Обнаружение атак на АСУ ТП подходы, особенности и практический опыт.

0:00 Добрый день, большое спасибо, что пришли, я зовут Андрей Прошин. Я занимаюсь развитием направления информационной безопасности кибербезопасности в АСУ ТП, и сегодня я постараюсь поделиться с вами такими практическими вещами, с которыми мы столкнулись в тех. Инфраструктурах, которые мы защищаем, ну и постараюсь как можно больше практики. Наверное, рассказать буду, рад вопросам есть подарки тем. Кто будет активно себя вести в плане вопросов, поэтому, пожалуйста, не стесняйтесь, спрашивайте. Формат диалога всегда намного интересней.

0:34 И так тема обнаружения атак на Сут и П. По моему, это единственный доклад на эту тему на всей конференции. Мне кажется, не совсем правильно, что эта тема обделена вниманием, но я постараюсь раскрыть ее полноценно. И так, что мы сегодня рассмотрим, что его. Кабачами расскажу, да это типовые атаки на Сут и П. Общие подходы к обеспечению именно мониторинга безопасности. Просто, конечно, понятно, что в Сут ИП в кибербезопасности много других компонентов. Защита реагирование, в том числе мониторинг, остановимся. На 2 моментов достаточно подробно, это работа с логами, то есть событиями и работа с трафиком. Мы обсудим какие то общие вопросы, которыми сталкиваются компании на пути построения центров мониторинга для СутТП, кстати, небольшой такой опрос. Вы мне очень поможете, поднимите, пожалуйста, руки. Кто именно занимается кибербезопасностью, а кто? Но сначала, да кто занимается кибербезопасностью в зале, наверное, все, а кто занимается вот именно с УТП, то есть эксплуатацией, да спасибо, итак 1 о. Чем хотел сказать, это опять подсветить то, что действительно, а так становится больше. И ну вы все о них слышали, естественно. Да, это колониал Пайплайн самых последних, это вирусы, шифровальщики и так далее. Но что здесь важно знать, что вот, например? Количество уязвимостей, которое обнаруживается именно в промышленном оборудовании, оно растет. То есть с 2019 по 2020 это 50 она рост, то есть очень большой в абсолютных цифрах, это порядка 400 уязвимостей в 2020 году и 70 она, из которых это уровня хай. И уровня критиков, то есть действительно становится больше больше уязвимостей, это повышает те тут те вектора, а так. До которые используют злоумышленники для проникновения в технологические сети, при результатам опроса порядка 7 или компании только. Считают меры, которые приняты для защиты от Сут ИП достаточными, то есть огромное поле для деятельности. В этом плане еще существует и большой путь, мы должны пройти и наконец, что огромная активность сейчас несут вирусы, шифровальщики это связано. В том числе с деньгами, до которые киберпреступники получают в результате этих инцидентов, то есть вот 5000000. Заколонил пайплайн в криптовалюте долларах 4, ты5 100000 за атаку компании Брентэк тоже шифровальщики, ну и так далее, и так далее, а?

3:00 Как выглядит типовая атака, я его здесь рассмотрел на слайде. На примере атаки индостроя это хорошо описана известный задокументированный инцидент Атака, которая произошла на. Электрическую подстанцию на Украине в 2016 году достаточно далеко. Почему я здесь указываю, потому что принципы, которые были реализованы здесь? Мы сталкиваемся с ними и до сих пор основные этапы. Да, это проникновение через корпоративную сеть, то есть это все те же вещи, которые мы знаем.

3:28 По корпоративному сегменту, да это фишинг, флешки, работа подрядчиков, там и так далее, и так далее. До с Эплайджеем, в том числе и проникновением. И закрепления в корпоративной сети потом злоумышленники выясняют, какой узел подключен одновременно и в корпоративную сеть, и В. Промышленную в данном случае это был датах истории. Он сервер, который тоже оказывается взломанным, и злоумышленники проникают дальше потом. Проходит достаточно продолжительное время на выяснение того, что используется в технологической сети, это версии оборудования, версии прошив. Ну, программного обеспечения, прошивки и так далее, и так далее. На это уходит достаточно большое время с 1 стороны, это достаточно шумно, то есть. С точки зрения мониторинга это определить можно и нужно, но, с другой стороны, дает понимание злоумышленника о том, что дальше использовать. Какой вредоносный пол разрабатывать и так далее, но и следующий этап наконец нанесение ущерба, то есть уже попытка повлиять отправить? Нелегитимную команду или использовать уязвимость для взаимодействия именно с промышленным оборудованием, с контроллерами в частности?

4:32 Наш подход, который вот мы сейчас прорабатываем, разрабатываем, который я хотел вам рассказать, состоит из 4 основных этапах. В принципе, это в духе Сабер Секьюрити. Фрейворк в международном стандарте, которые как раз был создан для защиты АСОТ ИП для защиты промышленных сетей. В нашем понимании он состоит из 4 основных компонентов. Это знание или понимание до ваших активов рисков, угроз, слабых мест уязвимостей. Это защита, это классические, наложенные средства или внутренними средствами защита. АСУ ТП Мониторинг, то есть мы должны обнаруживать инциденты и нужно это делать и реагирование, то есть, ну, реагирование сдерживания потенциального инцидента.

