Solar JSOC

Основные статьи:

• Межсетевой экран (Firewall)
• DLP - Data Loss / Leak Prevention - Технологии предотвращения утечек конфиденциальной информации
• Fraud Detection System (фрод, система обнаружения мошенничества)

Solar JSOC - коммерческий центр мониторинга и реагирования на инциденты ИБ, набор сервисов ИБ для противодействия современным угрозам.

Сервисная модель ИБ

Solar JSOC провайдер сервисов безопасности (MSSP):

• выявление, реагирование и расследование инцидентов в круглосуточном режиме;
• анализ и приоритизация уязвимостей как элементов базовой инфраструктуры, так и кода бизнес-приложений;
• отражение целевых APT-атак;
• обнаружение зараженных хостов сети таргетированным вредоносным ПО
• защита веб-приложений в том числе от DDoS.

Сервис по мониторингу инцидентов начал работать в 2013 году. В штате Solar JSOC более 30 специалистов дежурной смены, аналитиков и экспертов, которые обрабатывают за год более 75 тыс. событий с подозрением на инциденты.Российский рынок облачных ИБ-сервисов только формируется 2.3 т

На всех этапах мониторинга и реагирования на инциденты ИБ обеспечивается защита клиентских данных. Обеспечение безопасности реализовано как на физическом, так и на информационном уровне с помощью средств разграничения доступа, аудита работы специалистов Solar JSOC, контроля целостности и защиты данных при передаче. Solar JSOC сертифицирован по требованиям PCI DSS.

Оргструктура JSOC (2015)

Функции Solar JSOC

• мониторинг инцидентов, работающий 24х7 для мониторинга и реагирования на внутренние угрозы и атаки киберпреступности. Позволяет получить сервис с гарантированным SLA – от долговременного хранения событий ИБ до расследования инцидентов, выявленных с помощью корреляционных правил. При этом мониторинг инцидентов уровня приложений и пользователей основывается на анализе бизнес-процессов и информации о целевых атаках от ведущих лабораторий ИБ России.
• контроль защищенности, выявляющий и приоритезирующий уязвимости, исходя из их уровня рисков, инфраструктуры, наличия актуальных систем безопасности и компенсационных мер защиты. Также с помощью услуги «JSOC – контроль защищенности» проводится периодическая проверка на наличие следов работы или экземпляров вредоносного ПО, не выявляемого антивирусными средствами.
• анти-DDoS, надежно защищающий от атак на доступность сервисов и приложений. Услуга предоставляется на базе лидирующих решений в сегменте рынка защиты от DDoS.
• защита от киберпреступности, основанная на оперативных данных об актуальных угрозах и целевых атаках. Услуга дает возможность вовремя принять ответные меры: заблокировать скомпрометированные учетные записи, проверить инфраструктуру на наличие целевого вредоносного ПО, провести анализ атаки и вернуть информационные системы в прежнее состояние.
• администрирование систем безопасности, представляющее собой классический аутсорсинг обслуживания множества решений ИБ для высвобождения собственных ресурсов компаний-клиентов для новых задач и проектов.
• анализ кода приложений, помогающий выстроить полноценный процесс выявления и устранения уязвимостей перед запуском систем собственной или заказной разработки в эксплуатацию.
• защита веб-приложений, организованная как сервис с предоставлением WAF и услуг по его эксплуатации в виде подписки. Такой подход исключает необходимость обработки трафика вне сети клиента, а оперативная настройка сигнатур под блокирование неизвестных типов веб-атак дает возможность противостоять угрозам на ранних этапах.

2023

Выпуск дешифратора для шифровальщика HardBit

Киберпреступная группировка HardBit, ранее атаковавшая страны Запада с помощью одноименной программы-шифровальщика, была замечена за попыткой вымогательства у российской организации. Эксперты центра расследования киберинцидентов Solar JSOC CERT компании «РТК-Солар» провели анализ образцов всех версий HardBit и нашли способ расшифровать файлы. Об этом компания сообщила 7 сентября 2023 года. Подробнее здесь.

Присоединение создателей сервиса ETHIC к команде центра Solar JSOC

Команда создателей ETHIC – российского сервиса класса Digital Risk Protection (DRP) – перешла из компании Infosecurity (входит в ГК Softline) в «Ростелеком-Солар», присоединившись к команде центра противодействия кибератакам Solar JSOC. Об этом представители компании сообщили TAdviser 9 февраля 2023 года. Объединенная группа из более чем 20 экспертов уже готовит к запуску обновленный и значительно дополненный сервис обнаружения внешних цифровых угроз. Подробнее здесь.

Запуск SIEM «Лаборатории Касперского» для оказания сервисов по мониторингу и реагированию на кибератаки

Для оказания сервисов по мониторингу и реагированию на кибератаки «Ростелеком-Солар» запустил в работу SIEM-платформу Kaspersky Unified Monitoring and Analysis Platform (KUMA). Она позволяет централизованно собирать, анализировать и проводить корреляцию событий кибербезопасности из различных источников данных для оперативного выявления и предотвращения киберинцидентов. Об этом 20 января 2023 года сообщили в Лаборатории Касперского.

Иллюстрация:youtube.com

Один из ключевых инструментов SOC — SIEM-система. При этом «Ростелеком-Солар» традиционно стремится предоставить клиентам возможность выбора платформы под их задачи. Весной 2022 года в компании приняли решение дополнить сервисный портфель платформой KUMA, высоко оценив гибкость архитектуры, возможность принимать и обрабатывать большие потоки данных и понятный процесс миграции с других решений. Кроме того, продукт поддерживает широкий перечень коробочных коннекторов к типовым источникам логов. Важную роль в процессе внедрения сыграла готовность «Лаборатории Касперского» оперативно доработать функционал продукта согласно строгим требованиям Solar JSOC и актуальным запросам рынка. Все эти факторы позволили почти в два раза ускорить интеграцию и запуск сервиса: полный цикл занял всего 4 месяца.

Опыт Solar JSOC может быть полезен тем компаниям, которым необходимо осуществить миграцию с иностранных решений. Чтобы сделать этот процесс комфортным, заказчики могут обратиться к сервис-провайдерам, которые оказывают услуги мониторинга и консалтинга в области SOC. Сервис на базе KUMA поможет оперативно обеспечить защиту инфраструктуры благодаря передаче ряда функций внешним специалистам.

