Требования ГОСТ Р 57580.1-2017 обязательны для большинства финансовых организаций, независимо от размера и статуса. В финансовом секторе даже небольшие компании обрабатывают тысячи записей, и процесс требует автоматизации. Поэтому нужен инструмент контроля – система мониторинга событий (SIEM). Разберём, как соответствовать ГОСТ с SIEM-системой «СёрчИнформ Мониторинг безопасности».

Какие требования ГОСТ выполняет программа

«СёрчИнформ Мониторинг безопасности» автоматизирует:

Мониторинг данных о событиях защиты информации (МАС.1–18, 21–23)

Подключается ко всем источникам событий – серверам, компьютерам, сетевым устройствам, антивирусам, системам контроля доступа, собирает данные в единое хранилище.

Обнаружение и регистрацию инцидентов ИБ (РИ.3, 5, 10, 15, 16, 17, 19)

Карта инцидентов показывает проблемные точки. Правила кросс-корреляции оценивают критичность события. Менеджер задач даёт назначить ответственных и автоматически оповещать ИБ-службу.

Регистрацию событий от средств защиты информации (УЗП.23, 24, 27)

Собирает события от антивирусов, сетевых экранов, систем обнаружения вторжений и криптошлюзов, автоматически реагирует на сигналы.

Регистрацию событий ИБ в среде виртуализации (ЗСВ.32–43)

Подключается к среде виртуализации и фиксирует все операции с виртуальными машинами.

Регистрацию событий, связанных с функционированием СЗИ (УЗП.39, 42)

Фиксирует изменение параметров СЗИ, действия администраторов СЗИ.

Контроль логического доступа (УЗП.3, 14, 15; РД.39)

Фиксирует каждую попытку входа в систему. А регулярные отчёты вовремя выявляют учётные записи, которые давно не использовались.

Как это работает на практике

Кейс 1

В банке все сотрудники работали на виртуальных машинах через терминал. При увольнении специалиста его виртуальная машина (ВМ) сохранялась на какое-то время (в зависимости от должности).

Спустя 18 месяцев после увольнения сотрудника отделу закупок нужно было восстановить его виртуальную машину. На ней должны были храниться документы, которые не внесли в 1С. Однако выяснилось, что машины уже нет. Никто из сотрудников не признавал, что как-то с ней взаимодействовал. Воссоздать картину вручную было невозможно.

В компании через «СёрчИнформ Мониторинг безопасности» подняли логи работы системы виртуализации (VMware) за нужный период. Система сохранила все события из инфраструктуры, даже если они казались незначительными.

С помощью сохраненных логов удалось:

1. Точно определить время удаления виртуальной машины.

2. Установить личность сотрудника, который выполнил удаление.

3. Выявить, что этот же сотрудник удалил ещё несколько машин.

Оказалось, что один из работников скачивал все сезоны «Чёрного зеркала» в лучшем разрешении прямо на сервер, где лежали ВМ. Ему не хватило свободного места.

Выполненные требования:

ЗСВ.32, ЗСВ.34 – 36, МАС.18, РИ.17, 18

Кейс 2

Страховая компания получила от ФинЦЕРТ свежие данные о новых индикаторах компрометации (TI) – список доменов, использующихся ботнет-сетью для управления заражёнными машинами. Такая информация поступает регулярно, и её нужно оперативно проверить на своей инфраструктуре.

Индикаторы загрузили в «Мониторинг безопасности». Система сверила все внешние запросы из сети компании с полученным «чёрным списком» доменов.

В результате обнаружили две машины, которые уже пытались обратиться к скомпрометированному домену.

Источник заражения нашли после проверки антивирусом. Оказалось, что сотрудник перешёл на подозрительный сайт, где случайно загрузил вредоносное ПО. Потом поделился ссылкой с коллегой – так в опасности оказались две машины. Их отключила от сети и взяла в работу ИТ-служба. На периметральные сетевые устройства (маршрутизаторы) добавили новые правила фильтрации трафика, чтобы заблокировать обращения к опасным доменам в будущем. Без «СёрчИнформ Мониторинг безопасности» компания узнала бы о заражении, когда ботнет уже управлял машинами, а последствия были бы серьёзнее.