5:18 Что еще хотел сказать, я сегодня не буду говорить про комплаенс. То есть просто 87 закон, да, но единственное, что вещь, которую хотел. Сказать, что функция и необходимость мониторинга, и информирования НКЦК и регулятора у тех инцидента, которые происходят в психологических. сетях, то есть это значимые объекты критической инфраструктуры и объекты, которым не присвоены категории значимости. Они прописаны в 282 приказе ФСБ и говорят о том, что для Зоки и для значимых. Это 8 часов на информирование, а для всех остальных это 24 часа.

5:53 И кстати, интересный момент, что вот после атаки на колонии Алпай Пойнт, который рассказывал вот 1 из таких экспертов мировых в области защиты от СТП Роберт Ли в компании Дрегас. Он, собственно, опубликовал потом рекомендации, которые включали в себя. Только 3 вещи то, что он рекомендует делать компанию. Да, для того чтобы такого рода инциденты не происходили, чтобы компании были готовы. Собственно, это рекомендации проведения киберучений, то есть, чтобы ваши службы, ваши Сибирь и оперативные центры. Были готовы к тому, что что то произойдет и что в этом случае делать 2. Это проведение аудита архитектурного, чтобы понимать ваше текущее состояние и что запланировать в плане защитных мер, организационных технически, чтобы такого рода инциденты. Предотвратить в дальнейшем и наконец с самого начала поставить эту сеть на мониторинг, то есть уже я потом про это расскажу. Вне зависимости от уровня зрелости до текущего статуса проекта по защите АСУ ТП Мониторинг можно реализовать уже с самого начала.

6:53 Главное условие, да и главное особенности до мониторинга технологических сетей, в отличие от корпоративного сегмента, к которому мы с вами привыкли, это. 2 Основные вещи на самом деле их больше, но давайте на 2 сфокусируемся. Это неинвазивный сбор данных, то есть наши системы мониторинга ни в коем случае. Не должны влиять на производительность, состояние, защищенность технологического процесса и так далее, и 2 это исключение управляющих воздействие, то есть. Какие бы системы мы не установили мониторинга или защиты, да они не должны иметь возможность посылать какие то команды или быть так называемым Джамп. Хостом для киберпреступников для распространения технологической сети именно в связи с этими 2 моментами мы существует 2 подхода к реализации. мониторинга 1 момент это на основе событий информационной безопасности. То есть мы собираем логи со всех узлов, потом тоже покажу, с каких и как это лучше. Делать и 2 момент, который дополняет и позволяет больше обнаружить это анализ сетевого трафика. То есть в 1 случае мы смотрим, что происходит на узлах? Какие там алерты идут да в другом случае видим трафик, то есть что реально передается от приложений до контроллеров, до серверов и так далее и так далее.

8:04 На Слайде представлена типовая схема, прошу строго не судить. Она слишком общая и слишком, наверное, упрощенная с левой стороны, то есть зеленым цветом. Это как раз технологические сегменты, начиная от контроллеров и заканчивая Армами. Операторов инженеров, серверами Скада прикладным, программным обеспечением и так далее и с правой стороны. Получается, это дополнительный сегмент сетевые, где могут быть средства защиты информации, а могут быть корпоративная инфраструктура? И в том числе интернет и удаленный доступ, и вот для того, чтобы полноценно видеть и обнаруживать инциденты в такого рода сетях. Этого там еще раз повторюсь, такая типовая энергосхема. Конечно, наверное, кто то мне возразит, что есть. Еще изолированная схема построения с отп архитектур тоже про них потом расскажу. И именно из нашего опыта, как мы это делаем, но здесь именно сеть, когда она технологически, когда подключена к каким то внешним сетям корпоративные К. Интернету, и вот, по нашему мнению, по нашему опыту нужно подключать в качестве источников логов. Вот все оборудование, которое изображено как с левой, так и с правой части. Начиная от контроллеров сетевого оборудования Армов прикладного. Программного обеспечения и так далее по той простой причине, что даже если мы получили какую то информацию с контроллера, что уже что то там не то происходит. Нелегитимная команда, да или у останов включение там запуск дополнительного? Сервиса это с 1 стороны может быть уже достаточно поздно, но, с другой стороны, в некоторых случаях, когда происходит исследование, сканирование сети. Когда киберпреступник хочет понять, что же там используется и как мы дальше это атаковать? И в своих интересах использовать все это даст нам дополнительные сигналы для того, что что то происходит. Не так нужно посмотреть, это перспективно другие события и обнаружить действие этого злоумышленника или этой группировки.

