17 мая на конференции Positive Hack Days руководство Positive Technologies объявило итоги первых продаж и планы развития системы сбора и анализа событий информационной безопасности MaxPatrol SIEM (Security Information and Event Management).

Этот продукт был впервые представлен год назад. Как сообщил директор Positive по развитию бизнеса в России Максим Филиппов, готовясь вывести на рынок MaxPatrol SIEM, маркетологи разработали масштабную кампанию по его продвижению. Но необходимость в ней отпала, потому что уже в течение первых двух недель после показа MaxPatrol SIEM целевой аудитории поступило 62 запроса на выполнение пилотных проектов с новой системой.

Старт продукта оказался очень успешным — в течение 2015 года было реализовано 15 коммерческих проектов на сумму 180 млн руб. (стоимость проектов Positive указывает в ценах для заказчиков, по итогам года сама компания заработала на проектах SIEM примерно 100 млн руб. — А.Е.). В число пользователей новой системы, как отмечают ее разработчики, входят правительство Санкт-Петербурга, «Россети», Минтранс, Минобороны и др.

По оценкам специалистов Positive, динамичный старт позволил компании занять 10% российского рынка SIEM, где до сих пор преобладали решения зарубежных вендоров — IBM QRadar, HP ArcSight, McAfee Nitro, RSA enVision.

Кроме того, на базе MaxPatrol SIEM развернут 51 пилотный проект, из которых 26 уже завершены, а 25 находятся в процессе реализации.

Отказавшись от агрессивного рыночного продвижения первой версии MaxPatrol SIEM, в Positive сфокусировались на совершенствовании продукта – необходимость в этом, естественно, проявилась в ходе пилотных проектов.

Важные исправления и дополнения, внесенные разработчиками в продукт, стали мотивом для появления его второй версии. В компании подчеркивают, что данную версию отличают упрощенный подход к формированию корреляционных правил, а также расширенные возможности по расследованию инцидентов, основанному на ретроспективном мониторинге состояния всех активов ИТ-инфраструктуры. Это позволяет значительно сократить число ложных срабатываний системы при работе с большими объемами данных.

В Positive рассчитывают, что в 2016 году на вторую версию MaxPatrol SIEM поступит 60 заявок на выполнение пилотных проектов и более 35 коммерческих заказов, это позволит компании заработать на новом продукте около 500 млн руб. Весь российский рынок SIEM этого года в Positive оценивают в 2,2 млрд руб. и прогнозируют, что в 2017-м и 2018 году он вырастет соответственно до 2,6 млрд и 3,2 млрд руб.

«В 2017 году мы планируем начать продвижение продукта в Европе, где рассчитываем на первые продажи. А задача на 2018 год — стать лидером российского рынка SIEM с собственным оборотом 1,8 млрд руб.», — заявил Филиппов.

Достижению поставленных целей должны способствовать российское происхождение продукта, наличие сертификатов на него от Минобороны и ФСТЭК, а также детальный план развития MaxPatrol SIEM – компания готова объявить клиентам, когда появятся новые релизы продукта и какие новые функции будут в них включены.

В частности, объявлено, что в июле 2016 года будет выпущен тринадцатый релиз MaxPatrol SIEM, в котором появятся расширенные возможности для формирования расписания сканирования и генерации отчетов, улучшены инструменты для работы с топологией сети, а также запущен механизм облачного обновления данных об уязвимостях. В 14-м релизе (его выход намечен на сентябрь) появится возможность глубокой настройки отчетности. А в декабре планируется выпустить релиз 15, в нем будет обеспечена автоматическая генерация правил корреляции на основе векторов атак и другие полезные обновления.

Задача облегчается в некотором смысле ростом как мировой напряженности, так и общего количества киберзлоумышленников, взламывающих все и вся.

