83% компаний могут пропустить кибератаку из-за недостатков мониторинга инфраструктуры

Positive Technologies провела исследование источников событий информбезопасности в инфраструктуре компаний, с которым ознакомился Forbes. К таким источникам авторы относят средства защиты информации, службы каталогов Active Directory (используется в операционных системах Microsoft, одна из важнейших технологий в администрировании сетей), почтовые серверы, веб-журналы, операционные системы устройств.

Как следует из отчета, 8 из 10 опрошенных компаний могут пропустить кибератаку из-за недостатков мониторинга инфраструктуры. В среднем опрошенные компании отслеживают 65,5% всех источников событий. «Слепые зоны» в мониторинге остаются в 93% опрошенных Positive Technologies российских организаций, и только 7% компаний контролируют все источники событий в своей инфраструктуре. Из тех, кто мониторит только часть источников, 38% объяснили это тем, что их компаниям не хватает ресурсов, еще столько же респондентов «не видят в этом необходимости», а 24% объяснили отсутствие полного мониторинга слишком большим числом активов и огромным объемом неинформативного трафика.

В исследовании представлены компании из ключевых отраслей экономики. Большая часть опрошенных — представители IT-компаний (37%), которые оказывают услуги по мониторингу ИБ крупным организациям. Почти треть (28%) респондентов — представители госструктур. Финансовый сектор, нефтегазовую отрасль, телеком, медиа, фармацевтическую промышленность представляют 35% участников. Среди опрошенных более трети компаний (36%) имеют от 100 до 1000 источников мониторинга.

Исследование также показало, что у компаний нет единой методологии в вопросах подключения источников и определения степени их важности, констатируют в Positive Technologies. Большинство опрошенных отслеживают только критически важные источники, которые определяют самостоятельно. Уровень важности источника 36% респондентов оценивают исходя из степени влияния на бизнес-процессы, 31% ориентируются на положение источника в инфраструктуре, 18% оценивают этот критерий субъективно, ориентируясь на свой опыт.

Основной вывод — компаниям зачастую не на что ориентироваться при подключении источников для мониторинга, размышляет Анастасия Коннова, менеджер по продуктовому маркетингу MaxPatrol SIEM Positive Technologies: «Все инфраструктуры разные, и всегда следует учитывать специфику, но не хватает базовой, простой и понятной инструкции, какие объекты инфраструктуры и в каком порядке подключать к мониторингу». 

Впрочем, по мнению гендиректора Security Vision Руслана Рахметова, ключевым результатом можно считать мониторинг 65,5% всех источников событий: «Это неплохой показатель». Отслеживание событий ИБ абсолютно от всех источников событий не всегда целесообразно, продолжает он: с точки зрения кибербезопасности важно мониторить наиболее информативные и ценные источники данных, которые предоставляют информацию, пригодную для дальнейшей корреляции и формирования инцидентов ИБ в SIEM-системе (Security information and event management, система управления событиями безопасности).

«Можно предположить, что источники, которые не охвачены мониторингом, могут просто не поддерживать подключение к SIEM-системе, не умеют отправлять syslog-сообщения, не обладают функционалом экспорта событий, не поддерживают API-взаимодействие. Такими источниками могут быть, например, устаревшие самописные бизнес-приложения. Кроме того, многие SIEM-системы лицензируются по параметру обрабатываемых событий ИБ в секунду (EPS, events per second) — это означает, что не очень ценный источник данных будет «отнимать» EPS у более ценных источников, либо потребуется расширять лицензию, что сопряжено с финансовыми затратами», — рассуждает Рахметов.