредителей и т.п.

Если у вас ничего из вышеперечисленного нет, то шансы на успех нулевые.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
RuJN

lomonov, вы не занимайтесь дискредитацией полиции. Советы, может, и правильные, но вы, так говоря, называя всю полицию ментами, ее дискредитируете как орган гос. власти.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
lomonov

Для RuJN:

Принимаю.

Забыл сделать примечание про терминологию.

Здесь, а также - всё что было выше, и всё, что будет ниже – я использую следующую терминологию:

- «следователь», «сотрудник полиции», «правоохранительные органы» и другие подобные определения используются мной в качестве идентификации соответствующих сотрудников и органов исполнительной власти РФ;

- «мент» (в различных склонениях и падежах) – нечестный сотрудник правоохранительных органов РФ (полиции), который использует своё должностное положение для личного обогащения, что, по сути, является должностным преступлением согласно положений УК РФ. В применении данной темы и данном контексте, «мент» - исполнитель по организации незаконного уголовного преследования.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • demkd
      ---------------------------------------------------------
       5.0.3
      ---------------------------------------------------------
       o Добавлен новый статус процесса: Критический.
         В старых версиях uVS выгрузка такого процесса приводила к BSOD с кодом: CRITICAL PROCESS DIED.
         Начиная с v5.0.3 такие процессы выгружаются без последствий (если этот процесс не является системным).
         При обнаружении неизвестного процесса с критическим статусом в лог выводится предупреждение и
         файл получается статус "подозрительный".

       o Добавлен новый режим захвата экрана DDAw, который является упрощенным режимом DDAL.
         Отличие от DDAL в том, что передается и отображается лишь содержимое активного окна и
         участки окон высшего уровня перекрывающие это окно (если они есть).
         Данный режим позволяет снизить нагрузку на процессор и канал передачи данных.
         Визуально это выглядит как интеграция окна удаленного приложения в клиентскую систему.
         Для переключения между окнами доступны все горячие клавиши.
         При нажатии Alt+Tab на время удержания клавиши Alt передается весь экран для возможности
         визуального выбора другого окна.
         (!) В этом режиме монитор и рабочий стол выбираются автоматически по расположению активного окна. 
         (!) В этом режиме недоступна эмуляция нажатия Ctrl+Alt+Del.
         (!) В этом режиме недоступно отображение запроса UAC.
         (!) Если нет активного окна то картинка не передается.
         (!) Режим доступен начиная с Windows 8.

       o В окно настройки однократного доступа к удаленному рабочему столу
         добавлен новый флаг "Только для выбранного приложения".
         Если флаг установлен то удаленному пользователю передается лишь содержимое активного  
         окна разрешенного приложения, все остальное он не видит и не может просматривать/управлять 
         окнами других приложений.
         Разрешенным может являться лишь одно приложение. Для выбора приложения необходимо
         активировать любое его окно и нажать горячую клавишу (по умолчанию Alt+Shift+W) указанную в логе uVS.
         Выбор доступен лишь тому кто предоставляет доступ к своему рабочему столу.
         Если удаленному пользователю разрешено управление и он любым способом сменит фокус ввода
         на другое приложение (например нажмет Alt+Tab или закроет приложение) то он немедленно потеряет возможность
         управлять удаленным компьютером до возврата фокуса ввода в окно разрешенного приложения или
         замены разрешенного приложения.

       o Функция запоминания размеров окон для разных мониторов удалена.
         Теперь действуют единые парметры масштабирования.
         Масштабирование стало автоматическим.

       o При подключении к удаленному рабочему столу автоматически определяется активный дисплей
         по окну на переднем плане.

       o В системное меню окна удаленного рабочего стола добавлены пункты:
         o Скрыть/показать элементы управления.
         o Эмулировать нажатие кнопок Ctrl+Alt+Del (кнопка CAD удалена из окна).
       