Выполненные требования:

МАС.1, 2, МАС.17, 18, РИ.1, РИ.2, РИ.5, 10, УЗП.24

Кейс 3

Сотрудник инвестиционной компании не вышел на работу. Связаться с ним удалось лишь через пару дней. Так руководство выяснило, что он попал в неприятную ситуацию и решил срочно уехать за границу. Шансы на возвращение в строй признали нулевыми и его решили уволить.

В процессе главному бухгалтеру с рабочего ящика уволенного приходит письмо: «Скиньте аванс или выходное пособие на карту».

Главбуха смутило, что вопрос о деньгах пришёл с корпоративной почты, хотя сотрудник уже давно не работает, и она запросила у отдела ИТ информацию об этой учётной записи. Выяснилось: она не использовалась более 2 месяцев до дня инцидента. И её не заблокировали – службу ИТ попросту не уведомили о сложной ситуации.

ИТ-отдел провёл проверку через «Мониторинг безопасности». Оказалось, подобная ситуация – не единичный случай. В компании существует почти три десятка учётных записей, которые активны, но в них никто не заходил уже длительное время – вплоть до пяти лет.

Эти «спящие» учётные записи – идеальная цель для злоумышленников: они не используются владельцами, но технически доступны для входа. Ситуацию с неиспользуемыми «учётками» поставили на регулярный контроль с помощью «СёрчИнформ Мониторинг безопасности». Система автоматически отслеживает те, в которые никто не входил более 45 дней, и формирует отчёты для ИБ-службы.

Выполненные требования:

УЗП.3, УЗП.14 – 15, МАС.18, РИ.10, МАС.10, МАС.12

Кейс 4

Компанию поразила эпидемия: один за другим в течение часа 6 компьютеров заразились вирусом. Причём он уже был в базах данных антивируса – защита должна была заблокировать его распространение. Но как-то он смог попасть сразу на несколько ПК.

Стояла задача выяснить, откуда пришло заражение? Обычные каналы – почта, мессенджеры, веб-страницы – не подходили.

В «Мониторинге безопасности», ИБ-служба изучила события со всех рабочих станций: о процессах, подключениях, открытиях и запусках.

С помощью системы удалось:

1. Проследить цепочку заражения – в какой последовательности вирус переходил с одного ПК на другой.

2. Выявить общий признак – перед появлением вируса на каждом ПК фиксировалось подключение флешки.

3. Установить, что заражение передавалось именно через флешку.

Далее ИТ-специалисты выяснили, что кто-то из пользователей нашёл у себя дома старую флешку с «ценными сведениями». Флешка была переведена в режим защиты от записи: с неё можно было открыть или запустить файл, но удалить или изменить что-либо на ней было нельзя. Поэтому антивирус на каждом отдельном компьютере срабатывал и блокировал угрозу, но не мог удалить заражённый файл с самого носителя. Флешка оставалась заразной и при подключении к следующему ПК запускала вирус снова.

Выполненные требования:

УЗП. 24, МАС.1, 2, МАС.18, РИ.1, 2, РИ.10

Заключение

ГОСТ Р 57580.1-2017 устанавливает требования к регистрации событий ИБ и выявлению инцидентов. «Мониторинг безопасности» автоматизирует эти процессы, но функции системы не сводятся к формальному соответствию нормам. Собирая и анализируя данные со всей инфраструктуры, она превращает разрозненные события в практический инструмент обнаружения угроз.

Попробуйте «СёрчИнформ Мониторинг безопасности» бесплатно в течение 30 дней и выполните требования ГОСТ быстро и надёжно.    

Текст: Дмитрий Вощуков, старший аналитик – специалист по связям с государственными органами «СёрчИнформ»

Материал также опубликован в печатной версии Национального банковского журнала (сентябрь 2026)