CNews: Какие тенденции оказали наибольшее влияние на
реклама
CNews: Какие тенденции оказали наибольшее влияние на рынок средств аналитики в области ИБ в 2011–2014 годах? Анна Костина: Прежде всего надо назвать серьезное развитие информационной безопасности вообще. Это и появление новых систем обеспечения ИБ, и их усложнение. Мы имеем дело уже не с простыми межсетевыми экранами или антивирусами, а со сложными интеллектуальными системами. Помимо этого злоумышленники и их атаки становятся все более изощренными. В арсенале подразделения безопасности крупной организации, как правило, находится около десятка систем обеспечения ИБ. Эффективно анализировать и сопоставлять данные от них без дополнительного инструментария уже просто невозможно. Помимо этого, появилось осознание сообществом по ИБ актуальности задачи аналитики в области информационной безопасности. В ответ на это и возникающие потребности формируется пока еще довольно молодой, но при этом самостоятельный класс решений Security Intelligence (SI). CNews: На рынке уже есть решения, которые предназначены для анализа событий безопасности – это SIEM. В чем принципиальное отличие продуктов SI? Или такое название только маркетинговый ход, чтобы выделиться на рынке? Анна Костина: Основное отличие – это агрегация данных и детализация. Мы позиционируем наше решение класса Security Intelligence как систему принятия решений для руководителей по информационной безопасности. SIEM-системы оперируют техническими событиями, например, сколько сканирований или атак было совершено на данный момент. Понятно, что такая информация не будет актуальной для представителей топменеджмента. Им интересно, что происходит на уровне конкретных бизнес-процессов, то, как тот или иной инцидент может повлиять на них и бизнес компании в целом. CNews: Не могли бы вы рассказать на примере, как происходит переход от анализа технических данных к процессам? Анна Костина: Допустим, у банка есть 2 сервера, на них расположены бухгалтерия 1С, с помощью которой начисляется зарплата сотрудникам, и система скоринга, определяющая кредитоспособность клиентов. Начисление зарплат – это поддерживающий процесс и его простой (даже в течение одного-двух дней) не будет критичным. В то же время оценка кредитоспособности – это ключевой бизнеспроцесс, где задержки даже на несколько минут могут вести к убыткам. Средства Security Intelligence позволяют объединить технические данные с организационными сведениями и данными о бизнес-процессах. Служба ИБ понимает, что, например, сервер с одним IPадресом относится к ERP-системе, сервер с другим IP-адресом – к системе CRM. А эти системы, в свою очередь, поддерживают конкретные бизнеспроцессы. Если мы видим какой-то инцидент, «отлавливающийся» на техническом уровне, то сразу понятно, на какие бизнес-процессы может быть оказано воздействие и насколько это будет критично для компании. CNews: Как называется ваш продукт SI, когда он появился и что он «умеет» делать? Анна Костина: Наш продукт под названием Jet inView Security был официально выведен на рынок в апреле 2013 года. Главная функция этой системы – возможность увидеть целостную картинку состояния ИБ и «путешествовать» по разным уровням детализации. Анна Костина: Появилось осознание сообществом по ИБ актуальности задачи аналитики в области информационной безопасности Если говорить о средствах обеспечения ИБ, то они часто умеют строить ретроспективную картину безопасности или активности пользователя/системы, но каждая из них «видит» ситуацию в очень узком разрезе согласно собственному основному функционалу, поэтому они не «осознают» всей «картинки» безопасности и не понимают, все ли хорошо в компании. Однако очень хочется иметь возможность взглянуть на то, как исторически изменяется уровень безопасности, поведение пользователя/системы. Нормален ли текущий объем инцидентов/аномалий в поведении пользователя для этого дня календарного месяца? Являются ли выявленные при сканировании сети новые уязвимости адекватным приростом за месяц или компания стала менее защищенной? Возникают ли все новые инциденты/аномалии на одной конкретной системе, является ли она взломанной или инциденты равномерно распределены между разными узлами сети? Например, профиль работы пользователя – это десятки разных параметров: почтовые коммуникации, работа в интернете, с бизнессистемами и т.