Поделиться
Инфраструктура Курского МФЦ под защитой российского MaxPatrol SIEM
Усиление защиты цифрового пространства и обеспечение безопасности объектов КИИ является одной из приоритетных национальных задач. По данным управления Администрации президента России, 90% инфраструктуры госсектора подверглось кибератакам с февраля 2022 г., а количество DDoS-атак увеличилось в 20 раз.
Чтобы укрепить киберзащиту и выявлять атаки в режиме реального времени, МФЦ Курской области решили внедрить систему MaxPatrol SIEM с помощью инженеров компании Axoft, партнером проекта выступил ООО «Щит-СБ». Об этом CNews сообщили представители Axoft.
Перед МФЦ стояла задача – оперативно повысить уровень информационной безопасности, своевременно выявлять и реагировать на возможные атаки на информационные ресурсы. В учреждении ранее использовались отдельные средства контроля уязвимостей, которые не позволяли увидеть полную картину состояния защищенности инфраструктуры.
Для организации централизованного сбора, хранения и управления событиями, администрацией был сделан выбор в пользу MaxPatrol SIEM от Positive Technologies. Решение зарегистрировано в Едином реестре российских ПО и соответствует регуляторным требованиям заказчика. Система позволяет эффективно управлять ИБ-событиями, анализировать и определять аномальное поведение, а также работать с большим объемом данных и автоматизировать процесс с помощью продвинутых инструментов фильтрации и корреляции.
Внедрением и развертыванием системы занималась инженерная команда Axoft. Весь процесс проходил в три этапа.
На первом этапе инженеры разработали план интеграции SIEM. Для этого был составлен перечень источников в инфраструктуре, которые необходимо подключить: Система защиты конечных узлов; Операционные системы; Служба каталогов; Система VPN; Системы управления базами данных; Система виртуализации; Система защиты приложений; Система мониторинга сети; Система обнаружения вторжений; Система предотвращения утечек информации.
Также направлена документация техническим специалистам МФЦ. Важно, чтобы источники были корректно настроены теми специалистами, которые их эксплуатируют, от этого будет зависеть эффективность работы всей системы в дальнейшем. Параллельно разворачивалась компонентная база для средненагруженных систем.
Второй этап включает подключение источников событий, корреляцию и контроль поступающих инцидентов. Также настраиваются задачи аудита и, на основании полученных данных, формируются статические/динамические группы и виджеты для оперативного доступа к критичной информации. Этот блок является самым объемным и занимает до 90% времени от всего внедрения, так как есть много нюансов при работе с источниками, которые необходимо учитывать. Например, сетевые устройства в большинстве своем передают информацию по Syslog, который в свою очередь может отправлять данные в любом виде. Поэтому их нужно контролировать и следить, что нормализовалось, а что нет.
После того, как все источники были подключены, инженеры перешли к настройке правил корреляции правил. Из «коробки» у MaxPatrol SIEM достаточно широкий набор заданных правил. Поэтому необходимо было приоритизировать и применить только те, которые действительно необходимы. При запуске событий были ложные срабатывания, но это естественный процесс, так как правило еще не понимает инфраструктуру, такие случаи вовремя «отлавливались» и дорабатывались.
На заключительном этапе система была введена в эксплуатацию, инженеры проконтролировали, чтобы все работало корректно, а также провели обучение специалистов МФЦ по работе с системой.
Развертывание сертифицированной версии SIEM позволило, помимо стандартных задач по сбору логов и проведения аудита узлов, собрать информацию о «киберслабостях». Так, на нескольких критичных узлах были обнаружены уязвимости, которые могут привести к заражению вредоносными ПО WannaCry. Чтобы своевременно их отслеживать, инженер установил специальный виджет.
Систему разворачивали в сети VIPNet. Особенности пула адресов VIPNet, а также порядок доступа к базам хранилища не позволяют работать со стандартными настройками. Но совместно с командой технических специалистов вендора удалось оперативно решить эту проблему.
«В целом внедрение российской MaxPatrol SIEM прошло в штатном режиме. Команда инженеров Axoft осуществила разработку плана и последующее развертывание. Мы проводили как консультацию с точки зрения построение правильного процесса управления событиями, так и производили необходимые настройки на стороне SIEM. Были некоторые нюансы в адресации сети, но совместно с вендорской технической поддержкой Positive Technologies их удалось решить», - отметил Денис Фокин, руководитель отдела консалтинга и инженерной поддержки направления по информбезопасности компании Axoft
В итоге развертывание системы SIEM длилось около двух месяцев, удалось подключить 19 филиалов МФЦ по Курской области, общий объем источников, с которых собирали события составил около 1000 узлов.
«Команда Axoft в установленные сроки провела внедрение продукта, подключила все заявленные источники событий и обеспечила эффективное взаимодействие с заказчиком. За проектом был закреплен инженер, который помог настроить систему на высоком уровне. Планируем в дальнейшем продолжать сотрудничество с Axoft», - сказал Денис Гавриленко, генеральный директор ООО «Щит-СБ».
Короткая ссылка
