Как EDR помогает защититься от продвинутых атак на центры сертификации?

🗣Ты системный администратор в компании, но твои привилегии — это локальный администратор центра сертификации?
Атака на центр сертификации, с целью повышения привилегий, уже не звучит как фантастика, верно? Сегодня расскажем, как RT Protect EDR может спасти вашу инфраструктуру от внутреннего нарушителя.

Как происходит атака типа Golden Certificate?
Для реализации атаки тебе понадобится твоя учетная запись, утилита Certify и старый добрый Impacket.
Тебе останется только:
1. Получить сертификат и закрытый ключ центра сертификации.
2. Использовать Impacket для повышения привилегий.
3. Получить полный контроль над доменом.

🗣Ошибка при запросе... Не удаётся получить сертификат и закрытый ключ. Что-то пошло не так. Но что?
На пути внутреннего нарушителя встал RT Protect EDR.

⚙️ Как RT Protect SOC предотвращает атаку?
Внутреннему нарушителю не удалось захватить домен благодаря использованию RT Protect EDR в инфраструктуре, в частности, на сервере центра сертификации Active Direcotory, о чем он, вероятно, забыл.
Нередко инструменты хакеров используют стандартные утилиты Windows. В данном случае используется утилита certutil, и аргументы командной строки для данной утилиты показались подозрительными для RT Protect EDR, ввиду чего активность была моментально заблокирована.
Обнаружив данную активность, SOC-специалисты оперативно уведомляют команду ИБ, давая рекомендации по локализации инцидента. И, пока атакующий ищет обходные пути, команда уже анализирует инцидент и готовится нейтрализовать последствия.

Итог: защита, на которую можно положиться

Чтобы ваша инфраструктура оставалась устойчивой:
⏺Используйте RT Protect EDR для обнаружения продвинутых атак.
⏺Подключите инфраструктуру к RT Protect SOC для быстрого реагирования.
⏺Создайте команду ИБ, которая справится с любым вызовом.

#RT_Protect_EDR

🛠️ RT Protect EDR: сила в стабильности

Мы продолжаем совершенствоваться: теперь защита ваших данных не только надёжна, но и удобна.

Что изменилось?
Агент для OC Windows:
⏺Провели работу над улучшением сообщений об ошибках в логах;
⏺Усовершенствовали процесс обработки сетевых пакетов SSL HELLO при использовании VPN-сервисов;
⏺Устранили проблему, приводившую к замедлению работы системы при активации опции подсчета хэшей MD5 и SHA-1 в профиле безопасности агента;
⏺Доработали логику обработки исключений для программ, что позволило поддерживать исключения по имени файла, даже если в качестве имени указано "*", а поле издателя ЭП остается незаполненным;
⏺И еще много нового ждет вас в версии 2.0.178.2678!

Будьте готовы к обновлениям с RT Protect EDR!

#RT_Protect_EDR

Как EDR спасает от фишинга

🗣История о том, как обычное фишинговое письмо может стать отправной точкой к компрометации инфраструктуры.

Дело было в организации N, где сотрудники подразделения информационной безопасности наотрез отказывались от включения блокировки в RT Protect EDR.
Бухгалтер компании N получил письмо от «коллег» с просьбой проверить важный отчёт. Во вложении был файл: "Отчет_генеральному_директору.docx.exe".
Двойное расширение? Кто заметит такую мелочь в спешке? Бухгалтер точно не заметил.

Он открыл файл и, не увидев никакого отчета, спокойно ушёл домой. Но уже через 15 минут:
⏺Сотрудники безопасности обнаружили подозрительную активность.
⏺Пытались дозвониться до бухгалтера, но тот уже не отвечал.
⏺Утром рабочий компьютер пришлось полностью переустанавливать.

Что случилось?
Вредоносная программа попыталась отключить RT Protect EDR с помощью утилиты EDRSilencer, но ей не удалось этого сделать. После этого была запущена полезная нагрузка Staged Payload, открывшая злоумышленникам доступ к сети компании.
За 15 минут специалисты RT Protect SOC оперативно уведомили подразделение информационной безопасности и помогли в предотвращении атаки.

