Solar Security

В рамках пилотного проекта, в задачи которого входило развертывание выбранных модулей DLP-системы, была спроектирована и внедрена инсталляция Solar Dozor, в которую вошел базовый модуль Dozor Core для мониторинга, анализа и архивирования сообщений, а также модули-перехватчики Dozor Mail Server Connector для контроля коммуникаций через корпоративные почтовые системы, Dozor Endpoint Agent для контроля рабочих станций, Dozor Traffic Analyzer для перехвата и распознавания сетевого трафика и Dozor File Crawler для инспектирования файловых хранилищ. В качестве модулей расширения были выбраны Dozor Dossier для анализа поведения пользователей и выявления аномалий, Dozor OCR для распознавания текста в графических данных и Dozor Long-Term Archive для долгосрочного хранения архива.

После завершения пилотного внедрения систему вывели в режим эксплуатации. Как отмечает начальник отдела информационной безопасности «Юнипро» Виктор Пенский, миграция на новую систему позволила сократить время работы над расследованием инцидентов более чем на 50%. В рамках проекта была произведена операция по переносу данных из старой системы, имевшей свою структуру данных. Объем перенесенных данных превысил 16 Тбайт, при этом простои в сборе и анализе событий отсутствовали.

В конце 2020 года в «Юнипро» было принято решение масштабировать Solar Dozor на все пять филиалов компании, внедрив еще один модуль — MultiDozor. Сотрудники службы безопасности теперь смогут видеть полную картину событий и процессов в целом в режиме реального времени. Система позволит, с одной стороны, централизованно управлять DLP, а с другой — гибко настраивать правила для отдельных филиалов. После развертывания MultiDozor она будет контролировать более чем 2,3 тыс. рабочих станций.

Специалисты компании «Ростелеком-Солар» проанализировали обезличенные данные отчетов о пилотировании DLP-системы Solar Dozor почти в 150 российских организациях с 2018 по 2020 год на предмет признаков нарушений информационной безопасности и служебной дисциплины.

Эксперты пришли к выводу, что типовой нарушитель служебной дисциплины в российской организации – это мужчина до 40 лет со средним стажем работы в компании около 5 лет. Нарушитель занимает должность в сфере финансов и закупок или технической поддержки в организации производственной сферы, финансовых услуг или оборонного комплекса. В течение рабочего дня нарушитель в лучшем случае занят просмотром развлекательного контента, а в худшем – осуществляет бесконтрольную отправку внутренней информации и служебных документов неизвестному кругу получателей за пределами организации-работодателя или массово копирует информацию с грифом ДСП на личный съемный носитель.

Как отмечают эксперты, компании с утра до вечера вынуждены следить, чтобы никто ничего не нарушил. В условиях жесткого контроля проще становится использовать решения из прошлого поколения технологий. Однако в современном мире сотрудник является главной ценностью компании. Трансляция недоверия к персоналу со стороны работодателя, особенно в ключе zero trust и тотального контроля, может привести только к тотальному разрушению внутренних процессов и продуктивности людей.

Одна из основных задач ЦИТ – обеспечение безопасности местных государственных информационных ресурсов от различных угроз. Для защиты от утечек был выбран базовый модуль Dozor Core, отвечающий за реализацию основных функций системы Solar Dozor – фильтрации и хранения данных, поиска и управления событиями и инцидентами информационной безопасности, а также механизмов ведения досье персон. Кроме того, организация использует модули-перехватчики почтового и сетевого трафика, мониторинга активности сотрудников на рабочих станциях, инспектирования файловых хранилищ на предмет нарушения правил хранения конфиденциальной информации.

Первоочередной задачей, которую удалось решить после старта использования системы, стал полный контроль над перемещением и хранением документов ограниченного доступа с помощью анализа потоков данных и инвентаризации сетевых и локальных файловых хранилищ. Кроме того, внедрение Solar Dozor позволило ЦИТ выполнить требования регуляторов по защите государственных информационных систем в части мониторинга результатов регистрации событий безопасности и реагирования на них.

