Основы безопасности информационных технологий презентация

Содержание
Курс на compliance или эволюционный путь развития систем защиты информации
К чему приводит повышение компетентности нарушителя и что с этим делать?
Какими компетенциями должны обладать специалисты по защите информации или сколько «собак» можно «повесить» на одного специалиста по защите информации?
Threat Hunting or not Threat Hunting?

Информация
Информация - сведения о лицах, предметах, фактах, событиях, явлениях и процессах не зависимо от формы их представления
Закон Республики Беларусь № 455-З от 10.10.2008 «Об информации, информатизации и защите информации»

Формы представления информации
Бумажный документ
информация на бумажном носителе в виде символов (письменная речь) и изображений
Информация в электронном виде
информация размещенная на машинных носителях (жесткий диск, флэш память и т.д.) в виде файлов, которые могут содержать письменную и устную речь, а также изображения (подвижные (видеофильмы) и неподвижные (рисунки))
Физические поля
информация в виде сигналов распространяющихся в соответствующей физической среде (акустическая волна, электромагнитная волна и т.д.)

Информационная технология
Информационная технология
совокупность процессов, методов осуществления поиска, получения, передачи, сбора, обработки, накопления, хранения, распространения и (или) предоставления информации, а также пользования информацией и защиты информации
Закон Республики Беларусь № 455-З от 10.10.2008

Распространение
и предоставление информации
Распространение информации
действия, направленные на ознакомление с информацией неопределенного круга лиц
Предоставление информации
действия, направленные на ознакомление с информацией определенного круга лиц
Закон Республики Беларусь № 455-З от 10.10.2008

Классификация информации
Общедоступная
О правах, свободах и законных интересах физических и юридических лиц и о порядке реализации прав, свобод и законных интересов и т.д. (Статья 16 Закона №455-З)
Ограниченного распространения
Составляет охраняемую законом тайну и подлежит защите (Статья 17 Закона №455-З)
Закон Республики Беларусь № 455-З от 10.10.2008

Коммерческая тайна (Закон Республики Беларусь № 16-З)
1
2
Персональные данные (Закон Республики Беларусь № 99-З)
3
Служебная информация ограниченного распространения (Постановление Совета Министров Республики Беларусь № 783)
4
Банковская тайна (Банковский кодекс Республики Беларусь ст. 121)
Закон Республики Беларусь № 455-З от 10.10.2008
Типовая информация обрабатываемая в ИС

Носитель информации
Человек
воспринимает информацию различными способами (зрение, слух и т.д.) и аккумулирует ее в виде знаний
Материальный носитель
физический объект, хранящий информацию в виде символов, образов и (или) технических решений и процессов, позволяющих их распознать и идентифицировать (бумага, флэш память, жесткий диск и т.д.)
Канал связи
физический объект, используемый для передачи информации в виде сигналов (информация ограниченного распространения, сигналы телеметрии и управления)

Нарушитель

Способы доступа нарушителя
к носителю информации
Физическое проникновение
В
Сотрудничество нарушителя с работником имеющим легальный или нелегальный доступ к интересующей информации
Дистанционное добывание информации без нарушения границ контролируемой зоны

Воздействие нарушителя
Преднамеренное
Случайное
Воздействие
Угроза безопасности информации - возможные воздействия на носитель информации приводящие к ущербу
Носитель
информации

Кибератака - целенаправленное воздействие программных и (или) программно-аппаратных средств на объекты информационной инфраструктуры, сети электросвязи, используемые для организации взаимодействия таких объектов, в целях нарушения и (или) прекращения их функционирования и (или) создания угрозы безопасности обрабатываемой такими объектами информации
Концепция информационной безопасности Республики Беларусь (Постановление Совета безопасности Республики Беларусь №1 от 18.03.2019)
Кибератака

Объекты на которые осуществляются кибератаки
оборудование используемое для организации каналов связи (коммутаторы, маршрутизаторы)
1
2
устройства (компьютеры и т.д.) пользователей, серверы
Хост (host) – общее наименование оборудования принимающего, хранящего, обрабатывающего или передающего информацию

Последствия кибератаки
создание угрозы безопасности информации
1
2
нарушение или прекращение функционирования объектов информационной инфраструктуры

