У блозі CEO SOC Prime Андрій Безверхий та керівник напрямку IBM Security Андрій Кузьменко розповіли, на чому ґрунтується їхнє партнерство, як співпраця дозволяє розбудовувати колективний кіберзахист і в який спосіб компанії допомагають українським кіберзахисникам боротися проти російських атак.

Як алгоритми від SOC Prime посилюють SIEM-платформу від IBM

На українському ринку кібербезпеки працюють компанії, які розробляють програмні рішення для протидії кіберзагрозам, а також системні інтегратори, які забезпечують постачання та впровадження цих технологій безпеки. SOC Prime підтримує власну SaaS-платформу для колективного кіберзахисту, що допомагає різним фахівцям з кібербезпеки, як-то експертам з Detection Engineering та Threat Hunting, CTI та SOC аналітикам проактивно захищатися від критичних загроз, мінімізувати потенційні сліпі зони для виявлення атак, автоматизувати рутинні задачі та значно покращувати продуктивність команди. Важлива складова платформи SOC Prime, Threat Detection Marketplace — найбільший у світі маркетплейс з контенту для ідентифікації загроз, а розробка такого контенту визначає один з ключових напрямків діяльності компанії з побудови ефективного кіберзахисту клієнтів. 

«Ми з 2017 року створюємо Sigma-бекенди для різних SIEM і розробляємо правила детектування загроз. Починали з чотирьох платформ, зокрема QRadar від компанії IBM. Ми закомітили на GitHub бекенд, який дозволяв перекладати Sigma-алгоритми на AQL, нативну мову QRadar», — розповідає Андрій Безверхий, CEO SOC Prime.

Він підкреслює, що IBM має значну частку на кіберринку як України, так і світу. Орієнтовно 15% клієнтів SOC Prime використовують виключно QRadar Suite, ще 10% — QRadar разом із дотичними технологіями. 

Водночас в IBM впевнені, що впровадження навіть найкращих програмних рішень не є панацеєю та 100-відсотковою гарантією захисту. Поряд з якісною SIEM-системою не менш важливим компонентом кібербезпеки є контент для виявлення та реагування на інциденти безпеки. 

«У цьому наші цінності із SOC Prime збігаються, тож ми почали співпрацювати. Ми є одним з найбільших SIEM-постачальників в Україні, серед наших клієнтів — як бізнес, так і державний сектор. Всі вони, а також наші локальні бізнес-партнери інтегратори, отримали доступ до аналітичного контенту від SOC Prime й у такий спосіб підвищили рівень захищеності своєї інфраструктури», — пояснює керівник напрямку IBM Security Андрій Кузьменко.

За його словами, клієнти IBM отримують не тільки індикатори компрометації, як-от IP-адреси, хеші файлів і посилання, а й більш просунуті правила. Вони дозволяють виявляти атаки на рівні поведінкового аналізу та ефективніше на них реагувати.

QRadar, MITRE ATT&CK та Roota — як ці технології працюють разом

QRadar Suite вже більш ніж 10 років утримує провідне місце на ринку SIEM-систем. Щоб захищати клієнтів від кіберзагроз, в IBM збирають велику кількість телеметрії з найважливіших елементів інфраструктури, аналізують мережевий трафік і намагаються виявляти аномалії та зловмисну активність.

Восени 2023 року IBM додала нативну підтримку мови Sigma в QRadar Suite. Завдяки цьому, інтегрувати в QRadar нові правила для виявлення загроз можна за 5-10 хвилин. Увесь контент, який надає SOC Prime, замаплений на фреймворк MITRE ATT&CK.

MITRE ATT&CK — це класифікація технік і засобів кіберзловмисників, величезна бібліотека знань про вже відомі загрози. Щоразу, коли відбувається кіберінцидент, експерти заносять до MITRE ATT&CK усі наявні відомості та контекст: яке угрупування стоїть за атакою, яке програмне забезпечення використовували, якими були точки входу та результати.

«Навіть якщо наступного разу кіберзлочинці змінять інструменти, атрибуція в MITRE ATT&CK дозволить впізнати їх за «почерком» — патерном поведінки, певною послідовністю дій, яка їм притаманна. Це дає можливість краще готуватися до наступних атак», — зазначає СЕО SOC Prime. 

За його словами, це також спрощує прийняття рішень щодо кібербезпеки для клієнтів. Організації не завжди готові впроваджувати дорожчі SIEM-системи, які аналізують максимальну кількість телеметрії, адже не бачать у цьому доцільності. База знань MITRE ATT&CK допомагає зрозуміти, які дані справді варто збирати, аби розпізнати ту чи іншу зловмисну активність на ранньому етапі.

Крім цього, у листопаді 2023 року у SOC Prime анонсували мову Roota — універсальну опенсорсну мову для колективного кіберзахисту, яка дозволяє миттєво перекладати алгоритми детектування загроз у будь-яку нативну мову комплексних систем виявлення загроз. 

«Уявімо, що фахівець із кібербезпеки, який працює з QRadar Suite і мовою AQL, отримує алгоритм детектування певної загрози, складений іншою нативною мовою. На те, щоб розібратися в ньому та перекласти, раніше потребувалося чимало зусиль. Проте Roota максимально автоматизує цей процес і робить можливою співпрацю різних спеціалістів із кіберзахисту», — пояснює Андрій Безверхий.

Що потрібно для колективного кіберзахисту в умовах кібервійни

Згідно з американською військовою доктриною, кіберпростір — такий самий вимір війни, як і земля, вода та повітря. Андрій Безверхий пригадує доповіді Держспецзв’язку та CERT-UA, які свідчать про пряму кореляцію між фізичним та кіберпростором. Наприклад, якщо кібератака російських угруповань на енергетичний сектор України виявляється невдалою, за нею слідує ракетний обстріл.

SOC Prime співпрацює з CERT-UA і низкою CERT по всій Європі, пропонуючи алгоритми для детектування кіберзагроз. Окремий підрозділ, який взаємодіє з державою, є і в дослідницькій команді IBM.

Щоб розбудовувати ефективний колективний кіберзахист, в IBM фокусуються на покращенні обміну даними про загрози й на активному навчанні спільноти та молодих фахівців.. Для цього, зокрема, вважають за доцільне використовувати контент від SOC Prime у зв’язці з QRadar Suite.

«Також у нас є програма академічної ініціативи, у межах якої студенти вишів можуть отримати доступ до наших технічних рішень — наприклад, для виконання лабораторних робіт. У 2024 році ми плануємо долучити до програми й колег із SOC Prime, щоб студенти навчалися сучасних технологій кібербезпеки й уміли працювати не тільки з інструментами, а й з контентом», — ділиться керівник напрямку IBM Security.

З ним погоджується Андрій Безверхий: за його словами, взаємодія всіх учасників ринку кібербезпеки на всіх рівнях дозволить отримати кумулятивний ефект. Адже що більше фахівців можуть створювати контент і ділитися ним одне з одним, то міцніший загальний колективний кіберзахист. Це стає дедалі актуальнішим зараз, коли український бізнес та держава перебувають під загрозою російських кібератак.

Як підготуватися до кібервикликів 2024 року

На думку Андрія Кузьменка, варто очікувати, що у майбутньому кількість кібератак в Україні та світі лише зростатиме. Зокрема, український приватний та державний сектор активно переходить у хмару, що здебільшого не сприяє зменшенню кількості вразливостей. Державні організації мають навіть більше ризиків, адже протягом останніх років Україна стрімко розвивається як цифрова держава, що привертає увагу хакерів і кіберзлочинців.

«Ще одна причина для зростання кіберзлочинності — у тому, що інструменти для атак стають дедалі доступнішими. Наприклад, за допомогою засобів штучного інтелекту навіть новачки здатні завдати шкоди, хоча й не критичної. Але й для професійних угруповань, які спонсорують держави, робота спрощується, тож слід готуватися протистояти цим загрозам», — наголошує керівник напрямку IBM Security.

Він зазначає, що серед актуальних трендів у галузі кібербезпеки — уніфікація і спрощення роботи. Наразі на ринку вже не вистачає кіберспеціалістів, і ця тенденція поглиблюється, тож організації йдуть до того, щоб один фахівець при менших ресурсах міг закривати максимальну кількість завдань. Для цього потрібні сучасні програмні засоби, які зможуть автоматизувати частину роботи — наприклад, давати підказки, як локалізувати ту чи іншу загрозу, як відновити інфраструктуру після атаки. 

В IBM при створенні нових продуктів фокусуються саме на цих функціях: щоб технології були доступними та простими, але при цьому високоефективними. Як зазначає Андрій Кузьменко, місія компанії — зробити так, аби рішення для кібербезпеки могла собі дозволити будь-яка організація, навіть маленька компанія на 10 працівників.

