✍️ Как меняется сертификация средств защиты конечных устройств. Часть 3: пользовательская экспертиза

Продолжаем серию материалов (часть первая, часть вторая), в которой Александр Коробко, руководитель направления продуктового маркетинга по безопасности инфраструктуры в Positive Technologies, и Алена Караваева, руководитель направления защиты конечных устройств от целевых атак, рассказывают о новых правилах сертификации средств защиты конечных устройств, в частности СОР — систем обнаружения и реагирования.

👀 Сегодня подробно рассмотрим требования ФСТЭК, касающиеся обнаружения признаков угроз ИБ, связанных с внедрением ВПО и реализацией кибератак.

В документе указывается, что такое обнаружение должно выполняться с помощью встроенных правил, индикаторов компрометации (IoCs). Производители решений обычно поставляют готовую экспертизу — набор правил, сигнатуры. И этого, на первый взгляд, должно хватать. Но в требованиях отдельно закреплено, что для выявления признаков ВПО и кибератак также должны быть и пользовательские правила.

Собственные правила позволяют учитывать специфику организации и применять наработки ее экспертов. Все чаще клиенты и специалисты задают нам вопросы: «Как создать свой набор корреляционных правил? Как добавить YARA-правила? Как встроить собственную экспертизу или, наоборот, внести исключения?»

По умолчанию мы поставляем в MaxPatrol EDR более 700 правил корреляции, около 6000 YARA-правил и более 65 тысяч IoCs (хешей вредоносных файлов). Специалисты PT ESC регулярно обновляют и расширяют эту базу. Но дополняют ее именно пользовательские наборы экспертизы: клиенты могут самостоятельно создавать правила корреляции, нормализации и табличные списки и настраивать их под необходимое ПО.

Плюс к этому — обновление IoCs с наших серверов каждый час, использование табличных списков в корреляторе, описание правил корреляции в базе экспертных правил обнаружения Positive Technologies.

Все это делает работу с системой более прозрачной и гибкой и соответствует требованиям регулятора.

🤝 Кроме того, регулятор включил в требования к СОР возможность взаимодействия с другими СЗИ.

Так, средство обнаружения и реагирования должно уметь передавать зафиксированные события безопасности в системы управления событиями. В MaxPatrol EDR такая интеграция с MaxPatrol SIEM реализована «из коробки», а при необходимости возможна передача на syslog-сервер и в сторонние SIEM-системы.

Отдельный пункт касается песочниц: продукт должен взаимодействовать с замкнутой системой предварительного выполнения программ. При этом речь идет как об автоматических проверках, так и о ручных, по запросу администратора. Мы предлагаем связку с PT Sandbox, которая не только повышает точность детектирования, но и позволяет выстраивать цепочки реагирования на основе ее вердиктов.

Попробовать MaxPatrol EDR в деле можно оставив заявку на нашем сайте 🖥

#MaxPatrolEDR
@Positive_Technologies

🔧 Эксперты PT SWARM помогли устранить 13 уязвимостей в Chamilo LMS

Алексей Соловьев, Николай Арчаков и Владимир Власов обнаружили 13 уязвимостей на стороне сервера в Chamilo LMS — популярной платформе для управления обучением с открытым исходным кодом.

💡 На платформе зарегистрировано около 40 млн аккаунтов. Chamilo LMS используют университеты, школы и компании для дистанционного и корпоративного обучения.

Выявленные недостатки безопасности создавали риски как для частных пользователей (утечка персональных данных), так и для организаций — вплоть до получения атакующими контроля над сервером с последующим продвижением по сети.

👾 Были обнаружены уязвимости различных классов на стороне сервера:

• Deserialization of untrusted data — позволяет внедрять данные, полученные из ненадежного источника, в структуру или объект, что при определенных условиях может привести к выполнению произвольного кода, нарушениям работы приложения или логики его работы.

• SQL injection — позволяет получить несанкционированный доступ к базам данных и манипулировать данными.

• OS command injection — позволяет выполнять произвольные команды на сервере.

• Blind SSRF — позволяет заставить сервер выполнять запросы к другим системам от своего имени.

Две самые опасные из выявленных уязвимостей относятся к классу SQL injection: их эксплуатация могла бы позволить неавторизованному пользователю выполнять запросы к базе данных и несанкционированно получать информацию. Потенциально атакующий мог бы получить доступ к панели администратора, а затем выполнить произвольный код в системе, используя одну из уязвимостей класса Deserialization of untrusted data или OS command injection.

