Центр реагирования ЦБ РФ изменил процесс передачи банкам индикаторов компрометации. Разработчики система управления инцидентами ИБ (SIEM)-системы адаптировали механизм их импорта в списки исключений.

В «СёрчИнформ Мониторинг безопасности» (СёрчИнформ система управления инцидентами ИБ (SIEM)) изменился процесс взаимодействия с базами мошеннических ресурсов от ФинЦЕРТ Банка России. Банки получают от ФинЦЕРТ индикаторы компрометации: домены и Сетевой адрес-адреса опасных веб-ресурсов, а также признаки, по которым они признаются мошенническими. Ранее индикаторы рассылались в финансовые организации в формате csv, теперь ФинЦерт рекомендует импортировать их из формата STIX 2.1. «СёрчИнформ Мониторинг безопасности» (СёрчИнформ система управления инцидентами ИБ (SIEM)) поддержала эту возможность.

система управления инцидентами ИБ (SIEM)-система автоматически добавляет полученные из ФинЦЕРТ индикаторы в «черные» списки. Обращение к ресурсам из списка – триггер для запуска проверки по правилу ИБ. Как только пользователи, оборудование или ПО в компании попытаются взаимодействовать с ними, система управления инцидентами ИБ (SIEM) уведомит ИБ-специалиста. Предварительно понадобится настроить импорт индикаторов в систему. Для этого нужно задать в настройках служб система управления инцидентами ИБ (SIEM) отдельную папку, куда будут загружаться STIX-файлы из автоматической системы обработки инцидентов (АСОИ) ФинЦЕРТ.

«Интеграция с базой мошеннических ресурсов позволяет автоматизировать работу ИБ-отдела и упрощает актуализацию настроек мониторинга: ведь база растет постоянно, пополнять «черные» списки опасных сайтов вручную трудозатратно, – комментирует Павел Пугач, системный аналитик «СёрчИнформ». – Мы оперативно поддерживаем все изменения, внедряемые ФинЦЕРТ в процедуру обмена данными через АСОИ. Даже когда меняются стандарты, финансовым организациям не придется тратить время на длительную перенастройку своих ИБ-систем: наша система управления инцидентами ИБ (SIEM) уже готова к новым форматам работы и обеспечит стабильно высокий уровень защиты».

Ранее разработчик представил в «СёрчИнформ Мониторинг безопасности» (СёрчИнформ система управления инцидентами ИБ (SIEM)) функцию по автоматическому импорту мошеннических доменов и Сетевой адрес-адресов из базы данных ФинЦЕРТ. С ее помощью финансовые организации могут обогатить система управления инцидентами ИБ (SIEM) данными об опасных веб-ресурсах, чтобы наладить автоматическое выявление и предотвращение связанных с ними инцидентов.