«Водночас ми попереджаємо клієнтів, що недостатньо лише впроваджувати сучасні технології. За допомогою наших інструментів можна виявити більшість з тих атак, про які розповідає CERT-UA та інші, але насамперед кібербезпека залежить від фаховості працівників компанії. Важливо регулярно стежити за загрозами та контентом, зокрема поведінковими патернами зловмисників, проактивно шукати ті чи інші проблеми в інфраструктурі, інвентаризувати ІТ-активи, вчасно оновлювати софт», — розповідає експерт.

Андрій Безверхий додає, що одна із потенційних загроз 2024 року — збільшення частки автономних кібератак, які керуються штучним інтелектом. Вони небезпечні тим, що «розумна» технологія здатна ухвалювати рішення «на льоту», тож їй складніше протистояти. З іншого боку, інструменти захисту теж стрімко еволюціонують та «озброюються» штучним інтелектом, створюючи паритет у можливостях кіберзловмисників і кіберзахисників. 

«Співпраця кіберзахисників — єдиний шлях порушити цей паритет на свою користь і протистояти кіберзлочинцям, особливо кібертерористичним угрупованням, які діють за підтримки держави-ворога. Якщо всі працюватимемо заради спільної мети, отримаємо перевагу», — переконаний СЕО SOC Prime. 

Розв’язати цю проблему допомагає колективний кіберзахист: як тільки один учасник ринку стикається з новою загрозою, інші кіберфахівці також отримують інформацію про неї, разом створюють методи захисту та поширюють правила детектування. Щоб ця концепція працювала, індустрії потрібна уніфікована мова для ведення бази знань сценаріїв виявлення загроз.

Саме для цього в компанії SOC Prime створили мову Roota — універсальну опенсорсну мову для колективного кіберзахисту, що дозволяє миттєво перекладати алгоритми детектування загроз у будь-яку нативну мову комплексних систем виявлення загроз, наприклад, SIEM, EDR, XDR чи Data Lake. 

У блозі фахівці SOC Prime розповіли, чим Roota відрізняється від інших мов, як міжнародна кіберспільнота відреагувала на нову технологію та як українська розробка змінює правила гри у світовому кіберзахисті.

Як виникла потреба у новій мові для кіберзахисту

Програмне забезпечення з кіберзахисту розробляють багато компаній, і кожна з них користується своєю внутрішньою мовою для опису та детектування загроз. Це створює бар’єри для кіберспеціалістів: їм потрібно опановувати в середньому 5 із більше ніж сотні різних технологій, аби ефективно працювати з різними системами. 

Тому створення універсальної мови — не нова ідея для кіберзахисту. Наприклад, коли основну загрозу становили віруси на базі файлів, з’явилася мова Yara (VirusTotal, Google). Потім виникла мова Snort (Sourcefire, Cisco), яка описувала мережеві способи знаходження загроз — але досить складні та вузькоспеціалізовані. З 2016 року трендом індустрії стала опенсорсна мова Sigma — справді універсальний і простий інструмент, але у цьому ж полягає його основний недолік.

«Sigma — певною мірою обмежена у можливостях. Від початку вона підтримувала лише дві технології — Elastic і Splunk. Ми в SOC Prime доєдналися до спільноти розробників Sigma у 2017, створивши Sigma бекенди для таких технологій як ArcSight, QRadar та Qualys. Протягом останніх шести років, члени команди SOC Prime були активними учасниками Sigma-спільноти, продовжуючи додавати нові бекенди (наразі підтримується 45 технологій) та створюючи правила детектування загроз. Проте ми повсякчас чули від клієнтів, що їм недостатньо лише Sigma для комплексного кіберзахисту», — пояснює СЕО SOC Prime Андрій Безверхий.

СТО компанії Олександр Бредіхін додає, що водночас їхня команда отримувала багато запитів від клієнтів про допомогу з мігруванням аналітичного контенту на нові SIEM- та EDR-платформи. Для цього потрібно перекладати правила та запити з однієї нативної мови на іншу, що потребує постійного пошуку та найму фахівців з цих технологій.

«Відтак у нас народилася ідея зробити свою мову, яка буде такою ж універсальною, як Sigma, і зможе оптимізувати завдання постійного перекладу між різними мовами. Проте вона має працювати не тільки з однорівневими правилами на кшталт сигнатур, а й зі складнішими алгоритмами — у такий спосіб ми можемо надати спільноті потужний інструмент для реагування на інциденти та атрибуції кібератак», — розповідає Олександр Бредіхін.

Що таке Roota та як її розробляли

Над створенням нової мови працювали топові кіберспеціалісти SOC Prime: Руслан Міхальов, Роман Ранський, Адам Свон, Андрій Безверхий та Олександр Бредіхін. Фідбек збирався командою понад 7 років, концепцію продумували з 2021 року, після залучення інвестицій. Завдяки підготовці та плануванню сама розробка логіки мови тривала кілька місяців, реліз відбувся у листопаді 2023 року.

«Якщо уявити алгоритми пошуку даних, описані нативною мовою, які підтверджують наявність підозрілої кіберактивності, як атом, тоді, структурно, Roota виступає молекулою, яка може обʼєднувати в собі різні атоми, досягаючи нових властивостей. Звʼязки між молекулами формуються завдяки MITRE ATT&CK, яка, своєю чергою, збудована на доказовій базі попередньо відомих та вивчених кібератак. Такі звʼязки, наче формула, описують конкретні техніки атак, програми, які в них використовуються, атрибути тих, хто ці атаки проводить. Технічно Roota містить усі необхідні поля для даних, які потрібні для опису загрози та методів її виявлення: метаінформація, тегування за різними типами атак, дані з MITRE ATT&CK, таксономії Sigma та Amazon OCSF, за таймлайном для інтеграції з роботою платформ Threat Intelligence, які використовують у CERT-ах, сценарії автоматичної протидії атакам. Завдяки цьому один спеціаліст може швидко описати, а інший зрозуміти весь контекст атаки, не розголошуючи сенситивних даних», — зазначає СТО SOC Prime Олександр Бредіхін. 

За його словами, логічна частина правила може бути написана будь-якою іншою мовою платформ SIEM, EDR, XDR чи Data Lake, яку знає фахівець з кібербезпеки. Зараз Roota підтримує 10 таких мов, але найближчим часом їх стане в рази більше. Водночас якщо спеціаліст знає одну з цих мов, то для опанування Roota вистачить однієї-двох годин. Для цього достатньо прочитати відкриту специфікацію на GitHub.

Щоб придумати назву мови, СЕО SOC Prime Андрій Безверхий попросив всіх співробітників запропонувати свій варіант у корпоративному чаті. Одна з вимог — це мало бути українське слово. 

«Цей чат був чи не найактивніший за весь час існування компанії! Зрештою після довгих та бурхливих дискусій ми зупинилися на Roota. Українська легенда про червону руту розповідає про пошук кохання та удачі. Якщо спроєктувати це на нашу діяльність, ми віримо, що місія Roota покликана змінити на краще галузь кібербезпеки, якій дещо бракує узгодженості та знайти успішні можливості для злагодженої співпраці кіберзахисників у виявленні загроз», — ділиться Олександр Бредіхін.

Логотипом нової технології стала червона квітка рути. Як зізнається команда SOC Prime, на презентаціях Roota іноземці дуже радо сприймають український контекст, із цікавістю слухають легенду. Тож, окрім внеску до колективного кіберзахисту, розробка компанії ще й популяризує українську культуру.

Як перекладач Uncoder спрощує роботу кіберфахівців

Uncoder IO — інтегроване середовище розробки (IDE) для створення алгоритмів детектування та їх перекладу. Це опенсорсний інструмент від SOC Prime, запущений 2018 року. Раніше він перекладав Sigma-правила в нативну мову SIEM-платформи, але з появою Roota його функціональність повністю оновили.

«Зараз Uncoder може перекладати запити та правила з однієї нативної мови на іншу через Roota. Ми з нуля переписали алгоритми для кращої конвертації — йшли шляхом спроб і помилок, поки не знайшли оптимальну архітектуру. Проте тепер можемо додавати підтримку нових платформ, не витрачаючи багато часу і реалізовуючи складнішу логіку», — пояснює Віктор Гребенюк,Backend Team Lead у SOC Prime, який очолює проєкт з розробки Uncoder.

Зокрема оновлений Uncoder перекладає індикатори компрометації: IP-адреси, emails, посилання, хеші файлів та інші артефакти атак в оптимізовані пошукові запити для пошуку слідів атак в SIEM, EDR, XDR та Data Lake технологіях. Зазвичай відповідні державні установи з кіберзахисту надають ці дані у звітах про кібератаку. За допомогою Uncoder будь-хто може просто скопіювати цей текст, вставити до перекладача та отримати повноцінні запити, готові для проведення пошуку слідів атаки у своїй платформі. У такий спосіб вистачить кількох секунд, аби дізнатися, чи була організація атакована, звісно, за наявності потрібної телеметрії. Раніше, без автоматизації, на це йшли години, і такі задачі виконувалися експертами. Тепер є можливість залучати для допомоги з такою щоденною задачею новачків та непрофільних спеціалістів.