Почему они справились?
⏺RT Protect EDR обнаружил подозрительный файл с двойным расширением и поднял тревогу.
⏺При помощи EDRSilencer невозможно остановить работу RT Protect EDR.
⏺Аналитики RT Protect SOC отследили подозрительные действия, используя доступные инструменты мониторинга.
⏺Система RT Protect TI выявила обращения к вредоносным IP-адресам и доменам.

Теперь представьте другую реальность…
В этой версии истории сотрудники компании согласовали включение блокировок:
бухгалтер получил то же письмо, открыл тот же файл, и... опять ничего не произошло.
Только на этот раз все вредоносные действия были заблокированы.

Чтобы инфраструктура оставалась устойчивой:
1. Включайте режим активного блокирования угроз в RT Protect EDR для предотвращения потенциально вредоносной активности.
2. Круглосуточный мониторинг в RT Protect SOC следит за вашей безопасностью 24/7.
3. Держите руку на пульсе: вместе с RT Protect TI обеспечьте своевременное выявление индикаторов компрометации инфраструктуры.
4. Учите сотрудников с помощью RT Protect Awareness для повышения осведомлённости в сфере информационной безопасности.

Топ-100 ИБ-компаний России: кто защищает наши данные?

Каждый день миллионы данных нуждаются в защите, а технологии кибербезопасности не стоят на месте.
TAdviser составил рейтинг крупнейших российских компаний, которые создают, внедряют и продвигают решения для цифровой безопасности.

🔝 В топ вошли:
⏺Вендоры — те, кто разрабатывает решения для защиты данных.
⏺Интеграторы — компании, которые внедряют ИБ-решения в бизнес.
⏺Дистрибуторы — поставщики технологий и сервисов.

Среди лидеров рейтинга — РТ-Информационная безопасность, стабильно удерживающая свои позиции.

Рейтинг основан на данных анкетирования и официальной отчетности компаний.


📎 Узнайте больше на TAdviser Security.

Приятно познакомиться, SOC-центр

Мир давно живёт онлайн: от личных фото в облаке до банковских счетов и корпоративных тайн. Само собой разумеется, что есть и те, кто хочет получить доступ к этим данным (и сделать это не совсем легитимными способами).

По другую сторону баррикад — организации, которые задумываются о безопасности своих данных, или организации, располагающие такими сведениями, защита которых не просто прихоть, а требование нормативно-законодательного аппарата.

Именно для организаций, располагающих большой инфраструктурой и не имеющих своего департамента безопасности, и нужны SOC-центры.

Какие бывают SOC-центры?
⏺In-house SOC
Это SOC-центр, который развернут на базе одной организации и полностью знаком с инфраструктурой. В крупных IT-компаниях есть целые команды специалистов, которые мониторят все угрозы и реагируют на них самостоятельно. Но это дорогое удовольствие, требующее штата квалифицированных специалистов по информационной безопасности и больших мощностей.

⏺MSSP-провайдер
Это организация, которая предоставляет услуги SOC-центра для других компаний. Вы отдаёте свою безопасность на аутсорс профессионалам. Они берут на себя мониторинг и реагирование на компьютерные инциденты. Удобно, если свой SOC строить слишком дорого или сложно.
Важно отметить, что компания АО «РТ-Информационная безопасность» также предоставляет услуги по модели MSSP.

⏺Гибридный SOC
Эта модель сочетает в себе лучшие черты как внутреннего, так и внешнего SOC. Заказчик и провайдер делят зоны ответственности между собой. Например, SIEM остаётся у заказчика, а IRP у провайдера. Это некий компромисс, который при грамотном управлении может обеспечить максимальный уровень безопасности в организации.

❔ Зачем вам SOC?
Ваша безопасность — это игра на опережение. Не ждите, пока случится инцидент. Организуйте защиту уже сегодня!

#СловарьИБ

🔥 RT Protect TI: новая эра управления уязвимостями

Готовы к настоящему апгрейду безопасности? Мы выпустили новую версию RT Protect TI с полностью переработанным модулем управления уязвимостями!

