Статьи / Профиль Solar_JSOC / Хабр

Как стать автором

Пользователь

Профиль Публикации 26Комментарии 12Закладки

Solar_JSOC 3 ноя 2022 в 09:53

Что нам стоит SOC построить: нужен ли для этого сервис-провайдер и как его выбрать

6 мин

2.7K

Блог компании СоларИнформационная безопасность*

Идея о создании собственного Security Operations Center (SOC) кажется многим организациям все более привлекательной. Вся инфраструктура под чутким контролем ИБ-мониторинга – враг не пройдет. Но когда дело доходит до реализации, возникает вопрос: «А кто, собственно, этот SOC будет строить и как?» Здесь компании часто привлекают помощников: сервис-провайдера и/или интеграторов, которые могут выступать в роли консультанта или аутсорсера. В этом посте попробуем разобраться в том, как как выбрать провайдера, которому можно доверить кибербезопасность собственной инфраструктуры? На что смотреть во время пилота? И не проще ли все-таки делать SOC полностью in-house?

Читать дальше →

+4

Solar_JSOC 23 июн 2022 в 12:09

Железный человек и региональный сервис-менеджер – ищем сходства

6 мин

1.7K

Блог компании СоларИнформационная безопасность*

Кадр из к/ф «Железный человек»

Наш центр противодействия кибератакам Solar JSOC имеет сложную, выработанную годами и собственным опытом структуру. Её описанию было посвящено уже несколько статей. Вспомнили практически всех (инженеров, аналитиков, сервис-менеджеров), но как-то обошли стороной важную деталь — географию. JSOC располагается не только в Москве, но и в нескольких регионах России. Аналитики обитают и там, и там. А например, инженеры первой или второй линии трудятся только в региональных офисах.

Но такие звери, как сервис-менеджеры, должно быть, водятся исключительно в Москве — наверное, думаете вы: так оно и к головным офисам заказчика поближе, и в любую точку страны доехать проще. Ничего подобного! JSOC устроен таким образом, что и сервис-менеджеры здесь могут находиться в регионах. Кто же такие региональные сервис-менеджеры?

Читать дальше →

+8

Solar_JSOC 15 апр 2021 в 09:00

Модель угроз: как и зачем мы поделили хакеров на категории

9 мин

6K

Блог компании СоларИнформационная безопасность*

Долгое время мы делили киберпреступников на две группы: любителей и профессионалов. Первые бомбили доступным ВПО и баловались мелким хулиганством. Вторые разрабатывали собственные утилиты, целясь в крупный бизнес и госвласть. Подход понятный и простой. Проблема только в том, что сами хакеры уже вышли за пределы этого шаблона. А раз врага надо знать в лицо, то и мы в JSOC решили подойти к делению хакеров и определению их инструментов, методик и целей с другой стороны. В итоге у нас получилось 5 уровней злоумышленников. Каких именно, читайте под катом.

Кто стучится в сеть ко мне?

+9

Solar_JSOC 30 мар 2021 в 09:00

Не только лишь удаленка: как атаковали киберпреступники в 2020 году

7 мин

3.7K

Блог компании СоларИнформационная безопасность*

Ситуация с ИБ в 2020-м напоминала картины Босха и последователей: множество деталей, все горит и не очень понятно, что происходит. Пока компании решали, как перевести всех на удаленку и не парализовать при этом работу, киберпреступники использовали каждый торчащий наружу RDP, каждого застрявшего дома и потерявшего бдительность работника, каждую незамеченную веб-уязвимость. А главное – хакеры взяли в полноценный оборот метод supply chain, с помощью которого успели совершить самую громкую атаку года. В итоге для злоумышленников год оказался очень даже насыщенным. В 2020 году Solar JSOC зафиксировал 1,9 млн кибератак (на 73% больше, чем в 2019-м), а доля критических инцидентов выросла на 20%. Подробнее о том, как и зачем совершали атаки на компании в 2020 году – в нашем посте.

ВПО, supply chain, утечки и не только

+18

Solar_JSOC 15 дек 2020 в 09:00

Эффективность Security Operations Center: на какие параметры смотреть?