Як зазначає СЕО SOC Prime Андрій Безверхий, завдяки Roota перекладач Uncoder став повністю універсальним перекладачем. Відтепер кіберзахисникам не потрібно витрачати роки на вивчення нових нативних мов, які досить швидко втрачають свою популярність. Якщо фахівець знає одну — він знає усі, адже Uncoder повною мірою забезпечує переклад. Це дозволяє компаніям економити час і гроші, а спеціалістам фокусуватися на виявленні та протидії кібератакам і завжди мати актуальні навички для підвищення кар’єрного зросту.

Ще одна корисна надбудова Uncoder — AI co-pilot, випущений у травні 2023 року, який є частиною SaaS-платформи SOC Prime. Uncoder AI виконує функцію другого пілота для фахівців з кібербезпеки, Detection Engineers та Threat Hunters. На сьогодні він підтримує миттєвий переклад коду 65 форматів для 45 SIEM, EDR, XDR та Data Lake технологій. В основі та сама технологія, що й опенсорсна версія, але за допомогою SaaS, Uncoder AI використовує набори мовних даних, технології ШІ та централізованого обміну для отримання релевантних метаданих та контексту кіберзагроз. Він надає змогу створювати алгоритми детектування кіберзагроз без синтаксичних помилок, генерувати, розширювати та оптимізувати код, легко обмінюватися ним у захищеному приватному середовищі.

Як кіберспільнота сприймає розробки SOC Prime

Roota та Uncoder — проєкти з відкритим кодом, доступі на GitHub. Як пояснює Віктор Гребенюк, вибір на користь опенсорсу — це один з елементів створення колективного кіберзахисту. У такий спосіб компанія залучає спільноту до розробки, а також отримує зворотний зв’язок і покращує продукт. Наприклад, користувачі пропонують додавати нові функції для перекладів з однієї мови на іншу — і команда це робить.

«До того ж не у всіх кіберфахівців є можливість користуватися вебверсією — наприклад, державний сектор не може це робити з міркувань безпеки. Тож завдяки відкритому коду вони можуть встановити Uncoder у захищеному середовищі», — розповідає Андрій Безверхий.

Водночас розробники наголошують, що Uncoder — повністю приватний інструмент, який не збирає жодних даних користувачів. Зокрема через те, що вебверсія навіть не збирає cookies, неможливо порахувати будь-яку статистику використання перекладача. Проте відгуки та публікації у соцмережах свідчать: щоденно продуктом користуються тисячі спеціалістів.

Uncoder AI збирає технічні та статистичні дані у межах GDPR. Тому відомо, що з червня 2023 року інструментом скористалися 10 000 унікальних користувачів та понад 2000 унікальних компаній зі 120 країн світу.

«Спільнота сприйняла із захватом і появу Roota. Менш ніж за три тижні з дати релізу 3200 спеціалістів із кібербезпеки з понад 90 країн відвідали офіційну сторінку Roota.io. Крім цього, публікація анонсу мови зібрала понад 60 000 переглядів у Х (Twitter) та близько 70 000 у LinkedIn. Ми не очікували, що рівень цікавості буде настільки великим! Але тішимося цим і радо спілкуємося з користувачами та відповідаємо на їхні запитання у нашій Discord-спільноті», — ділиться Олександр Бредіхін.

Що далі: плани та перспективи

У планах SOC Prime — розширювати кількість платформ, які підтримують Roota та Uncoder, вдосконалювати якість перекладів і додавати нові функції для автоматизації щоденної роботи кіберспеціалістів.

«Також будемо розвивати нашу програму Threat Bounty, у межах якої ми запрошуємо кіберфахівців ділитися з нами своїм аналітичним контентом, як-от правилами для знаходження загроз, та отримувати за це винагороду. Зараз у нас понад 640 учасників. До появи Roota вони надавали свої правила у форматі Sigma, а тепер це можна робити будь-якою нативною мовою, що значно спрощує поріг входу», — розповідає Олександр Бредіхін.

Андрій Безверхий додає, що у компанії почали працювати з LLM: тренують опенсорсні моделі на своїх датасетах. У перспективі це дозволить генерувати алгоритми з опису загроз, взагалі не знаючи жодної з мов кібербезпеки.

«Наприклад, людина робить запит на кшталт «знайти всі кібератаки від APT28 за 30 днів» — й отримує необхідні нові поведінкові алгоритми, пакет наявних правил з контекстом від CERT та відібрані набори індикаторів. У такий спосіб будь-хто, залучений до кіберзахисту, може швидко виконати початкову атрибуцію атаки, а спеціалісти відповідних державних установ — ініціювати процес обміну інформацією та прискорення санкцій щодо кібертерористів. Ми очікуємо, що за рік впровадимо таку технологію і зможемо разом зі спільнотою робити світовий кіберпростір безпечнішим», — наголошує СЕО SOC Prime.

Це була компанія SOC Prime. Зараз її цілі: вже не просто захищати український кіберпростір, але й будувати колективну кібербезпеку для всього світу. AIN.UA розповідає історію цього проекту: від перших алгоритмів, що писалися на орендованій квартирі, й до участі у формуванні безпекових трендів на світовому рівні.

Втекти із сервісного бізнесу, щоб започаткувати продуктовий

Майбутні засновники компанії — Андрій Безверхий, Олександр Бредіхін та Руслан Міхальов, усі працювали разом у компанії-інтеграторі. Вони робили багато «польової» робити: працювали з клієнтами на місцях. Встановлюючи та підтримуючи системи SIEM (керування інфобезпекою та подіями безпеки) від різних вендорів, вони бачили, що ці системи часто складні й малозрозумілі для клієнтів, і вже на етапі імплементації з цим виникають проблеми.

«Це була класика сервісного бізнесу: струси з клієнта гроші, а завтра буде завтра. Нам цей підхід не подобався: ми хотіли розв’язувати проблеми клієнтів. А саме: SIEM-системи зазвичай складні, і щоб їх налаштувати — треба ламати голову, а часу обмаль. Проблеми у всіх клієнтів були одні й ті самі, і ми тоді замислилися: а чи існує радикально інше рішення», — згадує Безверхий, який став CEO стартапу.

Загальна проблема із захистом клієнтів була одна: атак ставало дедалі більше, вони все частіше були багатовекторні: коли під загрозою опинялися і хмара, і IoT (Інтернет речей), й інженерні мережі. У таких випадках стандартні методи захисту типу антивірусів не дуже працювали. Тож, щоб надати клієнту нормальний захист, потрібно було придумати, як сигнали про атаки на всіх рівнях зводити воєдино в одну систему моніторингу. А для цього потрібно було придумати, як отримувати дані та якими алгоритмами їх обробляти. 

Готових таких рішень не було. Тому троє співзасновників полишили найману роботу й запустили стартап.

Перші продукти та перші клієнти

«На той момент у нас не було таких амбітних цілей, як зараз. Ми сіли й порахували: SIEM-ринок оцінений у $2 млрд, росте на 20% за рік, навіть якщо візьмемо на ньому 0,5%, буде непогано», — згадує Безверхий. 

Як і багато стартапів, SOC Prime починався майже з нуля і працював за гроші його засновників. Перші ідеї та алгоритми команда генерувала на орендованій квартирі в районі Караваєвих Дач у Києві. Однією з таких ідей стала назва компанії: SOC у ній позначає Security Operations Center, а Prime натякає на те, що засновники у дитинстві фанатіли від роботів-трансформерів, які захищали людей. 

Після перших ангельських інвестицій від Леона Подобєдова, GrowthUp, Digital Future, UAngels та кількох інших «ангелів» перебралися у місце сили багатьох київських стартапів — «Часопис» (закритий з 2021 року). Тоді цей коворкінг бринів підприємництвом: майстер-класи, лекції, Fireside-чати, активний нетворкінг. З «Часопису» SOC Prime паралельно працювали над сід-раундом та над своїми першими продуктами. Тоді в команди не було інтерфейсу для них, лише алгоритми для детектування загроз, чистий бекенд. 

Клієнтську базу для них шукали в оригінальний спосіб. Усі фаундери з ранку до ночі сиділи на закордонних форумах виробників SIEM-систем (як ми уже згадували, це непростий у налаштуванні та використанні софт) і розв’язували проблеми та питання, які озвучували там користувачі.

