MaxPatrol SIEM помог Solar JSOC выявить десять целевых атак (APT)

Олег Иванов 13 Мая 2020 - 12:21

Корпорации

Positive Technologies

...

Специалисты компании «Ростелеком-Солар», отвечающие за работу центра мониторинга и реагирования на киберинциденты Solar JSOC, оценили использование системы MaxPatrol SIEM, разрабатываемой экспертами Positive Technologies. Уже более двух лет MaxPatrol SIEM помогает выявлять опасные кибератаки APT-группировок.

В частности, как отметили представители «Ростелеком-Солар», с помощью решения от Positive Technologies удалось обнаружить десять целевых кибератак, а также несколько сотен рассылок вредоносных программ, целью которых были госкорпорации и КИИ.

MaxPatrol SIEM обеспечивает Solar JSOC непрерывным потоком обрабатываемых событий, который на сегодняшний день составляет более 150 тыс. в секунду.

В «Ростелеком-Солар» подчеркнули, что центр мониторинга и реагирования на киберинциденты задействует MaxPatrol SIEM с конца 2017 года. В числе заказчиков, использующих это решение, есть более 30 крупных госорганизаций и ведомств, а также ряд промышленных компаний.

Помимо этого, эксперты Solar JSOC сообщили, что MaxPatrol SIEM в ходе внедрения прошёл тестирование на высоконагруженных системах. Более того, благодаря специальной адаптации к процессам SOC специалисты смогли создавать собственные способы выявления киберугроз.

За время работы с MaxPatrol SIEM эксперты «Ростелеком-Солар» смогли написать более 300 правил выявления атак. Дополнительно подчёркивается, что решение Positive Technologies интегрировали с тремя IRP.

Что касается самих атак, Максим Филиппов из Positive Technologies отметил следующие тенденции:

«68% APT-атак группировки направляют на государственные учреждения, 59% — на промышленные компании и 41% — на ТЭК».

Следующая главная новость »

Контейнеризация 2026: чем российские решения отличаются на практике? Регистрируйтесь на эфир!

Екатерина Быстрова 18 Февраля 2026 - 12:20

Атаки на сайты DDoS-атаки Общее Selectel

DDoS-2025: +25% атак, рекорд 569 Гбит/с и 7 172 атаки в месяц

В 2025 году DDoS-атаки на российский бизнес стали чаще, мощнее и заметно продолжительнее. Об этом говорится в аналитическом отчёте Selectel, подготовленном на основе данных собственного сервиса защиты. За год компания отразила 140 628 атак — это на 25% больше, чем в 2024-м.

В среднем ежемесячно фиксировалось около 11,7 тыс. инцидентов, а самый «горячий» месяц пришёлся на январь — тогда число атак превысило 14,6 тыс.

В декабре был зафиксирован и антирекорд по числу атак на одного клиента — 7 172 за месяц, что на 73% больше прошлогоднего максимума.

Растёт не только количество, но и «вес» атак. Максимальный объём одной из них достиг 569 Гбит/с — плюс 38% год к году. Пиковая скорость составила 193 млн пакетов в секунду, что на 16% выше показателя 2024 года. Объёмные атаки традиционно нацелены на переполнение каналов связи, а высокоскоростные — на истощение вычислительных ресурсов.

Атаки стали и дольше. Общее время, в течение которого клиенты находились под воздействием DDoS, составило 22 743 часа — на 67% больше, чем годом ранее. Максимальная суммарная длительность атак на одного клиента достигла 863 часов — почти 36 календарных дней. Самый продолжительный одиночный инцидент длился 353 часа, то есть около 15 дней без перерыва.

По словам руководителя направления продуктовой безопасности Selectel Антона Ведерникова, в 2025 году усилился тренд на так называемые «зондирующие» и «ковровые» атаки — относительно слабые, но частые. Их цель — разведка и поиск уязвимых мест в инфраструктуре. После этого по найденным целям могут наноситься уже точечные и более мощные удары. По сути, DDoS окончательно перестали быть разовой проблемой и превратились в постоянный операционный риск.

Интересно, что разнообразие типов атак сократилось. Почти 87% всех инцидентов пришлось всего на два типа — TCP SYN Flood и TCP PSH/ACK Flood. При этом к концу года доля SYN Flood достигла 65%. А вот UDP Flood, ранее довольно распространённые, практически сошли на нет.

SYN Flood работает за счёт массовой отправки запросов на установление соединения, из-за чего сервер накапливает «полуоткрытые» сессии и перестаёт справляться с легитимным трафиком. В случае PSH/ACK Flood система перегружается потоком поддельных TCP-пакетов, на обработку которых тратятся ресурсы.

Данные отчёта основаны на анализе трафика в дата-центрах Selectel. Защита работает на сетевом и транспортном уровнях (L3 и L4), а фильтрация трафика, по оценке компании, позволяет выявлять и отсекать подавляющее большинство нелегитимных запросов.

Контейнеризация 2026: чем российские решения отличаются на практике? Регистрируйтесь на эфир!