Searchinform как обнаружить на компьютере и удалить

Как найти DLP агент в системе?

Добрый день.
На работе УБ внедрил DLP. Скорее всего FalconGaze SecureTower.
Как агент проявляется в системе? Например Win7 x64. Где искать агента? каким ПО можно посмотреть куда он шлет запросы и тд.
Очень хотелось бы найти DLP-агент в системе.
Спасибо.

Вопрос задан более трёх лет назад
28918 просмотров

Комментировать
Решения вопроса 1

Первым делом Вам нужны админские права на машине. Они есть?

Если есть, то ProcessHacker в помощь.

Ответ написан более трёх лет назад
Комментировать
Нравится Комментировать
Ответы на вопрос 4

Доброго времени суток!
Хочется поделиться своими наблюдениями — может кому и пригодится.

Все нижесказанное будет относится к Falcongaze SecureTower.
Несмотря на то, что клиент пытается любыми способами скрыть свое присутствие, все тайное, рано или поздно становится явным.

1. Подмена сертификата.
Отрываем в браузере любой ресурс, который использует https и смотрим данные сертификата. При установленном DLP-клиенте, в разделе «Certification Path» будет присутствовать сертификат, подписанный Falcongaze SecureTower.
При установке, клиент SecureTower добавляет свой сертификат в доверенное хранилище корневых сертификатов (Trusted Root Certification Authorities).
Вообще, при любых подозрениях, данное хранилище можно периодически просматривать — вдруг найдете что-то интересное.

2. Расположение файлов.
Если вы будете искать файлы и каталоги установки клиента визуально, или используя механизм поиска в проводнике (любом другом файловом менеджере) — скорее всего ничего так и не будет найдено.
Но выход есть, все оказывается куда проще — берем пути:

C:\Program Files\Falcongaze SecureTower C:\Program Files (x86)\Falcongaze SecureTower #для x64 C:\Users\%username%\AppData\Local\Falcongaze SecureTower

и по-очереди вставляем в адресную строку проводника — давим Enter.
Если клиент присутствует — в открытом окне вы будете лицезреть его файлы и следы жизнедеятельности.

Данный способ проверен на OS Windows 7 и выше.

3. Реестр.
При установке клиента Secure Tower, будет создан следующий раздел реестра:
[HKEY_LOCAL_MACHINE\SOFTWARE\FalconGaze]
Внутри данного раздела, если таковой существует, будет несколько подразделов. Из них можно почерпнуть немного дополнительной информации: путь установки, текущая версия, адрес сервера и порт подключения.

4. Сеть.
По-умолчанию, для связи с сервером, Secure Tower использует порт 10500.

5. Процессы.
Как и в случае с каталогами и файлами, клиент умеет отлично маскировать свои процессы (если захочет) в Диспетчере задач Windows.
Вот список наиболее вероятных процессов:

FgstEpaCss.exe FgstEpaCssHlp.exe FgStEPAgentSvcHost.exe

Для того, что бы их «выщемить», нужно запустить старый добрый Process Monitor и открыть Process Tree — от него еще никто не уходил.

6. Skype
Как известно, многие DLP-системы умеют перехватывать сообщения (некоторые, особо продвинутые — даже записывать разговоры) Skype. Вы, наверное, хотите спросить: Как они это делают? Ведь протокол Skype надежно зашифрован, и никому (практически) не удалось приблизиться к его расшифровке.
На самом деле, до дешифровки данных, переданных по закрытым протоколам, дело как-раз и не доходит вовсе. Клиент Secure Tower извлекает данные непосредственно из самого Skype.

Способ номер раз: он (клиент) регистрирует один из своих модулей, как доверенное приложение Skype. Последнее извлекает данные, используя документированное и открытое API.
Проверить Skype на наличие незваных гостей можно, выбрав пункт меню Инструменты -> Настройки. -> Дополнительно -> Расширенные настройки -> Контроль доступа других программ к Skype (проверено для Skype 6.20.0.104).
В окне «Контроль доступа программного интерфейса» будут перечислены все приложения, которые имеют доступ к вашим данным в Skype. Возможно, у себя, открыв данное окно, вы найдете много чего нового и интересного!
В настоящее время данный способ практически не используется, т.к. все (в край обнаглели) перешли к способу номер два.

Способ номер два: Skype хранит историю переписки БД SQLite в лучших традициях жанра — в открытом виде.
Путь расположения файла БД:

C:\Users\%username%\AppData\Roaming\Skype\[имя_пользователя_Skype]\main.db

Вот именно этот файл периодически и дергает DLP-клиент.

Ставим растяжку
Запустить Process Monitor и создать новый фильтр:

---------------------------------------- | Column | Relation | Value | Action | ---------------------------------------- Path contains main.db Include

Нажать OK и ждать, пока сработает. В идеально чистой системе, кроме самого Skype, к данному файлу никто обращаться не должен. Если в системе завелась «живность» — ждать придется недолго.

Заключение
Всегда стоит учитывать тот факт, что разработчики не сидят сложа руки, DLP-системы постоянно совершенствуются (усложняются, порождается большее число новых багов) и методы, описанные выше, могут не сработать для новых версий.

Кроме этого, многое зависит от политик безопасности, согласно которым настроен клиент. Отдельные модули (перехват сообщений Skype, контроль https трафика и т.д.) могут быть отключены и соответственно, каждый отдельный пункт не может дать 100%-го результата.

Для обнаружения ПО такого рода всегда следует использовать комплексный подход, который включает проверку по всем пунктам. Кроме этого, используя некоторые из данных методов, существует вероятность отследить не только Secure Tower, но и его «конкурентов».

P.S. В завершение обращаюсь ко всем, кого заинтересовал данный вопрос: если Вам известны другие способы (методы, действия и т.д.) по обнаружению DLP-клиентов — пишите здесь (думаю, что автор вопроса будет не против). Любая информация всегда будет полезной!

ИИ как предсказатель утечек данных

ИИ как предсказатель утечек данных 31.08.2020 00:00

Валерий Естехин, эксперт по вопросам информационной безопасности, автор блога estekhin.blogspot.ru

Личный опыт использования какой-либо технологии всегда имеет большее значение, чем любой маркетинг. Опыт работы с DLP-решениями (Data Leak Prevention) влияет на знание деталей применения, а осмысление этого опыта подталкивает иногда к довольно острым умозаключениям.

Прогресс цивилизации заключается в увеличении количества важных действий, которые мы выполняем не думая.

Альфред Норт Уайтхед

Максим Ксенофонтов, ведущий инженер Департамента информационной безопасности АМТ-ГРУП
Дмитрий Кандыбович, генеральный директор StaffCop (ООО “Атом Безопасность”)
Анна Попова, руководитель блока DLP, Infosecurity a Softline company
Галина Рябова, руководитель направления Solar Dozor компании “Ростелеком-Солар”
Алексей Дрозд, начальник отдела информационной безопасности “СёрчИнформ”
Александр Клевцов, руководитель направления InfoWatch Traffic Monitor
Андрей Арефьев, директор по инновационным проектам ГК InfoWatch
Мария Воронова, директор по консалтингу ГК InfoWatch
Дарья Орешкина, директор по развитию бизнеса, Web Control
Владимир Ульянов, руководитель аналитического центра Zecurion
Когда покупаешь DLP-решение, чувствуешь свою важность

Обычно DLP-система позиционируется как решение для защиты от утечек данных и противодействия инсайдерам. DLP – недешевое удовольствие. Такое решение при расчете на количество охваченных системой пользователей в диапазоне 1500–2000 человек в докризисные времена могло стоить 10–12 млн руб. Поэтому, когда руководство согласовывает бюджет на DLP, безопасник чувствует себя весьма значимым лицом в компании, участвующим в принятии важных решений.

На профильных конференциях нередки высказывания о том, что половина затрат на обеспечение информационной безопасности неэффективна. DLP-решения, как мне кажется, являются подходящей иллюстрацией. Проблемы эксплуатации DLP-систем кроются не столько в технических аспектах работы, сколько в непонимании на начальном этапе эксплуатации сложности внедрения применяемых технологий и, как следствие, в завышенных ожиданиях пользователей таких систем. У меня отношение к DLP такое же, как к офисным пакетам: большинство потребителей использует только, условно говоря, 10% возможностей подобного ПО.

Что характерно, базовые вещи в DLP-системе, такие как контроль почты, контроль съемных носителей, поиск по ключевым словам, регулярные выражения, а также нелюбимые всеми DLP-агенты работают нормально. Но детали применения DLP обычно меняют картину до неузнаваемости.

Тонкости, о которых знают только профессионалы

Даже если вы приобрели решение, вобравшее, как вам кажется, в себя все лучшее, что на данный момент представлено на рынке, не факт, что оно идеально впишется в вашу ИТ-инфраструктуру:

если система собирает всю возможную информацию, то она будет требовательной к вычислительным ресурсам;

если система с высокой точностью определяет факт утечки, то она требует детального описания ваших активов и правил контроля за ними;

если система может прерывать высокорисковые процессы, то она и сама создает дополнительные риски для бизнеса.

После развертывания системы в полном объеме вдруг всплывают вопросы недостатка вычислительных ресурсов, места для хранения архивов, недостаточной скорости передачи данных по сети. Как следствие, чем больше аналитиков подключаются напрямую к серверу обработки данных, тем медленнее работает система, перегружаясь событиями.

Комментарии экспертов

Дарья Орешкина: Подвох кроется в краткости определения DLP: можно подумать, что это рубильник для выключения утечек, но это не так. Система дает возможности отслеживания взаимодействия людей как внутри компании, так и с внешними контрагентами, и именно с помощью этой ценности можно попытаться обнаруживать или даже предотвращать утечки. DLP может автоматизировать задачи сбора и базового анализа информации, но покупатель должен хорошо представлять, что именно нужно автоматизировать и как использовать результаты.

Максим Ксенофонтов: Зачастую DLP-система действительно покупается по принципу «чтобы не хуже, чем у других», особенно когда на это есть бюджет и возможность убедить руководство в необходимости таких затрат. Но есть и другой подход: когда специалисты по информационной безопасности проводят технический и процессный аудит ИБ в компании, разрабатывают модель угроз и модель нарушителя, формируют адаптированный перечень мероприятий для защиты от выявленных угроз. И уже только тогда понимают, есть ли среди этих мероприятий установка DLP и какие модули необходимы. И цена в расчете на пользователя в таком случае получается намного меньше, чем если покупать весь набор лицензий без предварительного анализа.

Александр Клевцов: Такие вопросы снимаются за счет подготовки к внедрению. Вендор на этапе пилота проводит расчет вычислительных мощностей, объемов хранения, сроков, объемов трафика, количества контролируемых сотрудников, заранее снимает риск неправильного выбора железа. DLP не внедряется за один день, хотя некоторые пытаются.

Галина Рябова: В 2019 г. мы проводили исследование основных причин разочарований заказчиков в DLP-системах. По итогам опроса одна половина заказчиков ответила, что современные системы защиты от утечек перегружены различной функциональностью, а другая – что они, наоборот, имеют недостаточный функционал. Такая ситуация возникает потому, что на рынке нет единой концепции применения DLP-систем, какие задачи и как они должны решать. Сфера деятельности закрытая: применяя DLP для решения задач безопасности, заказчик, как правило, не делится своим опытом с вендором и отраслью, поэтому не вырабатываются best practices. В итоге заказчики не осознают в полной мере все возможности этих решений и используют лишь малую часть доступного функционала.

Владимир Ульянов: Действительно, выбор DLP-системы, особенно для компаний, где свыше тысячи рабочих мест, – процесс нетривиальный. Если смотреть только маркетинговые материалы разработчиков, скорее всего вам захочется купить все – так они хороши. В этом случае поможет независимая внешняя оценка.

Анна Попова: Зачастую, принимая решение о покупке DLP-системы, мы не задумываемся о том, к чему нас это обязывает, какие мы должны выполнить требования при этом и как будет организована трудовая деятельность аналитиков и инженеров при работе с системой. Поэтому так важно при подборе DLP-системы, ее тестировании составлять чек-лист, по которому возможно будет сформировать грамотное и реально работающее ТЗ на систему.