Как отметила Аграфена Бравина, начальник отдела технической защиты информации МКУ ЦИТ, еще на стадии пилотной эксплуатации проявилась эффективность системы с точки зрения выявления инцидентов, удобство инструментов работы с событиями и персонами, простые интерактивные отчеты в реальном времени. Ощутимым преимуществом стала и высокая производительность решения.

В дальнейшем ЦИТ планирует взять на вооружение модуль Dozor Dossier для продвинутой аналитики персон и расследования инцидентов информационной безопасности.

Компания Solar Security опубликовала сводный отчет Solar JSOC Security flash report за первое полугодие 2017 года. Он содержит обезличенную информацию об инцидентах информационной безопасности, выявленных центром мониторинга и реагирования на кибератаки Solar JSOC.

В первой половине 2017 года средний поток событий ИБ составлял 6,2 млрд в сутки, из них около 950 в сутки – события с подозрением на инцидент. Это примерно на 28% больше, чем в год назад. При этом доля критичных инцидентов, способных вызвать длительное прерывание критически важных систем и сервисов либо прямые финансовые потери на сумму более 1 млн руб., составила 17%. В 2016 году критичным был лишь каждый девятый инцидент. Предполагается, что такая динамика связана с общим повышением интенсивности массовых и нацеленных атак на организации.

Если рассматривать общее количество инцидентов, то лишь в 12% случаев они происходили в ночное время. Однако если из общей массы инцидентов выделить критичные, этот показатель возрастает почти до трети всех случаев. А если критичные инциденты были вызваны действиями внешнего злоумышленника, то уже в почти половине случаев (45%) они приходились на ночное время. Основными инструментами киберпреступников оставались атаки на веб-приложения (34%), компрометация учетных данных внешних сервисов клиента (24%) и вредоносное ПО (19%).

Отдельно отмечается возрастающее число инцидентов, являющихся частью Kill Chain – цепи последовательных действий киберпреступника, направленных на взлом инфраструктуры и компрометацию ключевых ресурсов компании. В 13% случаев первым шагом такой цепочки служила атака на веб-приложение (например, онлайн-банк), в 25% – на управляющие протоколы систем (в том числе использование уязвимости Shellshock, известной с сентября 2014 года), в 62% – внедрение в организацию вредоносного программного обеспечения через почтовые вложения или фишинговые ссылки. Таким образом, злоумышленники по-прежнему очень рассчитывают на человеческий фактор.

Как подчеркивают аналитики, несмотря на Wannacry и Petya, цифры по внешним инцидентам демонстрируют высокий, но не драматический рост. Дело в том, что массовые атаки на российские компании происходят регулярно, но, как правило, остаются вне поля зрения СМИ. В то же время о таком явлении, как Kill Chain, пока говорят только специалисты по информационной безопасности. Таких атак еще относительно мало, но они перестали быть «страшилками» и являются реальной угрозой. При этом большинство российских компаний не готово к их отражению.

Основными виновниками внутренних инцидентов (в 63% случаев) оставались рядовые сотрудники компаний, хотя их доля стабильно снижается. Инциденты, связанные с действиями внутренних злоумышленников, не претерпели существенных изменений. Это утечки информации, компрометация внутренних учетных записей, и менее 10% приходится на использование хакерских утилит и средств удаленного администрирования.

ФПК является дочерней структурой РЖД и осуществляет пассажирские перевозки по всей территории России. Сфера деятельности организации подразумевает повышенное внимание к вопросам информационной безопасности, поэтому компания активно внедряет технические средства защиты от внешних и внутренних угроз. Особенно ответственно она относится к защите конфиденциальной информации и, в особенности, персональных данных пассажиров. Для защиты от рисков, связанных с возможными действиями внутренних нарушителей, ФПК выбрала решение Solar Dozor. Ключевым аргументом в пользу этого решения стала его способность защитить организацию от самого широкого спектра внутренних угроз.