Что нового?
⏺В веб-интерфейсе появился модуль управления уязвимостями с разделами «Уязвимости» и «Программы».
⏺Обновлён механизм синхронизации уязвимостей с базами БДУ ФСТЭК и NIST.
⏺В разделе «Программы» агрегируется статистика установленного ПО и его уязвимостей в подключенных Организациях.
⏺В разделе «Уязвимости» представлена сводная информация об известных уязвимостях и их обнаружениях в установленном ПО.
⏺Добавлена возможность проверки ПО на уязвимости через веб-интерфейс.
⏺Реализован экспорт информации о ПО и уязвимостях в CSV.
⏺Добавлена возможность рекурсивной синхронизации наборов YARA-правил из директории GitHub-репозитория и экспорт/импорт правил в формате JSON.

Не дайте уязвимостям шанса! Переходите на новую версию уже сейчас и защитите ваши системы от киберугроз.

#RT_Protect_TI

👤 Биометрия: мифы цифровой реальности

Сегодня биометрия повсюду: отпечатки пальцев, сканирование лица, голос — с этими параметрами проще пройти идентификацию в банках, госуслугах и даже оплатить покупки. Но безопасно ли это?

Основные мифы:
1. Соберут биометрию без моего согласия
🗣 По закону биометрические данные собираются только с вашего письменного согласия. Для этого нужно лично пройти процедуру, например, через «Госуслуги Биометрия».
2. Моя биометрия может попасть к киберпреступникам
🗣 Данные хранятся только в ЕБС (Единая биометрическая система) и защищены по самым строгим стандартам. Они зашифрованы и хранятся отдельно от персональных данных.
3. Биометрия = слежка за мной
🗣 ЕБС используется только для государственных и гражданских услуг и не связана с камерами наблюдения. За вами не будут следить «по лицу».
4. Систему можно обмануть
🗣 Современные системы оснащены ИИ, который легко отличает живого человека от подделок. Видеофиксация и онлайн-распознавание делают процесс надежнее.
5. Сканеры вредны для здоровья
🗣 Сканеры работают бесконтактно. Они безопасны — как фотоаппарат или камера.
6. Кто-то уже пользуется моей биометрией
🗣 Проверить, сдавали ли вы биометрию, можно на портале госуслуг или обратившись в МФЦ.

Важно помнить: если пароли можно сменить, то биометрию — нет. Риски при её компрометации выше, поэтому стоит внимательно относиться к согласию на её сбор.

#РазрушительницаМифов

💬 Нам нужно серьезно поговорить…

Мы уже рассказывали о преимуществах облачных хранилищ, но пришло время раскрыть их темную сторону.

Основные угрозы безопасности:
1. Технические уязвимости
Даже передовые облачные платформы подвержены уязвимостям в ПО, сервисах или настройках, которые могут быть использованы злоумышленниками для взлома системы.
2. Человеческий фактор
Ошибки при настройке доступа, слабые пароли, неосторожность при обращении с конфиденциальными данными — все это открывает лазейки для атак.
3. Фишинг и социальная инженерия
Поддельные письма, ссылки и страницы регулярно используются для кражи учетных данных пользователей.
4. Недоверенные сторонние приложения
Интеграция ненадежных сторонних сервисов может стать точкой входа для атак.
5. DDoS-атаки
Атаки на облачную инфраструктуру могут привести к отказу в обслуживании и недоступности сервисов.
6. Отсутствие резервного копирования
Потеря данных из-за сбоев, атак или ошибок пользователей усугубляется отсутствием резервных копий.

Рекомендации по обеспечению безопасности
Вот несколько простых, но эффективных советов:
⏺Использование доверенных облачных провайдеров:
Выбор доверенного облачного провайдера — важный шаг в обеспечении безопасности данных.
⏺Шифрование данных:
Шифруйте данные до их загрузки в облако и надежно храните ключи шифрования, исключая их совместное размещение с зашифрованной информацией.
⏺Многофакторная аутентификация (MFA):
Внедрите многофакторную аутентификацию для защиты учетных записей от несанкционированного доступа.
⏺Контроль доступа:
Регулярно проверяйте права доступа пользователей, минимизируйте привилегии и своевременно удаляйте неактивные учетные записи.
⏺Защищенное соединение:
Используйте только зашифрованные соединения (например, VPN) для доступа к облачным ресурсам и избегайте работы с облаком через общедоступные сети.
⏺Централизованное управление данными:
По возможности минимизируйте хранение конфиденциальных данных на локальных устройствах, используя защищенные облачные рабочие среды.
⏺Резервное копирование данных:
Настройте регулярное резервное копирование хранимых данных.