Виды угроз безопасности информации
Конфиденциальности
нарушение свойства информации быть известной только определенным субъектам (создатель, обладатель)
Целостности
направлена на изменение содержания информации (искажение) или ее уничтожение
Доступности
приводит к нарушению доступа к информации, а также влияет на работоспособность ее носителя

Контролируемая зона
Контролируемая зона
территория на которой исключено не контролируемое пребывание человека или автотранспортных средств

Внешний нарушитель

Внутренний нарушитель

Модель управления
безопасностью ИС
Указ Президента Республики Беларусь от 16.04.2013 г. № 196

Оценка угроз
(ФСТЭК России)

Оценка и управление рисками
(R-Vision SGRC)

Система защиты информации
Система защиты информации - совокупность органов и (или) исполнителей, используемой ими техники ЗИ, а также объектов защиты, организованная и функционирующая по правилам, установленным соответствующими правовыми, организационно-распорядительными и нормативными документами в области ЗИ
СТБ ГОСТ Р 50992-2000 «Защита информации. Основные термины и определения»
Процесс
поиска решения
Вход
(требования
НПА, модель
нарушителя)
Выход
(результат)
Ограничения
(люди, финансовые, технологические и др.)
Цели ЗИ
(ожидаемый результат функционирования системы ЗИ)

Подготовительная стадия
Этап 1
Мероприятие: инвентаризация активов;
Цель: определить информацию, которая подлежит защите, составить и утвердить перечень сведений подлежащих защите
Этап 2
Мероприятие: составление схемы ИС;
Цель: знать все устройства подключенные к ИС, а так же системное и прикладное ПО, которое используется для обработки информации ограниченного распространения. Определить границы ИС

Соизмеримость используемых информации, объектов ИС и целей ЗИ
Особенность 1
сведения хранящиеся на ПК пользователей относятся к информации ограниченного распространения
Цель 1
Обеспечить конфиденциальность, целостность сведений хранящихся на ПК пользователей

сведения передаются с ПК пользователей по электронной почте
Особенность 2
Цель 2
Обеспечить конфиденциальность и целостность сведений передаваемых по каналам связи
Соизмеримость используемых информации, объектов ИС и целей ЗИ

Цель 3
Обеспечить доступность объектов ИС
Особенность 3
объекты ИС должны быть доступны пользователям ИС в рабочее время
Соизмеримость используемых информации, объектов ИС и целей ЗИ

Подготовительная стадия
Этап 3
Мероприятие: определить класс типовой ИС и ее название;
Цель: определить к какому типовому классу ИС относится анализируемая ИС и дать ей название

Классы некоторых типовых ИС
в которых обрабатываются ПД
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020
4-ин
ИС, в которых обрабатываются ПД, за исключением специальных ПД, и которые не имеют подключений к ОКПД
3-ин
ИС, в которых обрабатываются ПД, за исключением специальных ПД, и которые подключены к ОКПД

Стадия 1. Проектирование системы защиты информации
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020
Этап 1
анализ организационной структуры ИС и информационных потоков в целях определения состава и мест размещения элементов системы ЗИ, ее физических и логических границ
Этап 2
разработка (корректировка) политики информационной безопасности организации
Этап 3
определение требований к системе ЗИ в техническом задании на создание системы ЗИ
Этап 4
выбор средств технической и криптографической ЗИ

Политика ИБ
общие намерения по обеспечению конфиденциальности, целостности, подлинности, доступности и сохранности информации, документально закрепленные собственником (владельцем) ИС
перечень ИС, отнесенных к соответствующим классам типовых ИС
1
2
3
цели и принципы ЗИ в организации
обязанности пользователей ИС
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020
Политика информационной
безопасности

Запрещено
Составить перечень того, что обеспечит либо утечку информации либо установку на ПК вредоносной программы
1. Использование отчуждаемых носителей (карты флеш памяти, смартфоны, внешние HDD);
2. Установка программного обеспечения
Разрешено
Необходимо учесть все что нужно для работы
1. Ввод информации … с использованием приложений …
2. Вывод информации … на печать …
Обязанности пользователей

4
порядок взаимодействия с иными ИС (в случае предполагаемого взаимодействия)
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020
Политика информационной
безопасности

Под символом «х» понимается физически выделенный канал передачи данных
Под символом «о» понимается наличие подключения к ОКПД (в том числе к сети Интернет)
Требования к организации
взаимодействия ИС

