🔄 Представляем новую версию системы поведенческого анализа трафика PT Network Attack Discovery (PT NAD) — 12.2

Главное в релизе: централизованное управление и кардинальные изменения в сигнатурном движке PT NAD.

Делимся подробностями.

🏎 В PT NAD 12.2 обновлен сигнатурный движок правил, который теперь анализирует трафик в три раза быстрее. Это позволяет обрабатывать больший объем трафика, не увеличивая при этом аппаратные требования. Ускорение сигнатурного движка стало следующим шагом в постоянном процессе оптимизации производительности различных компонентов продукта.

🖥 Начиная с этого релиза PT NAD движется в сторону централизованного управления, чтобы упростить эксплуатацию продукта в больших, географически распределенных инфраструктурах.

Раньше в организациях с распределенной структурой оператору SOC необходимо было работать с несколькими независимыми инсталляциями. Сейчас центральная консоль объединяет данные всех дочерних площадок и оператор может работать с ними из единого окна. Это значительно сокращает время, которое эксперты SOC тратят на мониторинг, расследования и проактивный поиск угроз.

В PT NAD 12.2 уже доступна основная функциональность централизованного управления: просмотр в единой консоли ленты активности, узлов, сессий и дашбордов. Следующим шагом команда продукта добавит централизованную выгрузку PCAP-файлов, работу с исключениями и единое управление базой знаний.

Виктор Еременко, лидер продуктовой практики PT NAD в Positive Technologies, отметил:

«В PT NAD 12.2 нам удалось выйти на новый уровень зрелости системы. Мы сосредоточились не только на повышении производительности, но и на оптимизации рабочего процесса пользователя. Начиная с этой версии продукта обеспечение кибербезопасности крупных организаций с распределенной инфраструктурой можно осуществлять централизованно: аналитика по всем консолям доступна в едином окне. Это позволяет сэкономить самый ценный ресурс специалиста по ИБ — время. А бизнесу открывает возможность масштабировать использование продукта во всех офисах компаний».

Также среди важных обновлений:

• В новой версии PT NAD добавлен модуль экспертизы, который профилирует соединения по управляющему протоколу WinRM (часто используется злоумышленниками для перемещения внутри периметра).

• PT NAD теперь обнаруживает и разбирает сообщения протокола HTTP/2, что позволяет среди прочего выявлять атаки с его использованием. Опция является частью интеграции PT NAD с устройствами, обеспечивающими межсетевой захват трафика (MITM): NGFW или программным SSL splitter, например ArtX TLSproxy.

• В релизе 12.2 обновление получил и механизм репутационных списков. У оператора появилась возможность задавать направление, в котором будут срабатывать отдельные списки.

• Начиная с версии 12.2 оператор может видеть всю цепочку прикладных протоколов в сетевой сессии, что повышает прозрачность сети.

Больше подробностей — в нашем материале.

🌐 PT NAD 12.2 уже доступен для пользователей. Действующие пользователи могут обновить продукт через техническую поддержку или обратиться к партнерам Positive Technologies.

#PTNAD
@Positive_Technologies

🤔 Интересуетесь трендами и развитием систем анализа трафика?

Поговорим об этом на вебинаре 18 марта в 14:00. Обсудим ключевые аспекты, определяющие эффективность NTA- и NDR-систем, и поделимся планами совершенствования инструментов реагирования в PT NAD 🌐

🔥 Горячие темы для обсуждения:

🔴 Тренды в анализе трафика — изменение требований к системам в условиях растущего числа киберугроз и усложнения сетевой инфраструктуры.

🔴Чек-лист требований к современным системам анализа трафика от мирового аналитического агентства.

🔴 Что важнее: соответствовать чек-листу или оперативно выявлять угрозы за счет грамотного мониторинга внутренних сетей и периметра.

🔴 Дорожная карта развития реагирования в PT NAD.

Регистрируйтесь заранее и готовьте вопросы!

#PTNAD
#PositiveЭксперты
@Positive_Technologies

💦 Наши аналитики изучили утечки данных по всему миру во второй половине 2024 года. Делимся ключевыми трендами и советуем читать исследование целиком

🚰 Откуда течет

Магазины, аптеки, онлайн-сервисы, сайты ресторанов и службы доставки — именно с ними связано большинство объявлений в дарквебе о продаже и покупке баз конфиденциальных данных, похищенных в России и странах СНГ.

В топ-3 по количеству таких сообщений входят торговые организации (31%), онлайн-сервисы (16%) и банковский сектор (9%). Средняя стоимость украденной информации в объявлениях о продаже — 450 долларов.

Для сравнения: усредненный ценник по всему миру в 55% случаев ниже 1000 долларов, только в 6% публикаций стоимость информации превышает 10 000 долларов.

📈 Спрос растет

Наши коллеги отметили, что на теневых форумах во всех странах стало в четыре раза больше объявлений о покупке утекшей информации.

Вместе с этим потенциальные покупатели готовы платить почти в три раза больше: в сравнении с первым полугодием прошлого года цена выросла с 600 до 1700 долларов.