    • AM_Bot
      Когда-то BI.ZONE SOAR был внутренней разработкой для собственного центра мониторинга ИБ. Теперь это продукт, который доступен и внешним заказчикам. Он служит ядром управления информационной безопасностью: собирает алерты, автоматизирует, обеспечивает реагирование, позволяет работать по модели MSSP.      ВведениеСоздание решенияАрхитектура и компонентыКлючевые возможности BI.ZONE SOAR4.1. Работа с алертами4.1.1. Политики регистрации алертов4.1.2. Агрегация алертов4.1.3. Группировка алертов4.2. Jinja-шаблоны4.3. Автоматическая регистрация инцидентов (Direct Alert)4.4. Обогащения в карточке алерта4.5. Возможности реагирования на сторонних системах4.6. Учет SLA по обработке алертов4.7. Работа с инцидентами4.8. Почтовые уведомления4.9. История изменений4.10. Рекомендации по безопасности4.11. Задачи4.12. Клиентский портал BI.ZONE SOC Portal4.13. ИИ-ассистент BI.ZONE Cubi4.13.1. Объяснение командных строк4.13.2. Объяснение алерта4.13.3. Резюме для руководителей (executive summary) по инциденту4.14. Управление активами и модуль CMDBОбщие возможности BI.ZONE SOAR5.1. Кастомизация карточек инцидентов5.1.1. Типы карточек5.1.2. Рабочие процессы карточек5.1.3. Приоритет карточки5.1.4. Категории5.1.5. Решения5.1.6. Кастомные поля5.2. Поддержка сквозного входа (SSO)5.3. Мультиарендность5.4. Ролевое разграничение доступа5.5. Дашборды5.6. Отчеты5.7. Система документации5.8. Коннекторы5.9. Сторонние интеграцииМинимальные требования к аппаратным ресурсамТиповые схемы внедрения BI.ZONE SOAR7.1. Базовая инсталляция для внутреннего SOC7.2. Мультитенантная инсталляция для крупных SOC и MSSP7.3. Инсталляция с поддержкой интеграции BI.ZONE TDRВыводыВведениеВ июле 2025 года компания BI.ZONE представила платформу BI.ZONE SOAR (Security Orchestration, Automation, and Response), которая связывает процессы мониторинга, расследования и реагирования на инциденты. Главная задача платформы — предоставить решение для команд центров мониторинга (SOC), на базе которого можно построить процессы управления инцидентами, а также обеспечить прозрачный и управляемый цикл расследования от первого алерта до устранения последствий атаки.BI.ZONE SOAR выполняет функцию единого окна, в котором команды кибербезопасности могут централизованно наблюдать за уровнем защищенности инфраструктуры. Платформа закрывает первоочередные задачи любого SOC: обрабатывает поток алертов, поддерживает формирование кастомных карточек, позволяет использовать контекст из встроенной БД управления конфигурациями (CMDB) и предоставляет инструменты для взаимодействия с внешними командами. Решение также входит в реестр отечественного ПО, что подтверждает соответствие требованиям российского законодательства.В обзоре — подробное описание ключевых функций платформы, ее архитектурных особенностей и способов внедрения.Создание решенияВ 2019 году компания BI.ZONE решила создать собственный центр мониторинга, который должен не только покрывать внутренние потребности по инцидент-менеджменту, но и обеспечивать максимальную прозрачность для клиентов, удовлетворять требованиям соглашений и целей по качеству (SLA / SLO) и позволять масштабировать процессы в будущем. Существующие на тот момент решения не закрывали поставленные задачи. Большинство SOAR-платформ были громоздкими, требовали значительной доработки и не позволяли адаптировать бизнес-логику под специфические сценарии SOC. В результате было принято стратегическое решение — разработать собственную платформу, которая станет ядром процессов реагирования внутри SOC в BI.ZONE и со временем сможет эволюционировать в полноценный продукт для внешнего рынка.Одновременно с развитием платформы рос и сам SOC в BI.ZONE. Сегодня он является одним из крупнейших центров мониторинга в России и других странах СНГ, который круглосуточно обслуживает более 150 заказчиков. Ядром архитектуры SOC в BI.ZONE остается BI.ZONE SOAR — единая точка взаимодействия между аналитиками, клиентами и внешними системами.Архитектура и компонентыАрхитектура BI.ZONE SOAR построена по принципам модульности, масштабируемости и отказоустойчивости. Платформа состоит из семи основных модулей:Алерт-менеджер. Модуль для приема и первичной обработки входящих алертов — атомарных сигналов тревоги от конкретного средства защиты. Может агрегировать однотипные события, применять правила группировки, автоматически заводить инциденты для критических алертов и т. д.Модуль активов (CMDB). Модуль для хранения данных об объектах инфраструктуры и автоматической регистрации активов.Ядро SOAR. Центральный компонент, который управляет жизненным циклом карточек (инцидентов, алертов, задач и т. д.), позволяет конфигурировать параметры системы и управлять другими модулями.Центр уведомлений. Модуль для уведомлений по ключевым событиям: регистрация карточек, изменение статусов, добавление новых комментариев и т. д.Клиентский портал. Выделенный веб-интерфейс для взаимодействия команды кибербезопасности с другими командами (ИТ, подрядчики, пользователи, ответственные за активы и т. д.).Модуль реагирования. Выполняет действия по локализации угроз на других защитных решениях в организации.Модуль отчетов. Генерирует отчеты в соответствии с заданными параметрами и расписанием.Рисунок 1. Устройство архитектуры BI.ZONE SOAR Помимо вышеперечисленных, в архитектуру могут входить вспомогательные сервисы. Вместе компоненты образуют комплексное, но гибкое решение: можно дорабатывать или заменять отдельные модули без перестройки всей системы.Кроме того, BI.ZONE SOAR спроектирована с расчетом на эксплуатацию в крупных SOC, поэтому отдельное внимание уделено возможностям горизонтального масштабирования и отказоустойчивости. Модули выполнены в виде микросервисов, при этом платформа разворачивается в кластере Kubernetes. Контейнеризация микросервисов существенно упрощает развертывание решения и его переносимость между средами. Инструменты Kubernetes поддерживают отказоустойчивость, позволяют динамически добавлять новые ноды с ростом нагрузки, автоматически распределяют нагрузку по узлам, перезапускают сервисы в случае сбоя и восстанавливают состояние платформы при проблемах в кластере. Это позволяет подстраивать производительность системы в соответствии с текущей нагрузкой и добавлять новые ресурсы, если того требуют растущие объемы алертов.Ключевые возможности BI.ZONE SOAR Среди основных функций продукта — работа с алертами и инцидентами, использование шаблонов на языке Jinja, выдача рекомендаций. Распишем их детальнее.Работа с алертамиРастущее количество алертов от защитных решений — одна из ключевых проблем в любом SOC. Все центры мониторинга работают с большим количеством СЗИ, при этом у команды кибербезопасности не всегда есть ресурсы на точную настройку всех систем. Рисунок 2. Конвейер (пайплайн) обработки алертов В результате команды рано или поздно сталкиваются со следующими проблемами:«штормы» из сотен срабатываний одного правила;рост риска пропустить действительно критическую активность из-за большого количества неприоритетных алертов;очереди и задержки в обработке алертов, а также периодические срывы установленных SLA;одна активность вызывает регистрацию большого количества инцидентов и документируется несколько раз;сразу после закрытия обработанного алерта открывается новый аналогичный.Для решения этих проблем в BI.ZONE SOAR предусмотрен специализированный модуль «Алерт-менеджер». Он отвечает за работу с входящими потоками алертов и предоставляет команде SOC возможности для управления параметрами регистрации алертов в SOAR. С помощью модуля команда SOC может настроить политики фильтрации, группировки, агрегации и шаблонизации.Политики регистрации алертов Политики регистрации позволяют задать условия, при которых входящее событие будет зарегистрировано в SOAR как алерт. Инструмент направляет все алерты от систем управления событиями (SIEM) и других подключенных СЗИ в SOAR, а затем с помощью тонкой настройки можно отключить политику регистрации алертов для тех правил, которые не являются достаточно точными, чтобы обрабатываться в режиме реального времени.Такой подход позволяет регистрировать в SOAR только наиболее критические алерты и не отключать те правила и детектирующие сигнатуры, которые могут быть полезны в контексте подробного расследования. Рисунок 3. Информация об алертах в BI.ZONE SOAR Агрегация алертовЗачастую одна активность вызывает множество однотипных алертов, что снижает эффективность работы, потому что несколько аналитиков тратят время на обработку одного и того же. В таких случаях команде SOC удобнее анализировать один кумулятивный алерт, содержащий информацию по всем срабатываниям. Рисунок 4. Агрегация алертов по множественному запуску утилиты Rubeus Настройка параметров агрегации позволяет задать:длительность окна агрегации (например, 10 минут или 1 час);ключевые поля, которые необходимо использовать как признак для объединения алертов;поля, для которых нужно накапливать уникальные значения в агрегированный список (командные строки, имена файлов, имена пользователей и т. д.);действие при поступлении аналогичного алерта в течение заданного временного окна — например, если однотипный алерт придет в течение часа, можно не создавать аналогичный алерт повторно.Есть также функция бесконечной агрегации — после закрытия одного алерта аналогичные не будут дублироваться в системе.Группировка алертовВ некоторых случаях одна и та же активность вызывает срабатывания нескольких правил в SIEM или на множестве СЗИ сразу, что затрудняет настройку агрегации по ключевым полям. Однако аналитикам важно видеть, что несколько алертов связаны семантически. В этом помогает механизм группировки, который объединяет несколько алертов в одну раскрываемую группу. Рисунок 5. BI.ZONE SOAR автоматически группирует алерты по хосту Группировка формируется по трем признакам: сработавшее правило, хост, заданный набор полей группировки.Jinja-шаблоныОдно из главных достоинств BI.ZONE SOAR — поддержка Jinja-шаблонов. Язык Jinja широко применяется для генерации динамического текста. Он позволяет вставлять переменные, выполнять простую логику (условия, циклы) и таким образом получать автоматизированно заполненный текст по заданному формату. Это полезно для стандартизации описаний: каждая карточка инцидента или рекомендации будет оформлена по единому образцу. Функция существенно экономит время аналитика на документирование однотипной активности. Также с помощью Jinja-шаблонов может быть сформирована база шаблонов для обработки различных типов алертов, которой сможет пользоваться вся команда SOC. Рисунок 6. Jinja-шаблон описания карточки инцидента в BI.ZONE SOAR Встроенный шаблонизатор BI.ZONE SOAR позволяет:формировать заголовок и описание карточки;добавлять в текст поля из алерта;обращаться к данным, которые были накоплены на этапе агрегации, например к уникальным командным строкам;создавать таблицы;использовать HTML для форматирования текста.За счет возможности использования логических операторов (условия и подстановки) один и тот же шаблон корректно работает во множестве сценариев. Например, если в событии есть полное доменное имя (FQDN), может быть вызвана одна часть шаблона, если нет — используется другая. Это помогает стандартизировать вид карточек инцидентов, благодаря чему повышается качество отчетности и упрощается онбординг новых сотрудников.Автоматическая регистрация инцидентов (Direct Alert)В ситуациях, когда команда кибербезопасности не может на своем уровне оценить легитимность действий, аналитики центра мониторинга отправляют уведомление в другую команду, которая подтверждает или опровергает легитимность активности. Чтобы автоматизировать обработку кейсов, где нужна валидация со стороны, в BI.ZONE SOAR разработан механизм автоматической регистрации инцидентов Direct Alert. При появлении алертов от срабатываний правил, для которых настроен инструмент, Direct Alert автоматически регистрирует инцидент и отправляет уведомление.Например, при запуске сетевого сканера на машине системного администратора и срабатывании соответствующих правил BI.ZONE SOAR может автоматически отправлять уведомление ответственному лицу с запросом легитимности выполняемых действий.Обогащения в карточке алертаПри изучении алерта аналитику бывает недостаточно только контекста: нужно получить информацию из сторонних систем. Ручной поиск в соседних системах увеличивает время на получение информации, поэтому команде SOC удобно видеть дополнительные обогащения напрямую в карточке алерта. Рисунок 7. Обогащения в карточке алерта в BI.ZONE SOAR Обогащение — это дополнительный объект, который может создаваться внутри каждого алерта как в ручном режиме (при вызове доступных действий реагирования), так и автоматически (посредством интеграций, взаимодействующих с SOAR через REST API). В зависимости от решаемой задачи обогащение может содержать записи в виде текста или сохранять файлы с полезным контекстом (выгрузки логов, дампы памяти и т. д.).Возможности реагирования на сторонних системах BI.ZONE SOAR предоставляет возможности для реагирования на угрозы через набор коннекторов к другим системам, что позволяет принимать меры по локализации угрозы максимально оперативно и с использованием всех доступных защитных решений в организации. Например, открыв карточку алерта, аналитик SOC может одним кликом инициировать различные действия: «Изолировать хост от сети» с помощью системы защиты конечных точек (EDR) или «Заблокировать подозрительный IP-адрес» средствами файрвола нового поколения (NGFW). Рисунок 8. Реагирование из карточки алерта в BI.ZONE SOAR Из карточки также доступны возможности для обогащения алерта. Так, при обнаружении потенциального индикатора компрометации (IP-адрес, хеш файла, домен) аналитик SOC может запустить действие «Получить информацию о хеше из VirusTotal» или «Выполнить WHOIS-запрос для домена». В результате в карточку автоматически добавится информация о репутации индикатора, геолокации IP-адреса, данные о владельце домена и т. д.Учет SLA по обработке алертовЕще одна ключевая возможность BI.ZONE SOAR — гибкая настройка SLA для времени обработки алертов и инцидентов. Контроль SLA позволяет команде SOC проанализировать, как быстро они реагируют и локализуют возникающие угрозы.  