«У нас було змагання між фаундерами: зранку одразу після кави логінилися на форуми й на швидкість розв’язували найскладніші проблеми користувачів. Фактично ми транслювали експертизу з кібербезпеки трьох хлопців з України на весь світ», — згадує Олександр Бредіхін.

Рейтинги фаундерів на форумах росли, кількість заявок на допомогу росла із ними. Так і вийшли на міжнародних клієнтів.Водночас SOC Prime потроху залучав і клієнтів в Україні. Вже до кінця 2015 року серед клієнтів компанії були «УкрСиббанк», медіахолдинг StarLightMedia, провайдер «Воля» та інші.

Запуск маркетплейса та перехід до Sigma

2016 року команда запустила перший маркетплейс — Use Case Library. Фактично це був майданчик, де можна було завантажувати безкоштовно або ж купляти ті самі безпекові алгоритми. Для нього спочатку не робили ані реклами, ані SEO, ані маркетингових кампаній: люди дізнавалися про нього на форумах. 

«Ми запустилися в серпні 2016 року, і точнісінько, як у серіалі «Кремнієва долина» сиділи біля моніторів і чекали: підуть люди до нас чи ні. За тиждень без реклами отримали 50 реєстрацій, серед нових користувачів були компанії з Fortune-500», — згадує Руслан Міхальов.

Маркетплейс працював як фріміум-сервіс: користувачі спочатку пробували безплатні алгоритми, а потім зверталися і за платними. Перший комерційний продаж відбувся за місяць після запуску. 

2016 року сталася ще одна знакова для компанії та всього світу кібербезпеки подія: розробники Флоріан Рот та Томас Патцке зробили перший коміт до GitHub-репозиторію SigmaHQ і запустили мову Sigma. Це — спільна мова для кіберекспертів усього світу на відкритому коді, що дозволяє самостійно писати сигнатури (характерні ознаки) для будь-якої кіберзагрози, а також створювати в такий спосіб дієвий та постійно оновлюваний інструмент детектування загроз. 

Експерти SOC Prime одними з перших у світі почали застосовувати Sigma-правила для ідентифікації загроз та побудови кіберзахисту клієнтів. Також вони першими поєднали Sigma із фреймворком MITRE ATT&CK®, який фактично є аналогом періодичної таблиці елементів у світі кіберзахисту. 

Команда компанії зрозуміла, якою Sigma може стати за кілька років, тож CEO зважився особисто написати її розробнику Флоріану Роту — легенді світу кіберзахисту (все одно, що інді-геймдев-студія написала б автору Doom Джону Ромеро). Флоріан відповів на листа, і невдовзі українські інженери вже працювали над Sigma під SIEM-системи IBM та ArcSight. А автори Sigma увійшли до наглядової ради SOC Prime. 

У 2016-2017 роках в ці технології мало хто вірив (та й мало хто про них знав). На першій у світі конференції EU MITRE ATT&CK® Community Workshop  було 40 людей. На дев’ятій — майже 1000 онлайн-учасників. Зараз Sigma та MITRE ATT&CK беруть на озброєння організації, як-от ФБР, Канадський центр кіберзахисту (CCCS), Агентство з Кібербезпеки та Безпеки Інфраструктури США (CISA).

Пошук інвестицій та NotPetya

2016 року «ангельські» гроші потроху почали закінчуватися, тож команда почала кататись за кордон, бутстрепити та шукати інвесторів. 

Знайти раунд було життєво необхідно. На червень 2017 року грошей на рахунку компанії лишалося на два місяці роботи, а CEO не отримував зарплати вже вісім місяців. У липні того ж року SOC Prime отримав $200 000 від британського профільного інвестора Джона МакКана. 

З цим раундом пов’язана цікава історія, яка зайвий раз доводить, що сценаристи «Кремнієвої долини» не фантазували, а суворо слідували божевільній стартап-реальності. Саме того ж дня, коли акціонери SOC Prime зібралися, щоб вирішити, чи брати у Джона гроші, стався NotPetya — найбільша на той час кібератака, що торкнулася десяток бізнесів та держструктур по всій країні, завдала збитків на сотні мільйонів гривень. Шквал дзвінків та повідомлень, пов’язаних з атакою, почався просто у розпал зустрічі. 

«Перші дзвінки пішли ще звечора, але зранку і до 14:00 27 червня 2017 року в мене було 80 пропущених, мені телефонували, мабуть, усі люди з кібербезпеки, з якими я хоча б раз зустрічався. У нас іде зібрання акціонерів, голосуємо, а телефон просто розриває. Пам’ятаю свою реакцію типу «what the hell is happening”?», — згадує Безверхий. 

Експерти SOC Prime швидко розібрались, що саме відбувається під час атаки, двоє координували бекенд, ще п’ятеро пішли «в поля» допомагати компаніям. П’ять днів команда майже не спала і працювала «на каві». У результаті допомогли семи великим компаніям і зуміли опублікувати аналіз через Sigma та MITRE ATT&CK в один день з аналізом Cisco та Eset. З тих бізнесів, кому команда допомагала впоратися із наслідками атаки, двоє пізніше стали їхніми клієнтами.  

Той липень також став місяцем, коли компанія вперше вийшла у профіт.

Подорож до Кремнієвої долини

Уже 2020 року ангельські інвестори порадили стартапу шукати системні й стратегічні інвестиції. Пошук раунду в Кремнієвій долині став для команди справжнім викликом. В акселераторі GrowthUp (який сидів у тому ж таки «Часописі») команду проконсультували, як проводити нетворкінг, вона зробила пітчдек на одну сторінку і полетіла до США. Свої продукти представляли як «Spotify для кіберзагроз», яскрава метафора сподобалась інвесторам та журналістам.

«Ми були на кількох конференціях, усе відбувалося у божевільному темпі, по 18 мітингів за день, ще десятки два по ремоуту. Чесно, це більше нагадувало спіддейтінг із чоловіками за 50: бігаєш між столиками, намагаєшся швиденько про себе розповісти», — жартує Безверхий. 

У результаті стартап спілкувався десь із 60 фондами, але не отримав жодного термшита. По-перше, всі офлайн-зустрічі, заплановані на три тижні в Долині, буквально розчинилися через пандемію COVID-19, приблизно 10% перейшли у формат ремоуту. У якомусь випадку фонд хотів завелику частку в компанії, десь їх відлякувало, що фаундери не з Долини. Але зрештою стартап таки зумів знайти свій ідеальний метч.

«Інвестори все одно комусь мають дати ті гроші. І хто б що не казав про математику й таблички, personal connection дуже важливий: хімія або виникає, або ні. На раунді А в нас «клікнуло» з трьома інвесторами, двоє рухалися швидше, один надав ТШ першим і з більшою оцінкою, але ми підписали DNX, які надали ТШ другими й з трохи меншою оцінкою, через стратегічні перспективи та великий вплив японської культури у фонді (вони не сплять і фігачать так само, як і наша команда). Нашому чинному інвестору я малював велику картину: як наші рішення можуть зацікавити SpaceX зі старлінками. Показав в режимі реального часу через NightSky карту покриття старлінків, флот на 2000 супутників, яким потрібен буде захист. Саме такі історії показують інвестору, що ти справді гориш проектом», — згадує CEO компанії. 

У такий спосіб команда підняла $11 млн інвестицій від ліда DNX Ventures за участі Streamlined Ventures і Rembrandt Venture Partners у 2021 році. В компанію також інвестували J-Ventures, Atlantic Bridge й такі легенди підприємців, які спеціалізуються на кібербезпеці як Том Рейлі (ArcSight, Cloudera), Славік Марковіч (Demisto), Ґреґ Мартін (Anomali, Jask, Ghost Security) та Chenxi Wang (Raincapital). На той момент компанія збільшила свою преміальну абонентську базу на 50% за останній рік, її щомісячний дохід зріс на 86%, активна клієнтська база — на 85%, вона обслуговувала понад 6000 організацій-клієнтів.

Як справи зараз та що компанія планує на майбутнє

За сім років мета компанії якісно трансформувалась: від запуску свого стартапу «в гаражі» (а точніше в орендованій квартирі) до участі у формуванні глобальних кібербезпекових трендів.

«Ключем успіху компанії став мій особистий нетворк та технічна репутація. У 2015 році економічна ситуація в Україні дуже просадила ринок зарплат для спеціалістів із кібербезпеки. У деяких компаніях були залишки «старої системи», і людей звільняли тільки за те, що вони ще тоді не давали зливати дані в московію. Багато хто з них прийшов працювати саме в SOC Prime. І в складні часи, коли не було грошей, коли не «взлітали» продукти чи фейлились дедлайни, мене завжди підтримував наш CISO Володимир Гаращенко, його ставленням до людей. Я говорив: «Володю, це капець, ми зафейлимо, ми не розберемось вчасно — подивись на нашу команду». На що у відповідь чув: «Не зафейлимо, бо ми найкраща команда в Україні». So far, не зафейлили, і тепер в цій ніші у нас найкраща та найбільша команда у світі», — розповідає Андрій Безверхий.

