Услуги по обеспечению сетевой безопасности

Сетевая безопасность: SIEM, IDS, аудит и compliance

В логах nginx за три дня — 2.3 миллиона запросов. Из них 40 тысяч с одного /24‑диапазона, паттерн /admin, /wp-login, /.env, /config.php. Классический сканер — автоматически блокируется fail2ban, если он настроен. Если нет, запросы просто идут вхолостую. А рядом, в тех же логах, одна строчка: успешный POST /api/v2/export с токеном сессии, который пять минут назад был создан с IP в Нидерландах, хотя пользователь всегда ходит из Москвы. Эту строчку fail2ban не найдёт. Мы каждый день сталкиваемся с такими кейсами и за годы практики выработали системный подход: SIEM + IDS/IPS + compliance‑аудит.

Какие проблемы решаем: от сканеров до скрытых утечек

Современные атаки редко бывают прямолинейными. Мы видим три основных направления:

• Сканирование и брутфорс — массовые атаки на веб‑приложения (WordPress, Jenkins, GitLab). Обрабатываются fail2ban, iptables, nginx-лимитами. Но если их не настроить — уязвимость на автопилоте.
• Эксфильтрация данных — запросы к API с необычных геолокаций, нестандартные объёмы выгрузок. fail2ban их не видит, нужна корреляция событий по пользователю и поведению.
• Compromise внутренних хостов — после фишинга или эксплойта злоумышленник получает доступ к редко используемым серверам. Logwatch или стандартные auditd не срабатывают, а SIEM с FIM и правилами аномалий — да.

Подробнее разберём инструменты и подходы, которые мы применяем.

Почему SIEM выявляет то, что не видит fail2ban?

fail2ban анализирует частоту однотипных событий — 5 неудачных логинов за минуту, 404 с одного IP. Это работает против брутфорса. Но если атакующий делает один запрос с разных IP (сеть ботов) или использует легитимную сессию (украденный токен), fail2ban бесполезен. SIEM коррелирует события по разным признакам: геолокация, временной ряд, последовательность действий, скачки объёмов трафика. Wazuh с кастомными правилами — типовое решение.

Wazuh SIEM: от установки до реальной пользы

Wazuh — это не просто IDS. Это SIEM с агентами, файловым мониторингом (FIM), детекцией уязвимостей и compliance‑проверками в одном стеке: Wazuh Manager + Elasticsearch/OpenSearch + Kibana/OpenSearch Dashboards.

Архитектура: Manager получает события от агентов (Linux, Windows, macOS). Агенты собирают системные логи (/var/log/auth.log, Windows Event Log), syscheck (изменения файлов), rootcheck, а также выполняют активные ответы.

Как настроить корреляцию событий для детекции аномалий?

Дефолтные правила Wazuh покрывают очевидное: брутфорс SSH, sudo‑эскалацию, изменения /etc/passwd. Реальная ценность — в кастомных правилах под специфику приложения. Пример для детекции аномального экспорта данных:

<rule id="100200" level="12"> <if_sid>31100</if_sid> <url>/api/v2/export</url> <description>Data export API called — potential exfiltration</description> <group>web,data_exfiltration</group> </rule> <rule id="100201" level="15"> <if_sid>100200</if_sid> <different_srcgeoip>yes</different_srcgeoip> <same_field>data.src_user</same_field> <timeframe>3600</timeframe> <description>Data export from unusual geolocation for this user</description> <group>web,data_exfiltration,anomaly</group> </rule> 

Правило 100201 сработает, если один и тот же пользователь делает запрос к /api/v2/export из другой страны в течение часа — корреляция по пользователю и геолокации.

FIM для критических директорий с inotify (realtime="yes") фиксирует изменения немедленно, не по расписанию. report_changes="yes" для /etc покажет diff прямо в алерте.

Active Response — при 8 неудачных SSH‑попытках за 60 секунд IP блокируется через iptables на 10 минут. Аккуратно с параметром location: all — это заблокирует IP на всех агентах сразу, включая production.