Рисунок 9. Учет SLA обработки алертов в BI.ZONE SOAR Платформа позволяет добавлять параметры SLA, связывать их с карточками и настраивать управление параметрами. Гибкие настройки включают:задание имен метрик;определение условий начала и остановки отсчета времени;указание максимального времени выполнения для каждого параметра SLA.Функция полезна как для оценки эффективности всего SOC, так и для оценки показателей отдельно взятого аналитика. Работа с инцидентами Если один или группа алертов подтверждают вредоносную активность, то они консолидируются в инцидент. Один инцидент может включать множество связанных алертов, если они относятся к одной цепочке атаки, общему источнику данных или затрагивают одни и те же активы. Рисунок 10. Работа с инцидентами в BI.ZONE SOAR Главное назначение инцидента как сущности — превратить набор разрозненных алертов в единую структурированную карточку, куда команда может задокументировать расследование и сохранить необходимые артефакты. Внутри инцидента ведется хронология действий команды: собираются ключевые факты и контекст, строится целостная картина происходящего, фиксируются гипотезы и принятые решения. Состав полей карточки инцидента может настраиваться в зависимости от потребности конкретного SOC.Карточки на платформе BI.ZONE SOAR также содержат поля с временными метками для контроля выполнения SLA по обработке инцидента: время от момента его создания до взятия в работу, от взятия в работу до принятия решения и т. д. Таймеры для SLA могут быть настроены таким образом, чтобы учитывать производственные календари, паузы и «стоп-часы», а также подсвечивать нарушения в интерфейсе и отчетах. Это позволяет организовать процесс обработки инцидентов с контролируемыми метриками, что важно для анализа операционной работы SOC.Детальное описание инцидента заполняется с помощью встроенного текстового редактора. Он позволяет форматировать текст и добавлять изображения, например снимки экрана. Рисунок 11. Встроенный текстовый редактор для описания инцидента Если карточка инцидента не была заполнена в соответствии с шаблоном обработки алерта автоматически, аналитик SOC может найти необходимый шаблон вручную и получить предварительно заполненную карточку. Это позволяет автоматизировать первичное документирование инцидента и самостоятельно зафиксировать только наиболее важные детали.Для устранения последствий инцидентов в карточке инцидента предусмотрен блок с рекомендациями. В зависимости от потребности рекомендации могут заполняться автоматически на основе шаблона обработки алерта, выбираться из списка сохраненных шаблонов вручную или описываться аналитиком SOC самостоятельно (если инцидент оказался нестандартным и для него не заготовлены рекомендации).Переиспользование шаблонов существенно снижает временные затраты команды SOC, потому что один и тот же шаблон можно применять для множества схожих случаев. Например, если структура данных алертов от разных систем обнаружения вторжений (IDS) похожа, можно создать единый шаблон представления «Срабатывание IDS» и использовать его для любых источников, фиксируя в карточке инцидента требуемые поля.Еще хранилище шаблонов в SOAR способствует обмену опытом внутри команды. За счет совместной работы аналитики SOC могут увеличивать процент покрытия шаблонами все большего количества сценариев, снижая долю инцидентов, которые нужно описывать вручную.  Рисунок 12. Блок с рекомендациями в карточке инцидента в BI.ZONE SOAR К карточке инцидента также можно добавлять вложения: лог-файлы, дампы памяти, инструкции и другие файлы, полезные в контексте расследования. Рисунок 13. Раздел индикаторов компрометации в карточке инцидента в BI.ZONE SOAR Если в ходе расследования выявлены индикаторы компрометации (IoC), их следует заносить в специальный раздел карточки инцидента. Централизованное хранение IoC упрощает фиксацию выявленных индикаторов и позволяет сформировать единый список IoC внутри центра мониторинга. При интеграциях с внешними системами индикаторы могут экспортироваться ими для блокировок на защитных решениях или для мониторинга в SIEM. Рисунок 14. Отображение других карточек, связанных с инцидентом, в BI.ZONE SOAR Для удобства аналитика в карточку инцидента добавлен раздел со связанными с ним карточками алертов, инцидентов и задач. Механизм связей позволяет быстро получить доступ к дополнительному контексту, который может быть полезен для составления полной картины инцидента.Также в разделе «Активы» внутри карточки инцидента предоставлена информация о связанных с ним активах, что может быть полезно при поиске дополнительных сведений в рамках расследования. Доступ к информации по активам позволяет выдавать более точные рекомендации по устранению последствий инцидентов. Например, если установлено, что причиной инцидента стало необновленное ПО, то можно запланировать обновление в рамках связанной задачи. Рисунок 15. Раздел с похожими инцидентами в BI.ZONE SOAR Кроме того, в карточке можно найти похожие инциденты, в которых сработали те же правила, были такие же индикаторы компрометации или затронуты те же активы. Механизм позволяет быстро получить доступ к аналогичным инцидентам и узнать, чем была вызвана схожая активность и как команда SOC обработала ее ранее.  Рисунок 16. Комментарии внутри карточки инцидента в BI.ZONE SOAR Команда может взаимодействовать в карточке с помощью комментариев. В крупных организациях почта служит основным инструментом коммуникации, поэтому BI.ZONE SOAR поддерживает возможность добавлять комментарии, отправленные по почте. Так, если получатель ответит на почтовое уведомление BI.ZONE SOAR, то его ответ автоматически преобразуется в комментарий и добавится к карточке инцидента. Для удобства комментарии, добавленные через веб-интерфейс или через почту, маркируются разными иконками.Система поддерживает внутренние и внешние комментарии. Внутренние комментарии доступны только для пользователей с правами доступа к веб-интерфейсу BI.ZONE SOAR. Внешние отображаются на клиентском портале BI.ZONE SOC Portal. В зависимости от типа комментарии подсвечиваются разными цветами: зеленым — внутренние, желтым — внешние. Рисунок 17. «Нелегитимные» комментарии внутри карточки инцидента выделяются красным цветом Иногда команде кибербезопасности нужно запросить подтверждение о выполнении каких-либо действий от пользователей, которые не имеют доступа к веб-интерфейсам BI.ZONE SOAR / BI.ZONE SOC Portal. В таком случае им может быть перенаправлено письмо о регистрации инцидента. Ответ такого пользователя будет преобразован в комментарий внутри карточки. Так как пользователи не имеют доступа, их ответы маркируются как «нелегитимные» и подсвечиваются красным цветом. Это сигнализирует команде кибербезопасности, что использовать предоставленную информацию следует с осторожностью.Почтовые уведомленияДля взаимодействия с большим количеством пользователей в BI.ZONE SOAR реализованы гибкие механизмы почтовых уведомлений. Платформа позволяет настроить автоматическую отправку писем при регистрации инцидента. Для кастомизации уведомления, которое будет отправлено пользователю на почту, используется Jinja-шаблон. Он позволяет обращаться к полям инцидента, алерта, информации об активе и другому контексту из карточки. Рисунок 18. Создание почтового уведомления с помощью шаблона Также администратор может указать, в каких случаях система должна уведомлять пользователей по почте. Например, можно настроить отправку уведомлений в случае создания инцидента, изменения его статуса, добавления комментария и т. д.История измененийПри ретроспективном анализе инцидента удобно использовать историю его изменений. Здесь пользователь SOAR может увидеть, какие изменения вносились в карточку инцидента, в какое время и каким пользователем. Рисунок 19. Раздел «История изменений» на вкладке «История» в BI.ZONE SOAR Рекомендации по безопасностиПродвигаясь по инфраструктуре крупной организации, злоумышленник обычно укрепляет свои позиции за счет ошибок конфигураций на конечных точках: они распространены во многих инфраструктурах и просты в эксплуатации. Рисунок 20. Рекомендации по безопасности в BI.ZONE SOAR Основное назначение функции «Рекомендации по безопасности» — просигнализировать команде SOC о выявленных недостатках конфигурации, которые могут использоваться атакующим для компрометации систем, горизонтального перемещения или повышения привилегий. Функция позволяет оценить текущий уровень защищенности инфраструктуры, приоритизировать проблемы и запланировать исправления. Для удобства несколько рекомендаций безопасности могут быть отнесены к одному инциденту, по аналогии с обработкой алертов. Также с инцидентом с несколькими рекомендациями безопасности могут быть связаны задачи по исправлению проблем на конкретных конечных точках, привязанных к определенным активам.В настоящий момент рекомендации формируются на основе телеметрии BI.ZONE EDR: данных с агента на конечной точке достаточно, чтобы сделать вывод о наличии ошибки конфигурации на конкретном хосте.ЗадачиЗадачи в BI.ZONE SOAR — это инструмент таск-менеджмента для контроля выполнения действий по локализации инцидентов, рекомендаций от команды кибербезопасности и других процессов, в том числе внутри команды.Базовая информация по задаче представлена в шапке карточки, а более подробная — на вкладках ниже. Вкладки собираются из набора доступных виджетов. В зависимости от потребности конкретной организации администратор SOAR может менять состав вкладок и принцип их заполнения. Поля карточки также кастомизируются: самые важные можно добавить в шапку, а другие сделать доступными из специального виджета. Рисунок 21. Задачи в BI.ZONE SOAR Клиентский портал BI.ZONE SOC Portal Платформу BI.ZONE SOAR может использовать не только команда SOC, но и другие подразделения внутри организации. Сторонние участники могут получать доступ к различным карточкам (инцидентов, алертов, задач) через клиентский портал системы автоматизации процесса обработки киберинцидентов BI.ZONE SOC Portal.BI.ZONE SOC Portal — это витрина и рабочее место для тех, кто не работает напрямую в SOC, но должен участвовать в реагировании, например команд системных администраторов, специалистов подрядчика, ответственных за отдельные активы в инфраструктуре и других. Для внешних пользователей BI.ZONE SOC Portal упрощает и систематизирует взаимодействие с командой кибербезопасности. Так, вместо множества писем, звонков и устных поручений сторонние участники получают оформленные карточки инцидентов, где могут добавить полезный контекст, задать уточняющие вопросы и зафиксировать текущий статус инцидента.Для команды кибербезопасности система удобна тем, что позволяет управлять внешней видимостью данных и тонко разграничивать доступ к карточкам по конкретной инфраструктуре, а также типу и статусу карточки. Кроме того, BI.ZONE SOC Portal разрешает скрывать конфиденциальные поля карточки, которые должны быть видимыми только для команды SOC.Ключевые достоинства BI.ZONE SOC Portal:Устраняет необходимость ручного копирования информации из других систем в SOAR. Это ускоряет цикл реагирования. Повышает прозрачность работы. Привлеченный пользователь видит контекст по инциденту, а также то, какие шаги уже выполнены или запланированы для его устранения.Снижает вероятность потери важной информации. Все решения, комментарии и вложения протоколируются. К сохраненным сведениям можно вернуться позднее для их оценки или восстановления хронологии.Позволяет оценить взаимодействие с другими подразделениями за счет контроля SLA. Это дает команде кибербезопасности возможность выявлять проблемные места в ходе расследования и регулярно улучшать процессы.Кроме того, BI.ZONE SOC Portal можно брендировать под дизайн-код конкретной организации: настроить логотип, цвет интерфейса и другие элементы.ИИ-ассистент BI.ZONE CubiВ 2025 году BI.ZONE внедрила в свои продукты ИИ-ассистент BI.ZONE Cubi на базе генеративного ИИ (GenAI). Он упрощает работу аналитиков SOC: объясняет командные строки и алерты, а также может сформировать краткую сводку по инциденту. BI.ZONE использует собственные большие языковые модели, которые построены на базе моделей с открытой лицензией и дообучены на решении задач в области кибербезопасности. GenAI-приложения для различных продуктов развернуты в облаке BI.ZONE. Это значит, что для взаимодействия с ИИ-ассистентом администратору BI.ZONE SOAR не придется выделять аппаратные ресурсы в виде дорогих графических плат (GPU) или передавать данные недоверенному провайдеру больших языковых моделей (LLM). Объяснение командных строкМногие алерты построены на основе специфических командных строк, которые крайне важно корректно интерпретировать. BI.ZONE Cubi подробно и за несколько секунд объясняет нужную информацию, чем существенно ускоряет работу аналитиков. Рисунок 22. Объяснение командной строки от BI.ZONE Cubi Объяснение алертаФункция полезна для самопроверки аналитиков SOC. С помощью подсказок ИИ-ассистента аналитик может перепроверить корректность собственных выводов. Также объяснение алерта может использоваться при обучении сотрудников с небольшим опытом работы в центре мониторинга, уменьшая необходимый порог входа в команду SOC.При объяснении алерта ИИ-ассистент также выполняет поиск совпадений по данным BI.ZONE Threat Intelligence, чтобы получить дополнительный контекст и выявить актора, атакующего инфраструктуру.Резюме для руководителей (executive summary) по инцидентуЧтобы сформировать краткое описание инцидента, ИИ-ассистент использует доступный контекст по инциденту, связанным алертам, затронутым активам и другим сущностям. Функция особенно полезна руководителям команд кибербезопасности, когда необходимо изучить несколько инцидентов и получить общее понимание о текущем статусе расследования. Генерацию резюме могут также использовать аналитики SOC, чтобы перепроверить свои выводы или добавить в описание важный контекст. Рисунок 23. Обобщение по инциденту от BI.ZONE Cubi Управление активами и модуль CMDBМодуль управления активами выполняет функцию встроенной CMDB-системы, которая автоматически накапливает данные об активах в инфраструктуре и связывает их с карточками. Это дает больше контекста для расследования инцидентов и упрощает инвентаризацию информационных систем. Модуль CMDB может работать с любыми источниками информации об активах, формат данных от которых приведен к формату, поддерживаемому CMDB. Рисунок 24–25. Работа модуля CMDB в BI.ZONE SOAR  Чтобы избежать многократной регистрации одних и тех же активов, CMDB применяет систему правил их идентификации. Правила работают на основе различных устойчивых идентификаторов (связки IP-адресов / FQDN / имен хостов, MAC-адрес, идентификатор EDR-агента, GUID объекта компьютерной учетной записи в Active Directory и т. д.). В результате CMDB обеспечивает аналитиков SOC актуальным списком активов и корректной привязкой алертов, инцидентов и рекомендаций по безопасности.