Out of Path | ИБ, ИТ & Телеком

Рекомендую потестить тулзу от s0ld13r ch. https://t.me/s0ld13r_ch/412?single

«Почему SOC не увидел шифровальщика?» – вопрос, который чаще всего задают, когда уже случился инцидент Пока всё спокойно, никто не спрашивает SOC, что именно он видит, а чего не видит. Вопрос возникает постфактум – когда база уже зашифрована, а объяснить произошедшее нужно было ещё вчера. Регулярно слышу одну и ту же историю: компания подключается к SOC по предписанию регулятора, для галочки в аудите или потому что «так положено». Экономит на охвате источников. А потом, после инцидента, выясняет отношения с провайдером: «Мы же вам платим! Почему вы это пропустили?!»😱 Разберём по существу – и с той, и с другой стороны.   Как это обычно выглядит на практике? В SOC заводят не критические контроллеры домена, EDR с ключевых хостов и логи бизнес-критичных сервисов, а тестовый сегмент, пару второстепенных Linux-серверов и второстепенный файрвол. Формально требование выполнено, логи идут, отчёт для регулятора готов. Например, по факту в зоне видимости – 5% инфраструктуры. Дальше – стандартный сценарий: фишинг на бухгалтера или забытый RDP, компрометация учётки на DC, боковое перемещение по сегменту без единого сенсора. Шифровальщик добирается до базы, бизнес встаёт.   Что здесь правда, а что – нет? Правда в том, SOC анализирует только то, что ему дают. Если в зону мониторинга не попали DC, критичные хосты и периметр – задача физически нерешаемая, какой бы сильной ни была команда аналитиков. Это не вопрос компетенций, это вопрос архитектуры покрытия. Но есть и вторая сторона, о которой честные провайдеры не молчат, если SOC на этапе подключения видит, что заказчик подключает источники-заменители вместо критической инфраструктуры, это должно быть зафиксировано в письменном виде с описанием конкретных рисков и слепых зон. Это должно быть не как формальная отписка в приложении к договору, а как понятный руководству документ: «Вот что вы видите, вот чего не видите, вот что это значит при реальной атаке». Если этого не сделано – вина уже не только на заказчике.   Минимальный чек-лист охвата для реального (не бумажного) SOC: 1. Все контроллеры домена и критичные системы (AD, ADFS, PAM) 2. EDR/XDR на критичных серверах и рабочих станциях с высоким уровнем привилегий. 3. Логи периметра (VPN, публичные сервисы и т.п.). 4. Логи сегментов с критичными данными (БД, ERP, файловые хранилища). 5. Мониторинг и анализ сетевой активности ключевых узлов и сегментов с помощью NTA/NDR. Если из этого списка закрыто меньше половины – это не MDR и не полноценный мониторинг, это дашборд для отчёта регулятору.   Мониторинг работает только тогда, когда видит то, что действительно нужно защищать. Всё остальное – это красивая отчётность до первого реального инцидента. P.S. Я специально не стал затрагивать сложные таргетированные атаки и APT-группировки – это отдельный разговор. Описал только то, что на поверхности, с чем сталкиваются постоянно и что бьёт по бизнесу больнее всего.

Наблюдается изменение характера DDoS-атак. Во-первых, существенно растёт объем атак, в июле зафиксировали и отразили одну из крупнейших атак типа UDP Flood, пиковая интенсивность превысила 300 Гбит/с. Во-вторых, всё больше заражённых локальных устройств, участвующих в атаках. Системы защиты и ответственные подразделения хорошо отработали.

На днях буквально написал, почему на рынке не востребована глубокая экспертиза, а сегодня регулятор фактически обяжет операторов персональных данных её иметь в связи с грядущими поправками. Уведомление об утечках и запрет выгрузок требуют контроля уровня L3+ (форензика, Threat Hunting и тд). Но если продолжить на этом экономить, про компрометацию ПД компания узнает не от своего мониторинга, а из новостей. Подробности тут https://t.me/telco_kz/1246

Почему в Казахстане нет спроса на форензику, Threat Hunting и реверс-инжиниринг?   На одном из недавних совещаний снова поднялся характерный вопрос: почему на локальном рынке РК услуги уровня L3+ (глубокие расследования, проактивный Threat Hunting, исследование вредоносного кода, реверс-инжиниринг) остаются практически невостребованными?   Со стороны кажется, что бизнесу просто «не нужно». Но если вспомнить суровую экономику коммерческого SOC, о которой описано в прошлом посте - рост цен на оборудование, жесткую необходимость дублирования N+1 и работу на грани себестоимости - становится очевидно: отсутствие спроса на L3+ является прямое следствием этой зажатой экономики.   Как работает этот замкнутый круг:   1. Пытаясь сэкономить, бизнес покупает только базовую гигиену - мониторинг и алерты L1. Проактивный Threat Hunting и глубокий анализ (RCA) считаются роскошью до первого взлома. 2. Из-за минимальных чеков и срезанной маржи сервисные провайдеры не могут платить редким L3-специалистам (Incident Response, реверс). Сильные кадры уходят в финтех, к вендорам или за рубеж. 3. Без прибыли от базовых услуг у SOC нет ресурсов инвестировать в Threat Intelligence, лаборатории и обучение. В итоге отсутствие экспертизы замыкает круг, не позволяя провайдерам вырасти из дешевого сервиса.   Поэтому возникает системный парадокс, что заказчики не формируют спрос на L3+, потому что не видят зрелых и доступных локальных предложений. А сервисные компании не строят эту практику, так как экономика базового SOC не оставляет денег на R&D, а гарантий окупаемости рынок не дает.   В итоге возникает риск потерять слой глубокой экспертизы. Соответственно, когда компания сталкивается с действительно сложной, целевой атакой, выясняется жестокий факт: выявлять незаметные угрозы и расследовать инцидент внутри просто некому, а привлекать внешних экспертов придется за совершенно другие деньги.