требования к системе ЗИ в зависимости от используемых технологий и класса типовых ИС основе перечня (приказ ОАЦ №66 )
1
2
3
наименование ИС с указанием присвоенного ей класса типовых ИС
сведения об организации взаимодействия с иными ИС (в случае предполагаемого взаимодействия)
4
требования к средствам криптографической ЗИ, а также к функциональным возможностям безопасности и форматам данных
Состав технического задания

5
перечень документации на систему ЗИ
Состав технического задания

Стратегия обеспечения безопасности информации

Документация на систему ЗИ
должна содержать описание способов разграничения доступа пользователей к объектам ИС (отображенным на схеме)
защита от вредоносных программ
1
2
3
резервное копирование и уничтожение информации
использование отчуждаемых носителей информации (флеш память, жесткие диски, смартфоны и т.д.)
Защита
Защита
Защита
Содержание документации
на систему ЗИ

обновление средств ЗИ
4
5
6
использование электронной почты
осуществление контроля (мониторинга) за функционированием системы ЗИ
7
реагирование на события ИБ и ликвидация их последствий
Защита
Защита
Обнаружение
Реагирование
Содержание документации
на систему ЗИ

8
управление криптографическими ключами, в том числе требования по их генерации, распределению, хранению, доступу к ним и их уничтожению
Защита
Содержание документации
на систему ЗИ

Этап 5
разработка (корректировка) общей схемы системы ЗИ
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020
Стадия 1. Проектирование системы ЗИ

класс типовых ИС
1
2
3
наименование ИС
места размещения средств вычислительной техники, сетевого оборудования, системного и прикладного программного обеспечения, средств технической и криптографической ЗИ
4
физические границы ИС
Состав общей схемы системы ЗИ

5
внешние и внутренние информационные потоки и протоколы обмена защищаемой информацией
Состав общей схемы системы ЗИ

Этап 1
внедрение средств технической и криптографической защиты информации, проверка их работоспособности и совместимости с другими объектами ИС
Этап 2
разработка (корректировка) документации на систему ЗИ по перечню, определенному в техническом задании
Этап 3
реализация организационных мер по защите информации
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020
Стадия 2. Создание системы ЗИ

Стадия 3. Эксплуатация системы ЗИ
Этап 1
контроль за соблюдением требований, установленных в нормативных правовых актах, документации на систему ЗИ собственника (владельца) ИС
Этап 2
контроль за порядком использования объектов ИС
Этап 3
мониторинг функционирования системы ЗИ
Этап 4
выявление угроз (анализ журналов аудита), которые могут привести к сбоям, нарушению функционирования ИС
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020

Этап 5
резервное копирование информации, содержащейся в ИС
Этап 6
обучение (повышение квалификации) пользователей ИС
Приказ Оперативно-аналитического центра при Президенте Республики Беларусь № 66 от 20.02.2020
Стадия 3. Эксплуатация системы ЗИ

1
при реализации используются специальные «инструменты», устойчивые к обнаружению средствами защиты информации
2
В атакуемой информационной системе (ИС):
1. Пользователи ИС имеют УЗ с ограниченными правами;
2. В ИС реализуется процесс устранения уязвимостей;
3. В ИС используются СЗИ фильтрующие трафик по правилам
Особенности
Целенаправленная атака
(Advanced Persistent Threat - APT)

Модель нарушителя Cyber Kill Chain

OSINT
(Open Source INTelligence) сбор информации об информационной системе (ИС), в том числе из открытых источников, для планирования активных действий в ней
1
1
Модель нарушителя Cyber Kill Chain

Прикладное ПО хоста
уязвимости в прикладном ПО хоста могут позволить получить канал управления к хосту
ПО сервера
уязвимости в системном ПО хоста могут позволить получить канал управления к хосту
Пользователь
управляя действиями пользователя, нарушитель может заставить его передать идентификатор (логин, пароль) или запустить вредоносную программу на хосте и таким образом получить к нему управление
Способы компрометации хостов в ИС

Интересуемые сведения
программное (прикладное и системное ПО, версии ПО) обеспечении хоста
1
2
3
адресное пространство ИС (IP, домены, субдомены)
файлы/папки (логины, пароли, хэши, конфигурационные файлы и т.д.)