Для автоматизированного наполнения активами встроенной CMDB в BI.ZONE SOAR предусмотрен механизм идентификации активов, включающий три этапа:На этапе формирования схемы данных определяется, какие поля в «сыром» событии соответствуют полям актива в CMDB.Правила фильтрации активов настраивают точный отбор событий для конкретного правила идентификации актива из всего потока информации.Правила идентификации активов описывают, на основе каких устойчивых идентификаторов модуль должен выполнить поиск по базе существующих активов, чтобы обновить информацию в активе или создать новый.В совокупности модуль предоставляет команде SOC систему, которая автоматически наполняется ключевыми данными об активах внутри инфраструктуры. При этом команда кибербезопасности по-прежнему может вручную редактировать состояние актива, добавлять информацию в нужные поля, детализировать описания, а также изменять критическую значимость актива. Последнее может влиять на приоритет создаваемого алерта: чем выше значимость актива, тем более приоритетным является зарегистрированный по нему алерт.Общие возможности BI.ZONE SOAR Помимо ключевых возможностей, описанных выше, есть и общие функции: индивидуализация карточек, сквозной вход, мультиарендность и прочее. Рассмотрим и их тоже.Кастомизация карточек инцидентовВозможности кастомизации в современной SOAR-системе — важное условие для многих SOC, потому что гибкость конфигураций позволяет быстро адаптировать платформу под реальные требования и потребности организации. В BI.ZONE SOAR реализованы возможности кастомизации как самой платформы, так и отдельных объектов внутри нее.Типы карточекBI.ZONE SOAR опирается на систему справочников. Они выполняют роль каталогов заданных значений и обеспечивают возможность их переиспользования. Справочники используются для добавления в систему категорий, подкатегорий, решений, приоритетов, типов карточек и других объектов. Рисунок 26. Добавление нового типа карточки в BI.ZONE SOAR При интеграции разных компонентов и подключении внешних систем используется одна и та же система справочных значений. Отдельные записи можно настроить так, чтобы они не были видимы на клиентском портале системы автоматизации процесса обработки киберинцидентов BI.ZONE SOC Portal.В BI.ZONE SOAR можно создавать пользовательские карточки на основе трех базовых типов:Alert. Предназначен для регистрации алертов от защитных решений. В зависимости от потребностей организации события из разных СЗИ могут регистрироваться внутри одного типа алертов или быть разделены на несколько специализированных (например, «EDR-алерт», «SIEM-алерт», «Сетевой алерт»). Incident. Служит контейнером инцидентов и аккумулирует один или несколько связанных алертов. Внутри фиксируются гипотезы и артефакты, связи с активами, задачи на устранение последствий, а также история действий и коммуникаций. Этот базовый тип также позволяет использовать интерфейс и инструменты для обработки алертов (агрегация, группировка, шаблонизация и т. п.).Issue. Универсальная сущность для карточек, которые могут использоваться для контроля выполнения операционных задач. Такие карточки могут связываться с инцидентами, алертами и активами, поддерживают назначение исполнителей и т. д.Возможность добавления кастомных типов карточек позволяет подстроить структуру данных и процессы под конкретные требования организации, сохранив при этом единые принципы учета и связей между сущностями.Рабочие процессы карточекУ каждого типа карточек есть свой рабочий процесс (workflow) — последовательность состояний, отражающих этапы выполнения. Воркфлоу может быть настроен в соответствии с потребностями организации и существующими бизнес-процессами. Рисунок 27. Рабочий процесс карточки базового типа «Incident» в BI.ZONE SOAR  Приоритет карточкиПриоритет инцидента и потенциальные риски зависят от контекста организации: методологии оценки, специфики отрасли, критической значимости сервисов и связанных информационных систем. Настройка позволяет задать собственную шкалу приоритетов.  Рисунок 28. Настройка приоритета карточки в BI.ZONE SOAR Категории Категории и подкатегории используются в BI.ZONE SOAR для классификации инцидентов и алертов по типу угрозы, объектам воздействия, вектору атаки и другим признакам. Это позволяет классифицировать инциденты, обрабатываемые SOC, и собирать статистику по типам инцидентов в организации. Платформа позволяет настраивать собственный справочник категорий либо использовать предустановленные категории (например, «Malware», «Фишинг», «DDoS», «Внутренний нарушитель»).РешенияНа платформе BI.ZONE SOAR решение — это итоговое состояние, которым была завершена обработка карточки. В зависимости от типа карточки (инцидент, алерт или базовая карточка) набор возможных решений может отличаться. Система предоставляет возможность настроить отдельные списки решений для разных типов, что повышает точность учета и удобство работы аналитиков.Кастомные поляДля каждого типа карточки можно добавить кастомные поля, чтобы фиксировать именно те сведения, которые действительно используются в работе, а также формировать полные и релевантные шаблоны. Кастомные поля помогают адаптировать систему под конкретные бизнес-процессы организации и дают возможность сохранять важные атрибуты (например, ответственное подразделение, категория персональных данных, клиентский идентификатор, номер внешнего тикета, регион, поставщик и т. д.). Рисунок 29. Добавление пользовательского поля в карточку Параметры внешней видимости настраиваются для каждого поля отдельно. Это позволяет отображать в BI.ZONE SOC Portal только определенные атрибуты карточки и сделать конфиденциальные поля доступными исключительно для команды SOC.Поддержка сквозного входа (SSO) Single Sign-On (SSO) поддерживается на платформе за счет протокола аутентификации пользователей OpenID Connect. Это означает, что пользователи могут входить в систему через единый корпоративный центр идентификации: им не нужно хранить отдельный пароль для еще одной системы, а администраторам безопасности контролировать актуальность локальных учетных записей в BI.ZONE SOAR. В качестве SSO-провайдеров могут использоваться как отечественные решения, например BI.ZONE ID, так и опенсорс (Keycloak, WSO2 и т. д.). Рисунок 30. Вход в BI.ZONE SOAR  Для администратора платформы настройка SSO в BI.ZONE SOAR сводится к конфигурированию OpenID-провайдера с необходимыми параметрами. После настройки пользователю достаточно иметь активную сессию корпоративного SSO. Если активная сессия не установлена, то при входе на платформу происходит перенаправление на сервер единого входа (OpenID Provider). Затем после успешной проверки SOAR получает токен, по которому разрешается вход пользователя с соответствующими правами.МультиарендностьМультиарендность в BI.ZONE SOAR — это разделение одной инсталляции на независимые логические объекты (тенанты), каждый из которых соответствует отдельной инфраструктуре или организации. Тенант выступает изолированным контейнером: карточки одного тенанта недоступны пользователям другого. Это особенно важно, когда одна инсталляция BI.ZONE SOAR используется для работы с несколькими инфраструктурами, а в каждой инфраструктуре есть своя команда кибербезопасности, которая не должна иметь доступ к соседнему тенанту. Это актуально в случаях, когда организация включает несколько дочерних обществ, в каждом из которых своя команда. Если одному или группе пользователей нужно иметь доступ сразу к нескольким инфраструктурам, им может быть предоставлен доступ к нескольким тенантам.Ролевое разграничение доступа Безопасность платформы строится на строгом разграничении прав доступа. BI.ZONE SOAR поддерживает ролевую модель, в которой каждая роль настраивается из набора доступных разрешений. В зависимости от задачи конкретному пользователю можно назначить набор разрешений напрямую либо предоставить роли, которые их содержат.Область действия ролей может ограничиваться конкретным тенантом или типами карточек.  Рисунок 31. Ролевое разграничение доступа в BI.ZONE SOAR Все изменения фиксируются в журналах аудита, что упрощает соответствие внутренним политикам и требованиям регуляторов, а также поддерживает принцип наименьших привилегий и разделение обязанностей. В результате ускоряется онбординг новых пользователей, а также упрощается процесс актуализации учетных записей при изменении в составе команд.ДашбордыДашборды решают задачу оперативной видимости для SOC: в одном месте отображаются входящий поток инцидентов, соблюдение SLA, распределение по критической значимости и категориям, а также другие ключевые показатели. Фильтры по инфраструктуре, источнику события, типу карточки и исполнителю помогают перейти от общей картины к анализу конкретной выборки или временного периода. Рисунок 32. Интерфейс дашборда в BI.ZONE SOAR Помимо оперативного использования, дашборды дают тактическое и стратегическое представление о работе процесса. Тренды по неделям и месяцам показывают, каких типов инцидентов становится больше, где появляются повторные сценарии и какие источники дают наибольший вклад в количество регистрируемых алертов. Распределения по сработавшим правилам, активам и техникам MITRE ATT&CK помогают выявлять узкие места в центре мониторинга.ОтчетыОтчетные документы нужны руководству, аудиторам, заказчикам и регуляторам. BI.ZONE SOAR позволяет формировать отчеты за выбранный период и устанавливать механизм их формирования: вручную или по расписанию. Если для отчета задается расписание, он периодически формируется и отправляется на почту. Для кастомизации отчетов поддерживаются возможности по добавлению пользовательского шаблона с брендированием и настройкой разделов. Рисунок 33–34. Формирование отчетных документов в BI.ZONE SOAR  Система документацииВстроенная система документации позволяет команде кибербезопасности хранить и поддерживать в актуальном состоянии:инструкции по расследованию инцидентов;методики снятия и сохранения артефактов для компьютерной криминалистики;регламенты эскалаций и коммуникаций при происшествиях;чек-листы для проверки защищенности хоста;шаблоны отчетности.Рисунок 35. Интерфейс системы документации в BI.ZONE SOAR База документов доступна на BI.ZONE SOC Portal, а потому позволяет внешним командам быстро находить нужные материалы и документы без обращений к команде кибербезопасности. Такой подход ускоряет координацию между подразделениями и уменьшает число ошибок при передаче знаний.КоннекторыВ современных SOC решения класса SOAR выступают операционным ядром: в них попадают данные из различных средств защиты и систем, а затем отсюда инициируются действия по расследованию и реагированию. Для BI.ZONE SOAR критически важно иметь возможности для подключения к внешним источникам данных. Для этого на платформе предусмотрено несколько способов, которые позволяют встроить BI.ZONE SOAR в уже работающий ИТ-ландшафт и развивать интеграции по мере роста потребностей центра мониторинга.На текущий момент система поддерживает следующие виды коннекторов:Коннекторы сбора алертов. Предназначены для приема алертов из внешних источников различных типов и их приведения к единой схеме. Такие коннекторы выполняют нормализацию и отправляют алерты на дальнейшую обработку в «Алерт-менеджер».Коннекторы для сбора данных об активах. Предназначены для сбора инвентаризационной информации об ИТ-активах внутри инфраструктуры. Коннекторы могут использовать в качестве источников данных Active Directory, решения класса EDR, антивирусное программное обеспечение и другие системы. Как и в случае алертов, собранные данные приводятся к единой схеме, после чего отправляются в CMDB.Коннекторы для активного реагирования. Предназначены для выполнения действий по реагированию во внешних системах из SOAR. Например, так могут вызываться изоляция хоста через EDR, блокировка IP-адреса / URL на сетевых средствах, отключение учетной записи в AD, блокировка ящика отправителя на почтовом шлюзе и т. д.Предусмотрено также взаимодействие в рамках сторонних интеграций.Сторонние интеграцииКаждая организация и ее внутренняя инфраструктура уникальны, поэтому бизнес-требования и рабочие сценарии часто выходят за рамки типового использования. Это вызывает кейсы взаимодействия с SOAR, которые изначально не предусмотрены вендорами, поэтому критически важна гибкая интегрируемость с ранее развернутыми системами. В таких случаях BI.ZONE SOAR может выступать не только системой управления инцидентами, но и быть источником данных. Это актуально в случаях, когда организация использует платформу бизнес-аналитики (BI) с настроенной витриной данных либо кастомные механизмы запуска автоматизаций. Рисунок 36–37. Пример витрины на основе данных, получаемых из BI.ZONE SOAR в SOC  Для таких интеграций предусмотрено три варианта взаимодействия:REST API. Набор конечных точек для выполнения различных действий, которые могут вызываться как через пользовательский интерфейс, так и внешние системы автоматизации.Чтение из базы данных продукта. Позволяет получать сведения напрямую из базы данных продукта посредством выполнения необходимых SQL-запросов и экспортировать их в другие решения — например, BI-платформу или корпоративное хранилище (DWH).Событийная шина. Дает возможность другим системам подписываться на происходящие системные события внутри событийной шины и выполнять действия при наступлении необходимых событий.Таковы основные возможности. Рассмотрим далее минимальные системные требования.