5 мин

4.2K

Блог компании СоларИнформационная безопасность*

Когда мы говорим о KPI и эффективности, возникает вопрос: а что вообще должен отслеживать SOC в своей повседневной деятельности? С одной стороны, тут все понятно: во-первых, соблюдение SLA, а во-вторых, возникающие события с подозрениями на инциденты. Но ведь статистику событий можно смотреть под разными углами. А еще проблемы с источниками, а еще аномалии, а еще нагрузка на SIEM и т.д. – параметров масса. Какие из них достойны дашборда аналитика – об этом поговорим ниже.

Читать дальше →

+13

Solar_JSOC 1 дек 2020 в 12:14

Исследование атак со стороны профессиональных кибергруппировок: смотрим статистику техник и тактик

6 мин

4.8K

Блог компании СоларИнформационная безопасность*Исследования и прогнозы в IT*

«Это был тяжелый год» — не только в свете коронавируса, локдауна, экологических бедствий и прочего, но и в части информационной безопасности. С переходом на удаленку многие компании выставили наружу ходы в инфраструктуру, что открыло новые возможности для мамкиных хакеров. Параллельно и профессиональные группировки, использующие гораздо более сложные инструменты, стали атаковать чаще. Мы подвели итоги за неполный год и свели в единую статистику те техники и тактики, с которыми мы чаще всего сталкивались в процессе мониторинга инфраструктур заказчиков.

Читать дальше →

+14

Solar_JSOC 12 ноя 2020 в 08:48

В погоне за «неправильными» инцидентами, или Как мы строим Threat Hunting

4 мин

3.3K

Блог компании СоларИнформационная безопасность*

Инциденты с SLA-таймингами должны детектироваться с минимальным числом False Positive, а также иметь четкий workflow обработки. При таком устройстве SOC гарантирует, что инцидент будет обработан за определённое время – для дальнейшего своевременного реагирования… Такой подход многие годы был справедлив для любого SOC (и нашего в том числе). Но в какой-то момент пришло осознание, что мы частично теряем полноту картины происходящего. Причина – в тех самых объективных ограничениях, накладываемых на сценарии. Ведь во множестве малорелевантных сработок (которые не могут быть обработаны на линиях мониторинга разумными ресурсами и в рамках SLA) порой таится самая соль происходящего инцидента.

Читать дальше →

+8

Solar_JSOC 3 ноя 2020 в 09:00

Проблемы роста SOC: как учесть +100500 хотелок заказчиков и не сойти с ума

7 мин

2.8K

Блог компании СоларИнформационная безопасность*

Когда-то деревья были большими, а Solar JSOC – маленьким. Всех его сотрудников можно было пересчитать по пальцам двух рук и ног, поэтому вопроса о единых правилах игры не стояло. При небольшом тогда числе заказчиков мы и так прекрасно учитывали их разнообразные хотелки по выявлению инцидентов и оповещению (в этой компании к инфраструктуре могут удаленно подключаться подрядчики, а в той – по ночам работает админ Вася и это легитимно; здесь ждут мгновенных сообщений о любых подозрениях на инцидент, а там готовы повременить – главное максимум аналитики и т.д. и т.п.). Но со временем клиентов заметно прибавилось, ожидания от SOC у всех были разными ~~(а обещания сейлов о кастомизации сервиса – щедрыми)~~. И все это наряду с ростом числа собственных специалистов с их различающимся пониманием «прекрасного». Чтобы упорядочить возникшую энтропию, можно было, конечно, продолжать плодить инструкции по каждому поводу, а всех инженеров первой линии и аналитиков отправить на курсы развития сверхпамяти, но это чревато…Поэтому мы придумали более действенную схему работы.

