В компании Positive Technologies сообщили о выпуске новой, четвертой версии системы выявления инцидентов информационной безопасности MaxPatrol SIEM (Security Information and Event Management), работающей в реальном времени, сопроводив это сообщение заявлением о намерении занять лидирующие позиции в сегменте SIEM российского ИТ-рынка.

В настоящее время заметен рост интереса отечественных заказчиков к качеству и функциональности средств защиты информационных систем предприятий; причина такого интереса — лавинообразное увеличение числа киберугроз и непрерывным совершенствованием их возможностей.

В Positive Technologies, по словам Максима Филиgпова, директора по развитию бизнеса компании в России, решения SIEM создаются на основе унифицированной платформы, позволяющей «нанизывать» на нее различные технологии.

Одна из наиболее важных новинок MaxPatrol SIEM 4.0, по мнению разработчиков, — регулярное автоматизированное включение в систему алгоритмов, позволяющих выявлять сложные нетипичные атаки. Такие алгоритмы предоставляют фактически в распоряжение пользователей компетенции сотрудников Positive, специализирующихся на обнаружении инцидентов информационной безопасности.

Наборы правил и рекомендаций, формируемые экспертным центром безопасности PT Expert Security Center, объединяются в «пакеты экспертизы» и передаются в базу знаний Positive Technologies Knowledge Base. В конкретных применениях MaxPatrol SIEM такие пакеты могут применяться по усмотрению пользователей. Новые пакеты будут предоставляться заказчикам каждые два месяца, обещают в Positive, а к концу года, как ожидают, — ежемесячно. В случаях же глобальных кибератак, как WannaCry или NotPetya, предусмотрен их оперативный выпуск.

Среди других новых свойств MaxPatrol SIEM – увеличение объема автоматически пополняемых сведений об ИТ-активах, к которым добавились, в том числе, данные о программном и аппаратном обеспечении информационных ресурсов, операционных системах, обновлениях и конфигурациях инфраструктуры; развитие функциональности встроенного компонента Network Sensor, используемого для анализа трафика, в который теперь входит база сигнатур, необходимых для детектирования вредоносного кода.

Модуль PT Security Intelligence Portal, созданнный «в результате тесного сотрудничества с ключевыми клиентами и предоставляющий возможность выстроить диалог службы информационной безопасности и бизнеса», как утверждается, позволит руководству компаний оценить результативность усилий в области информационной безопасности и определить наличие ресурсов для достижения поставленных целей.

Наряду с этим, сообщается об упрощении процесса установки MaxPatrol SIEM 4.0 и сокращения числа действий, необходимых для развертывания системы.

По данным исследования, проведенного аналитиками IDC по заказу Positive Technologies, тройку SIEM-решений, наиболее широко используемых в нашей стране, составляют IBM Qradar, MaxPatrol SIEM и HPE ArcSight. На долю каждой из этих систем приходится приблизительно по четверти данного сегмента рынка (в 2015 году в Positive оценивали свою долю рынка в 10%). В IDC отмечают, что системы трех этих производителей занимают первые места в различных рыночных нишах.

Результаты исследования свидетельствуют также об удовлетворенности почти 70% респондентов эффективностью применяемой ими системы SIEM в выявлении инцидентов. Среди же основных причин недовольства называются зависимость SIEM от экспертов, необходимость слишком больших вложений во внедрение и постоянную поддержку системы, неспособность обнаруживать новые угрозы до возникновения инцидентов. Тем не менее, практически все респонденты (97%) заявили о намерении продолжить применение SIEM.

В Positive Technologies считают, что решение компании развивается в соответствии с такими рекомендациями IDC к функциональности SIEM, как более оперативное выявление инцидентов и снижение потребности в обслуживании системы высококвалифицированными экспертами.

Основными стимулами развития SIEM-бизнеса в компании называют реальные инциденты, требования регуляторов и импортозамещение, рассчитывая на растущий интерес к этим системам и низкий пока еще их уровень проникновения в России (15%, согласно IDC).

Среди факторов, характеризующих состояние своего SIEM-бизнеса, в Positive Technologies называют заметный рост числа пилотных и завершенных проектов, а также количества проектов, выполненных партнерами компании.