Минимальные требования к аппаратным ресурсамВендор советует разворачивать отказоустойчивую инсталляцию на базе Kubernetes и придерживаться рекомендуемых аппаратных характеристик, поскольку для BI.ZONE SOAR критически важны стабильность и производительность всего контура. Система не должна работать медленно или нестабильно и тем более допускать простои: даже при выводе из строя одной ноды платформа должна сохранить доступность, так как выполняет критически важную роль для мониторинга защищенности организации. Также рекомендуется оставлять запас по объему аппаратных ресурсов для пиковых потоков алертов и работы фоновых задач, чтобы поддерживать целевые SLA и время отклика.  Таблица 1. Аппаратные требования BI.ZONE SOARТип узлаКоличествоЦП, vCoreОЗУ, ГБSSD, ГБk8s-master38850k8s-storage588550k8s-worker581650k8s-load-balancer22220 Типовые схемы внедрения BI.ZONE SOARПлатформа может использоваться в широком кругу организаций — от компаний, которые только строят свой внутренний (in-house) SOC, до холдингов с несколькими инфраструктурами и MSS-провайдеров. Гибкая архитектура BI.ZONE SOAR позволяет внедрять платформу в разных моделях в зависимости от текущих команд кибербезопасности. Ниже рассмотрены три основных схемы развертывания BI.ZONE SOAR.Базовая инсталляция для внутреннего SOCВ модели «in-house SOC» платформа BI.ZONE SOAR разворачивается внутри инфраструктуры заказчика и становится ядром центра мониторинга. В этой конфигурации, как правило, используется один тенант, поскольку нет потребности в мультитенантности: работает одна команда кибербезопасности, которая напрямую взаимодействует с ИТ- и бизнес-подразделениями. SOAR интегрируется с внутренними системами компании и объединяет их в единое окно для команды безопасности. Это позволяет внутреннему SOC оперативно получать информацию обо всех инцидентах из разных источников и управлять их жизненным циклом — от поступления алерта до закрытия инцидента. Рисунок 38. Схема базовой инсталляции по модели «in-house»  Мультитенантная инсталляция для крупных SOC и MSSPПлатформа поддерживает мультитенантную архитектуру, за счет чего одна инсталляция может сопровождать несколько защищаемых инфраструктур. Данные инцидентов, алертов, активов и отчетов одной инфраструктуры недоступны пользователям из другой, так как доступ разграничен на уровне тенанта. Подход применим в случаях, когда один центр мониторинга защищает несколько организаций одновременно и выстраивает централизованный процесс обработки инцидентов на базе единого решения, без развертывания множества локальных инсталляций.Этот сценарий внедрения полезен для крупных компаний со сложной организационно-штатной структурой, когда существует центральная служба кибербезопасности, отвечающая за организацию в целом, и при этом сформированы локальные команды кибербезопасности, отвечающие только за периметр отдельного филиала или дочерней организации. В BI.ZONE SOAR сценарий реализуется через гибкое разграничение прав: пользователи локальных команд видят и обрабатывают только свои тикеты и объекты, а центральная команда управляет кросс-тенантными настройками. Рисунок 39. Схема мультитенантной инсталляции BI.ZONE SOAR В сочетании с BI.ZONE SOC Portal поддержка мультитенантности делает платформу особенно актуальной для решения задач MSSP. BI.ZONE SOC Portal позволяет MSSP-провайдерам предоставить своим клиентам доступ к личному кабинету с видимостью статусов инцидентов, возможностями для обмена комментариями и другими функциями.Инсталляция с поддержкой интеграции BI.ZONE TDRЭта схема внедрения позволяет развернуть полноценную инсталляцию внутри инфраструктуры заказчика и в ней же получать информацию об инцидентах от SOC-команды BI.ZONE.  Рисунок 40. Схема инсталляции с поддержкой интеграции BI.ZONE TDR Инсталляция с поддержкой интеграции BI.ZONE TDR актуальна для клиентов сервиса, которым недостаточно личного кабинета клиента SOC и необходимо решение для самостоятельного управления жизненным циклом инцидентов. Предполагается, что в таком сценарии внедрения клиент сможет конфигурировать инсталляцию BI.ZONE SOAR под свои задачи, а также настроить интеграцию с облачным клиентским порталом сервиса BI.ZONE TDR.ВыводыНесмотря на то что BI.ZONE SOAR официально была выпущена на рынок в 2025 году, платформа зарекомендовала себя как зрелое решение со всеми необходимыми инструментами для выстраивания процессов и систематизации работы центров мониторинга. BI.ZONE SOAR — это комплексное решение для управления инцидентами, способное удовлетворить потребности современных SOC как с технической, так и с управленческой стороны. Внедрение платформы способствует повышению киберустойчивости организации, снижению рисков и обеспечению непрерывности бизнеса даже перед лицом постоянно усложняющихся кибератак.Решение активно развивается и пополняется новыми возможностями. Ключевое преимущество BI.ZONE SOAR в том, что платформа разработана на основе многолетнего опыта команды SOC в BI.ZONE и учитывает потребности аналитиков центра мониторинга. Поэтому BI.ZONE SOAR существенно сокращает нагрузку на команду SOC, повышает прозрачность процессов обработки алертов и инцидентов, а также помогает выстроить эффективное взаимодействие между командами. Все это повышает эффективность работы SOC.Экспертный опыт команды и опыт эксплуатации в SOC стали фундаментом BI.ZONE SOAR, которая прошла путь от внутреннего инструмента до масштабируемой, высоконагруженной платформы, соответствующей требованиям крупнейших организаций и MSSP. BI.ZONE SOAR также входит в реестр отечественного ПО, что подтверждает соответствие решения требованиям российского законодательства.Достоинства:Гибкая настройка под клиента — поддержка кастомных полей и типов карточек для адаптации процессов под конкретные задачи.Удобный интерфейс — динамическое отображение карточек с помощью системы виджетов.Единый коммуникационный портал — встроенная площадка для взаимодействия с защищаемыми организациями и внешними командами.Высокая надёжность — доступен отказоустойчивый вариант поставки.Собственный ИИ-ассистент — помогает аналитикам быстрее понимать инциденты и работать эффективнее.Передовая работа с алертами — регистрация, агрегация, группировка и приоритизация событий для снижения нагрузки на аналитиков.Недостатки:Ограниченные сценарии автоматизации — в текущей версии отсутствует поддержка сложных многоступенчатых процессов, доступна автоматизация только базовых действий.Недостаток готовой экспертизы в комплекте — продукт пока поставляется без обширного набора готовых плейбуков и методик, но развитие контента заявлено в дорожной карте.Ограниченный набор интеграций — сейчас реализованы коннекторы к наиболее популярным системам, при этом их количество последовательно расширяется.Реклама, 18+. ООО «БИЗон» ИНН 9701036178.ERID: 2Vfnxxb8BttЧитать далее
    • Ego Dekker
      ESET Cyber Security был обновлён до версии 9.0.5300.
    • AM_Bot
      BI.ZONE PAM 2.3 — система управления привилегированным доступом по модели «нулевого доверия» (Zero Trust). Защищает критические цифровые системы, при этом не создаёт помех для управления ИТ-инфраструктурой. Продукт BI.ZONE PAM включён в реестр отечественного ПО, сертифицирован ФСТЭК России.      ВведениеФункциональные возможности BI.ZONE PAM 2.32.1. Вход в веб-интерфейс2.2. Защищённое подключение2.3. Добавление объектов контроля2.3.1. Настройка политик доступа2.3.2. Подключение через RemoteApp2.4. Динамическое управление секретами2.5. Мониторинг сеансов2.6. Просмотр SSH- и RDP-сессий2.6.1. Работа с SCP- и SFTP-сессиями2.6.2. Фиксация дополнительных данных для SOC2.7. РеагированиеФункциональные особенности для удобства пользователей3.1. Самостоятельные изменения по согласованию3.2. Массовые действия на ресурсах3.3. Application-to-Application Password Manager3.4. Поддержка сценариев автоматизации через Ansible PlaybookАрхитектура BI.ZONE PAM 2.3 и интеграция в ИТ-среду4.1. Компоненты системы4.2. Непрерывность работы, отказоустойчивость и аварийный доступ4.3. Масштабирование4.4. Установка4.5. ИнтеграцииСистемные требования и лицензирование BI.ZONE PAM 2.3Кейсы применения BI.ZONE PAM6.1. Замещение иностранного решения в масштабной ИТ-инфраструктуре6.2. Защита от ошибок ИТ-специалистов и контроль подрядчиков6.3. Безопасность в производственной компании с соблюдением требований законодательстваВыводыВведениеПривилегированные пользователи (ПП) — это не только администраторы, но и все, кто имеет расширенные полномочия в операционных системах (ОС) и ключевых компонентах инфраструктуры: от специалистов по кибербезопасности и разработчиков до бизнес-пользователей и подрядчиков. Такие права позволяют обходить стандартные меры защиты, и при компрометации привилегированных пользователей последствия для компании могут быть критическими — вплоть до потери данных, разрушения инфраструктуры и доступа к финансам.Практика показывает, что компрометация учётных записей ПП продолжает оставаться одним из ключевых факторов успешных атак на российские организации. В процессе эксплуатации информационных систем организации сталкиваются с рядом типичных, но критически важных проблем.Многие компании продолжают использовать административные учётные записи, информация о которых давно забыта или потеряна. Их пароли часто оказываются слабыми, не меняются годами. Деятельность администраторов на целевых ресурсах остается непрозрачной, а объём предоставляемых прав существенно превышает реальные потребности и зачастую не отзывается, даже когда сотрудники уже не выполняют соответствующие функции.Перечисленные риски подтверждаются данными BI.ZONE Threat Intelligence: 42 % атакующих групп используют техники, связанные с учётными записями ПП, для проникновения в инфраструктуру, а 63 % — на этапе продвижения по сети компании. Показательно, что во всех случаях разрушения ИТ-инфраструктуры, которые расследовала команда BI.ZONE DFIR в 2025 году, для нанесения масштабного ущерба использовались возможности привилегированных учётных записей.  Рисунок 1. Популярность техник MITRE ATT&CK, связанных с учётными записями ПП Отдельное внимание организациям приходится уделять выполнению требований регуляторов: указа Президента России № 250, федеральных законов № 152-ФЗ и 187-ФЗ, стандартов PCI DSS, ГОСТ Р 57580 и других.С учётом выявленных проблем и роста числа атак мы в компании BI.ZONE приняли решение о создании собственной системы управления привилегированным доступом — BI.ZONE Privileged Access Management (BI.ZONE PAM).В продукте отсутствуют OEM-компоненты сторонних производителей, что исключает критическую зависимость от внешних поставщиков. Это позволяет контролировать жизненный цикл всех ключевых компонентов, оперативно устранять уязвимости и развивать функциональность без ограничений, связанных с обновлениями или поддержкой со стороны третьих лиц.Решение включено в реестр отечественного ПО (№ 16915 от 21.03.2023), сертифицировано ФСТЭК России (4-й уровень доверия, сертификат № 4844 от 19.09.2024).Функциональные возможности BI.ZONE PAM 2.3В рамках серии видео «Эволюция российских PAM» уже была распаковка платформы BI.ZONE PAM. Тогда были обозначены ключевые задачи, которые решает продукт:Управление привилегированным доступом. Доступ к ключевым системам получают исключительно нужные люди на конкретный срок.Управление секретами привилегированных учётных записей. Сотрудники и подрядчики не знают пароли от учётных записей с расширенными правами. Секреты регулярно меняются — по расписанию или после каждого подключения.Контроль активности привилегированных пользователей. Действия при работе с критическими системами фиксируются в формате видео и текстовых команд, а данные о событиях уходят в SIEM.Реагирование на атаки. Нелегитимную активность можно прекратить в ручном режиме или заблокировать автоматически по чёрному списку запрещенных команд.Рассмотрим BI.ZONE PAM 2.3 более детально.Продукт представляет собой централизованную платформу для управления привилегированным доступом, реализующую принципы «нулевого доверия». Ключевой механизм — разрыв цепочки аутентификации: сотрудники подключаются к компонентам PAM, а не напрямую к целевым системам. Таким образом, создаются два независимых плеча подключения:от пользователя к PAM — с использованием непривилегированной учётной записи;от PAM к целевому ресурсу — с применением выделенных данных для привилегированного доступа.Рисунок 2. Схема работы BI.ZONE PAM 2.3 BI.ZONE PAM 2.3 реализует принципы «нулевого доверия» на архитектурном и прикладном уровне. Пользователь не получает прямого доступа к целевым системам и не владеет учётными данными — все подключения происходят через управляемые каналы по строго заданным правилам. Доступ предоставляется только через заранее определённые аккаунты с ограниченными по контексту правами. Каждое обращение проходит проверку политик, а попытки обхода системы исключены технически. Таким образом, платформа не доверяет ни пользователю, ни его устройству, ни локальной сети и требует явной авторизации и контроля на каждом этапе.Платформа контролирует весь процесс: проверяет права, проводит аутентификацию, автоматически предоставляет доступ с необходимыми полномочиями только в рамках заранее заданных сценариев. Подключение к целевым системам осуществляется через контролируемую среду, что позволяет записывать действия пользователей, ограничивать команды, исключать несанкционированные операции.Модель «нулевого доверия» также подразумевает, что строгость контроля компенсируется удобством работы. Это требуется для того, чтобы меры безопасности не снижали эффективность и скорость выполнения бизнес-задач. Платформа BI.ZONE PAM учитывает этот аспект Zero Trust, поэтому предлагает упрощённый пользовательский путь, понятный интерфейс, поддержку сценариев автоматизации, быстрое развёртывание и интеграцию с инфраструктурой, а также механизмы для ускорения взаимодействия между командами ИТ и безопасности.