Читать дальше →

+14

Solar_JSOC 29 окт 2020 в 11:34

О неравномерности нагрузки на линии SOC – как мы упорядочиваем хаос

8 мин

2.8K

Блог компании СоларИнформационная безопасность*

Кадр из мультфильма For the Birds (Pixar)

Деятельность аналитиков центров мониторинга и реагирования на кибератаки (Security Operations Center) чем-то похожа на деятельность любой службы поддержки. Те же линии с инженерами различной экспертизы, тикеты, приоритеты, SLA и тайминги. Но то, с чем приходится сталкиваться менеджменту SOC, не приснится и в ночных кошмарах службе поддержки продукта/сервиса: экстремально короткие SLA, абсолютно непредсказуемая скважность входящего потока, отсутствие понятия «массовая проблема», возможности пообещать решение в следующем релизе и много других фишек, делающих жизнь менеджера SOC ну ооочень интересной. Про отсутствие возможности прогонять инцидент последовательно через линии мы уже писали, настало время поговорить о других особенностях организации процесса. Итак, скважность, короткий SLA и распределение критичностей.

Читать дальше →

+14

Solar_JSOC 27 окт 2020 в 09:00

GitHub: библиотека для сбора SSL-сертификатов

2 мин

4.4K

Блог компании СоларИнформационная безопасность*Go*GitHub*

Представляем еще одну библиотеку, написанную на Go – GoTransparencyReport предназначенную для автоматизации сбора и обработки SSL-сертификатов по API сайта transparencyreport.google.com (ранее мы уже размещали библиотеку для поиска данных о корпоративных email по домену). Суть GoTransparencyReport довольно проста: ввел домен — получил аккуратненькую JSON-табличку с сертификатами и остальными полями. Без нее пришлось бы вводить домен на сайте Google, ставить галочку на выборе субдоменов, просматривать кучу сведений, колонок и дополнительных данных, а потом неизвестно как перетаскивать их на свой источник — мы же упростили этот процесс. Ссылка на GitHub прилагается.

Читать дальше →

+20

Solar_JSOC 8 окт 2020 в 09:00

Постройтесь в линию: как мы набивали шишки на создании процессов выявления и реагирования на кибератаки

7 мин

2.9K

Блог компании СоларИнформационная безопасность*

На старте сервиса по мониторингу и реагированию на киберинциденты у нас было довольно странное деление на две линии аналитики: не только и не столько по уровню экспертизы, сколько по направленности решаемых задач. Была первая линия, которая занималась мониторингом и расследованием инцидентов ИБ. И все остальные – “просто аналитики”, в чьи обязанности входило углубленное расследование инцидентов за рамками типового процесса и SLA, создание правил детектирования новых угроз, а также плотная работа с заказчиком (анализ общего уровня защищенности, проработка максимально эффективного пула сценариев для покрытия модели угроз, подключение новых источников, проработка необходимого уровня аудита, написание парсеров/коннекторов и т.д.).

Мы сознательно не строили многоуровневую линейную модель эскалации расследования инцидентов по линиям 1->2->3-> и т.д. Наверное, просто потому, что не смогли придумать, как уложить подобную парадигму расследования в экстремально короткий SLA на решение инцидентов (0,5–2 часа), причем 30 минут на разбор инцидента далеко не редкость, такие кейсы составляют значимую долю в общем потоке.

Читать дальше →

+12

Solar_JSOC 1 окт 2020 в 09:00

Как мы внедрили вторую SIEM в центре мониторинга и реагирования на кибератаки

5 мин

4.1K

Блог компании СоларИнформационная безопасность*

Одна голова хорошо, а две – некрасиво… Так мы думали, пока жили в чудное время, когда в нашем центре мониторинга и реагирования на кибератаки была одна-единственная SIEM-платформа. Не секрет, что это была HP ArcSight, оказавшаяся единственным финишером длительного марафона через тернии требований, хотелок и амбициозных планов построения сердца SOC.

И вроде бы ничто не предвещало беды, но в какой-то момент появились и стали все более настойчивыми мысли о необходимости работы с альтернативной платформой. И основным локомотивом тут выступило активное развитие центров ГосСОПКА. Для того чтобы стать одним из подобных центров, нам необходимо было использовать ПО, которое обеспечено «гарантийной и технической поддержкой российскими организациями, не находящимися под прямым или косвенным контролем иностранных физических лиц и (или) юридических лиц» (Приказ ФСБ от 06.05.2019 № 196, п.3.4). Как мы ~~страдали~~ все это пережили и что в итоге получилось, рассказываем ниже.

