SOC-Форум Live 2020

Так, первый заместитель директора Департамента информационной безопасности Банка России Артем Сычев рассказал об уроках пандемии для финансовой отрасли, которые всем пришлось очень быстро выучить. Первым из них стало то, что «поспешность выведения на рынок финансовых продуктов, поспешность выведения на рынок сервисов без учётов требований безопасности, без учёта самых элементарных мер, которые должны соблюдаться в части программирования, приводит к тому, что [злоумышленники] очень быстро находят дырку». Второе — при быстром переходе на удалённый режим работы большинство кредитно-финансовых организаций не подумали о том, насколько персональные данные клиентов, которые так или иначе попадают на удалённые рабочие станции сотрудников, защищены. И третье — Банку России следует существенно пересмотреть приоритеты в вопросах, которые он регулирует и которыми он управляет с точки зрения ИБ.

Также Артем Сычев заявил, что требования по безопасности логичнее и правильнее передавать в распоряжение отраслевых центров, имея при этом некоторый координирующий орган, представляющий интересы государства. А заместитель председателя правления ПАО «Сбербанк» Станислав Кузнецов в ходе дискуссии высказался за ужесточение наказания за киберпреступления, отметив, что экспертное сообщество уже давно заявляет о необходимости такого шага. Кроме того, он поделился своим видением того направления, в котором будет развиваться SOC. По его словам, к 2023 году SOC станет «кибер-фьюжн-центром..., который будет управлять разными видами рисков, и не только киберрисками: информационными, рисками управления процессами по смежным направлениям деятельности из других бизнес-направлений».

SOC-cast

Наиболее информативным и богатым практическим содержанием стал доклад руководителя центра компетенций по анализу защищённости «Лаборатории Касперского» Александра Зайцева, который рассказал о проведении симуляции целевых атак (Red Teaming). Эксперт объяснил, как выстроить процесс Red Teaming, чем эта практика отличается от пентеста и киберучений, и дал пошаговую инструкцию к проведению такой симуляции.

Выступления руководителя отдела расследования киберинцидентов JSOC CERT компании «Ростелеком-Солар» Игоря Залевского и директора экспертного центра безопасности Positive Technologies Алексея Новикова были интересны с другой стороны — оба рассказали о проектах, реализованных за минувший год, и полученном за это время опыте.

Так, Игорь Залевский подробно описал несколько случаев, когда компании становились жертвами главных киберугроз 2020 года: инсайдеров, шифровальщиков и APT-группировок.

Алексей Новиков подвёл итоги The Standoff — соревнований на киберполигоне, прошедших незадолго до SOC-Форума Live . По словам эксперта, соревнования наглядно показали, что командам нападения («злоумышленникам») достаточно 4 шагов для того, чтобы реализовать тот или иной бизнес-риск в инфраструктуре. На каждую атаку в среднем уходит всего 19 минут, и даже когда команды защитников «выбивали» хакеров с их позиций, спустя 27 минут те восстанавливали контроль над захваченным объектом.

«Купите Дмитрия Гадаря!»

Самой ожидаемой и непредсказуемой сессией всего форума стала АнтиПленарка 2:0, по условиям которой участники должны были «прожаривать» своих коллег, громко не соглашаться с их тезисами и спорить до хрипоты. Трек действительно получился жарким, особенно после выступления CISO Тинькофф Банк Дмитрия Гадаря, который пламенно убеждал коллег в том, что SIEM-ам больше не место в SOC-ах. Пожалуй, именно эта фраза вызвала бурю эмоций и больше всего споров, искры которых перенеслись впоследствии и на выступления других участников сессии. По словам ведущего, «Дмитрий порвал аудиторию, в худшем случае — помял». На всём протяжении АнтиПленарки зрители подливали масла в огонь дискуссии, присылая свои едкие комментарии, а под занавес голосованием большинства выбрали Дмитрия Гадаря не только самым жаропрочным выступающим (50,96% голосов), но и лучшим прожарщиком (48,19% голосов).

Выступление Алексея Новикова из Positive Technologies также вызвало шквал споров и остроумных замечаний. Один из основных посылов: «Регуляторы молодцы! Сейчас, мне кажется, им надо пойти дальше — прийти и прям зарегулировать operations, а ещё все SOC-и жёстко проверять, каждый год, чтобы посмотреть, действительно этот SOC может что-то обнаруживать, действительно ли он в состоянии не допустить реализацию бизнес-рисков».

Алексей Новиков выдвинул и ещё один «горючий» тезис: если компания хочется называться лидером, она обязана делиться экспертными знаниями. В ответ коллеги «разродились» серией шуток, связанных с именем Дмитрия Гадаря и его экспертными знаниями. Ведущие подытожили обсуждение ироничной максимой о том, что «надо покупать не средства защиты, а Дмитрия Гадаря».

Важным выводом из споров на АнтиПленарке стала мысль о том, что в теме SOC уже давно пора всё стандартизировать и формализовать. То есть после 6 лет дискуссий на SOC-Форуме пора переходить к созданию рабочей инструкции, по которой смогут функционировать подавляющее большинство российских SOC-ов.

«Штатный тролль-комментатор первого канала трансляции», бизнес-консультант по ИБ Cisco Алексей Лукацкий, подводя общий итог сессии, также отметил, что отрасли уже давно нужна некая стандартизация в сфере SOC. Но это должны быть не малопонятные документы от регуляторов, а свод практик от непосредственных участников процесса.

