Часто системы управления событиями ИБ (SIEM) используют только для наблюдения за корректной работой ИТ-инфраструктуры и контроля внешних угроз. Но это решение может также стать эффективным инструментом превентивной защиты от внутренних нарушений. Покажем это на примере одного инцидента и системы “СёрчИнформ Мониторинг безопасности”.,

Эта сцена повторяется из года в год. Руководитель службы информационной безопасности приходит защищать бюджет на следующий период. У него на руках модель угроз, отчет о заблокированных атаках, план закупок средств защиты и ссылки на требования регуляторов. Собственник или финансовый директор задает простой вопрос: что предприятие получило за деньги, потраченные на безопасность в прошлом году. Понятного экономически обоснованного ответа обычно нет.

При расследовании длительных атак специалистам приходится обращаться к событиям, произошедшим за недели и месяцы до обнаружения инцидента. Им нужны подробности: с какой учетной записи был выполнен вход в сеть, что происходило на компьютере, к каким ресурсам обращался пользователь. Эти сведения могут находиться в разных системах и храниться в течение разных периодов. Если часть журналов уже удалена, установить первоначальную точку проникновения и полный масштаб компрометации может оказаться невозможно. Security Data Lake позволяет сохранять необходимую историю и возвращаться к ней при появлении новых вопросов.

Современные мошенники имитируют привычное поведение пользователя. Чтобы противостоять злоумышленникам, защитные системы должны анализировать не только действия клиента, но и контекст, в котором он их совершает. Профилирование клиентов и графовая аналитика помогают специалистам по антифроду выявлять подозрительные аккаунты и связанные между собой группы пользователей еще до того, как их начинают использовать в мошеннических схемах.

Долгое время защиту банковских платежей строили на простых правилах – например, ограничивали сумму операции или блокировали вход из новой локации либо с незнакомого устройства. Но мошенники научились подстраиваться под такие системы контроля. Сегодня индустрия постепенно переходит от проверки отдельных операций к анализу платежного профиля клиента.