Алексей Дрозд: Самый простой способ рассчитать нагрузку на ИТ-инфраструктуру – ставить на тест DLP в «максимальной комплектации» на как можно большем количестве машин. Поэтому на время пилота мы не ограничиваем число бесплатных лицензий. Если нужно контролировать больше, чем позволяет инфраструктура клиента, можно ввести распределенную систему обработки перехвата или развернуть КИБ в облаке.

Дмитрий Кандыбович: Наше решение очень легко устанавливается, очень легко масштабируется под размеры рабочего парка, поэтому проблем с перегрузками у нас не возникает. Касательно вопроса работы с активами – на мой взгляд, при правильно организованном, логичном контроле за работой ответственных лиц эта проблема не проявляет себя. А если еще и имеются мощные средства анализа, то эта проблема перестает быть актуальной в принципе. Главное – это правильный подход к проработке DLP-системы, начиная от общего принципа и заканчивая набором инструментов, предлагаемых системой.

Функциональность «из коробки» и кастомизация

В процессе эксплуатации DLP приходит понимание, что результативность работы системы сильно зависит от грамотной настройки автоматизации поисковых алгоритмов. Как следствие, установив систему «из коробки», что-то обнаружить можно только при очень большом трудолюбии или совсем явном нарушении со стороны сотрудников. У безопасников сразу возникает масса дополнительной ручной работы по анализу данных. А значит, неминуемо встает вопрос доукомплектации штата для работы с DLP-системой – нужны грамотные аналитики..

Мало кто в компании обладает видением всего бизнес-ландшафта, каждый занимается лишь своим участком работ, поэтому потребуется сформировать общий перечень категорий информации. И это, как правило, становится самостоятельным проектом по защите данных, который не вызовет энтузиазма ни у кого в компании, кроме, может быть, вас. Это проявится в полной мере, когда потребуется прийти с неудобными вопросами в бизнес-подразделения, отнимая их внимание и время на зарабатывание денег для организации.

Комментарии экспертов

Алексей Дрозд: DLP, которая дает 100%-ный результат «из коробки» – утопия. Даже с огромным набором предустановленных правил контроля (у нас, например, таких больше 300) система требует донастройки под конкретную компанию. Чтобы упростить эту задачу для клиента, у нас работает отдел внедрения.

Анна Попова: Кастомизация работы DLP-системы, тюнинг ее политик и настроек – это, пожалуй, базовая вещь, без выделения ресурса на которую нет смысла в приобретении ПО.

Александр Клевцов: Для крупных организаций DLP-системы по определению не могут быть коробочными, мы давно это говорим. Для упрощения жизни клиента у нас есть консалтинг, делающий внедрение безболезненным. Одновременно делаем упор на развитие технологий анализа: чем умнее технологии, тем меньше ручной работы.

Максим Ксенофонтов: В целом это базовая задача для любого департамента ИБ: знать защищаемые информационные активы, их свойства (категории, содержание и пр.), места хранения, владельцев и модель доступа к ним. И если ранее такая «инвентаризация» не была сделана, то действительно приходится сначала проводить базовое обследование для определения защищаемых активов.

Дмитрий Кандыбович: Использование системы ложится на офицеров ИБ, без этого никак, любая система может только предупреждать и ограничивать в простейших операциях. Проводить расследование – обязанность человека.

Галина Рябова: Одной из задач, которые мы ставили при разработке DLP, была автоматизация рутинных сценариев работы офицера безопасности. В этой части DLP-системы не должны требовать заметной кастомизации. Гораздо важнее наличие методик решения стандартных задач. Что действительно требует настроек – это политика фильтрации, потому что в каждой компании свои информационные активы, которые нужно защищать, и форматы их представления, а ложноположительные срабатывания, подобно спаму, съедают время безопасников.

Дарья Орешкина: Ключевой вопрос при внедрении DLP – заинтересован ли бизнес в контроле коммуникаций. Если да, то необходимый импульс можно будет сформировать и передать по иерархической цепочке управлений и департаментов. Любого сотрудника, даже самого ответственного и дружелюбного, нужно мотивировать на выполнение той или иной задачи.

Владимир Ульянов: По нашему многолетнему опыту, даже сами сотрудники бизнес-подразделений не всегда знают точно, где какая информация хранится. Поэтому большую помощь окажут инструменты класса Discovery, которые входят в состав Enterprise DLP. Эти программы в автоматизированном режиме сканируют корпоративные ресурсы, классифицируют данные и находят все места хранения конфиденциальной информации.

Выбрали DLP с охватом всех возможных каналов утечки?

В поисках ответа потребуется определить реальные каналы утечки информации, обычно это является частью аудита информационной безопасности в компании. Если обнаруженные потенциально опасные каналы не решаются DLP- комплексом, приходится подключать дополнительные технические меры защиты. Возможно, DLP поможет предотвратить утечку, но система не может заменить все современные инструменты защиты данных.

Производители часто заявляют, что настроили простой и понятный процесс наладки DLP, который не потребует регулярных консультаций у технических специалистов. Но в реальности помощь вендора понадобится как в начале работы, так и в процессе последующей эксплуатации системы; по моему опыту, частота таких подключений – примерно раз в квартал. За каждый дополнительный запрос с вашей стороны производитель, скорее всего, выставит солидный счет на доработку.

Комментарии экспертов

Максим Ксенофонтов: DLP может не покрывать все возможные каналы утечки информации, например ПЭМИН, лазерную разведку или DNS Exfiltration. Соответственно, для тех угроз, которые не закрываются DLP, необходимо реализовывать другие мероприятия для защиты информации.

Владимир Ульянов: Именно здесь и выявляются расхождения между заявлениями разработчика и реальной эксплуатацией. Хороший вариант – попробовать DLP на пилотном проекте. Это позволит оценить реальные возможности системы и удобство ее использования, а не только красочность маркетинговых брошюр или талант менеджера по продажам.

Дарья Орешкина: Доработка и донастройка требуют определенных ресурсов. Но раз люди начинают использовать новые технологии и решения, значит они удобнее прежних и дают дополнительные преимущества. Безопасность ни в коем случае не должна препятствовать развитию.

Галина Рябова: Да, DLP-система требует квалифицированного внедрения и технического сопровождения. Но как у хорошего сисадмина мало работы, так у хорошо внедренной DLP-системы мало проблем. Поэтому, конечно, имеет смысл обращаться к вендору, ведь у него самая глубокая экспертиза по своему продукту.

Анна Попова: На практике это часто работает так: ты завел тикет в службу техподдержки вендора и ждешь. Иногда долго. Затем начинается процесс «борьбы» с вендором за выяснение обстоятельств сбоя или ошибки системы, который может ничем не закончиться.

Алексей Дрозд: Часто дело не в недостатке функционала DLP, а в том, что у клиента до нужных функций «не доходят руки». Чтобы таких ситуаций не возникало, мы бесплатно обучаем работе с системой. Мы остаемся на связи с заказчиками, потому что живой фидбэк – основа для развития продукта и релиза новых.

Андрей Арефьев: Со временем задачи эволюционируют. На начальном этапе ИБ хочет знать, что происходит, и закрыть очевидные проблемы. По мере роста зрелости процессов защиты информации возникают новые задачи, это нормально. Платить за доработки придется, если система незрелая.

Дмитрий Кандыбович: Поэтому наше решение не является только DLP-системой, а включает в себя множественный функционал, стоящий на трех основных китах – мониторинге, аналитике и блокировке. Мы делаем хорошо свою работу, поэтому неважно, как свою работу делает клиент, наше решение сработает в любом случае.

Правовые основания для поиска злодеев

Любая организация, установив DLP- систему, начинает всматриваться в свои ряды в поисках злодеев. Негодяи, как правило, находятся. Чтобы с ними «расправиться», требуется тщательная подготовка правовой стороны применения DLP-систем в организации. Необходимо публично определить границы личного и производственного, зафиксировать это в документах и ознакомить сотрудников.

А для этого задача предотвращения утечек информации должна быть зафиксирована вашей организацией по результатам оценки рисков. Должно быть также принято решение о проведении деятельности по предотвращению утечек информации конфиденциального характера (о требованиях и рекомендациях по предотвращению утечек информации в кредитных организациях можно узнать из нормативных документов: ГОСТ Р 57580.1–2017; РС БР ИББС-2.9–2016).

Комментарии экспертов

Дмитрий Кандыбович: В любой компании, которая озабочена своей ИБ не для галочки, а для реальной защиты бизнес-процессов, а по факту – денег, все это должно быть проработано. Где деньги, там обязательно поблизости крутятся злоумышленники, а для борьбы с ними юридическая основа обязательно должна быть готова. Нельзя стрелять из пушки, не купив порох.

Максим Ксенофонтов: Кроме того, некоторые DLP позволяют не читать всю переписку пользователя, а обращать внимание только на предположительные нарушения, расследование которых является вполне законным мероприятием. А сам же анализ переписки происходит машинным способом, что не нарушает тайну переписки.

Анна Попова: Юридические аспекты нужно обсуждать и решать еще до внедрения или при внедрении системы, а не на этапе ввода ее в боевой режим. В противном случае ваша работа, и особенно результаты ваших внутренних расследований с использованием данных, полученных благодаря DLP-системе, могут пойти прахом.

Галина Рябова: Для своих заказчиков мы разработали набор рекомендаций, как легализовать DLP в компании. Однако на практике в России больше половины компаний устанавливают системы защиты от утечек, не уведомляя об этом сотрудников. Соответственно, и большинство инцидентов, связанных с утечкой конфиденциальной информации, решаются вне правового поля.

Алексей Дрозд: DLP можно и нужно пользоваться легально, для этого никаких препятствий нет. «Легализация» DLP необходима как минимум для выполнения требований закона (от ФЗ-152 до норм Конституции).

Мария Воронова: Систему нужно настроить и обеспечить ее правомерность, чтобы все фиксируемое DLP априори являлось доказательной базой. Для этого нужно закрепить принципы легитимной обработки конфиденциальной информации, установить правовые основы для мониторинга и контроля инфопотоков, обеспечить возможности для расследования инцидентов, сбора доказательств и принятия решений о взыскании, увольнении, обращения в правоохранительные органы и т.д.

Дарья Орешкина: Зачастую нарушения происходят неумышленно. Тогда DLP помогает предотвратить случайные инциденты. Также замечено, что сотрудники обычно не хотят ввязываться в активности, о которых система проинформирует как о нежелательных. В этом случае DLP с функциями real-time оповещения пользователей выступает в роли обучающей системы по корпоративным нормам информационной безопасности.

Владимир Ульянов: Очевидно, что права сотрудника не должны нарушаться, но никаких нарушений в контроле организацией своей коммерческой тайны нет. Сложнее бывает соблюсти баланс интересов работника и работодателя, сделать так, чтобы сотруднику было комфортно в офисе, не чувствовать себя зверьком, действия которого рассматриваются под лупой.

Еще несколько нюансов

Приведу еще несколько наблюдений о DLP из личного опыта двухлетней давности. Возможно, что-то из приведенного ниже списка уже неактуально.

Пользователю системы приходится администрировать большую часть компонентов системы из разных консолей – это неудобно.

Ненормально, что не предусмотрена защита от удаления DLP-агента, который обнаруживается на компьютере продвинутым пользователем с обычными правами.

Как показывает практика, цифровые отпечатки полноценно работают только применительно к текстовым документам.

Пользователю системы, как правило, недостаточно предустановленных правил контроля и словарей с экземплярами защищаемых данных.

В большинстве DLP отсутствует машинное обучение.
Существует мало реальных интеграций DLP с существующими на рынке SIEM-системами.
Комментарии экспертов

Максим Ксенофонтов: Если обобщить, то подобные проблемы сводятся к двум типам: функциональности нет, так как она слабо востребована или новая (например, машинное обучение), или что-то не настроено в конкретной инсталляции (например, интеграция с SIEM). Первый тип проблем решается с помощью запросов на улучшение (RFE) разработчику, а второй – хорошим интегратором и грамотным заданием на работы.

