Список проголосовавших за комментарий "Ребята, вы серьезно? Вы только что признали, что ваш SOC годами был «дырявым ведерком».Цифры не лгут, в отличие от маркетинга:<ol><li>15% атак на промсектор это не повод для гордости, это приговор. Исследования (например, Verizon DBIR) показывают, что в 82% взломов участвует «человеческий фактор». Ваша SIEM за миллионы рублей не остановит инженера, который воткнет зараженную флешку или кликнет по ссылке в письме.</li><li>«Обнаружили первичное проникновение» это катастрофа, а не успех. Среднее время нахождения хакера в сети до обнаружения (Dwell Time) в мире составляет около 200 дней. Если ваш MaxPatrol увидел хакера уже внутри, значит, он уже прошел периметр, собрал данные и, скорее всего, оставил десяток «черных ходов». Вы празднуете победу, пока вор уже выносит телевизор, потому что вы заметили его в гостиной, а не на пороге.</li><li>«Увидели небезопасные протоколы» — мой любимый момент. Это значит, что годами ваша сеть была прозрачна для любого школьника с ноутбуком. PT NAD просто включил свет в комнате, где годами жили крысы.</li></ol>Итог<br/> Вы купили отличный цифровой микроскоп, чтобы смотреть, как вас взламывают в режиме реального времени. Но кибербезопасность это не софт, это процессы и люди. Пока ваши сотрудники верят в «полный порядок» после покупки очередной коробки, любой социальный инженер зайдет к вам через обычный телефонный звонок в отдел кадров.Настоящая защита начинается там, где заканчивается вера в маркетинговые брошюры. У вас сейчас не безопасность, у вас — дорогое шоу «За стеклом» для хакеров.<br/> <br/> Вот сценарий атаки, который «умножит на ноль» все SIEM-системы: Шаг 1. Разведка (OSINT)Хакер видит в тексте: «сотрудники SOC обнаружили проникновение». Значит, в компании есть отдел ИБ, который сейчас чувствует себя героями. Это их уязвимая зона — гордость. Шаг 2. Крючок (Pretexting)Звонок в приемную или отдел ИБ:<br/> <em>«Привет! Я из журнала «ФОРБС». Читаем ваш крутой кейс про внедрение MaxPatrol. Хотим взять интервью у ваших профи для обложки номера. Вы же единственные, кто реально отбил атаку!»</em> Шаг 3. Внедрение (Social Engineering)Сотрудник SOC, польщенный вниманием, соглашается. Хакер присылает «список вопросов для согласования» в файле <code class="o8j0Mc">Questions_Interview_SGMK.docx</code>.<ul><li>Ловушка: В файл зашит макрос или эксплойт.</li><li>Почему сработает: Сотрудник сам ждет этот файл, он доверяет «журналисту».</li><li>Ирония: MaxPatrol SIEM увидит, что доверенный пользователь (свой же безопасник!) открыл документ. Система может не поднять тревогу, так как это «легитимное действие» легитимного сотрудника.</li></ul> Шаг 4. Сбор «урожая»Как только файл открыт, хакер получает удаленный доступ к компьютеру самого безопасника.<ul><li>У него теперь есть доступ к консоли MaxPatrol и PT NAD.</li><li>Он может просто удалить логи своего присутствия или добавить свои IP-адреса в «белый список».</li></ul>"