Ландшафт киберугроз кардинально изменился. Многоступенчатые атаки с использованием легитимного ПО, компрометация цепочек поставок, тихие вторжения, растянутые во времени, – против этого бессильны классические SIEM-решения, построенные на жестких сигнатурах и простой корреляции "событие А – событие Б".

Аудит нашел сто уязвимостей – и что дальше? Сергей Овчинников, директор продуктового департамента "Газинформсервис", рассказал, почему отчет об уязвимостях сам по себе ничего не меняет, чем кибериспытания отличаются от пентеста и Red Team, и как выстроить цикл "проверка – изменения – повторная проверка", который не позволяет защищенности откатиться назад.

Представим ситуацию: SIEM получила обновление базы IoC, а в нем – вновь обнаруженный домен, который исследователи связали с атакой. Настроенные правила теперь смогут обнаруживать обращения к нему в текущем потоке событий. Но злоумышленник мог использовать этот домен против нашей компании и до обновления. Значит, нам нужно вернуться к накопленным логам и проверить, встречались ли такие обращения раньше.

Пилот на крупном металлургическом предприятии начинался с инвентаризации ПЛК и их проектов. Быстро выяснилось, что на одной площадке работает около десяти сред разработки: наследие Siemens, несколько отечественных платформ и системы, по которым уже никто не мог уверенно сказать, кто их поставил и когда. Так выглядит импортозамещение на практике, когда оно идет не на новом объекте, а на действующем производстве.

Качество данных в SIEM все чаще рассматривают не отдельно от детектирования, а как условие доверия к его результатам. Мы попросили экспертов оценить, насколько такая постановка задачи актуальна для российского рынка и какую роль сама SIEM должна играть в контроле полноты и надежности входных данных.