Банки Узбекистана переходят от антивирусов к системам обнаружения кибератак
Банки Узбекистана меняют подход к кибербезопасности: вместо закупки отдельных средств защиты они начинают объединять информацию об угрозах и автоматизировать реагирование на атаки. Kapitalbank объявил тендер на платформу расширенного обнаружения угроз, а Orient Finans Bank уже использует систему централизованного мониторинга безопасности. Об этом сообщает «Код Дурова».
«Развертывание платформы централизованного мониторинга требует перестройки операционных процессов служб безопасности. Система не знает по умолчанию, какие транзакции и сетевая активность типичны для конкретного банка, а какие выходят за рамки штатных операций. Поэтому сейчас фокус смещается на адаптацию логики обнаружения под внутреннюю ИТ-архитектуру и обучение аналитиков работе с поступающими сигналами. Только при таком подходе инфраструктурные инвестиции конвертируются в измеримый результат: сокращение времени выявления и нейтрализации инцидентов», — считает Илхом Бегматов, региональный представитель ГК Softline в Узбекистане.
В ГК Softline связывают такие изменения с ростом киберпреступности и ужесточением требований к финансовым организациям. За последние пять лет количество киберпреступлений в Узбекистане выросло в 68 раз. Одновременно Центральный банк требует от финансовых организаций сообщать о внешних атаках. Чтобы быстрее выявлять подозрительную активность и разбираться в произошедшем, банкам необходимо анализировать события безопасности из разных ИТ-систем. Однако внедрение новых платформ требует пересмотра внутренних процессов и подготовки специалистов.
Банковская инфраструктура включает рабочие станции сотрудников, серверы, базы данных, внутренние приложения и сетевое оборудование. Для защиты этих компонентов используются разные инструменты: антивирусы, межсетевые экраны и системы предотвращения утечек информации. Каждый инструмент решает свою задачу, но отдельные события не всегда позволяют понять, что происходит в инфраструктуре в целом. Например, антивирус может обнаружить подозрительную программу на компьютере сотрудника, а межсетевой экран — зафиксировать необычное сетевое соединение. Если сведения об этих событиях не сопоставляются, специалистам сложнее определить, связаны ли они с одной атакой. По оценке экспертов Softline, именно необходимость объединять такие сигналы повышает интерес банков к платформам централизованного мониторинга.
Для этого используются системы управления информацией и событиями безопасности (SIEM). Они собирают данные из разных источников, сопоставляют их по заданным правилам и помогают выявлять признаки кибератак. Другой класс решений — платформы расширенного обнаружения и реагирования на угрозы (XDR). Они объединяют информацию из нескольких средств защиты и помогают специалистам расследовать инциденты и реагировать на них. В ГК Softline обращают внимание, что SIEM и XDR решают взаимосвязанные задачи, но не заменяют друг друга полностью. Выбор платформы зависит от существующей ИТ-инфраструктуры банка и того, какие процессы безопасности необходимо автоматизировать.
Изменение подхода заметно по проектам и закупкам финансовых организаций. Kapitalbank объявил тендер на внедрение XDR-платформы. Ранее банк закупал продление 5200 лицензий Kaspersky Endpoint Security для защиты рабочих станций. Эти закупки показывают, как могут дополнять друг друга два уровня безопасности. Антивирус защищает устройства, а XDR помогает анализировать угрозы с учетом событий в других системах. В Orient Finans Bank уже внедрена российская платформа PT MaxPatrol SIEM. Она предназначена для централизованного сбора и анализа событий информационной безопасности. Xalq Banki использует решение для мониторинга внешних цифровых рисков и защиты от интернет-мошенничества. Такой подход ориентирован на обнаружение угроз за пределами внутренней сети организации. Масштаб расходов также различается. Например, ежегодные затраты TBC Bank на кибербезопасность измеряются несколькими миллионами долларов.
В ГК Softline отмечают, что интерес финансового сектора к комплексным решениям создает возможности для поставщиков платформ и ИТ-интеграторов. На рынке Узбекистана продвигаются российские системы SIEM, включая продукты RuSIEM и R-Vision, а внедрение PT MaxPatrol SIEM в Orient Finans Bank уже подтверждает присутствие отечественных технологий. При этом каждый банк выбирает собственную архитектуру защиты. Наличие конкретного продукта в одной организации не означает, что аналогичная система подойдет всем участникам финансового рынка.
Централизованный мониторинг помогает собирать и сопоставлять события безопасности, но его эффективность зависит от настройки системы. У разных банков отличаются приложения, сетевое оборудование, способы обработки платежей и характер пользовательской активности. Поэтому правила обнаружения подозрительных действий необходимо адаптировать под конкретную инфраструктуру. Если система не учитывает особенности работы банка, она может формировать слишком много незначимых предупреждений или пропускать события, требующие расследования. Специалистам службы безопасности приходится определять, какие действия являются обычными, какие требуют дополнительной проверки и при каких условиях необходимо начинать реагирование. В Softline считают, что внедрение SIEM следует сопровождать настройкой сценариев обнаружения и подготовкой сотрудников, которые будут работать с поступающими сигналами.
Переход к централизованной защите требует объединения существующих средств безопасности с новыми платформами. Банку необходимо определить, из каких систем будут поступать события, как их сопоставлять и кто отвечает за расследование подозрительной активности. Важно также организовать работу специалистов, чтобы обнаруженные угрозы не оставались без внимания. По опыту команды Softline, при построении таких решений необходимо учитывать архитектуру заказчика и особенности его рабочих процессов. Универсальные настройки не могут одинаково точно описывать нормальную активность разных банков. ГК Softline рассматривает интеграцию средств защиты как один из важных этапов модернизации информационной безопасности. Для заказчика это означает необходимость заранее согласовать требования к платформе, источникам данных и порядку реагирования на инциденты. В Softline также обращают внимание на требования регулятора. Если банк обязан оперативно уведомлять Центральный банк о внешних атаках, ему необходимы инструменты, которые помогают своевременно обнаруживать и анализировать такие события. При этом внедрение SIEM или XDR само по себе не заменяет организационные процедуры. Финансовой организации необходимо определить, кто проверяет предупреждения, принимает решения и готовит сведения об инциденте.
Следующим направлением развития может стать автоматизация действий после обнаружения угрозы. Для этого используются системы оркестрации, автоматизации и реагирования на инциденты информационной безопасности (SOAR). Они позволяют выполнять заранее настроенные операции по определенным сценариям. Например, после подтверждения подозрительной активности система может запустить предусмотренную процедуру блокировки угрозы. Это сокращает объем повторяющихся действий, которые специалистам приходится выполнять вручную. Однако для использования SOAR банку необходимо сначала наладить обнаружение и обработку инцидентов. Если система получает неточные сигналы, автоматизация может привести к ошибочным действиям. По мнению экспертов Softline, развитие таких решений должно опираться на уже выстроенные процессы мониторинга и реагирования. Поэтому переход к SOAR логично рассматривать после настройки SIEM, XDR и правил работы с инцидентами.
Для банков Узбекистана главным результатом модернизации станет возможность быстрее обнаруживать угрозы и сокращать время реагирования на них. Российские поставщики могут участвовать в этих проектах, предлагая платформы и услуги интеграции, но эффективность каждого внедрения будет зависеть от настройки технологий под инфраструктуру конкретного банка. В ГК Softline считают, что дальнейшее развитие банковской кибербезопасности в Узбекистане будет связано с интеграцией существующих решений и автоматизацией реагирования. Основным критерием успеха станет скорость обнаружения и нейтрализации атак, которую банк сможет обеспечить после внедрения новых платформ.
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
