Как правильно оценить производительность NGFW: путеводитель по метрикам безопасности сети

Введение: аналогия с поликлиникой

Представьте себе поликлинику, способную пропускать 360 пациентов в час или одного в секунду. Звучит впечатляюще, не так ли? Но отражает ли это реальную эффективность медицинского учреждения? Конечно, нет. Ведь мы понимаем что за 1 секунду нельзя проверить здоровье человека и тем более вылечить. Это бессмысленный параметр, показывающий производительность входной двери, но не поликлиники в целом. Аналогичная ситуация складывается с оценкой производительности устройств сетевой безопасности, таких как Next-Generation Firewall (NGFW). Высокие значения пропускной способности поначалу впечатляют, а после изучения вызывают недоумение.

Ключевые факторы влияющие на производительность NGFW

1. Движки проверки трафика:
   • DPI (Deep Packet Inspection)
   • User-ID
   • IPS (Intrusion Prevention System)
   • URL-фильтрация
   • Антивирусная защита
   • Threat Intelligence
   • Песочница (Sandbox)
2. Преобразование зашифрованного трафика и сертификатов:
   • IPSEC туннели
   • SSL-шифрование

Почему "сырые" показатели скорости могут вводить в заблуждение?

Производительность NGFW, измеренная только на UDP-пакетах или в пакетах в секунду, подобна оценке работы поликлиники по скорости входа и выхода пациентов. Эти метрики не учитывают реальные процессы обработки данных и обеспечения безопасности.

На что обратить внимание при выборе NGFW?

Ключевой показатель: Threat Prevention или Threat Protection (TP)

При изучении технических характеристик (datasheet) NGFW, обратите особое внимание на параметр "Threat Prevention" или "Threat Protection". Это наиболее важный показатель, отражающий реальную скорость проверки сетевых пакетов на наличие угроз.

Заключение

Выбирая NGFW для защиты вашей сети, не поддавайтесь соблазну "сырых" показателей производительности: на UDP пакетах, Packet Per Second (PPS) Frame Per Second (FPS). Сосредоточьтесь на метриках, отражающих реальную способность устройства, чтобы затем обеспечивать комплексную защиту при реальных рабочих потоках трафика.

Для более глубокого понимания темы рекомендуем ознакомиться с видеоматериалами, демонстрирующими практические примеры оценки производительности NGFW.

Шокирующий арест Павла Дурова в Париже: основателя Telegram обвиняют в содействии преступности

Создатель мессенджера Telegram, миллиардер Павел Дуров арестован в аэропорту Парижа. Об этом сообщает французский новостной канал LCI.

Вот что пишут французы (переведено в google translate):

 «На своей платформе он допустил совершение бесчисленных правонарушений и преступлений, в отношении которых он не предпринимал никаких действий для модерации или сотрудничества», — анализирует источник, близкий к делу.

Telegram — это улей криминального контента. В настоящее время платформа фигурирует в новостях с нелегальной трансляцией матчей Лиги 1. Но на этом сервисе зашифрованных сообщений многие учетные записи используются организованной преступностью. Помимо терроризма, самые опасные дети-преступники общаются в Telegram для обмена контентом. «За долгие годы она стала платформой номер 1 для организованной преступности», — комментирует следователь.

Новинка в кибербезопасности: Киберпугало заставляет хакеров обходить ваш компьютер стороной! В чем секрет?

В мире киберугроз происходит нечто удивительное: хакеры сами стали жертвами своих собственных уловок! Как это возможно? Давайте разберёмся.

Современные вредоносные программы очень хитрые: они проверяют, установлены ли на компьютере средства анализа, такие как отладчики или виртуализация. Если такие инструменты обнаружены, вредоносное ПО просто останавливается, думая что его уже обнаружили или что оно работает в песочнице для анализа.

И на сцену выходит Киберпугало — ваш защитник в мире киберугроз! Эта программа работает в фоновом режиме, «подделывая» индикаторы работы защитных средств. Вредоносные программы начинают думать, что ваш компьютер не подходит для атаки и не запускаются.

- Киберпугало запускает поддельные процессы, которые выглядят как инструменты для анализа безопасности, но на самом деле ничего не делают.

- Киберпугало создает фиктивные записи в реестре Windows, создавая иллюзию, что на вашем компьютере установлены средства защиты.

Это только начало! Уже сейчас Scarecrow демонстрирует потрясающие результаты.

В мире кибербезопасности важно быть на шаг впереди. Киберпугало —  ваш надежный союзник в борьбе с вредоносными программами. Читайте блог, чтобы узнать больше о том, как защитить себя в этом опасном цифровом мире!

Почему в datasheet у NGFW производительность одна, а потом в реальной сети - другая.

Сегодня был интересный разговор в чате по NGFW

Пользователи спрашивают: 

1. Почему в datasheet у NGFW производительность одна, а потом в реальной сети - другая. 

2. Как понять какая же скорость будет в вашей сети.

Ответ: друзья, все тесты в datasheet - искусственные. Чтобы узнать производительность межсетевого экрана, нужно его тестировать на вашем трафике.

Gartner не разобрался в SOAR

Цикл хайпа по Gartner. Где SOAR многие разочарованы.

SOAR жив: Развенчиваем мифы о судьбе Security Orchestration, Automation and Response

В мире кибербезопасности появились слухи о "смерти" 😱SOAR (Security Orchestration, Automation and Response) после некоторых заявлений Gartner. Давайте разберемся, что происходит на самом деле и почему SOAR остается важным инструментом для специалистов по безопасности.

