Кратко
Нетехнический обзор линейки инструментов ИБ — антивирус, DLP, EDR/XDR, SIEM, SOAR, SOC, DFIR — по одной схеме: что это, кому нужно, нюансы, что теряется без него. Спикер зовёт это «докладиком… размять ваши мозги»: 33 страницы техники отложены. Критерия отбора два — разумность и зрелость, рефрен — «посчитайте, не поленитесь». Презентацией продукта доклад не является, но и технического содержания в нём нет.
Главное
- Отказался от 33 страниц техники после поста Дмитрия Борощука про зрелость ИБ; себя относит к маркетологам ИБ.
- Критерия два: разумность — советоваться со всеми департаментами, не только с бизнесом; зрелость — «не готовность приобретать за миллионы миллионов», а понимание, зачем и как.
- Антивирус — «самый базовый уровень»; false positive, дыра BYOD, карантин мешает расследованию; без него «90% простых угроз не будут блокироваться сразу».
- DLP — нужна и на 15 машинах при персданных и «начальнике-самодуре»; эффект — «до 30% утечек», а не «90-100 в рекламных буклетах».
- EDR — агент: процессы, сеть, скрипты; XDR — плюс почта и облака; расходы растут с масштабом — «посчитайте, не поленитесь».
- SIEM — «сигнализация»: сама не реагирует, «не SOAR, не какой-то там искусственный интеллект»; «мусор на входе, мусор на выходе»; 6 тысяч машин на 6 айтишников.
- SOAR — «как вы пропишете плейбуки, так он и поедет по ним»; только «через переговоры… между всеми департаментами»; плохой плейбук — «бизнес лег».
- SOC — организационная единица: люди, инфраструктура, TI-фиды; дорого, 24/7, выгорание, дефицит кадров.
- DFIR «никак не защищает», «в 90, наверное, процентов случаев работает ретроспективно»; при трёх инцидентах в год своя команда не нужна; отчёты «читаются и правоохранительными органами».
- Вывод: «Не ведитесь на голую рекламу», считать и упущенную прибыль; «сейчас лучше ИБ не было никогда», но без настройки — «возможно, обанкротитесь».
Инструменты, артефакты, технологии
- Разобраны: антивирус (безусловно нужен), DLP (рекламные «90-100%» критикуются), EDR/XDR (дорого), SIEM, SOAR, SOC, DFIR — инструментов «мириады»: вендорские, опенсорсные, скрипты «на коленке».
- Чит-шит — слайд-сводка по системам и этапам; Telegram-канал Дмитрия Борощука — повод для доклада.
- МК Энтерпрайз — так в шутке модератора; в вопросе из зала тот же продукт — Мобильный Криминалист Корпоративный.
- Из Q&A: Nextcloud/ownCloud как бюджетная «контролируемая среда» вместо DLP, СКУД, 2FA, проверка бэкапов, харденинг, книга Golden Rules.
Правовой и организационный контекст
Конкретных законов, статей и ведомств не звучало: только «базовые уровни соответствия требованиям» и «если вы находитесь под регуляторами, нужно, тут никуда не двинешься»; персданные — как пример для DLP. Supply chain: регламенты «между двумя компаниями» — «сейчас это не редкость». Большой компании нужны цифровые доказательства для юридического поля; правоохранительные органы — только как читатели DFIR-отчётов.
Вопросы из зала
- Вопрос 1 (по контексту — модератор, «Ник»): наговорил «на те самые 5-10 миллионов», которых у малого бизнеса нет, — что делать не таким богатым? И тут же: «Сколько стоит харденинг?» → Ответ: четыре направления — идентификация пользователей (пароли/2FA), контроль периметра, бэкапы с проверкой, контроль пользователей внутри периметра; для компании «примерно 100 человек, доход около 200 миллионов» — Nextcloud/ownCloud вместо DLP, иначе криминалистика постфактум.
- Там же: пентестер Саша Дмитриев советовал книгу Golden Rules, но на 200 пентестов такая компания нашлась одна, «только полпроцент». Контраргумент: «харденинг ничего не стоит», кроме времени специалиста; на вопрос о гарантии базовых мер — «Увы».
- Атрибуция не гарантирована: разметки говорящих нет, реплики склеены внутри абзацев, деление выведено из логики диалога; при обратной атрибуции «четыре направления» — слова модератора.
- Вопрос 2 («Игорь Евгеньевич», так назвал модератор): ставят Мобильный Криминалист Корпоративный «года три», отказов нет, но «приток новых клиентов ниже»; «представитель Касперского» перед этим «активно торговал страхами» — не пора ли «давить на тех, кто принимает решения»? → Ответ: пугать — «моветон», поэтому доклад и «перешел из крайне технического в… поверхностно-легкий»; купивший из страха не продлит лицензию.
Позиция спикера
Правильным считает считать — масштаб, лицензии, людей, время, упущенную прибыль — и согласовывать внедрения с департаментами; неправильным — покупку под рекламу и под страх. Формально «разозлился» на пост Борощука, но по существу соглашается и заканчивает его же тезисом. Ограничения признаёт сам: цифры называет субъективными, на контраргумент про харденинг отвечает «Увы». Тон — лёгкая лекция, не продажа.
Цитаты
- «…зрелость — это не возможность и готовность приобретать за миллионы миллионов любые инструменты…»
- «Я больше всего верю где-то в то, что до 30% утечек данных сокращаются… Кто-то говорит, что 90-100 в рекламных буклетах…»
- «Она не SOAR, она не какой-то там искусственный интеллект. Она просто вот: SIEM орет, а айтишник плачет.»
- «…вы просто заработаете себе головняк, потратите кучу денег и разочаруетесь в жизни, еще, возможно, обанкротитесь.»
- «То есть с точки зрения бизнес-этики пугать — это нехорошо.»