Управляемая кибербезопасность: как связать уязвимости и события в единую картину

Проблема современной кибербезопасности заключается не в отсутствии инструментов, а в их разрозненности, особенно когда инфраструктура насчитывает сотни компьютеров, серверов и сетевых устройств. Да, антивирусы работают, межсетевые экраны фильтруют трафик, операционные системы ведут журналы событий, а администраторы регулярно устанавливают обновления. Но даже при таком инструментарии службе информационной безопасности зачастую сложно ответить на три ключевых вопроса: какие активы больше всего подвержены риску, где появились первые признаки атаки и какие проблемы необходимо устранять прямо сейчас.

И все это из-за разрозненности данных. Информация об уязвимостях находится в одной системе, события безопасности — в другой, сведения об активах хранятся в таблицах, а задачи на устранение недостатков передаются по почте или через мессенджеры. Каждый инструмент решает свою задачу, но единой картины происходящего не формируется, нет общего понимания ситуации.

Поэтому для компаний и государственных организаций с развитой ИТ-инфраструктурой следующий этап развития защиты связан не с покупкой очередного отдельного продукта. Гораздо важнее выстроить непрерывный процесс, который позволяет видеть активы, выявлять слабые места, оценивать реальные риски, обнаруживать признаки эксплуатации уязвимостей, устранять причины и контролировать результат.

Управление уязвимостями и мониторинг событий безопасности - два разных понятия

Для построения по-настоящему эффективной защиты необходимо четко разделять задачи управления уязвимостями и мониторинга событий безопасности. Несмотря на кажущуюся схожесть, эти направления отвечают за разные аспекты безопасности.

Система класса Vulnerability Management отвечает прежде всего на вопрос: «Где нас могут атаковать?». Она помогает инвентаризировать активы в инфраструктуре и установленное на них ПО, находить известные зоны риска и осуществлять анализ соответствия, определять приоритет исправления и контролировать устранение. По сути, этот класс решений смотрит на потенциальные точки входа.

В свою очередь, SIEM-система отвечает на другой вопрос: «Что происходит в инфраструктуре прямо сейчас?». Она централизованно собирает журналы событий, нормализует и сопоставляет данные от разных источников, выявляет подозрительные последовательности действий и формирует алерты и инциденты. SIEM анализирует фактическую активность в реальном времени.

Таким образом, ни сканер уязвимостей не заменяет SIEM, ни SIEM не отменяет необходимость регулярного анализа защищенности.

Наглядный пример — оценка рисков. На сервере обнаружена критическая уязвимость. Сама по себе высокая оценка еще не означает, что именно этот сервер нужно исправлять первым. Он может быть изолирован или не иметь доступа из недоверенной сети. В то же время уязвимость со средней оценкой на внешнем сервисе, где уже фиксируются подозрительные обращения, может представлять более масштабную угрозу.

Реальный приоритет в работе появляется только тогда, когда техническая критичность уязвимости сопоставлена с контекстом: ролью актива, его доступностью, наличием защитных мер и реальными событиями безопасности. Именно поэтому эти два инструмента не заменяют, а эффективно дополняют друг друга.

Почему обычного сканирования недостаточно

Разовое сканирование позволяет получить лишь снимок инфраструктуры на конкретный момент времени. Уже через несколько дней эта информация может устареть, так как появляется новое программное обеспечение, меняются настройки, вводятся новые серверы, выходят обновления и публикуются новые риски.

Кроме того, результаты сканирования нередко превращаются в длинный список замечаний. Формально информации много, но на практике остается непонятным, с чего начинать. ИТ-подразделения редко могут одновременно устранить все выявленные проблемы, особенно если обновление требует остановки сервиса, тестирования совместимости или согласования с владельцем бизнес-процесса.

Поэтому зрелый Vulnerability Management — это не просто поиск максимального количества рисков, под лозунгом «найти как можно больше, все и сразу». Это постоянный процесс, в рамках которого определяются:

-    состав контролируемых активов;

-    периодичность проверок;

- соответствие ИТ-систем внутреннему комплаенсу и регуляторным требованиям;

-    уровни критичности;

-    порядок принятия риска и применения компенсирующих мер;

-    контроль устранения;

-    повторная проверка после исправления.

Именно в эту концепцию вписывается Kaspersky Vulnerability Management — новое корпоративное решение «Лаборатории Касперского» для централизованного управления уязвимостями в ИТ-инфраструктуре организации. Его задача заключается не только в поиске слабых мест, но и в приоритизации рисков, контроле исправлений и контроле статуса их устранения.

В этом заключается главное отличие полноценного управления рисками от периодической выгрузки отчетов. Ценность появляется не в момент обнаружения проблемы, а тогда, когда она устранена и результат подтвержден.

Зачем крупной инфраструктуре нужен SIEM

По мере роста организации увеличивается не только количество устройств, но и число источников событий: рабочие станции, серверы, средства защиты, сетевое оборудование, службы каталогов, прикладные системы, базы данных. Каждый источник ежедневно генерирует множество событий. Просматривать их вручную невозможно, а анализировать локально — малоэффективно. Поэтому организациям необходим единый подход к сбору и анализу информации.

Решение Kaspersky Unified Monitoring and Analysis Platform, или KUMA, относится к классу SIEM и предназначено для консолидированного сбора, анализа и корреляции событий информационной безопасности. Платформа объединяет данные как от решений «Лаборатории Касперского», так и от продуктов других производителей, помогая увидеть взаимосвязи, которые сложно заметить при раздельном анализе событий.