Что на самом деле сказал Gartner о SOAR

😱Странные слухи, что Gartner чуть ли не убил весь класс продуктов SOAR. С чего вы взяли? 🚫 Gartner всего лишь не планирует публиковать Magic Quadrant для SOAR. Исследование Gartner по IT-услугами (ITSM) указывает на неудовлетворенность специалистов по безопасности и устаревшими продуктами и решениями SOAR. А с тем же SIEM такого никогда не было? Я помню тех людей, которые покупали SIEM и потом ждали что у них сами люди обучатся инциденты расследовать и процессы наладятся сами - а оказалось, что это тоже работа менеджмента.

Критика ограничений SOAR: Насколько она обоснована?

В отчете Gartner отмечены следующие критические ограничения SOAR:

• Высокие первоначальные затраты на установку и внедрение. А SIEM или NGFW прямо с полпинка внедряется? ;)
• Высокие затраты на поддержку и обслуживание. Даже так? ) По сравнению с чем? ) А переписывать питон скрипты при смене API - это прямо совсем недорого? )
• Требование наличия специалистов с обширными навыками программирования. А они вообще пробовали SOAR или что-то из области No-Code? )
• Проблемы интеграции и совместимости с инструментами третьих сторон. Это да, согласен, но это общая проблема рынка, а не только продуктов SOAR. Так ведь SOAR и создан, чтобы эту проблему решать. 
• Нереалистичные ожидания, что SOAR может решить все проблемы безопасности как автономное решение. А от других продуктов значит ожидания реалистичные? )

Мое понимание, что в Gartner просто не нашлось специалиста, который смог адекватно оценить и сравнить продукты этого класса, как это смог сделать Антон Чувакин для SIEM в свое время. Я почитал их отмазку "Недостаточная зрелость рынка: SOAR как категория технологий находится на стадии формирования. Gartner предпочитает дождаться более четкой картины для создания качественной и информативной оценки" ЧТО?! ) ДА ЛАДНО! 😆 

История и развитие SOAR: От инновации до зрелого решения

Я прекрасно настраивал людям Cortex XSOAR и это был прекрасно сформировавщийся продукт и его сделала изначально компания Demisto. Людям было удобно подключать молодых сотрудников к процессам, на основе готовых плейбуков, и которые молодежь даже не знала как работают, и они учились по этим плейбукам старших товарищей - это позволяет быстрее адаптировать нового сотрудника в SOC. Спасибо, SOAR.

Я прекрасно помню как на конференции RSA я был под впечатлением от выступления компании Phantom, которая и придумала идею SOAR - цеплять всех вендоров через API и управлять ими через плейбуки. Удобная автоматизация и оркестрация - это мечта любого специалиста.

Phantom выступал на RSA Conference еще в 2016 году 🔥, где был назван "Самым инновационным стартапом" конференции. Это признание было получено в результате конкурса, в котором участвовало 10 финалистов, и Phantom был выбран победителем жюри, состоящего из венчурных капиталистов и экспертов в области безопасности.

И Splunk потом купил Phantom.

Будущее автоматизации кибербезопасности: SOAR vs AI

Gartner считает, что нужно смотреть на более зрелые решения класса AI. Да, пусть AI угадывает параметры XML для новой версии API вендора - ведь проблема то в этом.

Инструменты автоматизации рабочих процессов должны преобразовывать события в оповещения для администраторов, создавать каналы связи между разными типами устройств защиты, обновлять статус инцидента в реальном времени. В общем очередная мечта об одной красной кнопке "сделать все" умерла....

Ну так это не проблема класса продуктов, это работа человеческой психологии. Могут ли сегодняшние средства защиты устранять проблемы в один клик для сценария, например, когда все Windows лежат в синем экране от CrowdStrike бага? Нет.

Несмотря на критику, SOAR продолжает играть важную роль в современной кибербезопасности.

Что вы думаете о будущем SOAR? Поделитесь своим опытом использования этих инструментов в комментариях.

Detection, Deception and Response - как NDR и DDP ускоряют Time to Detect.

Сегодня мы вынуждены констатировать ситуацию, что хакеры находят способы проникать в корпоративные сети. Например, они воруют логин и пароль сотрудника и заходят во внутреннюю сеть через наш VPN шлюз, и работают от имени легитимного пользователя и забирают данные компании легитимными утилитами. Так было во время взлома Uber и Cisco, и многих российских компаний, которые пожелали остаться неизвестными. 

А как же двухфакторная аутентификация скажете вы? Почему не спасает MFA я уже описывал здесь (https://www.youtube.com/watch?v=j_nckY3gF6Q).

5 способов обхода MFA.

Поэтому задача команды SOC сегодня – как можно быстрее 🙈 обнаружить, что злоумышленник уже в сети.

Существует несколько вариантов получения сигналов в SIEM, SOAR, IRP (и SOC), о том, что злоумышленник уже в сети. 