Дмитрий Кандыбович: Staffcop Enterprise не только отслеживает что именно сотрудник делает на компьютере, но и ограничивает в запуске приложений, потенциально опасного софта, веб-сайтов, внешних носителей и т.д. Это искореняет проблему атак на локальный агент. Важно не только оснастить систему функционалом и упростить внедрение, но и сделать так, чтобы пользователь просто пользовался (как в Apple). Одной из наших целей было сокращение времени настройки, чего мы успешно добились.

Анна Попова: К сожалению, заявленный функционал системы не всегда соответствует реальному. В основном обычно разочаровывают заявления вендоров о том, что система перехватывает данные такого-то мессенджера, например. На деле мы видим, что не во случаях перехватывает или ограниченно (только текст или без голосовых звонков). Также продвинутые технологии распознавания часто могут подвести только из-за того, что распознаваемый документ будет просто нечитабелен из-за плохой скан-копии, и ни одна система с этим ничего сделать не сможет.

Галина Рябова: Машинное обучение как подход в DLP развития не получил, потому что для любой обучающейся модели нужен большой объем данных и много часов обучения. Но заложенные в Solar Dozor UBA алгоритмы класса «обучение без учителя» не требуют на этапе обучения экспертной маркировки категорий данных. Соответственно, не нужны и предварительные работы по настройке и адаптации технологии под новые условия эксплуатации. Для анализа устойчивости показателей поведения пользователя и детектирования аномалий (отклонений в поведении) достаточно истории поведения за два месяца.

Алексей Дрозд: Например, в КИБ агент надежно скрыт даже от привилегированных пользователей. КИБ интегрируется с SIEM любых производителей (в том числе нашей собственной) и почти с любыми другими ИТ-системами, от СКУД и расчетчиков зарплаты до DCAP и DAM.

Александр Клевцов: По нашему опыту, в больших компаниях администрирование и эксплуатация DLP – это разные роли. Иногда консоли разделяются отдельно для настройки, администрирования и отдельно для мониторинга и расследований. Агент Тraffic Мonitor с обычными правами не получится отключить, привилегированные права и даже продвинутые «хакерские приемы» не помогут: системный драйвер, отвечающий за целостность агента, вернет его обратно. У TM интеграции есть с многими производителями SIEM.

Владимир Ульянов: Для DLP-систем нормальна модульная архитектура, повышающая гибкость использования. Заказчик может под себя сконфигурировать систему, сократив и бюджет проекта, когда отдельные модули не нужны. Несколько консолей не только существенно затрудняют работу офицера безопасности, но и сказываются на эффективности защиты.

Дарья Орешкина: В глобальном смысле множество консолей, похоже, не исчезнет никогда, потому что как только появляется «единая консоль», технический прогресс добавляет нам новую систему с собственной консолью.

На стыке DLP, пандемии и ИИ

Представим организацию в виде человеческого организма, в котором завелся вирус (в терминах DLP – инсайдер). Наша задача – найти в организме информацию о вирусе, который движется по кровеносным сосудам организма.

Прежде всего нас, конечно, интересует работа сердца (бизнес-процессы организации), чистота легких (в нашем примере пусть это будет электронная почта) и деятельность разных клеток крови:

эритроцитов (например, сотрудников), которые переносят кислород и углекислый газ;

лейкоцитов (сотрудников с повышенными привилегиями в информационных системах), обеспечивающих работу иммунной системы;

тромбоцитов (руководство), обеспечивающих свертываемость крови.

Кстати, как тромбоциты не признаются учеными-медиками полноценными клетками, так и в контексте борьбы с утечками и инсайдерами топ-менеджмент иногда выводится за скобки мониторинга DLP-систем.

Принято определять здоровье организма, измеряя температуру тела (информацию, которая движется в электронном виде внутри организации), а также проверяя пульс (в контексте DLP аналогом станет модуль контроля рабочего времени).

Совокупность всех измеряемых параметров организма-организации помогает поставить диагноз (собрать доказательную базу), присутствует или нет вирус-инсайдер. Иногда вирус может до определенного времени вообще никак себя не проявлять, и тогда болезнь протекает бессимптомно.

Если у вас нет вакцины, то вам трудно защитить организм от неизвестного вируса.

Элементами такой вакцины в контексте DLP могут стать технологии искусственного интеллекта (ИИ), машинное обучение и нейронные сети. С их помощью можно автоматизировать процесс обнаружения защищаемых данных в компании, что позволит целенаправленно лечить органы, которые в этом нуждаются.

Комментарии экспертов

Галина Рябова: В нашей UBA-системе есть профиль нормального поведения пользователя – аналог нормального состояния здоровья человеческого организма. Как врач измеряет у пациента температуру тела, давление, пульс, так и UBA измеряет внешнюю и внутреннюю активность сотрудников, объем отправленных/полученных информационных объектов, интенсивность взаимодействия с коллегами и т.п. Если показатели здоровья/поведения человека вдруг отклоняются от нормы, это повод для врача/службы безопасности разобраться в причинах. Может быть, человек заболел, а может быть он в данный момент занимается спортом, может готовится реализовать в компании мошенническую схему, а может поссорился с домочадцами и сильно переживает.

Алексей Дрозд: ИИ уже есть в DLP, другое дело, что применяем мы его для решения только тех задач, где он действительно эффективен, где можно достичь баланса между ложными сработками и пропущенными инцидентами. Точность «попаданий» в 95% – не тот результат, с которым готовы мириться клиенты. Одна из задач, которую успешно решает ИИ, это, например, распознавание печатей и штампов. В систему загружаются документы с разными печатями, в будущем она узнает любые подобные изображения.

Александр Клевцов: Мы не ограничиваем руководство в его действиях, но можем понимать, в каком объеме потребляются корпоративные данные и как ими распоряжаются. С помощью политик и технологий анализа можно описать «здоровый организм» и обращать внимание только на отклонения. «Вакцина» в виде режима блокировки утечки не позволит отклониться от здорового состояния. К привилегированным может применяться специальная диагностика, а в отношении руководства важно просто постоянно наблюдать за симптоматикой.

Максим Ксенофонтов: Несомненно, часть задач офицеров безопасности также можно переложить на плечи ИИ, и прежде всего это задачи поведенческого анализа. И скорее всего, крупные разработчики DLP уже делают первые шаги в сторону машинного обучения, остается только дождаться их релиза.

Дмитрий Кандыбович: Конечно же, мы внедряем нейросети, для автоматизации работы, для упрощения той же аналитики. Система сама вычисляет отклонения в поведении сотрудника и сигнализирует об этом. А также мы используем их для упрощения рутинных задач, например распознавания документов и лиц сотрудников: нет нужды подключаться к каждому компьютеру и лично проверять, кто за ним, это сделает программа.

Дарья Орешкина: Технологии машинного обучения сейчас используются в Symantec DLP. ML облегчает настройку политик и точность их срабатывания. В ближайшем будущем замещение офицера безопасности не предвидится, но со временем, очевидно, ИИ все больше задач будет решать не хуже человека, в том числе и в области предотвращения утечек.

Владимир Ульянов: Использование технологий ИИ и машинного обучения – одна из перспектив отрасли. В 2019 г. Zecurion разработал уникальный продукт Camera Detector, который выявляет факты съемки экрана компьютера внешними камерами. Это позволяет бороться с утечками, когда инсайдеры фотографируют конфиденциальную информацию с экрана монитора личными смартфонами. В основе работы Camera Detector лежит технология машинного обучения на базе нейронной сети, что позволяет детектировать смартфоны любых производителей и моделей, в чехлах и без, на разном фоне, в том числе частично скрытые другими объектами.

Анна Попова: К сожалению, выявить реальных злоумышленников внутри крайне сложно, если они просто пользуются недоступными для перехвата DLP-системой коммуникациями. Спасает, как правило, только накопительный эффект. В поле нашего зрения могут попасть разные сотрудники по разным причинам, даже малозначительным. Важно «присматривать» за ними на периодической основе, и обязательно будет ожидаемый результат.

Лицензии впрок

Борясь с пандемией, неразумно покупать аппараты ИВЛ впрок, не зная пред- положительно, сколько у вас будет легочных больных, и тем более ставить их всем подряд без разбора, чтобы просто оправдать их приобретение. Но именно так приходится поступать при покупке DLP-лицензий, приобретая их впрок, без какой-либо статистики аналогичных случаев (инцидентов).

проведена оценка рисков в компании (поставлен диагноз, возможно и неправильный);

руководство сформулировало вам задачу «закрутить гайки» и держать курс на «терзать и трясти собственных сотрудников»; это вовсе не означает, что вам выдан карт-бланш на мониторинг всего и вся, а также неограниченный бюджет на эти цели.

Покупая DLP-систему, вы должны достаточно точно представлять:
сколько системных агентов вам понадобится для мониторинга каналов;

логику комбинирования возможностей различных DLP-агентов с другими инструментами системы: механизмами управления инцидентами, парсерами, анализаторами протоколов, перехватчиками и т.д.

Комментарии экспертов

Алексей Дрозд: Мы как раз за то, чтобы «закупать ИВЛ впрок»: если не контролировать максимум каналов для всех сотрудников, в защите будут дыры. Тем не менее КИБ позволяет распределить лицензии гибко. Каждый канал контролируется независимо, настройку лицензий по одному модулю необязательно «синхронизировать» с другим.

Максим Ксенофонтов: Как показала текущая история с пандемией, страны, которые имели запас аппаратов ИВЛ, оказались в лучшем положении, чем страны без запаса. Нельзя просто взять и поставить еще 200 аппаратов ИВЛ, когда все текущие будут заняты. Хорошая практика – оценить будущие потребности в лицензиях и заранее их заложить при закупке. Ведь будет неприятно остаться без лицензий, напри- мер, при организации и найме нового отдела. Если же подобной возможности нет, то по сложившейся практике закладывается 10% дополнительных лицензий на случай роста.

Галина Рябова: Обычно лицензии на защиту каналов коммуникаций закупаются на всех сотрудников компании. Исключение составляют endpoint-агенты. В ряде случаев компании закупают агенты только для контроля групп риска. Сейчас на рынке DLP приняты цивилизованные лицензионные ограничения: при превышении лимита заказчику напоминают о необходимости докупить лицензии, а не отказывают в обслуживании.

Анна Попова: Вопросы бюджетирования и вынужденных ограничений всегда важны. Но практический опыт говорит, что ценность DLP-системы в том, что в ней накапливается бесценная информация, польза от которой не только оперативном выявлении инцидентов здесь и сейчас, но и в возможности проведения ретроспективного анализа при внутреннем расследовании.

Андрей Арефьев: Важно понимать, что DLP-система – один из кирпичиков в стратегии ИБ. То, насколько корректно составлена стратегия, помогает определить нужный в будущем объем ресурсов: серверов, СХД, количество лицензий. Важна и консультационная поддержка вендора, все это взятое вместе позволяет правильно прогнозировать ресурсы.

Владимир Ульянов: Действительно, DLP редко бывает единственным продуктом для корпоративной без- опасности. Наоборот, когда дело доходит до внедрения DLP, уже имеются другие решения. Инсайдерские угрозы, безусловно, важнейшие с точки зрения защиты информации от утечки, но нельзя забывать о проблеме привилегированных пользователей (решения класса PAM) и внешних угрозах (SWG-решения). DLP – неотъемлемый элемент системы корпоративной безопасности, и здорово, когда он тесно интегрируется с другими важными классами, что позволяет сделать надежную бесшовную защиту от разных типов угроз.

Дарья Орешкина: DLP значительно гибче многих других классов систем позволяют организовать покрытие контроля. Часто компании начинают контролировать сначала почту и веб- трафик, затем расширяют контроль endpoint и хранилищ.

Дмитрий Кандыбович: Наша задача – понять, какие задачи пытается решить клиент, здесь важен плотный контакт с теми, кто внедряет продукт, так как именно они в первую очередь владеют знанием о том, что у них есть сейчас. И конечно же, наш продукт можно настраивать очень гибко, поэтому, по сути, нам не столь важно – карт- бланш, не карт-бланш, мы поможем с настройкой так, как нужно клиенту.

