Axxtel | Кибербезопасность

PHP2Shell пять дней спустя. Что стало известно и как защищаться. 21 октября разработчики PHP экстренно закрыли две критические RCE-уязвимости — CVE-2026-109618 и CVE-2026-109619 (9,2 по CVSS 4.0). Обе позволяют при определенных условиях выполнить код без авторизации. Мы не стали выпускать новость в первые часы: анонсов было достаточно, и первым делом необходимо было поставить патч. Нам было важнее понять, как искать следы атаки и что делать, если злоумышленник уже проник в инфраструктуру. Что выяснилось за пять дней? 1. Атаки начались раньше раскрытия Amazon Threat Intelligence обнаружила…

SIEM: от корреляции до расследования Представим условную ситуацию: 1. По учетной записи сотрудника происходит 15 неудачных попыток входа в VPN. 2. Через минуту вход удается с непривычного IP-адреса. 3. Затем учетная запись обращается к файловому серверу, с которым обычно не работает. 4. После этого фиксируется передача большого объема данных. Корреляционное правило может связать эти события по учетной записи и времени и сформировать сигнал для проверки.   Но сама цепочка еще не доказывает атаку.   Сотрудник мог вернуться из командировки, несколько раз ошибиться в пароле и скачать архив для…

Что дает SIEM, или как собрать из отдельных сигналов историю атаки На VPN фиксируется серия неудачных входов. На файловом сервере — множество обращений к папкам, которыми пользователь раньше не интересовался. На сетевом шлюзе — большой объем исходящего трафика. Каждая система видит свой фрагмент. Аналитику нужно понять, относятся ли эти события к одной истории и требует ли она вмешательства. Для этого используют SIEM — систему, которая собирает события безопасности из разных источников, приводит их к сопоставимому виду и помогает обнаруживать связи между ними. Приведем пример периодически…

Первые 24 часа после инцидента В первые часы после обнаружения атаки одна из главных ошибок — спешка, из-за которой можно потерять важные артефакты и усложнить дальнейшее расследование. Что делать сразу: 👉 Зафиксировать время обнаружения и начать журнал действий: кто, что и когда сделал. 👉 Изолировать затронутые узлы от сети, по возможности не выключая их до фиксации volatile-данных. 👉 Сохранить логи — SIEM, межсетевые экраны, почта, VPN, Active Directory и другие критичные источники — до того, как сработает ротация. 👉 Зафиксировать оперативную память и снять образы критичных систем.…

Камень преткновения – проект N 169583 Если посмотреть на изменения законодательства в области ИБ, в них можно увидеть определенную цикличность. Сначала изменения касаются требований для ГИС и иных информационных систем органов государственной власти и ФОИВ. Затем тенденция затрагивает процессы обработки персональных данных. После этого регулятор обращает внимание на производственный сектор — ОПК, КИИ. ЦБ при этом стоит несколько обособленно, но учитывает опыт коллег и формирует нормативную базу уже для финансового сектора. В 2025 году начался новый виток развития. И если изменения, касающ…

Цифровая западня: когда атакующий сам показывает себя Не все атаки удобно ловить по сигнатурам и правилам корреляции. Иногда полезнее создать для злоумышленника контролируемую цель — ложный ресурс, учетную запись, сервис или приманку, с которыми легитимный пользователь взаимодействовать не должен. На этом строится сервис «Цифровая западня». HoneyCorn фиксирует действия атакующего, помогает собирать IoC и дополнительный контекст, а затем передавать эти данные в существующий контур мониторинга и реагирования. Для SOC это дает главное — более качественный сигнал и меньше догадок о том, что пр…

Свой SOC или внешний? А если не выбирать Собственный SOC кажется самым контролируемым вариантом: команда внутри, процессы свои, инфраструктура под рукой. Но на практике вместе с этим компания получает и весь объем постоянной операционной нагрузки: поиск и удержание специалистов, поддержание их компетенций, круглосуточные смены, развитие правил корреляции, расследования, донастройку средств мониторинга и постоянную адаптацию под изменения инфраструктуры. Именно нехватку квалифицированных специалистов, сложность поддержания компетенций собственной команды и высокую нагрузку на ИБ-подразделени…

Когда средство защиты само становится точкой входа За последние дни сразу два показательных кейса. Cisco закрыла критическую уязвимость CVE-2026-76504 в Catalyst SD-WAN Manager. Уязвимость позволяла удаленному неаутентифицированному атакующему обходить аутентификацию и получать административный доступ. Cisco подтвердила эксплуатацию в реальных атаках. Почти одновременно Fortinet сообщила об активной эксплуатации CVE-2026-104286 в FortiMail. Через специально сформированные HTTP/HTTPS-запросы атакующий без аутентификации мог записывать произвольные файлы в систему. Уязвимость также получила о…

Каким должен быть бюджет департамента информационной безопасности? Десять миллионов — это много? А сто? А пятьсот? Эти вопросы регулярно задают себе как CISO, так и собственники бизнеса. Давайте попробуем найти на него ответ. Первая мысль — никакая система защиты информации не может стоить больше, чем сама информация. Разумеется, здесь речь идет не только о стоимости информации как актива, но и об утрате информации, нарушении ее целостности и полноты, простое предприятия, штрафах регуляторов, а также любых других сценариях в информационной инфраструктуре, которые приводят к негативным посл…

Фишинг становится все менее похож на фишинг За последние полгода самые высокие результаты в наших проверках показывают сценарии, построенные от имени контрагентов и внутренних подразделений компании. Именно там привычные признаки подозрительного письма работают хуже всего. Если говорить о контрагентах, особенно хорошо срабатывает тематика ЭДО и связанных с ним документов. В среднем 10–15% адресатов вводят логины и пароли на подставных формах. Неожиданно результативными остаются и вложения с макросами, имитирующие вредоносный файл. Среди сценариев, которые давали хороший отклик: ✅ нарушени…