BI.ZONE на SOC Forum 2023: тренды киберугроз, утилита BI.ZONE Triage и подготовка к багбаунти

Новые инструменты злоумышленников и критерии полезных киберразведданных

В 2023 году эксперты BI.ZONE следили более чем за 40 группировками. Олег Скулкин, руководитель управления киберразведки BI.ZONE, выступил на SOC Forum с докладами «Кто, как и зачем атаковал корпоративные сети в России в 2023 году» и «Как отличить хорошие киберразведданные от плохих».

В первом докладе спикер рассказал об одном из главных трендов в действиях злоумышленников — это переход от ВПО и хакерских инструментов к использованию легитимных учетных записей, скомпрометированных у подрядчиков. Кроме того, выросло количество атак с применением коммерческого ВПО, приобретенного на теневых форумах.

Во втором докладе Олег Скулкин рассказал о пяти самых важных критериях полезных киберразведданых. Они должны быть точными, полными, достоверными, актуальными и своевременными.

Новый инструмент для анализа Linux-систем на компрометацию

О другом важном тренде в действиях злоумышленников рассказал в своем выступлении Теймур Хеирхабаров, директор департамента BI.ZONE по мониторингу, реагированию и исследованию киберугроз.

Злоумышленники все чаще атакуют Linux-системы. Поэтому специалистам по кибербезопасности важно уметь анализировать их на компрометацию: получать качественные данные с хоста и понимать, что в них искать.

В докладе «Практика проведения оценки на компрометацию Linux-систем» спикер рассказал, что собирать нужно, например, информацию о запущенных процессах, файлах в автозагрузке, историю вводимых команд.

C получением информации может помочь бесплатная утилита BI.ZONE Triage. Она позволяет собирать данные для анализа хоста, а также осуществлять проверку с помощью YARA-правил. BI.ZONE Triage уже доступна на GitHub.

Подготовка компании к Bug Bounty

Чтобы эффективно защищаться от растущего количества киберугроз, организациям важно быть уверенными в безопасности внешнего периметра. Евгений Волошин, директор департамента BI.ZONE по анализу защищенности и противодействию мошенничеству, принял участие в открытой дискуссии «Try hack me: как подготовить компанию к Bug Bounty».

Участники отметили, что начинать работу с инструментом следует с запуска приватной программы. Она позволяет познакомиться с багбаунти, настроить процесс обработки отчетов и подготовиться к выходу публичной программы, которая открыта для всех исследователей платформы.

Мониторинг IT-инфраструктуры

Андрей Шаляпин, руководитель управления BI.ZONE по мониторингу киберугроз, рассказал, как правильно организовать мониторинг IT-инфраструктуры. В своем докладе «Как построить мониторинг ИБ и не утонуть в бесполезных логах» он поделился опытом выбора источников событий кибербезопасности для подключения к SIEM-системе.

Например, стоит опираться на совокупность критериев, таких как: охват видимости инфраструктуры, количество и критичность релевантного детектирующего контента, полезность данных от источника на этапах анализа уже обнаруженного инцидента для получения дополнительного контекста.

Это основные критерии, которые определяют полноту покрытия событий SOC и качество работы детектирующего контента.

Инструменты корреляции событий кибербезопасности для построения качественного SOC

Залогом качественного построения SOC является хорошо выстроенный процесс выявления угроз не только на основе отдельных событий, но и в рамках потока всех событий.

Андрей Штапаук, специалист BI.ZONE по реагированию и расследованию инцидентов кибербезопасности, рассказал об одном из самых эффективных потоковых обработчиков данных — ПО с открытым исходным кодом Apache Flink.

Он выступил с докладом «Создание и внедрение системы корреляции событий ИБ на основе программы с открытым исходным кодом Apache Flink» и рассказал о том, как правильно использовать Apache Flink в качестве коррелятора событий кибербезопасности, и поделился своим опытом работы с инструментами.