Мониторинг соцсетей и удаленный доступ

Зачастую корпоративная жизнь – это сонное царство, бесцветное и зарегулированное. Если бы это было не так, то загруженные на вход искусственного интеллекта корпоративные данные на выходе выдавали бы попутную рекомендацию: уволить каждого второго.

Сейчас фокус определенно смещается в сторону мониторинга соцсетей: без преувеличения можно утверждать, что все проводят там время. Уже проводились эксперименты, когда ИИ после обучения на высказываниях в Твиттере признавался в ненависти к человечеству.

Для мониторинга социальных сетей корпоративная DLP-система бесполезна, ведь доступ к соцсетям внутри компаний, как правило, запрещен. Для этих целей существует достаточно много онлайн-сервисов, в том числе и бесплатных.

А кто знал, что в 2020 г. будет проведено глобальное тестирование компаний на соблюдение «требований по организации безопасного удаленного доступа» из планов непрерывности деятельности! Корпоративная активность с началом пандемии переместилась на домашние компьютеры. Практика и суровая реальность взяли верх над, казалось бы, незыблемыми устоями информационной безопасности компании. Реагируя на это, корпоративные DLP-системы должны перестроиться под новую задачу – удаленная работа как допустимый формат на постоянной основе.

Комментарии экспертов

Максим Ксенофонтов: Социальные сети сейчас – это большое поле возможностей для многих систем ИБ, и DLP-системы здесь не отстают. Обычные утечки в виде post-запросов на страницы (комментарии, сообщения и пр.) DLP-системы уже давно умеют мониторить. Но с развитием соцсетей появился и новый набор функций: многие DLP-системы имеют в агентах специализированные модули, рассчитанные на мониторинг популярных социальных сетей, включая работу со специфическими протоколами.

Дмитрий Кандыбович: Staffcop Enterprise позволяет логгировать и перехватывать переписку в соцсетях, осуществлять теневое копирование отправляемых файлов, отслеживать контрольные слова и даже записывать голосовое общение через мессенджеры. Как говорится, кто, что, где, с кем и зачем. И все это делает очень просто, удобно просматривается и хранится в безопасном месте – на сервере. Контроль сотрудников – это важная часть ИБ, одна из важнейших, поэтому наше решение позволяет осуществлять тотальный контроль.

Анна Попова: Мы предлагаем разделять цели и использовать для мониторинга активности в социальных сетях специально созданные для этого модульные решения. Что касается режима удаленки из-за пандемий и прочего, то здесь можно только посочувствовать производителям DLP-систем, которые не были готовы к тому, что понадобится полностью контролировать MS Teams или Zoom.

Галина Рябова: Я бы разделяла частную жизнь сотрудников в соцсетях и перенос корпоративной активности на домашние компьютеры. Нам надо все время помнить: безопасность – это всегда комплекс мер. Существует много способов обеспечить безопасную работу удаленных сотрудников, начиная от самых простых – использования только корпоративных доменных ноутбуков с установленными средствами защиты и заканчивая организацией доступа в сеть с домашних компьютеров через защищенный слой VDI-брокера.

Алексей Дрозд: Механизмов контроля много, вся соль – в установке стабильного контакта агента с сервером, когда контролируемый ПК находится вне корпоративной сети. Например, в КИБ можно задать правила, чтобы агент самостоятельно парсил перехват и не нагружал канал связи. Плюс задать альтернативные адреса подключения к серверу. Если же связи нет, то информация «складируется» в скрытом хранилище. В итоге DLP работает в полном функционале, перехват не теряется, а бизнес-процессы не тормозятся.

Александр Клевцов: В конце 2019 г. InfoWatch представил клиентам возможность контролировать соцсети прямо из DLP-системы на предмет утечки конфиденциальной информации в публичных постах и комментариях, даже если они сделаны с личных устройств, вне периметра компании и в нерабочее время. Мы интегрировались с платформой «Крибрум», адаптировали технологии контентного анализа под язык и формат, специфичные для соцсетей, и предусмотрели, чтобы разбирать такие инциденты было удобно, в привычном интерфейсе Traffic Monitor. Даже если сотрудник работает с облачными сервисами и с личного мобильного устройства, Traffic Monitor все равно продолжает контролировать его действия.

Дарья Орешкина: Концепция контроля корпоративной информации в условиях применения собственных пользовательских устройств из любой локации передовыми компаниями продумывалась уже давно, в разной степени практики безопасного доступа были реализованы и в коммерческих, и в государственных компаниях. Похоже, пришло время активнее использовать автоматизированные системы как для обработки, так и для контроля информации в условиях удаленной работы.

Владимир Ульянов: Переход на удаленный режим работы добавил забот специалистам по ИБ, риски утечки возросли кратно, слить информацию стало легче. Прибавьте к этому сомнения в завтрашнем дне, снижение лояльности, и станет понятно, почему сотрудники копируют корпоративные данные даже без злого умысла, но просто на всякий случай. И программы мониторинга рабочего времени, которые иногда выдают за разновидность DLP, конечно, не снизят риски утечки. Наоборот, тотальный контроль и требование высидеть положенные часы за компьютером лишь повысят беспокойство работника.

У нас так много средств защиты, что не для всех из них придуманы угрозы

Порой создается впечатление, что компании – производители систем защиты информации при поддержке регуляторов отыскивают у потребителей пока не существующие угрозы, лоббируя «монстров» лингвистического и статистического анализа – DLP- решения с их будущими проблемами обнаружения данных определенного формата (анализ формальных структур), проклятием нехватки вычислительных ресурсов и сложностью интеграции выбранного решения с имеющимися SIEM-системами и системами защиты.

Темпы развития современных коммуникаций переросли уровень тех технологий, которые еще вчера использовались для защиты информации в компаниях. Например, маркировка документов в соответствии с их информационной категорией в современной коммерческой компании давно потеряла смысл. Поиск по регулярным выражениям себя не оправдывает. Правила контроля надо постоянно подкручивать: например, фраза «подхватил вирус» до пандемии имела один смысл, а сейчас у нее может быть совершенно иное значение.

Современные DLP, являясь крайне высокотехнологичным программным обеспечением, тем не менее пока не дотягивают до уровня, при котором безопасники могли бы совершать важные действия с минимальными усилиями.

Комментарии экспертов

Галина Рябова: Вы так говорите, как будто это что-то плохое. Я считаю, что это один из путей развития, когда под продвинутые технологии находятся задачи в материальном мире. Эволюция DLP – один из таких положительных примеров. Начав свое становление с узкой задачи защиты от утечек, современные DLP-системы, обладая продвинутыми аналитическими возможностями, способны решать широкий спектр задач службы безопасности в целом, и даже напрямую задачи бизнеса, например мониторинг эффективности работы удаленных сотрудников. Это выгодно для бизнеса – использовать одну систему для решения многих задач.

Алексей Дрозд: Автоматизация, в том числе элементы ИИ, уже используются в DLP для решения узких задач. Но каким бы продвинутым ни был такой функционал, DLP еще долго не станет «виртуальным безопасником». Это не антивирус, который работает автономно.

Максим Ксенофонтов: Несомненно, пока не будет создан сильный ИИ, человек всегда будет нужен там, где требуется принимать нестандартные решения. Существующие ИИ и машинное обучение смогут разгрузить офицеров безопасности, сняв с них, например, задачу анализа паттернов поведения. Но всегда остается вероятность ЛПС, для исправления которых необходим профессиональный взгляд и анализ ситуации специалистом.

Андрей Арефьев: Организация –-это живой организм, меняющийся под влиянием рынка. Нельзя настроить DLP один раз и забыть про нее. Во-первых, нужно дать ИБ инструменты, чтобы удобно и быстро анализировать происходящее и подстраивать политики. Во-вторых, важно поддерживать актуальными базы защищаемых документов, что нетрудно, это давно делается автоматически. И конечно, ИИ, используемый для категоризации документов, берет на себя все больше задач.

Дарья Орешкина: При эксплуатации любой системы со временем выявляются недочеты, которые набивают оскомину при работе с ней. DLP ввиду своей сложности имеет массу нюансов как при сборе информации, так и при ее анализе. Но все встает на свои места, если задаться вопросом: а как бы хотелось отслеживать пользовательские взаимодействия? За плечом каждого вешать видеокамеру? Ну допустим, а как нарушителя искать из тысяч сотрудников в многочасовых видеозаписях? В конце концов мы приходим к выводу, что в текущей реализации DLP не хватает упрощения настройки политик и функций помощи в точном обнаружении инцидентов. Похоже, ИИ должен справиться с этими задачами в скором будущем.

Владимир Ульянов: Развитие DLP сегодня направлено в сторону предугадывания нарушений, так, чтобы их можно было предотвратить заранее, а сотрудника, вызывающего сомнения, поставить на особый контроль. Именно поэтому многие DLP уже получили встроенные модули поведенческого анализа UBA. Zecurion пошел дальше и позволяет отслеживать эмоции контролируемых пользователей, которые также могут свидетельствовать о потенциальной угрозе. Как показывает практика, человек может скрыть подготовку к краже данных, но маскировать свои истинные эмоции на протяжении долгого времени не способен.

Авторское заключение

Организации научились собирать данные с помощью DLP-систем. Теперь им надо понять, что делать с этими данными. На передний план выходят не столько сами данные, сколько технологии их обработки.

Очевидно, что будущее за интеграцией технологий: DLP, машинного обучения, искусственного интеллекта, автоматизации с применением нейронных сетей. Уже сейчас с помощью искусственного интеллекта в компаниях пробуют предсказывать, например, увольнения сотрудников.

Возможно, от предсказания увольнений с помощью ИИ до предсказания утечек данных остался всего один шаг?

Технологии стали главным источником информации. Но пока «выявлять чувствительные персональные данные и разбираться с ними столь же сложно, как и определять, какая корпоративная информация сохранила или потеряла свою деловую ценность с течением времени», как мудро заметил Марк Кассетта, старший вице-президент по стратегическим вопросам компании Titus.

К наблюдениям за развитием DLP
Сергей Рысин, эксперт по ИБ

У каждой DLP-системы свои особенности, каждый производитель активно рассказывает о важности именно своего подхода. Стоит, не претендуя, впрочем, на категоричность, вспомнить, с чего системы начинали: к примеру, Zecurion и InfoWatch начинали с хорошей работы на сетевом уровне, а SearchInform и DeviceLock изначально были сильны в работе на конечных устройствах.

Дальнейшее развитие систем протекало в жесткой конкуренции, но именно скорость обработки данных внутри системы и быстрота принятия решения позволяли на том этапе занять больший рынок. Сейчас же все производители систем постепенно, но планомерно приходят к реализации концепции DLP Next Generation, содержащей, кроме функционального потенциала, еще и маркетинговый.

Однако у нас, конечных потребителей, есть свой набор требований к DLP-системе:
скорость доработки выявленных при эксплуатации проблем;

качество технической поддержки: ведь любой заказчик рано или поздно обращается к вендору за помощью и важно, чтобы этот процесс был комфортным;

простота и послойность перехода к новой версии;
простота подключения и внедрения новых паттернов, интересных для защиты интересов бизнеса;
скорость внедрения новых подходов в системе;

визуализация данных: это новый тренд в ИБ, позволяющий конечным операторам быстрее вырабатывать и принимать качественные решения.

Отмечу, что на сегодняшний день эти задачи в той или иной степени реализованы у всех DLP-вендоров. Поэтому мой личный опыт свидетельствует, что выбирать стоит не столько систему, сколько производителя. Того, кто готов помогать быстро и качественно решать ваши проблемы для достижения вами успеха в решении задач бизнеса, который вы защищаете.

Обходим DLP систему или как обмануть безопасников, которые читают почту на работе

Обход запретов

Автор Martyshkin На чтение 9 мин Опубликовано 20.07.2018

Самым популярным способом обмена корпоративной информацией на сегодняшний день остается электронная почта. Именно там работники отправляют скан-копии документов, проекты на согласования, приглашают на встречи, информируют о событиях и т.д. Иногда переписку по электронной почте приравнивают к официальной переписке между организациями на уровне писем от первых лиц. Поэтому этот канал передачи информации является объектом пристального внимания со стороны представителей отделов/служб ИБ (они следят за утечкой конфиденциальной информации) и экономического блока безопасности (они следят за перепиской, ищут откаты, сговоры, поиски новой работы, подделку документов и т.д.)