Глобальна мета SOC Prime зараз — брати участь у розбудові світової системи колективного кіберзахисту. Цьому допоможуть активні стратегічні партнерства з Microsoft, Amazon та Google, фронтірні технології на кшталт Sigma та MITRE ATT&CK: компанія зараз активно нарощує експертизу в них, маючи у команді спеціалістів із Sigma та MITRE ATT&CK світового рівня. А також навчає цих технологій студентів: адже, як вірять фаундери SOC Prime, і Україні, і світові зараз вкрай не вистачає тих, хто захищатиме кіберпростір від загроз.

Ці плани ґрунтуються на зростанні бізнесу:

• За останній рік кількість організацій, що використовують алгоритми на технології SOC Prime, зросла на 40%. На липень 2023 року це становить понад 8000 компаній, серед яких є організації з приватного й державного сектора України, США та Європи. 
• Кількість користувачів за останній рік зросла на 60% і складає 30 000+ людей. 
• Від початку 2023 року кількість алгоритмів детектування загроз на платформі вже збільшилась на 25% і зростає щомісяця на 200-600 одиниць.

У компанії, що починалася з трьох фаундерів, які вели розробку продуктів, вивчали кібератаки, писали код алгоритмів детектування та продавали, тепер працює понад 100 людей із командами у США, Австралії, Аргентині та ЄС. І що б не сталося далі, компанія націлена працювати й розбудовувати українську та глобальну систему кібербезпеки.

«У нас була ідея зробити unkillable бізнес: всупереч усьому наш бізнес йтиме далі. Окрім основних ринків в США, ЄС та Великої Британії, ми вже продаємо в Сингапур, Австралію, Японію, Бразилію, Аргентину та Південну Корею. Ми хотіли збудувати щось, що змінить індустрію, і нам вдалося. Тож хочу звернутися до усіх майбутніх фаундерів: це тільки здається, що піти з найму робити свій продукт — надзвичайно важко. Для українців, немає нічого неможливого. Якщо у вас є ідея, ви в неї вірите та є експертиза оцінити ринок — йдіть та перевіряйте», — закликає Безверхий.

AIN.UA разом з експертами безпекової компанії SOC Prime розбирається, як штучний інтелект може допомагати зловмисникам і захищати від їхніх атак, як він змінює підходи до кібербезпеки, а також яку роль може зіграти в цьому ChatGPT й аналогічні сервіси.

Історія та тренди ШІ в кібербезпеці

Робити прогнози щодо кібербезпеки просто. Завжди кажіть, що наступного року кількість атак та вірусів сильно зросте, і ви не помилитесь. Це, звісно, жарт, але частина правди в ньому є: за минулий рік, як і за останнє десятиліття, кіберзагроз стало більше, а відтак — і заподіяної шкоди. 

За даними Check Point, кількість атак у III кварталі 2022 року зросла на 28% порівняно з роком до того. 2022-й у кібербезпеці Check Point назвали «лютим та штормовим», через напад росії на Україну, який, за американською воєнною доктриною, відбувався не лише фізично, але й у кіберпросторі. За даними звіту Google Fog of War, торік російські хакери на 250% збільшили спроби атакувати українців, і ще на 300% — користувачів із країн НАТО. 

Суперзусилля зловмисників потребують суперзброї, що їм протистоятиме. На цю роль аналітики активно пропонують технології штучного інтелекту. За прогнозом Acumen Research and Consulting, ринок для ШІ-рішень захисту від кіберзагроз 2021 року становив $14,9 млрд, а уже за кілька років зросте удесятеро: до $133,8 млрд у 2030 році. 

Але історія використання ШІ у кібербезпеці має свої особливості. CEO SOC Prime Андрій Безверхий пригадує, що у кібербезпеці ШІ довший час був здебільшого маркетинговим прийомом, buzz word, який включали до пітчів та пресрелізів, бо це круто і модно звучить. 

«Раніше люди з індустрії на таке вже тригерилися. Коли бачиш, що в описі продукту є deep learning, state of the art, military grade — все із цим продуктом стає зрозуміло», — згадує він. 

Були й свої історії шахрайства, як-от скандал із публічною британською компанією Darktrace, яка з 2013 року отримала понад $230 млн венчурних інвестицій та вийшла на IPO. Її засновник, мільярдер Майк Лінч, начебто обманом продав свою іншу компанію HP за $11 млрд і потім був засуджений за шахрайство майже на $5 млрд, а його розрекламований ШІ-сервіс кіберзахисту також підозрюють у неефективності. 

«Звісно, це не означає, що в кіберзахисті ШІ не використовують. Просто, на відміну від автономних авто чи пілотування дронів, тут технології deep learning, машинного навчання не були визначальними», — пояснює Андрій Безверхий. 

Поки не з’явився ChatGPT. 

У нього — мільйони юзерів по всьому світі, нещодавно, зусиллями Мінцифри, його відкрили й для користувачів з України. Він змінив правила гри: його називають game changer у багатьох галузях, зокрема, і в кібербезпеці. Розглянемо нижче, чому так.

Як ChatGPT (та інші ШІ) служать «світлій» та «темній стороні сили»

Джина випустили з пляшки: «темні здобутки» ChatGPT

За словами CEO SOC Prime, у тому, що стосується написання та перевірки коду, ChatGPT — не стільки розвиток, скільки еволюційний стрибок уперед. І це має як позитивні, так і негативні грані. 

З негативних: таланти ChatGPT дуже швидко оцінила «темна сторона сили»: хакери та шахраї, що займаються кібератаками. Уже в грудні 2022 та на початку січня 2023 року в аналітичних звітах почали з’являтися скриншоти з форумів дарквебу, де хакери обговорювали нові можливості атак. 

Почати з того, що ChatGPT швидко складає мейли ідеальною англійською, невідмінні від листа, написаного людиною, втілюючи «такий собі злий аналог Grammarly». І це розв’язує зловмисникам руки щодо фішингу. Звісно, чат-боту не даси завдання: «Напиши фішингового листа на ось цю тему», подібні речі OpenAI заборонили. Але ці заборони можна обійти, змінюючи запити до чат-бота. 

«Темна сторона сили швидко все зрозуміла, почала робити скрипти, щоб автоматизувати написання таких листів по API. Просто уявіть, що буде, якщо доступ до чату нададуть в Мордор або в Китай. У них біда з англійською, а тут натиснув кнопку — і за кілька секунд у тебе мейл ідеальною англійською на будь-яку тему», — застерігає Безверхий. 

За даними Держспецзв’язку за III квартал 2022 року, 17% фішингових листів обходять усі методи захисту. Можна уявити, що станеться з цим показником, якщо ШІ почнуть активно використовувати для фішингу.

Це не всі ризики, пов’язані зі зловмисним використанням ШІ. ChatGPT вміє писати макроси для Excel (для переходу на шкідливий сайт), віруси-шифрувальники, шукати вразливості та баги в коді — тобто, фактично, вхідні двері для хакерів.

«Автоматична генерація нових шифрувальників — це катастрофа. Наприклад, уявімо, що ви відкрили фішинговий лист, перейшли на сайт, а там є код, що виконується в інтерпретаторі, у командному рядку. Шкідливого файлу немає, все виконується у пам’яті. Це може обійти всі антивіруси й половину EDR-cистем. Усі складові цієї атаки може написати ChatGPT. Джина випустили з пляшки», — пояснює Безверхий. 

На світлій стороні: як ChatGPT може нас захищати

Але чи означає це, що «світла сторона» відстала та програла? Звісно, ні. ChatGPT та інші сервіси на основі лінгвістичних моделей відкривають великі можливості й для «сил захисту». 

Наприклад, чат-бот добре вчиться писати Sigma-правила. 

Sigma, спільна мова для кіберекспертів усього світу на відкритому коді, з’явилась ще 2016 року. Людина, що знає «сігму», може самостійно писати сигнатури для будь-якої кіберзагрози й додавати їх до спільної бази. Sigma використовують для створення відкритої для всіх глобальної бази даних про кіберзагрози, що постійно оновлюється. 

«Люди досить швидко вчаться працювати із Sigma. ChatGPT вчиться ще швидше, хоча часом і шпортається. Уже в січні 2023 року на YouTube з’являлися відео, де ChatGPT пише Sigma-правило. Виходило у нього з помилками, але над цим можна працювати», — говорить CEO SOC Prime.  

ChatGPT може бути помічним і для пошуку вразливостей (те, чим зараз займаються учасники багбаунті-програм), і для вичитки та тестування коду. Він чудово пише документацію: за робочим досвідом SOC Prime, на рівні гарного спеціаліста-джуна. І йому добре вдаються інструкції. 