Самый быстрый эффект дают системы, использующие поведенческий анализ, профилирование действий и также ловушки (Deception), поскольку в них работают поведенческие алгоритмы. Если вредоносный код можно заново скомпилировать под компанию и скрыть его, то вредоносное поведение в сети изменить сложно. Именно на это нацелены эти классы решений. Рассмотрим эти варианты:

1. Сравнение типового поведения пользователей и выявления паттернов вредоносной деятельности в их действиях. Важно, что NDR работает как в корпоративной сети, так и ICS/SCADA, ведь пользователи и там и там буду использовать сеть:

• передача злонамеренных программ с хоста на хост – это модуль проверки передаваемых файлов в протоколах SMB, FTP, HTTP, SMTP, POP3, IMAP. В SMB и FTP часто можно увидеть передачу программ удаленного управления и криптолокеров; cистемы класса NDR позволяют своевременно остановить такое распространение и изолировать хост и аккаунт атакующего;
• lateral movement, когда злоумышленник с одного хоста пытается залогиниться на другой хост, к которому ему не нужен доступ по работе, или не было доступа ранее; Deception и NDR своевременно это обнаруживают и блокируют;
• скачивание аномального большого объема данных с серверов или отправка данных в Интернет на внешние ресуры;
• появление несанкционированных устройств, которые ранее не были зарегистрированы ИТ службой (Shadow IT);
• использование известных уязвимостей – выявляется модулем IDS встроенным в такие системы;
• использование Zero Day выявляется постфактум, во время разбора инцидента, поскольку система полностью записывает трафик;
• использование Zero Day в файлах минимизируется за счет интеграции с песочницей и проверкой всех новых файлов в компании на системах поведенческого анализа;
• контроль исходящих соединений из сети в Интернет на основе уже известных баз Threat Intelligence, проверки DNS запросов и также за счет работы обученных моделей Machine Learning.
• контроль трафика может происходить как на основе сбора сырых пакетов с сетевых брокеров и SPAN портов, так и с других систем сбора статистики NetFlow, уже имеющихся в компании;
• в ICS/SCADA будут выявлены аномальные команды, которые ранее не передавали в контроллеры;
• единая система управления позволяет увидеть все что происходит во всех уголках сети, поэтому защиту можно и нужно расширять и устанавливать дополнительные компоненты контроля в разных филиалах и подразделениях компании. Ведь филиалы - часто страдают от недостатка внимания - поставьте там сенсор NDR и/или Deception.

19 способов проникновения и как NDR их отслеживает.

2. Ловушки (DDP, Deception), расставленные по сети, будут первыми выявлены злоумышленником, поскольку специально разработаны, чтобы приманка была то самое сладкое, что увидел злоумышленник на рабочей станции и в сети. И также системы класса Deception привлекут злоумышленника, как только он попытается перемещаться по сети (lateral movement) и изучать ее. 

От чего защищают Deception (DDP) продукты или как обнаружить злоумышленника в сети компании.

Используйте эти средства быстрого выявления злоумышленника. Не ждите, когда он сам объявится с просьбой заплатить выкуп.

CISO MindMap 2024

🦁 Сегодня с утра решил проверить что нового у RAFEEQ REHMAN в его CISO Mindmap (https://rafeeqrehman.com/ciso-mindmap/). 

🙂 Забавно, что автор наигрался с Cyber Risk Insurance и этого больше нет в его MindMap!  
👀 Как вам вообще этот MindMap? Что бы вы добавили и удалили? 

Источник: https://rafeeqrehman.com/wp-content/uploads/2024/03/CISO_MindMap_2024-2.png

Когнитивные искажения, которые применяют манипуляторы: никогда не берите первое пришедшее в голову решение

Никогда не следует сразу брать первое пришедшее в голову решение. Обычно оно принесено нам в разум другими людьми. Причина в том, что разум работает как сперматозоид и яйцеклетка: первая идея проникает, а затем разум закрывается.

Если подробнее, то это связано с несколькими факторами:

• Легкость - тенденция оценивать вероятность события или частоту явления в зависимости от того, насколько легко вспоминаются соответствующие примеры. Первая идея, как правило, наиболее доступна в памяти.
• Лень - наш мозг стремится экономить энергию и усилия, поэтому предпочитает использовать первое пришедшее в голову решение, даже если оно не оптимально.
• Внешнее влияние - наши решения часто формируются под влиянием других людей, СМИ, социальных сетей. Первая идея может быть навязана извне.
• Эффект первичного закрепления - мы склонны придерживаться первоначальных предположений даже при наличии противоречащих фактов.

Наша склонность останавливаться на первых выводах приводит к тому, что мы запоминаем многие ошибочные данные и перестаем задавать вопросы; этому можно противостоять с помощью умственных упражнений. Вам остается решить - нужно ли это вам. )

Какие есть умственные упражнения:

• Генерировать множество идей и решений, прежде чем останавливаться на одном.
• Тщательно анализировать и проверять первую идею, прежде чем принимать решение.
• Собирать дополнительную информацию, чтобы расширить взгляд на проблему.
• Ставить под сомнение первоначальные предположения и открыто рассматривать альтернативы.
• Получать обратную связь от других, чтобы взглянуть на ситуацию с разных точек зрения.

Развивая эти навыки, мы можем избежать поспешных выводов и принимать более взвешенные, обоснованные решения. Это требует дополнительных усилий, но в долгосрочной перспективе повышает качество нашего мышления. Это одна из наших ментальных моделей, другие 100 моделей можно просмотреть в этом материале.

Ситуация с информационной безопасностью России

 Как следует из отчета пентестеров,

🔴 63% организаций могут взломать начинающие хакеры.  

🔴 96% организаций открыты для профессиональных хакеров. 

🔴 21% проверенных организаций имеют явные следы пребывания хакеров, то есть были взломаны неоднократно.

🟢 7% организаций имеют высокий уровень защищенности.

Основными причинами успешного проникновения во внутреннюю сеть стали 

♦️ недостатки парольной политики,

♦️ уязвимости в коде веб-приложений и 

♦️ недостатки конфигурации сервисов, находящиеся на периметре сети (например, VPN, Citrix). 