Немного о теории. Вы наверняка замечали что ваша почта не доходит сразу до контрагентов и/или же злые дяди из службы безобразности интересуются той или иной вашей отправкой спустя какое-то время, особенно если вы отправляете какие либо персональные данные без использования принятых мер защиты. Эти обстоятельства говорят о том, что в вашей организации установлена какая либо так называемая DLP-система. Не вдаваясь в технические подробности приведу информацию из вики :

Система предотвращение утечек (англ. Data Leak Prevention, DLP ) — технологии предотвращения утечек конфиденциальной информации из информационной системы вовне, а также технические устройства (программные или программно-аппаратные) для такого предотвращения утечек.DLP-системы строятся на анализе потоков данных, пересекающих периметр защищаемой информационной системы. При детектировании в этом потоке конфиденциальной информации срабатывает активная компонента системы, и передача сообщения (пакета, потока, сессии) блокируется или проходит но оставляет метку.

А вообще грубо говоря это средство слежения за действиями сотрудников и основная цель ее – “найти то , что запрещено”. Законно ли это поговорим в следующей статье. А принцип работы системы можно сравнить с фильтром, то есть вы отправили письмо, и если оно попало в фильтр по критериям и, в зависимости от настроек системы, заблокировалось или ушло получателю, но при этом уведомив товарищей безопасников.

Давайте посмотрим как можно определить установлена ли одна из таких систем у Вас в организации. Для того чтобы узнать установлена ли у Вас в организации такая система слежения в первую очередь можно посмотреть заключенные договора на покупку или сопровождение таких систем. Среди них ищем самые популярные компании разработчики:

и менее популярные:

McAfee, Falcongaze, GTB, «Трафика», Iteranet, RSA, Trend Micro ,Verdasys, Стахановец.

Если нет доступа к договорам, то можно помониторить сайт госзакупок (если ваша контора государева). Как видно из изображения ниже предмет договора может быть различным – от приобретения неисключительных прав до технической поддержки, главное в поиске вбивайте название компаний разработчиков из списка, что я привел.

Если же и эти способы не помогают, то понять что за вами следят можно уточнив у получателя по телефону – долго ли к ним поступают письма (только в случае блокировки письма до отправки), а можно спросить у друзей-айтишников установлена ли система контроля почтовых сообщений в организации. Можно еще конечно попытаться найти запущенные процессы на вашем компьютере, т.к. агенты системы (компоненты системы) слежения устанавливаются персонально на все АРМ’ы работников, но дело в том, что эти процессы умело скрываются под стандартные процессы MS Windows и без должного уровня знаний определить процесс запущенный агентом будет довольно сложно.

Теперь давайте рассмотрим каким образом, мы сможем обойти эту систему. Помните, что реализация приемов из статьи зависит от конкретных настроек DLP и возможна к реализации только путем проб и ошибок. Так что на своей страх и риск.

Самое главное не пытайтесь обойти системы, попытавшись сделать шрифт документа белым или пытаясь скрыть листы и сроки в документах MS Exel, все это сразу увидят товарищи чекисты!

Итак, наша задача передать информацию в виде файлов или текста по электронной почте, зная, что в организации развернута и функционирует DLP- система. Конечно многие из Вас скажут зачем такие сложности – “я могу сфотографировать содержимое экрана на телефон и дело с концом”, но где-то телефонами запрещено пользоваться, а где-то коллеги недобро посмотрят на это (особенно в офисах типа “опен-спейс”) , а иной раз и сообщат куда следует, иногда же необходим именно документ в редактируемом формате, а не его фотография на мобильном телефоне, в общем-то вариантов много. Итак давайте приведем примеры передачи такой информации:

1. Отправка после окончания рабочего дня.

Самое простое и банальное, что может получится это просто отправить Ваше письмо на нужный адрес электронной почты после окончания рабочего дня. Данный метод успешен в случае, если система настроена на перехват почтовых сообщений, например, с 9-00 до 18-00 по рабочим дням и их блокировку в указанное время. Это связано с тем, что товарищи безопасники, которые смогут в случае чего разблокировать застрявшее письмо также как и Вы работают по трудовому договору те же часы, что и Вы, поэтому после окончания рабочего дня они отключают систему или она останавливается автоматически. Вы можете проверить актуальна ли эта настройка отправив пару безобидных сообщений после 18-00 и посмотреть дойдут ли сразу сообщения, которые например не доходили сразу втечении рабочего дня. Сразу скажу не самый лучший вариант, т.к. в независимости от результата отправки в системе останется след того, что Вы отправили, и в случае грамотного мониторинга системы безопасниками они увидят Вашу отправку.

2. Удаление слов маячков

Этот метод предполагает настройку DLP на поиск по ключевым словам, т.е. в отправленном документе он ищет совпадения по словарю. В случае мониторинга откатов такой словарь может содержать следующую группу слов : бабки, зелень, капуста и тд. В случае же предотвращения утечек конфиденциальной информации данный словарь может содержать следующий словарный набор: коммерческая тайна, секрет фирмы, конфиденциально, ДСП, персональные данные, снилс, доверенность, паспорт, серия номер и т.д. Метод заключается в удалении таких слов, которые явно будут присутствовать в конфиденциальном документе и идентифицировать его к закрытой информации. Просмотрите документ которых необходимо отправить на наличие таких слов и удалите. Метод также не самый лучший т.к. конкретный набор слов, содержащийся в словаре Вам никто никогда не скажет.

3. Архив с паролем.

Данный метод заключается в шифровании документа в стандартном *.rar архиве и направлении на электронную почту. Сразу отмечу, что архив под паролем сразу вызывает подозрения и во многих системах блокируется, и даже расшифровывается. Чтобы максимально обезопасить себя необходимо:

а) При установке пароля на архив поставить галочку на значении “шифровать имена файлов”. Это необходимо для того чтобы имена файлов в архиве были не видны до открытия архива паролем.

б) При выборе пароля стоит обратить внимание на его длину и сложность. Да-да это необходимо для предотвращения перебора по словарю, если такой используется в системе. Используйте минимум 10 символов, содержащих буквы строчного и прописного регистров, специальные символы,пробелы, цифры. Например наш пароль будет таким $Op123KLM!987@. Не спешите набирать его в поле ввода, смотрите часть “в”.

в) Самое главное правильно ввести пароль в поле ввода в архиваторе, сейчас объясню почему. Дело в том на агенты которые уставнолены на АРМ’ах работников могут содержать функционал клавиатурного шпиона и записывать все Ваши действия (нажатия клавиш) на клавиатуре. Стоит отметить что запись ввода клавиш привязана к определенному процессу где осуществляется набор (word, exel, winrar и тд.). Чтобы запутать следы можно сделать следующее (для примера будем использовать наш пароль $Op123KLM!987@): Например так: откроем блокнот и Введем первые 4 символа из середины пароля “KLM!” и после этого копируем и вставляем в winrar, затем в MS Word’e впишем первые 5 символов пароля “$Op123”, копируем и вставляем в начало поля ввода winrar, последние 4 “987@” ,чтобы вообще не оставлять следов ввода, вводим в виртуальной клавиатуре онлайн клавиатуре используя мышку, и копируем в конец поля ввода пароля и нажимаем “ок”, пароль записываем на бумажку, отправляем архив в письме и сообщаем по телефону принимающей стороне, а бумажку съедаем:

Таких виртуальных клавиатур полно в интернете. Стоит отметить что Вы можете как угодно экспериментировать – набирать неправильный пароль, стирать, перемещать символы, при этом в системе слежения будет отображаться полная каша.В поле отображать пароль при вводе галку лучше не ставить – так как в системе может быть установлен модуль фотографирования вашего монитора.

3. Кодируем онлайн

Для передачи документа проще всего использовать онлайн-сервисы обмена файлами, для примера мы рассмотрим www.rgho.st

Заливаем наш файл “База контрагентов.docx” туда и получаем ссылку:

Теперь нам необходимо зашифровать ссылку и передать ее письмом. Для примера шифрования используем онлайн-сервис http://crypt-online.ru/crypts/aes/ с симметричным антигоритом AES. В поле текста вставляем адрес нашей ссылки, выбираем размер ключа шифрования 128-256 бит. Вводим пароль, в данном случае “itsecforu.ru”, нажимаем кодировать и получаем шифрованный текст:

Копируем полученный результат и отправляем в электронном сообщении, сообщив пароль и длину ключа по альтернативному каналу связи (телефону). Получатель проделывает обратное преобразование, вводит шифрованный текст и пароль и получает ссылку:

4. Cтеганография онлайн

Для того чтобы не отправлять подозрительный зашифрованный текст мы также можем использовать стеганографию онлайн. Подумайте какие документы Вы чаще всего отправляете контрагентам (акты сверок, счета и т.д.) и вставляйте в тело этих файлов код. Для примера мы будем использовать карточку предприятия и онлайн сервис http://stylesuxx.github.io/steganography/. Карточка предприятия в формате обычной картинки, где указаны реквизиты организации. Загружаем карточку (файл karto4ka.png), вставляем текст, который хотим зашифровать (все та же наша ссылка) и жмем “Encode”

Далее идем вниз страницы и сохраняем полученный файл, отправляем контрагенту электронным письмом.

Получатель проделывает обратное действие. Загружает файл “karto4ka2.png” и нажимает “Decode” и получает желанную ссылку.

Вдобавок можно использовать portable утилиты стеганографии, рассмотрим их в следующих статьях

Примечание: Информация для исследования, обучения или проведения аудита. Применение в корыстных целях карается законодательством РФ.

Пожалуйста, не спамьте и никого не оскорбляйте. Это поле для комментариев, а не спамбокс. Рекламные ссылки не индексируются!

Добавить комментарий Отменить ответ
Тупой безопасник 26.07.2018 в 10:21

Огромное ,тебе, человеческое спасибо! Ты даже не представляешь как ты облегчил работу тупым безопасникам, написав столько бреда. Если раньше надо было искать инциденты, то теперь, благодаря твоим “умным” опусам, инциденты сами будут валиться. PS И да! Все, что ты написал – не работает. Искренне твой,
Тупой безопасник.

СёрчИнформ SIEM

«СёрчИнформ SIEM» (Security Information and Event Management) – система для сбора, мониторинга и анализа событий безопасности из корпоративных систем в режиме реального времени. Программа аккумулирует информацию из различных источников, анализирует ее, фиксирует инциденты и оповещает о них специалистов по безопасности. Система позволяет получить результат сразу же после установки, так как имеет широкий набор предустановленных правил и не требует базовой доработки.

2023

Возможность собирать события из программного комплекса Secret Net Studio

«СёрчИнформ» 30 августа 2023 года представила обновление SIEM-системы, которое расширит контроль за безопасностью рабочих станций и серверов, а также мониторинг сетевого трафика. Теперь «СёрчИнформ SIEM» может собирать события из программного комплекса Secret Net Studio от отечественного разработчика «Код Безопасности» и межсетевого экрана UserGate от одноименного производителя.

Для SecretNetConnector в «СёрчИнформ SIEM» доступны предустановленные правила, которые собирают события безопасности СЗИ Secret Net Studio, такие как: статистику входов и выходов, наличие вирусного ПО на контролируемых рабочих станциях и серверах, а также другие события по операциям с антивирусом, и прочие события. На основании данных событий, коннектор позволяет получать информацию об уровне защищенности конечных точек и сетевой инфраструктуры.

Правила для SecretNetConnector

UserGateConnector получает события по 6 предустановленным категориям: журналам веб-доступа, событий, трафика, автоматизированной системы управления технологическим процессом и системы обнаружения вторжений от устройств UserGate и прочим событиям.

До конца 2023 года в SIEM-системе также появится коннектор к централизованному комплексу для защиты сетевой инфраструктуры и создания VPN-сетей АПШК «Континент», разработанный компанией «Код Безопасности».

