SIEM и EDR для российского среднего бизнеса | Блог Касперского

[KL FC Bot]

Компании среднего размера привлекательны для злоумышленников: их масштаб деятельности уже позволяет хорошо нажиться, например, при проведении атак шифровальщиков-вымогателей (ransomware). С одной стороны — организация способна заплатить заметный выкуп. С другой, подход к информационной безопасности у такой организации часто остается старым, со времен, когда бизнес был еще небольшим. Злоумышленники могут разработать тактику обхода имеющейся базовой защиты и скомпрометировать сеть, не встретив особого противодействия.

Ущерб от подобных инцидентов в среднем составляет миллионы рублей. Нельзя забывать и про регуляторный аспект — число ведомств и законодательных актов, требующих от российской компании соблюдать регламенты кибербезопасности, постоянно растет. Бизнес эти угрозы часто понимает и готов выделить отделу информационной безопасности дополнительные ресурсы. Но как выстроить защиту следующего уровня на предприятии без чрезмерных затрат? Небольшой спойлер — ключевым элементом станет развертывание SIEM-системы, адаптированной под нужды и возможности компаний именно среднего размера.

Эшелонированная защита среднего бизнеса

Долгосрочной целью компании будет построение эшелонированной защиты, в которой различные инструменты и меры дополняют друг друга, значительно усложняя атаку на компанию и сужая возможности атакующих. Почти наверняка в компании численностью 250–1000 человек уже есть базовые инструменты и первый слой этой защиты: ограничение доступа к IT-ресурсам при помощи аутентификации и авторизации пользователей, защита конечных точек (в народе «антивирус») и серверов, в том числе почтового сервера, а также межсетевой экран.

Следующая задача — дополнить (не заменить!) этот арсенал более продвинутыми инструментами кибербезопасности:

• системой комплексного мониторинга и сопоставления событий ИБ из различных источников данных (компьютеры, серверы, приложения) в режиме реального времени в рамках всей инфраструктуры — это и есть SIEM;
• инструментами получения расширенной информации о возможных инцидентах или просто подозрительной активности и аномалиях;
• средствами реагирования на инциденты, позволяющими оперативно проводить разнообразные действия, — от расследования инцидентов согласно требованиям регуляторов до изоляции скомпрометированных хостов и учетных записей, устранения уязвимостей и тому подобное.

В некоторых отраслях эти действия явно регламентированы регуляторами.

Внедрение таких инструментов дает защитникам совершенно новые возможности. Системы мониторинга событий информационной безопасности позволят детектировать действия атакующих, выполняемые без вредоносного ПО, обнаруживать не только подозрительные объекты, но и подозрительное поведение, визуализировать и приоритизировать события в инфраструктуре. При этом грамотное внедрение SIEM может не повысить, а снизить нагрузку на отдел ИБ.

 

Посмотреть статью полностью