В прошлом году продажи MaxPatrol SIEM продемонстрировали, по данным компании, почти двукратный рост. В 2018-м намечено увеличить продажи более чем в четыре раза, что позволит, утверждают в Positive, стать лидером в данном сегменте российского ИТ-рынка.

Полномасштабное внедрение MaxPatrol SIEM оценивается не менее чем в 10 млн руб., а внедрение программно-аппаратного комплекса MaxPatrol SIEM Limited Edition, адаптированного к защите ИТ-инфраструктур небольших организаций, – в 5 млн.

Однако успешное внедрение и эффективное использование SIEM, поясняют в IDC, не только существенно повышает уровень безопасности, но и в долгосрочной перспективе способствует снижению затрат и на информационную безопасность, и на ИТ в целом.

17 мая на конференции Positive Hack Days руководство Positive Technologies объявило итоги первых продаж и планы развития системы сбора и анализа событий информационной безопасности MaxPatrol SIEM (Security Information and Event Management).

Этот продукт был впервые представлен год назад. Как сообщил директор Positive по развитию бизнеса в России Максим Филиппов, готовясь вывести на рынок MaxPatrol SIEM, маркетологи разработали масштабную кампанию по его продвижению. Но необходимость в ней отпала, потому что уже в течение первых двух недель после показа MaxPatrol SIEM целевой аудитории поступило 62 запроса на выполнение пилотных проектов с новой системой.

Старт продукта оказался очень успешным — в течение 2015 года было реализовано 15 коммерческих проектов на сумму 180 млн руб. (стоимость проектов Positive указывает в ценах для заказчиков, по итогам года сама компания заработала на проектах SIEM примерно 100 млн руб. — А.Е.). В число пользователей новой системы, как отмечают ее разработчики, входят правительство Санкт-Петербурга, «Россети», Минтранс, Минобороны и др.

По оценкам специалистов Positive, динамичный старт позволил компании занять 10% российского рынка SIEM, где до сих пор преобладали решения зарубежных вендоров — IBM QRadar, HP ArcSight, McAfee Nitro, RSA enVision.

Кроме того, на базе MaxPatrol SIEM развернут 51 пилотный проект, из которых 26 уже завершены, а 25 находятся в процессе реализации.

Отказавшись от агрессивного рыночного продвижения первой версии MaxPatrol SIEM, в Positive сфокусировались на совершенствовании продукта – необходимость в этом, естественно, проявилась в ходе пилотных проектов.

Важные исправления и дополнения, внесенные разработчиками в продукт, стали мотивом для появления его второй версии. В компании подчеркивают, что данную версию отличают упрощенный подход к формированию корреляционных правил, а также расширенные возможности по расследованию инцидентов, основанному на ретроспективном мониторинге состояния всех активов ИТ-инфраструктуры. Это позволяет значительно сократить число ложных срабатываний системы при работе с большими объемами данных.

В Positive рассчитывают, что в 2016 году на вторую версию MaxPatrol SIEM поступит 60 заявок на выполнение пилотных проектов и более 35 коммерческих заказов, это позволит компании заработать на новом продукте около 500 млн руб. Весь российский рынок SIEM этого года в Positive оценивают в 2,2 млрд руб. и прогнозируют, что в 2017-м и 2018 году он вырастет соответственно до 2,6 млрд и 3,2 млрд руб.

«В 2017 году мы планируем начать продвижение продукта в Европе, где рассчитываем на первые продажи. А задача на 2018 год — стать лидером российского рынка SIEM с собственным оборотом 1,8 млрд руб.», — заявил Филиппов.

Достижению поставленных целей должны способствовать российское происхождение продукта, наличие сертификатов на него от Минобороны и ФСТЭК, а также детальный план развития MaxPatrol SIEM – компания готова объявить клиентам, когда появятся новые релизы продукта и какие новые функции будут в них включены.

В частности, объявлено, что в июле 2016 года будет выпущен тринадцатый релиз MaxPatrol SIEM, в котором появятся расширенные возможности для формирования расписания сканирования и генерации отчетов, улучшены инструменты для работы с топологией сети, а также запущен механизм облачного обновления данных об уязвимостях. В 14-м релизе (его выход намечен на сентябрь) появится возможность глубокой настройки отчетности. А в декабре планируется выпустить релиз 15, в нем будет обеспечена автоматическая генерация правил корреляции на основе векторов атак и другие полезные обновления.