Доступность на платформе «Эффективность.рф»

ИБ-решения «СёрчИнформ» доступны на платформе «Эффективность.рф». Об этом компания «СёрчИнформ» сообщила 6 июля 2023 года. «СёрчИнформ» представила для размещения на платформе 3 продукта и 3 услуги, в том числе и СёрчИнформ SIEM. Подробнее здесь.

Интеграция с Eleum 02.450.2U.R

«СёрчИнформ» и отечественная компания «Радиус IT», специализирующаяся на производстве автоматизированных систем управления, договорились о технологическом партнерстве. Компании провели интеграцию своих продуктов – «СёрчИнформ SIEM» и промышленного компьютера ELEUM 02.450.2U.R. Об этом «СёрчИнформ» сообщил 7 июня 2023 года.

«СёрчИнформ SIEM» – собирает и анализирует события в режиме реального времени, позволяя выявлять ИБ-инциденты, а также сохраняет архив событий на случай, если эти данные понадобятся для проведения расследования. Интеграция промышленного компьютера ELEUM с «СёрчИнформ SIEM» позволяет решать такие задачи заказчика, как сбор информации из программных и аппаратных источников, обнаружение угроз, оповещение персонала об инцидентах и т.д. В ходе тестирования работы было установлено, что продукты пригодны для совместного применения: SIEM-система не нарушает целостности операционной системы, коннекторы успешно подключаются, сбор информации производится корректно.

Промышленный компьютер ELEUM предназначен для централизованного управления сетевыми ресурсами и файлами организации. Устройство подходит для приложений, требовательных к скорости чтения и записи информации, для систем хранения данных и видеонаблюдения. Компьютер может выполнять параллельно несколько функций – функции АСУ ТП, обеспечение информационной безопасности, а также резервирование и хранение данных. Имеет высокие показатели надежности и большой срок эксплуатации.

«СёрчИнформ» и «Радиус IT» продолжат сотрудничество. На начало июня 2023 года компании работают над совместимостью промышленного компьютера ELEUM 02.450.2U.R с DLP-системой «СёрчИнформ КИБ». Интеграция расширит радиус действия информационной безопасности на промышленных компьютерах и позволит предотвращать утечки информации, корпоративное мошенничество и другие инциденты безопасности, связанные с человеческим фактором.

Возможность настроить скрипты, которые запустят автоматическую реакцию при выявлении инцидента

Компания «СёрчИнформ» 19 января 2023 года представила обновление «СёрчИнформ SIEM» – теперь в интерфейсе системы можно настроить скрипты, которые запустят автоматическую реакцию при выявлении инцидента. В редакторе скриптов, который встроен в «СёрчИнформ SIEM», ИБ-специалист может прописать любой сценарий действий, которые SIEM запустит для устранения угрозы.

Обновленный функционал «СёрчИнформ SIEM» позволяет автоматизировать действия ИБ-специалиста и облегчает выполнение монотонных задач, например, если нужно заблокировать скомпрометированную учетную запись во всех средах. Также в SIEM можно присвоить инцидентам ИБ разный уровень угроз.

2022

Возможность собирать события из VipNet

Компания «СёрчИнформ» 22 декабря 2022 года представила обновление SIEM-системы, которое расширяет возможности по контролю сетевого оборудования. Теперь «СёрчИнформ SIEM» может собирать события из VipNet, сетевого шлюза безопасности от отечественного производителя «ИнфоТекс». VipNetConnector – это криптошлюз (Site-to-site, RA VPN) и сервер-маршрутизатор конвертов, содержащих зашифрованные служебные данные и данные клиентский приложений.

Для VipNetConnector в «СёрчИнформ SIEM» доступны 5 предустановленных правил:

Ошибки входа под учетными данными администратора.
Ошибки входа под учетными данными пользователя.
Операции с правилами фильтрации трафика.
Перезагрузка узла кластера.
Экспорт справочников, ключей и настроек.

Два первых правила срабатывают, когда администратор или пользователь ошибается при попытке входа в учетную запись, а также при реализации атаки извне методом полного перебора пароля (brute-force attack). События из разряда «Операции с правилами фильтрации трафика» не несут в себе информации об угрозах, но полезны при проведении расследований или настройке правил кросс-корреляции. «Перезагрузка узла кластера» указывает на нарушение отказоустойчивости кластера, а «Экспорт справочников, ключей и настроек» может говорить о несанкционированных действиях со стороны пользователей.

Также в первом квартале 2023 года в «СёрчИнформ SIEM» появятся коннекторы для российских СЗИ SecretNet Studio (обеспечивает безопасность рабочих станций и серверов), АПШК «Континент» (служит для контроля событий криптошлюза) и UserGate (межсетевой экран).

Возможность прямого экспорта данных в ГосСОПКА

25 января 2022 года компания «СёрчИнформ» сообщила о масштабном обновлении «СёрчИнформ SIEM» при поддержке гранта РФРИТ.

По информации компании, в 2020 году «СёрчИнформ» получил грант Российского фонда развития информационных технологий (РФРИТ) на развитие своей SIEM-системы. За год в программе увеличено количество источников данных, расширен функционал расследований, решение было оптимизировано в управлении.

Под контролем системы может быть любое оборудование (маршрутизаторы, коммутаторы, серверы, принтеры и пр.) и ПО, которое работает по протоколу SNMP (Simple Network Management Protocol – простой протокол сетевого управления). Благодаря SNMPTrap Connector система получает уведомления о критических событиях от этих источников: например, об отключении порта, изменении сети маршрутизации, переходе к питанию от батареи, сигнале тревоги и пр. Это экономичный формат обмена данными, чтобы не перегружать SIEM событиями, не требующими внимания.

NetFlow Connector

NetFlow Connector собирает данные о сетевом трафике в стандартизированном формате NetFlow. С ним система получает информацию об объемах и направлении трафика в сети компании, статистику подключений, сбоев и т.п. Общую картину движения трафика можно выгрузить в отчет.

Появились коннекторы к специфическим источникам. Так, RusGuard Connector помогает получать информацию от умной системы контроля доступа: авторизации сотрудников, ошибки считывания пропусков, статистику распознавания лиц, нарушения физического периметра и т.п. Реализован Azure Connector, которые позволяют корректно получать события ИБ от баз данных, которые мигрировали в облако MS Azure. Таким образом, «СёрчИнформ SIEM» теперь сможет проводить комплексный мониторинг безопасности для облачной инфраструктуры.

В сканере сети появилась функция: поиск уязвимостей для обнаруженных портов. Отчет доступен по клику по названию хоста. Он показывает список уязвимостей, актуальных для данного ПО или устройства, благодаря вычитке vulnerability-баз в реальном времени. Это позволяет оперативно узнавать о потенциальных угрозах, чтобы вовремя их устранить.

Еще более продвинутый сканер уязвимостей можно подключить с помощью Red Check Connector. Он передает в SIEM информацию о конкретных проблемах в корпоративной сети, выделяя уровень опасности. Готовый набор правил корреляции позволяет контролировать результаты аудита отдельных типов источников: СУБД, сетевых приложений, рабочих станций, а также следить за конфигурацией оборудования и управлять обновлениями. Для корректной работы сканера требуются дополнительные лицензии Red Check.

Red Check Connector

Для всех коннекторов в «СёрчИнформ SIEM» доступны готовые правила корреляции. Набор правил постоянно расширяется и для «классического» набора коннекторов.

Конструктор регулярных выражений

Так, в 2021 году расширился список предустановленных правил для Linux Connector: теперь они работают с отечественными ОС семейства. Для KavEvent Connector, который контролирует антивирусы Kaspersky, появилась возможность отображать события сервера администрирования Kaspersky Security Center с разными уровнями важности («информационные сообщения», «отказ функционирования», «предупреждения», «критические», «прочие события»). Для Cisco Connector в группу «Cisco. Основные события» добавлено правило, чтобы контролировать, как осуществляются подключения по VPN-каналу через сетевой шлюз Cisco ASA.

ИБ-специалисты также могут создавать собственные правила корреляции. В редакторе правил обновился конструктор регулярных выражений: в нем удобнее создавать запросы благодаря готовым элементам формулы, подсказкам и проверочному режиму.

Разные запросы можно объединять в многоуровневые правила: механизм кросс-корреляции теперь доступен для всех 30+ коннекторов «СёрчИнформ SIEM». Сервис кросс-корреляции представлен в виде интерактивного конструктора: чтобы создать сложное правило, не нужно знать языки программирования и возиться с кодом. Обновление еще расширило возможности сервиса: добавился логический оператор «НЕ», который научит систему распознавать инцидент, когда нарушились легитимные процессы и не произошло важное событие. Например, если человек не проходил через СКУД, но работает за компьютером, это повод разобраться: это санкционированный удаленный доступ или вторжение. Фактически оператор увеличивает спектр применения правил кросс-корреляции в два раза при использовании двух событий для формирования инцидента, и в шесть раз – при использовании трех.

В «СёрчИнформ SIEM» появилась возможность экономично контролировать распределенные сети – например, в компаниях со множеством филиалов. До сих пор в распределенных сетях применялся сбор данных центральным сервером, куда поступала информация напрямую от устройств и ПО в филиалах. Это могло создавать излишнюю нагрузку на сеть и приводить к потере данных при сборе событий из источников с пассивным сбором. Теперь в системе появился специальные буферизующие агенты, которые собирают и нормализуют данные «на местах» и передают в «головной» SIEM уже в подготовленном виде. Вот, как это работает:

Устройства в удаленных филиалах передают информацию о событиях ИБ в буферизирующий агент.
Буферизирующий агент собирает события в филиале, нормализирует их и выявляет среди них инциденты.
«Чистые» данные из филиала передаются в центральный офис по выделенному каналу.
Сервер SIEM в центральном офисе получает и хранит «чистые» данные от филиалов с готовой разметкой: что, когда и где произошло.

В результате растет производительность и отказоустойчивость системы: с одной стороны, передача готовых данных по одному выделенному каналу экономит ресурсы, с другой – данные от устройств сохраняются локально на буферизирующем агенте в филиале.

Процесс расследования инцидентов в «СёрчИнформ SIEM» оптимизирует инструмент – таск-менеджер. Он позволяет объединять разные инциденты в одно расследование, назначать ответственных сотрудников службы ИБ, присваивать статусы хода расследования, добавлять комментарии и подводить итоги.

Таск-менеджер

Инструмент полезен, чтобы определять границы инцидента и выявлять цепочки событий, которые объединены одной атакой или сбоем. На основе выводов расследований удобно создавать другие правила кросс-корреляции.

Кроме того, теперь можно комментировать каждый инцидент в отдельности. В комментарии можно добавить любой текст, автоматически в них включится имя автора и время добавления. Доступно автозаполнение. Администратор системы может гибко настроить права доступа к комментированию для разных ИБ-специалистов, которые работают с SIEM. Комментарии будут являться неотъемлемой частью инцидента, и заодно дублироваться в логи.

Результаты расследований, информацию о работе SIEM и аналитику по отдельным источникам выгружаются в кастомизируемые отчеты. Добавилась возможность формировать отчеты по любому правилу, выгружать их по расписанию и отправлять на электронную почту.

А для компаний, которые должны отчитываться о состоянии ИБ перед регулятором, реализована возможность напрямую передать отчеты в НКЦКИ в стандартизированном формате. В SIEM реализован функционал прямого экспорта в ГосСОПКА, который позволяет информировать регулятора не о событиях или промежуточных результатах расследований, а представлять картину атаки/сбоя целиком.

Обновленная схема лицензирования «СёрчИнформ SIEM» опирается на количество узлов, которые будут передавать данные – компаниям не нужно «прикидывать на глаз» пиковые объемы трафика (EPS), легче оценить свои потребности в количестве лицензий.

При внедрении добавилась возможность «разбить» БД SIEM на мощности нескольких серверов. Поддержка кластерной модели работы позволяет системе обрабатывать одновременно больше информации и делать это быстрее. Все настройки кластера осуществляются из одной консоли.

Проверить работоспособность основных коннекторов перед «боевым» запуском можно в тестовом режиме. Например, для коннектора WinEvent разработан механизм генерации всех типов тестовых событий, чтобы без усилий провести полную проверку настроек аудита данных на источнике. Особенно это актуально, чтобы убедиться в корректности правил аудита Active Directory.

