Представим ситуацию: SIEM получила обновление базы IoC, а в нем – вновь обнаруженный домен, который исследователи связали с атакой. Настроенные правила теперь смогут обнаруживать обращения к нему в текущем потоке событий. Но злоумышленник мог использовать этот домен против нашей компании и до обновления. Значит, нам нужно вернуться к накопленным логам и проверить, встречались ли такие обращения раньше.

Пилот на крупном металлургическом предприятии начинался с инвентаризации ПЛК и их проектов. Быстро выяснилось, что на одной площадке работает около десяти сред разработки: наследие Siemens, несколько отечественных платформ и системы, по которым уже никто не мог уверенно сказать, кто их поставил и когда. Так выглядит импортозамещение на практике, когда оно идет не на новом объекте, а на действующем производстве.

Качество данных в SIEM все чаще рассматривают не отдельно от детектирования, а как условие доверия к его результатам. Мы попросили экспертов оценить, насколько такая постановка задачи актуальна для российского рынка и какую роль сама SIEM должна играть в контроле полноты и надежности входных данных.

Поздравляю, вас наняли обеспечивать защиту информации. По моему опыту, готовым к работе можно считать только специалиста со стажем более шести лет – именно в ИБ и в нормальных компаниях. Остальным придется учиться и учиться. Как говорили раньше: забудьте, чему вас учили в институте.

Бизнес требует универсального солдата, а рынок предлагает либо астрономические цены на одних и тех же людей, либо кандидатов, чья экспертиза не выдерживает столкновения с реальными бизнес-процессами.