Контакты
Подписка 2023
МЕНЮ
Контакты
Подписка

MaxPatrol SIEM выявляет подозрительную активность в ресурсах, размещенных в сервисах Yandex Cloud

02/12/22

PT-Dec-02-2022-04-34-48-3506-PM

В систему мониторинга событий информационной безопасности MaxPatrol SIEM добавлен пакет экспертизы для выявления подозрительной активности в ресурсах, размещенных пользователями в популярных сервисах Yandex Cloud. Загруженные в систему правила позволяют на раннем этапе обнаружить попытки злоумышленников нарушить конфиденциальность, целостность и доступность данных, хранящихся на облачной платформе.

Ежедневно сервисы Yandex Cloud используют более 19 тыс. компаний. Публичная облачная платформа предоставляет корпорациям, среднему бизнесу и частным разработчикам масштабируемую инфраструктуру, сервисы хранения данных, инструменты машинного обучения и средства разработки. В рамках курса на импортозамещение российский бизнес, который ранее пользовался зарубежными облачными сервисами, активно переносит ресурсы, разработку и эксплуатацию внутренних и клиентских приложений в Yandex Cloud.

В сентябре специалисты Positive Technologies разработали интеграционный модуль[1] (коннектор) для MaxPatrol SIEM. Он загружает в систему данные о событиях, происходящих с ресурсами, которые компании размещают в Yandex Cloud. Следующим этапом сотрудничества с облачной платформой стал выпуск пакета экспертизы. Он включает 17 правил обнаружения подозрительной активности для наиболее востребованных сервисов. В частности, для сервисов Compute Cloud (виртуальные машины и диски), Object Storage (масштабируемое хранилище данных), Key Management Service (управление ключами шифрования), Identity and Access Management (идентификация и контроль доступа к облачным ресурсам), Yandex Lockbox (создание и хранение секретов в инфраструктуре платформы), а также сервисов для управления базами данных (ClickHouse, MongoDB, MySQL, PostgreSQL, Redis).

«Компании в России все чаще выбирают облачные платформы, что создает необходимость уделять внимание любой нетипичной активности, связанной с размещенными там ресурсами. Утечка, потеря доступности данных и распространение вредоносных программ через публичные ресурсы — бизнес-риски, возможность реализации которых, исходя из вектора атаки, может зависеть и от пользователей платформ, — говорит Давид Никачадзеспециалист департамента базы знаний и экспертизы ИБ, Positive Technologies. — В экспертный пакет входят правила, помогающие выявлять подозрительную активность в популярных сервисах Yandex Cloud. Кроме того, мы разработали для MaxPatrol SIEM правила, которые детектируют подозрительную активность, связанную с учетными записями на всей платформе, для всех поступающих в MaxPatrol SIEM событий. Для обнаружения потенциально опасной активности используются механизмы обогащений событий ИБ релевантными данными и табличные списки».

 

С помощью новых правил MaxPatrol SIEM выявляет:

  • Для сервиса Object Storage:

o    нелегитимное предоставление публичного доступа к объектам хранилища — бакетам (нарушает конфиденциальность размещенных на платформе ресурсов и может свидетельствовать о том, что злоумышленники используют этот доступ для загрузки вредоносных программ и иных деструктивных действий).

  • Для сервисов управления различными базами данных (ClickHousePostgreSQLMySQLMongoDBPostgreSQLRedis) :

o    создание пользователем, которого нет в списке администраторов, кластера базы данных[2] (может говорить об активности злоумышленников в системе).

  • Для сервиса Identity and Access Management:

o    подозрительную активность привилегированных учетных записей, имеющих доступ ко всем ресурсам (критически опасное событие, которое может указывать на присутствие злоумышленников в системе);

o    активность сервисных учетных записей из диапазона IP-адресов вне облака (может быть одним из признаков компрометации инфраструктуры).

  • Для сервиса Compute Cloud:

o    создание виртуальной машины с уже использующимся IP-адресом (таким способом злоумышленники, как правило, скрывают свое присутствие в системе либо собирают конфиденциальные данные путем перехвата сетевого трафика);

o    обнаружение чувствительной информации в пользовательских метаданных при создании виртуальной машины (является явным нарушением конфиденциальности данных и может привести к их утечке);

o    нелегитимное предоставление виртуальной машине доступа к серийной консоли[3] (редко используется в легитимных сценариях, поэтому каждый подобный случай требует дополнительной проверки и расследования);

o    назначение сервисной учетной записи, имеющей доступ к секретам[4] сервиса Yandex Lockbox, виртуальной машине (указывает на неправильное разграничение прав доступа к ресурсам, что чревато утечкой данных).

В планах Positive Technologies — расширять набор правил для сервисов Yandex Cloud.

Темы:Пресс-релизPositive TechnologiesОтрасльMaxPatrol SIEM
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2022
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ

Еще темы...