Кадр из мультсериала «Котопёс»

Читать дальше →

+15

Solar_JSOC 8 сен 2020 в 09:00

Реагирование на киберинциденты: 5 правил разработки плейбуков

8 мин

7.6K

Блог компании СоларИнформационная безопасность*

Вопрос разработки и приготовления плейбуков по реагированию на инциденты сейчас очень активно обсуждается и порождает разное количество подходов, поиск баланса в которых крайне важен. Должен ли плейбук быть очень простым («выдернуть шнур, выдавить стекло») или должен давать возможность оператору подумать и принять решение на основании собственной экспертизы (хотя, как говорили в одной игре моего детства, «что тут думать – дергать надо»). За наплывом модных аббревиатур и системных рекомендаций достаточно сложно найти соль и серебряную пулю. Мы за 8 лет работы нашего центра мониторинга и реагирования на кибератаки успели ~~наломать немало дров~~ приобрести некоторый опыт в этом вопросе, поэтому постараемся поделиться с вами граблями и подводными камнями, которые встречались нам на этом пути, в 5 практических советах по вопросу.

Читать дальше →

+12

Solar_JSOC 3 сен 2020 в 09:00

KPI для Security Operations Center: как мы пришли к своей системе метрик

6 мин

7.2K

Блог компании СоларИнформационная безопасность*

Не буду тут писать длинные заумные тексты о том, «как правильно построить систему KPI для SOC». А просто расскажу, как мы ~~боролись и искали~~ нашли свою методику и как теперь измеряем, «насколько все плохо/хорошо/безопасно/(нужное подчеркнуть)».

Читать дальше →

+14

Solar_JSOC 28 июл 2020 в 10:33

Азбука SOC OT. Почему классический SOC не защитит АСУ ТП

7 мин

4K

Блог компании СоларИнформационная безопасность*SCADA*

Ни для кого не секрет, что основной опыт и экспертиза в тематике SOC в России (да в принципе и в мире) сосредоточена преимущественно на вопросах контроля и обеспечения безопасности корпоративных сетей. Это видно из релизов, докладов на конференциях, круглых столов и так далее. Но по мере развития угроз (не будем вспоминать набивший оскомину Stuxnet, но, тем не менее, не пройдем мимо Black/Gray Energy, Industroyer и Triton) и нормативных требований закона «О безопасности критической информационной инфраструктуры РФ) все чаще поднимается вопрос о необходимости охватить вниманием SOC и святая святых всех индустриальных компаний – сегменты АСУ ТП. Мы делали первый аккуратный подход к этому снаряду примерно полтора года назад (1, 2). С тех пор опыта и исследований стало чуть больше, и мы почувствовали в себе силы запустить полноценный цикл материалов, посвященных вопросам SOC OT. Начнем с того, чем отличаются технологии и процессы давно привычного нам корпоративного SOC от SOC индустриального (до кадровых вопросов дело дойдет своим чередом). Если тематика вам небезразлична — прошу под кат.

Читать дальше →

+10

Solar_JSOC 14 июл 2020 в 09:00

ИБо нефиг: лучшие ИБ-разоблачения 2020-го по версии JSOC

7 мин

7.4K

Блог компании СоларИнформационная безопасность*

Подходит к концу первое полугодие, и мы решили вспомнить самые интересные кейсы из жизни JSOC, с которыми столкнулись в этом году. Встреча со «старым знакомым» киберпреступником в новом заказчике, вредоносный скрипт в Task Scheduler и загадка кривой настройки балансировщика – читаем и проникаемся под катом.