С выходом новой версии было принято решение о миграции, поскольку Solar Dozor 6 сочетает зарекомендовавшие себя классические DLP-технологии, обеспечивающие надежную защиту от утечек информации, с инновационным аналитическим инструментарием, который позволяет на ранней стадии обнаруживать признаки активностей, наносящих экономический и репутационный вред компании.

На протяжении нескольких лет для защиты от утечек информации банк использовал «Дозор-Джет». Когда возможности решения перестали отвечать растущим потребностям РСХБ, было принято решение о качественном обновлении DLP-системы. Помимо функциональности, уже имеющейся в существующем решении, банку требовалось, чтобы новая система позволяла максимально быстро и эффективно проводить расследования инцидентов ИБ.

По словам Геннадия Лаврешина, начальника управления информационной безопасности «Россельхозбанка», проблема состоит в том, что большинство DLP-систем либо хранят информацию о действиях сотрудников за слишком короткий период, либо осуществляют поиск по архиву очень долго. С учетом того, как часто офицеру безопасности необходимо найти какую-либо информацию, на это может уходить до двух часов в день. Для РСХБ была крайне важна оперативность проведения расследований.

Чтобы бороться с внутренними нарушениями, в Solar Dozor реализован широкий набор специализированных инструментов, в числе которых полный архив коммуникаций сотрудников. Он обеспечивает хранение больших объемов информации о действиях пользователей, и при этом поиск по архиву с целью сбора доказательств по нарушениям остается очень быстрым. Например, скорость поиска на десятках терабайт данных составляет менее секунды.

Компания ежедневно обрабатывает большие объемы персональных и платежных данных, поэтому ключевой задачей, стоявшей перед ней, была защита конфиденциальной информации от утечек. Ввиду высокой чувствительности защищаемых данных «Таможенная карта» предъявляла высокие требования к рассматриваемым DLP-решениям. В первую очередь, от решения требовались широкий набор механизмов анализа и контролируемых каналов передачи данных, модульность и гибкая система лицензирования, а также строго отечественное происхождение.

Как отметил Сергей Горчаков, директор по ИБ компании «Таможенная карта», для компании очень важным стало то, с какой легкостью аналитические инструменты Solar Dozor обеспечивают своевременное обнаружение и расследование утечек информации. Кроме того, решение «на лету» анализирует содержимое документов и блокирует передачу данных в случае, если она запрещена политиками информационной безопасности. Это позволяет надежно защитить данные клиентов и партнеров.

В ходе пилотного проекта были выявлены проблемные места взаимодействия продукта и инфраструктуры компании. Специалисты Solar Security провели необходимые работы по адаптации, и в результате непосредственно внедрение продукта заняло всего несколько дней.

До этого в банке на протяжении нескольких лет использовалась DLP-система «Дозор-Джет». Она успешно решала классические задачи по защите от утечек конфиденциальной информации и персональных данных. В первую очередь, это обеспечивалось за счет мониторинга и анализа сообщений, пересылаемых по различным каналам, и возможности заблокировать нелегитимную отправку информации. Кроме того, решение автоматизировало работу сотрудников службы информационной безопасности банка при расследовании инцидентов.

Однако Solar Dozor 6 находится на новом технологическом уровне и предлагает принципиально новые инструменты, серьезно расширяющие возможности использования DLP-системы. Помимо классической задачи защиты от утечек данных, система решает еще одну ключевую задачу офицера безопасности: выявление внутренних угроз, способных нанести организации финансовый и репутационный ущерб, – корпоративного мошенничества, конфликтов интересов и аффилированности сотрудников.

При разработке системы акцент был сделан на создании инструментов анализа коммуникаций и поведения сотрудников, выявления аномалий. Они позволяют обнаружить угрозы безопасности на ранней стадии и предпринять необходимые меры до того, как компания пострадает от действий внутренних злоумышленников.