Перейти к содержанию
Олег Гудилин

Финансовые результаты Лаборатории Касперского в России, странах СНГ и Балтии

Recommended Posts

Сергей Ильин
Ну так Ваши цифры есет и озвучил, "Предполагается, что суммарный объем продаж антивирусного ПО в 2007 году должен составить не менее 90 млн. USD" Здесь

Это наша оценка рынка (как показала жизнь очень консервативная) и она никак не связана с оценкой Eset. Как правильно написал Иван, они долго и упорно отставивали цифру в 75 млн., и поменяли свое мнение только недавно :-)

egui, вам не кажется уважаемый, что выбранный вами тон общения не приемлем для приличного форума? Хотите попасть в бан с первого поста?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
E.K.
А вот обижать маленькую, свободо-любимую Словакию- низко!

Ну хорошо-хорошо, не обижайтесь пожалуйста! Словакия - огромная держава с многомиллионным населением, раскинувшая свои владения от Чехии и Астрии на западе до Украины на востоке, от Польшы на севере до Венгрии на юге - так пойдёт? Никого не обидел?

А по поводу людских ресурсов в небольших странах... Однажны в Литве (тоже небольшая страна, примерно половина от Словакии) наши партнёры в шутку мне предложили переехать в Литву (а что - уютная, приятная страна) и перевести туда же бизнес. На что я задал вопрос - сколько у них в стране примерно программистов. Получил ответ... И задал встречный вопрос - если мы таки переедем и наберём местный персонал - вся страна останется без программистов! Все-таки размер имеет значение...

Вот мне как человеку со стороны кажется, што искать кодеров то не проблема ,были б деньги-глоболизацыя!

Глобализация - это перевод производства в Китай, Индию или Латинскую Америку (если примитивно). Переводить туда технологичные софтветные проекты - смерть проекту. Не предлагать.

Конешно вам трудно найти кодеров в России и мы пользователи это ощущаем,они уже все нормальные на западе работают,во всяких Есетах и т. далее,за реальные бабки,а в России остались восновном низкого уровня кодеры,даже никокие, которым опыта набираться и набираться, если даже бог их талантом одорил!

А вы ищете небось,штоб и нужного уровня и платить ненадо?

Бред воспалённого сознания и неокрепшей психики. В каждом предложении. Зарплата опытного разработчика в Штатах - пусть $80К в год. Делим на 12, вычитаем минимальный налог, умножаем на курс - получаем (грубо) 120 тыс руб на руки в месяц. Теперь берём зарплату опытного программиста в Москве или Питере... Вычитаем 13% налог.... И медленно офигеваем! Поскольку цифра получается весьма похожая.

Для непонятливых: уровни доходов (после вычета налогов) опытных разработчиков в Штатах и Москве-Питере практически совпадают. Что не совпадает и весьма серьёзно - системы кредитования... В результате уровень жизни весьма разный: то, что может себе позволить опытный кодер в Штатах (дом, машина) - может себе позволить только топ-менеджер софтверной компании в Москве. // очень надеюсь, что в недалёком будущем ситуация кардинально изменится.

Сорри за оффтоп, но когда льют помои на российскую разработку (включая моих сотрудников) - хочется дать в морду. Пускай виртуально.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
Если публичные компании (такие как Симантек, Макафи, Тренд) будут сообщать цифры, "похожие на правду" - это как минимум дисквалификация их фин-директора (если не статья и срок за дезинформацию фондового рынка).

Полность согласен, коллегам из Эсета это понять довольно сложно, так как им неизвестно как дорого быть лидером на рынке - дорого во всех смыслах, в том числе в торчности оценок продаж и объемов доли на рынке. На Западе, где данные компании активно работают, законодательство в этом направлении очень жесткое и они после таких "оценок" просто могут потонуть в судебных разбирательствах. Я очень сомневаюсь что Eset кроме России много где ведет себя так же недостойно, а то и для них бы это давно плохо кончилось. Однако в России, где им приходится совсем не сладко, так как более сильных игроков много, да и законодательство не следит за заявлениями официальных и не очень лиц различных компаний, они себе такое позволяют, но все это временно, все проходит...

О какой истине вы вообще говорите? Не нравятся оценки вендоров, ориентируйтесь на наши цифры или данные IDC, если есть деньги на покупку отчета, конечно.

Вообще не ясно, что вы хотите доказать? Что ЛК раздувает рынок, а Symantec и Trend Micro ничего не продают в России?

Сергей, да ничего они не хотят доказать, это рыночная стратегий Эсета - называется очень просто - ЭПОТАЖ. Этим они зарабатывают свою известность, а не технологиями. Наша публика любит эпотаж - этим они и пользуются, только когда эпотаж закончится и окажется что кроме ничего и не было, все закончится, все.

egui, вам не кажется уважаемый, что выбранный вами тон общения не приемлем для приличного форума? Хотите попасть в бан с первого поста?

Это известный всем персонаж, В Корзину. Очень жаль, что из-за подобных персонажей мнение о действительно неплохой компании Eset все время только ухудшается

Для непонятливых: уровни доходов (после вычета налогов) опытных разработчиков в Штатах и Москве-Питере практически совпадают. Что не совпадает и весьма серьёзно - системы кредитования... В результате уровень жизни весьма разный: то, что может себе позволить опытный кодер в Штатах (дом, машина) - может себе позволить только топ-менеджер софтверной компании в Москве. // очень надеюсь, что в недалёком будущем ситуация кардинально изменится.