🖥 Утечки становятся объемнее

Еще один общемировой тренд — увеличение объема информации, попавшей в руки преступников. Так, на 4% (до 56%) выросло количество баз данных, насчитывающих более 100 000 строк, а на 17% (до 52%) — тех, размер которых превышает 1 ГБ.

Эту тенденцию подтверждает и статистика Роскомнадзора, по данным которого число утечек в России в прошлом году уменьшилось, а количество файлов, попавших в открытый доступ, возросло — с 300 млн до 710 млн записей.

🛡 Как защищаться

«Традиционные средства обеспечения безопасности данных, которые создавались в 2000-х годах, не способны полноценно защитить современную инфраструктуру от утечек, — комментирует Виктор Рыжков, руководитель развития бизнеса по защите данных Positive Technologies. — Они строятся на предположении, что организация четко понимает, как устроена ее инфраструктура, какие критически важные данные она хранит и где, но в реальности такое случается редко. Альтернативой традиционным методам становится концепция data security platform (DSP), в рамках которой защита фокусируется на самих данных, а не на месте их хранения».

Именно эта концепция легла в основу PT Data Security — нашего единого решения для защиты данных, MVP-версия которого была представлена осенью 2024 года. Уже сейчас специалисты по ИБ, наши клиенты и партнеры могут принять участие в программе предварительного тестирования. Продукт позволит выявлять критически значимые сегменты и системы, содержащие чувствительные данные, и обнаруживать подозрительные обращения к важной информации.

@Positive_Technologies
#PositiveЭксперты

😐 «Чего не отвечаете?», или История о том, как угнать Telegram-аккаунт без регистрации и смс

Недавно мы написали статью о наиболее популярных методах кражи учетных записей в Telegram.

😑 В статье рассматриваются такие схемы, как:

• Распространение фишинговых сообщений о получении Premium-подписки.
• Отправка сообщений с просьбой помочь в голосовании.
• Получение кода авторизации под видом сотрудников техподдержки, правоохранительных органов и т. п.
• Выпуск дубликата сим-карты.
• Копирование файлов с активными пользовательскими сессиями.

Из того, что особенно интересно:

🖥 Рассматриваются нюансы для официальных десктопных версий и веб-клиентов приложений.

🔜 Кража сессий при копировании tdata, (appstore, stable — для macOS) с ключами авторизации устройства (authorization key) остается незаметной для пользователя (отсутствует информация о дополнительной сессии в списке активных устройств).

☝️ Конфиденциальная информация, которая интересует злоумышленников, чаще всего хранится в каталогах:

Для Windows: C:\Users\<Имя пользователя>\AppData\Roaming\TelegramDesktop\tdata

Для Linux: /home/<Имя пользователя>/.local/share/TelegramDesktop/tdata

Для macOS, клиент версии Telegram for Mac: HDD/Users/<Имя пользователя>/Library/Application Support/Telegram Desktop/tdata

Для macOS, клиент версии Telegram for macOS: HDD/Users/<Имя пользователя>/Library/GroupContainers/6N38VWS5BX.ru.keepcoder.Telegram/appstore (stable, если устанавливали через DMG-файл)

🌐 При использовании веб-версий украсть учетную запись можно имея физический доступ к устройству.

Для Google Chrome злоумышленники копируют содержимое каталогов:

Windows: C:\Users\<Имя пользователя>\AppData\Local\Google\Chrome\User Data\Default

Linux: /home/<Имя пользователя>/.config/google-chrome/Default

macOS: HDD/Users/<Имя пользователя>/Library/Application Support/Google/Chrome/Default

💻 Нет разницы, в какой операционной системе злоумышленник использует украденную информацию: tdata с Windows может применяться для авторизации как на Linux, так и на macOS. Это также работает с веб-версиями.

🔗 При переходе по ссылке https://web.telegram.org/ из приложения на компьютере или мобильном устройстве генерируется токен доступа к содержимому учетной записи — возможно войти в веб-версию Telegram. Попробуйте сами!

📝 Даются рекомендации, как выявить нелегитимные сессии и обезопасить себя от рассмотренных атак.

Полный текст статьи читайте на Хабре.

#dfir #macos #win #linux #web
@ptescalator

🤑 Говорят, что они могут за пару дней заработать на восемь айфонов, первичный взнос по ипотеке или 14 666 пачек «Доширака».

👾 Рассказывают, что стоит им только взглянуть на скоуп — и уязвимости в нем не просто находятся, но и сами пишут о себе отчеты, прикладывая к ним пруфы.

🙂 Болтают, что компании выстраиваются в очередь, лишь бы они выбрали конкретную багбаунти-программу.

Они — топ-3 рейтинга багхантеров платформы Standoff Bug Bounty: Олег Уланов aka brain, Рамазан Рамазанов aka r0hack и Сергей Бобров aka BlackFan.

Не знаем, как насчет ипотеки и сканирующего взгляда, но интервью у ребят точно берут — одно из них можно прочитать в Positive Research. Там исследователи безопасности делятся подробностями не всегда простой, но интересной багхантерской жизни, рассказывают, как выбирают программы, в которых интересно участвовать, с какими сложностями сталкиваются, и рассуждают о будущем багбаунти.

Интересно? Еще как! Читать всем.

#PositiveResearch #StandoffBugBounty
@Positive_Technologies