Приклад того, як це вже працює: інтеграція ChatGPT у систему захисту Microsoft Sentinel (детально описана у блозі компанії). Чат-бот на даних із системи захисту пише інструкцію для адміністратора, наприклад: у вас стався інцидент з підбором пароля, вам потрібно скинути паролі для 100 користувачів. Тобто, ШІ допомагає аналітикові першої ланки. 

Звісно, ChatGPT — не єдина ШІ-технологія, що відкриває незнані до цього моменту можливості у кібербезі. Інша хайпова річ: нейромережі, як-от Midjourney або DALL-E, що генерують неймовірно детальні, гарні та реалістичні зображення, іноді майже не відмінні від справжніх фото. Часом ці картинки використовують для невинних пранків, іноді це призводить до скандалів та шкоди: як у нещодавній історії із фейковим фото дитини в сльозах, яку нейромережа намалювала після обстрілу в Дніпрі, і яке запостили українські офіційні канали. 

Звісно, шахраям ці можливості теж відкриті: адже у гарну згенеровану картинку можна вшити шкідливий код, за допомогою діпфейку видурити з людини персональні дані.  

Але можливості для добрих справ ще ширші. Один із неочевидних кейсів: захист критично важливих сервісів. За словами Безверхого, є технології, що ізолюють робоче місце людини від сервера через генерацію картинок. 

«Наприклад, у вас є сервер із банківським клієнтом. Замість того, щоб давати вам доступ до банківської системи напряму, вам дають проміжну машину, де ви взаємодієте з інтерфейсом із картинок. При тому, ваше робоче місце та банківська система повністю роз’єднані, що забезпечує їй гарний захист. Відмальовка цих інтерфейсів — важке й довге завдання. А за допомогою AI можна «перекласти» на таку схему інтерфейс будь-якого сервісу», — пояснює експерт.

Де вчать таких технологій 

Кількість користувачів ChatGPT за кілька місяців сягнула рекордних 100 млн, адже що ця технологія з точки зору юзера — дуже проста у використанні. Але «під капотом» —  це складний сервіс, що працює на сімействі лінгвістичних моделей OpenAI GPT-3. Тож разом із популярністю таких моделей зростає і попит на спеціалістів, що вміють писати deep learning-моделі та налаштовувати їх. Попит на спеціалістів, що вмітимуть працювати із подібними технологіями у кіберсфері — ще більший, адже кібербезпека останні роки відчуває гострий дефіцит кадрів.  

Саме тому безпекові компанії переглядають навчальні програми для майбутніх спеціалістів з урахуванням цих трендів. Наприклад, SOC Prime уже пів року навчає студентів Cyberport Institute at Biotech (працює при Державному біотехнологічному університеті) та студентів Волинського національного університету імені Лесі Українки працювати із безпековою мовою Sigma та фреймворком MITRE ATT&CK® (ми вже розповідали про них раніше). 

Зараз компанія модифікує свою навчальну програму і дає студентам працювати з інтеграціями ChatGPT. Наприклад, нещодавно SOC Prime випустив новий реліз свого сервісу Uncoder — безкоштовного онлайн-перекладача із Sigma на інші мови.  Українські студенти вже з ним працюють та тренуються на ньому.   

У новому релізі туди інтегрували ChatGPT, який допомагає робити переклади не тільки з універсальної мови Sigma, а безпосередньо з однієї мови SIEM або EDR-системи на іншу за допомогою технології reverse translation.

То хто переможе: хакери чи кіберзахисники, озброєні ШІ

ChatGPT та інші ШІ-технології не лише допомагають перемагати в кіберпросторі, а й воювати на справжній війні. Наприклад, існує технологія розпізнавання облич за допомогою нейромережі Clearview AI, завдяки якій можна ідентифікувати російських військових злочинців. ChatGPT теж може сприяти українській розвідці та інформаційним волонтерам (і ймовірно, вже допомагає). 

Попри загрози та ризики експерти налаштовані оптимістично: прогресу ШІ не спинити, ці технології еволюціонують непередбачувано швидко. За оцінкою Андрія Безверхого, черговий якісний стрибок у ШІ, зокрема, у вигляді ChatGPT, звісно може спочатку привнести трохи хаосу в кібербезпеку, але потім все буде добре. 

«На початку може бути жорстко, тому що усі зловмисники кинуться його використовувати. Але добро почне відбиватися. Захист еволюціонує на інцидентах. Тож у довгостроковій перспективі кібербезпека навчиться працювати з такими моделями заради прогресу та кращого захисту для всіх», — вважає він. 

Ми спитали у ChatGPT, чи збирається він шкодити, а чи допомагати кіберзахисникам. Він запевнив, що сприяє лише «світлій стороні»:

Разом з AIN.UA експерти компанії SOC Prime розповідають, як організовують навчання з інноваційних технологій у кібербезпеці на базі українських вишів. А також про перспективи такої освіти.

Чому кіберзахисники зараз потрібні як ніколи досі

Американська воєнна доктрина відрізнялася далекоглядним мисленням та заздалегідь передбачила, що сучасна війна розгортатиметься у п’яти доменах: на землі, у воді, у повітрі, в космосі та у кіберпросторі. Останній вимір — неймовірно важливий, і це доводить не теорія, а реальність: адже поточна загроза третьої світової війни зародилася саме у кіберпросторі. 

За публічною інформацією ГУР, окупанти готували масштабні кібератаки довгий час, зокрема, спецслужби кремля заздалегідь планували масовані кібератаки на об’єкти критичної інфраструктури українських підприємств й установ критичної інфраструктури союзників України, що свідчить про розгортання векторів атаки світового масштабу в кіберпросторі.

російські спецслужби активно намагаються заподіяти шкоду українським держорганам, сервісам та інфраструктурі ще з 2014 року. Цьогоріч такі дії лише активізувалися і не вщухають від початку війни. Наприклад, 16 серпня стало відомо про потужну атаку на сайт НАЕК «Енергоатом», до якої росіяни залучили мережу з 7,25 млн ботів. 

За таких обставин попит на спеціалістів у кіберзахисті зростає. Цей тренд виходить за межі України: лише в США є дефіцит у 600 тис. спеціалістів з кіберзахисту. А за даними Cybersecurity Ventures, у період з 2013 до 2021 кількість незайнятих позицій, на які шукають і не можуть знайти людей, зросла на 350% у всьому світі — з 1 млн до 3,5 млн робочих місць. За прогнозом цієї ж організації, за 5 років попит на таких фахівців лишиться щонайменше на тому ж рівні.

Як задовольнити попит на кіберспеціалістів

«Недостатньо фокусуватися на перемозі тут і зараз, адже після перемоги України у війні загрози в кіберпросторі нікуди не зникнуть. А щоб і надалі панувати в цьому просторі, нам потрібно готувати кадри. Вже зараз час планувати майбутнє», — підкреслює Володимир Гаращенко, CISO SOC Prime. 

Найпростіший шлях до цього: піти до українських (а згодом і закордонних) університетів та запропонувати студентам вивчати передові технології кіберзахисту не в теорії, а на практиці. Саме цим і займається команда SOC Prime.

Які нові технології з кіберзахисту викладатимуть в університетах

Компанія наразі організовує навчання у двох українських вишах: Cyberport Institute at Biotech, що працює при Державному біотехнологічному університеті, та Волинському національному університеті імені Лесі Українки. Але з часом перелік закладів освіти та форм співпраці може розширитися.

Йдеться не про загальне навчання основ кібербезпеки або теорікрафтинга — цього в сучасних вишах і так достатньо, а про опанування таких технологій, як мова Sigma та фреймворк MITRE ATT&CK®, про які ми детальніше вже розповідали раніше.

Sigma, як універсальна мова для кіберекспертів на відкритому коді, дає змогу писати сигнатури (як у базах антивірусів) під будь-які системи моніторингу та реагування на події інфобезпеки під будь-яку технологію. Вони дозволяють виявляти підозрілі активності та детектувати різноманітні загрози в IT-інфраструктурі бізнесу чи організації.

Експерти SOC Prime одними з перших у світі почали застосовувати Sigma-правила для ідентифікації загроз, а також першими поєднали Sigma із фреймворком ATT&CK, який фактично є величезною бібліотекою знань про вже відомі загрози. Комбінація Sigma з ATT&CK фактично дає величезну базу знань про кіберзагрози разом із засобом її постійного поповнення. 

І ще один плюс Sigma: вона відносно проста і може слугувати «точкою входу» до кібербезпеки, якщо в людини вже є певні знання в IT. 