д. При этом нормальные значения разнятся для разных календарных дней, месяцев. Построить этот профиль имеющимися средствами еще можно, а вот оперативно отслеживать без специального инструментария уже нельзя. И наши заказчики с этим сталкиваются регулярно. Возможность «длинного» профилирования и контроля отклонений в поведении пользователя или защищенности системы позволяет увидеть аномалии и угрозы, которые невозможно заметить при помощи какого-то одного современного средства защиты, даже таких, казалось бы, «всемогущих» систем, как SIEM. Именно эти задачи и должна решить система класса Security Intelligence. Она позволит руководителю подразделения ИБ и его сотрудникам получать данные от всех имеющихся средств защиты и в любой момент времени понимать ситуацию в части ИБ. Благодаря этому руководитель службы ИБ может постоянно держать руку на пульсе и принимать решения на основе исчерпывающей информации о том, что происходит в компании. CNews: Название Security Intelligence ассоциируется с Business Intelligence – средствами аналитики данных. Какие аналитические задачи умеет решать ваш продукт? Анна Костина: В части аналитики данных ИБ у нас сложился ряд кейсов, которые востребованы нашими заказчиками и являются базовыми для функционала Jet inView Security: централизованная аналитика в области ИБ, определение реального уровня защищенности бизнес-систем с учетом актуальных угроз и уязвимостей, поведенческий анализ работы систем и пользователей, а также оценка результативности и эффективности подразделения и процессов ИБ. В чем заключается суть каждого бизнес-кейса? Итак, централизованная аналитика в области ИБ. Контроль информационной безопасности на удаленных площадках – частая проблема в крупных территориально распределенных компаниях. Как правило, ее решают регулярным предоставлением отчетных документов из филиалов в головной офис. Понятно, что иногда полнота и достоверность этих данных может вызывать вопросы. Объективную информацию о состоянии ИБ в филиалах можно получить, подключив их подсистемы безопасности к Jet inView Security. При этом доступ к данным обо всех филиалах будут иметь только сотрудники головного офиса, а специалисты на местах будут видеть данные только по своему филиалу. Задача определения реального уровня защищенности бизнес-систем с учетом актуальных угроз и уязвимостей также решается использованием Jet inView Security. Современные системы анализа защищенности и мониторинга событий ИБ выявляют уязвимости и инциденты, которые связаны с объектами инфраструктуры, поддерживающими работу ключевых бизнессистем заказчиков. Однако разница между некритичными и действительно критичными объектами не учитывается. За счет ранжирования бизнес-систем по критичности, инвентаризации объектов инфраструктуры, из которых они состоят, появляется возможность определять реальный уровень защищенности. Это позволяет более четко выделять приоритеты при обеспечении ИБ. Возможность поведенческого анализа работы систем и пользователей, проводимого в Jet inView Security, реализуется посредством выделения критериев «нормального» их поведения. Подразделение ИБ получает инструмент, который в случае существенного отклонения позволяет понять, с чем именно это отклонение связано, является ли оно критичным для ИБ и существует ли необходимость предпринимать какие-нибудь корректирующие действия. Так, в случае утечки информации можно быстро посмотреть, кто из сотрудников, когда и куда отсылал по почте (или сохранил на флешку) файлы, содержащие критичные для компании данные. Кроме этого, в Jet inView Security можно увидеть и то, с кем эти пользователи общались в последнее время по почте, на какие сайты ходили в день утечки (за день до этого, за неделю) и пр. С помощью Jet inView Security осуществляется и оценка результативности и эффективности подразделения безопасности и процессов ИБ. Анна Костина: У нас есть пример телекоммуникационной компании, где ИБ-специалист тратил 6–8 часов в неделю на составление еженедельных отчетов Непрозрачность ИБ для бизнеса влечет за собой проблемы как для руководства компаний (непонимание, куда