Обработка инцидентов информационной безопасности

Внедрение и поддержка системы управления информацией и событиями безопасности

Проактивная защита от злоумышленников, которая позволяет замечать проникновения и моделировать потенциальные дальнейшие действия и предотвращать их до того как ущерб будет заметен.

Наша цель - сделать вашу ИТ-инфраструктуру непривлекательной мишенью для злоумышленников. Именно поэтому защита от iiii Tech руководствуется тремя фундаментальными принципами, которые формируют комплексный подход к безопасности:

Определить поверхность атаки
Уменьшить поверхность атаки
Увеличить стоимость атаки

Первичная настройка / работа с источниками (индивидуально)

1) Развёртывание инстанса (в облаке iiii Cloud) с объёмом ресурсов в зависимости от количества источников инцидентов

2) Установка Агентов на конечных точках (критичная инфраструктура: сервера, рабочие станции)

3) Получение и разбор логов с помощью агентов, через Syslog или иным способом, в результате заказчик получает инструкции для выполнения в каждом отдельном типе инцидента:

Срабатывание антивируса
Заблокировалось письмо
Появился новый администратор
и т.д.

4) Работа сервиса в штатном режиме
При любом событии каждого типа критичности - важно исполнение наших рекомендаций на стороне заказчика и обратная связь от заказчика.

Команда

Павел Яшин

Менеджер ИБ

Пётр Мазепа

Пресейл менеджер
petr.mazepa@iiii-tech.com

Фиксированная часть:
Стоимость источника инцидента - 1000 руб. (объём источников определяет заказчик)

Переменная часть:

Стоимость 1 человеко-часа работы Аналитика ИБ - 3 500 руб. (анализ инцидентов заказчика)
Стоимость 1 человеко-часа работы Менеджера ИБ - 4 000 руб. (подготовка отчётов для заказчика по текущему состоянию здоровья и управлению уязвимостями)

Цены указаны без учёта НДС

Истории успеха iiii Tech

Компания: Крупная производственная группа с несколькими площадками и распределённой ИТ-инфраструктурой: Windows-серверы, ERP-система, VPN для удалённых сотрудников и файловое хранилище.

Задача: После серии подозрительных входов через VPN компания поняла, что не имеет единого центра мониторинга ИБ-событий. События фиксировались разрозненно: часть логов находилась на серверах, часть — на сетевом оборудовании, а критичные инциденты обнаруживались слишком поздно. Бизнесу требовалось: 1) Организовать круглосуточный контроль критичной инфраструктуры 2) Сократить время обнаружения инцидентов 3) Выстроить понятный процесс реагирования между ИТ-командой и безопасностью.

Решение: Команда iiii Tech развернула отдельный инстанс системы мониторинга безопасности в облаке iiii Cloud и подключила: доменные контроллеры, файловые серверы, VPN-шлюзы, Firewall, рабочие станции сотрудников, Linux- и Windows-серверы.
Была проведена настройка агентов и декодеров под разные ОС и типы логов. Для каждого типа события сформировали инструкции реагирования:
появление нового администратора, массовые ошибки авторизации, подозрительная активность через VPN, попытки доступа к файловым ресурсам вне регламента.
Дополнительно специалисты iiii Tech помогли определить и сократить поверхность атаки: отключили неиспользуемые сервисы, ограничили административный доступ и пересмотрели правила VPN.

Результат: Через несколько недель после запуска SOC был выявлен компрометированный аккаунт подрядчика, через который злоумышленники пытались закрепиться внутри инфраструктуры. Благодаря оперативному уведомлению и заранее подготовленному сценарию реагирования доступ был заблокирован до распространения атаки.

Компания: Частная сеть медицинских центров с несколькими филиалами и большим количеством рабочих станций персонала.

Задача: После перехода части сотрудников на удалённую работу руководство столкнулось с ростом фишинговых атак и риском утечки персональных данных пациентов. При этом собственная ИТ-команда не могла круглосуточно отслеживать события безопасности.

Необходимо было:
- Контролировать события на рабочих станциях и почтовой инфраструктуре
- Быстро реагировать на угрозы
- Минимизировать влияние человеческого фактора

Решение: Специалисты iiii Tech внедрили сервис обработки инцидентов с режимом обслуживания 24×7. В мониторинг были включены: устройства сотрудников, почтовые сервисы, WAF, Firewall, серверы приложений и файловое хранилище. Была организована система корреляции событий и автоматических алертов по критичным инцидентам: срабатывание антивируса, блокировка вредоносных писем, подозрительные входы, аномальная активность пользователей. Для ИТ-службы заказчика подготовили регламенты действий и матрицу эскалации. Особое внимание уделили уменьшению поверхности атаки: ограничили права пользователей и усилили контроль удалённого доступа.

Результат: Уже в первый месяц сервис помог предотвратить распространение вредоносного вложения, отправленного сотрудникам через фишинговую рассылку. Алерт был зафиксирован системой, а ИТ-служба получила рекомендации по изоляции рабочих станций и проверке пользователей.

Компания: Онлайн-платформа в сфере электронной коммерции с высокой нагрузкой на веб-инфраструктуру и большим количеством внешних подключений.

Задача: Компания переодически сталкивалась с попытками сканирования периметра, атаками на веб-приложение и подозрительной активностью на Linux-серверах. При этом журналирование велось локально, а анализ инцидентов происходил вручную.

Требовалось: централизовать сбор логов, обеспечить мониторинг веб-периметра, оперативно выявлять признаки проникновения, повысить стоимость атаки для злоумышленников.

Решение: Команда iiii Tech подключила к системе обработки инцидентов: WAF, веб-серверы, Linux-инфраструктуру, VPN, Firewall и систему хранения логов. Были настроены правила корреляции событий и декодеры для Linux-источников. Отдельно реализовали мониторинг: подозрительных HTTP-запросов, изменений привилегий, попыток перебора паролей, аномальной активности внутри VPN.
В рамках проекта специалисты iiii Tech помогли определить слабые места инфраструктуры и внедрили дополнительные меры защиты: сегментацию доступа, ограничения административных подключений и усиленный контроль внешнего периметра.

Результат: Во время одной из попыток атаки система зафиксировала последовательность подозрительных действий: сканирование веб-приложения, попытки эксплуатации уязвимости и дальнейший подбор учётных данных. SOC оперативно уведомил команду, после чего были применены рекомендации по блокировке IP-адресов и усилению правил WAF.