Заметили в 22:30 пропажу доступа до ряда сервисов? Это в Москве на М9 электричество пропало.

Коммерческий SOC: сверхприбыль на ровном месте или суровая экономика?   В казахстанском ИБ-сообществе до сих пор бытует мнение, что коммерческий SOC – это услуга с аномально высокой маржинальностью: «Подключили выборочно источники к SIEM, настроили стандартные корреляции – и выставляете миллионные счета». Снаружи сервис действительно выглядит как обычная SaaS-подписка с огромной наценкой. Но давайте разберём суровую математику таких услуг 📊👇 Фонд оплаты труда (ФОТ) Обеспечить честный режим 24/7/365 – это не просто нанять двух человек. Требуется сменная ротация минимум из 5–6 аналитиков L1, плюс узкопрофильные эксперты L2/L3, инженеры внедрения и системные администраторы. В условиях дефицита кадров в РК среднерыночная зарплата квалифицированного ИБ-инженера варьируется от 800 000 до 1 500 000 ₸ на руки. Содержание минимального штата (7–8 человек) обходится компании приблизительно в 70–90 млн ₸ в год только по статье ФОТ (с учётом налоговых отчислений). Специализированный софт и инфраструктура Лицензирование коммерческих SIEM, IRP/SOAR, платформ Threat Intelligence и Sandbox исчисляется сотнями тысяч долларов. К этому добавляются расходы на ЦОДы и их резервирование в формате N+1, обеспечение каналов связи (Интернет и ЕТС ГО), соответствие регуляторным требованиям и содержание офиса для команды. Onboarding, который никто не оплачивает Ни один коммерческий SOC не работает «из коробки». Первые несколько месяцев команда прорабатывает архитектуру клиента, снижает информационный шум и верстает индивидуальные use-кейсы. В этот период сервисный провайдер фактически работает в убыток. Постоянный ресерч киберугроз Киберугрозы эволюционируют ежедневно. Разработка новых правил детектирования и сценариев реагирования – это непрерывный процесс, требующий отдельного ресурса R&D-аналитиков.   Что в итоге? По международным оценкам, содержание собственного SOC стартует как минимум от $250K–300K ежегодно. Для большинства компаний вне сферы финтеха, крупного ритейла и телекома инхаус-модель экономически нецелесообразна. Рынок РК постепенно трансформируется: заказчики переходят от оценки поверхностной стоимости контракта к расчёту совокупной стоимости владения и начинают осознавать, что услуги SOC нужны не «для галочки» и закрытия регуляторных требований, а для реальной защиты. В суровых реалиях коммерческий SOC – это высокорисковый сервисный бизнес с длинным циклом окупаемости. И дискуссия о ценообразовании обычно исчерпывает себя в момент, когда компания впервые пробует самостоятельно собрать, обучить и удержать дежурную смену 24/7. Как вы оцениваете текущий уровень цен на услуги MSSP/SOC в Казахстане – сбалансированный или перегретый? Буду рад обсудить в комментариях.

Почему название канала "Out of Path"? В сетевых архитектурах и ИБ режим Out-of-Path означает работу систем безопасности «в стороне от основного трафика». Такой подход не создаёт задержек, не роняет продакшн и не мешает рабочим процессам, но при этом видит и анализирует абсолютно всё, что происходит в инфраструктуре. Этот канал создавался по похожему принципу - взгляд на сферу ИБ, ИТ и телеком под углом максимальной объективности и без приукрас. P.S. Думал, думал над названием и подумал: почему бы не назвать просто "Out of Path"? 😄😄😄 Рад всех видеть! 🤝

По совету друзей и в рамках моды наш дорогой Амангельды Кусаинов наконец-то создал себе телеграм-канал. Теперь все ИБ-сообщество может лайкать друг друга:) @akusainov welcome!

@epitolin Сделано!

Амангельды, ждём! @akusainov

Всем привет! Решил создать личный канал в Telegram! Добро пожаловать! Идейный вдохновитель и человек, который чаще всех спрашивал, когда я уже его создам — Аскар @rockyou. Аскар, держи! 😉