Платежная система «Таможенная карта» отслеживает события безопасности и выявляет инциденты при помощи MaxPatrol SIEM LE. В результате служба ИБ компании может получать полную информацию об инфраструктуре в любой момент, автоматически выявлять проблемные и новые активы, аномалии, подозрительные активности в инфраструктуре. Это помогает обеспечить непрерывность бизнеса компании в соответствии с установленным SLA: все виды финансовых операций проводятся в любом таможенном органе на территории России в режиме 24/7.
Основная задача «Таможенной карты» ― совершенствование системы уплаты таможенных платежей и сокращение сроков таможенного оформления товаров. На сегодняшний день в числе участников платежной системы более семидесяти государственных и частных банков и более шестидесяти таможен. Ежемесячный объем денежного оборота платежной системы составляет от 50 до 70 млрд руб. Поэтому вопросам непрерывности бизнеса и надежности финансовых транзакций уделяется первостепенное значение, в том числе с точки зрения информационной безопасности.
До внедрения SIEM-системы анализ событий безопасности в «Таможенной карте» проводился вручную, что не позволяло оперативно реагировать на обнаруженные угрозы. Конфигурации сетевых узлов регулярно меняются (практика Positive Technologies показывает, что в течение года инфраструктура любой организации обновляется в среднем на треть), и отсутствие актуальных знаний об инфраструктуре мешало выявлять инциденты. Поэтому для автоматизации анализа событий ИБ и выявления атак, аномалий и подозрительных действий в инфраструктуре было принято решение внедрить SIEM-систему.
Департамент информационной безопасности компании оценил возможности трех самых популярных систем в России — IBM QRadar, ArcSight и MaxPatrol SIEM. Сравнивались возможности интеграции и взаимодействия с инфраструктурой, а также ценовая политика. По итогам тестирования «Таможенная карта» выбрала SIEM-систему компании Positive Technologies версии LE, как наиболее соответствующую всем заявленным требованиям:
- законченное коробочное решение для небольших инфраструктур (общее количество сетевых узлов в «Таможенной карте» ― 200);
- дополнительные источники событий подключаются бесплатно в рамках техподдержки;
- доступная цена;
- присутствие в реестре отечественно ПО.
Подразделение ИБ самостоятельно внедрило и настроило MaxPatrol SIEM LE. Весь проект занял три месяца. За это время к SIEM-системе были подключены рабочие станции и источники с наибольшим количеством событий — контроллеры домена, прокси-серверы и межсетевой экран (всего около 100 узлов). Сегодня к источникам событий добавились инфраструктурные серверы, системы защиты, бизнес-системы и критически значимые файловые серверы. На основе поступающих из источников данных MaxPatrol SIEM LE формирует базу активов и по правилам корреляции выявляет инциденты. По итогам пилота «Таможенная карта» получила полностью работающий инструмент, готовый к промышленной эксплуатации.
«MaxPatrol SIEM LE — это быстрый способ получить работающую SIEM-систему, ― комментирует Сергей Горчаков, директор по ИБ "Таможенной карты". ― За три месяца с помощью консультаций специалистов Positive Technologies нам самостоятельно удалось внедрить систему и настроить необходимые источники. Благодаря этому мы получили подробную картину IT-инфраструктуры и отслеживаем инциденты ИБ. В дальнейших планах подключение к источникам событий серверов собственного удостоверяющего центра».