Вход в веб-интерфейсНа странице аутентификации в веб-интерфейсе BI.ZONE PAM демонстрируются информационные сообщения и уведомления. Рисунок 3. Вход в интерфейс BI.ZONE PAM 2.3 Эта функциональность предназначена для оперативного информирования пользователей, как внутренних, так и внешних (например, подрядчиков), о событиях, влияющих на доступ к целевым системам. Администратор может разместить уведомление, поясняющее причины возможных сбоев в подключении. Например, проведение технических работ на стороне целевого ресурса, запуск обновлений или наложение ограничений другим оператором. Это снижает количество обращений, ошибочно направляемых в адрес PAM-системы, и позволяет пользователю самостоятельно интерпретировать причины отказа в подключении.Настройка уведомлений доступна во вкладке «Настройка» при выборе раздела «Уведомления». Рисунок 4. Настройка уведомлений в BI.ZONE PAM 2.3 После аутентификации через доменную учётную запись пользователь попадает в интерфейс решения. В зависимости от присвоенных ролей (преднастроенных или кастомных) отображаются соответствующие элементы управления. Рисунок 5. Интерфейс администратора Рисунок 6. Интерфейс пользователя Защищённое подключениеBI.ZONE PAM 2.3 поддерживает подключение к разным типам ресурсов, включая Secure Shell (SSH), Secure Copy Protocol (SCP), SSH File Transfer Protocol (SFTP), Remote Desktop Protocol (RDP), базы данных PostgreSQL, Oracle и другие. Кроме проксирования сессий SSH и RDP, есть возможность настройки подключений через публикацию приложений RemoteApp.Добавление объектов контроляСоздание нового ресурса возможно в разделе «Ресурсы». Рисунок 7. Заведение целевого ресурса в BI.ZONE PAM 2.3 Ресурс идентифицируется по типу подключения и по уникальному набору атрибутов: IP-адресу, порту, FQDN. Это исключает коллизии при доступе, особенно в случаях, когда на одном IP-адресе работают разные сервисы на различных портах.Посмотреть целевые системы, к которым пользователю настроен доступ, можно во вкладке «Мои подключения». Группировка подключений и возможность поиска по всему списку ускоряют работу с большим количеством систем. Рисунок 8. «Мои подключения» в BI.ZONE PAM 2.3 Подключение к ресурсу возможно только при наличии соответствующей учётной записи. Добавить учётные записи в PAM-систему администратор может вручную или за счет синхронизации пользователей и групп из LDAP-каталогов.Сущности «ресурс» и «учётная запись» объединяются в структуру под названием «аккаунт». Это базовая единица, с которой в дальнейшем производится управление доступом. Один аккаунт представляет собой связку между конкретной учётной записью и целевым ресурсом. Например, привилегированная учётная запись Administrator может быть связана с IP-адресом 10.8.198.216, который соответствует контроллеру домена. Рисунок 9. Учётная запись в аккаунте Рисунок 10. Ресурс, связанный с учётной записью Administrator Простой случай — это один аккаунт на один ресурс с одной учётной записью. Однако предусмотрен и другой подход: один аккаунт может включать одну учётную запись и несколько ресурсов. Рисунок 11. Добавление ресурсов для одной учётной записи Это позволяет централизованно управлять доступом, например, для административных задач в рамках проекта или службы.Настройка политик доступаПрава выдаются и отзываются через политики, настраиваемые во вкладке «Права и доступ». Рисунок 12. Вкладка «Права и доступ» в BI.ZONE PAM 2.3 В политике указывается, какие аккаунты доступны и кому — отдельным пользователям или группам. В случае использования групп права автоматически наследуются всеми участниками группы. Политики можно редактировать: отозвать доступ, удалив группу или конкретного пользователя из политики. Такой подход снижает вероятность ошибок со стороны администратора, поскольку отпадает необходимость вручную повторно связывать учётные записи с ресурсами при каждом изменении прав.Для каждой политики доступа можно задать используемый протокол подключения. Это выполняется во вкладке «Приложения». Здесь указывается, каким способом должен подключаться пользователь при доступе к определённому ресурсу. Например, RDP — для подключения к контроллерам домена Microsoft, SSH — для серверов под управлением Linux. Это позволяет системе однозначно интерпретировать, какой протокол и тип подключения применять к каждому аккаунту. Рисунок 13. Указание типа доступа в политике доступа Для снижения риска несанкционированного доступа мы рекомендуем настраивать политики доступа с многофакторной аутентификацией. Это может быть реализовано за счет встроенного механизма отправки временных кодов (TOTP) или интеграции с провайдерами многофакторной аутентификации. В качестве альтернативной или дополнительной меры система поддерживает подключение по номеру заявки (тикета). При интеграции с внешней ITSM-системой пользователь сначала создает тикет с запросом доступа к критическому ресурсу, получает согласование администратора и далее подключается к ресурсу с указанием номера тикета. Подключение через RemoteAppВ системе предусмотрена возможность использования различных типов приложений, реализованных в виде шаблонов (вкладка «Приложения»). Допустим, заказчик использует самописную систему, доступ к которой возможен только через специфичную версию браузера. В этом случае создается шаблон приложения, в котором явно указывается нужная версия Chrome и необходимые параметры запуска.Тип приложения указывается при создании шаблона — например, опубликованный браузер. В рамках шаблона могут быть описаны параметры запуска, включая конкретную версию приложения и файл конфигурации. В результате пользователь, подключаясь, открывает экземпляр браузера, настроенный по шаблону, и получает доступ к интерфейсу системы. Такой подход позволяет учитывать специфические требования заказчика. Рисунок 14. Создание приложения (типа доступа) До конца года мы планируем добавить поддержку публикации приложений через Linux‑терминальные фермы. Пользователи смогут обращаться к целевым ресурсам через эти опубликованные приложения, сохраняя централизованный контроль привилегий, аудит сеансов и безопасное управление доступом без необходимости подключаться к хостам напрямую.Динамическое управление секретамиПоддерживаются два метода аутентификации: по паролю или с использованием сертификата SSH. Все секреты, включая пароли и ключи, хранятся в хранилище секретов.Управление секретами организовано через специализированные движки, каждый из которых отвечает за хранение и выдачу определённого типа учётных данных. Например, движок по типу «ключ-значение» (key-value) — для локальных учётных записей, специализированный SSH-движок — для SSH-ключей, LDAP-движок для записей из соответствующего каталога и пр.Ротация и жизненный цикл секретов реализуются в рамках соответствующих движков: одни автоматически создают и отзывают временные учётные записи, другие позволяют версионировать и обновлять статичные значения. Логи и аудит записывают операции с секретами без раскрытия их содержимого, а API и инструменты автоматизации обеспечивают интеграцию с CI / CD и оркестраторами для централизованного управления и обновления секретов. Рисунок 15. Заведение привилегированной учётной записи в BI.ZONE PAM 2.3 Мониторинг сеансовВ интерфейсе BI.ZONE PAM 2.3 для всех сессий доступна информация о точке входа, маршруте, IP-адресе пользователя, времени начала, продолжительности сессии и другое. Рисунок 16. Вкладка «Сессии» в BI.ZONE PAM 2.3 Отображение сессий настраивается при помощи функции «Настройка отображения колонок» (в верхнем правом углу). Рисунок 17. Настройка отображения колонок в BI.ZONE PAM 2.3 Имеется возможность фильтрации информации — по дате, началу, окончании сессии, периоду активности пользователя. Рисунок 18. Фильтрация сессий по дате в BI.ZONE PAM 2.3 Также сохраняется видео- и текстовый журнал действий пользователей, который можно использовать для аудита и расследования.Просмотр SSH- и RDP-сессийПосле открытия интересующей сессии автоматически запускается модуль воспроизведения, где отображаются временная шкала и сгруппированные команды, вводимые пользователем. Команды группируются по факту выполнения.Например, при вводе команды touch она сохраняется в списке, и по клику система перемещает на соответствующий момент на таймлайне. При этом интерфейс не использует видеофиксацию — вся информация отображается в виде текста, который доступен для копирования и может использоваться для поиска, фильтрации и локализации инцидентов. Рисунок 19. Просмотр SSH-сессий в BI.ZONE PAM 2.3 Рисунок 20. Просмотр RDP-сессий в BI.ZONE PAM 2.3 Засечки на таймлайне указывают на активные действия пользователя. При наличии пауз в действиях предусмотрен режим пропуска неактивных участков — Skip idle, при включенной опции плеер автоматически перемещается между периодами активности, позволяя ускорить просмотр.В правой части экрана доступна панель метаданных, где отображаются:время начала и завершения сессии; логины пользователей;тип подключения (например, ssh-native);IP-адреса и внутренние идентификаторы;компонент подключения, использованный в конкретной сессии;привязанный тикет (если был указан при подключении).Эти данные предоставляют контекст, необходимый для анализа действий пользователя и взаимодействия с целевыми ресурсами.Работа с SCP- и SFTP-сессиямиПользователь может работать с файлами через SCP / SFTP в рамках отдельной сессии, параллельно SSH. В интерфейсе отображаются действия: загрузка, редактирование, удаление, переименование. Каждый файл фиксируется с указанием времени операции, направления передачи и изменения размера. Действия отображаются в специализированной вкладке интерфейса, где для каждого события формируется отдельная запись с подробными метаданными. Рисунок 21. Работа с файлами через SCP / SFTP в BI.ZONE PAM 2.3 Фиксация дополнительных данных для SOCЗафиксированные действия пользователей и администраторов могут быть направлены во внешние системы.По умолчанию поддерживается отправка данных через Kafka и другие каналы, включая форматы, согласуемые на этапе внедрения. Фиксируются не только успешные подключения, но и попытки доступа, включая ввод неверных учётных данных или обращения к портам подключения. Такая информация может быть использована для формирования инцидентов в SIEM-системах.РеагированиеЕсли возникает необходимость экстренного отключения пользователя (например, при выявлении компрометации), администратор может вручную отключить его через интерфейс PAM или заблокировать пользователя в стороннем каталоге. При этом политика доступа не изменяется, а пользователь просто утрачивает текущие сессии. Это позволяет оперативно реагировать на инциденты без риска нарушить общую конфигурацию доступа. Рисунок 22. Разрыв соединения через интерфейс BI.ZONE PAM 2.3 Во втором случае необходимо во вкладке «Пользователи» найти соответствующую учётную запись и воспользоваться функцией отключения. После этого пользователь теряет возможность устанавливать новые подключения к ресурсам, даже если права доступа по-прежнему присутствуют. Статус пользователя может быть синхронизирован со статусом его учётной записи из внешнего каталога пользователей. Рисунок 23. Отключение пользователя в BI.ZONE PAM 2.3 Помимо реагирования в ручном режиме, BI.ZONE PAM 2.3 предлагает также автоматическую блокировку нежелательной активности. Это реализовано через фильтрацию SSH-команд по чёрному списку. Рисунок 24. Фильтрация команд в BI.ZONE PAM 2.3 Список поддерживает регулярные выражения, доступен преднастроенный перечень. Когда пользователь вводит команду из списка, платформа может запретить действие, показать предупреждение или передать данные в SIEM. Мера повышает защиту от злоумышленников, в том числе внутренних. Ещё она позволяет ИТ‑отделам организовать плавное погружение для новых сотрудников. К примеру, можно запретить им ввод команд для перезагрузки критических систем.Функциональные особенности для удобства пользователейСреди возможностей BI.ZONE PAM 2.3 выделяются механизмы, которые способствуют балансу между безопасностью и удобством при контроле привилегированного доступа.Самостоятельные изменения по согласованию В версии 2.3 платформа BI.ZONE PAM стала поддерживать сценарий, при котором пользователи могут самостоятельно предлагать изменения, связанные с настройками системы. Администратор платформы одобряет или отклоняет такие изменения в разделе «Заявки». Механизм «второй руки» ускоряет работу, а двойной контроль исключает ошибки. Рисунок 25. Согласование заявок в BI.ZONE PAM 2.3 Массовые действия на ресурсах Во время операций над десятками серверов или баз данных ИТ-специалист может использовать варианты кеширования многофакторной аутентификации, чтобы подключаться к целевым ресурсам без повторного ввода пароля. Пользователь один раз проходит полную проверку, а затем получает возможность многократного доступа по SSH-сертификату или специальному ярлыку для RDP-подключений. Срок действия таких файлов определяет администратор платформы.Для получения SSH-сертификата необходимо во вкладке «Сертификаты» выбрать «Мои сертификаты» и нажать «Создать». Рисунок 26. Создание сертификата в BI.ZONE PAM 2.3 При этом понадобится указать название, используемый криптографический алгоритм, битовую длину ключа. Система задаст пароль для сертификата и отобразит его срок действия. Рисунок 27. Генерация сертификата Кнопка закрытия окна генерации станет доступной только после загрузки файла сертификата. Такой подход обеспечивает дополнительную гарантию, что секрет не будет утерян до его сохранения.Для RDP-сессий реализован дополнительный механизм в виде постоянных и одноразовых ярлыков подключения. Рисунок 28. Скачивание ярлыка подключения к ресурсам по протоколу RDP Постоянный ярлык можно сохранить на рабочем столе и использовать многократно, каждый раз вводя только пароль. Рисунок 29. Подключение по RDP к целевому ресурсу в BI.ZONE PAM 2.3 через ярлык Одноразовые ярлыки создаются в рамках активной сессии в веб-интерфейсе.Повторное использование одноразового ярлыка невозможно: при втором запуске система сообщает, что токен недействителен. Рисунок 30. Сообщение о том, что токен невалидный Передача ярлыка третьим лицам также исключена — токен привязан к конкретному пользователю и рассчитан на однократное использование. Это позволяет безопасно подключаться к ресурсам без повторного прохождения процедуры аутентификации, сохраняя при этом требования по контролю доступа.Application-to-Application Password ManagerСторонние приложения могут запрашивать секреты из модуля управления секретами BI.ZONE PAM по защищённому API и использовать их в работе. Это обеспечивает централизованное хранение секретов, ротацию паролей, контроль доступа по ролям и аудит вызовов API. При этом приложения получают только необходимые секреты на короткий срок, а в коде или конфигурации не хранятся данные, которые могут дать постороннему доступ к корпоративным сервисам.