🔴 Одним из частых недостатков конфигурации таких систем является отсутствие двухфакторной аутентификации или недостаточная проверка авторизации пользователей. Включите вы MFA когда-нибудь или нет? )

💥 Какие системы были атакованы чаще всего и соответственно стоит проверить у всех в первую очередь:

CMS - управлет контентом вашего сайта
Почтовый сервер - всегда доступен снаружи
PMS - управление проектами
Видеоконференции - тоже доступны снаружи

Почти в каждом пентесте выявляется уязвимость PetitPotam, которая помогает стать администратром домена Active Directory. Как защититься описано в KB5005413 у Microsoft.

Для повышения привилегий используются атаки, которые вы найдете по ключевым словам DCSync, LSA Secrets, LSASS memory, NTDS.dit.

В итоге, чем больше компаний перестанет пользоваться Microsoft Active Directory, тем защищенней они будут. 

🔴 Какие пароли пользователей встречаются на пентестах?

Да все те же, что последние 30 лет существования компьютеров:

12345678,
Qwerty123,
Aa12345678,
123qweASD,
123456,
123,
111111,
НазваниеКомпании2022,
пароли по-умолчанию.

Людей изменить нельзя, поэтому включите двухфакторную аутентификацию, чтобы снизить риск кражи и подбора пароля.

🛡 Обновите свои системы сегодня

На скриншоте приведен список уязвимостей, которые чаще всего использовались пентестерами. Для этих уязвимостей уже много лет есть обновления, но они до сих пор у компаний не установлены. 

Установите патчи, пожалуйста. Сегодня!

Полный отчет тут 

Услугами пентестеров пользуются компании на высоком уровне зрелости. Множество компаний просто не знают свой уровень защиенности. И можно только гадать как у них обстоят дела.

NGFW изнутри. Вся правда о производительности.

Выпущена серия из трех видеороликов о производительности NGFW.

1. В первой части общий обзор как трафик проходит через NGFW. И это нужно знать, чтобы понять следующие две части.

2. Во второй части рассказ про то как посчитать CPS в своей будущей сети на основе знаний о числе хостов.

Также вы узнаете как производительность зависит от включенных функций.

3. В третьей части рассказ про то как сам трафик влияет на производительность, в чем разница между транзакциями 64Кб, 256Кб, 1.7Кб.

И также рассказываю как понять число одновременных соединенений (Concurrent Connections) в вашей будущей сети

 

И еще,  завершающая песня про Firewall написанная искуственным интеллектом!

Подписывайтесь на канал Топ Кибербезопасности

 

Искусственный интеллект в информационной безопасности

1. Актуальность искусственного интеллекта

Современные компании сталкиваются с растущими угрозами кибербезопасности, которые становятся все более сложными и изощренными. В этом контексте использование искусственного интеллекта (ИИ) становится критически важным для обеспечения защиты информации. ИИ может существенно повысить информационную безопасность компании, предлагая следующие преимущества:

• Обнаружение и предотвращение угроз: ИИ анализирует поведение пользователей и систем для выявления аномалий и предотвращения атак в реальном времени.
• Управление доступом и аутентификация: Использование биометрических данных и многофакторной аутентификации для надежной защиты.
• Обнаружение фишинга и спама: Анализ электронной почты и обучение сотрудников для распознавания фишинговых атак.
• Защита сетевой инфраструктуры: Интеллектуальные брандмауэры и мониторинг сети для предотвращения угроз.
• Ответ на инциденты и автоматизация: Автоматизация процессов реагирования на инциденты для минимизации ущерба.
• Управление уязвимостями: Автоматическое сканирование и устранение уязвимостей.
• Обнаружение и предотвращение утечек данных: Мониторинг и контроль доступа к данным для предотвращения утечек.

2. Какие данные анализирует искусственный интеллект

Для эффективного обнаружения угроз в сетевом трафике и других данных, ИИ анализирует множество различных источников. Вот основные категории данных и примеры:

• Лог-файлы и сетевые журналы: Логи сетевых устройств (маршрутизаторов, коммутаторов, брандмауэров), серверов и конечных точек, системы обнаружения и предотвращения вторжений (IDS/IPS), прокси-серверов.
• Сетевой трафик: Полные сетевые пакеты (PCAP-файлы), метаданные о сетевом трафике (заголовки пакетов), временные метки и продолжительность соединений, паттерны трафика.
• Данные о пользователях и устройствах: Информация о пользователях (учетные записи, роли, права доступа), подключенных устройствах (MAC-адреса, IP-адреса, типы устройств), поведенческие паттерны пользователей и устройств.
• Аномалии и инциденты: Предыдущие инциденты безопасности и данные об известных атаках, история предупреждений и оповещений системы безопасности.
• Контент данных: Содержимое передаваемых данных (анализ на наличие вредоносного ПО, подозрительных скриптов), данные о посещаемых веб-сайтах и скачиваемых файлах.
• Внешние источники угроз (Threat Intelligence): Списки известных вредоносных IP-адресов и доменов, информация о новых уязвимостях и эксплойтах, обновления о тактиках, техниках и процедурах (TTPs) злоумышленников.

Примеры данных 

1. Заголовки пакетов: IP-адрес источника и назначения, порты источника и назначения, протоколы (TCP, UDP, ICMP), размер пакета.
2. Сеансовая информация: Начало и конец соединения, объем переданных данных, частота и регулярность соединений.
3. Поведенческая аналитика: Отклонения в привычных паттернах трафика (например, внезапное увеличение трафика в ночное время), необычные запросы к серверам.
4. Содержимое пакетов: Проверка полезной нагрузки на наличие вредоносного ПО, анализ контента на подозрительные строки или команды.