Аутсорсинг

Тема аутсорсинга красной нитью проходила через весь форум. Но ярче всего она проявилась в выступлениях трека «Клиентский опыт построения и эксплуатации SOC-ов» на первом канале. Так, начальник управления ИБ ПАО «ГТЛК» Сергей Рысин описал ситуацию, в которой при наличии инструментария мониторинга угроз ощущалась острая нехватка квалифицированных кадров для ведения такой работы. Решать проблему, как сообщил Сергей Рысин, можно путём найма персонала (если есть такая возможность), либо покупкой услуг Managed SIEM, либо же переходом на аутсорсинговый SOC. Последний вариант и был выбран ГТЛК.

Начальник управления средствами защиты ИТ-инфраструктуры «Трубной металлургической компании» (ТМК) Антон Кокин рассказал об организации мониторинга ИБ в своей компании. В ТМК выбрали гибридную модель SOC, при которой часть функций была развёрнута на собственной инфраструктуре, а другая часть было возложена на аутсорсинговый SOC.

На «второй кнопке» SOC-Форума Live тема аутсорсинга также постоянно возникала в выступлениях докладчиков. Доклады под названиями «За чем приходят, когда ищут себе SOC» («Ростелеком-Солар») и «Есть ли жизнь между собственным и аутсорсинговым SOC’ом? Третья альтернатива», а также выступления представителей компаний Fortinet, R-Vision, КРОК и «Инфосистемы Джет» неумолимо внушали зрителям идею о полном или хотя бы частичном аутсорсинге услуг SOC.

Практика SOC

Второй канал вещания SOC-Форума Live почти полностью был посвящён практике SOC. Аудитория внимательно выслушала доклад представителя НИП «Информзащита» о том, как составлять техническое задание на услуги по созданию SOC, и выступление специалиста Cisco, посвящённое работе SOC-а при различных сценариях «удалёнки».

Необходимость в разъяснении основ написания ТЗ объясняется просто: за последние 30 лет было фактически утрачено понимание того, что техническое задание — это краеугольный камень жизненного цикла ИТ-системы, а не дань бремени «комплаенса». А актуальность доклада от Cisco связана с массовым переходом на «удалённую работу», которая пока не спешит уходить в прошлое. Проблемы кибербезопасности, возникшие в результате перевода большого количества подчинённых в «домашние офисы», требуют новых знаний, которыми со зрителями поделился докладчик.

Не менее своевременным стал доклад представителя НКЦКИ о сервисах в интересах участников ГосСОПКА. Спикер разъяснил, каким образом регуляторные предписания разделяются на обязательные требования и на рекомендации для добровольного исполнения, которые направлены на борьбу с общими киберугрозами.

Промышленный SOC

Среди многообразия тем и форматов отдельного внимания заслужил Круглый стол «Промышленный SOC. Необходимость, функции, векторы развития», на котором разгорелась нешуточная дискуссия. Пропонентами создания промышленного центра мониторинга инцидентов ИБ выступили модератор — представитель компании «Ростелеком-Солар», а также эксперт CIGRE и специалист «Лаборатории Касперского». А руководитель практики промышленной кибербезопасности Positive Technologies и руководитель ИБ «Трубной металлургической компании» оказались в противоположном лагере, высказав коллегам ряд основательных возражений. В обсуждении участвовали и зрители — они направляли модератору вопросы и комментарии, а также голосовали в опросе на тему перспективных направлений развития промышленного SOC.

Поиграем?

Онлайн-формат SOC-Форум Live обогатил знакомое содержание не только новыми возможностями коммуникации между зрителями и выступающими, но также и площадкой для взаимодействия участников как друг с другом, так и представителями компаний, участвовавшими в виртуальной выставке. В мегачатах каждый зарегистрированный участник мог поделиться своим мнением или впечатлениями о докладах в виде текстовых и мультимедийных сообщений, а также направить вопросы спикерам. Всего за день зрители обменялись более чем 3 000 сообщений, а докладчики получили свыше 400 вопросов по содержанию их выступлений.

Чтобы разнообразить перерывы между сессиями, а также помочь участникам взбодриться и размяться, программу вещания дополнили «интерактивными блоками» с элементами «киберЗОЖа». За полчаса до официального начала SOC-Форума Live профессиональные фитнес-тренеры провели физическую разминку для зрителей. А в середине дня тренер научил «узников домашних офисов» полезным упражнениям, укрепляющим спину и шею. Ещё во время одного из первых перерывов зрители наблюдали за приготовлением «Сока жизни» — бодрящего и полезного коктейля, ингредиенты для которого они выбирали в прямом эфире.

В перерывах участники SOC-Форума Live также отвечали на непростые вопросы о центрах мониторинга в «Нашей игре Live Edition», победители которой завоевали ценные призы. А в другой телеигре — «Голос истины: 1 против 100» — зрители сопереживали соперничающим командам «Кибервикингов» и «Кибервалькирий». Команды зарабатывали баллы, отвечая на каверзные вопросы то от лица «безопасников», то от лица рядовых «юзеров».

Перед заключительным этапом деловой программы участники SOC-Форум Live смогли перевести дух с помощью искромётного онлайн-стендапа про «удалёнку», пандемию и бытовую кибербезопасность.

В итоге было интересно, насыщенно и жарко — как и обещали!