уходят деньги и каков результат этих затрат), так и для руководителей подразделений ИБ (сложности в демонстрации отдачи от деятельности ИБ, эффекта от вложенных в ИБ средств). В связи с этим весьма актуально создание иерархии показателей результативности и эффективности ИБ (от бизнес-метрик до технических показателей). Использование метрик эффективности позволяет, во-первых, количественно и качественно оценить ожидаемые результаты от внедрения мер по защите информации, в том числе с точки зрения эффективности расходования средств, а вовторых, определить степень соответствия внедряемых и уже внедренных процессов ожиданиям компании. Регулярное отслеживание метрик дает возможность выявлять реальные и потенциальные недостатки в обеспечении ИБ, принимать своевременные и обоснованные меры по его улучшению и устранению коренных причин возникших отклонений. Кроме того, это позволяет отследить, как вносимые изменения отражаются на деятельности по обеспечению ИБ, и продемонстрировать, какой вклад эта деятельность вносит в достижение целей бизнеса. CNews: Сколько проектов по внедрению Jet InView Security реализовано к настоящему моменту? Какие отрасли выступают основными заказчиками? Анна Костина: Так получается, что использование средств Security Intelligence не является прерогативой какой-то конкретной отрасли. Мы внедряем наше решение Jet inView Security и в нефтегазовой отрасли, и в банках, и в телекоммуникационных компаниях, и в производственных. Не могу сказать, что специфика отрасли сильно влияет на аналитические задачи в области ИБ, скорее дело в акцентах, присущих каждой конкретной компании. Наиболее интересные и масштабные проекты связаны с построением ситуационных центров в области ИБ, ядром для которых выступает Jet inView Security. В таких проектах максимально используются базовые функции анализа данных, поступающих с разных территориальных площадок (в том числе, находящихся в разных часовых поясах), мониторинг эффективности и показателей процессов обеспечения ИБ, выявление аномального поведения критичных бизнес-систем. Но помимо базовых функций для таких проектов активно разрабатывается дополнительный специфический функционал, что дает существенное развитие продукту. На настоящий момент реализовано пять проектов, и несколько находятся на стадии реализации. CNews: Какова стоимость вашего решения? Анна Костина: Ценообразование гибкое, конечная стоимость зависит от размера инфраструктуры заказчика: от количества территориальнораспределенных площадок и от числа информационных систем, которые подключаются к Jet inView Security и служат источниками данных. В настоящий момент мы разработали более 30 коннекторов, которые позволяют подключаться к наиболее популярным решениям ИБ – DLP, SIEM, антивирусным системам ведущих вендоров. Сейчас мы покрываем самые распространенные продукты, но время от времени мы встречаем у заказчиков системы, к которым приходится дописывать коннекторы. CNews: Как посчитать выгоду от внедрения Jet inView Security? Анна Костина: Главная выгода – это существенное сокращение трудозатрат на рутинную деятельность по анализу данных и составлению отчетов. У нас есть пример телекоммуникационной компании, где ИБ-специалист тратил 6–8 часов в неделю на составление еженедельных отчетов о состоянии информационной безопасности центрального офиса и филиалов. При использовании нашей системы это время сокращается до нескольких минут. Данные поступают автоматически и в автономном режиме раскладываются по шаблону отчета. CNews: Насколько крупным должен быть заказчик, чтобы ему было интересно внедрение такой системы? Анна Костина: Безусловно, наиболее актуальным использование SI является для крупного бизнеса. Можно выделить несколько категорий заказчиков, для которых данное решение является интересным. Во-первых, это территориально распределенные компании с устоявшейся политикой в области информационной безопасности. Такие предприятия используют большое количество систем обеспечения ИБ, при этом имеют разные филиалы, процессы ИБ формализованы и имеют закрепленные параметры функционирования. Во-вторых, компании с развивающейся функцией информационной безопасности (даже независимо от их масштаба) также могут достаточно эффективно