О международном положении велась речь на панельной дискуссии с участием представителей госорганов. Со времени прошлогодней аналогичной дискуссии (см. «Цифровой суверенитет», Computerworld Россия, 20 июня 2014) ничего принципиально не изменилось, разве что градус противостояния вырос, и довольно существенно. А, значит, государству нужно будет все больше квалифицированных киберзащитников.

Бизнесу, разумеется, тоже. Если верить результатам исследований Positive, представленных под слоганом «Сколько стоит взломать страну», проблемы с информационной безопасностью чрезвычайно остры (и не только в нашей стране) буквально во всех сферах экономики.

Рост количества проблем понятен — в Сети появляется все больше устройств (иногда их владельцы даже не догадываются, что это оборудование доступно через Интернет), рост личной и корпоративной мобильности, первые ростки Интернета вещей... «Щит», а особенно умение и желание его применять, отстает от «меча». Тем более что зачастую необходимо решать не только чисто технические проблемы, но и организационные.

Уровень защищенности ИТ-систем в Positive оценивают крайне низко: в 67% случаев неприятности доставить может любой внешний нарушитель. Еще в 27% — любой внутренний злоумышленник. 94% систем, исследованных в 2014 году, содержали уязвимости, позволяющие получать доступ к критически важным ресурсам, в 78% критические уязвимости связаны с использованием устаревших версий ПО.

Среди других частых причин взлома в Positive называют доступность интерфейсов управления через Интернет, использование банальных паролей и открытых протоколов передачи данных.

В отраслевом разрезе

Наиболее популярные объекты для атак, как полагают в Positive, — промпредприятия, сети связи, финансовые учреждения. Для распространения вирусов хороши и медийные сайты.

Безопасностью АСУ ТП до относительно недавнего времени вообще мало кто занимался, оттого даже продукты ведущих производителей — Siemens, Schneider Electric, Advantech, General Electric – полны «дыр». Исследователи Positive выяснили, что уязвимы примерно 10% из почти 150 тыс. компонентов АСУ ТП, «видимых» в Сети. Процент уязвимости в разных странах меняется не очень заметно (поскольку в большинстве своем компании используют продукцию одних и тех же вендоров), выделяется лишь Китай — там в Интернете присутствуют около 1000 устройств, но 700 из них могут быть с успехом атакованы через Сеть. Как особо отметили в Positive, лишь 14% уязвимостей исправляются в течение трех месяцев.

На подходе атаки на умные дома, которые будут обслуживать десятки устройств, об их защите никто пока особенно не думает.

Атаки на операторов связи тоже отличаются разнообразием: можно использовать уязвимости SIM-карт (проблемы найдены у 20% исследованных «симок»), можно взламывать 4G-модемы (не устояли 27 из 30 испытанных), уязвимо и операторское оборудование — как на уровне отдельной соты, так и в целом. Если получить доступ к сети SS7 (у нас она называется ОКС-7, «Общий канал сигнализации № 7»), связывающей операторов, то для злоумышленника вообще не останется никаких тайн относительно жизни заинтересовавшего его абонента.

В финансовом секторе дела обстоят не лучше: 78% исследованных систем дистанционного банковского обслуживания содержат критические уязвимости, 42% из них связаны непосредственно с ошибками разработчиков систем защиты. Критически опасные «дыры» найдены в 70% мобильных клиентов для Android и 50% — в iOS. Плюс к тому отсеки с банкоматами, в которых находится управляющие ими компьютеры, как правило, практически не защищены, а ведь, имея доступ к ним, дать команду на выдачу наличности — минутное дело.

С безопасностью медийных сайтов ситуация тоже печальная: 68% имеют высокорисковые уязвимости.

В целом поле деятельности приблизительно для 3 тыс. участников форума PHD совершенно необъятное, и большей частью даже непаханное. Программа форума, насколько это возможно, охватила упомянутые темы, и не только их.

