Обычно SOC предлагает меню сервисов, из которого заказчику предлагается самостоятельно выбрать тот или иной комплект услуг. Это не совсем корректно, поскольку не дает возможности связать получаемые услуги с бизнес-целями самого заказчика. CyberART придерживается другого подхода: с самого начала вместе с заказчиком определяются так называемые недопустимые события, то есть действительно критичные для компании, которые могут нанести серьезный ущерб как операционной деятельности, так и стратегическим целям, а иногда даже привести к краху компании.
Автор: Владимир Дмитриев, руководитель центра предотвращения киберугроз CyberART ГК Innostage
Далее все недопустимые события рассматриваются в контексте инфраструктуры, определяя системы, на которых потенциальный злоумышленник может реализовать их. Аналитики CyberART выявляют сегменты, в которых находятся эти системы, таким образом строя потенциальные сценарии реализации недопустимых событий.
Затем в дело вступает "красная" команда CyberART, одной из основных задач которой является проверка текущего уровня защиты. Проверяется собственная инфраструктура заказчика, ее текущее состояние, устойчивость к угрозам, имеющиеся уязвимости, исследуется периметр, через который потенциальный злоумышленник может проникнуть в систему. Исходя из результатов проверки настраивается сервис мониторинга на уровне инфраструктуры, объектов, сети, бизнес-приложений и т.д.
В дальнейшем недопустимые события исключаются соответствующими технологиями, работами и экспертизой специалистов CyberART. Данный подход основан на концепции практической безопасности стратегического партнера ГК Innostage – компании Positive Technologies.
CyberART предлагает разные модели взаимодействия с SOC:
SOC CyberART технологически во многом основывается на решениях своего стратегического партнера – компании Positive Technologies. Используются также и доработанные нашей командой системы на базе продуктов Open Source, включая специализированные утилиты для киберзащиты, стэк технологий больших данных и др. Для того чтобы связать все продукты и процессы в единое целое, в ядре SOC CyberART используется собственная платформа реагирования на инциденты ИБ Innostage IRP [1].
Во многих отраслях недопустимые события, как правило, должны быть исключены в первую очередь на производстве. Стоит отметить, что в зарубежной практике разделены понятия ИТ-SOC и ОТ-SOC, они смотрят на корпоративный и технологический сегмент соответственно. Однако опыт показывает, что такое разделение не оптимально, поскольку технологии и там, и там используются одни и те же, тактики и техники злоумышленников во многом совпадают, разве только цели различаются. С учетом этого в CyberART есть команды аналитиков, которые специализируются на защите технологического сегмента, и есть команды, которые специализируются на корпоративных сетях. При этом они обмениваются знаниями и умением делать недопустимые события невозможными.
Ни одна атака не происходит мгновенно, она, как правило, проходит стадии разведки, закрепления, проникновения, продвижения, и только потом происходит целенаправленное воздействие. В рамках нашего подхода о недопустимости неприемлемых событий ИБ мы стремимся сократить количество точек возможного проникновения в защищаемую систему. Для этого увеличивается число шагов от периметра до целевой системы, то есть возрастает сложность возможной атаки.
Технически подключить к SOC можно любую инфраструктуру. Но в тривиальном случае это ничего не даст, кроме потока событий и уведомлений, не приводящего к какому-либо полезному результату. Поэтому не любую инфраструктуру можно подключить к SOC эффективно, и могут потребоваться определенные работы по ее трансформации.
Как правило, у заказчика не бывает много недопустимых событий и все они локализуются на известных целевых системах. В этом случае SOC может сконцентрироваться на контроле и защите именно этих целевых систем. Иными словами, если у заказчика есть филиальные сети от Кореи до Карелии, но при этом руководство определяет первоочередной задачей защиту от определенных событий только в значимых системах, то можно сконцентрироваться на защите именно данных систем, не "размазывая" функциональность SOC на всю инфраструктуру. В противном случае может получиться долго, дорого и без должного уровня качества. Если заказчик знает, что конкретно он хочет защитить, то получает возможность выделить бюджет именно на защиту необходимых систем, не ввязываясь в подключение тысяч источников во внутреннюю или внешнюю SIEM.
Для совершенствования внутренних процессов SOC CyberART использует три инструмента:
Опыт CyberART подсказывает, что существуют три распространенные проблемы при взаимодействии заказчика с внешними SOC.
Как объяснить топ-менеджменту, зачем организации нужен SOC и почему за это нужно платить? Разумеется, отчеты с техническими метриками о количестве поступивших в систему событий, отработанных правилах, временных характеристиках – все это бизнесу неинтересно ни в режиме реального времени, ни постфактум. Для коммуникации с топ-менеджментом как раз прекрасно подходит практическая концепция недопустимых событий. Она позволяет SOC говорить на языке бизнеса: для вас выделены конкретные недопустимые события, наступление которых чревато финансовыми потерями, остановкой производства, репутационными издержками. И SOC в этой концепции занимается не просто мониторингом, а именно предотвращением киберугроз.
Формы представления информации для руководства заказчика могут быть различными, они меняются от компании к компании, от отрасли к отрасли и совсем не обязательно должны быть эстетически приятными. Достаточно доступно рассказать бизнесу про риски и реализацию функции предотвращения того, что действительно для него недопустимо.
Что ж, рассмотрим более конкретную ситуацию: прошел очередной год использования SOC, за который не произошло ни одного инцидента. Как в этих условиях обосновать топ-менеджменту заказчика целесообразность дальнейшего использования SOC? Как доказать, что недопустимое для заказчика на самом деле невозможно? На помощь приходят регулярные киберучения, в рамках которых привлекаются независимые команды атакующих. Таким способом демонстрируется, что SOC действительно способен обнаруживать потенциальные атаки, а также блокировать действия атакующих до того, как они дошли до целевой системы и смогли реализовать неприемлемое.
Но мы пошли еще дальше, предусмотрев опцию в контракте на обслуживание, активирующуюся в случае, если за период не произошло атак. Дело в том, что часть стоимости сервиса закладывается как раз на активную фазу противодействия, в которой наши аналитики занимаются разбором и реагированием в усиленном режиме. Если подобных атак за время оказания сервиса не зафиксировано, мы можем вернуть часть стоимости сервиса либо в виде снижения суммы счета, либо в форме зачета оплаты за будущие периоды. Это честно и всегда прекрасно воспринимается топ-менеджментом.
К сожалению, часто в конкурсах заказчики, исходя из сложившейся практики, начинают требовать те параметры, которые на самом деле им не нужны: реакцию на инцидент в течение 20–30 мин., поток в 10 тыс. событий в секунду, предоставления 97% доступности сервиса. Да, конечно, все это в конечном счете имеет значение, но это лишь технические параметры, которые не отвечают на главный вопрос: а зачем, собственно, SOC нужен?
Рынок ждет следующий шаг в развитии концепции SOC, когда сервис станут выбирать не по численным характеристикам, а по понятной пользе – защите собственных объектов от недопустимых событий. Мы преследуем цель исключить реализацию недопустимых событий и киберрисков за счет создания центра предотвращения киберугроз, под который мы трансформируем наш SOC. Он решает главную потребность заказчиков – недопущение рисков и бесперебойную работу бизнеса.