#Советы

🔎 Обзор платформы RT Protect TI на Anti-Malware.ru

Хотите найти эффективный инструмент для мониторинга угроз и защиты своей инфраструктуры?
Тогда пришло время ознакомиться с подробным обзором платформы разведки киберугроз RT Protect TI — современного решения для анализа и противодействия киберугрозам.

🗣Автор обзора — Константин Васильев, заместитель руководителя RT Protect SOC и владелец продукта RT Protect TI.

В статье вас ждут:
⏺Полное описание функционала платформы.
⏺Примеры применения и реальные кейсы.
⏺Возможности интеграции с другими системами.

Переходите по ссылке и узнайте, как RT Protect TI помогает опережать угрозы и укреплять защиту!

🔒 RT Protect EDR: защита, которая работает на вас

Готовы к обновлениям в новом году?
Вышли новые версии агента и сервера RT Protect EDR, и они точно стоят вашего внимания. Стабильность, безопасность и оптимизация — все, что нужно для эффективной работы системы!

Что вас ждет?
Агент для OC Windows:
⏺Оптимизирован объем передаваемых агентом данных за счет изменения принципа передачи информации о стэке вызовов в блоке событий.
⏺Оптимизировано управление сетевыми соединениями для улучшения работы на высоконагруженных системах.
⏺Улучшена логика резервирования файлов модулем антишифровальщика на сетевых дисках.
⏺Добавлена возможность исключать из телеметрии события сетевого взаимодействия отдельно для входящего, исходящего трафиков или анализа DNS-трафика посредством исключений для программ.
⏺Добавлен новый оператор rematches в условные выражения индикаторов атак, позволяющий использовать полноценные регулярные выражения при написании правил корреляции.

📎 Версия: 2.0.203.2703


Сервер:
⏺Переработан модуль VM в рамках интеграции с RT Protect TI. Реализована поддержка сортировки и фильтрации для уязвимых программ. Добавлена сводка по модулю VM на главную страницу.
⏺Реализовано назначение критичности актива для агентов. Доступно отслеживание инцидентов, связанных с обнаружениями трендовых уязвимостей на критичных активах, и скачивание отчета об уязвимостях в ПО в формате CSV.
⏺Добавлены новые поля в события типа «Статистика» для углубленного сбора информации о производительности системы.
⏺Включена возможность добавления и удаления набора в комбинацию наборов агента.
⏺Доработана валидация доменных имен перед отправкой их на сервер TI.
⏺Добавлены фильтры на уровне списка наборов исключений и отдельного набора.

📎 Версии: Backend 1.22.1 / Frontend 2.40.40


#RT_Protect_EDR

В чем сила, SOC?

🗣Что если мы скажем, что кибератака может случиться прямо в этот момент?
По данным исследования Университета Мэриленда, кибератака происходит каждые 39 секунд, но есть те, кто готов к ним всегда.

Как SOC защищает нас в реальной жизни?
1. Построение инфраструктуры
Всё начинается с понимания инфраструктуры:
⏺Как выстроена сетевая инфраструктура и какие её особенности?
⏺Какой стек технологий используется?
⏺Какие средства защиты информации (СЗИ) применяются?
⏺Какие политики ИБ применяются в организации?
Эта база позволяет выстроить индивидуальную стратегию защиты для каждой организации.

2. Сбор и доставка данных
Специалисты SOC-центра занимаются не только настройкой систем мониторинга, но также помогают настроить экспорт событий от целевой системы в зависимости от ее типа до баз данных SOC-центра.