В компании считают появление данного решения очень своевременным. Статистика, накопленная в Positive при работе с заказчиками, свидетельствует, что защищенный периметр 87% локальных вычислительных сетей уязвим для проникновения извне, и 61% корпоративных информационных систем может взломать даже не самый многоопытный хакер. Пентестеры (специалисты по тестированию ИТ-систем на проникновение, от англ. penetration testing. — Прим. ред.) из Positive убедились, что взлом сети предприятия занимает в среднем три-пять дней, при этом их действия были обнаружены службами безопасности компаний только в 2% случаев тестирования. И ни разу пентестерам не оказывалось организованное противодействие.

Как заявил директор по методологии и стандартизации Positive Дмитрий Кузнецов, такая удручающая статистика имеет свое объяснение: в большинстве российских организаций нет полного представления о собственных информационных активах, отсутствует понимание потенциальных угроз для них. И хотя во многих компаниях имеются специальные защитные средства, чаще всего факт взлома обнаруживается лишь после того, как злоумышленник сделал свое черное дело.

Для обнаружения этих «невидимых» атак рынок предлагает продукты отдельного класса — SIEM (Security Information and Event Management). Их основная задача – сбор данных от различных устройств и приложений предприятия и автоматическое выявление инцидентов. Но, как считают в Positive, на практике эффективность большинства продуктов SIEM остается низкой. Либо такие системы не целиком охватывают информационные ресурсы предприятия, либо у разработчика нет ясного представления о значимых признаках атак и продукт не способен эффективно выявлять их, либо продукт сконцентрирован на событиях безопасности и не может дать комплексной оценки уровня защищенности информационных ресурсов.

Заместитель генерального директора по развитию бизнеса Positive Борис Симис утверждает, что MaxPatrol SIEM лишен этих недостатков, потому что при его разработке использован уникальный опыт компании, полученный в ходе пятнадцатилетних исследований уязвимостей корпоративных ИТ-систем заказчиков (бизнес-приложений, банковских, телекоммуникационных систем и АСУ ТП).

В качестве базовой единицы ИТ-инфраструктуры предприятия MaxPatrol SIEM оперирует понятием «актив». К активам в Positive относят различные объекты: серверы, приложения, стационарные и мобильные устройства пользователей, сетевое оборудование, средства безопасности, а также ИТ-сервисы, в том числе облачные. Для идентификации и инвентаризации активов MaxPatrol SIEM использует широкий набор инструментов, обрабатывающих данные сетевого трафика, журналы событий, конфигурационные файлы, результаты работы сканеров и иных защитных систем. На основе этих данных MaxPatrol SIEM формирует древовидную модель активов, в которой указаны их конфигурации, уязвимости и связи. Модель позволяет произвольно группировать активы, визуально представляя всю топологию сети, и привязывать значимые события к активам.

Располагая данными об уязвимостях, топологии сети и корпоративном трафике, а также базой знаний Positive об актуальных угрозах и техниках атак, решение MaxPatrol SIEM автоматически генерирует правила корреляции событий. Это позволяет выявлять несанкционированные действия на самых ранних стадиях инцидентов и оперативно реагировать на них. По аналогии с механизмами Big Data в Positive называют свою методику Smart Data, замечая при этом, что в отличие от «классических» Больших Данных их продукт использует не весь информационный пул, а лишь определенный набор ресурсов.

В MaxPatrol SIEM имеется гибкий конструктор отчетности, используя который можно в наглядном виде представить самые разные сведения об уровне защищенности ИТ-системы предприятия. Разработчики подчеркивают, что продукт целиком спроектирован в России и поможет заказчикам на практике реализовать стратегию импортозамещения.

«MaxPatrol SIEM — это тот самый случай, когда импортозамещение не является очковтирательством. Продукт учитывает все требования регуляторов, ведь специалисты Positive участвуют в работе технических комитетов Росстандарта и рабочих групп ФСТЭК России, оказывая им экспертную помощь в формировании национальных требований безопасности. Вместе с тем предложенное решение учитывает сложившиеся в мире передовые практики и может на равных конкурировать с другими разработками на глобальном рынке», — заявил Симис.