Например, одна неудачная попытка авторизации может быть обычной ошибкой пользователя. Однако серия попыток входа, последующего успешного доступа, запуска нетипичного процесса и обращения к критичному ресурсу уже требует внимания. SIEM связывает такие события в единый сценарий и помогает быстрее перейти от отдельных событий к пониманию сути инцидента. 

Для государственных и регулируемых организаций централизованный сбор событий — это не только безопасность, но и формирование доказательной базы для аудита. Однако внедрять SIEM-платформу только для того, чтобы выполнить формальное требование, бессмысленно. Без настроенных источников, правил корреляции и процессов разбора платформа рискует стать дорогим хранилищем журналов.

Поэтому любой проект должен начинаться с ответов на главные вопросы: какие системы критичны, какие сценарии атак нужно выявлять, какие события собирать и кто будет расследовать инциденты.

Как выглядит единый цикл

На практике максимальный эффект достигается при совместном использовании решений разных классов - Vulnerability Management и SIEM, и работает это следующим образом.

Сначала формируется актуальный перечень активов с указанием владельцев, назначения и уровня критичности. Затем выполняется регулярный поиск уязвимостей. После этого начинается процесс приоритизации устранения не только по техническим параметрам, но и по значимости актива, где был найдена уязвимость, для организации.

В свою очередь Kaspersky Vulnerability Management, обеспечивает непрерывную передачу данных о состоянии активов и результатах выявления уязвимостей в KUMA для более оперативного выявления и реагирования на угрозы.

Далее данные мониторинга показывают, есть ли вокруг рискованного актива подозрительная активность. При этом важно отметить, что в текущей реализации сработки SIEM не повышают приоритет устранения уязвимости в Kaspersky Vulnerability Management — такого механизма обратной связи пока не предусмотрено. Однако польза от совместного использования решений заключается в другом: VM обогащает данные об активах (например, из KSC), импортированных в KUMA, предоставляя информацию о выявленных уязвимостях. Это дает команде безопасности больше контекста об активе непосредственно в SIEM-системе для более точной оценки рисков. Если обновление невозможно установить сразу, применяются компенсирующие меры: ограничение доступа, усиление контроля событий, изменение настроек или изоляция отдельных компонентов.

После исправления проводится повторная проверка, а SIEM продолжает наблюдение за активом, позволяя убедиться в отсутствии признаков атаки.

Так формируется единый управленческий цикл, который включает в себя последовательные этапы: от инвентаризации и выявления до приоритизации, мониторинга, реагирования, устранения и последующего контроля.

В такой модели продукты не конкурируют между собой, а дополняют друг друга. Данная интеграция усиливает ценность сценария совместной работы VM и KUMA, обеспечивая непрерывную передачу из Kaspersky Vulnerability Management данных о состоянии активов и результатах выявления уязвимостей. Это позволяет специалистам быстрее выявлять угрозы и принимать обоснованные решения при реагировании, используя в KUMA актуальный контекст для расследования.

Как оценить решение до полноценного внедрения

Выбор корпоративного решения по информационной безопасности нельзя делать только по презентации или перечню функций. Важно проверить продукт на собственной инфраструктуре: оценить качество обнаружения, полноту интеграции, нагрузку на ресурсы, удобство работы специалистов и соответствие внутренним процессам.

Особенно это актуально для управления уязвимостями. В организациях различаются операционные системы, прикладное программное обеспечение, архитектура сети, порядок установки обновлений и допустимые сроки остановки информационных систем. Поэтому знакомство с Kaspersky Vulnerability Management целесообразно начинать с пилотного проекта.

Перед запуском пилота определяются границы и критерии успеха: какие активы войдут в проверку, какие сценарии будут испытаны и какие результаты должен получить заказчик. Такой подход позволяет оценить не только количество обнаруженных «слабых» зон, но и практическую применимость решения — качество инвентаризации, приоритизации рисков и контроля исправлений.

Аналогичный подход применяется и к внедрению KUMA. Пилот должен опираться на конкретные источники событий, сценарии выявления атак и понятный порядок перехода от срабатывания правила к расследованию инцидента.

Проведение такого тестирования требует высокой квалификации специалистов, чтобы корректно определить границы проекта и критерии успеха. Именно такую поддержку оказывают профессионалы компании «АЙТИ ЦЕНТР», помогая не просто подобрать продукт, а полностью встроить его в уже существующую инфраструктуру и рабочие процессы.

«АЙТИ ЦЕНТР» — официальный серебряный партнер и один из крупнейших партнеров «Лаборатории Касперского» на Юге России. Компания реализует проекты в области информационной безопасности, компьютерного оборудования и программного обеспечения: от защиты рабочих мест и поставки лицензий до внедрения комплексных систем мониторинга и управления информационной безопасностью.

На сайте «АЙТИ ЦЕНТРА»  можно запросить консультацию, обсудить проведение пилота Kaspersky Vulnerability Management или подобрать сценарий внедрения KUMA.

Главный результат такого проекта — не появление еще одной консоли у специалиста по информационной безопасности. Это сокращение времени между возникновением риска и конкретным управленческим действием, останавливающим потерю ресурсов компании. Организация начинает лучше понимать свои уязвимости, видеть происходящее в инфраструктуре в режиме реального времени и быстрее определять, какие проблемы требуют первоочередного внимания.