В компании считают появление данного решения очень своевременным. Статистика, накопленная в Positive при работе с заказчиками, свидетельствует, что защищенный периметр 87% локальных вычислительных сетей уязвим для проникновения извне, и 61% корпоративных информационных систем может взломать даже не самый многоопытный хакер. Пентестеры (специалисты по тестированию ИТ-систем на проникновение, от англ. penetration testing. — Прим. ред.) из Positive убедились, что взлом сети предприятия занимает в среднем три-пять дней, при этом их действия были обнаружены службами безопасности компаний только в 2% случаев тестирования. И ни разу пентестерам не оказывалось организованное противодействие.

Как заявил директор по методологии и стандартизации Positive Дмитрий Кузнецов, такая удручающая статистика имеет свое объяснение: в большинстве российских организаций нет полного представления о собственных информационных активах, отсутствует понимание потенциальных угроз для них. И хотя во многих компаниях имеются специальные защитные средства, чаще всего факт взлома обнаруживается лишь после того, как злоумышленник сделал свое черное дело.

Для обнаружения этих «невидимых» атак рынок предлагает продукты отдельного класса — SIEM (Security Information and Event Management). Их основная задача – сбор данных от различных устройств и приложений предприятия и автоматическое выявление инцидентов. Но, как считают в Positive, на практике эффективность большинства продуктов SIEM остается низкой. Либо такие системы не целиком охватывают информационные ресурсы предприятия, либо у разработчика нет ясного представления о значимых признаках атак и продукт не способен эффективно выявлять их, либо продукт сконцентрирован на событиях безопасности и не может дать комплексной оценки уровня защищенности информационных ресурсов.

Заместитель генерального директора по развитию бизнеса Positive Борис Симис утверждает, что MaxPatrol SIEM лишен этих недостатков, потому что при его разработке использован уникальный опыт компании, полученный в ходе пятнадцатилетних исследований уязвимостей корпоративных ИТ-систем заказчиков (бизнес-приложений, банковских, телекоммуникационных систем и АСУ ТП).

В качестве базовой единицы ИТ-инфраструктуры предприятия MaxPatrol SIEM оперирует понятием «актив». К активам в Positive относят различные объекты: серверы, приложения, стационарные и мобильные устройства пользователей, сетевое оборудование, средства безопасности, а также ИТ-сервисы, в том числе облачные. Для идентификации и инвентаризации активов MaxPatrol SIEM использует широкий набор инструментов, обрабатывающих данные сетевого трафика, журналы событий, конфигурационные файлы, результаты работы сканеров и иных защитных систем. На основе этих данных MaxPatrol SIEM формирует древовидную модель активов, в которой указаны их конфигурации, уязвимости и связи. Модель позволяет произвольно группировать активы, визуально представляя всю топологию сети, и привязывать значимые события к активам.

Располагая данными об уязвимостях, топологии сети и корпоративном трафике, а также базой знаний Positive об актуальных угрозах и техниках атак, решение MaxPatrol SIEM автоматически генерирует правила корреляции событий. Это позволяет выявлять несанкционированные действия на самых ранних стадиях инцидентов и оперативно реагировать на них. По аналогии с механизмами Big Data в Positive называют свою методику Smart Data, замечая при этом, что в отличие от «классических» Больших Данных их продукт использует не весь информационный пул, а лишь определенный набор ресурсов.

В MaxPatrol SIEM имеется гибкий конструктор отчетности, используя который можно в наглядном виде представить самые разные сведения об уровне защищенности ИТ-системы предприятия. Разработчики подчеркивают, что продукт целиком спроектирован в России и поможет заказчикам на практике реализовать стратегию импортозамещения.

«MaxPatrol SIEM — это тот самый случай, когда импортозамещение не является очковтирательством. Продукт учитывает все требования регуляторов, ведь специалисты Positive участвуют в работе технических комитетов Росстандарта и рабочих групп ФСТЭК России, оказывая им экспертную помощь в формировании национальных требований безопасности. Вместе с тем предложенное решение учитывает сложившиеся в мире передовые практики и может на равных конкурировать с другими разработками на глобальном рынке», — заявил Симис.