10:04 По поводу ПЛК не часто это раньше, наверное, использовалась и на самом деле. Вызывает много вопросов, а что то можно определить, недостаточно ли это будет поздно и так далее. Но на самом деле с контроллеров здесь нужно сделать оговорку, что очень много зависит от версии от модели. Контроллера, да то есть что он может логировать, потому что старая версия, которая тоже достаточно часто до сих пор присутствует в инфраструктурах. Может быть, без какого то апгрейда обновления, но там не. Будет просто тех событий, которые нам нужно и подключать. Наверное, в этом случае эти источники будет бесполезно. Но для современных версий, собственно, там большое количество информации, которое нам как. Секьюрити оперативный центр с вами. Да, может помочь, что то обнаружить это событие аутентификации, то есть кто залогинился. В какое время, с какого хоста это отключение включение сервисов, то есть на контроллере? Тоже есть дополнительные сервисы, которые можно поднять там для обмена файлами, например, новых версий. Прошивок это запуск там ФТП, а что ТП ТФ ТП и других версий? Это изменение состояния контроллера РАН Стоп. До включить, выключить изменения прошивки. То есть, если вдруг какая, то прошивка попадает, нужно быть уверенным, что она действительно была и легитимно. Туда отправлена, что она нормальная, и это не действия. Киберпреступников загрузка нового проекта и конфигурации и подключение новых устройств. Ну бывают же вот эти внешние модули, да для подключения для дополнительных портов. Собственно, это же дает нам сигнал. О том, что к сети, к технологической сети, которая обычно является очень статичной, подключается какое то новое оборудование. И может быть, это дополнительный сигнал для того, что что то происходит, не так?

11:48 Ну, по нашему опыту мы проводили такого рода внедрения для оборудования шнайдер для оборудования Сименс. Собственно, вот все вот эти события были там видны в том или ином виде, да и. Можно было по ним какие то корреляции делать с точки зрения работы Виндс. Ну, мы рекомендуем использовать в индус Ивен Коллектор, то есть это век, да так называемый или увив механизм. Который позволяет собирать логи с Винды, но для того, чтобы собирать полноценно, нужно установить туда СИСМО Драйвер, который, собственно, будет логировать очень много до различных. Событий безопасности, которые нам важны с точки зрения корреляции, определение инцидентов. Этот метод можно назвать неинвазивным или малоинвазивным, это дополнительный дополнительный. Дополнительный сервис Майкрософта, который работает поверх виндовс. Вот на слайде на картинке точнее приведены замеры, до которые мы делали вот на базе Майкрософт Виндовс 2019 с. Установленным Сисмоном я вот выделил красным цветом, красным квадратиком. И это нагрузка, которую Сисмон генерила во время атаки, то есть атака была загрузка бесфайлового метр претора. Который, собственно, может загружать вредоносный контент, управлять рабочей станцией и так далее. То есть это гибрид какую то нагрузку с точки зрения логов на систему она отправляет? Больше и вот в этом случае здесь поместилось только си пи ю. Да, но поверьте, там и остальные параметры тоже невелики. То есть, Си Пи используется на 0 27 она от обычной производительности?

13:27 И То, что позволяет определять сисмон вот у нас порядка 200 сценариев детектирования, которые благодаря вот этим дополнительным логам, которые мы получаем сармов и серверов, которые обычно построены на Виндовс, но, конечно. Бывают варианты, Линукс, я здесь просто рассматриваю именно вариант с выносом, благодаря которым этим сценариям могут быть определены вредоносная программа обеспечения. Шифровальщики те же какие то типовые атаки. На Виндс инфраструктуру и хакерские утилиты типа коммуникации того же и всего остального, что может добить логин и пароля. То есть это открывает возможность для огромного количества сценариев и еще раз обращу? Внимание, что это не требует средств защиты информации, которых достаточно тяжело может быть внедрить и так далее. Это позволяет уже мониторить и обеспечивать определенный уровень защищенности, а СУП с самого начала.

14:17 С этим. Мы разделили все свои сценарии на 4 категории, мы понимаем, что у разных, ну вот разные заказчики на разном уровне находится своего проекта по. Защите Кии или по защите АСУ ТП и вот начальный уровень позволяет вот в самом уже на самом 1 этапе определить, что какая то аномалия или сетевая. Атака или атака на СутП и психологическая сеть происходит всего лишь для этого. Нужно подключить армы серверы сетевой оборудование, то есть. Это в принципе есть везде, следующий уровень это стандартный. Мы его называем смысл в том, что кто то уже реализовал, или это там планируется. Да, это подключение средств защиты информации, такие как межсетевые краны, система обнаружения вторжений. Опять обращу внимание, что это именно. Индустриальная версия до этих решений средства антивирусной защиты, контроль привилегированных пользователей и так далее, это естественно. Дает намного больше информации секьюрити Апперэйшн центр с точки зрения того. Ну что там происходит, какие инциденты атаки есть следующий? Уровень продвинутый, да мы его назвали. Это как раз подключение промышленного оборудования, контроллеров на самом деле их можно комбинировать, да? То есть изначально можно объединиться с продвинутым? Просто это связано с тем, что не все АСУ ТП, ну или технологические сети имеют возможность. Алогирования, да это каждый раз такой кастомизированный немножко подход. То есть нужно провести аудит, посмотреть, какие возможности у текущей? Системы, ну и, собственно, настроить там коннектор в терминологии съем. Для того чтобы он эти данные получал, нормализовал, обрабатывал и так далее. И наконец полный уровень, это уже логи прикладного программное обеспечение. То, что, собственно, установлено на серверах Скада на инженерных. Автоматированных рабочих местах и так далее. То есть она на самом деле тоже генерирует большое количество событий, которые имеют ценность для? информационной безопасности это, например, изменение параметров проекта какого то, да это, ну, короче, говорят, все дает еще большего контроль и. Больше понимания того, что вас у в данный момент происходит, что то странное и неправильное. И вот обратите внимание внизу, приведены 5 уровней. Киберпреступников, на котором можно разделить, наверное, всех до всех злоумышленников, всех киберпреступников, которые ну работают, присутствуют.