У «Лаборатории Касперского» и «Ростелеком-Солар» серьёзные планы относительно тесной совместной работы для повышения уровня защиты компаний на российском рынке. Компания учитывает требования Solar JSOC, основанные на реальном опыте мониторинга многочисленных клиентов. Это позволило развивать KUMA с пониманием реальных потребностей заказчика ― не просто соответствовать тенденциям рынка, а решать актуальные задачи, прокомментировал Илья Маркелов, руководитель направления развития единой корпоративной платформы «Лаборатории Касперского».

Внедряя вторую SIEM, комапния была заинтересована в сохранении качества сервиса. И это удалось благодаря наличию в SIEM-системе максимально гибкого функционала по разработке корреляционных правил, подключению источников событий, возможностям интеграции с внешними системами. Также была отмечена лёгкость и прозрачность миграции с решениями зарубежных вендоров, в том числе за счёт схожих подходов в архитектуре и использования единого формата событий. Кроме того, коллеги из «Лаборатории Касперского» проявили персонализированный подход и оперативно учитывали потребности и пожелания в развитии продукта. В итоге доработанная версия KUMA по эффективности соответствует уровню решений того же класса от зарубежных вендоров, отметил Максим Жевнерев, руководитель отдела развития технологий и перспективных услуг SOC в «Ростелеком-Солар».

2022

Выделение услуги «Экстренное реагирование на инциденты»

«Ростелеком-Солар» выделил в портфеле сервисов реагирования услугу «Экстренное реагирование на инциденты». Заполненная на сайте заявка обрабатывается менее 30 минут, а услуга оказывается день в день с учетом критичности инцидента. Сервис предоставляется экспертами центра расследования киберинцидентов Solar JSOC CERT в режиме 24/7 как имеющимся, так и новым заказчикам. Об этом сообщила компания «Ростелеком-Солар» 14 ноября 2022 года.

Начиная с февраля 2022 г. количество массовых кибератак на российские организации возросло в сотни раз по сравнению с 2021 г., в то же время число серьезных целевых атак на объекты госуправления и КИИ увеличилось в 4–5 раз. На этом фоне стремительно повысилась потребность компаний в расследовании и реагировании на киберинциденты. Так, всего за 4 месяца (с марта по июнь 2022 г.) эксперты Solar JSOC CERT реализовали больше проектов по реагированию, чем за весь 2021 г. В 80% случаев требовалась оперативная блокировка развивающейся атаки. При этом среди заказчиков оказывались организации самых разных отраслей и уровня зрелости ИБ: госсектора, энергетики, промышленности, финансового сектора, сельского хозяйства, телекома, ритейла и др. Существенно отличался и уровень атакующих – от начинающих хактивистов до иностранных проправительственных группировок.

В инфраструктурах многих российских компаний годами копились уязвимости, о которых компания и другие эксперты рынка ИБ говорили неоднократно. К сожалению, территория нашей страны фактически превратилась в большое поле для хакерских экспериментов по политическим мотивам, и эта ситуация коснулась даже тех компаний, которые до объявления СВО были неинтересны злоумышленникам и считали, что «могут себе позволить» незакрытые дыры безопасности. Они пересматривают свой подход к ИБ, но на проработку и внедрение защитных мер требуется время, а атаки происходят здесь. Компания выделила в составе сервисов экстренное реагирование – своего рода скорую ИБ-помощь, доступную в день обращения по запросу через сайт, прокомментировал руководитель центра расследования киберинцидентов Solar JSOC CERT компании «Ростелеком-Солар», Игорь Залевский.

Для получения услуги достаточно заполнить небольшую форму обращения на сайте, указав тип инцидента (подозрение на компрометацию, утечка информации, взлом публичных сервисов, шифрование данных и др.). Договорные обязательства будут оформляться параллельно в ускоренном режиме. Сервис экстренного реагирования включает локализацию инцидента, изоляцию скомпрометированных ресурсов, координирование ИБ-службы заказчика в устранении последствий атаки, а также рекомендации по предотвращению подобных инцидентов в будущем.

Сервис предоставляется только на базе собственной инфраструктуры заказчика и не распространяется на арендованные облачные ресурсы. При необходимости более детального выявления причин инцидента или для поиска других возможных точек присутствия злоумышленника в инфраструктуре для заказчиков по-прежнему доступна комплексная услуга расследования и реагирования на инциденты.

Доступность услуги на базе Security Vision Incident Response Platform

Клиенты «Ростелеком-Солар» смогут автоматизировать процесс реагирования на киберинциденты с помощью решения компании Security Vision. Услуга на базе Security Vision Incident Response Platform (IRP/SOAR) уже доступна всем заказчикам центра противодействия кибератакам Solar JSOC. Об этом 6 июля 2022 года сообщила компания «Ростелеком-Солар». Подробнее здесь.

Дополнение базы Threat Intelligence данными «Доктор Веб»

«Ростелеком-Солар» и «Доктор Веб» заключили соглашение о совместном противодействии компьютерным атакам. Компании будут делиться аналитикой и статистикой об актуальных киберугрозах, а также обнаруженными индикаторами компрометации (IOC). Партнерство предполагает и обмен опытом в рамках рабочих групп. Такое взаимодействие поможет обеим компаниям более эффективно и оперативно выявлять компьютерные атаки и ликвидировать их последствия. Об этом «Ростелеком-Солар» сообщил 16 марта 2022 года.

Ежегодно количество киберинцидентов увеличивается. В частности, по данным «Ростелеком-Солар», за 2021 год на треть выросло число атак со стороны профессиональных злоумышленников. При этом они постоянно совершенствуют техники и тактики, повышают сложность логики работы ВПО, быстрее находят и эксплуатируют уязвимости. Ботнеты также становятся нарастающей угрозой для компаний. Так, осенью 2021 года был обнаружен самый масштабный ботнет Meris, в который на тот момент входило 200 тыс. устройств, и которой стал причиной DDoS-атаки на «Яндекс» и ряд других крупных компаний.

В рамках партнерства «Ростелеком-Солар» и «Доктор Веб» планируют обмениваться информацией о скомпрометированных хостах и хостах в составах ботнетов, обнаруженных попытках проведения атак на различные информационные ресурсы и рассылке вредоносного ПО. Эти данные дополнят существующие источники Threat Intelligence и повысят эффективность расследований, проводимых специалистами центра противодействия кибератакам Solar JSOC. А для «Доктор Веб» особенно ценными являются данные о профиле атак, 0-day-вредоносах, эксплойтах, через которые распространяются вредоносы, и действующих ботнетах – все это существенно дополнит имеющуюся базу вендора.

