Angara Security

🔎Каждый этап атаки требует от защитников своего подхода 🔘Поиск следов разведки среди большого объёма легитимной активности; 🔘Проверка инфраструктуры по имеющимся индикаторам компрометации; 🔘Оперативное ограничение взаимодействия с C2-инфраструктурой при недостаточных возможностях средств защиты на периметре — крайне важные задачи, требующие отработанных действий в сжатые сроки. ✖️Универсальных рекомендаций, которые одинаково хорошо работают во всех ситуациях, не существует. ✔️В такой ситуации пригодятся плейбуки, которые помогают не искать решение «с нуля», а быстро перейти к устранению той или иной проблемы. ▶️В своей практике мы регулярно сталкиваемся с подобными задачами, поэтому собрали решения, которые позволяют противодействовать злоумышленникам на разных этапах атаки. 🅰️Часть таких подходов мы представили в новом годовом отчёте. На основе нашего опыта мы подготовили набор наиболее востребованных практических плейбуков, посвящённых конкретным задачам. ⚡️Мы хотим, чтобы после знакомства с исследованием у читателя осталось не только понимание того, как действуют злоумышленники, но и появились готовые алгоритмы, которые специалисты по информационной безопасности могут уже сегодня адаптировать и применять при работе в своей инфраструктуре. 🔗Подробнее - в нашем исследовании. #DFIRMA 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

⚙️Единые стандарты информационной безопасности для филиалов и дочерних обществ: локальные исключения без потери контроля Управление информационной безопасностью в компаниях с распределённой структурой — головная боль для многих руководителей служб безопасности. Создать единый защищённый периметр — цель, которая выходит далеко за рамки разработки регламентов. Сложность в том, чтобы обеспечить их внедрение в каждом филиале, организовать непрерывный контроль и оперативно реагировать на меняющиеся условия на местах. 🅰️Светлана Осина, руководитель группы проектирования отдела систем мониторинга и реагирования Angara Security, рассказала о том, как совместить единые требования безопасности с локальными особенностями филиалов и при этом не скатиться в самообман абсолютного контроля: 🔘Когда жёсткие стандарты на практике не работают 🔘 Фундамент системы: единые политики с регламентированным механизмом исключений 🔘SGRC: учёт рисков 🔘SIEM: единый источник данных 🔘SOAR: автоматизирует исполнение и обеспечивает единые процессы 🔘Прозрачность, отчётность и культура: организационная основа. ✔️Единые стандарты информационной безопасности в распределённой компании — это в первую очередь создание прозрачной системы, в основе которой лежат чёткие политики с заранее предусмотренным механизмом для обоснованных отклоненй, считает Светлана Осина. 📎Читать статью 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

👤 Поведенческий анализ в АСУ ТП: зачем UEBA промышленному мониторингу Для промышленной среды недостаточно просто собрать логи и подключить несколько источников. Важно безопасно получить данные из технологического сегмента, не перегрузить каналы связи, учесть режимы работы площадок и не переложить всю кибербезопасность на инженеров АСУ ТП. 🅰️В новой статье Сергей Скородумов, руководитель отдела систем мониторинга и реагирования Angara Security, объясняет: 🔘Почему в АСУ ТП поведение важнее отдельных событий 🔘Что такое UEBA простыми словами 🔘UEBA как дополнение к SIEM и ICS/OT-мониторингу 🔘В чём ценность UEBA именно для АСУ ТП 🔘SIEM + UEBA на одной платформе или отдельная UEBA? 🔘Какие данные нужны для UEBA в АСУ ТП 🔘Как внедрять UEBA в промышленной среде 🔘Где UEBA может не сработать 🔘Что получает CISO Автор приводит практические кейсы использования UEBA в промышленной среде. Он делает вывод, что UEBA в АСУ ТП — это не замена SIEM и не альтернатива ICS/OT-мониторингу. Это дополнительный аналитический слой, который помогает понять, когда привычные на первый взгляд действия начинают выбиваться из нормального поведения. 📎Читать статью 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

❓Сколько у вас есть времени, чтобы остановить атаку? ℹ️Ландшафт киберугроз крайне неоднороден, но программы‑вымогатели по‑прежнему остаются одной из главных угроз для бизнеса. По данным наших расследований инцидентов 2025 года, медианный срок от первоначального проникновения до шифрования инфраструктуры у финансово мотивированных группировок — всего 7️⃣дней. На первый взгляд, недели достаточно. Но на практике первые дни часто уходят на подтверждение инцидента, сбор первичной информации, поиск подрядчика, согласование работ. В итоге на активное противодействие остаётся значительно меньше времени, чем кажется. ⚡️В нашем годовом отчёте мы детально разобрали, как меняется продолжительность атак в зависимости от мотивации злоумышленников: почему одни кибератаки завершаются за несколько дней, а другие могут оставаться незамеченными месяцами и даже годами. 📎О том, как не упустить критический момент в реагировании читайте в нашем исследовании. #DFIRMA 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

🔍Новая статья от Angara Security на Хабре: разбираем эксплуатацию уязвимости Stack Overflow в драйверах Windows Если вы только начинаете свой путь в теме Malware и Exploit Development — этот материал точно для вас. Наша команда редтим подробно разбирает технику эксплуатации одной из критических уязвимостей на примере тестового драйвера. В статье: 🔘Почему публично известные методы эксплуатации приводят к падению современных ОС. 🔘Подробный разбор техники эксплуатации уязвимости на примере тренировочного драйвера Extreme Vulnerable Driver. 🔘Как обойти проблему без нарушения работы ОС и BSOD и заставить работать полезную нагрузку. Это не просто теория — в материале много технических деталей и рабочих подходов, которые можно применять на практике. 📎Читайте статью на Хабре 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