установить на хост вредоносную программу, которая методом reverse shell подключиться к С2 нарушителя и обеспечит канал управления хостом
Вариант 1
Вариант 2
обнаружить и подключиться к интерфейсам управления (telnet, ssh, web интерфейс и т.д.)
Для управления хостом нарушителю необходимо

Whois
Lookup
поиск информации о владельце ИС по ее IP или доменному имени (whois.domaintools.com)
Получение информации

Получение информации

Подбор пароля
https://losst.ru/kak-polzovatsya-nmap-dlya-skanirovaniya-seti?ysclid=l76mb3zmeq63487301

Поиск эксплойта в базе данных

Поиск эксплойта в базе данных

Получение информации

Поиск папок/файлов

Анализ обнаруженных папок/файлов

Получение информации

Получение информации

Получение информации

Анализ обнаруженных папок/файлов

Использование полученной
информации для авторизации

Авторизация с правами
администратора

Атака Remote Code Execution (RCE)
Изучаем веб-приложение

Загрузка файла

Проверка загруженного файла

Создание полезной нагрузки
shell.php

Загрузка полезной нагрузки

Проверяем загрузку полезной нагрузки

Подключаемся к хосту

Выполняем команды на хосте

Open Web Application Security Project

Хэшировать или не хэшировать –
вот в чем вопрос!

Программное обеспечение
1. Операционная система;
2. Приложения
Настройка программного обеспечения
Обусловлены действиями администратора системы или службы технической поддержки
Аппаратное обеспечение
Характеризуются такой логикой выполнения вычислительных операций аппаратным обеспечением хоста, которая может быть использована для проведения атаки
Уязвимости ИС

https://www.cvedetails.com/
База уязвимостей

Наиболее часто эксплуатируемые уязвимости в 2021 году

Уязвимости настройки ПО

Уязвимость нулевого дня (0-day)
Средний «срок жизни» уязвимости до обнаружения ее вендором – 5 лет (Cisco) – время в течение которого атака будет не заметна
1
2
В любом ПО есть уязвимости и обнаружение их дело времени

Настройка оборудования и ПО
3
Устранение уязвимостей

Сканер уязвимостей ScanOVAL
(ФСТЭК России)

Управление уязвимостями
(R-Vision SGRC)

Управление уязвимостями
(R-Vision SGRC)

Статистика уязвимостей
(R-Vision SGRC)

Первая компетенция
Управление уязвимостями

Вооружение
подготовка (разработка или покупка) «инструментов» для эксплуатации уязвимостей (exploit), вредоносных программ (malware), и их упаковка, подготовка инфраструктуры (C2 & Drop Servers, SSL certificates)
2
2
Модель нарушителя Cyber Kill Chain

Сервер управления
(Command and Control - C2)
Сервер эксфильтрации данных
(Drop)
SSL
SSL
Инфраструктура нарушителя
Атакуемая ИС
Reverse Shell
СЗИ

Нарушитель рассчитывает, что на уровне хоста (Endpoint) не применяются СЗИ
1
2
Исполняемый файл упаковывается в архив, например *.rar и на него устанавливается пароль для обхода СЗИ уровня сети (Network)
3
Успех при выполнения условия 2
Контрмеры
AVP (уровень хоста), sandbox (уровень сети), сегментирование информационной сети (FW), резервное копирование данных (ОС)
Нарушитель имеет поверхностные
знания в области ИКТ (тип 1)

Стратегия обеспечения безопасности

Сигнатура – сокращенная форма записи параметров данных уникально идентифицирующая ту или иную атаку
Анализируемые данные
Решение
Отчет (log)
Особенности
Сравнение с сигнатурами выполняется для обособленного набора данных. Взаимосвязь с другими наборами не учитывается
Сигнатурный (статический) анализ

Анализируемые данные
Решение
Отчет (log)
Особенности
анализируются выполняемые некоторым набором данных функции и их последовательность – анализ взаимосвязанных событий
Эвристический (динамический)
анализ

Sandbox
изолированная среда (виртуальная) эмулирующая множество сервисов хоста для динамического анализа файлов
Песочница

Установка соединения с внешним IP адресом
2
Копирование тела программы за пределы папки где она была открыта
2
Регистрация в автозагрузке
2
Открытие текстового файла
1
Поведенческие индикаторы функционирования ВП