Это сотрудничество позволит экспертным знаниям, которыми обладают специалисты наших компаний, гармонично дополнить друг друга. Вирусная лаборатория «Доктор Веб» располагает наработанными методиками обнаружения полного спектра киберугроз, эти методики непрерывно совершенствуются и в связке с экспертизой «Ростелеком-Солар» должны послужить значительному усилению противодействия кибератакам, – отметила Евгения Хамракулова, руководитель направления технологических партнерств компании «Доктор Веб».

Действительно, на фоне нарастающей опасности в кибермире крайне важно объединять усилия всего ИБ-сообщества, иначе выстроить эффективную защиту как госорганизаций, так и частных компаний будет невозможно. Партнерство с «Доктор Веб», безусловно, усилит экспертизу нашего центра противодействия кибератакам. При этом Solar JSOC постоянно расширяет источники данных об актуальных ИБ-угрозах. Это и собственная ежедневно обновляемая база индикаторов и знаний о новых угрозах (Threat Intelligence), и информация с сети сенсоров и ханипотов по всей стране, и результаты проведенных пентестов, и данные от сторонних SOC и CERT, вендоров и регуляторов», — пояснил директор по развитию бизнеса центра противодействия кибератакам Solar JSOC компании «Ростелеком-Солар» Алексей Павлов.

Возможность для клиентов контролировать работу всех сервисов в едином личном кабинете

Клиенты «Ростелеком-Солар» теперь могут контролировать подключенные сервисы центра противодействия кибератакам Solar JSOC в режиме единого окна. Об этом компания сообщила 27 января 2022 года. Личный кабинет, реализованный в виде веб-интерфейса, позволяет в любой момент получить данные о подключенной к мониторингу инфраструктуре, запущенных сценариях и другие подробности взаимодействия с Solar JSOC. Это делает работу сервисов более прозрачной для клиента, а его штатные ИБ-специалисты получают возможность более оперативно анализировать инциденты. Личный кабинет уже доступен всем действующим и новым клиентам «Ростелеком-Солар».

Раньше подключенные к сервисам Solar JSOC организации либо получали уведомления об инцидентах (т.е. тикеты) в почте и могли связаться с провайдером по телефону, либо тикеты направлялись напрямую в IRP-систему клиента. Однако компаний, у которых есть своя IRP, пока единицы.

Основная задача личного кабинета – сделать процесс управления сервисами Solar JSOC максимально прозрачным и понятным для клиентов. Поэтому на этапе проработки концепции мы проанализировали запрос рынка, обратную связь по различным прототипам и создали удобный интерфейс для непрерывного контроля параметров сервиса и дальнейшего взаимодействия с командой мониторинга. Это значительно повышает качество оказания услуг, удобство и прозрачность использования сервиса, а также позволяет увидеть реальный уровень киберзащиты инфраструктуры и повысить оперативность реагирования на инциденты, − пояснил директор по развитию бизнеса центра противодействия кибератакам Solar JSOC компании «Ростелеком-Солар» Алексей Павлов.

Среди ключевых функций личного кабинета – возможность оперативно получать подробную информацию о всех событиях, зафиксированных на инфраструктуре компании, их статусах (легитимная активность, подтвержденный инцидент или ложное срабатывание) и видеть, откуда идут атаки на компанию. Клиент также может создать собственное обращение к провайдеру, если какая-то активность в его инфраструктуре кажется подозрительной.

Кроме этого, список тикетов можно отфильтровать, задав необходимые параметры или ключевые слова. Интерфейс позволяет осуществлять поиск по телу оповещения, статусу, типу сценария. Таким образом, пользователь может увидеть перечень всех инцидентов и выявить слабые места на ИТ-периметре, типовые проблемы, наиболее актуальные и частые киберугрозы. А руководители ИТ- и ИБ-служб смогут контролировать работу с тикетами со стороны своих подчиненных, например, насколько быстро последние реагируют на сообщения и не пропускают ли оповещения от сервис-провайдера.

Через личный кабинет клиент всегда может проверить данные о своей инфраструктуре (площадки, ИТ-активы, подсети), подключенные к мониторингу источники и динамику их изменений. А также уточнить, какие сценарии выявления киберинцидентов запущены в данный момент и какие доступны исходя из особенностей компании. Наконец, пользователь может в любой момент уточнить основные параметры договора на услуги, найти контакты всех ответственных на стороне сервис-провайдера, оценить запас лицензий в рамках текущего контракта и т.п.

В ближайшее время функционал личного кабинета будет расширяться. В частности, к нему будут подключены все сервисы кибербезопасности «Ростелеком-Солар», добавлены дополнительные компоненты сервиса мониторинга и реагирования на инциденты (IRP, EDR, NTA по модели SaaS), а пользователи начнут получать дайджест актуальных новостей о ИБ и оповещения о киберугрозах.

2021

Открытие филиала Solar JSOC в Ростове-на-Дону

Компания «Ростелеком-Солар» открыла в Ростове-на-Дону филиал коммерческого центра противодействия кибератакам Solar JSOC. Региональное подразделение обеспечит киберзащиту организаций Южного и Северо-Кавказского федерального округов (ЮФО и СКФО), а также ряда крупных федеральных заказчиков. На ноябрь 2021 года работу филиала обеспечивают свыше 40 аналитиков и инженеров, отвечающих за мониторинг киберинцидентов и эксплуатацию средств защиты информации. Об этом Ростелеком сообщил 18 ноября 2021 года.

Вопросы кибербезопасности для бизнеса с каждым годом становятся все актуальнее. Компании терпят убытки от действий злоумышленников или конкурентов, или просто из-за беспечности сотрудников. Solar JSOC в Ростове-на-Дону будет отвечать за безопасность всех региональных клиентов `Ростелекома` в круглосуточном режиме и оказывать полный комплекс услуг: от контроля и управления системами защиты до отражения и расследования кибератак. Данный филиал станет важнейшим технологическим центром по обеспечению кибербезопасности России на Юге, — рассказал вице-президент — директор «Ростелекома» на Юге Сергей Мордасов.