Хоть мы и совсем скатываемся в offtop, но не могу с этим не согласиться. И проблема в том, что порой уровень этих специалистов совсем не соответствуют штатовскому, так как условия и удобства жизни, как правильно замечено, отличаются как небо и земля

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr Limpopo
очень надеюсь, что в недалёком будущем ситуация кардинально изменится

Первое. Нереально. Только праведные надежды согревают, едва теплясь, моё истрёпанное в лихих временах тельце, что хоть детки мои поживут таки когда-нибудь в стране — и в своей стране! — «рациональной цивилизации» и порядочных моралей. И... нихрена ничего не изменится. Нам не дадут измениться. Не устаканится без революций, не ждите. Ментал не тот. Планида. Рок. Пардон за пессимизмо-негатив и злостный оффтоп.

Второе. Почему при заслушивании слова «ЕСЕТ» у меня возникает стойкая пульсация некоего негативного рефлекса? Наверно, потому, что они ведут игру по правилам шарашкиной конторы — не мозгами, так плутовством? Выкопай себе яму сам, называется...

мнение о действительно неплохой компании Eset все время только ухудшается

Хех. Да уж, преуспели в клоунаде и передёргивании реалий. Но кто им даст такими методами перетянуть одеяльце?

Риторика: Но они ли виноваты? Опаньки. Не наше ли правовое и бизнес-поле такое плодотворное для бесчестной игры?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
JIABP

Очень боюсь влезать в разговор таких достаточно образованных и опытных людей, но выскажу своё маленькое мнение = )

Пока так можно делать (как ведёт себя Есет), они так делать и будут, т.к ничего запрещающего нету. Когда примут закон в России, подпишут между собой соглашение/декларацию/что то ещё между собой антивирусные компании в Росии, тогда это всё исчезнет само собой. Всё что тут говорят люди, это моральные восклицания, которые верны на 100%, но закона запрещающего это - нету. Это как, вроде нигде ненаписано в законах, правовых актах, что надо уступать места в общественном транспорте бабушкам, дедушкам, беременным женщинам, и т.д., но тем не менее мы уступаем места этим людям. Хотя, повторюсь, нигде об этом не написано. Итог: пока это делать можно, хоть это и неверн ос этической точки зрения, то это делать будут, пока не примут закон или что то наподобие этого.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Dr Limpopo

Да нет, Лавр. Бизнес и конкуренция дело даже не тонкое. Здесь не гнушаются ничем ради жирной маржи. ЕСЕТ и подобные, не имея честных инструментов для честной конкуренции, так и будут ловчить, находя всё более изощрённые приёмы и приёмчики.

Мораль и нравственность оставим в быту и для порядочных. На суконном столе казино бизнеса это моветон, помехи и балласт.

P.S. Читающий этот топик представитель ЕСЕТ наморщил бровь, насупился, но... согласился.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
JIABP

Dr Limpopo, на самом деле незная всей картины, нельзя её обсуждать. Неимея полных и достоверных данных, нельзя ни хвалить объект, ни ругать его. Но это ИМХО,

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Рынок держится на антивирусах

Источник: Деловой Петербург (Санкт-Петербург)

Автор: Эльнара Петрова, Светлана Хорошева

Дата: 25 марта 2008

СПб. Компания Agnitum, петербургский производитель программных решений для защиты персональных компьютеров, вышла на рынок антивирусов, выпустив свой первый коробочный продукт.

Доля компании на россий-ском рынке систем безопасности -- 9,5%. Выход продукта Outpost Antivirus Pro 2008 позволит увеличить долю на 2,5%. "Несмотря на рост доли рынка и объема продаж Agnitum (на 78% за 2007 год), Outpost не воспринимался как антивирус. Поэтому было принято решение вывести на рынок отдельный продукт", -- говорит коммерческий директор Agnitum Михаил Пеньковский.

Антивирус будет реализовываться в низком ценовом сегменте и продаваться по цене обновлений. "Розничный рынок только подходит к массовому использованию комплексных систем защиты информации, -- говорит Владимир Пирогов, директор представительства группы компаний Softline в СЗФО. -- Интерес к антивирусам высок. Наши продажи ПО в 2007 г. выросли на 214%, 198% из которых дали антивирусы". Общий объем рынка антивирусного ПО в России оценивается в $125-135 млн.

Вот такая новость, то что продажи Софтлайна, одного из крупнейших дистрибьюторов по сегменту антивирусов выросли на 198% это еще одно косвенное свидетельсто того, что оценка рынка в 90 млн. не верна.

Далее вопрос к Виталию Янко - правильно ли я понимаю из ваших заявлений, что вы заработали на российском рынке d 2007 ujle 12-13 млн. долларов (9,5% от 125-135 млн. рынка Security Software в России). Получается, что в 2006 году вы значит заработали около 7 млн.!!! Больше Доктора Веба, который в отличии от вас собирает большие деньги в корпоративном сегменте. Чего-то мне не верится - Виталий вы можете прокомментировать?!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.