3. Модели для анализа сетевого трафика, логов и событий на хостах

Существует множество моделей машинного обучения и алгоритмов ИИ, которые используются для анализа сетевого трафика, логов и событий на хостах. Вот некоторые из них:

• Глубокие нейронные сети (DNN): Подходят для классификации и обнаружения аномалий в сетевом трафике и логах. 
  • Преимущества: Глубокие нейронные сети могут обучаться сложным паттернам в данных и адаптироваться к разнообразным сценариям, что помогает уменьшить количество ложных срабатываний при правильной настройке и обучении.
  • Недостатки: Требуют большого объема данных для обучения и значительных вычислительных ресурсов. Могут переобучаться, если не применять регуляризацию.
• Рекуррентные нейронные сети (RNN) и длинная краткосрочная память (LSTM): Эффективны для анализа временных рядов и предсказания аномалий.
  
  • Преимущества: RNN и LSTM хорошо работают с последовательными данными и могут выявлять временные зависимости и аномалии, что помогает уменьшить ложные срабатывания в анализе сетевого трафика.
  • Недостатки: Могут быть сложными в обучении и настройке, требовать значительных вычислительных ресурсов.
• Автокодировщики (Autoencoders): Хорошо выявляют отклонения от нормального поведения.
• Преимущества: Автокодировщики хорошо подходят для обнаружения аномалий, так как они могут выявлять отклонения от нормального паттерна. Это помогает сократить количество ложных срабатываний.
• Недостатки: Могут быть менее эффективны на данных с большим разнообразием нормального поведения.
• Генеративно-состязательные сети (GAN): Используются для создания синтетических данных и выявления аномалий.
• Преимущества: Могут обучаться на немаркированных данных, снижая затраты на подготовку данных.
• Недостатки: Координация двух нейронных сетей (генератора и дискриминатора) сложна и может быть нестабильной. Требуют значительных ресурсов и времени для обучения. Не всегда идеально соответствует реальным данным, что критично для безопасности.
• Поддерживающие векторы машины (SVM): Подходят для задач классификации и регрессии.
• Преимущества: SVM хорошо работают на данных с четкими границами между классами. Они часто дают высокую точность при классификации и, при правильной настройке, могут уменьшить количество ложных срабатываний.
• Недостатки: SVM могут быть менее эффективны на очень больших наборах данных и могут требовать значительных вычислительных ресурсов для обучения.
• Деревья решений и случайные леса (Random Forests): Обеспечивают высокую точность и устойчивость к переобучению.
  
  • Преимущества: Этот ансамблевый метод объединяет множество деревьев решений, что помогает уменьшить переобучение и улучшить обобщающую способность модели. Случайные леса часто дают более точные результаты и меньше ложных срабатываний.
  • Недостатки: Могут быть медленными при прогнозировании на больших наборах данных.
• Градиентный бустинг (Gradient Boosting): Объединяет слабые модели для создания сильной, что улучшает точность.
  • Преимущества: Градиентный бустинг является мощной техникой ансамблевого обучения, которая объединяет слабые модели (обычно деревья решений) для создания сильной модели. Он часто демонстрирует высокую точность и низкий уровень ложных срабатываний.
  • Недостатки: Модели градиентного бустинга могут быть вычислительно интенсивными и требовать тщательной настройки гиперпараметров.
• Кластеризация (Clustering): Используется для группировки данных и выявления аномалий.
• Баесовские сети (Bayesian Networks): Подходят для анализа сложных зависимостей в данных.
• Алгоритмы на основе графов: Анализируют сетевой трафик как графы для выявления атак и аномалий.
• Обработка естественного языка (NLP): Анализируют текстовые данные для выявления угроз на основе неструктурированной информации.

4. Компании, использующие искусственный интеллект

Вот таблица с перечисленными компаниями, их продуктами и поддерживаемыми моделями:

Заключение

Другие новинки отрасли обсуждаются в канале Топ Кибербезопасности.

Современные NGFW (Next-Generation Firewall) и другие решения для обеспечения информационной безопасности с использованием искусственного интеллекта предоставляют мощные инструменты для повышения уровня защиты. При выборе решения стоит учитывать способность системы адаптироваться к новым угрозам, точность обнаружения и уровень ложных срабатываний. Компании, такие как Palo Alto Networks, Fortinet, Cisco, IBM, Microsoft, и Check Point, предлагают передовые технологии и решения, которые могут удовлетворить потребности любой организации в области кибербезопасности.

ЗЫ: Эту статью тоже написал искусственный интеллект. 

На какие бы выступления RSA Conference 2024 я бы пошел

Интересные выступления на RSA Conference 2024

Пролистывал программу конференции и вывел для себя небольшой список - куда бы я пошел, если бы был там. Возможно вы тоже хотите посмотреть о чем говорят на международных конференциях?

По списку тем у меня есть ощущение, что есть какая-то усталость у всех. Все уже так наелись взломов, что не хотят про это говорить. И еще есть надежда у многих, что появится волшебная таблетка в виде AI. При этом искусственный интеллект еще и боятся: есть обсуждение что LLM еще и проблемы создает. Все ссылки я выложил в своем телеграм канале.

Уверен, надо будет послушать в записи эти основные выступления:

✅ Gartner's Top Predictions for Cybersecurity 2023-2024 потому что аналитики Gartner молодцы

✅ The State of Cybersecurity – Year in Review Google Cloud обычно много знает

✅ Unveiling the 2024 Data Breach Investigations Report (DBIR)  отчет Verizon обычно неплох

✅ Security's Social Problem интересно узнать что Google имеет в виду - они разве не в курсе про Поибэшечку, ИБ митап и мой блог?