16:37 В мире и вот для того, чтобы именно определить самое важное, а вот самое важное для значимых объектов КИ, это вот 5 и 4 категория. Да, то есть, которые надолго остаются в инфраструктуре, постараются как. Можно более незаметно себя вести, это именно вот продвинутый и полный уровень. То есть если мы получаем, то есть, чтобы их определить, нам нужно как можно больше данных собрать, к сожалению, они там с.

17:01 Используют там Зиру, да и свои, да они пытаются там быть ниже радара. Определение таких там количество срабатывания и так далее чем больше. Информации мы получаем, тем больше вероятность их на каком то этапе атаки обнаружить и, соответственно, выкинуть, выбросить из из нашей сети. Вопрос. На Умка у меня 2 вопроса по продвинутому уровню вот изменение критического параметра в конфигурации оборудования. Это будет прям строка влоги, что атрибуты у вас, Ченч, или, как и 2 вопрос. Про контрольные суммы опять это какой то параметр, который считается файл конфигурации оборудования, какой то эталон, от которого идет изменение. Вот про это подробнее можете рассказать?

17:52 Да, Кирилл, спасибо большое за вопросы по поводу изменения критичного параметра. Я, как сказал, что далеко не все оборудование, там это поддерживает, а на самом деле определение изменения критичного. Параметра превышение его до какой то границы обычно происходит по анализу трафика. Вы абсолютно верно заметили, что с контроллера достаточно сложно определить, наверное, если неправильно это. Внес да, но этот параметр именно ну мы проводили опрос вот на сок форме, в том числе какой параметр интересен именно технологам и метрологам о том, что ну с точки зрения безопасности, что в их. сетях происходит вот как раз ответ, было было бы интересно смотреть. Превышение каких то определенных параметров технологического процесса, когда он выходит там за за нормальные рамки, да вот и. Собственно, пока что вот у нас это реализовано на базе системы обнаружения вторжения. То есть, когда она видит теги по тегам то, что передается технологически идти и реагирует на то, что если это. Значение превысило какую то определенную границу. По моему мне скриншот с Дашборном был так, а про контрольные суммы, то есть для есть возможность через контроллер получить тот образ, ну в смысле. Информацию о том образе, который на него загружается и, собственно, потом вас сравнивать. С какой то эталонной базой, то есть для каждой асу ТП можно составить эталонную базу, то есть какие прошивки. Разрешены и какие там не разрешены. Они по умолчанию, то они не войдут и сравнить с этой базой на предмет на предмет соответствия или нет. Вот надеюсь, ответил на ваш вопрос спасибо большое.

19:23 Так анализ сетевого трафика, то есть это, как вы помните. 2 Компонент Кирилл, про который затронул с темой превышения пороговых значений. Собственно, эта тема обнаружения вторжений, которая. Все, про которую слышали много раз, собственно, они работают с копией трафика. То есть это же неинвазивный способ мониторинга на следующем слайде? Вам покажу схему интеграции, то есть опять. Таки выполняется 2 условия, это неинвазивность и отсутствие управляющих воздействий на от ИП. Они стоят как бы рядом с съемом из технологической сетью, работают с копией трафика и видит. Умеет разбирать промышленные протоколы, видеть вот том числе теги, которые там передаются видеть их аномалии, разбирать их и сигнализировать. Съем о том, что происходит, что то не так. Но как типовой пример, наверное, это отклонение, от какого то профиля, то есть такого рода система. Они строят профиль типовой о том, как работает технологическая сеть, если вдруг появляются. Дополнительные сетевые соединения, то в этом случае это будет Уорнинг или Алерт или инцидент, который система сгенерирован. И более того, она строит на актуальную карту сети, то есть. Показывает, что с чем взаимодействует, как узлы подключены. Какие узлы есть сети, какие у них версии операционных систем, то есть точки зрения инвентаризации с точки зрения работы секьюрити? Аналитика, до который будет эти инциденты разбирать, он сразу на схеме видит. Что же там происходило не так и, собственно, это может использовать для ускорения работы над инцидентом?