Поддержка сценариев автоматизации через Ansible PlaybookBI.ZONE PAM 2.3 поддерживает скрипты Ansible — популярный инструмент для выполнения типовых DevOps-операций (настройка, обновление, проверка конфигурации целевых систем и пр.).Это позволяет ускорять выполнение рутинных задач без выхода из PAM-сессии. Платформа сама обеспечивает аутентификацию скрипта в целевой системе, запуск скрипта осуществляется только в рамках прав доступа пользователя PAM, все действия контролируются политиками безопасности PAM, логируются и могут быть воспроизведены для аудита.Для запуска Ansible Playbook в рамках PAM-сессии пользователю достаточно указать в конфигурационном файле Ansible Inventory параметры подключения, предоставленные PAM (например, proxy, user, host, порт). Рисунок 31. Схема работы с Ansible Playbook Архитектура BI.ZONE PAM 2.3 и интеграция в ИТ-средуАрхитектура BI.ZONE PAM построена по микросервисному принципу с возможностью масштабирования и кластеризации компонентов, основанных на подходе container-native. Это обеспечивает отказоустойчивость и гибкость при развёртывании в инфраструктуре заказчика.Компоненты системыКомпоненты реализованы в виде контейнеров, поддерживается развёртывание в кластере OpenShift (или совместимом контейнерном окружении). Рисунок 32. Архитектура BI.ZONE PAM 2.3 Ключевые элементы архитектуры:Оркестратор предоставляет доступ к интерфейсу платформы, перечню целевых систем. Управляет конфигурацией решения, отслеживает состояние активных и завершённых сессий. Поддерживает REST-интерфейс (API) для интеграции со сторонними системами. Интерфейс един для пользователей и администраторов — доступная функциональность определяется ролевой моделью. Также в оркестратор встроен модуль аутентификации с поддержкой внешних каталогов (например, Microsoft Active Directory, FreeIPA) и внутренней реализацией многофакторной аутентификации по протоколу TOTP.Компонент управления отвечает за контроль и координацию активных сессий, получает секреты из модуля управления секретами, контролирует взаимодействие с компонентом подключений, обеспечивает запись и чтение данных сессий.Компонент подключений реализует проксирование пользовательских сессий по различным протоколам. В версии 2.3 это RDP (включая RemoteApp через терминальные приложения Microsoft) и SSH, SCP и SFTP. Все действия пользователей фиксируются как в текстовом виде, так и в формате видеозаписей, что позволяет обеспечить полный аудит активности.Кластер баз данных хранит конфигурационные данные платформы и настройки прав доступа и разрешений на подключение к целевым ресурсам.Модуль управления секретами отвечает за хранение и ротацию учётных данных привилегированных пользователей.Непрерывность работы, отказоустойчивость и аварийный доступЗа счёт микросервисной архитектуры BI.ZONE PAM сохраняет работоспособность при обслуживании и изменении настроек: отдельные компоненты можно обновлять, настраивать или перезапускать без остановки всей системы. Это же помогает сохранять работоспособность системы даже при сбое её отдельных компонентов.Для дополнительных гарантий непрерывности бизнес-процессов платформа поддерживает различные схемы высокой доступности, включая резервирование Active-Active, Active-Passive и N+1, в зависимости от требований конкретной организации. При выходе из строя одного из компонентов резервный узел активируется мгновенно.Для распределённых инсталляций с несколькими компонентами подключения в интерфейсе предусмотрена настройка балансировки. В таких сценариях балансировщик принимает входящие подключения от пользователей и распределяет их между доступными нодами, обеспечивая отказоустойчивость и равномерную загрузку системы. Добавление балансировщиков производится через «Права и доступ» при выборе одноименного раздела. Рисунок 33. Раздел «Балансировщик» во вкладке «Права и доступ» Аварийные сценарии включают механизм резервного доступа. Он реализован по аналогии с концепцией «золотого тикета» (Golden Ticket). В рамках политики доступа можно предусмотреть учётную запись, к которой предоставляется доступ даже в случае недоступности основной инфраструктуры PAM. Такая запись создаётся заранее, она может быть использована, например, в случае отказа контроллера домена или самого PAM-сервера. Рисунок 34. Вкладка «Резервный доступ» в BI.ZONE PAM 2.3 При попытке подключения система сначала проверяет наличие тикета в собственном списке резервного доступа. Если тикет найден, доступ предоставляется. Если нет — инициируется обращение во внешнюю тикетницу. Такой подход позволяет обеспечить непрерывность доступа даже при сбоях во внешних системах или в рамках плановых работ.МасштабированиеМикросервисная архитектура BI.ZONE PAM позволяет создать инсталляцию, охватывающую всю информационную инфраструктуру организации и готовую к высокой нагрузке. Например, одна из подтверждённых инсталляций BI.ZONE PAM охватывает сотни тысяч серверов и десятки тысяч одновременных сессий.Как следствие:Возможности горизонтального масштабирования зависят от доступных вычислительных ресурсов заказчика, а не от ограничений самого программного обеспечения.Горизонтальное масштабирование не требует приобретения дополнительных лицензий.Чтобы расширить вычислительные ресурсы для поддержки большего количества подключений и распределения нагрузки, достаточно добавить в систему дополнительный компонент подключений. Управление всеми компонентами, в том числе геораспределёнными, доступно в едином веб-интерфейсе.Установка Система BI.ZONE PAM может быть установлена в инфраструктуре заказчика на виртуальной машине, выделенном физическом сервере или в контейнерной среде. Готовые скрипты развёртывания позволяют подготовить платформу к добавлению систем и учётных записей за десятки минут. За счёт микросервисной архитектуры возможна доработка скриптов инсталляции под конкретную инфраструктуру, от схем all-in-one (инсталляция на одной виртуальной машине) до отказоустойчивых инсталляций с георезервированием.Интеграции«Из коробки» поддерживаются интеграции: с источниками учётных записей AD, FreeIPA, Avanpost DS, ALD Pro, РЕД АДМ, «Атом.ДОМЕН», «Альт Домен», Dynamic Directory, «Эллес» (также система располагает внутренним каталогом пользователей); провайдерами двухфакторной аутентификации в дополнение к встроенной 2FA — по протоколам OpenID Connect, OAuth 2.0, SAML; SIEM-системами; ITSM-системами (тикетницами).Дополнительные интеграции можно реализовать через REST API: в разработке команда BI.ZONE PAM придерживается подхода API-first.Системные требования и лицензирование BI.ZONE PAM 2.3Решение совместимо с корпоративной ИТ-инфраструктурой на базе операционных систем семейств Windows NT и Linux / Unix, в том числе основных российских Linux‑дистрибутивов.Для определения необходимого количества компонентов Worker рекомендуется учитывать, что один Worker SSH рассчитан на обслуживание до 250 одновременных сессий. Worker RDP чувствителен к количеству ЦП, стабильно держит 6 сессий на 1 ЦП. Таблица 1. Минимальные требования к аппаратному обеспечениюКомпонентBI.ZONE PAM docker composeRAM (ГБ)16CPU (ядер)8SYS SSD600ОСUbuntu 22.04ПримечаниеВиртуальная машина Лицензирование производится по количеству одновременных активных сессий привилегированных пользователей, подключающихся к целевым системам, и числу привилегированных пользователей.Кейсы применения BI.ZONE PAMВнедрение BI.ZONE PAM выполняется поэтапно и начинается с определения целей проекта. На этом этапе устанавливаются объём и границы предстоящих работ, а также фиксируются критерии, по которым будет оцениваться успешность внедрения. После согласования целевых параметров и ожиданий заказчика осуществляется развёртывание и настройка системы: устанавливаются необходимые компоненты, добавляются и конфигурируются привилегированные учётные записи, настраиваются политики и параметры доступа в соответствии с архитектурой инфраструктуры.Следующий этап — функциональное тестирование. Команда BI.ZONE проверяет соответствие реализованной конфигурации поставленным задачам, корректность работы механизмов аутентификации, мониторинга и управления доступом.После подтверждения работоспособности и завершения основных настроек осуществляется закрытие проекта. На этом этапе готовится отчётная документация, итоговый протокол.Рассмотрим кейсы внедрения BI.ZONE PAM в организациях различного масштаба и отраслевой принадлежности.Замещение иностранного решения в масштабной ИТ-инфраструктуреВ «Сбере» внедрение BI.ZONE PAM преследовало цель заменить зарубежное решение для управления привилегированным доступом на отечественное, сохранив привычные возможности продукта и высокий уровень безопасности. Проект потребовал учесть три ключевых фактора:масштаб инфраструктуры; невозможность остановки работы даже на непродолжительное время;сроки, т. к. миграция инфраструктуры такого масштаба занимает несколько лет, а на проект отводилось только 1,5 года.Переход осуществлялся поэтапно. Каждая новая функция проходила предварительную валидацию в тестовом контуре, после чего внедрялась в промышленную среду для ограниченной фокус-группы из 3–5 человек. На следующем этапе происходило масштабирование на группу около 100 пользователей, а затем — на всю целевую аудиторию, охваченную BI.ZONE PAM. Такой подход позволил избежать простоев и исключить сценарии, при которых привилегированный доступ временно оставался бы вне контроля PAM-системы.Внедрение BI.ZONE PAM не только сохранило привычную функциональность, но и улучшило пользовательский опыт сотрудников «Сбера». Один из примеров — оптимизация массовых подключений: DevOps-, SRE-инженерам и администраторам стало требоваться меньше действий для одновременного подключения к большому числу систем. С деталями кейса можно ознакомиться по ссылке.Защита от ошибок ИТ-специалистов и контроль подрядчиковДля организации среднего бизнеса из сферы ИТ и телекоммуникаций основной задачей внедрения PAM-системы было обезопасить инфраструктуру от нежелательных изменений в критически важных сервисах. Подразумевался не только умышленный вред, но и случайные действия: в силу специфики компании почти половина её сотрудников работает с ключевыми для бизнеса системами, и это повышает вероятность ошибки. Из-за этой же специфики требовалось, чтобы меры контроля не ломали привычный пользовательский опыт для разработчиков и DevOps-инженеров, обеспечив им бесшовный доступ к серверам и другим защищаемым системам.Команда BI.ZONE PAM помогла скорректировать процессы управления доступом в соответствии с моделью Zero Trust, оптимизируя контроль внешних подключений со стороны подрядчиков. Благодаря поддержке беспарольной аутентификации, изменений по согласованию (механизм «второй руки») и Ansible-скриптов удалось минимизировать воздействие защитных мер на удобство выполнения рутинных задач ИТ-команды.Безопасность в производственной компании с соблюдением требований законодательстваПромышленная организация искала PAM-решение для защиты геораспределённых площадок. Требования по контролю привилегированного доступа учитывали внимание регуляторов (152-ФЗ, приказы ФСТЭК России № 21, № 31, № 239 и т. д.).BI.ZONE PAM отвечает этим запросам. За счёт микросервисной архитектуры можно развернуть систему в нескольких филиалах по финансово выгодной схеме — в рамках единой лицензии. Решение сертифицировано ФСТЭК России по 4-му уровню доверия и помогает выполнять требования законодательства, усиливая необходимые меры защиты.ВыводыBI.ZONE PAM решает ключевые задачи в области управления привилегированным доступом и защиты критических ресурсов. Для повышения безопасности реализовано динамическое управление секретами: пароли и сертификаты автоматически обновляются при каждом подключении. Действия администраторов и подрядчиков фиксируются в процессе работы с критической информацией, что позволяет контролировать выполнение операций и повышать прозрачность.События кибербезопасности передаются в системы централизованного мониторинга, обеспечивая оперативное реагирование со стороны центра мониторинга и реагирования на инциденты.Достоинства:Поддержка разных протоколов подключения — SSH, SCP / SFTP, RDP, PostgreSQL, Oracle и другие.Предоставление доступа к критическим данным только определённым сотрудникам на нужный срок.Совместимость с корпоративной ИТ-инфраструктурой на базе операционных систем семейств Windows NT и Linux / Unix, в т. ч. основных российских Linux‑дистрибутивов.Встроенная поддержка двухфакторной аутентификации по протоколу TOTP.Внутренний каталог для внесения в PAM-систему локальных учётных записей пользователей.Удобный просмотр записанных текстовых и графических сессий и быстрое перемещение по событиям внутри записанной сессии.Сервисы самостоятельных изменений по согласованию.Поддержка сценариев автоматизации и DevOps (container-native, скрипты Ansible, подход API-first и пр.).Горизонтальное масштабирование без необходимости приобретения дополнительных лицензий.Отказоустойчивость и готовность к высокой нагрузке за счёт микросервисной архитектуры.Простая установка с готовыми скриптами развёртывания и помощью опытной команды техподдержки.Поддержка непрерывной работы системы при проведении технического обслуживания и изменении конфигурации.Отсутствие зависимости от OEM-компонентов сторонних производителей при развитии продукта.Присутствие в реестре отечественного ПО, наличие сертификата ФСТЭК России.Недостатки:Для использования режима RemoteApp требуется наличие терминальной инфраструктуры Microsoft.Не реализована функция формирования отчётов по действиям пользователей и сессиям.Отсутствие функциональности управления привилегированным доступом к Kubernetes через PAM.Реклама, 18+. ООО «БИЗон» ИНН 9701036178ERID: 2VfnxwHjuzxЧитать далее
    • demkd
      ---------------------------------------------------------
       5.0.2
      ---------------------------------------------------------
       o Обновлен формат образа автозапуска до v5.
       
