Новости кибербезопасности: как компании следить за угрозами

Каждую неделю появляются сообщения о новых уязвимостях, утечках и атаках. Если читать всё подряд, легко утонуть в информации и не сделать ничего полезного. Компании нужно не «быть в курсе», а вовремя узнавать о том, что касается её систем, и успевать реагировать. Это называют мониторингом угроз, и даже небольшой компании под силу организовать его в простой форме.

Зачем следить за новостями

• Узнать об уязвимости в программе, которую вы используете, до того, как её начнут массово эксплуатировать
• Понять, какие мошеннические схемы сейчас активны, и предупредить сотрудников
• Отреагировать на утечку у поставщика или сервиса, которым пользуется компания
• Учитывать изменения законодательства и требований регуляторов

Источники, которые действительно полезны

Бюллетени производителей. Microsoft, производители сетевого оборудования, разработчики CMS, СУБД и другого ПО публикуют сообщения об уязвимостях и обновлениях. Это первоисточник: подпишитесь на рассылки по продуктам, которые у вас есть.

Базы уязвимостей. Международная система идентификаторов CVE присваивает каждой уязвимости номер, а национальные базы, например американская NVD, публикуют её описание и оценку опасности. Отдельно полезны перечни уязвимостей, которые уже используются в реальных атаках: их нужно закрывать в первую очередь.

Национальный центр реагирования. В Узбекистане действует служба реагирования на компьютерные инциденты UZCERT, которая публикует предупреждения и рекомендации. Полезно для информации о местных угрозах и мошеннических кампаниях.

Центральный банк и отраслевые регуляторы — для финансовых организаций и связанных отраслей.

Профессиональные сообщества и каналы. Telegram-каналы и сообщества специалистов по безопасности дают быстрые новости, но требуют фильтрации: не всё проверено, бывает паника.

Новостные издания о безопасности — для общей картины, но не как основной источник для действий.

Как фильтровать

Главный вопрос к любой новости: касается ли это наших систем? Для этого нужен перечень того, что используется в компании:

• Операционные системы и их версии
• Сетевое оборудование: модели маршрутизаторов, межсетевых экранов
• Серверное ПО: СУБД, веб-серверы, CMS сайта
• Облачные сервисы и SaaS
• Средства удалённого доступа

Новость об уязвимости в продукте, которого у вас нет, можно пропустить. Новость об уязвимости в вашем маршрутизаторе — повод действовать сегодня.

От новости к действию

1. Оценка. Есть ли у нас этот продукт и уязвимая версия? Доступен ли он из интернета?
2. Приоритет. Используется ли уязвимость в реальных атаках? Насколько критична система?
3. Действие. Установить обновление, применить временные меры, ограничить доступ
4. Проверка. Убедиться, что обновление установлено, нет ли признаков, что систему уже атаковали
5. Фиксация. Записать, что сделано, для истории и отчётности

Новости о мошенничестве

Отдельный поток — новые схемы обмана: поддельные сообщения от банков, служб доставки, государственных органов. Такие новости стоит пересказывать сотрудникам коротко и с примерами: «Сейчас рассылают сообщения от имени такой-то службы с такой-то ссылкой, не переходите». Это одно из самых эффективных обучений.

Как организовать в компании

• Назначьте ответственного за мониторинг — IT-специалист или подрядчик
• Составьте и поддерживайте перечень используемых продуктов
• Подпишитесь на бюллетени по этим продуктам
• Раз в неделю делайте короткий обзор: что касается нас и что сделано
• Критичные новости — сразу в работу, без ожидания обзора

Если у компании есть подрядчик по безопасности, мониторинг угроз может быть частью его услуг.

Ошибки

• Читать новости без перечня своих систем — непонятно, что важно
• Реагировать на громкие заголовки и пропускать тихие сообщения производителей о критичных обновлениях
• Откладывать обновления «до удобного момента» месяцами
• Распространять в компании непроверенные панические сообщения

Если вам нужно наладить отслеживание угроз и своевременные обновления, расскажите о своих системах — поможем организовать процесс.