Дефицит кадров на рынке ИБ привёл к увеличению количества услуг, предоставляемых как интеграторами, так и вендорами. «Лаборатория Касперского» тоже предлагает ряд сервисов: выявление кибератак, реагирование на инциденты в ИБ, анализ защищённости, мониторинг цифровых рисков и другие.
- Введение
- Kaspersky Digital Footprint Intelligence
- Kaspersky Compromise Assessment
- Kaspersky Security Assessment
- Kaspersky SOC Consulting
- Kaspersky Tabletop Exercise
- Kaspersky Adversary Attack Emulation
- Kaspersky Cybersecurity Training
- Kaspersky Managed Detection and Response
- Kaspersky Incident Response
- Kaspersky Ask The Analyst
- Выводы
Введение
«Лаборатория Касперского» активно развивает перечень сервисов по информационной безопасности, предоставляемых ею. Основная предпосылка для этого — недостаток квалифицированных кадров с богатым опытом на рынке ИБ. Так, согласно исследованию Kaspersky, 42 % компаний обращаются к поставщикам управляемых ИБ-услуг (MSSP) в связи с нехваткой собственных специалистов, а 36 % опрошенных отметили недостаток опыта в сфере кибербезопасности внутри своей организации.
Услуги, предоставляемые «Лабораторией Касперского», охватывают весь цикл работы с киберугрозами: прогнозирование, предотвращение, обнаружение и реагирование.
Рисунок 1. Услуги Kaspersky в соответствии с циклом киберугроз
Kaspersky Digital Footprint Intelligence
В рамках услуги предоставляется комплексный мониторинг цифровых рисков, который помогает компаниям отслеживать свои цифровые активы и обнаруживать угрозы в даркнет-ресурсах (deep web, darknet, dark web).
Сервис позволяет оперативно реагировать на возникающие в отношении цифровых активов угрозы, что снижает вероятность нанесения репутационного ущерба бренду, потери доверия клиентов и остановки бизнес-операций в целом.
Типы угроз, с которыми работает услуга, включают в себя:
- угрозы связанные с сетевым периметром, такие как неправильно настроенные службы, незакрытые уязвимости, повреждённые или скомпрометированные ресурсы;
- угрозы связанные с даркнетом, в том числе схемы мошенничества и планы киберпреступников, украденные кредитные карты, инсайдерская деятельность, продажа доступов и баз данных;
- угрозы связанные с вредоносными программами, включая фишинговые атаки, целевые атаки и APT-кампании;
- утечки данных и конфиденциальной информации компании, в том числе скомпрометированные учётные записи партнёров, сотрудников и клиентов;
- неправомерное использование бренда, заключающееся в подделке веб-сайтов компании, учётных записей в соцсетях и мобильных приложений, размещённых в Google Play и App Store.
Kaspersky Compromise Assessment
Kaspersky Compromise Assessment (CA) позволяет выявить активные кибератаки, а также обнаружить следы прошлых взломов, не зафиксированных и не предотвращённых средствами защиты информации. CA повышает возможности защиты от киберугроз без необходимости инвестировать в дополнительный персонал или экспертизу: обнаруживает и анализирует происходящие в данный момент и произошедшие в прошлом инциденты, а также составляет список систем, затронутых этими инцидентами. Эксперты «Лаборатории Касперского» обеспечивают проактивное обнаружение и расследование целевых атак, чтобы обеспечить безопасность бизнес-активов в любой отрасли.
Проведение подобных работ может потребоваться, если есть косвенные признаки, указывающие на взлом инфраструктуры компании. К таким признакам относятся:
- атака на сети партнёров или подрядчиков;
- пристальное внимание злоумышленников к сектору экономики, в котором функционирует компания;
- подозрение на компрометацию сети организации или появление непроверенной информации о таком инциденте.