Открытие филиала Solar JSOC в Ростове-на-Дону обусловлено высоким уровнем киберугроз в ЮФО. Так, за неполный 2021 год эксперты Solar JSOC зафиксировали здесь 58 тысяч атак, из которых более 40% было реализовано с помощью вредоносного ПО (вирусов-шифровальщиков, троянов, шпионского ПО и т.п.), что является крайне высоким показателем на фоне остальных регионов. Вторым и третьим по популярности методами взлома корпоративных инфраструктур стали атаки на веб-приложения (29%) и DDoS (6%). При этом достаточно часто инструментарий злоумышленников в ЮФО базируется на коммерческом фреймворке Cobalt Strike, предназначенном для эксплуатации уязвимостей. Это косвенно говорит о высокой активности в регионе именно киберкриминальных группировок, нацеленных на прямую монетизацию атак.

Мы видим запрос на экспертизу информационной безопасности со стороны организаций Южного федерального округа. При этом в регионе наблюдается кадровый дефицит в сфере информационной безопасности. Открытие локального центра Solar JSOC в Ростове-на-Дону позволит сделать технологии кибербезащиты для компаний Юга более доступными, а также увеличит кадровый потенциал и привлечет в отрасль молодых талантливых специалистов, — отметил вице-президент «Ростелекома» по информационной безопасности Игорь Ляпунов.

«Ростелеком-Солар» активно сотрудничает с ведущими вузами Ростовской области (Донской государственный технический университет, Южный федеральный университет, Южно-Российский государственный политехнический университет имени М. И. Платова) в практической подготовке студентов к работе в сфере информационной безопасности. Уже а ноябрь 2021 года более 70 ростовских студентов прошли специализированные стажировки. Лучшим из них будет предложена работа в центре противодействия кибератакам.

Интеграция с базой Vulners

«Ростелеком-Солар» 15 июля 2021 года сообщил о заключении соглашения о сотрудничестве с компанией Vulners Inc., администрирующей международную базу ИБ-угроз. В рамках технологического партнерства данные, собранные Vulners, будут интегрированы во внутренние процессы центра противодействия кибератакам Solar JSOC. Эти данные дополнят существующие источники Threat Intelligence и повысят эффективность проводимых специалистами Solar JSOC расследований, а также уровень экспертной аналитики и качество услуг по анализу защищенности (Vulnerability Management).

База Vulners непрерывно обновляется, аккумулируя информацию об актуальных угрозах из более чем 140 различных источников. В системе можно найти вендорские баг-репорты, данные ключевых баз знаний и исследовательских центров, эксплойты из архивов Exploit-DB и Metasploit, результаты bug bounty, патчи для обновлений, публикации на информационных ИБ-ресурсах. Вся эта информация обрабатывается, каталогизируется, структурируется и доступна экспертам Solar JSOC в любой момент. Ключевым плюсом базы Vulners является корреляция данных, позволяющая выявлять связи между уязвимостями для определения реального уровня опасности. Это значительно сэкономит время ИБ-специалистов при исследовании сложных векторов атак.

Кроме этого, «Ростелеком-Солар» планирует использовать Vulners для оценки объема и критичности уязвимостей, обнаруженных в рамках сервиса Vulnerability Management (VM), реализуемого на платформе сервисов кибербезопасности Solar MSS. По оценке Solar JSOC, большинство российских компаний не могут противостоять не только профессиональным злоумышленникам, но и хакерам-любителям. Более 70% компаний имеют критические уязвимости, которые киберпреступники используют для преодоления ИТ-периметра, – это доказывают проводимые Solar JSOC тестирования на проникновения.

Отслеживать данные о уязвимостях необходимо на регулярной основе, а работы по их выявлению и устранению в своей инфраструктуре нужно начинать еще до появления эксплойта. Эти задачи решает сервис Vulnerability Management (VM), а инструмент Vulners значительно повышает эффективность сканирования, – рассказал директор центра противодействия кибератакам Solar JSOC компании «Ростелеком-Солар» Владимир Дрюков. – Кроме того, Vulners позволит нам значительно улучшить процесс Threat Hunting, так как эксперты Solar JSOC смогут получать обширную информацию о трендовых уязвимостях, скорости их эксплуатации, а также о техниках, тактиках и инструментах злоумышленников. Эти данные будут использоваться при создании правил корреляции для обнаружения злоумышленников и подозрительной активности в инфраструктуре.

В основе большинства процессов информационной безопасности находится потребность в получении актуальной информации об угрозах. От точности и полноты данной информации зависит качество работы множества инструментов и решений. Ведь, не зная об уязвимости, ее невозможно устранить. Объединение технологий Vulners и Solar JSOC позволит вывести российские решения класса Vulnerability Management на иной уровень и значительно повысить защищенность клиентов, — отметил CEO Vulners Inc. Кирилл Ермаков.

Помимо Vulners, источниками данных об актуальных ИБ-угрозах для Solar JSOC являются: собственная ежедневно обновляемая база индикаторов и знаний о угрозах (Threat Intelligence), информация с сети сенсоров и ханипотов по всей стране, результаты проведенных пентестов, данные от сторонних SOC и CERT, вендорские коммерческие подписки, а также данные регуляторов.

Трансформация в комплексный центр противодействия кибератакам

Компания «Ростелеком-Солар», дочерняя структура «Ростелекома», трансоформирует свой коммерческий Security Operations Center – Solar JSOC – в комплексный центр противодействия кибератакам, обеспечивающий защиту от хакерских группировок с квалификацией вплоть до уровня иностранных спецслужб. Об этом «Ростелеком» сообщил 26 мая 2021 года. Базируясь на опыте противодействия таким атакам, «Ростелеком» сформировал набор сервисов для доставки накопленной экспертизы в организации, чья кибербезопасность имеет стратегическое значение для страны – в том числе, федеральные органы исполнительной власти и субъекты критической информационной инфраструктуры России.

Трансформация Solar JSOC стала ответом на изменения в цифровом пространстве. В 2020 году было зафиксировано более 200 хакерских атак со стороны высокопрофессиональных кибергруппировок, включая массовые попытки воздействия на целые отрасли и секторы экономики, крупные госструктуры, значимые объекты КИИ. Также НКЦКИ отмечает, что рост числа высокопрофессиональных атак на органы исполнительной власти за 2020 год составил более 40%.