Иван

Я смеялся и плакал. Это издержки редакторской работы при стремлении сократить объем текста - в пресс-релизе мы четко написали: 9,5% на рынке SOHO (домашние пользователи и малый бизнес).

"С выходом Outpost Antivirus компания Agnitum планирует увеличить свою долю на рынке ПО для защиты ПК домашних пользователей и организаций малого бизнеса, составляющую, по нашим оценкам на конец 2007 года, 9,5% в денежном исчислении."

Просьбу об уточнении сейчас пишем в редакцию.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

понятно, спасибо, а восколько вы тогда оцениваете "рынок ПО для защиты ПК домашних пользователей и организаций малого бизнеса" в денежном выражении в деньгах вендоров?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Виталий Я.

Иван

спросите у Доктор Веба, им виднее :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Иван

спросите у Доктор Веба, им виднее :)

да не, виднее вам. это вы оцениваете свою долю как 9,5%, а значит оцениваете и весь рынок. Доктор Веб публичных оценок рынка и своей доли последнее время не делает.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

http://safe.cnews.ru/news/top/index.shtml?2008/04/02/295062

Российский рынок защитного ПО в прошлом году вырос на 65%, достигнув $150 млн., причем в перспективе его рост продолжится, — сообщили в IDC корреспонденту CNews свои предварительные оценки. Главным фактором роста в IDC назвали массовую легализацию защитного ПО сектором малого бизнеса. По наблюдениям CNews Analytics, совокупный рынок ИБ в России составил $330-350 при росте 70-80%.

Выход отчета IDC о российском рынке ИБ сейчас только ожидается, однако CNews удалось узнать мнение ведущей мировой аналитической корпорации о развитии российского рынка информационной безопасности в прошлом году и о его ближайших перспективах.

Рост продаж ПО в 2007 г., по предварительным данным IDC, составил 65%, сообщил CNews руководитель программ исследований IDC Тимур Фарукшин, и, по его словам, причин для замедления этого роста не видно.

Главным фактором роста Фарукшин называет массовую легализацию защитного ПО предприятиями малого бизнеса. «Проверки легальности ПО хорошо освещались прессой и сумели напугать малый и средний бизнес. Предприниматели оказались готовы к легализации установленных у них антивирусов». В результате этого в прошлом году в малом бизнесе продажи росли быстрее рынка, и, вполне вероятно, эта тенденция в перспективе укрепится.

Как говорит Тимур Фарукшин, $75 млн., известные как предварительный итог российского «антивирусного рынка» — «цифра довольно условная». К сегменту Secure Content Management причисляют антивирусное и антишпионское ПО и средства борьбы со спамом. Тимур Фарукшин пояснил CNews, что все прежние расчеты IDC показывают, что на SCM приходится половина рынка информационной безопасности в целом. Поэтому, подводя итоги рынка за 2007 г., IDC приняла за размер сегмента SCM половину рынка ИБ-софта — $75 млн. или 1,8 млрд. руб.

Недавнее объявление «Лабораторией Касперского» предварительных итогов продаж в России вызвало обмен уколами между «Касперским» и быстрорастущим игроком на российском рынке Eset. Российское представительство Eset усомнилось в справедливости предоставленной «Лабораторией» оценки рынка. Глава представительства Андрей Албитов поделился с CNews своими подозрениями, что в «Касперском» существенно занижают прошлогодний рост рынка, что негативно сказывается на доле продаж Eset.

По словам Тимура Фарукшина, он «не находит предвзятости в оценках „Касперского”, говорящего об объемах сегмента SCM в 2007 г. $72–75 млн., но при этом и собственные оценки игроками своих рыночных долей Фарукшин называет «похожими на правду и близкими к расчетам IDC». «Лаборатория Касперского» утверждает, что в прошлом году она занимала 45% российского рынка «антивирусной и контентной фильтрации», а представительство Eset говорит о выходе на 22–25% рынка.

При бурном росте российской ИБ, ее лидеры в прошлом году не изменились, рассказал CNews Тимур Фарукшин. На рынке информационной безопасности в целом в IDC называют абсолютными лидерами продаж продукты «Лаборатории Касперского» и Check Point Software.

Другие рыночные аналитики предварительно оценивают прошлогодний рынок безопасности близко к данным IDC. «Мы пока не готовы говорить об итогах рынка защитного ПО, но совокупный российский рынок информационной безопасности (который кроме программного включает аппаратное обеспечение и сервисы — CNews), по нашим предварительным оценкам составляет $330-350 млн.» — говорит эксперт CNews Analytics Вадим Ференец. — «Его рост за прошлый год мы пока оцениваем в 70-80% в долларах США».

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Fil

Мне тоже не нравится маркетинговая политика российского ESET, хотя я и являюсь фанатом, но фанатом лишь продукта в особенности его удобства и производительности. ESET жаждет победы ( не имеет значения насколько полной) - это их цель, а средства используют любые. Представительство действует по принципу "или мы, или нас"... не хочу показаться эгоистом, но в чём то такая философия, такой подход оказываются верным средством для достижения неплохих продаж ( эдак за 3 года представительства ESET неплохо освоилась на нашем рынке). И как сказал ЛАВР, ESET и будет продолжать свою тактику, так как барьеров действительно нет!