20:57 Вот на схеме приведен пример вот такого рода решения. Может быть, применено именно в изолированной среде, то есть это, когда технологическая сеть не подключена никаким внешним сетям такой немножко. Может быть, нестандартный, что ли, случай? Но тем не менее в такого рода решениях применения систем обнаружения вторжения прямо очень хорошо работает, как все это происходит в технологической сети С. Коммутаторов снимается спан, да, а копия трафика и в одностороннем порядке через диод данных передается в сторону системы обнаружения вторжения, которая стоит вне этого технологического сегмента опять таки. Выполяет эти 2 функции, про которые я говорил неинвазивность, то есть мы никак не влияем и отсутствие управляющих воздействий. Кто бы там не получил доступ на этот сенсор, он не может через односторонний. Шлюз чисто физически проникнуть в технологическую сеть, но тем не менее мы видим все данные, все весь обмен трафика. Мы можем на основе этого видеть, что что происходит, там новые, не знаю система. Подключилась или там при привычно критичный параметр и другие события, которые можно по трафику определить. Все это идет в Сием, который тоже стоит вне технологического сегмента и уходит, собственно. В сок в данном случае в Джей сок, но на самом деле это не это не суть важно. Да что еще помимо технической разграничения важно это разграничение зон ответственности, то есть метрологи, технологи. Эксплуатация АСОТ ИП отвечает за работоспособность технологического сегмента, информационная безопасность отвечает за управление съемом и средствами защиты. И они, как будут разделены, здесь достаточно. Удачно на уровне зон ответственности, то есть в данном случае безопасником для того, чтобы контролировать, что там происходит, не обязательно там иметь какой то доступ в защищенную технологическую сеть.

22:52 Да, Вопрос был, забираем ли мы Слэер 2 или Слэер 3? Мы забираем с коммутаторов, то есть получается от нарды Лэер 2 с. Очень хороший вопрос, нет, в данном случае нет. То есть здесь именно спанец трафик между верхним уровнем, то есть армами, серверами и контроллерами, то есть. Какой обмен идет между ними то с точки зрения взаимодействия между контроллерами и там датчиками, какими то полевыми устройствами в данном случае это? Не мониториться не собирается, наверное, это потенциально можно, как, наверное, следующий этап развития рассматривать, но по факту именно ценность точки. зрения безопасность, но, во всяком случае, вот на данном этапе, наверное, имеет именно вот этот верхний уровень взаимодействия, надеюсь, ответил наш вопрос.

23:46 Да, конечно. А ну это решение не наше, да это решение партнерские. То есть есть, компании в России не буду рекламировать, которые занимаются такого рода решениями? У них линейка, собственно, под любую производительность. То есть в зависимости от того, какую ну сколько трафика нужно собирать, то есть это опять все замеряется. На этапе предпроектного обследования и, собственно, можно подобрать необходимую модель на сенсоры.

24:19 Угу. Хороший вопрос, а в смысле это 1 коммутатор у вас. Ну, я боюсь ошибиться, но по моему с каждого коммутатора берется трафик. Если у вас там гигабит, то, собственно, вам нужно быть это сенсор на гигабит. Обнаружение в тестовом графике неизвестно и поэтому мы и со сказочной. Да я, наверное, угу. Угу, я, наверное, повторю вопрос для интернета, да? По поводу тегов, то есть, определяет ли система сенсор именно изменения тех тестов, которые мы заранее туда занесли или может еще определять, какие то неизвестные ранее ранее не появившиеся итоги хороший вопрос. 1 Вариант точно, то есть можно сесть, задать определенные параметры. В этом случае он будет смотреть превышение во всех остальных. Он их видит, но по моему не будет на них реагировать, если мы это не настроим.

25:40 Хороший вопрос, давайте. Я уточню вам, потом отдельно отвечу. Спасибо большое за вопросы, я вот хотел какую тему поднять часто компании. Но вот у многих да есть действительно значимый объект такие или которые не присвоены. Категории значимости, но тем не менее их как то нужно мониторить. Вот у каких то компаний уже существует корпоративный срок, у кого то его нет, но они хотят. Решить задачу соответствия законодательству. Вот как вы считаете, то есть если смысл создавать какой то отдельный секьюрити Апперэйшн центр, то есть команду? Тузы инструменты, экспертизу для промышленного сока, и нужно это объединять. Вот поднимите, пожалуйста, руки, кто считает, что отдельный вариант правильный и.

26:25 Так, 1 человек, спасибо, а кто считается тогда, что нужно объединять, то есть функции корпоративного и промышленного, да спасибо большое. Коллеги спрашивают про бюджет. Вот мое мнение, что на самом деле действительно нужно объединять. То есть в связи с тем, что есть те инциденты, которые действительно происходят они? Распространяются корпоративных сетей, и штука в том, что если мы построим только промышленный сок, будем только технологическую сеть мониторить. Мы можем увидеть атаку достаточно поздно. У нас будет меньше времени на реагирование, и + у нас будет больше потенциально этих проникновений в. Технологическую сеть, поэтому, конечно, лучше их объединять, однако ряд компаний все равно идут вот по разному пути, то есть я знаю примеры, когда. Это объединяли, я знаю примерно, когда это делают раздельно. То есть это тот, в принципе, случай рабочий, но мы рекомендуем именно объединению и. Собственно, по тем причинам, которые сказал 2 вопрос, мы не знаю наш свободность, кто то хочет прокомментировать. Вот, с вашей точки зрения, нужна ли? Какая то дополнительная экспертиза специалистам секьюрити Апперэйшн центр, то есть кто будет работать с инцидентами? Да то есть кому пришел Алерт. От системы обнаружения вторжения той или как бы достаточно общих знаний в кибербезопасности. Как вы считаете, Виктор можете прокомментировать?