Mail
Application
МСЭ 1
МСЭ 2
Web
Сегментирование ИС

1
резервное копирование выполняется по расписанию с учетом загрузки оборудования/информационной сети
2
выгрузка резервной копии на отчуждаемый носитель и ее хранение n-суток с учетом значимости актива (политика резервного копирования)
3
проверка скопированной информации (logcheck ) и создание резервной копии по формуле 3-2-1 (три физически разных хранилища)
Принципы резервного копирования

Вторая компетенция
Управление резервным копированием информации

В случае доставки «полезной» программы и использования обфускации или шифрования - успех
1
2
Исполняемый код встраивается в «полезную» программу. Могут применяться средства шифрования и обфускации для преодоления периметра и обхода Endpoint AVP
Контрмеры
AVP (уровень хоста) – детектирование не возможно если нет сигнатуры, sandbox (уровень сети), сегментирование информационной сети (FW), резервное копирование данных (ОС)
Нарушитель имеет углубленные
знания в области ИКТ (тип 2)

Способы противодействия Sandbox

В случае доставки - успех
1
2
Исполняемый код реализует функцию обнаружения виртуальных сред. Он может быть встроен в обновление ПО
Контрмеры
Нужны организационно-технические мероприятия по мониторингу и защите хостов сети. Требуется регулярное обучение персонала организации, не относящегося к подразделению по ЗИ, а так же обучение подразделения по ЗИ противодействию APT
Нарушитель имеет специальные
знания в области ЗИ (тип 3)

Доставка
нарушитель реализует загрузку вредоносной программы в ИС доступными для него способами
3
3
Модель нарушителя Cyber Kill Chain

Фишинг
(phishing)
(выуживание идентификаторов) – способ получения идентификаторов пользователя информационных систем нарушителем, который основан на предоставлении пользователю такой информации и создании нарушителем таких условий ее восприятия, при которых пользователь примет ошибочное решение и в результате чего выполнит некоторое действие, которое является выгодным нарушителю
Действия, совершаемые пользователем и выгодные нарушителю
Передача идентификаторов (логин, пароль) пользователем
1
Загрузка вредоносной программы на компьютер пользователя
2
Фишинг

Условия, при которых изменения эмоционального состояния человека

Страх – побуждение к действию

Любопытство
2
Условия, при которых изменения эмоционального состояния человека

Правда, интересно, что там?

Способы доставки ВП (организации)
1 квартал 2022 года

Почтовый фишинг
реализуется путем рассылки сообщений по электронной почте
Цель
Прислать гипертекстовую ссылку и заставить ее открыть
1
Прислать во вложении файл и заставить его запустить
2
Почтовый фишинг

Цель
получение нарушителем конфиденциальной информации в виде различных идентификаторов, в том числе паролей, для извлечения из этого определенной выгоды
Социотехническая атака

https://habr.com/ru/company/group-ib/blog/535092/
Эффективность различных способов получения информации

Вишинг. Черт кроется в деталях!

Интересный заголовок – залог успеха

Уменьшение «поверхности» атаки

Отправитель, время
Отправитель – известный / не известный (известных отправителей сложнее игнорировать). Время рабочее / не рабочее (деловая переписка в не рабочее время – может быть аномалией)
Почтовый адрес отправителя
Домен и наименование почтового ящика. Возможные аномалии: деловая переписка – бесплатный домен. Наименование ящика не содержит фамилии или имени отправителя
Почтовый фишинг.
На что обратить внимание?

[e-mail]
имя ящика
домен
Проверка домена
Скопировать домен
1
Ввести домен в URL браузера
2
Имя почтового ящика и домен

Текст письма, его тема и оформление
Текст сообщения должен отвечать требованиям деловой переписки не только по содержанию, но и оформлению
Признаки деловой переписки
приветственное обращение по имени и отчеству к адресату
1
ФИО отправителя, его должность и некоторые реквизиты организации
2
Почтовый фишинг.
На что обратить внимание?

Признаки фишинга
1. Письмо пришло «не по назначению»;
2. Текст письма имеет эмоциональную окраску;
3. Есть признаки управления действиями получателя
Почтовый фишинг

Тип вложения
Возможные аномалии:
1. Архив (*.rar, *.zip);
2. Гипертекстовая ссылка;
3. Вложение имеет не известное расширение (*.001) или двойное расширение (*.docx.exe)
Наименование вложения
Возможная аномалия: наименование файла представляет собой написание русского слова в транслитерации (Oplata.zip, Dokumenti_dlia_proverki.001)
Почтовый фишинг.
На что обратить внимание?