✅ Tech Diplomacy: Building Cyber Resilience Together  министры иностранных дел нескольких стран обсудят тему защиты

✅ The Five Most Dangerous New Attack Techniques You Need to Know About выступает SANS, а они то всегда знают о чем говорят

✅ The Time is Now: Redefining Security in the Age of AI обычно Cisco хорошо готовятся к выступлениям и дают пользу

Ну и так далее все ссылки в моем телеграм канале.

ИТ-инфраструктура предприятия - полный список

Инфраструктура предприятия по мотивам произведений Ван Гога

ИТ-инфраструктура предприятия 

ИТ-инфраструктура предприятия включает в себя широкий спектр элементов, которые обеспечивают поддержку и возможность использования информационных технологий в рамках организации. Вот основные составляющие ИТ-инфраструктуры:

1. Аппаратное обеспечение (Hardware): Серверы, компьютеры, мобильные устройства, периферийные устройства, сетевое оборудование (как коммутаторы и маршрутизаторы) и центры обработки данных.

2. Программное обеспечение (Software): Операционные системы, прикладные программы, системы управления базами данных, и инструменты для разработки программного обеспечения.

3. Сетевая инфраструктура: Элементы связи, включающие в себя широкополосный доступ, сетевые протоколы, маршрутизацию и коммутацию, а также управление трафиком и безопасностью.

4. Устройства хранения данных: Локальные серверы для хранения данных, системы хранения, включая SAN и NAS, а также облачные решения для хранения данных.

5. Телекоммуникационные устройства: Телефонные системы, VoIP-инфраструктура, видеоконференцсвязь и другие средства коммуникации.

6. Информационная безопасность: Решения для обеспечения безопасности сети и данных, включая антивирусное программное обеспечение, фаерволы, системы обнаружения и предотвращения вторжений, а также политики и процедуры по обеспечению безопасности.

7. Управление данными и базами данных: Системы управления базами данных (СУБД), инструменты для анализа данных и управления данными.

8. Управление и мониторинг: Системы для мониторинга работы оборудования и программного обеспечения, управление изменениями, автоматизация задач и ITSM-решения (IT Service Management).

9. Облачные и виртуальные сервисы: Облачные платформы, виртуализация серверов и рабочих станций, а также платформы как услуга (PaaS), программное обеспечение как услуга (SaaS) и инфраструктура как услуга (IaaS).

10. Резервное копирование и восстановление данных (Backup and Disaster Recovery): Системы и процессы, обеспечивающие резервное копирование данных и их восстановление после сбоев или катастроф. Это включает в себя стратегии как на физическом уровне (например, резервное оборудование), так и на уровне программного обеспечения (например, репликация данных и аварийное переключение).

11. Документация и процедуры управления: Полные и актуализированные документы, описывающие архитектуру ИТ-систем, настройки, процедуры управления изменениями, политики безопасности и другие критически важные процедуры управления ИТ-инфраструктурой.

12. Комплаенс и соответствие стандартам: Меры для соответствия законодательным и отраслевым требованиям в области управления данными, безопасности и бизнес-операций. Это включает в себя GDPR, HIPAA, SOX и другие нормативные акты.

13. Управление активами и лицензиями: Системы для управления корпоративными активами, включая оборудование, программное обеспечение, лицензии и другие ресурсы, что позволяет предприятию минимизировать расходы и избегать юридических проблем. CMDB (Configuration Management Database — база данных управления конфигурациями) помогает организациям управлять информацией о всех значимых ИТ-ресурсах, таких как оборудование, программное обеспечение, сетевые компоненты и сервисы.

14. Обучение и поддержка пользователей: Обеспечение доступа к тренингам и ресурсам для повышения квалификации пользователей, что помогает повысить их эффективность при использовании ИТ-систем, а также поддержка пользователей через службы технической поддержки или helpdesk.

15. Экологическая устойчивость: Реализация зеленых технологий и практик, которые минимизируют влияние ИТ-операций на окружающую среду, например, энергоэффективное оборудование и технологии виртуализации для сокращения количества используемого оборудования.

16. Стратегическое планирование и развитие ИТ: Разработка долгосрочных планов по развитию ИТ-инфраструктуры, которые учитывают текущие и будущие потребности бизнеса, технологические тенденции и потенциальные инновации.

17. Интеграция систем: Эффективное соединение различных ИТ-систем и приложений в единую сеть, что позволяет обмениваться данными и функционалом между различными бизнес-процессами. Интеграция может включать в себя использование API, middleware решений, ESB (Enterprise Service Bus) и других технологий.

18. Бизнес-аналитика и интеллектуальный анализ данных: Инструменты и системы, которые помогают анализировать большие объемы данных для получения бизнес-инсайтов, прогнозирования тенденций и поддержки принятия решений на основе данных.

19. Интернет вещей (IoT): Интеграция устройств IoT в корпоративную сеть для автоматизации процессов, сбора данных с устройств и их анализа, что может способствовать улучшению операционной эффективности и разработке новых продуктов и услуг.

20. Мобильные технологии и приложения: Разработка и поддержка мобильных приложений и решений, которые обеспечивают доступ к корпоративным ресурсам и сервисам с мобильных устройств, улучшая доступность и удобство использования для сотрудников и клиентов.

21. Управление проектами и изменениями: Инструменты и методологии для управления ИТ-проектами и изменениями, включая Agile, Scrum и PMBOK. Эти подходы помогают обеспечить, что проекты выполняются в срок, в рамках бюджета и с достижением поставленных целей.

22. Аутсорсинг и вендорское управление: Стратегии сотрудничества с внешними поставщиками и аутсорсинговыми компаниями для обеспечения определенных ИТ-услуг или функций, что позволяет сосредоточиться на ключевых компетенциях предприятия.