использовать системы класса Security Intelligence. В этом случае использование подобных решений может позволить не только проводить сложную аналитику данных по процессам обеспечения ИБ и облегчить диалог с бизнесом, но и гораздо быстрее выявить проблемы в процессах обеспечения ИБ, некорректное использование и настройки систем обеспечения ИБ и помочь выстроить зрелые и эффективные процессы. В-третьих, аналитика безопасности важна для компаний со сложной ИТ-инфраструктурой. Прежде всего, это фирмы, ведущие бизнес в интернете. В этом случае уровень угроз безопасности увеличивается многократно, и требуется внедрять соответствующие средства защиты, мониторинга и анализа данных. CNews: Кого вы видите своими конкурентами на рынке SI? Анна Костина: На настоящий момент этот класс решений еще не до конца оформился, но очень быстро развивается. Пока разные производители ПО наделяют свои аналитические решения немного разными функциями – кто-то пытается анализировать данные об ИБ более глубоко на техническом уровне (например, HP), кто-то проводит более высокоуровневый анализ, стараясь объединить данные об организационной структуре, бизнес-процессах с техническими данными от систем обеспечения ИБ. Есть разные решения. Например, кто-то из вендоров строит аналитику на основе данных, поступающих от своих систем обеспечения ИБ (Symantec, McAfee). Также на рынке представлены компании, которые разрабатывают ИБ-аналитику на основе данных от какого-то одного интеллектуального глобального источника, роль которого чаще всего исполняет SIEM. Наша идеология заключается в интеграции с максимальным количеством разных систем различных вендоров. Ранее такая же неопределенность была с понятиями SIEM и DLP. Когда появлялись первые системы, различные вендоры вкладывали в эти термины немного разный смысл. Со временем эти понятия зафиксировались, и продукты обрели перечень функций, которые требуются к реализации по умолчанию. CNews: Каковы ваши планы по дальнейшему развитию решений в области аналитики информационной безопасности? Анна Костина: Планов много и они достаточно амбициозны. В компании есть roadmap по развитию продукта, который включает стратегические, тактические и операционные задачи. Анна Костина: Безусловно, наиболее актуальным использование SI является для крупного бизнеса Если говорить «снизу-вверх», то в операционные задачи входят, прежде всего, разработка новых коннекторов к решениям в области информационной безопасности, а также к смежным системам: мониторинга ИТ, кадровым системам и т.д. Помимо этого, большое внимание уделяется базовым аналитическим моделям для каждого подключаемого источника данных и поддерживаемого им процесса обеспечения ИБ. Например, сейчас для источников одного класса, но разных производителей, мы обеспечиваем одинаковую визуализацию. Для чего мы это делаем? Часто случается, что в центральном офисе и филиалах могут использоваться средства разных производителей, например, антивирусы. Для разных антивирусов мы делаем одинаковую визуализацию, чтобы аналитик в центральном офисе анализировал процесс антивирусной защиты, не вдаваясь в подробности, какой антивирус используется в удаленном филиале, какова специфика работы с ним. В части тактических задач – мы расширяем количество аналитических кейсов, которые могут быть решены с помощью Jet inView Security. Сейчас, когда продукт уже используется заказчиками, они часто являются идеологами каких-то новых кейсов. Каждую такую идею мы анализируем, обсуждаем ее с другими заказчиками, и если она находит отклик, то реализуем в нашем решении. Ну, а если говорить о стратегии, Jet inView Security является неотъемлемой частью экосистемы безопасности Jet inView, в которую входит ряд наших продуктов и сервисов по ИБ, в том числе, средство автоматизации управления доступом или IdM-решение − Jet inView Identity Manager, сервисы, поставляемые из нашего центра мониторинга и управления JSOC. Jet inView Security находится на самом верху пирамиды экосистемы Jet inView, и поэтому развивается вместе со всей экосистемой, обеспечивая интеграцию всех продуктов на базе одной платформы управления, единую систему визуализации аналитической информации и возможность в любой момент подключить новое решение.