Действия наиболее профессиональных группировок невозможно обнаружить с помощью инструментов и экспертизы стандартных центров мониторинга, которые преобладают на российском рынке. Поэтому для полноценного противодействия наиболее профессиональным злоумышленникам мы сформировали сервисное предложение. Оно реализуется не только за счет экспертизы, но и объема технологий, на базе которого предоставляется каждый из сервисов Solar JSOC, - отметил Игорь Ляпунов, вице-президент «Ростелекома» по информационной безопасности.

При определении набора сервисов кибербезопасности, необходимых для каждого конкретного заказчика, учитываются релевантный для его отрасли уровень нарушителя, векторы наиболее опасных и высоковероятных атак, а также многие другие параметры. Все они сформированы на базе многолетнего опыта защиты компаний различного масштаба и сфер деятельности – от банковского до промышленного сектора.

В рамках трансформации Solar JSOC сервисы по анализу угроз внешней обстановки, контролю защищенности, мониторингу, реагированию и расследованию инцидентов информационной безопасности были выведены на принципиально иной уровень. Изменения коснулись и вариантов предоставления услуг: помимо классического аутсорсинга информационной безопасности, заказчикам стали доступны гибридные или полностью отчуждаемые модели центров мониторинга. Один из таких вариантов – построение в организациях внутреннего SOC с дальнейшим обучением его команды, а также консалтингом в вопросах мониторинга и реагирования на киберугрозы.

База индикаторов и знаний об угрозах (Threat Intelligence) Solar JSOC теперь обогащается данными, которые собираются в рамках процесса «охоты» на угрозы (Threat Hunting) с системы сенсоров и ханипотов, развернутых на инфраструктуре «Ростелекома». Помимо этого, она постоянно пополняется за счет данных из коммерческих подписок, открытых источников, информационных обменов с регуляторами и различными CERT, а также результатов анализа инцидентов в инфраструктурах более 140 ключевых российских организаций – клиентов Solar JSOC. Это обеспечивает заказчикам Solar JSOC не только полноту, но и максимально достижимую скорость закрытия появляющихся векторов кибератак.

Классические сервисы по контролю защищенности были дополнены услугой проверки реальной готовности к отражению кибератак Red Teaming. Она позволяет заказчикам протестировать используемые процессы и технологии защиты, а также обучить свою ИБ-команду в «боевых» условиях. Услуга предоставляется в формате как тайных киберопераций, так и открытых киберучений, и непрерывно обогащается данными о самых актуальных векторах атак от Solar JSOC CERT и Национального киберполигона. Благодаря этому Red Teaming Solar JSOC проводится с учетом отраслевой специфики – имитируются техники и тактики релевантных кибергруппировок, используются наиболее вероятные вектора атак.

Чтобы выявлять попытки скрытных атак со стороны высокопрофессиональных группировок, процесс мониторинга должен быть основан на большом стеке технологий. Сервис мониторинга Solar JSOC, помимо стандартных инструментов SIEM, базируется на данных от систем анализа сетевого трафика (NTA) и событий ИБ на конечных точках сети (EDR). Это избавляет компании от «слепых пятен» в общей картине защищенности организации и обеспечивает выявление сложных кибератаки на самой ранней стадии. В дополнение к этому в Solar JSOC используется решение класса Incident Response Platform (IRP), которое помогает автоматизировать процессы реагирования на стороне заказчика – одно из ключевых слагаемых успеха при противодействии развивающейся атаке.

Усовершенствованные сервисы по расследованию и ликвидации последствий атак реализуются с привлечением экспертов Solar JSOC CERT и предоставляются в двух вариантах: классический Incident Response для простых и явных атак и глубинное техническое расследование (Digital Forensics), основанное на накопленном опыте противодействия таргетированным атакам, - если речь идет о долгих и скрытых атаках, захвате контроля над инфраструктурой организации. Во втором случае эксперты не просто расследуют инцидент и устраняют его последствия, но и собирают цифровые доказательства максимально незаметно для киберпреступников, чтобы не спровоцировать их на немедленную реализацию деструктивных воздействий.

Все сервисы и услуги Solar JSOC функционируют как единая экосистема, в рамках которой ведется постоянный обмен информацией о киберугрозах и обогащение сценариев выявления и противодействия кибератакам. Проработанный подход позволяет создать оптимальную экономически обоснованную систему защиты для любой организации, опираясь на актуальный для нее тип киберугроз.

2020

Запуск сервиса по выявлению сложных многокомпонентных атак на основе Kaspersky Endpoint Detection and Response

22 октября 2020 года «Ростелеком-Солар» сообщил, что совместно с «Лабораторией Касперского» запустил сервис по выявлению сложных многокомпонентных атак на рабочих станциях и серверах корпоративных заказчиков. В его основе лежит система выявления атак на конечные хосты Kaspersky EDR (Endpoint Detection and Response, EDR). Решение подключено к сервисам центра мониторинга и реагирования на кибератаки Solar JSOC и поможет выявлять активность (на пример, присутствие в инфраструктуре) высококвалифицированных злоумышленников, которую обычно не детектируют базовые инструменты защиты. Подробнее здесь.

Запуск сервиса по глубокому анализу сетевого трафика на основе PT Network Attack Discovery

Компания «Ростелеком-Солар» 15 октября 2020 года сообщила, что совместно с Positive Technologies запустила сервис по глубокому анализу сетевого трафика (NTA) на основе решения PT Network Attack Discovery (PT NAD). Система глубокого анализа трафика интегрирована в существующий цикл выявления инцидентов центра мониторинга и реагирования на кибератаки Solar JSOC. Подробнее здесь.

Запуск услуги по автоматизации реагирования на инциденты на стороне заказчиков совместно с R-Vision

«Ростелеком-Солар» и R-Vision 11 августа 2020 года сообщили о том, что запускают услугу по автоматизации реагирования на инциденты на стороне заказчиков. Совместное решение на базе платформы R-Vision IRP (Incident Response Platform) прорабатывалось больше года и теперь доступно клиентам центра мониторинга и реагирования на киберугрозы Solar JSOC. Сервис предоставляет набор готовых динамически обновляемых сценариев реагирования с разделением зон ответственности. Подробнее здесь.

Выявление десяти целевых атак с помощью MaxPatrol SIEM

13 мая 2020 года компания «Ростелеком-Солар» сообщила, что Solar JSOC выявил десять целевых атак с помощью MaxPatrol SIEM.