Suricata IDS: настройка сетевого периметра

Suricata — high‑performance IDS/IPS с multi‑threading. Работает в пассивном режиме (IDS) и inline (IPS). Принципиальная настройка:

af-packet: - interface: eth0 threads: 4 cluster-id: 99 cluster-type: cluster_flow defrag: yes 

cluster_flow гарантирует, что все пакеты одного TCP‑соединения обрабатываются одним потоком — критично для корректной сборки TCP‑потока.

eve.json в формате JSON отправляется напрямую в Wazuh или Elasticsearch. Кибановский Security App работает с ним нативно.

Сравнение IDS/IPS‑инструментов для сетевой безопасности

Suricata в 3-5 раз производительнее Snort на одинаковом железе благодаря многопоточности и поддержке AF_PACKET.

Аудит безопасности: что проверяем системно

Структурированный аудит охватывает несколько слоёв:

• Vulnerability scanning — OpenVAS/Greenbone для сети, Trivy для контейнеров. trivy image --severity HIGH,CRITICAL nginx:latest в CI/CD блокирует образы с критическими CVE до деплоя.
• Compliance — lynis audit system даёт hardening index и конкретные рекомендации; CIS‑CAT Pro — детальный маппинг на CIS Benchmarks с pass/fail по каждому пункту.
• Сетевой аудит — nmap -sV -sC -O --script vuln на периметре даёт снимок открытых портов, версий сервисов, известных уязвимостей; --script ssl-enum-ciphers проверяет поддержку слабых шифров.
• Облачный аудит — ScoutSuite для AWS/GCP/Azure: открытые S3 buckets, security groups с 0.0.0.0/0, IAM‑пользователи без MFA, незашифрованные EBS.

Каждый клиент получает отчёт с найденными проблемами, их критичностью и планом исправления.

Как подготовить инфраструктуру к аудиту сети?

Перед началом аудита соберите схему сети, список всех серверов и сервисов, информацию о том, какие порты открыты наружу. Это ускорит работу и уменьшит количество ложных срабатываний. Например, если на сервере стоит Jenkins на порту 8080, сканер может пометить его как потенциально опасный, но вы это знаете — исключаем из списка. Аудит без такой информации занимает на 30-40% больше времени.

Compliance: как подготовиться к PCI DSS и ISO 27001?

Compliance — это не только документы. Технические требования PCI DSS 4.0 включают контроли, которые нужно реализовать в инфраструктуре:

• Requirement 6.3.3: все компоненты обновлены — автоматический scanning + patch management.
• Requirement 10.3: логи защищены от изменения — centralized log management с write‑once хранилищем.
• Requirement 8.3.6: MFA для всего нетконсольного административного доступа.

Wazuh с compliance‑модулем генерирует готовые отчёты по PCI DSS, HIPAA, GDPR с маппингом алертов на конкретные требования.

Что входит в работу (deliverables)

Мы предоставляем:

• Отчёт по аудиту — список уязвимостей, критичность, рекомендации.
• Рабочий SIEM — установленный и настроенный Wazuh с кастомными правилами.
• IDS на периметре — Suricata с правилами Emerging Threats, интегрированная в систему мониторинга.
• Документация — архитектурная схема, конфигурации, runbook для реагирования на инциденты.
• Обучение команды — как читать алерты, писать правила, работать с Kibana.
• Поддержка — 2 недели пост‑проектного сопровождения.

Сроки и стоимость

Стоимость рассчитывается индивидуально после аудита. Инвестиция в безопасность окупается многократно — средний предотвращённый ущерб от утечки данных, по данным IBM, составляет миллионы долларов.

Получите консультацию по настройке SIEM и аудиту сети — мы объективно оценим вашу инфраструктуру и предложим план действий. Обращайтесь к нам: многолетний опыт, 30+ внедрений SIEM, работаем с компаниями от стартапов до enterprise. Свяжитесь для обсуждения вашей задачи.