       o Утилита cmpimg обновлена до версии 1.05 для поддержки нового формата образов автозапуска.
         
       o Утилита uvs_snd обновлена до версии 1.06 для поддержки нового формата образов автозапуска.

       o В окне монитора активности процессов теперь отображается:
          o Точная информация о занятой процессом памяти и загрузке GPU для актуальных версий Win10/11. 
            (старые версии uVS и стандартный диспетчер задач Windows в некоторых случаях отображают очень далекие от реальности цифры).
          o Занятая процессом видеопамять (VRAM).
            (!) Для получения данных uVS не использует счетчик производительности, поэтому значение может немного отличаться от того что показывает Диспетчер задач.
            (!) Доступно только для дискретных видеокарт.
          o Суммарная загрузка процессами RAM/VRAM(сумма НЕ равна всей занятой физической памяти, учитывается только то что занято процессами)/cpu/gpu
            при выбранной сортировке по соответствующему столбцу с данными.

       o Исправлена критическая ошибка в работе серверной части uVS при установленном флаге bReUseRemote.
         При отключении клиента могло произойти аварийное завершение серверной части uVS из-за сбоя синхронизации потоков, что в свою очередь могло
         привести к подвисанию процесса клиентской части uVS на несколько минут.

       o Предупреждение о внедренном потоке в процесс с измененным кодом перенесено из информации базового файла в информацию
         о фейковом процессе с соответствующим pid.

       o В функцию очистки диска от временных файлов добавлен каталог C:\Windows\SystemTemp

       
×