Являясь также пользователем KIS7 хочу видеть, чтобы ЛК вела свою маркетинговую политику более агрессивно (но ЧЕСТНО, без лжи и обмана)... увижу силу ЛК, может и перебегу в другой фанатский сектр :lol:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков

Кто-нибудь разьяснит на пальцах по цифрам в заметке? Или корреспондент CNews в очередной раз все напутал?

Вначале говорится - "Российский рынок антивирусного ПО в прошлом году вырос на 65%, достигнув $150 млн. сообщили в IDC корреспонденту CNews"

Потом - "Поэтому, подводя итоги рынка за 2007 г., IDC приняла за размер сегмента SCM половину рынка ИБ-софта — $75 млн."

Вопрос, рынок антивирусов - 150 или 75 млн? Кажется первая цифра в пресс-релизе ЛК озвучивалась как объем Security Software, а не антивирусов.

По словам Тимура Фарукшина, он «не находит предвзятости в оценках „Касперского”», говорящего об объемах сегмента SCM в 2007 г. $72–75 млн., но при этом и собственные оценки игроками своих рыночных долей Фарукшин называет «похожими на правду и близкими к расчетам IDC». «Лаборатория Касперского» утверждает, что в прошлом году она занимала 45% российского рынка «антивирусной и контентной фильтрации», а представительство Eset говорит о выходе на 22–25% рынка.

Т.е. он согласен, что на долю остальных игроков приходиться 30-35%? :blink:

Не хочет обижать ЛК и Eset, занижая долю других вендоров?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Кто-нибудь разьяснит на пальцах по цифрам в заметке? Или корреспондент CNews в очередной раз все напутал?

Вначале говорится - "Российский рынок антивирусного ПО в прошлом году вырос на 65%, достигнув $150 млн. сообщили в IDC корреспонденту CNews"

Потом - "Поэтому, подводя итоги рынка за 2007 г., IDC приняла за размер сегмента SCM половину рынка ИБ-софта — $75 млн."

Вопрос, рынок антивирусов - 150 или 75 млн? Кажется первая цифра в пресс-релизе ЛК озвучивалась как объем Security Software, а не антивирусов.

походу журналист напутал, если в начале написать "Российский рынок СЕКЬЮРИТИ ПО" вместо антивирусного, то в этой части вроде бьется

Т.е. он согласен, что на долю остальных игроков приходиться 30-35%?

Не хочет обижать ЛК и Eset, занижая долю других вендоров?

а зачем ему это? да и потом «похожими на правду и близкими к расчетам IDC» это весьма туманно, так знаете 5% Есета с ЛК туда, 5% сюда...да и потом Вадим у вас реальное есть ощущение, что другие вендоры в совокупности имеют больше 40% рынка?

Может это от того, что АВЦ очень активен в продвижении Trend Micro и у вас чисто внутрекомпанейский перекос продаж в сторону не ЛК и не Есет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Вадим Волков
да и потом Вадим у вас реальное есть ощущение, что другие вендоры в совокупности имеют больше 40% рынка?

Может это от того, что АВЦ очень активен в продвижении Trend Micro и у вас чисто внутрекомпанейский перекос продаж в сторону не ЛК и не Есет?

Надеюсь, что реальное :) . Хоть я уже работаю в другой компании.

Перекос некоторый есть, но судя по запросам партнеров, клиентов и конкурсам у меня сложилось впечатление, что для большинства корпоративных клиентов Eset пока не является равноценной заменой Symantec, TrendMicro или ЛК. А на домашних пользователях и SMB 25% рынка не захватишь, разве что все домашние пользователи KAV/KIS на Nod перейдут :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван
Надеюсь, что реальное :) . Хоть я уже работаю в другой компании.

весенний переход, Кирилл перешел, теперь вы :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Иван

трындец, я прочел пресуху битдефендера на PRnews.ru

По собственной оценке российского Издательства BitDefender, объем российского рынка антивирусных решений в 2007 году составил более $120 млн. в конечных ценах. При этом рост рынка составил более 100%.

я прошу прощения, но российским Битдефендером руководят по сути те же люди (Попович и Чачава*), что и российским Есетом.

а российский есет говорит

хотя в прошлом году рынок серьезно вырос, оценка рынка в $125-135 млн. (которую дают в «Касперском» — CNews) только в России в Eset считают завышенной». Из-за падения курса доллара Eset скорректировала свою первоначальную оценку в $75 млн. и сочли, что совокупный объем антивирусного рынка в конечных ценах составил $85-90 млн.

С нашей точки зрения, оценка объема антивирусного рынка, которую дает «Лаборатория Касперского», существенно завышена. И здесь вопрос не в методологии подсчета: искусственно завышая объем, компания снижает долю рынка Eset. Если по нашим оценкам это 22-25%, то, если верить «ЛК», это 16%. Разница, согласитесь, существенная.

или доллар так упал, что 90 млн. превратились в 120 млн.? :rolleyes: ну и кто после этого с цифрами мухлюет?

