В MaxPatrol SIEM загружен очередной пакет экспертизы[1]: новые правила корреляции событий информационной безопасности выявляют подозрительную активность в системах управления базами данных Oracle. Это поможет пользователям оперативно локализовать атаки, не допуская утечки данных или вывода СУБД из строя.
По мнению аналитической компании Gartner, Oracle — лидер мирового рынка систем управления данными. СУБД, как правило, хранят персональные данные сотрудников и клиентов, финансовую и платежную информацию, интеллектуальную собственность; все это может быть интересно злоумышленникам. По итогам анализа актуальных киберугроз за второй квартал 2019 года аналитики Positive Technologies отмечают, что более половины всех киберпреступлений за этот период совершались именно с целью кражи информации. При этом в пятерку наиболее часто похищаемых данных вошли персональные, учетные данные и данные платежных карт, а также коммерческая тайна и медицинская информация. На их долю пришлось 88% всех похищенных данных.
«Целью атаки злоумышленника на СУБД может быть не только доступ к конфиденциальным данным, но и вывод системы из строя, для того чтобы скрыть свои действия или же просто нанести ущерб, — комментирует Антон Столяров, руководитель отдела безопасности баз данных Positive Technologies. — Поскольку СУБД зачастую подключена ко многим другим системам, нарушение ее работоспособности может привести к полной остановке целого бизнес-процесса. Поэтому критически важно обеспечивать защиту баз данных».
Чтобы не допустить утечек данных и вывода из строя Oracle Database, команда R&D Positive Technologies создала специальный пакет экспертизы с 13 правилами корреляции. С их помощью пользователи MaxPatrol SIEM могут выявить следующие подозрительные действия, каждое из которых требует расследования:
- определение версии СУБД (это первое действие злоумышленника при атаке на систему);
- подбор названия баз данных (явно свидетельствует о начале атаки на СУБД);
- изменение записей в таблице аудита, их удаление или добавление (обман или попытка злоумышленника пустить расследование по ложному следу);
- операции с аудитом — отключение или удаление аудита, его системных правил, политики детального аудита;
- аудит действий привилегированных пользователей (SYSDBA);
- чтение таблиц, содержащих пароли.
[1] Поставка пакетов экспертизы в MaxPatrol SIEM — это регулярная автоматизированная передача знаний в области обнаружения инцидентов ИБ в виде алгоритмов, позволяющих выявлять даже сложные нетиповые атаки. Соответствующие наборы правил и рекомендаций формируют эксперты Positive Technologies (R&D и PT Expert Security Center), которые непрерывно анализируют актуальные угрозы, исследуют полный цикл атак и разрабатывают способы их обнаружения. Наборы правил и рекомендаций объединяются в пакеты и передаются в базу знаний Positive Technologies Knowledge Base (PT KB), которая входит в состав MaxPatrol SIEM. Далее пользователь системы может в интерфейсе PT KB выбрать интересующие его пакеты и применить их в рамках своей инсталляции продукта.