Чтобы обезопасить систему – ведь она хранит максимум информации о составе и «тонких местах» в инфраструктуре компании – реализованы ограничения при работе администраторов SIEM. Так, переработан механизм авторизации: теперь можно ограничить список узлов, с которых можно подключиться к серверу системы. Если злоумышленникам удастся завладеть данными для авторизации, они не смогут подключиться к SIEM из-за пределов корпоративного периметра, или с IP, который не задан как доверенный.

А чтобы контролировать, как взаимодействуют с SIEM легитимные пользователи, все действия юзеров после авторизации в системе подробно логируются. Руководитель службы ИБ может просмотреть, кто, когда и что делал в SIEM, а также задать роли своих сотрудников в системе. Это поможет выявить ошибки или подозрительные действия внутренних пользователей.

Внешний вид системы и выдачу данных можно кастомизировать почти без ограничений. Например, можно менять порядок расположения виджетов способом drag-and-drop. А во всех вкладках консоли стало больше фильтров, группировки по любым параметрам, возможности экспорта данных и отправки на печать.

Появилась карта подключений, которая визуализирует, какие пользователи авторизованы на каких устройствах. Граф формируется на основе событий по правилу «Статистика входов в систему» (WinEventConnector) и отображается на отдельной вкладке. Карта подключений позволяет просматривать для каждого компьютера/пользователя:

связи с другими объектами сети;
тип и статус подключений: интерактивный, сетевой и др.
детальную информацию о подключениях за выбранный период времени.

Все дашборды и графы теперь доступны онлайн в веб-представлении. Аналитическую информацию можно будет просмотреть с любого устройства – видео-стены, телевизора, дополнительного монитора и пр.

2020: Обзор «СёрчИнформ SIEM»

В последние годы отечественные SIEM-системы активно развиваются. Дополнительный стимул они получили благодаря политике импортозамещения. Несмотря на то, что в российских компаниях продукты этого класса пока не слишком распространены, интерес к ним растет. Положительная динамика особенно ярко видна на тендерных площадках, где государственные, частные и некоммерческие организации проводят конкурсы по закупке SIEM-систем.

Это объясняется, в частности, законодательными изменениями: в последнее время выросли требования к организациям в вопросах защиты критической информационной инфраструктуры (Федеральный закон от 26 июля 2017 г. № 187-ФЗ). При этом у заказчиков в приоритете простота внедрения и обслуживания SIEM-систем.

Рассмотрим подробнее одно из решений этого класса — «СёрчИнформ SIEM».

Архитектура

Рис. 1. Схема работы «СёрчИнформ SIEM»

В «СёрчИнформ SIEM» информация из источников событий попадает на сервер SIEM, который отвечает за обработку, корреляцию и формирование ИБ-инцидентов. Для сопоставления событий с их инициаторами сервер SIEM использует компонент SearchInform DataCenter. Сбор и анализ событий в системе обеспечивают коннекторы.

Полный список коннекторов по состоянию на февраль 2020 года выглядит так:

PostgreSQLConnector вычитывает и анализирует протоколы PostgreSQL из журнала Windows «Приложения»;
ADMonitoringConnector отслеживает изменения атрибутов и объектов Active Directory;
1CConnector вычитывает журналы 1C;
GPOConnector отслеживает изменения в настройках объектов групповых политик;
WinEventConnector вычитывает и анализирует журнал Windows Event Log, контроллеры доменов и серверов Windows, а также информацию об учетных записях (по протоколу LDAP). Поддерживает контроллеры доменов на базе Windows Server 2008 R2 и выше;
ESEventConnector вычитывает базу данных FileController, которая содержит информацию о действиях пользователей с файлами;
ProgramConnector собирает информацию об активности пользователей, подключаясь к базам данных ProgramController;
DeviceConnector вычитывает базу данных DeviceController, которая содержит информацию о копируемых файлах, подключаемых внешних устройствах;
SQLAuditConnector вычитывает и анализирует протоколы Microsoft SQL из журнала Windows «Приложения»;
OracleConnector анализирует протоколы СУБДOracle;
KavEventConnector, SymantecConnector и McafeeConnector осуществляют подключения к базам данных Kaspersky Security Center, Symantec EPM и антивируса McAfee соответственно, а также чтение их записей;
ExchangeConnector и DominoConnector вычитывают логи почтовых серверов Exchange и IBM Domino соответственно;
SyslogConnector обеспечивает получение событий Syslog;
VMwareConnector обеспечивает получение событий VMware ESXi;
CiscoConnector обеспечивает получение событий сетевых устройств Cisco;
FortigateConnector обеспечивает получение событий устройства комплексной сетевой безопасности FortiGate;
PaloAltoConnector и CheckPointConnector обеспечивают получение событий межсетевых экранов Palo Alto и Check Point соответственно;
LinuxConnector обеспечивает получение событий ОС Linux, веб-сервера Apache, почтового сервера Postfix и FTP-сервера Very Secure FTP Daemon;
ESETConnector обеспечивает получение событий антивирусного программного обеспечения ESET;
SIDLPConnector обеспечивает получение событий приложений «СёрчИнформ КИБ»;
CWAConnector вычитывает журналы 1C и контрольно-весовых аппаратов.
DHCPConnector обеспечивает получение событий DHPC-серверов на ОС Windows.
CustomConnector позволяет создавать пользовательские правила для сбора событий из произвольного источника.

В зависимости от функциональных особенностей источника сбор данных происходит по трем сценариям: прямое подключение к источнику, самостоятельная отправка данных от источника к серверу, сбор через агента. Это позволяет применять «СёрчИнформ SIEM» в компаниях с распределенной структурой.

Информация по обнаруженным инцидентам хранится в базе данных MongoDB.

Функциональные возможности

Создание правил кросс-корреляции

Функция реализована по принципу «настрой и пользуйся». Обычно создание правил кросс-корреляции требует опыта в написании скриптов и навыков программирования. В «СёрчИнформ SIEM» все сводится к настройке в одном окне условий, по которым разные события объединяются в инцидент.

Рис. 2. Мастер создания правил кросс-корреляции: пример создания пользовательского правила

Правила кросс-корреляции позволят настроить систему более тонко, чтобы она могла «увидеть» подозрительный след во внешне безобидных событиях (подключение нового email-адреса, логин/логаут в Active Directory). Например, один из пользователей залогинился в AD и через некоторое время сделал логаут. Пока все логично. А если между логином и логаутом прошло совсем немного времени, и в это время пользователь менял пароль доступа к рабочей базе данных SQL? Это может быть тревожным звонком. Здесь в дело вступает пользовательское правило кросс-корреляции: формирует соответствующий инцидент и дает возможность администратору принять меры и предотвратить проблемы в дальнейшем.

Обнаружение новых устройств и открытых портов на сканере сети

Сканер «СёрчИнформ SIEM» позволяет определить количество компьютеров, роутеров, свитчей, сетевых принтеров в сети, обнаружить открытые порты и отследить попытки несанкционированного подключения нового оборудования.

Визуализация статистики инцидентов на контрольных панелях

Настраиваемые «дашборды» показывают актуальную статистику по инцидентам в удобном для восприятия формате. Администратор может заметить изменение ситуации в системе по одному взгляду на панель.

Рис. 3. Предустановленные виджеты на вкладке «Дашборд»

Мониторинг AD

«СёрчИнформ SIEM» делает «снимки» состояния AD через выбранные промежутки. Детальное сравнение снимков показывает изменения в AD по контролируемым атрибутам, количество добавленных и/или удаленных объектов. Функция помогает администратору вовремя заметить несанкционированные или подозрительные изменения в AD.

Рис. 4. Сравнение снимков AD, сделанных в разное время в течение одного дня

Просмотр событий на карте инцидентов

Карта отображает инциденты по всем или выбранным коннекторам, ПК и пользователям в разном масштабе. Это позволяет определить центры аномальной активности, проблемные узлы сети и пользователей с большим числом инцидентов (например, свыше 100 тысяч).

Рис. 5. Детализация выбранного ПК с указанием количества инцидентов по правилам

Вычитка событий из любого количества источников данных

«СёрчИнформ SIEM» контролирует любое количество источников данных и выявляет аномалии, угрозы, сбои в оборудовании и попытки несанкционированного доступа, а также сохраняет информацию о работе сети, что позволяет проводить ретроспективные расследования.

Управление правилами корреляции

Правила корреляции можно использовать «из коробки» или настроить под себя. Дополнительная настройка сэкономит время на просмотре событий. Например, по правилу «Статистика входов» программа собирает информацию обо всех входах пользователей сети в ОС и выдает длинный список событий. Разбирать его неудобно, если компания велика. Решить эту проблему поможет разбивка по отделам (она видна в левом меню на рис. 6). Для каждого отдела в «СёрчИнформ SIEM» можно создать правила по статистике входов. В итоге события будут рассортированы, что облегчит анализ и ускорит расследование.

Рис. 6. Список инцидентов по правилу «Статистика входов»

Нормализация инцидентов

«СёрчИнформ SIEM» описывает инциденты очень подробно: одно событие в зависимости от типа включает от 9 до более чем 50 полей. Разработчик изначально настроил нормализацию инцидентов для всех коннекторов под требования безопасности, так что администратору не придется самостоятельно определять важность того или иного поля для события.

Фильтрация, экспорт и вывод инцидентов на печать

Применение фильтров помогает в расследованиях. На вкладках инциденты можно отфильтровать по дате, времени фиксации, имени учетной записи, IP-адресу, тексту, важности события. Фильтрация доступна по любому из имеющихся полей или по их совокупности. Пользователь может получить детализированную информацию по интересующим параметрам, убрав из представления лишние подробности. По любому из правил можно создать отчет для печати или экспорта в другие форматы, например PDF или XLS. Всего форматов экспорта 6.

Рис. 7. Фильтрация инцидентов по правилу «Прочие события Linux» по дате, источнику, IP-адресу и степени важности

Установка и настройка

Для установки используется единственный дистрибутив, который включает все компоненты, необходимые для работы продукта. Установка сводится к нескольким нажатиям на кнопку «Далее», так что с ней справится даже новичок, который видит такое программное обеспечение впервые. Аналогично происходит и установка обновлений.

В настройке системы тоже нет сложностей. В большинстве случаев администратору нужно указать несколько параметров: служебная учетная запись, электронный ящик, адрес сервера, номер порта.

В «СёрчИнформ SIEM» имеются уведомления о бездействии источников данных. Программа формирует такие уведомления, когда от подключенных источников перестает поступать информация (например, VMwareConnector «молчит» больше суток).

Рис. 8. Настройка уведомлений о бездействии источников

«СёрчИнформ SIEM» позволит вовремя заметить отказ или ошибку системного программного обеспечения, отключение сервера источника данных, аппаратные, программные и сетевые неполадки.

Работа с продуктом

Интерфейс «СёрчИнформ SIEM» по расположению вкладок и рабочих областей напоминает продукты из семейства Microsoft Office, поэтому ориентироваться в нем просто.

В верхней части окна расположена полоса вкладок, которые делятся на три смысловые группы: настройка и управление («Меню» и «Администрирование»), основной функционал («Правила» и «Инциденты») и графические представления («Карта инцидентов», «Сканер сети», «Дашборд»).

На видео ниже показан общий вид «СёрчИнформ SIEM»: работа во вкладках «Правила», «Карта инцидентов», «Дашборд», элементы управления системой во вкладке «Администрирование».

Вкладка «Правила»

Здесь администратор может настраивать правила корреляции и просматривать инциденты по ним. В системе имеется более 300 предустановленных правил, которые начинают работать сразу после запуска «СёрчИнформ SIEM». При желании можно создавать новые через «Мастер добавления правил».

Рис. 9. Добавление правила «Прочие события Syslog»

Вкладка «Инциденты»

На этой вкладке администратор может посмотреть срабатывания правил за выбранный период (вчера, неделю назад). На цветных плитках показывается число непросмотренных инцидентов (в правом верхнем углу) и их общее количество по правилу (в левом верхнем углу). Если нужны подробности — например, когда и на каком компьютере имели место попытки подбора пароля, — можно открыть описания инцидентов в виде таблицы. Для этого достаточно нажать на плитку с нужным правилом.

