Банки Узбекистана меняют подход к кибербезопасности: вместо закупки отдельных средств защиты они начинают объединять информацию об угрозах и автоматизировать реагирование на атаки. Kapitalbank объявил тендер на платформу расширенного обнаружения угроз, а Orient Finans Bank уже использует систему централизованного мониторинга безопасности. Об этом сообщает «Код Дурова».
В ГК Softline связывают такие изменения с ростом киберпреступности и ужесточением требований к финансовым организациям. За последние пять лет количество киберпреступлений в Узбекистане выросло в 68 раз. Одновременно Центральный банк требует от финансовых организаций сообщать о внешних атаках.
«Развертывание платформы централизованного мониторинга требует перестройки операционных процессов служб безопасности. Система не знает по умолчанию, какие транзакции и сетевая активность типичны для конкретного банка, а какие выходят за рамки штатных операций. Поэтому сейчас фокус смещается на адаптацию логики обнаружения под внутреннюю ИТ-архитектуру и обучение аналитиков работе с поступающими сигналами. Только при таком подходе инфраструктурные инвестиции конвертируются в измеримый результат: сокращение времени выявления и нейтрализации инцидентов», — считает Илхом Бегматов, региональный представитель ГК Softline в Узбекистане.
Банковская инфраструктура включает рабочие станции сотрудников, серверы, базы данных, внутренние приложения и сетевое оборудование. Для защиты этих компонентов используются антивирусы, межсетевые экраны и системы предотвращения утечек информации. Отдельные события не всегда позволяют понять, что происходит в инфраструктуре в целом: антивирус может обнаружить подозрительную программу на компьютере сотрудника, а межсетевой экран — зафиксировать необычное сетевое соединение, и без сопоставления этих сведений специалистам сложнее определить, связаны ли они с одной атакой.
Для объединения таких сигналов используются системы управления информацией и событиями безопасности (SIEM), которые собирают данные из разных источников, сопоставляют их по заданным правилам и помогают выявлять признаки кибератак. Другой класс решений — платформы расширенного обнаружения и реагирования на угрозы (XDR), объединяющие информацию из нескольких средств защиты и помогающие расследовать инциденты и реагировать на них. В ГК Softline обращают внимание, что SIEM и XDR решают взаимосвязанные задачи, но не заменяют друг друга полностью, а выбор платформы зависит от существующей ИТ-инфраструктуры банка и того, какие процессы безопасности необходимо автоматизировать.
Kapitalbank ранее закупал продление 5200 лицензий Kaspersky Endpoint Security для защиты рабочих станций. В Orient Finans Bank уже внедрена российская платформа PT MaxPatrol SIEM для централизованного сбора и анализа событий информационной безопасности. Xalq Banki использует решение для мониторинга внешних цифровых рисков и защиты от интернет-мошенничества. Ежегодные затраты TBC Bank на кибербезопасность измеряются несколькими миллионами долларов.
В ГК Softline отмечают, что интерес финансового сектора к комплексным решениям создает возможности для поставщиков платформ и ИТ-интеграторов. На рынке Узбекистана продвигаются российские системы SIEM, включая продукты RuSIEM и R-Vision, а внедрение PT MaxPatrol SIEM в Orient Finans Bank уже подтверждает присутствие отечественных технологий. При этом каждый банк выбирает собственную архитектуру защиты.
Эффективность централизованного мониторинга зависит от настройки системы: у разных банков отличаются приложения, сетевое оборудование, способы обработки платежей и характер пользовательской активности, поэтому правила обнаружения подозрительных действий необходимо адаптировать под конкретную инфраструктуру. Если система не учитывает особенности работы банка, она может формировать слишком много незначимых предупреждений или пропускать события, требующие расследования. В Softline считают, что внедрение SIEM следует сопровождать настройкой сценариев обнаружения и подготовкой сотрудников.
Переход к централизованной защите требует объединения существующих средств безопасности с новыми платформами: банку необходимо определить, из каких систем будут поступать события, как их сопоставлять и кто отвечает за расследование подозрительной активности. По опыту команды Softline, при построении таких решений необходимо учитывать архитектуру заказчика и особенности его рабочих процессов. В Softline также обращают внимание на требования регулятора: если банк обязан оперативно уведомлять Центральный банк о внешних атаках, ему необходимы инструменты, которые помогают своевременно обнаруживать и анализировать такие события. Внедрение SIEM или XDR само по себе не заменяет организационные процедуры.
Следующим направлением развития может стать автоматизация действий после обнаружения угрозы с помощью систем оркестрации, автоматизации и реагирования на инциденты информационной безопасности (SOAR). Они позволяют выполнять заранее настроенные операции по определенным сценариям, например после подтверждения подозрительной активности запустить предусмотренную процедуру блокировки угрозы. Однако для использования SOAR банку необходимо сначала наладить обнаружение и обработку инцидентов. По мнению экспертов Softline, переход к SOAR логично рассматривать после настройки SIEM, XDR и правил работы с инцидентами.