27:53 Добрый день, коллега, гардерофиктор, начальник отдела на ломка. Ну, на мой взгляд, дополнительные знания вас и ТП обязательно нужны экспертам по информационному безопасности. Потому что я сам с этим столкнулся в свое время, когда приезжаешь к осушникам и. Начинаешь им рисовать красивые картины, где будет там коннектор и где какие сенсоры, и они начинают накидывать своими технологическими терминами. Если ты в этом не разбираешься, если ты не разбираешься, как происходит технологический процесс и не выходишь? На тот уровень разговора с осушниками то навряд ли что то получится. То есть здесь обязательно необходимо погружение специфику ада? Да, Виктор, спасибо большое, вот мы тоже абсолютно с тем же столкнулись, что достаточно сложно мониторить и там. Информировать заказчика о тех инцидентах, которые происходят, не разговариваю. Ну, не понимаю специфики, не разговаривать с ним на 1 языке, поэтому вот мы для себя проводим. Ну, у нас вот вы, наверное, слышали там киберучение, да есть такое решение киберполигон. Собственно, и вот получать знания и экспертизу на основе тех, какие возможно атаки и как нужно с ними работать. Вот, собственно, на базе него мы и обучаемся в этом плане. То есть, ну вот именно экспертиза, да то есть это не просто секьюрити аналитик. Который работает с корпоративными инцидентами, да? У него должны быть дополнительные знания технологического процесса архитектуры, сетей до про промышленных для того, чтобы правильно реагировать на эти инциденты. И наконец тоже вопрос часто с этим? Сталкавы сталкиваются, не буду открытым открытым делать это. Собственно, выбор работа с провайдером или, собственно, секьюрити Апперэйшн. Центр опять таки этот вопрос, наверное, не связан чисто с Асот ИП мониторингом или с корпоративной сетью, он, наверное, такой общий. Вот сколько в наших проектах мы каждый раз делаем технико экономическое обоснование. Да, то есть мы сравниваем разные модели владений секьюрити, оперейшн центром, и вот в 90, ты случаях. Модель именно провайдерская, ну как бы всегда выигрывает, вот и не.

30:01 За счет экспертизы людей то есть, ну и инструментов, то есть принципе все вот эти затраты. Я, к сожалению, не вижу, кто вопрос, вопрос был связан с тем, за счет чего выигрывает. Модель работы с провайдером от экспертизы, от количества человек, от Тулзов, которые нужны. То есть все это требует затрат, если все эти затраты сложить, а часто сравнивают просто?

30:28 Допустим, будет 4 человека где нибудь там. Не знаю, найти, как то они будут работать, неважно, что они там потом перейдут, уйдут, их нужно. Обучать и так далее, потом купим съем и как нибудь настроим. И в принципе не все затраты закладывает, у нас вот есть своя методология. По которой мы это, то готовим техникко экономическое обоснование. Если у кого то есть интерес, можем и для вашей компании подготовить такого рода, и мы достаточно открыто это делаем. То есть все методологи, что мы заложили, почему это так все это там присутствует?

31:04 Если ну какую либо методику посоветуете по оценке, то есть эффективности средств защиты с точки зрения экономической безопасности. Потратили там столько то. Угу. Ага, так я попробую вопрос сформулировать тогда. Для тех, кто нас удаленно слушает, то есть если какая, то методика оценки эффективности средств защиты информации, которые. У нас есть отдельная работа. Не знаю, может, многие знают, у нас сотрудник Ян Сухих работает. Он очень давно в этой теме, у него есть своя научная работа на тему анализа рисков. То есть если вы это больше в тему анализа рисков, то есть оценить такие риски для именно промышленных сетей, для промышленных производства В. Плане денег, то вот есть свои методологии, которые мы тоже используем в консалтинговых проектах, которые позволяют понять, там стоит такое. Техническое средство внедрять для того там риска или нужно сфокусироваться на чем то другом? Если вам интересно, можно вот поподробнее на эту тему.

32:19 Хорошо. Ну вот, я, к сожалению, не могу подробно комментировать. Если интересно, можно потом подробнее над тем поговорить с коллегами, коллеги были еще вопросы у. А у вас сначала были? Да, Конечно, зависит, то есть размер компании и размер той инфраструктуры, которую мы защищаем. Сказывается и на лицензиях на программобеспечения на количестве человек, потому что в принципе ну объем инфраструктуры сказывается на количестве алертов, с которыми нужно. Будет работать это все трудозатраты, трудозатраты, вклады вкладываются в количество людей и так далее, и так далее, то есть все они. Конечно, взаимоувязаны, мы анализируем и как бы сколб мониторинга, да и переводим это в расчет для каждого конкретного проекта компании.