Почтовый фишинг

Целенаправленный фишинг
(Spear – гарпун) разновидность почтового фишинга, отличием которого является его целенаправленность (на конкретного человека)
Спиар фишинг

Атака на цепочку поставок
(supply chain attack)

- сервера – 4.000 единиц
- персональные компьютеры – 45.000 единиц
Оборудование выведенное из строя:*
* Зличин Н. Эхо кибервойны. Как NotPetya чуть не потопил самую большую компанию морских грузоперевозок / Н. Зличин // Хакер. – 2018. – № 234. – С. 16
Ущерб – 300 млн. долларов США
Supply chain attack

Получение информации
об информационных
ресурсах посещаемых
пользователем
Внедрение
вредоносного кода
в титульную страницу
сайта
Атака «водопой»
(watering hole attack)

Эксплуатация
1. Обеспечение корневых полномочий;
2. Установка TLS соединения для загрузки вредоносной программы с последующей ее распаковкой
4
4
Модель нарушителя Cyber Kill Chain

Установка
Инсталляция вредоносной программы
Получение управления
Вредоносная программа подключается к серверу управления (С2) нарушителя и ждет команд
5
6
5
6
Модель нарушителя Cyber Kill Chain

Действия нарушителя внутри ИС

Q1 2020
Действия нарушителя внутри ИС

Какой должен быть пароль?

Brute Force

b10a8db164e0754105b7a99be72e3fe5
Brute Force

Стойкость сложного пароля

https://xakep.ru/2017/08/16/edpr-nvidia-passcrack/#toc01
Скорость перебора пароля на полную мощность!

http://www.md5decrypter.com/
https://crackstation.net/
Онлайн сервисы

Можно ли использовать пароль длиной 4 цифры?
Будет ли стойким пароль из одинаковых букв, например F?
Энтропия (стойкость) пароля

1
Пароль должен храниться в секрете – это означает, что его должен знать только его пользователь
2
Пароль должен легко запоминаться, а соответственно это позволит выполнить условие 1
3
Периодичность смены пароля определяется его стойкостью
Пароль и требования к нему

Их действия могли быть не умышленные, но …
Источник угроз – сотрудник организации

Уменьшение «поверхности» атаки
https://habr.com/ru/company/group-ib/blog/535092/

Выявление группы риска
https://xakep.ru/2016/12/07/gophish-phishing-framework-howto/

В чем разница?

Стратегия обеспечения безопасности

Мониторинг безопасности

Место установки средств мониторинга

Средства мониторинга и модель OSI

Эволюция Honeypot

Обнаружение нарушителя внутри ИС
(R-Vision TDP)

Обнаружение нарушителя с помощью
Deception

Контроль приложений

Назначение
централизованное хранение информации о событиях произошедших в процессе функционирования хоста
Журналы событий

1102, 4624, 4625, 4657, 4663, 4688, 4672, 4700, 4702, 4719, 4720, 4722, 4724, 4727, 4732, 4739, 4740, 4769, 4825, 4946, 4948, 5140, 5145, 7045
Номера идентификаторов событий
требующих внимания
https://docs.microsoft.com/ru-ru/windows/security/threat-protection/auditing/event-1102

Много источников информации

Security Information and Event Management - управление информационной безопасностью и управление событиями безопасности
Интегратор информации

Архитектура SIEM

Open Source SIEM

Использование SIEM
для обеспечения работы SOC

Стратегия обеспечения безопасности

Сущность
процесс обнаружения угроз безопасности информации на основании модели нарушителя и формирования гипотез о его определенном присутствии в ИС с последующей их проверкой на основании корреляции данных получаемых из различных источников
MDR - Managed Detection and Response
MSS – Managed Security Services
Threat Hunting

TI признаки
Индикаторы Threat Intelligence - нарушитель использует ВП которая имеет хэш X
TTPs
Техники, тактики и процедуры нарушителя (MITRE ATT&CK) – нарушитель закрепился на хосте и пытается получить доступ к привилегированной учетной записи методом брутфорса
Аналитика
Анализ информации, которая получена из различных источников, а так же в ходе проверки ранее сформулированных гипотез
Информация для построения гипотезы

https://habr.com/ru/company/pt/blog/510362/
Методология Threat Hunting

Пример реализации АРТ атаки

История пользователя
Информация о соединениях пользователя (метаданные)
Стадия 1. Подготовка