«Коли людина опанує Sigma, після цього вона вже може спеціалізуватись у кібербезпеці й далі. Це можна порівняти з іграми RPG: спочатку прокачуєш базові характеристики, а потім вже конкретні навички. На відміну від Yara від Google, яка дуже складна і спеціалізується лише на файлах, чи Snort, яка працює лише з мережевими пакетами, Sigma — універсальна. Тобто її вивчення — це оптимальна точка входу в професію», — говорить CEO SOC Prime Андрій Безверхий.

Студентам пропонуватимуть отримати практичні навички з технологій Sigma та ATT&CK, а також навчитися працювати з платформою й продуктами SOC Prime. 

Як проходитиме навчання

Базова ідея курсу — дати студентам ті знання та навички, які підготують до справжньої роботи. 

«У нас в багатьох університетах досі вивчають теорію, протоколи, порти, шифрування на папері, у конспектах. Водночас освітяни розуміють це відставання і хочуть давати студентам актуальні знання. На цьому й побудована наша співпраця», — пояснює Безверхий. 

Це не буде окремий курс, на який можна записуватися, а скоріше — лекції та практичні заняття у межах поточних курсів. Наприклад, одна лекція із Sigma та одна з ATT&CK на тиждень. 

Завдання під час курсу будуть як і теоретичними, так і практичними. Наприклад, студентам пропонуватимуть взяти участь у перекладі ATT&CK-матриці на українську мову. Цією локалізацією опікується SOC Prime, і ці матеріали українською перекладаються вперше. Або ж потрібно буде написати Sigma-правило, що стосуватиметься певної загрози, і розмістити його у Threat Bounty-спільноті.

«Оскільки всі наші інструменти викладені онлайн, для виконання лабораторних достатньо буде доступу в інтернет. Завдання будуть найрізноманітніші. Від простих, на кшталт: ось тобі IoC, напиши Sigma-правило для нього і запость у Slack-бот, він перевірить синтаксис та надасть фідбек. І до складних, як-от: проаналізуй статтю на CERT-UA або звіт про свіжу загрозу і розроби з неї Sigma-правила», — розповідає Ігор Волошин, керівник проектів співпраці з університетами.

Ті студенти, які продемонструють бажання й хист вивчати нові технології, а також підтвердять вміння ними користуватись, після закінчення курсу отримають сертифікати. Сертифікати із Sigma підпишуть їм творці цієї мови — Флоріан Рот та Томас Патцке, які входять до наглядової ради SOC Prime. 

Курси зазвичай платні, і коштують $400-500, але компанія планує видавати гранти на них тим студентам, які справді зацікавляться цією методологією. Але, як попереджає Безверхий, до цього слід буде докласти зусиль:

«Просто прочитати документацію по «мітрі» і все, я знаю кунгфу — так не вийде. Потрібно вже мати якусь базу в IT, щоб добре зрозуміти цей фреймворк. Але воно того варте: ATT&CK фреймворк — це відкрита база знань про кібератаки, винайдена у 2015 році. Уперше в Україні її використала саме наша команда для атрибуції атаки NotPetya до угрупування Sandworm у червні 2017. Це фактично періодична система елементів для кібербезпеки. І ми готові підтримати грантами тих студентів, які по-справжньому зануряться в її вивчення».

Які це відкриє перспективи

За даними Fortune, світовий дефіцит фахівців із кібербезпеки зумовлюється і тим, що компаніям та організаціям потрібні люди з доведеним рівнем експертизи та практичними навичками. Зокрема, сертифіковані спеціалісти. 

На сьогодні Sigma та ATT&CK — одні з технологій у кібербезпеці, якими за нашою статистикою користуються 80% компаній, що входять до переліку Fortune 100 та Forbes Global 2000. Sigma користуються у ФБР та в Канадському центрі кіберзахисту (CCCS), а Агентство з Кібербезпеки та Безпеки Інфраструктури США (CISA) визначає ATT&CK «глобальною базою даних з поведінки зловмисників, засновану на реальних спостереженнях».

За словами CEO SOC Prime, навіть серед клієнтів самої компанії є запит на спеціалістів, що розуміються на таких технологіях. 

«Нещодавно спілкувалися з одним із топових банків: на кібербезпеку їм потрібно 15 людей, які добре знають ці технології. Ще один відомий банк нам казав, що Sigma — це занадто disruptive для них. А третій — що вже три роки працює з цією технологією та автоматизував інтеграцію по CI/CD. І це при тому, що банківська галузь — одна з найконсервативніших», — говорить Андрій Безверхий.

Окрім працевлаштування, знання цих технологій дасть студентам й інші можливості заробляти. Наприклад, учасники програми Threat Bounty, яку проводить SOC Prime, пишуть правила для Sigma та отримують змогу публікувати їх після верифікації експертами на першій у світі платформі колективного кіберзахисту. Ті правила, які виявляються найкориснішими, дають їхнім авторам можливість непогано заробити: виплати за цією програмою іноді сягають $2000-3000 на місяць.  

Які плани

«Загальна ідея: нам потрібно виростити покоління інженерів, які забезпечуватимуть кіберзахист нашої держави та її критичної інфраструктури, а також опікуватимуться кібербезпекою по всьому світі. Таких людей нам зараз дуже не вистачає. А для них вивчення цих технологій — це відкритий шлях до безпекових відділів топових українських та світових компаній, державних установ, а також ініціатив на кшталт Threat Bounty», — підсумовує Андрій Безверхий, CEO SOC Prime. 

За оцінкою команди SOC Prime, світовим компаніям та організаціям із кібербезпеки потрібно 3 млн фахівців з ATT&CK та Sigma. Компанія планує долучитися до підготовки частини цих спеціалістів. Адже курси, які зараз запускаються в українських університетах, з часом зможуть масштабувати, перенести за кордон — у виші Британії, США, Польщі, Нідерландів та інших країн. Їх можуть повністю оцифрувати та зробити з них онлайн-курси, тож ці технології зможуть вивчати всі охочі. 

Кібератаки продовжилися і з початком повномасштабного вторгнення росії в Україну. У відповідь на економічні санкції з боку союзників України агресор атакував Латвію, Німеччину, Велику Британію та продовжує використовувати кібератаки як один з методів ведення війни у глобальному масштабі. Тож, коли подібні атаки називають кібервійною, це вже не метафора. 
У партнерстві з компанією SOC Prime, що дозволяє підприємствам і громадським організаціям проактивно захищатися від кіберзагроз, AIN.UA розповідає про те, якими засобами та зброєю точиться сучасна кібервійна і як максимально убезпечити себе та бізнес за таких обставин.

Кібератаки — один із п’ятьох доменів сучасної війни

Згідно з воєнною доктриною США, атаки ворога можуть відбуватися у п’ятьох доменах — залежно від того, де і чим ведуться бойові дії. До цих доменів входять операції на землі, на воді, у повітрі, у космосі та в кіберпросторі. 

Кібервійна та атаки у кіберпросторі можуть завдавати цілком реальних збитків: згадаймо кейс із вірусом BlackEnergy 3, за допомогою якого російські хакери здійснили першу у світі підтверджену атаку для виведення з ладу енергосистеми ще у грудні 2015 року. Тож українська влада та приватні компанії у сфері кіберзахисту задовго до початку повномасштабної війни почали сприймати цей домен серйозно. 

За словами Андрія Безверхого, CEO SOC Prime, те, що можна зараз бачити на кіберфронті від росіян — це результат 30-річної стратегії, усього, що ворог акумулював за останніх 30 років, і зараз пустив у бій. 

«Вони методично виростили ціле покоління людей, яким вкладали в голову: не платіть Заходу, там вороги, юзайте кряки. Якщо в усьому світі хакінг — це наука та дослідження невідомого, у них це все відбувається під егідою ФСБ. І вони ні на мить не зупинялися в обкатуванні атак проти України з 2014 року, а то й раніше», — говорить він.

Що держава та бізнес можуть протиставити цій навалі? 

На думку експерта, це має бути система ефективного колективного кіберзахисту, заснована на використанні найсучасніших технологій, методологій та практик. У кіберпросторі швидкість та точність — абсолютно критичні. Постійна та ефективна взаємодія профільних державних служб, приватного бізнесу, кіберфахівців та громадянського суспільства — це необхідна умова для створення надійної системи кіберзахисту. Адже західні країни розглядають Україну в цій війні як безстрашну захисницю демократичних цінностей.

Як захищатися на рівні компанії та на рівні держави?

Для окремих компаній та організацій кіберзахист — це передовсім дотримання світових рекомендацій. Зараз світові експерти з кібербезпеки та інформаційної безпеки складають рекомендації безпосередньо на матеріалі нашої війни. 