По информации компании, эксперты центра мониторинга и реагирования на кибератаки Solar JSOC используют систему MaxPatrol SIEM компании Positive Technologies уже более двух лет. C ее помощью выявлены десять APT-атак и несколько сотен массовых рассылок вредоносного ПО, направленных на госорганы и госкорпорации, организации топливно-энергетического комплекса и транспортные компании. Общий поток событий, обрабатываемых Solar JSOC с помощью MaxPatrol SIEM, на май 2020 года составляет более 150 000 в секунду. Solar JSOC предоставляет сервисы по мониторингу инцидентов информационной безопасности на базе MaxPatrol SIEM с конца 2017 года. Среди его заказчиков, использующих данное решение, — более 30 крупных государственных организаций и ведомств, а также промышленных компаний.

Мы ожидаем, что в 2020 году число клиентов, использующих сервисы Solar JSOC на базе MaxPatrol SIEM, вырастет более чем в два раза. Нагрузка на системы безопасности в Solar JSOC, в том числе на MaxPatrol SIEM, ежегодно увеличивается, растут и требования к SIEM-системам в части выявления признаков сложных и таргетированных атак и предоставления расширенной аналитики. Поэтому на старте сотрудничества мы предъявили высокие требования как к производительности и стабильности работы решения, так и к его функциональным возможностям. Команда Positive Technologies серьезно доработала MaxPatrol SIEM, и на май 2020 года продукт позволяет нам решать сложные задачи по мониторингу и выявлению кибератак. пояснил Владимир Дрюков, директор центра мониторинга и реагирования на кибератаки Solar JSOC компании "Ростелеком-Солар"

В ходе внедрения MaxPatrol SIEM в Solar JSOC продукт успешно прошел тестирование на высоконагруженных системах. Также решение было адаптировано к процессам центра мониторинга и реагирования на киберугрозы компании. В частности, была изменена логика формирования правил детектирования кибератак. Это позволило экспертам Solar JSOC создавать собственные способы обнаружения угроз с помощью MaxPatrol SIEM и использовать их для мониторинга безопасности сетей своих клиентов. За два года специалисты написали более 300 правил выявления атак. Чтобы поддержать существующие процессы работы с угрозами, MaxPatrol SIEM был интегрирован с тремя популярными платформами реагирования на инциденты (IRP) и поддержки (service desk).

Число целевых атак растет каждый квартал. При этом на госучреждения нацелены 68% APT-группировок, на промышленные компании — 59%, на ТЭК — 41%. Наша практика показывает, что многие государственные организации и промышленные предприятия используют лишь базовые средства защиты или применяют современные инструменты без должной настройки и экспертного сопровождения. Это драматически снижает эффективность системы защиты — делает невозможным своевременное выявление и реагирование на сложные целенаправленные атаки. Мы гордимся нашим давним сотрудничеством с Solar JSOC. Коллеги включены в программу раннего ознакомления с обновлеными версиями продукта и участвуют в формировании функциональных возможностей его будущих выпусков. Это позволяет нам обогащать продукт в том числе опытом и экспертизой Solar JSOC, накопленными центром мониторинга за годы успешной работы. отметил Максим Филиппов, директор по развитию бизнеса компании Positive Technologies в России

Обмен данными о киберугрозах с Сахалинским областным центром информатизации

«Ростелеком-Солар» 25 февраля 2020 года сообщил, что совместно с Сахалинским областным центром информатизации (ГБУ СО СОЦИ) подписали соглашение о сотрудничестве в сфере противодействия компьютерным атакам. Цель этого взаимодействия — двусторонний обмен данными о киберугрозах для оперативного усиления мер защиты обслуживаемых организаций.

Сахалинский областной центр информатизации отвечает за информационную безопасность региональной информационно-телекоммуникационной инфраструктуры Правительства Сахалинской области, органов исполнительной власти и местного самоуправления Сахалинской области, включая областную структуру здравоохранения. В то же время «Ростелеком-Солар» располагает крупным коммерческим центром мониторинга и реагирования на киберугрозы Solar JSOC, под защитой которого находится более 110 крупных компаний и госструктур по всей России. Центр обрабатывает порядка 80 млрд событий ИБ в сутки и уже сотрудничает с ФинЦЕРТ Банка России, НКЦКИ ФСБ России, Департаментом ИТ и связи Самарской области, а также с производителями ИБ-решений, которые регулярно предоставляют данные о выявленных угрозах.

Соглашение поможет обеим компаниям обеспечить раннее реагирование на кибератаки различного типа. В частности, стороны договорились информировать друг друга о техниках, тактиках и инструментарии, который используется в атаках на информационные ресурсы.

Госструктуры все чаще становятся мишенью хакеров — как конечная цель или в качестве `донора` вычислительных ресурсов для атак на другие организации. Информационный обмен с Solar JSOC, который обладает динамически обновляемой базой индикаторов компрометации, поможет нам в обеспечении проактивной защиты государственных информационных ресурсов Сахалинской области от массовых атак и в выработке эффективных мер борьбы с ними, комментирует Роман Чужинов, руководитель Государственного бюджетного учреждения «Сахалинский областной центр информатизации»

Мы рады сотрудничеству с Сахалинским областным центром информатизации, который обладает зрелым Security Operations Center и может быть поставщиком ценной информации о появившихся векторах атак. Чем больше участников в этой системе обмена данными, тем выше ее эффективность и тем более мощную защиту получает каждый из них, отметил Денис Баскаков, директор по развитию бизнеса по информационной безопасности на Дальнем Востоке, «Ростелеком-Солар»

2019

Доступ к базе ESET Threat Intelligence

20 августа 2019 года «Ростелеком-Солар», национальный провайдер сервисов и технологий кибербезопасности, сообщил, что совместно с международной антивирусной компанией ESET заключили стратегическое соглашение о сотрудничестве. В рамках технологического партнерства «Ростелеком-Солар» получил доступ к динамически обновляемой репутационной базе ESET Threat Intelligence, содержащей сотни тысяч наименований актуальных в каждый момент времени вредоносных доменов. Эти данные расширяют возможности центра мониторинга и реагирования на кибератаки Solar JSOC в части проактивного выявления угроз информационной безопасности у заказчиков, позволяя блокировать вредоносный трафик и развивающиеся фишинговые атаки.