Кроме того, поиск следов компрометации может понадобиться, если есть требование регулятора проводить такие работы на периодической основе или нужна оценка интегрируемой инфраструктуры в процессе слияния и поглощения. Полезен он и после реагирования на инцидент, когда есть необходимость удостовериться, что сеть не взломана другими группировками, использующими иные техники и инструменты.
Работы проводятся в несколько этапов: сбор данных, анализ и активный поиск угроз, валидация инцидента и раннее реагирование, подготовка отчётности.
По результатам работы сервиса заказчик получает заключение о выявленных следах взлома сети, релевантные аналитические данные и индикаторы компрометации (IoC), рекомендации по устранению последствий и по защите ресурсов от аналогичных атак в будущем.
Kaspersky Security Assessment
Анализ защищённости — популярный у многих компаний формат поиска уязвимостей в инфраструктуре и векторов атак, которые могут быть применены злоумышленниками. В сервис от «Лаборатории Касперского» входят как привычное тестирование на проникновение, так и анализ защищённости приложений, промышленных сетей, банкоматов, POS-терминалов и оценка безопасности беспроводных сетей.
Результатом работ является подробный отчёт о процессе тестирования, его результатах и обнаруженных уязвимостях, с рекомендациями по их устранению.
Анализ защищённости промышленных систем
Это направление анализа особенно актуально в связи с участившимися атаками на промышленный сектор. В ходе работ проводится анализ защищённости как всей инфраструктуры АСУ ТП, так и её компонентов.
Сервис позволяет выявить недостатки защиты АСУ ТП, обеспечить её соответствие внутренним, отраслевым и государственным стандартам, а также избежать потенциального ущерба и угроз для жизни и здоровья людей за счёт своевременного обнаружения и устранения уязвимостей, которые могут быть использованы при проведении атак на АСУ ТП. Кроме того, проводимые работы дают возможность выявить уязвимости компонентов АСУ ТП, таких как SCADA, ПЛК и другие.
Анализ защищённости банкоматов и POS-терминалов
Сервис позволяет обнаружить уязвимости, использование которых поможет злоумышленникам несанкционированно снимать наличные, проводить неавторизованные транзакции, собирать данные платёжных карт клиентов или проводить DoS-атаки. Также сервис даёт возможность выявить проблемы в системе защиты банкоматов и POS-терминалов, найти неизвестные ранее уязвимости в управляющем ПО банкомата (в т. ч. позволяющие выйти из режима киоска и получить доступ к ОС), проанализировать возможность развития атаки на смежные устройства, процессинговый центр и банковскую сеть.
Анализ защищённости приложений
Работы по анализу защищённости приложений проводятся с использованием методов чёрного, серого и белого ящиков, что позволяет как эмулировать действия внешних злоумышленников, так и разбирать недостатки приложения, зная его код. Также возможно проведение тестирования при включённых и выключенных механизмах превентивной защиты брандмауэра веб-приложений (WAF) для проверки эффективности обнаружения и блокирования атак.
Kaspersky SOC Consulting
Создание собственного центра мониторинга (SOC) — ответственный и долгосрочный проект, который трудно реализовать без экспертной поддержки. Услуга по SOC-консалтингу предназначена для компаний, которые планируют строить и развивать внутренний центр мониторинга. Цель сервиса — разработка дизайн-концепции SOC, которая будет учитывать задачи и инфраструктуру клиента, а также обеспечит эффективную эксплуатацию и дальнейшее развитие центра.
В рамках работ решаются следующие задачи:
- разработка общей концепции SOC в части технических средств, команды и сервисной модели;
- определение детальной организационно-штатной структуры SOC, ролей, задач, режима работы, программы обучения, планирование численности команды и т. д.;
- разработка технической архитектуры в части средств самого SOC, источников и потоков данных, смежных и внешних систем;
- разработка сервисов и процессов SOC, а также соответствующих процедур для их реализации;
- разработка специфичных сценариев детектирования угроз ИБ (use cases) и реагирования на инциденты (playbooks);
- разработка метрик и индикаторов (KPI) для контроля эффективности деятельности SOC и шаблонов отчётности для аудиторий разного уровня;
- разработка стратегии и плана развития SOC, постпроектная поддержка и консультирование.