🅰️ Angara MTDR выпустила ежегодное исследование киберугроз по итогам расследования атак 2025 года В отчёте – наш практический опыт реагирования на инциденты: от первоначального доступа злоумышленника до детального анализа его действий внутри инфраструктуры. Мы не просто фиксируем факты, а показываем, как меняются методы развития атак и что с этим делать. ⚡️ Помимо разбора актуальных сценариев, мы подготовили рекомендации: сценарии реагирования и меры защиты, которые помогут повысить эффективность на каждом этапе атаки. Ключевые наблюдения по итогам расследований: 🔘Время обнаружения напрямую влияет на последствия атаки — чем раньше вы видите угрозу, тем меньше ущерб. 🔘Доверенные отношения — один из ключевых векторов атак: злоумышленники всё чаще эксплуатируют цепочки доверия и легитимные доступы. 🔘Характер атак меняется: фокус смещается с публичной демонстрации активности на сценарии саботажа и нарушения работы инфраструктуры. 🔘Инструментарий атакующих развивается: злоумышленники активно используют новые техники, в том числе методы, ранее применявшиеся чаще в рамках Red Team. 🔗 Получить отчет можно на нашем сайте #DFIRMA 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

⚠️ Angara Security предупреждает: 5 сезонных ловушек, которые уже работают Лето — время отпусков, шашлыков, детских лагерей и подработок. Идеальное время для мошенников. По данным экспертов Angara MTDR, в летний период злоумышленники перестраиваются, маскируя фишинговые сайты под самые востребованные ресурсы: отели, авиакомпании и детские лагеря . Разбираем ТОП-5 схем 2026 года, которые уже фиксируют специалисты. 📎Сохраните пост, чтобы не потерять. 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

☀️Чек-лист безопасника на лето: 5 пунктов, которые нельзя откладывать на осень Тихое лето — идеальное время навести порядок там, где в горячий сезон вечно не хватает рук. Пока коллеги в отпусках, а инфраструктура дышит чуть свободнее, вот что стоит успеть: 1️⃣Провести аудит спящих учетных записей 2️⃣Протестировать резервные копии (по-настоящему) 3️⃣Сыграть в настольные учения (Tabletop Exercise) 4️⃣Устроить «санитарный день» в политиках и документах 5️⃣Прокачать насмотренность команды Когда база в порядке, регламенты актуальны, а команда в тонусе, любой инцидент встречаешь на шаг впереди, а не в роли догоняющего. Тишина лета — лучший момент, чтобы эту уверенность создать 😎 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

⚙️SIEM в АСУ ТП: как построить мониторинг, который помогает производству, а не мешает Подключить АСУ ТП к SIEM недостаточно, чтобы получить полноценный мониторинг безопасности. Промышленная инфраструктура требует иной архитектуры, других источников данных и тесной связи с технологическими процессами. 🅰️В новой статье Сергей Скородумов, руководитель отдела систем мониторинга и реагирования Angara Security, объясняет: 🔘Почему мониторинг АСУ ТП отличается от мониторинга ИТ. 🔘С чем связаны ключевые сложности мониторинга в АСУ ТП. 🔘Нужна ли SIEM или для начала необходим ICS/OT Monitoring. 🔘Что должна видеть SIEM в промышленном контуре. 🔘Какие преимущества получает CISO. Для тех, кто хочет от теоретических изысканий перейти к практике, приведены реальные примеры. Они показывают, почему отдельные события нельзя оценивать без учёта технологического контекста, регламентов работ и особенностей конкретной площадки. Даются практические рекомендации по внедрению SIEM в АСУ ТП. 📎Читать статью 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

🔍East-West visibility: почему SIEM не спасает? Одна из главных проблем в мониторинге инцидентов — потеря контекста. Событие входа само по себе легитимно. Но если этот вход произошел с рабочей станции бухгалтера на контроллер домена через RDP — это уже тревога. 🅰️В новой статье Никита Новиков разобрал: 1️⃣ Как избыточные связности создают «туристические маршруты» для атак. 2️⃣ Почему VLAN не решает проблему сегментации. 3️⃣ С чего начать внедрение контроля горизонтального трафика без риска «уронить» сервисы. Для тех, кто хочет перейти от теории к практике и узнать, как описать каждую внутреннюю связь через источник, протокол, учетку и владельца. 📎Читать статью 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity

💡Главная боль любого CISO — не закрыть 10 тысяч уязвимостей, а объяснить бизнесу, почему мы чиним именно эту «дыру» прямо сейчас. ⚡️Риск-ориентированное управление уязвимостями (RBVM) — это про переход от бесконечных списков к управляемому плану снижения рисков. Мы разложили всё по полочкам: 🔘Почему мы часто тратим ресурсы на некритичные находки и пропускаем уязвимости со средним уровнем опасности. 🔘Как прикрутить RBVM к ФЗ-187 (КИИ) и требованиям Банка России (716-П). 🔘Практический цикл: от назначения владельца актива до повторной проверки. Спойлер: RBVM — это не «коробка», которую можно купить. Это процесс, в котором участвуют ИБ, ИТ и владельцы бизнес-систем. И начинается он не со сканера, а с понимания, что у вас вообще есть. 📊Хотите пример метрик, которые показывают реальное снижение рисков, а не «активность команды»? ➡️Читайте на нашем сайте 📲 MAX | 📱 ВКонтакте | 🌐 Сайт @angarasecurity