За событием «загрузка файла со встроенным содержимым» следует событие «установление соединения C2»
Стадия 2. Выработка гипотезы

Индикаторы компрометации (IoC)

Что ранее никогда не происходило?
Что отличается от предыдущего поведения?
Что отличается от того, что обычно наблюдается для группы, организации в целом?
Стадия 3. Проверка гипотезы

Инцидент
Обнаружен IP адрес пользователя на который выполняется соединения с С2 – это свидетельствует о наличии ВП на хосте
Действие 1
Просканировать хост пользователя используя инструментарий Sysinternals и хосты в сегменте. Информация подтверждена
Действие 2
Просканировать хост пользователя на наличие ВП, которая могла быть загружена с С2 и хосты в сегменте. Обнаружены ВП на 2-х хостах
Стадия 4. Реагирование на инцидент

Действие 3
Используя iptables заблокировать передачу пакетов с обнаруженных хостов
Действие 4
Перейти к поиску индикаторов ВП на диске хоста и дисках хостов в сегменте, используя ПО для анализа дисков для поиска остальных скомпрометированных хостов и их локализации
Действие 5
Поиск индикаторов ВП на диске хоста и дисках хостов в сегменте используя ПО для анализа образов дисков для выявления механизма заражения
Действие 6
Удаление ВП и полное сканирование скомпрометированных хостов
Стадия 4. Реагирование на инцидент

Мероприятие 1
Устранение уязвимостей, которые привели к инциденту
Мероприятие 2
Пересмотр в необходимом объеме ведомственных НПА
Мероприятие 3
Обучение пользователей
Стадия 5. Устранение выявленных
проблем в безопасности

Третья компетенция
Аналитик

Система оркестрации и автоматизации реагирования на инциденты ИБ
(R-Vision SOAR)

База инцидентов (R-Vision SOAR)

Сценарий реагирования
на инцидент (R-Vision SOAR)

Статистика по инцидентам
(R-Vision SOAR)

Предотвращенный ущерб
(R-Vision SOAR)

Специальность:
1-98 01 02 «Защита информации в телекоммуникациях»
(дневная форма обучения)
Квалификация:
Специалист по защите информации, инженер по телекоммуникациям
Содержание обучения:
Инженерно-техническая защита объектов (инженерные заграждения, охранно-пожарная сигнализация, СКУД, СВН);
2. Противодействие иностранной технической разведке (акустические каналы утечки, ПЭМИН, специальные проверки и исследования);
3. Защита информации в информационных системах (администрирование компьютерных сетей и противодействия атакам в них);
4. Криптографическая защита информации (алгоритмы шифрования данных, ЭЦП, аутентификация)
Кафедра защиты информации БГУИР

Специальность:
1-98 80 01 «Информационная безопасность»
специализация «Защита информации в информационных системах»
(дневная и заочная формы обучения)
Квалификация:
магистр
Содержание обучения:
Защита информации в информационных системах (базы данных, виртуализация, операционные системы, DLP системы, фильтрация трафика, защита веб-ресурсов);
2. Организационные методы защиты информации (менеджмент ИБ, стандартизация и сертификация средств ЗИ, проектирование систем защиты объектов информатизации);
3. Специальные проверки и исследования технических средств обработки информации (обнаружение не декларированных возможностей СОИ)
Кафедра защиты информации БГУИР

https://ias.bsuir.by/
Академия информатики для школьников
Направление: Кибербезопасность
Целевая аудитория: школьники 8-11 класс
1. Архитектура персонального компьютера;
2. Операционная система;
3. Учетная запись пользователя;
4. Резервное копирование данных;
5. Защита от вредоносных программ;
6. Парольная защита;
7. Криптографическая защита;
…
1. Коммутация;
2. Маршрутизация;
3. Защита беспроводных маршрутизаторов;
4. Клиент-серверные технологии;
5. Основы анализа трафика;
6. Сканирование информационных сетей;
7. Организация доступа к сети Интернет;
…
Кафедра защиты информации БГУИР

https://ndtp.by/educational_directions/
Кафедра защиты информации БГУИР
Образовательное направление: Информационная безопасность

Начало положено!