Дрюков Владимир Руководитель JSOC · Зачем нужен мониторинг ИБ ... Аналитика по выявляемым инцидентам,

5 причин запустить SOC в банке

Дрюков Владимир

Руководитель JSOC

solarsecurity.ru +7 (499) 755-07-70

Проблематика. Зачем нужен мониторинг ИБ

2

Безопасности нужны глаза:

ИБ не может быть настроена раз и навсегда – она должна подстраиваться под каждодневные

изменения, только понимание того что именно сейчас происходит в системе позволяет сделать

систему ИБ реально работающей;

Прежний подход к ИБ – все заблокировать и быть уверенным, что «враг не пройдет» – уже не

работает. Современные бизнес-требования предполагают максимальную гибкость и открытость ИТ,

а для этого нужен новый подход и к

ИБ – безопасности через целевой мониторинг, а не через запреты;

Целенаправленные атаки не детектируются стандартными средствами защиты, и единственный

способ их выявления – специальный мониторинг косвенных признаков, глубокий анализ и

расследования.

Только реализация полноценной функции мониторинга безопасности и security operations center-а (SOC)

сделают систему ИБ живой и адекватной текущим угрозам.


Функции Security Operations Center

3

SOC – ситуационный центр по ИБ, обеспечивающий оперативное управление

инцидентами и уровнем защищенности с учетом как изменений в инфраструктуре и

бизнес-процессах внутри, так и появлением новых угроз и векторов атаки снаружи

Функции SOC:

Мониторинг, выявление и анализ инцидентов

информационной безопасности;

Техническое противодействие атакам;

Контроль состояния защищенности,

выявление уязвимостей, ошибок настройки;

Техническое расследование возникающих

критичных инцидентов;

Аналитика по выявляемым инцидентам, их

причинам для принятия решений.


Use Case мониторинга – внешние

злоумышленники

4

Что случилось:

ИТ – администратор скачал warez для работы

Warez содержал себе 0day ПО

Снес антивирусного агента, создал fake образ

Результат:

Около 10 зараженных машин

Зафиксирована попытка заражения АРМ главного бухгалтера

Без финансового ущерба

Как защитить:

Контроль критичных АРМ

Контроль обращений к c&c серверам


Use Case мониторинга – внешние


5


Сотрудник расчетного центра подключил домашнее USB

Файл skazki_dlya_bolshih_i_malenkih.pdf.exe c 0day

Встроился в системные процессы, затаился

Результат:

Машина оставалась зараженной более 1 года

Велись снимки экрана (раз в 15 минут) и сбор паролей

Без финансового ущерба


Контроль критичных АРМ

Контроль обращений к c&c серверам


Use Case мониторинга – внутренние


6


Новая программа кредитов с VIP-условиями

Согласование: подчиненный – начальник

Начальник поделился учеткой с подчиненным

Результат:

2 кредита на тестя и тещу с VIP - условиями

10 кредитов по знакомству

Объявление на avito «5% скидки за 0,5%»


Анализ профилей подключения к CRM критичных учеток

Анализ и разработка спец.сценариев для бизнес-процессов


Use Case мониторинга – ошибки ИТ

7


ИТ публиковали новый сервис в интернет

Ошиблись маской подсети – вместо /31 - /30

Результат:

Опубликовали 4 внутренних хоста вместо 2

Два лишних – prodlike сервера VOIP

Итог – сервер взломан, звонки на интересные сервера в Бразилию


Мониторить периметр через JSOC, фиксировать новые хосты

Контролировать изменения конфигураций


Use Case мониторинга – ошибки ИТ

8


Секретарь VIPa покупала ему тур

Прокси мешал – попросила прямой доступ

Ошибка в заявке – IT дал АРМ белый IP

Отзыва доступа так и не было

Результат:

10 ботнетов на машине

Скомпрометирована все финансовые отчеты компании

На машине выводили деньги через paypal, раздавали торренты и т.д


Следить за фактами отстука к C&C

Подключать критичные хосты


Что нужно сделать для построения SOC?

9

Провести инвентаризацию и оценку активов:


Что необходимо будет сделать при построении

SOC?

10

Выстроить процесс:



SOC?

11

Агрегировать и использовать данные Threat Intelligence:



SOC?

12

Интегрировать SIEM и Incident Response для уменьшения времени

реакции на инциденты:

SIEM: Карточка инцидента:



SOC?

13

Разработать формы отчетности:


Дорогу осилит идущий

14

Ваши вопросы?

Documents

Дрюков Владимир Руководитель JSOC · Зачем нужен мониторинг ИБ ... Аналитика по выявляемым инцидентам,