Информация об опасных доменах загружается на платформу сбора данных о киберугрозах (Threat Intelligence) Solar JSOC раз в 5 минут. Использование этих данных наряду с применением антивирусного ПО другого вендора существенно обогащает репутационную базу Solar JSOC. Благодаря этому заказчики получают оперативную комплексную защиту даже от таких методов компрометации ИТ-инфраструктуры, которые не фиксируются развернутым у них антивирусом.

Постоянный сбор и обновление информации об угрозах — стратегическое направление для любого центра мониторинга и реагирования на киберинциденты, поскольку эти обогащенные данные во многом определяют эффективность его работы. В свое время мы заключили с ФинЦЕРТ соглашение об информационном обмене, к которому позже присоединились самые заметные игроки рынка ИБ. Вкупе с собственной аналитикой Solar JSOC это позволило достичь высокого уровня полноты и актуальности данных нашей платформы Threat Intelligence, однако мы постоянно работаем над ее пополнением и стремимся к сотрудничеству с ведущими поставщиками информации об актуальных угрозах, комментирует Ниязов Тимур, руководитель направления мониторинга и реагирования на киберугрозы «Ростелеком-Солар»

Входящие в состав ESET Threat Intelligence потоки данных увеличивают возможность обнаружения угроз и помогают своевременно реагировать на инциденты безопасности. Мы наблюдаем высокий интерес со стороны крупного бизнеса — услугу используют клиенты не только в России, но и в СНГ, отмечает Александр Пирожков, руководитель направления ESET Threat Intelligence

Запуск крупнейшего в России регионального центра мониторинга и реагирования на кибератаки

24 июня 2019 года «Ростелеком» объявил об открытии, как утверждает компания, крупнейшего в России регионального центра мониторинга и реагирования на кибератаки. Он запущен в Нижнем Новгороде и создан на базе центра Solar JSOC, который обеспечивает безопасность более 100 крупнейших российских компаний.

Вице-президент «Ростелеком» по информационной безопасности и глава компании «Ростелеком-Солар» Игорь Ляпунов сообщил на церемонии открытия, что к 24 июня 2019 года головной офис Solar JSOC находится в Москве и специализируется на аналитике и развитии. Региональные подразделения — центры мониторинга — расположены в Нижнем Новгороде, Самаре и Хабаровске. До конца года планируется открытие ещё одного такого объекта Ростове-на-Дону.

«Ростелеком» открыл крупнейший центр борьбы с кибератаками за пределами Москвы

Подразделение Solar JSOC в Нижнем Новгороде будет отвечать за безопасность всех региональных клиентов в круглосуточном режиме, предлагая им сервисы контроля защищённости, управления системами защиты заказчика, отражения и расследования кибератак и др.

Согласно статистике Solar JSOC за 2018 год, в Нижегородской области зафиксировано более 90 тыс. информационных воздействий на инфраструктуры компаний, более 5 тыс. компьютерных атак. Это выше среднего уровня по регионам Поволжья.

Мы рассчитываем, что открытие в Нижнем Новгороде второго по величине подразделения Solar JSOC и наша кадровая стратегия позволят городу стать одним из важнейших технологических центров по обеспечению кибербезопасности России, — заявил Игорь Ляпунов.

Инвестиции в нижегородский центр мониторинга превышают 100 млн рублей в год на момент открытия. В «Ростелекоме» объяснили выбор Нижнего Новгорода для открытия центра кадровым вопросом: именно здесь находится ряд университетов, которые готовят сильных специалистов в профильной области.^[1]

2018

Сервисы по созданию и эксплуатации корпоративных и ведомственных центров ГосСОПКА

Компания Ростелеком-Solar, национальный провайдер сервисов и технологий для защиты информационных активов, целевого мониторинга и управления информационной безопасностью, 27 сентября 2018 года объявила о подписании соглашения с ФСБ России с целью организации взаимодействия в сфере обнаружения, предупреждения и ликвидации компьютерных атак в рамках ГосСОПКА.

Подписанный документ, в частности, позволяет Ростелеком-Solar предоставлять российским организациям сервисы по созданию и эксплуатации корпоративных и ведомственных центров ГосСОПКА: выполнение задач по обнаружению, реагированию и ликвидации последствий компьютерных атак, оценке защищенности инфраструктуры и обеспечению взаимодействия корпоративных и ведомственных центров с вышестоящими центрами ГосСОПКА. Таким образом, субъекты ГосСОПКА могут использовать ресурсы и экспертизу центра мониторинга и реагирования на кибератаки Solar JSOC, передавая ответственность за реализацию функций центра ГосСОПКА сервис-провайдеру.

Это важная веха в нашем взаимодействии с Национальным координационным центром по компьютерным инцидентам. Благодаря этому соглашению мы одними из первых на рынке сможем предоставлять заказчикам целостную услугу по реализации функций корпоративных и ведомственных центров ГосСОПКА, закрывая таким образом соответствующий блок требований 187-ФЗ, — сообщил Владимир Дрюков, директор центра мониторинга и реагирования на кибератаки Solar JSOC компании Ростелеком-Solar.

Федеральный закон №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», вступивший в силу 1 января 2018 года, обязывает органы государственной власти, государственные корпорации и другие организации, относящиеся к КИИ, создать ведомственные или корпоративные центры ГосСОПКА. Это подразумевает создание необходимой технической базы, процессов мониторинга, анализа и расследования инцидентов, а также выполнение ряда других функций в соответствии с методическими рекомендациями ФСБ России. Субъекты КИИ могут осуществлять построение центров ГосСОПКА самостоятельно либо выполнить эту задачу с помощью сервис-провайдеров, обладающих лицензиями на соответствующую деятельность.

Помимо обмена информацией об инцидентах информационной безопасности, а также взаимодействия в области обнаружения, предупреждения и реагирования на компьютерные атаки, ФСБ России и Ростелеком-Solar также договорились о проведении совместных тренировок и учений по вопросам функционирования ГосСОПКА. Сотрудничество будет направлено на повышение уровня осведомленности и квалификации специалистов обеих организаций в области информационной безопасности и совершенствование методической базы, разрабатываемой в целях эффективной эксплуатации и функционирования ГосСОПКА. Соглашение также предусматривает проведение совместных семинаров, конференций и прочих мероприятий, отметили в Ростелеком-Solar.

2017

Партнёрство с Positive Technologies

Компании Positive Technologies и Solar Security заключили в мае 2017 года соглашение о сотрудничестве: Solar JSOC стал первым участником MSSP-программы Positive Technologies, которая позволяет предоставлять технологии Positive Technologies по арендной схеме. Сотрудничество компаний подразумевает несколько крупных технологических интеграций, что позволит сформировать ряд ИБ-сервисов, объединяющих глубокую экспертизу и зарекомендовавшие себя технологии лидеров российского рынка.