23. Непрерывное обучение и развитие персонала: Инвестиции в обучение и развитие навыков ИТ-персонала, чтобы они могли эффективно работать с новыми технологиями и методами, а также способствовать инновациям внутри компании.

24. Культура и управление изменениями: Создание культуры, которая поддерживает непрерывное обновление и оптимизацию ИТ-инфраструктуры, а также умение управлять сопротивлением к изменениям и способствовать адаптации сотрудников к новым технологиям.

25. Цифровые двойники (Digital Twins): Создание виртуальных копий физических активов, процессов или систем для моделирования и анализа. Это позволяет проводить тесты и анализы в безопасной и контролируемой среде, минимизируя риски для реальных операций.

26. Сетевые функции виртуализации (Network Functions Virtualization, NFV): Технология, позволяющая виртуализировать сетевые функции, которые традиционно выполнялись специализированным оборудованием, таким как маршрутизаторы и коммутаторы. Это увеличивает гибкость и масштабируемость сетевых сервисов.

27. Программно-определяемые сети (Software Defined Networking, SDN): Подход к управлению сетями, который обеспечивает централизованное управление сетевым трафиком через программное обеспечение, что повышает гибкость и оптимизацию сетевой инфраструктуры.

28. Разработка без кода (No-Code/Low-Code): Платформы и инструменты, которые позволяют создавать приложения и автоматизированные процессы без необходимости писать код, что упрощает и ускоряет разработку программного обеспечения.

29. Компьютерное зрение и обработка изображений: Развитие технологий компьютерного зрения и обработки изображений для автоматизации задач, таких как распознавание лиц, анализ изображений медицинских снимков и многое другое.

Если же вы хотите углубиться еще дальше, можно рассмотреть следующие элементы и концепции, которые также важны для современных ИТ-инфраструктур:

1. Сервис-ориентированная архитектура (SOA): Подход к проектированию и реализации программного обеспечения, в котором приложения предоставляют услуги другим приложениям через широко используемый интерфейс. Это позволяет легче интегрировать и комбинировать службы в новые приложения.

2. Принципы DevOps и автоматизация: Интеграция разработки, тестирования и эксплуатации с использованием методик автоматизации для ускорения разработки и повышения надежности систем. DevOps-подход помогает улучшить коммуникацию и сотрудничество между различными отделами.

3. Микросервисы: Архитектурный стиль, в котором комплексное приложение разбивается на мелкие, независимые компоненты, которые легче разрабатывать, тестировать и развертывать независимо друг от друга. Это облегчает масштабирование и обновление компонентов приложения.

4. Контейнеризация и оркестрация: Использование контейнеров для развертывания и управления приложениями в изолированной среде. Оркестрация, такая как Kubernetes, помогает управлять контейнерами и автоматизировать развертывание, масштабирование и управление жизненным циклом приложений.

5. Блокчейн и распределенные технологии: Внедрение технологий блокчейн для улучшения безопасности, прозрачности и надежности при обмене данными и транзакциями. Это может быть применено в финансах, цепочках поставок и других областях.

6. Искусственный интеллект и машинное обучение: Интеграция АИ и машинного обучения в корпоративные системы для анализа данных, автоматизации процессов, улучшения принятия решений и создания новых бизнес-моделей.

7. Системы управления энергопотреблением: Решения для мониторинга и управления потреблением энергии в центрах обработки данных и других критически важных системах. Это способствует уменьшению эксплуатационных расходов и поддержанию экологической устойчивости.

8. Управление жизненным циклом приложений (ALM): Процессы и инструменты, которые организации используют для управления жизненным циклом приложений, от концепции через разработку и использование до обслуживания и вывода из эксплуатации.

9. Квантовые вычисления: Исследования в области квантовых вычислений представляют потенциальную революцию в области вычислений. Это может привести к созданию новых алгоритмов и технологий, которые изменят существующий подход к обработке данных и расчетам.

Каждый из этих элементов представляет собой значительное расширение возможностей и сложности ИТ-инфраструктуры, что позволяет предприятиям не только поддерживать текущие операции, но и адаптироваться к будущим изменениям и вызовам.

Информационная безопасность по мотивам произведений Ван Гога

ИТ-безопасность

И если говорить про безопасность, то посмотрите внимательно на следующие технологии для ИБ стратегии согласующейся с ИТ-стратегией компании:

1. Соответствие стандартам кибербезопасности и регулирование: Поддержание соответствия требованиям законодательства и стандартов, таких как ISO/IEC 27001, NIST и других, для обеспечения защиты данных и систем.

2. Межсетевые экраны: Сетевые устройства безопасности, которые контролируют входящий и исходящий трафик на основе заранее установленных правил безопасности.

3. Межсетевые экраны нового поколения (Next-Generation Firewall, NGFW): Этот класс решений позволяет включить множество функций безопасности, реально необходимых компании для сегментации сети.

4. Шлюзы безопасного доступа (Secure Access Service Edge, SASE): Интегрированные сетевые архитектуры, которые сочетают возможности SD-WAN с различными функциями безопасности для обеспечения безопасного доступа к корпоративным ресурсам из любой точки.

5. Системы обнаружения и предотвращения вторжений (IDS/IPS): Инструменты, которые активно мониторят сетевой трафик для выявления и предотвращения подозрительной активности и атак.

6. Сигнатурные и поведенческие антивирусы: Решения, предназначенные для обнаружения, блокировки и устранения вредоносных программ и вирусов.