Работы проводятся в несколько этапов, включающих в себя сбор информации, проектирование SOC, сопровождение внедрения и развёртывания технических средств, а также комплексную поддержку и консультирование заказчика в течение оговорённого времени после введения SOC в эксплуатацию. При этом поддерживаются проекты по созданию SOC как на продуктовой линейке решений «Лаборатории Касперского», так и на сторонних разработках.
Результатом оказания услуги является согласованная адаптированная концепция, охватывающая все аспекты создания, эксплуатации и развития SOC на основе опыта «Лаборатории Касперского» и лучших практик (best practices).
Kaspersky Tabletop Exercise
Тренинг Kaspersky Tabletop Exercise помогает улучшать процессы связанные с реагированием на инциденты, а также оптимизировать взаимодействия между командами, участвующими в этих процессах.
В рамках тренинга эксперты международной команды «Лаборатории Касперского» GERT (Global Emergency and Response Team) разрабатывают сценарий инцидента, учитывающий актуальный ландшафт угроз, а также специфику компании и производственные нужды. Особенно интересно, что сценарии максимально приближены к реальным и основаны на собственном опыте команды.
После этого эксперты распределяют роли среди участников и объясняют им сценарий атаки, а затем проверяют работу команд: соответствуют ли принятые ими решения по устранению последствий инцидентов той стратегии реагирования, которая установлена в компании.
Kaspersky Adversary Attack Emulation
Kaspersky Adversary Attack Emulation позволяет регулярно проверять, насколько хорошо средства детектирования SOC могут обнаруживать атаки, соответствующие различным техникам. Кроме того, с помощью сервиса можно обучать специалистов центра мониторинга и реагирования работе с конкретными сценариями и типами угроз, проверять способность специалистов обнаруживать атаки конкретных APT-группировок и строить карту охвата правил детектирования SOC.
Ключевыми преимуществами Kaspersky Adversary Attack Emulation являются широкий набор сценариев с опорой на базу MITRE ATT&CK, возможность комплексной оценки сильных и слабых сторон системы обнаружения и проведение регулярных эмуляций в рамках сервиса.
Kaspersky Cybersecurity Training
Процесс повышения осведомлённости пользователей стал привычным для компаний с высоким уровнем зрелости. Однако на рынке отмечается дефицит курсов по информационной безопасности для ИТ- и ИБ-специалистов. Немногие учебные центры и онлайн-площадки дают актуальный материал, проверенный на практике, и реальную экспертную поддержку по обучающему контенту.
«Лаборатория Касперского» обладает обширным опытом обнаружения и исследования угроз, а также большой экспертной базой. На основе этого опыта сформированы следующие курсы: цифровая криминалистика (стандартный и экспертный курсы), анализ и обратная разработка вредоносных программ (стандартный и экспертный курсы), реагирование на инциденты, YARA, а также курсы посвящённые Kaspersky Anti Targeted Attack (KATA) — администрирование и анализ инцидентов.
Kaspersky Managed Detection and Response
Kaspersky MDR представляет круглосуточную управляемую защиту: от мониторинга и проактивного поиска угроз до автоматизированного и управляемого реагирования как на целевые атаки, так и на скрытые угрозы, не использующие вредоносных программ и имитирующие легитимную активность.
В рамках решения у клиента есть возможность самостоятельно зарегистрировать инцидент при подозрении на компрометацию для дальнейшей проверки экспертами SOC «Лаборатории Касперского», при условии, что затронутые инцидентом хосты входят в охват мониторинга. Встроенные механизмы искусственного интеллекта (ИИ) в Kaspersky MDR помогают минимизировать число ложноположительных срабатываний и ускорить процесс обработки событий в безопасности.