14 ноября в Нижнем Новгороде сотрудниками компании была продемонстрирована работа «первой линии» коммерческого центра мониторинга инцидентов безопасности Jet Security Operation Center (см. также «Спорные вопросы информационной безопасности », Computerworld Россия, № 16, 2014).

JSOC, который обеспечивает оперативное реагирование на события, способные привести к серьезным проблемам в области безопасности информационных систем его клиентов, введен в действие весной 2013 года. Основная часть его инфраструктуры, включающей продукты HP, IBM, NetApp, Cisco, размещена в центре обработки данных «Инфосистем Джет», резервная площадка находится в здании компании.

Соответствие инженерных систем ЦОД требованиям Uptime Institute Tier III, а также использование технологий высокой доступности в ИТ-комплексе, обеспечивают, по данным компании, уровень готовности JSOC, отвечающий показателю 99,8%. Инфраструктура JSOC имеет сертификат соответствия спецификациям стандарта PCI DSS. В качестве системы SIEM (Security Information and Event Management) используется программный комплекс HP ArcSight. Инвестиции в проект составляют более 4 млн долл.

«Первым нашим клиентом была крупная компания, передавшая нам обслуживание и поддержку системы SIEM. Тогда же еще в одной компании, работающей в области ретейла, хотели получить сервис реагирования на инциденты без приобретения для этого специального оборудования и покупки программных лицензий», — сообщил Владимир Дрюков, руководитель направления аутсорсинга информационной безопасности компании «Инфосистемы Джет».

В настоящее время JSOC предоставляет дистанционные услуги 13 организациям, в том числе банкам, включая «Лето Банк» и Уральский банк реконструкции и развития, финансовым компаниям и розничным сетям.

Подготовка к работе с новым клиентом, по словам Дрюкова, требует от двух недель до полутора месяцев после заключения договора. В состав предоставляемых сервисов входят контроль требований регуляторов, мониторинг исполнения политик безопасности, поддержка безопасности инфраструктуры, контроль контрагентов, защита бизнес-приложений и ряд других услуг.

Задачи первичной обработки сообщений об инцидентах, а также о событиях в системах клиентов, решаются соответственно специалистами групп разбора инцидентов и администрирования, которые находятся в Нижнем Новгороде. На размещение служб «первой линии» именно в этом городе оказали влияние такие факторы, как наличие вузов, где есть соответствующие специализации, а также развитая ИТ-среда.

Специалисты «вторых линий» располагаются в Москве; в наиболее сложных случаях дополнительно привлекаются аналитики и администраторы информационной безопасности.

В JSOC ежедневно регистрируется около полутора сотен инцидентов информационной безопасности, причем 80% из них – в дневное время. Большая же часть направленных атак фиксируется в период от восьми вечера до девяти утра, когда, как полагают их организаторы, менее вероятно противодействие персонала соответствующих служб.

По статистике JSOC, в течение первого месяца работы выявляется около десятка инцидентов несанкционированного доступа в системы клиентов, не менее пяти утечек конфиденциальной информации, до десяти нарушений политики доступа в Интернет, а также непрофильное использование технологических учетных записей.

Предусмотрены несколько типов соглашений о качестве обслуживания (Service Level Agreement). К примеру, для SLA с наилучшими параметрами сервиса время обнаружения критичных инцидентов не превышает 10 минут, время их базовой диагностики и информирования заказчика с предоставлением определенной договором аналитической справки — 20 минут, выдачи рекомендаций по противодействию – 45 минут.

«Контроль за SLA в любом случае остается на первой линии», — подчеркнул Алексей Кривоногов, руководитель нижегородской группы мониторинга и администрирования. В настоящее время выполнения договоров SLA оценивается показателем 97,9%.

Однако наиболее важным, по мнению Дрюкова, является не только соблюдение формальных показателей качества обслуживания, но и обеспечивающая доверие заказчиков организация всего процесса взаимодействия с ними и работы с их системами.

По результатам 2013 года аутсорсинг и JSOC вошли в тройку наиболее быстрорастущих направлений бизнеса «Инфосистем Джет» в области информационной безопасности. На долю JSOC здесь приходится около 5% доходов, и, как ожидают, этот показатель должен возрасти в следующем году в три раза. Ожидается также, что в 2015 году число клиентов JSOC увеличится почти вдвое.