В R-Vision SIEM обновили правила: аналитикам добавили контекст

В R-Vision SIEM обновили правила: аналитикам добавили контекст

В R-Vision SIEM обновили правила: аналитикам добавили контекст

R-Vision сообщила о крупном обновлении экспертного контента для R-Vision SIEM. Главная идея изменений — сделать срабатывания не просто заметными, а более понятными для аналитиков SOC: правила корреляции теперь сопровождаются расширенным контекстом, описаниями на естественном языке и рекомендациями по реагированию.

Одна из ключевых технических основ обновления — переход на Универсальную модель событий 2.0. Начиная с версии 2.4, система использует новый стандарт описания событий, построенный на субъектно-объектном подходе.

За это время команда выпустила 10 релизов экспертных пакетов под новую модель — с обновлёнными правилами нормализации и корреляции, а также с более читаемым и полезным контекстом для расследований.

По данным компании, обновлённые правила нормализации позволяют ускорить обработку событий до 45% по сравнению с правилами для предыдущей версии модели. Кроме того, в событиях появились поля категоризации, которые помогают привести данные из разных систем к общей семантике. Проще говоря, это должно сократить время на ручную расшифровку событий и упростить расследование.

Заметно изменились и сами правила корреляции. Теперь они содержат не только логику детектирования, но и дополнительные поля: список нужных источников данных, ссылки на аналитические материалы, привязку к техникам и тактикам MITRE ATT&CK, таксономию инцидента с категорией и типом, а также пошаговые рекомендации по реагированию. То есть правило всё меньше похоже на «чёрный ящик» и всё больше — на уже подготовленную карточку для разбора инцидента.

Отдельно отмечается, что корреляционные события теперь дополняются описанием на естественном языке: кто, когда, где и что сделал. Для аналитика это выглядит удобнее, чем разбор сухого набора полей, особенно если речь идёт о быстром первичном анализе подозрительной активности.

Ещё одна важная часть обновления — unit-тесты для правил корреляции. Каждое правило сопровождается примерами эталонных событий, чтобы было проще понять, как именно работает детектирование и как проверить корректность настройки в инфраструктуре заказчика.

По данным R-Vision, за последние два года команда выпустила более 50 релизов экспертизы, а новые и доработанные правила выходят раз в две недели. Такой ритм позволяет быстрее добавлять поддержку новых источников и сценариев мониторинга, без долгих пауз между обновлениями.

Сейчас правила нормализации, как сообщается, покрывают более 250 источников — от операционных систем и защитных решений до инфраструктурных сервисов и бизнес-приложений. Количество правил корреляции в R-Vision SIEM превышает 850.

Компания также отдельно подчёркивает покрытие матрицы MITRE ATT&CK v17.1: по её оценке, актуальные пакеты экспертизы закрывают более 65% матрицы за счёт маппинга правил корреляции на техники и тактики атакующих. Для заказчиков это, по сути, способ понять, где мониторинг уже выстроен неплохо, а где остаются пробелы.

Помимо самих правил, в состав экспертизы входят и вспомогательные материалы: таблицы обогащения, активные списки, витрины данных и конвейеры нормализации в виде импортируемых объектов. Часть этих материалов, включая некоторые конвейеры, доступна публично. Также открыт справочный портал по настройке источников событий и публикуются аналитические материалы, которые готовятся в процессе разработки правил.

Telegram мог бы стать неуязвимым для блокировок даже без интернета

Telegram теоретически смог бы обходить практически любые блокировки, включая отключение интернета, если в мессенджере когда-нибудь появится поддержка Mesh-сети. С таким предположением выступил эксперт по информационной безопасности и председатель совета по противодействию технологическим правонарушениям КС НСБ Игорь Бедеров.

По его словам в разговоре с «Газетой.Ru», при такой архитектуре пользователи могли бы обмениваться сообщениями напрямую между устройствами, без участия интернет-провайдеров и центральных серверов.

Логика Mesh-сети в том, что каждое устройство передаёт данные соседним, а те — дальше по цепочке. В итоге сообщение может добраться до адресата даже в условиях ограниченного или полностью отключённого интернета, если вокруг достаточно устройств, поддерживающих такую схему. Это уже общая модель mesh-мессенджеров, которую используют профильные решения на рынке.

Бедеров считает, что при аудитории Telegram в десятки миллионов пользователей в России, особенно в крупных агломерациях вроде Москвы, Подмосковья и Петербурга, подобная функция могла бы стать не только технологическим прорывом, но и источником новых рисков.

В частности, он упомянул более сложное распространение мошеннического контента, который в такой распределённой сети было бы труднее ограничивать привычными способами.

При этом важно понимать один нюанс: речь пока идёт именно о гипотетическом сценарии, а не о заявленной функции Telegram. В официальных обновлениях и блоге мессенджера на начало марта 2026 года поддержки Mesh-сети не анонсировано. Среди последних релизов Telegram упоминаются passkeys и другие функции, но не автономная mesh.

Сама идея, впрочем, не выглядит фантастикой. На рынке уже существуют отдельные Mesh-мессенджеры, и один из самых заметных примеров — Bitchat, связанный с Джеком Дорси. Такие приложения используют Bluetooth mesh и позволяют отправлять сообщения без интернета и сотовой сети, опираясь на цепочку ближайших устройств.

Правда, встроить такую механику в Telegram было бы непросто. Бедеров отмечает, что из-за масштаба сервиса и его экосистемы при внедрении Mesh, скорее всего, пришлось бы сильно урезать функциональность и оставить только самые базовые вещи — текстовые и голосовые сообщения. Всё остальное, что привыкли ассоциировать с Telegram как с облачной платформой, в полностью автономной сети работало бы уже куда сложнее.

По оценке эксперта, если бы такой режим всё же появился, он действительно позволял бы обходить почти любые традиционные ограничения на уровне интернета. Противодействовать такой связи, по его словам, можно было бы уже не через блокировку серверов, а только через глушение радиосигнала в диапазонах Bluetooth и Wi-Fi.

Напомним, месяц назад власти приняли решение начать работу по замедлению мессенджера Telegram в России. Интересно, что эта ситуация привела к проблемам у мобильных разработчиков.

Называлась также дата полной блокировки мессенджера на территории нашей страны — 1 апреля. По данным источников, речь идёт о полном ограничении доступа: мессенджер якобы перестанет загружаться как через мобильный интернет, так и через домашние сети.

RSS: Новости на портале Anti-Malware.ru