В решение Kaspersky MDR входят: круглосуточный мониторинг и проактивный поиск угроз (Threat Hunting) силами экспертов «Лаборатории Касперского», автоматический поиск угроз с применением IoA-правил, сценарии реагирования и автоматическое реагирование на инциденты, консультации аналитиков SOC «Лаборатории Касперского», обзор всех защищаемых ресурсов с их текущим статусом, консоль управления услугой и отчётами, хранение истории инцидентов в течение одного года, прикладной интерфейс (API) для интеграции с платформами реагирования и автоматизации (IRP / SOAR), хранение необработанной телеметрии в течение трёх месяцев.
Рисунок 2. Принцип работы Kaspersky MDR
Kaspersky MDR обеспечивается командой SOC «Лаборатории Касперского», эксперты которой обладают многочисленными сертификатами, подтверждающими их высокий уровень экспертизы и знаний в индустрии ИБ: CHFI, CEH, GCFA, OSCP, CISM, OSCE, GNFA, CISA, GCIH, GCTI, CISSP и другими.
Kaspersky Incident Response
Kaspersky Incident Response — сервис по реагированию на инциденты в информационной безопасности, начиная с этапа сбора доказательств и заканчивая подготовкой комплексного отчёта с описанием результатов расследования, а также рекомендациями по устранению последствий атаки.
Результатом оказания услуги является подробный отчёт о случившемся инциденте, в котором будут:
- краткое описание инцидента с определением природы атаки и затронутых информационных активов, а также действий по незамедлительному реагированию,
- углублённый анализ инцидента с полной хронологией событий,
- анализ действий атакующих и используемых ими инструментов,
- описание использованных уязвимостей, возможных источников атаки и затронутых сетевых ресурсов,
- результаты анализа вредоносных программ,
- заключение о наличии или отсутствии признаков компрометации,
- рекомендации по устранению последствий атаки и предотвращению подобных атак в будущем.
Расследования «Лаборатории Касперского» проводятся высококвалифицированными аналитиками и экспертами команды GERT. Члены GERT — специалисты по управлению инцидентами, компьютерной криминалистике, анализу вредоносного кода, сетевой безопасности и анализу рисков, обладающие широким набором признанных в отрасли сертификатов, таких как GREM, GRID, GCFE, GCFA, eCTHP, eCIR, CISM и другие.
Kaspersky Ask The Analyst
Kaspersky Ask The Analyst — сервис, который будет полезен для дальнейшего повышения уровня кибербезопасности: те организации, у которых нет специалистов с достаточной экспертной квалификацией, будут обеспечены всесторонней коммуникацией с экспертами, а также расширенными возможностями в области анализа угроз и реагирования на инциденты за счёт знаний и ресурсов «Лаборатории Касперского».
В рамках сервиса заказчик получает:
- дополнительную информацию об опубликованных отчётах по сложным угрозам (APT) и вредоносному коду (crimeware),
- комплексный отчёт об анализе образца / образцов вредоносных программ или других технических индикаторов,
- анализ вредоносного кода,
- информацию о конкретной активности в даркнете,
- информацию по запросам связанным с АСУ ТП (уязвимости, сведения о нормативных требованиях и стандартах, статистика угроз для АСУ ТП и др.).
Преимущество услуги — поддержка профессионалов, которая позволит обойтись без поиска и найма узких специалистов, ускорить расследование инцидентов, оперативно реагировать на угрозы и уязвимости, блокируя известные векторы атак.
Выводы
«Лаборатория Касперского» обладает не только известными продуктами, направленными на обеспечение безопасности систем разного класса, но и международной экспертизой, используя которую можно выстроить защиту как на основании имеющихся в компании компетенций, так и с применением сервисов вендора. При этом компания имеет признание в индустрии, которое подтверждается многочисленными наградами и отзывами клиентов. Экспертиза «Лаборатории Касперского» может применяться в организациях с любым уровнем ИБ и в любой сфере деятельности: в промышленном сегменте, финансовом, ИТ, СМИ и других.