33:23 Вот вопрос транслирую на тему того, что зависит ли вывод технологического обоснования о сервисной модели или о собственной от размера компании. Вот по нашему опыту мы и с очень крупными компаниями работаем и со средним сегментом. Вот я говорю, в 95%, случаях всегда выгоднее сервисная модель, причем мы это делаем там на 5 лет, рассчитан, то есть такой долгосрочная вещь. Так пожалуйста. Добрый день, коллеги Степан Ляхов НЛМК, вопрос при вы упомянули на 1 из предыдущих слайдов, что у вас порядка 200 сценариев детекта и реагирования. Вопрос будет у меня несколько развернутый, когда.

34:13 Выполняется разработка контента и сценариев реагирования на сработке по этому контенту. Какой, собственно, матрицы или классификации, а так или уязвимостей вы используетесь, почему возник? Такой вопрос мы ориентируемся просто на матрицу Майтра и смотрим на матрицу Индастриал Сайбер Секьюрити. Однако некоторые техники, сап, техники и даже, ну и конкретные инструменты. Могут пересекаться при этом буквально только что вы с Виктором пояснили, что есть нюансы, связанные с архитектурой, с нюанс технологическими процессами. Скажите, вот Джей сок, он. Комбинирует эти матрицы или выделяет контент отдельно для технологического сегмента в отдельную матрицу. И какими критериями вы руководствовались, когда принимали такое решение?

35:10 Спасибо большое за вопрос, очень такой подробный, зрелый. Видимо, вы с этим ну тоже активно сталкивайтесь. Мы расцениваем это как отдельный набор сценариев, и мы тоже используем. Майтра, но это некий путь, который нужно пройти, мы пока еще. Ну, мы тоже используем это Россия для СС Стим и, ну просто пока, может быть, это не финализировали, на какой то.

35:43 Да нет, нет, используется матрица Айсиэс, которая вот буквально сколько там. Несколько месяцев назад в начале года она была. Или в конце того года, ну короче, да очень свежую, да мы мы ориентируемся на нее, коллеги. У вас был вопрос еще. При выявлении инцидента. Как вы реагируете, да если инцидент и подозрение на свет происходит именно в технологической сети? Да, Кто несет ответственность за принятие таких решений? Спасибо большое, хороший вопрос я повторю тоже, что по поводу реагирования в технологических сетях, кто несет ответственность за него и как. Вообще это происходит процесс, мы разделяем в данном случае процесс мониторинга детектирования и реагирования. То есть реагирование остается на стороне заказчика, то есть мы пока предоставляем.

36:42 Действия, алгоритм действия, что произошло и что нужно сделать по шагам? Ну как бы эти шаги, и это в зоне ответственности заказчика именно прореагировать, выполнить эти действия либо запросить дополнительные данные. И так далее, но мы постоянно на связи, да и но если какие то вопросы возникают, мы стараемся на них ответить. Да ну да обогатить, да ну короче предоставить дополнительную информацию, ответил, пожалуйста, еще вопрос.

37:18 Установленный на Оказывать какое то влияние негативное может быть какими то примерами вообще. Негативных примеров у меня нет, примеры только позитивные. То есть вопрос был связан с Сисмоном, есть какие то негативное влияние на технологическую? Сеть на Арма и Сервера, да где это все, может быть, установлено. Нет, нету, вот мы проводили тестирование, да я, к сожалению, только 1 слайд. Добавил, не знаю, вы увидели, да, собственно, минимальное воздействие даже при нагрузке с слогами. То есть мы смотрели при атаке без атаки и сколько? Нагружает Сисмон, систему Си ПИ, Ю. Жесткий диск, оперативную память и опции, и так далее. Да и, собственно, вот по результатам этих исследований.

38:03 Этого теста нагрузка была минимальной, то есть, ну и более того, мы это на самом деле используем у там, где, ну, там, где подключен мониторинг, да, пожалуйста. Для того чтобы грамотно реагировать, компании придется все равно связать экспертов, которые могут правильно реагировать по вашим. Инструкции кому то другому придется принимать решения. Экспертов нужно держать, которые будут. Сложно эксперта вырастить, ну то есть ему вообще развиваться, если он не понимает, на что ему реагировать, то есть здесь как то.

39:07 Да, угу, а? То есть вам вопрос опять по поводу реагирования? То, что экспертиза на стороне заказчика, да кто будет применять действия по реагированию, все равно должна быть и достаточно высокого уровня. Ну, мне сложно с этим не согласиться. Действительно, даже вот в наших случаях мы как бы и говорим, что на каждой площадке должен быть специалист по реагированию на тот или иной инцидент.