*Дополнительную пикантность ситуации придает то, что кроме Поповича, перешедшего в BitDefender из Eset, оба представительства связаны личностью Александра Чачавы, президента интегратора «Лета». Чачава подтвердил корреспонденту CNews, что является миноритарным акционером как «Исета» (такое название носит представительство Eset) , так и «Российского издательства BitDefender».

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • AM_Bot
      Платформа разведки угроз RT Protect TI способна взаимодействовать с RT Protect EDR и другими средствами защиты информации, что помогает автоматически выявить и предотвратить кибератаки, а также провести детализированное расследование с опорой на накопленные сообществом знания.      ВведениеАрхитектура RT Protect TIФункциональные возможности RT Protect TI3.1. Подключение фидов3.2. Работа с обнаружениями: «Активность»3.3. Работа с артефактами3.4. Использование YARA-правилУправление уязвимостями4.1. Менеджмент организаций, пользователей и API-клиентов4.2. Взаимодействие с RT Protect EDRСценарии использования RT Protect TI5.1. Работа с дашбордами5.2. Граф связей5.3. Создание фидов5.4. Работа с платформой в режиме веб-сервиса5.5. Определение распространённости угроз5.6. Проведение ретроспективного анализа инфраструктуры на предмет компрометацииСистемные требования RT Protect TIПлан дальнейшей разработкиВыводыВведениеКонтроль инфраструктуры на предмет наличия актуальных угроз и обогащение аналитики, применяемой в средствах защиты информации, дают возможность значительно расширить детектирующую логику, а также сформировать современную и гибкую модель защиты, обеспечивающую устойчивость к самым передовым атакам.RT Protect TI позволяет организовать централизованный процесс накопления данных Threat Intelligence и предоставить аналитикам единый интерфейс анализа выявляемых угроз.Архитектура RT Protect TI Архитектура RT Protect TI разрабатывалась с учётом первостепенных потребностей современных MSS-провайдеров в тесном взаимодействии с RT Protect EDR. Учитывались потребности как в качественном API, так и в удобном веб-интерфейсе для аналитиков, которым необходимо на ежедневной основе исследовать выявленные индикаторы компрометации и их распространённость относительно защищаемых инфраструктур.Серверная часть включает в себя хранилище распространяемых на серверы EDR наборов аналитики и проверяемых вредоносных файлов, веб-интерфейс и ключевую базу данных с информацией об актуальных угрозах и распространённости их обнаружений. Рисунок 1. Схема взаимодействия RT Protect TI с другими системами При внедрении RT Protect TI возможна реализация множества интеграций в различных сценариях:Взаимодействие с широким спектром решений: EDR, SIEM, IRP, EASM.Формирование данных об актуальных угрозах при проведении ретроспективного анализа инфраструктуры на предмет компрометации.Динамическое формирование и распространение потоков данных (фидов) и наборов аналитики, релевантных для конкретного решения или потребителя.Интеграция с решениями класса Sandbox.Функциональные возможности RT Protect TIПодключение фидовПервичной задачей при использовании киберразведывательных платформ является формирование собственной базы данных по индикаторам компрометации. Для этого в веб-интерфейсе реализована возможность подключения и гибкой настройки источников данных. Рисунок 2. Основные настройки источника данных в RT Protect TI Подключение фидов реализовано как по URL, так и путём ручной загрузки файлов. Доступ к проприетарным источникам по URL можно организовать с использованием приватных токенов доступа.При подключении источника возможно выбрать формат получаемых данных: JSON (JSONL), CSV, TXT. Далее необходимо настроить парсинг его полей.  Рисунок 3. Настройка парсинга нового источника в RT Protect TI Для каждого источника возможно выбрать, какой вердикт будет формироваться для полученных из него индикаторов компрометации: «Безопасный», «Подозрительный» или «Вредоносный». При сборе данных из источника при формировании вердикта может учитываться его вес («confidence» — уверенность в данных). Также источники с безопасными артефактами (IP-адреса, домены, хеши и т. д.) позволяют формировать белые списки и фильтровать с помощью них ложноположительные срабатывания из вредоносных источников. В свою очередь, для каждого источника в настройках указывается его приоритет, что позволяет гибко формировать вердикты для артефактов из различных фидов.Работа с обнаружениями: «Активность» По результатам анализа артефактов для каждого из последних формируется вердикт на основе данных из подключённых источников. Вердикты фиксируются в разделе «Активность», где собираются сведения обо всех артефактах, обнаруженных на подключённых клиентах, и формируется рейтинг их распространённости. На вкладке «Артефакты» отображается общая распространённость артефактов среди всех клиентов системы. На основе этих данных можно составить рейтинг угроз, определить наиболее часто встречаемые угрозы, получить статистику их распространения.  Рисунок 4. Работа с артефактами  На вкладке «Организации и клиенты» каждая угроза ассоциирована с конкретным клиентом (организацией), где она была обнаружена. С помощью этих сведений можно классифицировать угрозы в зависимости от конкретных организаций или отраслей, где угроза встречается чаще всего.