Свежий взгляд на аутсорсинг информационной безопасности

Сегодня наблюдается дисбаланс процессов ИБ и ИТ. Это вызвано тем, что длительное время основное внимание было сосредоточено на обнаружении сложных таргетированных атак. В течение нескольких лет коммерческие SOC были сосредоточены на мониторинге инцидентов ИБ. Это обусловливалось резким ростом количества направленных атак, произошедшим с начала 2010 года. Тогда стало очевидно, что 5–10% самых опасных угроз невидимы даже для самых эффективных систем защиты. Фокус на детектировании привел к серьезному перекосу в развитии процессов мониторинга и реагирования на инциденты ИБ и, как следствие, к снижению общей эффективности систем безопасности.

80% заказчиков, по нашему опыту, нуждаются в комплексной поддержке на всех этапах Incident Response. При этом блок IR часто упрощают. Согласно стандарту NIST 800-61r2, глобальный процесс реагирования на инциденты ИБ включает 4 больших блока, в рамках которых реализуются около 20 взаимосвязанных подпроцессов. Это подготовка комплексной системы защиты, детектирование, реагирование и постинцидентный анализ. Для достижения максимального уровня защиты информационных ресурсов очень важно равномерно развивать все перечисленные процессы. Наиболее полно этим требованиям отвечает концепция центра мониторинга и реагирования на инциденты ИБ  — CSIRT (Computer Security Incident Response Team).

Лишь единицы из коммерческих SOC реализуют полноценный Threat Hunting, или проактивный поиск угроз, не обнаруживаемых традиционными средствами детектирования. Две неотъемлемые составляющие этого важнейшего процесса  — хорошая координация между командами мониторинга, реагирования и эксплуатации, ИТ-специалистами и владельцами активов, а также глубокое погружение сервис-провайдера в инфраструктуру заказчика. В действительности большинство коммерческих SOC этим пренебрегают и, по сути, ограничиваются лишь предоставлением услуг поверхностного детектирования.

Jet CSIRT:  аутсорсинг полного цикла 

В этом году мы запустили специализированный центр мониторинга и реагирования на инциденты информационной безопаснос­ти Jet CSIRT. Работая над новым экспертным сервисом, мы стремились создать комплексный набор услуг по предотвращению, обнаружению и реагированию на угрозы, призванный решать задачи заказчиков под ключ в режиме 24х7. Для этого был проведен тщательный анализ рынка и выявлены главные потребности наших клиентов. В результате мы вывели на рынок услугу, объединившую в себе основные сервисы, которые наша компания предоставляла ранее на протяжении многих лет. 

Особенность Jet CSIRT — фокус на реагировании. Мы убеждены, что для обеспечения реальной безопасности недостаточно оперативного обнаружения угроз, важно вовремя их нейтрализовать и обезвредить. Именно поэтому в основе нашего сервиса лежит концепция CSIRT, наиболее полно охватывающая все процессы Incident Response.

Ответственность коммерческого CSIRT по сравнению с SOC гораздо ближе к основной бизнес-задаче всей службы ИБ. Она сводится к комплексному обеспечению защиты инфраструктуры и информации. Другими словами, с юридической точки зрения коммерческий CSIRT главным образом отвечает за процесс управления инцидентом и, как следствие, за множество его подпроцессов. Коммерческий SOC — это в большей степени операционный уровень с узкой ответственностью за процесс детектирования, т.е. непосредственно за поддержание качества аналитики. 

Как работает Jet CSIRT

Jet CSIRT начинается с команды. Ее основу составляют группа мониторинга и группа реагирования. Первая решает задачи сбора, нормализации, хранения событий, корреляции инцидентов, управления уязвимостями и аналитики. Вторая отвечает за ограничение и нейтрализацию угроз, восстановление инфраструктуры, экспертизу ИБ, консультирование, администрирование СЗИ и т.д.

На любом этапе к работе Jet CSIRT оперативно подключаются другие эксперты нашего Центра информационной безопасности — около 200 специалистов различного профиля в сфере ИБ. Это позволяет нам предоставлять заказчикам, помимо традиционных услуг мониторинга инцидентов, множество дополнительных опций. Например, когда нужно провести анализ вредоносного кода, на помощь сразу же приходят специалисты Лаборатории практического анализа защищенности. В зависимости от инцидента это также могут быть эксперты по защите от мошенничества, киберкриминалисты, архитекторы или аудиторы информационной безопасности. В нашей практике был случай, когда оперативное вмешательство в расследование инцидента специалиста в области DLP позволило существенно сократить время реакции на атаку и предотвратить более серьезные угрозы. 

Мы предусмотрели 2 опции подключения к инфраструктуре заказчика: On-premise и Cloud. В первом случае наши специалисты работают с SIEM-системой и средствами защиты информации заказчика, предоставляют экспертизу и обеспечивают реализацию процессов Incident Response согласно SLA. Подключение к ресурсам клиента происходит по защищенным VPN-туннелям.

Вторая модель, помимо внешней аналитики, предполагает также применение инструментария, предоставляемого из виртуального защищенного центра обработки данных нашей компании. 

Когда SOC недостаточно. Кейс из нашей практики

На второстепенном (некритичном) активе зафиксировано использование потенциально опасного ПО Dropper. С его помощью злоумышленники могут загрузить на атакуемый актив вредоносный код, например программу-троян. 

Решение

Традиционный коммерческий SOC

1. Аналитик мониторинга проверяет инцидент на ложное срабатывание и получает отрицательный результат.

2. ИБ-команда получает рекомендацию произвести очистку.

3. Проводится ретроспективный анализ в SIEM на предмет реализации таргетированной атаки.

Центр мониторинга и реагирования на инциденты ИБ Jet CSIRT

1. Аналитик мониторинга проверяет инцидент на ложное срабатывание и получает отрицательный результат.

2. Чтобы минимизировать риск распространения угрозы, инженер реагирования сразу же приступает к фазе локализации инцидента, блокируя скомпрометированный актив на уровнях сети, процесса и пользователя. 

3. Аналитик по киберкриминалистике детально изучает зараженный актив. Проверив события, которые миновали SIEM-систему, но отобразились на уровне актива, он понимает, что произошла таргетированная атака, и определяет потенциальный вектор ее реализации. По итогам расследования выявлены атакованные активы, приняты меры по локализации и дальнейшему подавлению инцидента. 

4. По факту завершения работ по инциденту результаты документируются, формируется комплекс рекомендаций по корректировке правил (сценариев) выявления инцидентов и политик блокировки.

5. Команда эксплуатации принимает рекомендации к исполнению по указанию CISO / руководителя ИБ-службы.

Комплексный подход CSIRT помогает повысить скорость и качество обработки инцидента. Такой эффект достигается за счет реализованного процесса управления инцидентом (весь процесс регистрируется инцидент-менеджером и управляется при помощи специализированного ПО Incident Response Platform) и координации действий аналитиков и инженеров реагирования разных специализаций. В случае типовых коммерческих SOC функция управления инцидентом, как правило, ложится на клиента, и этот процесс зачастую не реализуется.

Вывод

Сегодня Jet CSIRT уже помогает заказчикам комплексно решать задачу защиты корпоративных ресурсов. В ближайшей перспективе мы планируем расширять и углублять наши возможности в части киберкриминалистики и OSINT-технологий, а также накапливать экспертизу в части взаимодействия с ГосСОПКА.