При расследовании длительных атак специалистам приходится обращаться к событиям, произошедшим за недели и месяцы до обнаружения инцидента. Им нужны подробности: с какой учетной записи был выполнен вход в сеть, что происходило на компьютере, к каким ресурсам обращался пользователь. Эти сведения могут находиться в разных системах и храниться в течение разных периодов. Если часть журналов уже удалена, установить первоначальную точку проникновения и полный масштаб компрометации может оказаться невозможно. Security Data Lake позволяет сохранять необходимую историю и возвращаться к ней при появлении новых вопросов.

Современные мошенники имитируют привычное поведение пользователя. Чтобы противостоять злоумышленникам, защитные системы должны анализировать не только действия клиента, но и контекст, в котором он их совершает. Профилирование клиентов и графовая аналитика помогают специалистам по антифроду выявлять подозрительные аккаунты и связанные между собой группы пользователей еще до того, как их начинают использовать в мошеннических схемах.

Долгое время защиту банковских платежей строили на простых правилах – например, ограничивали сумму операции или блокировали вход из новой локации либо с незнакомого устройства. Но мошенники научились подстраиваться под такие системы контроля. Сегодня индустрия постепенно переходит от проверки отдельных операций к анализу платежного профиля клиента.

SIEM обычно сравнивают по цифрам: сколько EPS система переварит, сколько источников подключит, как быстро найдет событие и сколько данных удержит в горячем хранении. Для эксплуатации эти параметры нужны, но о качестве работы SOC они говорят мало, поскольку даже при обработке миллионов событий в сутки можно не заметить атаку, если нужное событие вообще не попало в систему.

Криптовалютным биржам и обменникам приходится рассматривать обращения правоохранительных органов о предоставлении сведений о пользователях и их операциях, а также о блокировке активов. При обработке таких обращений принципиально важно убедиться, что запрос действительно направлен уполномоченным сотрудником, а не злоумышленником, который действует от его имени.