Так как все обнаруженные на клиенте артефакты фиксируются, имеется возможность провести ретроспективный анализ обнаруженных ранее артефактов, для которых критерий вредоносности был установлен позже момента фактического обнаружения. Таким образом возможно выявить угрозы, которые не были задетектированы в момент их реализации. Рисунок 5. Работа с организациями и клиентами Если по данным одного источника артефакт является вредоносным, но при этом он фигурирует в белых списках по данным второго источника, то такой артефакт помечается как безопасный. Подобный разнобой может свидетельствовать о ложноположительных данных источника с вредоносными артефактами. Рисунок 6. Работа с источниками данных С использованием функциональности раздела «Источники данных» возможно анализировать артефакты из различных источников — например, искать доверенные системные хеши, данные о которых получены из фидов сообщающих о вредоносной активности. Страница позволяет произвести оценку каждого источника данных на предмет его вклада в формирование вердиктов для обнаруженных артефактов. Таким образом возможно определить как более полезные с точки зрения вклада в аналитику источники данных, так и те источники, чьи артефакты редко встречаются в обнаружениях.Эта страница также позволяет произвести корреляцию между несколькими источниками данных, тем самым предоставляя возможность выявить часто пересекающиеся источники. В таком случае аналитик может оценить полезность того или иного источника и принять решение об исключении менее популярных или источников с повторяющимися данными. Рисунок 7. Работа с источниками данных Работа с артефактамиДля каждого фигурирующего в системе артефакта доступна его страница, обобщающая все имеющиеся на платформе данные о нём. При открытии такой страницы автоматически запускаются все доступные интеграции, среди которых в зависимости от настроек и наличия интеграционных ключей могут присутствовать VirusTotal, RSTCloud, Netlas и другие. Список может быть расширен. Рисунок 8. Основная страница артефакта Система RT Protect TI содержит в своём составе собственную библиотеку тегов, созданную аналитиками команды RT Protect. Предоставляется возможность как назначить теги вручную, так и автоматически установить их из фида. Назначение тегов из внешних источников осуществляется при помощи механизма «псевдонимов», который позволяет аналитику задать соответствие между тегами из библиотеки стороннего вендора и собственной библиотеки производителя. Таким образом теги любого вендора в любом формате могут быть преобразованы в теги собственной библиотеки. Рисунок 9. Добавление тега к артефакту Помимо этого, в платформе доступна функциональность выстраивания взаимосвязей между сущностями — например, связывание вредоносного файла со вшитым в него адресом сервера управления. Рисунок 10. Связанные артефакты Важной функциональностью RT Protect TI является возможность отслеживать обнаружения в различных организациях. Это позволяет определить распространённость потенциальной угрозы и увидеть факты её детектирования в различных инфраструктурах с указанием конкретного клиента, количества обнаружений и даты последнего выявления. Рисунок 11. Обнаружения артефакта В других разделах доступны результаты обогащения данных об артефакте за счёт множества внешних интеграций, позволяющих значительно дополнить имеющуюся в фидах информацию. Рисунок 12. Информация VirusTotal по артефакту На вкладке «Внешние источники» доступна информация об обнаружениях исследуемого артефакта в настроенных ранее фидах. При этом выводится вся информация, указанная при настройке конкретного источника. Рисунок 13. Информация из внешнего источника по артефакту Ни один источник данных не может быть абсолютно достоверным. В случае ошибки либо недостатка информации для вынесения вердикта аналитик имеет возможность вручную выставить корректный вердикт для артефакта, написать дополнительный комментарий к вердикту, а также указать время его актуальности. Рисунок 14. Добавление заключения аналитика к артефакту Другой возможностью платформы, значительно повышающей удобство командной работы с обнаружениями, является функциональность добавления комментариев к каждому артефакту. С её помощью аналитики имеют возможность фиксировать замечания и наблюдения. Рисунок 15. Отображение комментариев к артефакту Использование YARA-правилПомимо проверки артефактов RT Protect TI поддерживает возможность проверки файлов — как с использованием встроенных YARA-правил, так и путём отправки в решения класса Sandbox. Рисунок 16. Область поиска информации об артефактах По результатам проверки пользователю предоставляется набор YARA-правил, срабатывание которых было зафиксировано при проверке файла. Рисунок 17. Область поиска информации об артефактах Наборы YARA-правил возможно формировать как вручную, так и путём взаимодействия с репозиториями, например на GitHub. Таким образом, единожды настроив сбор отдельного YARA-файла либо целого репозитория, возможно добиться регулярного пополнения и обновления встроенных наборов. Рисунок 18. Раздел настройки наборов YARA-правил Управление уязвимостямиПлатформа предоставляет возможность осуществлять сбор информации об актуальных уязвимостях из таких баз, как БДУ ФСТЭК России, NVD и другие, а также выявлять бреши в установленном ПО по данным из интегрируемых по API систем.