39:35 С точки зрения экспертизы, ну та должна быть. Вы не высказанный человек компании не вырастет, если он не. Окей, если можно, я ваш вопрос больше как комментарий оставлю, так у нас еще есть время колени. Хорошо, хорошо, у нас еще есть время, Антон, да еще 1 вопрос. Еще раз совсем добрый день вопрос проводил Ли. Может быть, какое то внутреннее исследование Джи Сок по следующему вопросу. Различается ли во 1 ну различает и повышает ли приоритет кейсов из за технологического сегмента Джей Джей Сок по сравнению с бизнес сегментом? Если мы говорим об 1 компании, и это 1 вопрос, то есть вышли. Скоринг для тех сегмента и чем для бизнес сегмента в рамках 1 компании и 2 вопрос, насколько есть ли различия между сл и решением инцидента в технологическом сегменте и бизнес сегменте и если да, то.

40:53 Если какие то метрики, позволяющие понять, что это, то есть, если разница есть, то это нормально или какая разница будет нормальной или же ее не не должно быть. Так сложные вопросы по поводу сл в технологических сетях и в корпоративных. Это 2 был. Собственно, высылые мы ориентируемся именно на законодательство. Да, то есть мы в определенное время должны информировать НКЦки о тех инцидентах, которые были обнаружены, то есть вот это. Наши слои для корпоративных сетей, по моему он у нас бы жестче. Пока что то есть в в плане критичности инцидента и так далее. Пока пока вот, наверное, вот так отвечу, 2 вопрос был по поводу.

41:47 На него вопрос был в том, если разница есть насколько сколько она большая и какую за эти деньги. Хороший вопрос. Ну пока что вот, ну, короче говоря, нужно стремиться до к корпоративным слм, но просто это не так быстро происходит. То есть это некий путь, который нужно пройти коллеги? Я вот еще хотел мне помощь, 1 Слайд был, да вот выводы я пропущу. В принципе, уже них достаточно подробно обсудили. Я вот хотел по обратной связи поговорить, да и по.

42:35 СМ, в том числе и по Дашборду, короче говоря, то есть вот на сок форуме. Мы как раз спрашивали, да какие параметры наиболее интересны и безопасникам в технологических сегментах и. Самим людям, специалистам, которые работают в технологических сегментах, вот и, собственно, основные моменты здесь были, это учет офтайма. То есть интересно было бы смотреть простое? Оборудование в технологической сети, которое в результате кибер инцидентов могут происходить это превышение критичных параметров, это инвентаризационные данные о том, какое. Оборудование там подключено, какие версии и так далее и смотреть уязвимости, и вот, собственно, мы реализовали Дашборд. Кстати, вот у нас на стенде вы можете подойти и посмотреть. Там есть даже борт по корпоративному, это у нас пока прототип. Я вам показываю, как вот фактически, но не 1, конечно, но 1 из 1 собственно вот эта система, которая работает. Действительно, на мониторе технологической сети и определяет все вот эти параметры, собственно, достаточно интерактивно. Мы его показывали на конференции Шнайдер Электрик, которая вот. Недавно была, собственно, очень позитивный фидбэк, что действительно вот эти параметры, а и там были именно технологи. Интересно смотреть из этой статистики, поэтому большое спасибо. Вам за подробные вопросы из за Фидбэк, который вы даете? Мы вот не пропускаем мимо ушей, мы с ним работаем и стараемся все это реализовать в том виде, каком хотят наши заказчики.

44:09 В технологических сетях, да еще вопрос. Волошин Владимир позитив. Можно вкратце рассказать, как вы меряете простое и выявляются ли причины этих простоев или они никак не различают? Спасибо, спасибо, большое за вопрос. Именно простой меряются несколькими путями, то есть 1 путь это с контроллеров, то есть сами контроллеры генерируют логи старт стоп. Это самое простое, что можно понять 2 это недоступность логов, то есть. По какой то причине нам эти логи могли не дойти, да и если мы? Ну, есть стандартный сценарий, который говорит о том, что какие то ну устройство перестало выдавать логи свои до событий безопасности, это. Тоже фиксируется и время, когда они появились, когда они были недоступны, тоже добавляется, может быть, добавлено и 3 момент. Это на систему обнаружения вторжения, да то есть, если трафик или в трафике. Что то обнаружено там типа с, ну какие то команды или вдруг перестал идти те же логи да или обмен трафиком перестал, перестал ходить? В какой то момент это все тоже в этом параметре может учитываться?

45:25 Может быть, может, какой то сервис отвалился? Да то есть логирование, например, да, да, да, в том случае, да? Коллеги, ну с моей стороны все большое спасибо за активное участие. Надеюсь, было интересно, и у меня есть 2 подарка, как я обещал. За самых активных участников вопроса, кто то задал вопросы.

45:57 Так было так много вопросов, что если что я забыл, так давайте я вам, наверное, подарю. Футболка, спасибо вам, так и кому еще и и вам, наверное, подарю, да спасибо большое. С моей стороны все буду рад видеть вас на стенде. Если какие то вопросы остались или что, то нужно. Вот стоит сейчас, не смог, на какие то вопросы ответить. Подходите, пожалуйста, буду рад пообщаться и обсудить хорошего всем дня.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.