Первым шагом стало создание услуги Solar JSOC по защите клиентских веб-приложений на базе межсетевого экрана прикладного уровня PT Application Firewall, выявляющего и блокирующего современные атаки на веб-порталы, ERP-системы, интернет-банкинг и т.п.

Solar JSOC подтвердил соответствие требованиям PCI DSS

Компания Solar Security сообщила в начале года о том, что сервис Solar JSOC успешно прошел ежегодный QSA-аудит на соответствие требованиям PCI DSS. Полученный сертификат соответствия подтверждает полное выполнение требований стандарта Payment Card Industry Data Security Standard 3.1. в части хранения, обработки и передачи данных платежных карт.

Ежегодный аудит Solar JSOC провели эксперты компании Compliance Control Ltd — одной из первых в России специализированных организаций, оказывающих услуги в области приведения в соответствие и сертификации по стандарту PCI DSS.

2016

Solar Security обновила сервисную модель предоставления услуг Security Operations Center

Solar JSOC включает более 40 атомарных сервисов, объединенных в более высокоуровневые сервисы, которые обеспечивают комплексное решение бизнес-задач. Важным преимуществом Solar JSOC является информационный обмен с государственными и отраслевыми CERT, а также ведущими вендорами ИБ. Репутационные базы и фиды сквозным образом обогащают все сервисы Solar JSOC, обеспечивая защиту от самых новых и актуальных киберугроз. Модель Solar JSOC предоставляет более глубокий уровень аналитики, демонстрируя заказчикам корневые причины и следствия инцидентов и уязвимостей.

Фформат предоставления сервиса Solar JSOC опирается на три уровня – Security Maintenance (эксплуатация средств защиты), Security Monitoring (мониторинг уровня информационной безопасности) и Security Management (управление информационной безопасностью).

Нижний, базовый уровень Security Maintenance включает в себя эксплуатацию и администрирование систем информационной безопасности, развернутых в компании. В перечень сервисов Solar JSOC на данном уровне входит предоставление, тонкая настройка и управление активными средствами защиты – WAF, Sandbox, anti-DDoS, межсетевыми экранами и прокси.

Квинтэссенцией функций SOC является уровень Security Monitoring, который обеспечивает мониторинг, выявление и анализ инцидентов информационной безопасности внутри компании. Параллельно Solar JSOC агрегирует в глобальную базу знаний информацию от вендоров информационной безопасности, а также различных CERT. Эта база знаний содержит данные о вредоносных хостах сети интернет, индикаторах компрометации систем, 0day-вредоносном ПО и новых уязвимостях, направленных как на конкретную отрасль, так и непосредственно на отдельно взятую компанию.

Совокупность информации, полученной изнутри организации и из внешних источников, позволяет сформировать собственную базу правил корреляции событий, которая является ядром любого SOC. Широкий список правил корреляции обеспечивает надежный контроль защищенности инфраструктуры от кибератак, а также позволяет оперативно выявлять и предотвращать как внешние попытки проникновения, так и внутренние нарушения.

На уровне Security Management ключевой задачей является оценка фактической критичности инцидента для компании и ее бизнес-процессов. В результате разбора инцидентов и аномалий, анализа причин их возникновения и оценки потенциального ущерба компания выявляет новые технические и бизнес-риски. Все аналитические данные представлены в системе визуализации Solar JSOC Security Dashboard в виде наглядных диаграмм. Объективная картина состояния ИБ в компании и подтвержденные статистикой данные по «болевым точкам» и наиболее серьезным рискам позволяют принимать обоснование решения в вопросах долгосрочного управления ИБ. Тем не менее, в силу стратегического значения таких решений они остаются в сфере компетенций компании-заказчика.

JSOC Security Dashboard

JSOC Security Dashboard - онлайн-система анализа и визуализации состояния защищенности информационных систем, подключенных к Solar JSOC.

18 февраля 2016 года компания Solar Security представила JSOC Security Dashboard. Использовать ее могут только клиенты компании.

JSOC Security Dashboard позволяет каждому клиенту Solar JSOC в рамках «единого окна» получать персонифицированную информацию о состоянии информационной безопасности компании в режиме реального времени. На специальные панели выводятся данные обо всех основных информационных системах, инфраструктуре, подключенной к Solar JSOC, детальная информация о внешних атаках и внутренних инцидентах ИБ, выявленных в процессе мониторинга.

JSOC Security Dashboard реализована на основе продукта визуализации разноуровневой аналитики и мониторинга эффективности ИБ Solar inView, в максимально наглядной форме показывающей состояние информационной безопасности в компании с желаемым уровнем детализации, вплоть до перехода к информации по конкретному инциденту, в конкретный момент времени. Взаимная интеграция продуктов и сервисов компании Solar Security помогает создать экосистему, обеспечивающую комплексный подход к вопросам информационной безопасности.

JSOC Security Dashboard помогает оценить исполнение [[SLA - Service Level Agreement (Соглашение об уровне качества)}SLA]] в рамках сервисов Solar JSOC. На 18 февраля 2016 года показатели SLA для Solar JSOC ~99,2% – средний показатель, для критичных инцидентов SLA выше и достигает ~99,5%.

JSOC Security Dashboard контролирует весь путь от выявления инцидента, до его разбора и реагирования с детальной информацией о типе инцидента, с какими системами связан, кто его отрабатывал, какие меры приняты, как происходили разбор и реагирование.

JSOC Security Dashboard решает сразу две задачи: дает нашему клиенту понимание фактического состояния безопасности и делает нашу работу более прозрачной. Нам хотелось предоставить клиенту возможность увидеть тренды в изменении атак на ресурсы компании или поведении пользователей: какая бизнес-система вызывает повышенный интерес злоумышленников, какая организационная единица компании хуже всего соблюдает нормы ИБ и т.д. Данная информация строится не на обобщенных статистических моделях, а на реальных инцидентах, возникающих и обрабатываемых в инфраструктуре клиента. JSOC Security Dashboard – это не только отчетность и визуализация, это еще и система поддержки принятия решений о дальнейших шагах по повышению своей защищенности. Владимир Дрюков, руководитель Solar JSOC компании Solar Security