В качестве примера можно привести систему анализа ПО на конечных точках во взаимодействии с RT Protect EDR. Рисунок 19. Страница уязвимости с информацией о её распространённости по организациям и экземплярам ПО Анализ на наличие уязвимостей также возможно проводить с точки зрения анализа установленного ПО. Рисунок 20. Страница ПО с информацией о найденных в нём уязвимостях и о распространённости Менеджмент организаций, пользователей и API-клиентовВ системе поддерживается мультиарендная модель разделения доступа. Это позволяет делить пользователей по организациям и ограничивать доступ к данным об обнаружениях, а также к чувствительным настройкам аналитики, распространяемой с использованием платформы. Рисунок 21. Создание новой организации в RT Protect TI При этом выделяется одна организация-владелец, пользователи которой имеют доступ ко всей аналитике, агрегируемой в платформе. Важно отметить, что в рамках каждой организации также осуществляется разделение доступа: внедрена ролевая модель. Рисунок 22. Страница организации — владельца платформы В рамках менеджмента каждой организации существует возможность как добавления пользователей, так и формирования токена доступа для интеграций. Токен позволяет обращаться к API платформы и реализовывать широкий спектр задач по взаимодействию с другими решениями. Рисунок 23. Выпуск токена клиента в RT Protect TI Ролевая модель пользователей каждой организации включает в себя три основные роли: «Администратор», «Аналитик», «Пользователь». Важно отметить, что функциональность этих ролей также зависит от того, является ли организация пользователя владельцем платформы. Рисунок 24. Создание нового пользователя в RT Protect TI Взаимодействие с RT Protect EDRОдной из ключевых функциональных возможностей RT Protect TI является глубокое взаимодействие с RT Protect EDR. TI-платформа поддерживает создание и менеджмент всех наборов аналитики, доступных в EDR. Рисунок 25. Раздел настройки наборов распространяемых индикаторов атак При формировании наборов индикаторов компрометации предоставляется возможность их гибкой настройки. В такие наборы могут попадать как материалы из различных источников данных, так и наиболее актуальные угрозы, зафиксированные в контролируемых инфраструктурах. Помимо этого, возможно автоматически добавлять в них всю получаемую при работе с платформой аналитику. Также предоставляется возможность формирования списков исключений: наборов хешей, IP-адресов и доменов, наиболее часто фигурирующих в запросах от интеграций с целью фильтрации непосредственно в тех системах, с которыми осуществляется взаимодействие. Это позволяет значительно снизить число проверок. Рисунок 26. Конфигурация набора индикаторов компрометации   Важно отметить, что эта функциональность используется как при создании наборов распространяемых чёрных и белых списков в EDR, так и при формировании собственных фидов, доступ к которым предоставляется по URL, но ограничен требованием приватного токена клиента.Сценарии использования RT Protect TI Работа с дашбордамиНа главной странице представлены основные статистические графики и таблицы. Среди прочего там доступны информация по статистике добавления новых артефактов и график активности по проверке артефактов всех типов. Рисунок 27. Статистика добавления артефактов на TI-платформу Возможно перейти отсюда к информации об обнаружениях выбранного типа артефактов за соответствующий промежуток времени либо к отчётам по конкретным артефактам. Рисунок 28. Варианты отображения дашборда «Активность» Помимо этого, представлены топ-5 фидов по вкладу в аналитику, а также трендовые и наиболее распространённые вредоносные артефакты. Рисунок 29. Просмотр дашбордов вида «Топ-5» Дополнительно возможно отследить активность по использованию интеграций: сервисов обогащения данных об артефактах, песочниц и др. Рисунок 30. Варианты отображения дашбордов отчётов Таким образом, панель дашбордов предоставляет основную сводку активности в защищаемых инфраструктурах с возможностью детализации данных по различным критериям.Граф связейВажным элементом веб-интерфейса является возможность построения и просмотра графа связей между сущностями. Граф позволяет отобразить все связи исследуемого артефакта и дополнить их. Рисунок 31. Отображение графа связей Путём выстраивания связей в рамках расследования можно существенно расширить информацию об атаке, а также получить дополнительные данные о её распространённости в подконтрольных инфраструктурах.Создание фидовRT Protect TI предоставляет функциональность по формированию собственных фидов с динамическим обновлением данных. Рисунок 32. Создание наборов распространяемой аналитики — фидов Логика конфигураций создаваемых фидов совпадает с логикой формирования наборов индикаторов компрометации, распространяемых в RT Protect EDR. Доступно формирование наборов как по данным фидов, так и по последней фиксируемой активности, а также по заключениям работающих на платформе аналитиков.Работа с платформой в режиме веб-сервисаДоступ к платформе также возможно предоставить внешним пользователям — сотрудникам сторонних организаций, чьи права на изменение аналитики и параметров взаимодействия с RT Protect EDR ограничены. Рисунок 33. Отображение главной страницы и разделов для администратора организации Администратор организации имеет возможность создавать собственные токены для интеграций, а также добавлять пользователей. Всем пользователям будет доступна только информация об обнаруженных в их организациях артефактах. Рисунок 34. Отображение активности для администратора организации Определение распространённости угрозС использованием функциональности отслеживания данных о распространённости обнаружений вне зависимости от вердикта возможно определять масштаб вредоносной активности.