Современные угрозы, которым подвержены банки, можно назвать мульти-векторными. Это означает, что части атаки поступают по различным каналам и активируются только совместно, поэтому для их выявления необходимо сопоставлять параметры и события информационной безопасности одновременно с нескольких источников: с рабочих станций, сетевых устройств и серверов. Для сопоставления (корреляции) этого массива данных используются специальные средства защиты информации, которые называются SIEM-системы мониторинга и анализа событий информационной безопасности. Рассказывает Александр ГЕРМАН, инженер RuSIEM.

На первый взгляд целесообразность установки SIEM неочевидна. Периметр она не защищает – зачем тратить деньги на систему и персонал, который с ней работает? Однако надеяться только на антивирус или межсетевой экран (firewall) – большая ошибка. Любое средство защиты имеет свои недостатки, любое из них можно обойти. Поэтому система защиты и безопасности должна быть комплексной, включающей решения безопасности различных классов и уровней. Компании среднего размера уже есть смысл задуматься о сигнатурном анализе трафика и выявлении паттернов, сигнализирующих об угрозах, разграничении доступа к ресурсам, антиспаме и анти-фишинге, а также о поведенческом анализе объектов, которые пользователи скачивают из интернета или получают по почте. И, соответственно, о том, как мониторить и анализировать поступающую в результате отработки этих процессов информацию.

Межсетевой экран – вещь в хозяйстве, безусловно, нужная, однако его одного для анализа сетевой активности недостаточно. Он умеет «держать и не пущать», в то время как суть любой SIEM-системы заключается именно в анализе и сопоставлении информации, полученной из специализированных ИБ- и неспециализированных ИТ-решений, и выявлении угроз. Она объединяет устройства в единую консоль, получает их события и сопоставляет их с данными других систем, которые с сетью могут быть вообще не связаны. К примеру, если система обнаружения вторжений срабатывает на фишинг или что-то ещё, что не является серьёзным инцидентом, и одновременно с этим на рабочей станции обычного пользователя запускается процесс от имени учётной записи администратора сети – это уже основание подозревать кибератаку.

Пример. Сотрудники компании, работающие удалённо, авторизуются на своих рабочих станциях через VPN. Этот процесс состоит из двух этапов: пользователь заходит в сеть через VPN и затем отправляет запрос на подключение к своей рабочей станции. SIEM коррелирует эти события. И если пользователь зашёл на рабочую станцию, не подключившись заранее через VPN, то SIEM расценивает это как угрозу того, что в сеть проник посторонний. Вероятно, компьютер заражён и учётная запись используется злоумышленником. Установленные в компании стандартные межсетевые экраны этой связи не прослеживают, а SIEM-система как раз умеет это делать. Последние полтора года в связи с переходом на удалённую работу подобные ситуации участились, это актуальные угрозы, за которыми необходимо следить.

Если вам нужен анализ поведения устройств и пользователей, – то этого от межсетевых экранов ждать точно не стоит – в отличие от некоторых SIEM-систем, которые умеют собирать статистику нормального поведения устройств в сети и регистрировать аномалии трафика или пользователей, которые сами по себе не являются вредоносными, но показывают нетипичное поведение. Если компьютер пользователя в какой-то момент вместо типичного соединения 100 килобит/сек. начинает генерировать трафик 500 кило-бит/сек. – это само по себе не преступление. Но поскольку это существенно выше обычной статистики, возникает подозрение, что, возможно, происходит утечка данных.

Пример. Бухгалтер компании работает в 1С каждый день с 10:00 до 20:00. Система «знает», что это его стандартный рабочий день, стандартная логика поведения. Однажды подключение к 1С с его компьютера происходит в 2 часа ночи. Причём подключение идет по не типичному для этой активности протоколу. И то, и другое – нетипичная для данного пользователя или устройства модель поведения, которую SIEM-система видит и вычленяет на основе логов и анализа сетевого трафика и событий информационных систем.

Межсетевые экраны отслеживают трафик исключительно между интернетом и внутренней сетью организации. Внутренний трафик они, как правило, не видят. Но SIEM, кото-рая интегрируется с конечными точ-ками, может его увидеть и включить в общий поток анализируемых данных. Причём всё это будет в единой консоли с основной информацией о сетевом трафике, полученной с межсетевого экрана.

Более того – правильно настроенная SIEM может увидеть даже аномальное взаимодействие устройств внутри сети, чего периметровые средства защиты не заметят. Такое взаимодействие может указывать на наличие злоумышленника и его перемещение внутри сети либо на инсайдерский взлом, когда один сотрудник получает доступ к устройству или данным другого сотрудника. То есть система может отслеживать внутренний взлом, если написать соответствующие правила корреляции или правила выявления аномалий и разграничить их по пользователям.

Пример из жизни. В банке есть сегментация клиентов, условно, на VIP и супер-VIP. Правила доступа к базам настроены так, что менеджеры супер-VIP имеют возможность посмотреть клиентскую базу любого сегмента. У супер-VIP падают продажи, они заходят в клиентскую базу VIP и начинают их обзванивать – переманивают клиентов у своих же. Подразделение VIP может гипотетически дать запрос не ИТ-специалистам, которые настраивали доступ (и, возможно, находятся в стратегическом альянсе с супер-VIP), а адресовать его сотрудникам по информационной безопасности. Они посмотрят, кто пользовался доступом к базе в SIEM, которая автоматически собирает эту информацию.

Последнее, что хотелось бы отметить – к вопросу о том, зачем нужно тратить ресурсы на SIEM. Актуальные угрозы и современные атаки обнаружить крайне сложно. Проводя аналогии с компьютерными играми – враг уже не таранит стену на танке, а культурно покупает дубликат пропуска на черном рынке. Обнаружить подделку сможет только тот, кто знает, как устроен город и где искать злодея. В ИТ то же самое – нужно обучать SIEM, писать гибкие правила корреляции и подстраивать систему под параметры организации. Да, разработчики SIEM-систем периодически выпускают обновления, включающие основанные на наиболее актуальных угрозах правила. Однако у каждого заказчика свои особенности инфраструктуры, и найти на рынке единое решение, которое идеально подходило бы под потребности заказчика, не получится. Любая SIEM требует «подгонки по фигуре». Однако усилия того стоят.

Текст: Александр Герман, инженер RuSIEM

Материал также опубликован в печатной версии Национального Банковского Журнала (март 2022)