MaxPatrol SIEM выявляет признаки компрометации сетевых устройств

MaxPatrol SIEM выявляет признаки компрометации сетевых устройств

MaxPatrol SIEM выявляет признаки компрометации сетевых устройств

В систему выявления инцидентов MaxPatrol SIEM загружен новый пакет экспертизы. Он включает в себя правила обнаружения признаков компрометации межсетевых экранов, маршрутизаторов и коммутаторов. Скомпрометировав такие сетевые устройства, злоумышленники могут быстро развить атаку внутри сети и добраться до своих целей.

Установив пакет экспертизы, пользователи MaxPatrol SIEM смогут выявлять индикаторы компрометации межсетевых экранов Cisco ASA и Check Point с операционной системой GAiA, маршрутизаторов и коммутаторов MikroTik и Cisco с операционной системой IOS. Новые правила позволят оперативно локализовать атаку до того, как злоумышленники изменят политики доступа в сети и получат доступ в закрытые сегменты.

Добавленный пакет экспертизы MaxPatrol SIEM включил десять индикаторов компрометации, в том числе:

  • попытки подключения или успешное подключение к серверу управления Check Point GAiA с помощью утилиты SmartConsole с недоверенного сетевого узла (не входит в список тех, с которых разрешено администрирование устройства);
  • изменение параметров логирования на устройстве Cisco ASA, при которых в случае неудачной аутентификации логины пользователей сохраняются в журнале в открытом виде — это позволит злоумышленникам перехватить учетные данные, включая пароли, если пользователь по ошибке введет пароль в поле логина;
  • попытка подключения к устройству MikroTik c недоверенного узла с помощью утилиты для администрирования Winbox.

Для выявления некоторых признаков компрометации в сетевых устройствах пользователям пригодится система анализа трафика PT Network Attack Discovery (PT NAD). PT NAD разбирает содержание сетевых пакетов, передающихся в трафике. Вместе продукты дают более полную картину IT-инфраструктуры и позволяют точнее выявлять инциденты:

  • изменение конфигурационного файла на устройствах Cisco IOS с недоверенного сетевого узла;
  • передачу ICMP-пакета большого размера, что может использоваться злоумышленниками для передачи данных, в том числе полезной нагрузки;
  • попытки эксплуатации критически опасной уязвимости CVE-2018-0171 в технологии Cisco Smart Install, которая позволяет автоматизировать процесс первоначальной загрузки образа операционной системы некоторых коммутаторов Cisco Systems. Воспользовавшись этой уязвимостью, злоумышленник сможет без аутентификации перезагрузить сетевое оборудование, вызвать временный отказ в обслуживании или выполнить произвольный код.

После аварии на спутнике доступ к ТВ восстановили не везде

Работы по восстановлению доступа к спутниковому телевидению в регионах, пострадавших из-за аварии на спутнике «Экспресс-АТ1», пока не завершены. При этом уже достигнут существенный прогресс: в частности, досрочно выведен на орбиту аппарат АБС 2А, запуск которого изначально планировался только на III квартал.

О ходе ликвидации последствий аварии, оставившей без телевидения около 5 млн абонентов, рассказали на пресс-конференции директор департамента спутникового вещания «Триколор» Максим Ловушкин, министр цифрового развития и связи Алтайского края Евгений Зрюмов и министр цифрового развития и связи Кемеровской области Максим Садиков.

Как отметили участники мероприятия, этот инцидент стал самым масштабным за всю историю отрасли. Ранее аварий, приводивших к полному выходу спутников из строя, не фиксировалось. По словам Максима Ловушкина, обычно выходила из строя лишь часть систем либо удавалось восстановить их работоспособность. Однако к подобным ситуациям необходимо быть готовыми, поскольку космос — крайне агрессивная среда, и даже 100% резервирование, предусмотренное стандартами проектирования космической техники, не всегда гарантирует защиту.

Представитель «Триколора» сообщил о текущих мерах по восстановлению доступа к цифровому телевидению. Там, где это возможно, абонентов переключили на спутник «Экспресс-АМ1». Кроме того, удалось договориться о досрочном выводе на орбиту аппарата АБС 2А, который, по словам Ловушкина, является наиболее перспективным для сибирских регионов. Параллельно было организовано вещание через интернет, в том числе в мобильном приложении «Триколора».

Сильнее всего пострадали сибирские регионы. Это связано с тем, что в ряде территорий единственным способом приёма телевизионного сигнала остаётся спутниковая связь. Как отметил Евгений Зрюмов, в Алтайском крае в такую зону входят 258 населённых пунктов, где без телевидения остались около 200 тыс. человек. В целом после аварии 4 марта без доступа к спутниковому телевидению остаются около 4,5 млн абонентов.

В Кемеровской области, по словам Максима Садикова, наиболее серьёзно пострадали пригороды шахтёрских городов на юге региона. Там преобладает частный сектор, а из-за сложного горного рельефа альтернативные способы доставки телевизионного сигнала либо затруднены, либо невозможны.

Региональные министры также высказали ряд претензий к операторам. В первую очередь речь шла о несвоевременном информировании пользователей о ходе восстановительных работ. Кроме того, на фоне ситуации появились желающие заработать на проблемах жителей: за переориентацию антенн или перепрошивку оборудования, необходимых для перехода на АБС 2А, с абонентов взимали плату.

Максим Ловушкин подчеркнул, что сотрудники оператора выполняют такие работы бесплатно, однако их ресурсов недостаточно, и пока удалось обработать менее половины заявок. В связи с этим компания подготовила инструкции для самостоятельной настройки оборудования, а региональные власти пообещали помочь с их распространением.

Также представитель «Триколора» сообщил, что в ряде случаев для подключения к АБС 2А потребуется замена абонентского оборудования. Эти расходы оператор берёт на себя. Кроме того, будет проведён перерасчёт: период отсутствия сигнала добавят к сроку действия подписок.

RSS: Новости на портале Anti-Malware.ru