Допустим, в рамках расследования инцидента в одной из организаций было обнаружено, что ранее неизвестный артефакт является вредоносным. Аналитик выносит для него соответствующий вердикт и обнаруживает, что он также встречался ранее в данных из источников других организаций. В результате автоматизированно предотвращается масштабная атака — путём распространения списков блокировки. Рисунок 35. Выявление и блокирование масштабной атаки Проведение ретроспективного анализа инфраструктуры на предмет компрометации Поставляемые TI-платформой данные могут быть использованы не только в рамках задач по мониторингу и поиску угроз (Threat Hunting), но и при выполнении ретроспективного анализа инфраструктуры на предмет компрометации — особенно если в исследуемой инфраструктуре ещё не настроены СЗИ.  Рисунок 36. Использование данных TI при проведении ретроспективного анализа инфраструктуры на предмет компрометации В этом случае возможно сформировать ограниченный набор наиболее актуальных угроз и осуществить их поиск на конечных точках. В рамках этой задачи платформа RT Protect TI уже доказала свою эффективность в связке с услугой RT Retro (ретроспективного анализа инфраструктуры), предоставляемой специалистами АО «РТ-Информационная безопасность».Системные требования RT Protect TIДля корректной работы системы сервер должен соответствовать ряду требований. Таблица 1. Системные требования к серверу управленияКомпонентТребованияМинимальныеРекомендуемыеЦП8 ядерНе менее 10 ядер частотой минимум 2,4 ГГц с возможностью работы в 20 потоковОЗУ16 ГБ32 ГБСвободное место на диске1 ТБ2 ТБ (итоговый размер будет зависеть от количества подключённых источников)Программное обеспечениеLinux-сервер с 64-разрядной архитектурой и ОС, поддерживающей контейнеризацию с использованием Docker План дальнейшей разработкиКлючевыми направлениями развития платформы являются:Расширение набора поддерживаемых сущностей: «Malware», «Tool», «Incident», «Campaign», «APT» и т. д. Поддержка протокола STIX позволит значительно углубить информацию об обнаруживаемых угрозах и возможности проведения соответствующего анализа.Поддержка проверки индикаторов компрометации не только с использованием API, но и путём направления исходных логов (по протоколам Syslog, CEF и др.) непосредственно в TI-платформу.Дальнейшее развитие сервисной модели использования (веб-версии).Развитие гибкости взаимодействия с различными СЗИ и сервисами.Полный план разработки продукта может быть предоставлен в рамках пилотного проекта.ВыводыRT Protect TI предоставляет функциональность по агрегации, корреляции и хранению данных о киберугрозах, обеспечению своевременности мер реагирования, а также актуализации экспертизы. При интеграционном взаимодействии с RT Protect EDR и другими средствами защиты платформа способна показать полный ландшафт угроз в инфраструктуре.Достоинства:Мультиарендная модель с возможностью использования на месте (on-premise), в облаке (on-cloud) и в формате SaaS.Гибкое управление фидами и артефактами, возможность создания собственных фидов.Возможность взаимодействия с решениями класса Sandbox.Глубокое интеграционное взаимодействие с RT Protect EDR.Входит в реестр российского ПО.Недостатки:Высокоуровневые данные TI доступны только в метаданных (реализация сущностей запланирована на 2025 г.).Нет сертификатов ФСТЭК и ФСБ России.Взаимодействие со сторонними СЗИ возможно только по API (реализация обработки «сырых» логов запланирована на 2025 г.).Читать далее
    • demkd
      В документации правильно, просто забыл убрать, после того как сменил тип интеграции.   Удаление исключений работает только в режиме виртуализации, в принципе системная защита ядра легко преодолевается, но дефендер тогда сходит с ума и ведет себя неадекватно, поэтому только виртуализация, можно конечно допилить что бы удалялось через api, но это все равно не будет работать с неактивной системой, поэтому оставил так как есть.
    • santy
      Demkd, судя по тестам интеграция uVS и  WinRE, запуск uVS из меню Winpe прошли нормально. (проверил на W10), Единственно, после завершения интеграции выходит сообщение, что при обновлении uVS интеграцию необходимо повторить. Так ли это? В документации указано, что если обновление выполнено в каталоге, который ранее был интегрирован с WinRe, то повторная интеграция не нужна.  
    • santy
      RP55, это запись в реестре на исключение из проверки в Windefender. запись защищенная в Wndef, поэтому просто через delref в uVS ее не удалить из реестра. И это правильно.
    • PR55.RP55
      Demkd Вот допустим в образе\системе есть запись: Полное имя                  C:\USERS\LUSYS\ONEDRIVE\ДОКУМЕНТЫ\GOODBYEDPI-0.2.3RC1
      Имя файла                   GOODBYEDPI-0.2.3RC1
      Тек. статус                 ПОДОЗРИТЕЛЬНЫЙ Исключение
                                  
      Сохраненная информация      на момент создания образа
      Статус                      ПОДОЗРИТЕЛЬНЫЙ Исключение
      Инф. о файле                Не удается найти указанный файл.
      Цифр. подпись               проверка не производилась
                                  
                                  
      Статус                      ПОДОЗРИТЕЛЬНЫЙ ОБЪЕКТ
                                  
      Ссылки на объект            
      Ссылка                      HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths\C:\Users\lusys\OneDrive\Документы\goodbyedpi-0.2.3rc1
      C:\Users\lusys\OneDrive\Документы\goodbyedpi-0.2.3rc10
                                   При применении команды: Alt+Del delref %SystemDrive%\USERS\LUSYS\ONEDRIVE\ДОКУМЕНТЫ\GOODBYEDPI-0.2.3RC1 т.е. вопрос, что будет при удалении ссылки и почему статус Исключение - и если он должен исключать - то почему не исключает?
×