Рис. 10. Вкладка «Инциденты»

На примере ниже видно, как происходит работа на вкладке. Показаны все случаи, попавшие под правило «Доступ к почте не владельцем» в заданном интервале, карточка отдельного инцидента с подробным описанием.

Вкладка «Карта инцидентов»

Вкладка «Карта инцидентов» позволяет администратору увидеть все ПК и пользователей в системе с привязкой к инцидентам и определить проблемные точки. Например, можно отфильтровать компьютеры, чтобы отобразить только те, по которым за день было больше 10 000 инцидентов.

Карта масштабируется, для удобства можно скрывать на ней всех или выбранных пользователей, компьютеры. Это упрощает анализ ситуации в крупных компаниях с большим количеством сотрудников за ПК.

Вкладка «Сканер сети»

На этой вкладке появляются результаты сканирования сети в обычном (тип, MAC- и IP-адрес устройства) и углубленном режимах (+домен и операционная система, открытые порты и пр.). Визуально отчет напоминает «ромашку». В центре отображается диапазон отсканированных IP-адресов и общее количество обнаруженных устройств и портов. На «лепестках» – сами устройства с информацией о них во всплывающем окне.

Также администратор может просмотреть количество принтеров или роутеров в сети, количество открытых портов по номерам, собрать все ПК в группы по IP-адресам для более удобного анализа (например, «Бухгалтерия», «Отдел продаж»). Если в сети появятся новые устройства, то они автоматически попадут в папку «Без группы».

Рис. 11. Сгруппированные устройства на сканере сети

Вкладка «Дашборд»

«Дашборд» позволяет увидеть четкую картину всех процессов и событий в ИТ-инфраструктуре. В системе имеется 11 шаблонов виджетов, на основе которых можно создавать новые. Доступны настройка частоты обновления данных на них (от 1 минуты до 1 часа) и отслеживание изменений в диапазоне от одного дня до года. Настраивать можно все виджеты сразу или по отдельности.

«Дашборд» позволяет администратору отследить инциденты по горячему следу или в динамике. Например, есть возможность определить дни, когда на ПК было обнаружено больше всего вирусов (возможно, e-mail адреса компании попали в фишинговую рассылку с вредоносами), или вычислить самых проблемных пользователей за октябрь (более 50 000 инцидентов).

Системные требования

Минимальные требования для установки сервера SIEM:

MicrosoftWindows Server 2008 R2 и выше;
процессор: 4-ядерный с частотой 2,1 ГГц;
оперативная память: 4 ГБ;
жесткий диск: 200 ГБ;
сетевая карта: 100 Мбит/с.

Требования формируются в зависимости от разветвленности и размера ИТ-инфраструктуры компании, которая будет использовать программу.

Хотя разработчик не предлагает готовое программно-аппаратное решение, при соблюдении рекомендаций программа стабильно работает и в виртуальной, и в аппаратной средах.

Лицензирование

Лицензии предоставляются по количеству пользователей, компьютеров и устройств. Раздачу лицензий ведет DataCenter. Тип лицензирования зависит от коннектора.

Рис. 12. Количество выданных, использованных и оставшихся лицензий в окне DataCenter

Каждый коннектор использует свои лицензии независимо от другого. Это означает, что общее число купленных лицензий, например 125, распределится следующим образом: каждый установленный коннектор получит по 125 лицензий для контроля пользователей, ПК и устройств.

Такой вариант лицензирования не ограничивает производительность системы, поскольку не зависит от количества событий в секунду.

Выводы

«СёрчИнформ SIEM» обладает широкой функциональностью и понятным интерфейсом. Графические представления упрощают контроль состояния ИТ-инфраструктуры, ускоряют поиск инцидентов и расследования по ним.

Доступно бесплатное тестирование полнофункциональной версии «СёрчИнформ SIEM» на инфраструктуре заказчика.

Быстрая и простая настройка – правила корреляции начинают работать сразу после установки системы.
Легкая интеграция с DLP «СёрчИнформ КИБ» для углубленного расследования обнаруженных нарушений.
Широкие возможности мониторинга общего состояния сети, узлов, программного обеспечения и оборудования, пользователей, а также возможность глубокого анализа Active Directory.
Простое и понятное лицензирование.
Разработка и техническая поддержка находятся в РФ, что ускоряет решение вопросов по работе с системой.
Система сертифицирована ФСТЭК и внесена в Единый реестр российского ПО.

Нет встроенных правил поведенческого анализа.
Управление только из приложения (нет web-интерфейса).
Встроенный сканер сети не обладает функцией сканирования уязвимостей.
Требуются лицензии на стороннее ПО (серверная ОС Windows).

2018: Включение в Реестр отечественного ПО

21 сентября 2018 года компания «СёрчИнформ» сообщила, что SIEM-система «СерчИнформ» признана соответствующей всем требованиям регулятора и рекомендована для закупки государственными организациями и компаниями с существенной долей государственного участия. Решение о включении ПО в Реестр было принято на заседании Экспертного совета по российскому ПО при Минкомсвязи России.

Реестр отечественного ПО существует с начала 2016 года с целью расширения использования российских программ и оказания государственной поддержки правообладателям. Это значит, что госкомпании обязаны в первую очередь искать необходимые им программные продукты в этом перечне, пояснили в «СерчИнформ».

Алексей Парфентьев, ведущий аналитик компании «СерчИнформ»

Со слов разработчика, «СёрчИнформ SIEM» имеет массу универсальных, готовых к использованию политик безопасности, выявляющих нерегламентированное использование ИТ-инфраструктуры, махинации с учетными записями, попытки проникновения в корпоративные системы и множество других критичных событий информационной безопасности. В «СёрчИнформ SIEM» упор делается на возможность создать собственные правила алертов или кастомизировать политики, предоставляемые компанией-разработчиком.

2017

Ноябрьское обновление

Компания «СёрчИнформ» 22 ноября 2017 года представила очередной релиз своей SIEM-системы. Свежая версия «СёрчИнформ SIEM» обеспечивает полноценный контроль событий безопасности на серверах и конечных устройствах с ОС Linux. Карта инцидентов открывает ИТ и ИБ-специалистам доступ к актуальной, непрерывно обновляемой информации об активах и состоянии корпоративной «экосистемы».

Система «СёрчИнформ SIEM», интерфейс, ноябрь 2017 года

Система мониторинга и анализа событий безопасности «СёрчИнформ SIEM» поставляется с готовым набором правил, которые автоматизируют аудит подозрительной активности в ИТ-инфраструктуре. Очередная версия SIEM-системы дополнена предустановленными политиками безопасности для Linux-серверов и рабочих станций.

Обновленная «СёрчИнформ SIEM» предупреждает о входе в систему с правами суперпользователя (правами root), неудачных попытках авторизации, ошибках SSH. Система берет под контроль создание и назначение прав учетным записям, регистрирует изменения паролей и многое другое.

Среди добавленных правил — фильтры для событий безопасности почтовых серверов Postfix, которые «собираются» в Unix-подобных системах. Предустановленные политики безопасности предупредят о неудачных попытках аутентификации, входах из неизвестных источников, событиях с неизвестным пользователем, ошибках SSL-соединений и других подозрительных событиях.

Обновленная система «СёрчИнформ SIEM» включает правила для аудита операций с файлами и директориями FTP-серверов vsftpd – официального FTP-ядра Linux. Из 73 правил, добавленных в последнем релизе «СёрчИнформ SIEM», 45 – контролируют Linux-системы.

«СёрчИнформ SIEM» также дополнена источниками и политиками безопасности для событий HTTP-серверов с кроссплатформенным ПО Apache, среды виртуализации VMware, серверов Oracle, сетевых устройств Cisco, устройств комплексной сетевой безопасности FortiGate.

Кроме того, разработчики дополнили функциональность «СёрчИнформ SIEM» наглядной картой инцидентов, которая отражает состояние корпоративной системы в текущий момент времени. На интерактивной карте отображаются серверы, пользователи и ПК компании с количеством инцидентов. Выбрав в «дайджесте» конкретного пользователя или компьютер, ИТ- или ИБ-специалист сможет в один клик перейти к развернутым правилам, по которым зафиксирован инцидент, и описанию угрозы.

Апрельское обновление

4 апреля 2017 года компания «СёрчИнформ» объявила о выходе очередной версии «СёрчИнформ SIEM», дополненной новой функциональностью, в частности поддержкой формата Syslog.

В «СёрчИнформ SIEM» реализованы преднастроенные правила и возможность создавать собственные правила обработки данных. Доступна настройка фильтров обработки по типам, статусам, источникам и тексту сообщения. При создании правил допустимо использование регулярных выражений и их опций. Таким образом возможно создать уникальные настройки системы для каждой прикладной задачи.

Среди предустановленных категорий событий есть готовые фильтры для:

События ядра операционной системы
События пользовательского уровня
События почтовых систем
События системных демонов
События безопасности и авторизации
Внутренние события Syslog
События протокола построчной печати
События новостного протокола
События подсистемы UUCP
События сервисов времени
События FTP-демонов
События подсистем NTP
События журналирования
Предупреждения журналирования
События сервисов планирования
События системы «КИБ Серчинформ» в формате Syslog

«СёрчИнформ SIEM» дополнена уникальным коннектором, который позволяет работать с модулем учета рабочего времени. Коннектор имеет преднастроенные правила для выявления активности сотрудников вне регламента, а также предупреждает об активности давно отсутствовавших пользователей. Настройка коннектора не требует долгой интеграции – источником данных служат агенты «КИБ Сёрчинформ», отслеживающие рабочее время сотрудников.

2016: Анонсирование

22 ноября 2016 года компания «СёрчИнформ» объявила о выпуске собственной SIEM-системы «СёрчИнформ SIEM».

«СёрчИнформ SIEM» – система для сбора, мониторинга и анализа событий безопасности из корпоративных систем в режиме реального времени. Программа аккумулирует информацию из различных источников, анализирует ее, фиксирует инциденты и оповещает заинтересованных лиц.

Все инциденты хранятся в собственной базе данных, что помогает формировать отчеты и выполнять поиск за все время функционирования системы. Связка «СёрчИнформ SIEM» – DLP-система «КИБ СёрчИнформ» помогает детализировать нарушения и проводить анализ инцидентов в мельчайших подробностях.

Последовательность действий SIEM в системе, (2016)

Источники событий для системы – журналы Active Directory, Windows Event Log, антивирусы, почтовые серверы Exchange, СУБД, операции с файлами на файл-серверах и компьютерах пользователей. Список источников будет расширяться. Программа позволяет получить результат сразу же после установки, так как имеет набор предустановленных правил и не требует базовой доработки.

Лев Матвеев, председатель совета директоров «СёрчИнформ»

Сбор и обработка событий от различных источников

Отсутствие контроля всех событий в инфраструктуре чревато рисками:

«пропустить» инцидент;
не обнаружить деталей и не установить причин (удалены журналы событий, отключена антивирусная защита и т.д.);
не восстановить данные.

Скриншот окна системы, (2016)

СёрчИнформ SIEM помогает централизовать сбор событий в инфраструктуре компании. Система приводит журналы всех источников к единому формату для упрощения их анализа.

Анализ событий и разбор инцидентов в реальном времени

Система унифицирует события и оценивает их значимость: визуализирует информацию с акцентом на важные и критические события.

Корреляция и обработка по правилам

Технология работает по правилам, которые содержат перечень условий и учитывают разные сценарии действий.

Автоматическое оповещение и инцидент-менеджмент

СёрчИнформ SIEM ведет мониторинг событий в реальном времени, это помогает обрабатывать их сразу при поступлении в систему. Так выполняется главное назначение: создание условий для быстрого реагирования службой безопасности на инциденты.

Что выявит система:

Сетевые атаки во внутреннем и внешнем периметрах.
Вирусные эпидемии или отдельные вирусные заражения.
Попытки несанкционированного доступа к конфиденциальной информации.
Мошенничество и целевые атаки (APT).
Ошибки и сбои в работе информационных систем.
Ошибки конфигураций в средствах защиты и информационных системах.