Кадр из сериала South Park

Читать дальше →

+19

Solar_JSOC 7 июл 2020 в 09:00

Реагирование на инциденты: что вам должен SOC

6 мин

6K

Блог компании СоларИнформационная безопасность*

Можно мало что знать о SOC, но все равно будет интуитивно понятно, что в его работе важнее всего две вещи: выявление инцидентов и реагирование на них. При этом, если не брать ситуации, когда мы имеем дело со сложным внутренним мошенничеством или признаками деятельности профессиональной группировки, реагирование, как правило, состоит из ряда очень простых технических мер (удаление вирусного тела или ПО, блокирование доступа или учетной записи) и организационных мероприятий (уточнение информации у пользователей или проверка и обогащение итогов анализа в источниках, недоступных мониторингу). Однако в силу ряда причин в последние годы процесс реагирования на стороне заказчиков начал существенно модифицироваться, и это потребовало изменений и со стороны SOC. Причем, поскольку речь идет о реагировании, где значимо «не только лишь всё» – и точность, и полнота, и скорость действий – можно с высокой вероятностью говорить, что если ваш внутренний или внешний SOC не учитывает новые требования к этому процессу, вы не сможете нормально отработать инцидент.

Читать дальше →

+14

Solar_JSOC 5 июн 2020 в 09:00

Запускаем свой SOC или подключаем внешний?

7 мин

4.6K

Блог компании СоларИнформационная безопасность*

Пока завсегдатаи ИБ-форумов рассуждают о новейших технологиях в Security Operations Center, по умолчанию считая центр мониторинга и реагирования на киберугрозы необходимой частью современной инфраструктуры, в реальном мире многие продолжают работать без него. И это касается не только небольших компаний, но и крупных организаций, потому что чем больше экосистема ИТ-решений, тем сложнее пристроить к ней даже базовый уровень мониторинга и реагирования на события ИБ.

Тем не менее потребность в собственном центре реагирования определяется зрелостью заказчика… или внезапно предъявленными требованиями регулятора, которые сразу же делают каждого очень зрелым. Чтобы оперативно отслеживать инциденты ИБ и реагировать на них, необходима определенная инфраструктура, включающая в себя готовые решения, процессы, людей, вычислительные мощности. И если принципиальное решение уже принято, остается только определиться: создавать ли SOC на базе своих ресурсов или получать весь спектр услуг в виде сервиса.

Читать дальше →

+6

Solar_JSOC 26 мая 2020 в 09:04

GitHub: шаблон Zabbix для мониторинга задач сбора данных в MaxPatrol SIEM

2 мин

4.8K

Блог компании СоларИнформационная безопасность*GitHub*

Сегодня SIEM – это главный помощник при анализе событий ИБ: трудно представить, сколько бы потребовалось времени, чтобы вручную просматривать логи с множества источников. При этом прекращение сбора данных с источника – достаточно распространенная проблема SIEM. И далеко не всегда можно решить ее встроенными средствами – а ведь потеря событий в неподходящий момент может быть равнозначна катастрофе. Чтобы ценная информация не пропадала, мы реализовали внешнее решение для контроля работы MaxPatrol SIEM: разработали шаблон для системы мониторинга Zabbix и скрипт на питоне, которым готовы с вами поделиться. Подробности и ссылка на GitHub под катом.

Читать дальше →

+10

Solar_JSOC 23 апр 2020 в 10:00

Вопреки карантину: как мы перевели свои стажировки на удаленный формат

8 мин

3.3K

Блог компании СоларУчебный процесс в ITУправление персоналом*

Удаленка – вынужденный тренд этой весны. К концу марта, когда началась всеобщая самоизоляция, в наших региональных центрах мониторинга и реагирования на кибератаки Solar JSOC уже полным ходом шли традиционные стажировки. Мы были уверены, что готовы ко всему, но…

— Он слишком сильно жмет, это не по плану.
— Планы меняются.
Кэррол Шелби, фильм «Ford против Ferrari»

При чем здесь Шелби, спросите вы? Знаменитый автогонщик и конструктор Кэррол Шелби всегда готов был пойти на авантюру и мог придумать нетривиальное решение в непростой ситуации. У нас гораздо больше общего, чем кажется. Из-за ситуации вокруг COVID-19 планы действительно поменялись. Нам предстояло проделать колоссальную работу по перестройке инфраструктуры, чтобы не только обеспечить удаленный доступ для сотрудников, но и не растерять потенциально интересных стажеров в условиях обучения в стиле HomeOffice. Как мы с этим справились, и что думают о работе из дома сами стажеры, читайте ниже.

Читать дальше →

+19

1