SecOps
В пятницу я упомянул, что концепция Kill Chain интересна не только сама по себе, но и возможностью ее обвязки разной полезной информацией, включая и привязку к каждому этапу убийственной цепочки соответствующих индикаторов компрометации. Вообще таких индикаторов, используемых для обнаружения вредоносной активности, известно немало, самых распространенных
Тема SOCов становится все моднее и моднее. Вот уже и в бизнес-прессе про них стали писать. В этой новости, помимо чисто фактографической стороны дела, есть и ряд моментов, находящихся на втором и третьем уровне восприятия. По сути Сбербанк говорит о создании еще одного FinCERT, но на более высоком технологическом уровне, чем текущий FinCERT, созданный под […
Так случилось, что я внедрял свой первый SIEM в 1999-м году в Киеве, в одном из банков. Тогда по сути еще и термина-то такого не было, но внедряемое решение собирало данные от систем обнаружения атак, сетевых и системных сканеров безопасности и проводило корреляцию событий безопасности от этих средств защиты. И вот спустя 17 лет я […]
SecOps
История с мильдонием достаточно хорошо ложится на тему информационной безопасности и показывает, как надо и как не надо общаться с прессой и заказчиками, когда вас взломали. Хотя обе ситуации отличаются друг от друга, последствия у них схожие — нанесение репутационного ущерба «пострадавшему» лицу или организации.
А вот теперь можно поставить и точку в длинной дискуссии о SOC и поговорить о том, что происходит, когда SOC выбран или построен, запущен и даже приносит первые плоды. Пора оценить эффективность SOC. Я не буду сейчас вдаваться в вопрос, что такое эффективность и можно ли измерять ее деньгами или только немонетарными метриками. Это вопрос […]
SecOps
Вот про что на SOC Forum почти не говорили, так это об экономике центров мониторинга и реагирования на инциденты. Хотя эта тема очень тесно переплетена с вчера мной рассмотренной про дилемму выбора между собственным и аутсорсинговым SOCом. Вот ею мы и поставим точку в этой долгой эпопее под названием Security Operations Center. Хотя, скорее всего, […]
Вчера я описал доклады по ГосСОПКА, прозвучавшие на SOC Forum. Сегодня пора обратиться к другому «государственному» центру мониторинга и реагирования на компьютерные инциденты. Речь, конечно же, пойдет о FinCERT. Я уже писал о том, что бы я хотел видеть от этой структуры. Теперь давайте посмотрим, что про это думает сам ЦБ, который представил на SOC […
SecOps
По результатам моей заметки про SOC Forum мне многие написали, что ничего нового в теме SOCов нет и что примеры работающих SOCов известны уже не первый год. И что? Где в информационной безопасности вообще что-то новое? Сканеры безопасности? Так тот же SATAN был в начале 90-х разработан и что с тех сильно поменялось? IDS, которые […]
Прошедший SOC Forum запомнился еще двумя моментами — на нем впервые заговорили о работе FinCERT (предыдущие редкие упоминания не в счет) и в центре внимания была ГосСОПКА. Про FinCERT я напишу отдельно, а вот про ГосСОПКУ напишу сейчас. Хотя правильнее было бы сказать, что ГосСОПКА могла бы быть в центре, если бы о ней кто-нибудь сказал […]
SecOps
Обзор SOC Forum еще ждет своего часа и уж поверьте, я выскажу всю правду про это замечательное мероприятие 🙂 А пока выложу свою презентацию, которую я посвятил теме знаний об угрозах (threat intelligence), источникам их получения, платформам для их обработки и обмена, API для автоматизации работы с ними, а также стандартам, позволяющим более эффективно выстроить […