7. Песочницы: это технология безопасности, используемая для изоляции запуска подозрительных программ, скриптов или кода в безопасной, контролируемой среде. Это позволяет обнаруживать и анализировать потенциально вредоносное поведение, не подвергая риску основную систему.

8. Фильтрация электронной почты: Использование систем фильтрации электронной почты, которые автоматически обнаруживают и блокируют подозрительные письма, содержащие известные фишинговые индикаторы или вредоносные вложения.

9. Веб-фильтрация: Применение веб-фильтров для блокировки доступа к фишинговым веб-сайтам и другим вредоносным онлайн-ресурсам.

10. Антифишинговые инструменты: Использование специализированного программного обеспечения, которое анализирует входящие сообщения на предмет фишинговых попыток и предупреждает пользователей о потенциальной угрозе.

11. Шифрование данных: Использование криптографических технологий для защиты данных в покое и в передаче, что помогает предотвратить несанкционированный доступ к чувствительной информации.

12. Виртуальные частные сети (VPN): Технологии, которые обеспечивают защищенное соединение между пользователями и корпоративными ресурсами через интернет.

13. Многофакторная аутентификация (MFA): Методы аутентификации, требующие от пользователя предоставления двух или более доказательств своей личности для доступа к системе.

14. Резервное копирование и восстановление данных: Регулярное создание резервных копий важных данных и разработка стратегий восстановления после сбоев или атак. Это же обычно берут на себя и ИТ-службы.

15. Управление уязвимостями — это процесс идентификации, классификации, устранения и минимизации влияния уязвимостей в системах. 

16. Патч-менеджмент: Процессы и инструменты для управления обновлениями программного обеспечения, включая безопасное и своевременное применение исправлений и обновлений.

17. Физическая безопасность: Защита физических местоположений данных и систем от несанкционированного доступа и повреждений.

18. Сегментация сети: Разделение сетевых ресурсов на изолированные подсегменты для уменьшения риска распространения угроз внутри сети. Обычно эта задача касается ИТ-службы.

19. Облачная безопасность: Меры безопасности, применяемые для защиты данных, приложений и инфраструктуры в облачной среде.

20. Повышение осведомленности сотрудников: Программы обучения безопасности для повышения осведомленности сотрудников о потенциальных угрозах и способах их предотвращения.

21. Управление идентификаторами и контролем доступа (Identity and Access Management, IAM): Системы управления идентификацией и доступом, которые обеспечивают правильное распределение доступа к корпоративным ресурсам. Эти системы помогают управлять учетными записями пользователей, аутентификацией и авторизацией.

22. Расширенное обнаружение и реагирование (Extended Detection and Response, XDR): Системы XDR предоставляют более широкий спектр обнаружения угроз и реагирования на них, объединяя данные с различных источников и платформ для более эффективного управления угрозами. 

23. Системы управления информацией и событиями безопасности (SIEM): комплексные решения для мониторинга, анализа и реагирования на события безопасности в реальном времени. Они собирают и агрегируют логи и данные с различных источников в ИТ-инфраструктуре, обеспечивая анализ и корреляцию событий для выявления угроз.

24. Автоматизация безопасности и оркестрация (Security Orchestration, Automation and Response, SOAR): Платформы SOAR интегрируют различные инструменты безопасности и автоматизируют процессы реагирования на инциденты, что ускоряет обработку угроз и снижает нагрузку на команды безопасности.

25. Системы безопасности мобильных устройств (Mobile Device Management, MDM): Инструменты для управления и защиты корпоративных данных на мобильных устройствах, включая функции удаленного стирания данных, блокировки устройств и защиты приложений.

26. Обнаружение аномалий на основе поведения (Behavioral Analytics): Системы, которые анализируют поведение пользователей и устройств в сети для выявления необычных или подозрительных действий, которые могут указывать на нарушение безопасности.

27. Сетевое обнаружение и реагирование (Network Detection and Response, NDR): Решения NDR используют алгоритмы машинного обучения для анализа сетевого трафика в реальном времени и обнаружения аномалий, что позволяет выявлять сложные угрозы, которые могут ускользнуть от традиционных систем IDS/IPS.

28. Защита приложений (Application Security): Инструменты и методы для защиты приложений от угроз, такие как веб-файерволлы приложений (WAF), защита от SQL-инъекций, кросс-сайтовых скриптинг атак и других угроз.

29. Защита контейнеров и оркестрация: В свете широкого распространения контейнеризации и использования систем оркестрации, таких как Kubernetes, важно внедрять решения для обеспечения безопасности контейнеров и управления ими, включая сканирование образов контейнеров на предмет уязвимостей и нарушений конфигураций.

30. Управление привилегированными доступами (Privileged Access Management, PAM): Решения для управления и мониторинга доступа к привилегированным аккаунтам и ресурсам, чтобы предотвратить злоупотребления и утечки данных.

31. Облачные брокеры безопасности доступа (Cloud Access Security Brokers, CASB): Посредники между пользователями облачных приложений и провайдерами облачных услуг, предоставляющие политики безопасности, соблюдение нормативных требований и защиту данных.

32. Интеллектуальная защита от DDoS-атак: Современные решения для защиты от DDoS-атак используют продвинутые алгоритмы для различения легитимного и вредоносного трафика, что позволяет эффективно противостоять даже масштабным и сложным атакам.

33. Киберстрахование: Полисы, которые предлагают финансовую защиту компаний от последствий кибератак, включая утечки данных, прерывание бизнеса и другие связанные риски.

34. Интеграция физической и информационной безопасности: Развитие подходов, которые сочетают физическую безопасность (контроль доступа в здания и на территории предприятия) и информационную безопасность, создавая единую систему управления безопасностью.