Список всех обнаруженных уязвимостей:

PT-2025-35787 / BDU:2025-06901 (оценка по CVSS — 8,5)

PT-2025-35788 / BDU:2025-06902 (оценка по CVSS — 8,5)

PT-2025-35789 / BDU:2025-06903 (оценка по CVSS — 9,4)

PT-2025-35790 / BDU:2025-06904 (оценка по CVSS — 9,4)

PT-2025-35791 / BDU:2025-06905 (оценка по CVSS — 9,4)

PT-2025-37308 / BDU:2025-06906 (оценка по CVSS — 8,7)

PT-2025-37309 / BDU:2025-06907 (оценка по CVSS — 8,7)

PT-2025-37310 / BDU:2025-06908 (оценка по CVSS — 8,7)

PT-2025-37375 / BDU:2025-06909 (оценка по CVSS — 8,7)

PT-2025-37376 / BDU:2025-06910 (оценка по CVSS — 8,7)

PT-2025-37377 / BDU:2025-06911 (оценка по CVSS — 9,0)

PT-2025-37378 / BDU:2025-06912 (оценка по CVSS — 7,8)

PT-2025-39654 / BDU:2025-11697 (оценка по CVSS — 8,0)

Для устранения недостатков рекомендуется в кратчайшие сроки обновить Chamilo LMS до версии 1.11.32 или до самой последней, доступной на данный момент. Для версий 1.11.x–1.11.28 следует воспользоваться рекомендациями по устранению уязвимостей.

#PTSWARM
@Positive_Technologies

⭐️ Positive Update

Как продукт для автоматического пентеста PT Dephaze «поломал» инфраструктуры заказчиков на пилотах — и помог им стать сильнее?

Уже 8 октября на Positive Security Day Ярослав Бабин, директор по продуктам для симуляции атак, расскажет о том, как за год изменился PT Dephaze, куда он будет развиваться и как его уже используют российские компании.

Хотите узнать, как контролируемый взлом помогает повысить защиту? 👽

Регистрируйтесь на онлайн-трансляцию, чтобы не пропустить!

Больше анонсов 👉 @PositiveSecurityDay

MaxPatrol EPP — наше новое средство защиты от массовых атак, в основе которого лежит антивирусная технология 👾

Альфа-версию решения мы анонсировали сегодня на Positive Security Day вместе с концепцией защиты конечных устройств MaxPatrol Endpoint Security. Подробности — в выступлении Сергея Лебедева, руководителя департамента разработки средств защиты рабочих станций и серверов, Positive Technologies.

Быстрое развитие антивирусных технологий в наших продуктах стало возможным благодаря покупке доли в белорусском вендоре «ВИРУСБЛОКАДА» в феврале этого года. Тогда же мы объявили, что презентация ранней версии нашего собственного антивирусного решения состоится осенью.

🤜 Сказали — сделали. Потому что можем.

Расширив свой продуктовый портфель, мы готовы обеспечивать всестороннюю защиту российского и международного бизнеса как от массовых, так и от целевых атак — с помощью EPP и EDR-системы соответственно.

#MaxPatrolEPP
#MaxPatrolEDR
@Positive_Technologies

🗄 Данные — новая нефть

А защитить их поможет PT Data Security — наш новый продукт, коммерческая версия которого была запущена вчера на Positive Security Day.

До официального выхода на рынок мы представили бета-версию PT Data Security, готовую к первым пилотным проектам. Сейчас продукт проходит предварительное тестирование в нескольких крупных компаниях.

PT Data Security — первое и пока единственное в России решение класса data security platform.

Приведем пример, как оно работает:

Представьте, что вы big boss генеральный директор. В вашей компании накапливается все больше данных: о клиентах, партнерах, сотрудниках, стратегические документы, финансовые детали деятельности. Это важный актив для любой компании.

Со временем становится все сложнее понять, где именно эти данные хранятся и кто ими пользуется — информации становится слишком много. Часть документов лежит в разных системах: CRM, 1С, внутренних хранилищах, на файловых серверах. В результате управлять этим активом и контролировать риски становится все труднее.

PT Data Security помогает увидеть полную картину: где находятся ваши данные, к каким типам они относятся, что из них критично, кто имеет к ним доступ и как именно ими пользуется прямо сейчас.

Это повышает прозрачность, позволяет быстро выявлять слабые места в инфраструктуре данных, ускоряет реагирование на потенциальные угрозы и снижает вероятность утечек.

О том, какой путь продукт прошел с момента анонса на прошлом Positive Security Day, — смотрите в видео с выступления Виктора Рыжкова, руководителя развития бизнеса по защите данных, Positive Technologies.

А заявку на пилот вы можете оставить прямо сейчас на нашем сайте 🗂

#PTDataSecurity
@Positive_Technologies