3. Нормализация и анализ событий
На этапе доставки событий от СЗИ или после выстраивания полноценных процессов сбора событий ИБ происходит их нормализация для хранения в локальных базах данных SOC-центра.
⏺Нормализация упрощает их дальнейшую обработку.
⏺Корреляция объединяет отдельные события в комплексные инциденты.
⏺Аналитики получают не просто миллионы строк данных, а ясное представление о текущей угрозе.

4. Инвентаризация активов
Документирование всех серверов, устройств и систем, включая их критичность, назначение и уязвимости, что позволяет оперативно выявлять и реагировать на атаки, а также эффективно управлять рисками и обеспечивать безопасность инфраструктуры.

5. Оркестрация инцидентов
SOC использует современные платформы (Security Orchestration, Automation, and Response (SOAR), Incident Response Platform (IRP)) для управления инцидентами. Всё под контролем: от первого сигнала до финального отчёта.

6. Реагирование на угрозы
SOC не ждёт, пока инцидент перерастёт в катастрофу. Он действует:
⏺Круглосуточный мониторинг. Любое подозрение — сигнал к действию.
⏺Фильтрация False Positive (ложноположительных) инцидентов. Экономия времени и ресурсов.
⏺Ведение отчетности и создание метрик для отслеживания состояния инфраструктуры.
⏺Расследование атак. Каждая угроза анализируется, чтобы исключить её повторение.
⏺Автоматизация. Скрипты, SOAR, ML. Оптимизация и автоматизация всех процессов с безопасным и эффективным применяем искусственного интеллекта.
⏺Применение AI/ML: Классификация инцидентов, определение похожих инцидентов (Similarity), генерация описания инцидентов и рекомендаций, мониторинг состояния источников (определение трендов), SOC RAG-помощник для поиска специфической информации.
⏺Актуализация контента. Разработка и обновление правил корреляций.
⏺Проведение аналитики TI/TH (Threat Intelligence/Threat Hunting) для поиска и анализа угроз.
⏺Постоянная доработка и донастройка функционала СЗИ, IRP- и SOAR-платформ, улучшение эффективности и производительности систем.

#СловарьИБ

⚪️Интернет знает о вас всё

Мы ежедневно оставляем в интернете огромный объем данных: лайки, фото, комментарии, транзакции.
Со временем это превращается в массив информации, который может быть использован против нас.
Настало время взять под контроль свою цифровую жизнь!

Страшная правда о данных
Согласно исследованиям Digital Content Next и Университета Вандербильта:
⏺Устройства на ОС Android передают данные о вашем местоположении в Google до 340 раз в сутки, даже если браузер открыт в фоновом режиме.
⏺Так называемые «анонимные данные» легко превращаются в подробные профили с помощью рекламных идентификаторов и файлов cookie.
⏺Google собирает информацию о вас даже без вашего прямого взаимодействия с их сервисами.


3 шага к защите цифровой жизни
1. Право на забвение
Российское законодательство даёт вам право требовать удаления ссылок на личные данные из поисковиков.
Как это сделать:
⏺Перейдите на «Форму запроса на удаление персональных данных»:
🗣Google
🗣Яндекс
⏺Заполните форму, укажите ссылки, где размещена информация о вас, и прикрепите подтверждающие документы.

⏰ Срок исполнения: до 10 дней.


2. Проверьте облачные хранилища
Файлы, загруженные вами в облака, со временем могут стать уязвимыми при утечке.
Чтобы избежать рисков:
⏺В Google Drive используйте функцию поиска по датам, чтобы найти и удалить старые файлы.
⏺В Dropbox, iCloud или OneDrive отсортируйте файлы по дате последнего изменения и удалите ненужное.

💡 Важные документы храните в локальном зашифрованном хранилище.


3. Настройте конфиденциальность в Google
Ваш аккаунт Google хранит большое количество данных: история поиска, местоположение и голосовые команды.
Что нужно сделать:
⏺Откройте настройки аккаунта Google.
⏺Перейдите в раздел «Конфиденциальность и персонализация».
⏺Очистите историю поиска, местоположений и голосовых команд.

#СекретыМаскировки