Как меняется корреляция правил SIEM-системы

Давайте начнем с изучения основных моментов работы классической системы защиты информации. Если произошло событие А, а затем вырисовывается событие Б, ИТ-специалист сразу понимает, что это подготовка вторжения в корпоративную систему. Но так просто уже бывает редко. Хакеры создают цепочку событий, растягивая разработанные сценарии по времени, чтобы завуалировать подозрительную активность перед атакой. Чаще всего для этих целей используют легитимное ПО. Например, злоумышленники взломали известный текстовый редактор Notepad++ и распространяли вирус через его обновление. Пострадало огромное количество пользователей. Или при атаках на серверы TrueConf хакеры использовали зараженные дистрибутивы клиентского приложения. То есть, заранее сложно спрогнозировать поведенческий сценарий злоумышленников. Но можно улучшать правила корреляции установленной SIEM-системы, чтобы избежать вторжения в корпоративную ИТ-инфраструктуру.

Развитие SIEM-системы KUMA в динамике

Разработчики «Лаборатории Касперского» постоянно занимаются развитием корреляционного контента. Только в 2025 году было создано 55 обновлений для SIEM-системы KUMA на разных языках для российских и зарубежных пользователей. Были заново прописаны 250 сценариев обнаружения вирусов и вредоносных кодов. Матрицу MITRE ATT&CK покрывает свыше 850 коррелирующих правил. Они расписываются после глубокого анализа свежих угроз для выявления новых техник вторжения. После этого разработчики составляют правила для быстрого реагирования на угрозы по разным сценариям, чтобы с блокировкой угрозы смог справиться обычный ИТ-аналитик. Недавно специалисты разработали сценарии, как обнаружить обход аутентификации через инструменты SSO. Для этого хакеры создали SAML-запросы, чтобы войти в систему без учетных данных.

Разработка сценариев

Сценарии SIEM-системы разрабатываются таким образом, чтобы это были не отдельные события, а последовательность действий. Для пользователей системы устанавливаются стандартные или привилегированные доступы, чтобы проще было отследить точки входа злоумышленников. «Лаборатория Касперского» создала Active Directory, чтобы видеть не только отдельные сигналы вторжения, но и всю картину целиком.

Если подробнее изучить технологию KUMA, то она состоит из специализированных пакетов для контроля действий не только сотрудников компаний, но и администраторов личных кабинетов системы безопасности или антивируса. Программа становится инструментов внутренней и внешней активности без необходимости установки дополнительного оборудования.