Один із прикладів: практики захисту на кібервійні ShieldsUp від американського інституту SANS Institute. Документ описує ключові техніки й тактичні прийоми захисту в умовах кібервійни, які дозволять не лише зупинити ворога, але й створити механізми якісної реакції у відповідь. Це чіткі прикладні інструкції, як терміново убезпечити онлайн інфраструктуру організації від потенційних атак: установка патчів, контроль вхідного трафіку, моніторинг телеметрії від еджу до хмарної інфри, додатків тощо. І ці рекомендації вже перекладені українською. 

На державному рівні одним з основних суб’єктів національної системи кібербезпеки, який відповідає за кіберзахист, є Державна служба спеціального зв’язку та захисту інформації (Держспецзв’язку).
У зоні відповідальності Держспецзв’язку — кіберзахист державних інформаційних ресурсів та об’єктів критичної інфраструктури; формування і втілення державної політики у сфері кіберзахисту; надання безперебійного захищеного зв’язку для вищих осіб держави; регулювання у сфері технічного та криптографічного захисту інформації, електронних комунікацій. Більше про функції Держспецзв’язку та участь України в кібервійні можна почитати тут.

CERT-UA — це Урядова команда реагування на комп’ютерні надзвичайні події України,  яка займається, у тому числі практичною допомогою з питань запобігання, виявлення та усунення наслідків кіберінцидентів для об’єктів кіберзахисту. 

Команда була створена в складі Держспецзв’язку ще 2007 року, а у 2009 стала акредитованим членом Форуму команд реагування на інциденти безпеки FIRST. 2014 року, коли росія напала на Україну, про CERT-UA заговорили голосніше, адже тоді ця команда запобігла спробі російських хакерів дискредитувати українські президентські вибори (саме тоді по їхніх федеральних каналах прогнали фейк про те, що на виборах переміг начебто Дмитро Ярош). 

З початком повномасштабного вторгнення значно збільшився обсяг роботи для цих організацій. Їм допомагає бізнес: в Україні IT, зокрема, кіберзахист, традиційно мають фахівців світового рівня. Зараз багато українських хайтек-компаній запропонували допомогу державі у стримуванні кібернаступу. Тим паче, що на думку Андрія Безверхого, колективної та централізованої системи кіберзахисту не існує у світі. Немає «кіберНАТО», хоча про необхідність колективного кіберзахисту вже почали говорити на міжнародній арені. А створення ефективної системи можливе лише через партнерство приватного та державного секторів.

«Є атаки, від яких жоден ентерпрайз у світі, жодна держустанова просто не зможуть відбитися власними силами. Але це можливо за допомогою колективного кіберзахисту, до якого мають долучитись всі: приватний бізнес та держава, світова спільнота фахівців із кібербезпеки та айтівців. Наша ж компанія виступає одним з основних каталізаторів у цьому процесі. Ми — як агенти “Щита”: захищаємо, але лишаємося в тіні», — говорить він.

SOC Prime активно співпрацює зі Держспецзв’язку та командою CERT-UA з початку повномасштабної війни. Взаємодія йде по багатьох напрямках як зі Службою, так і з партнерами світового рівня, наприклад Cisco, Microsoft та українською MDR компанією UnderDefense. У червні SOC Prime отримала відзнаку від Служби за допомогу.

Ще один плюс, який можуть державі запропонувати приватні компанії — найсучасніші (як і в агентів «Щита») технології захисту. У випадку SOC Prime йдеться про комбінацію можливостей мови Sigma та технології MITRE ATT&CK.

Що таке Sigma та MITRE ATT&CK® — «періодична таблиця» сучасних кіберзагроз

Sigma, спільна мова для кіберекспертів усього світу на відкритому коді, з’явилась ще 2016 року. Саме тоді розробники Флоріан Рот (Florian Roth) та Томас Патцке (Thomas Patzke) зробили перший коміт до GitHub-репозиторію SigmaHQ. Як вона працює?

Звичайні антивіруси працюють із базами сигнатур (характерних ознак) усіх відомих загроз, які мають постійно оновлюватись. Бази сигнатур пропрієтарних антивірусів та їхніх сучасних спадкоємців EDR (Endpoint Detection and Response) зазвичай закриті, і простий користувач спостерігає лише результат їхнього застосування. Якщо ж людина знає Sigma, вона самостійно може писати сигнатури для будь-якої кіберзагрози, яка або вже була реалізована, або потенційно може з’явитись, і додавати власні сигнатури до спільної бази. 

Фактично Sigma дозволяє написати поведінкову сигнатуру під будь-яку технологію, від локальних журналів подій Microsoft Windows чи Sysmon до телеметрії AWS, чи контейнерів Docker, і це надає змогу визначати, що саме і де пішло не так. Умовно, адмін компанії бачитиме: оце нам надсилають фішинг через URL в імейлі, а це намагаються використати 0day-експлойт проти нашого вебдодатка чи обходять багатофакторну автентифікацію (MFA) до нашого Slack-месенджера. 

Експерти SOC Prime одними з перших у світі почали застосовувати Sigma-правила для ідентифікації загроз та побудови ефективного кіберзахисту клієнтів. Також вони першими придумали поєднати Sigma із фреймворком MITRE ATT&CK®, який фактично є класифікацією технік та засобів кіберзловмисників, величезною бібліотекою знань про вже відомі загрози. Його розробила компанія MITRE, але як і Sigma, це — відкритий проєкт, а отже його постійно розвиває спільнота кіберекспертів з усього світу. 

Sigma-правила регулярно рекомендують як один зі способів підтвердження та попередження кібератак такі організації, як ФБР або Канадський центр кіберзахисту (CCCS). А американське державне Агентство з Кібербезпеки та Безпеки Інфраструктури (CISA) називає ATT&CK «глобальною базою даних з поведінки зловмисників, засновану на реальних спостереженнях». 

«До MITRE ATT&CK рівень зрілості в кібербезпеці був таким самим, як у фізиці та хімії до періодичної таблиці. Це систематизовані знання з усіх кібератак, які відбуваються у світі. Тож поєднуючи Sigma та MITRE ATT&CK, ми отримуємо мову й методологію для їхньої систематизації та боротьби з ними», — пояснює Безверхий.

Як це працює на практиці? Якщо згадувати сумнозвісну атаку NotPetya, сигнатури Sigma для детектування цієї загрози створили один із засновників Sigma Флоріан Рот (Florian Roth) та кіберексперт Том Уелчі (Tom Ueltschi). А команда SOC Prime використала їх для допомоги жертвам на місцях, комбінуючи Sigma-правила з технологіями MITRE ATT&CK і Lockheed Martin Cyber Kill Chain (LMCKC). Тоді алгоритми Sigma, скомбіновані з MITRE ATT&CK, вперше у світі успішно використали для ідентифікації та атрибуції реальної загрози. 

Під час атаки Sandworm проти об’єктів енергетичної інфраструктури України у квітні 2022 року з 13 методів, які в ній використовувалися, команда SOC Prime зуміла за допомогою цього методу побачити дев’ять, при тому, що сигнатури для атаки були розроблені ще 2020 року. 

Зараз компанія є одним із визнаних світових експертів у використанні Sigma та MITRE ATT&CK для ідентифікації загроз: у травні цього року CEO компанії виступав із доповіддю на IX Міжнародній конференції Ninth EU MITRE ATT&CK Community Workshop у Брюсселі. Там він говорив про застосування Sigma та ATT&CK у боротьбі з нещодавніми кібератаками росіян, використання фреймворку як одного з основних інструментів колективного кіберзахисту та важливість останнього для боротьби із кіберзагрозами глобального масштабу.  

Тепер ці технології поставлені на службу державі.

Як технології допомагають Україні у боротьбі з ворогом

З початком повномасштабної війни CEO SOC Prime звернувся до Держспецзв’язку та запропонував використовувати для захисту цю технологію, вже випробувану в польових умовах зв’язку — Sigma, поєднану з MITRE ATT&CK.  

«Ми пояснили, що у нас є найбільший набір сигнатур від ворога, і ми готові їх надавати компаніям по всій Україні. Також допомагаємо зі встановленням та налаштуваннями, навчаємо спеціалістів, і 99% цього робимо безкоштовно. Тож почали працювати із командами Держспецзв’язку та CERT-UA», — пояснює Безверхий.

Командам Державний центр кіберзахисту (ДЦКЗ) та CERT-UA компанія надає повний і безкоштовний доступ до своїх технологій захисту і, за потреби, проводить відповідні профільні навчання. Якщо до SOC Prime, наприклад, за рекомендацією Держспецзв’язку звертаються представники об’єктів критичної інфраструктури (енергетичні компанії, пошта, транспорт, зв’язок тощо) — команда надає базові технології для захисту від ворога. Багатьом українським компаніям SOC Prime зараз допомагає pro bono.

«Держспецзв’язку не вписується у сформований образ типової державно-бюрократичної установи. Процеси в службі демократичні: вони радять, а не примушують, спрямовують, а не нацьковують. Компанії вже самі обирають оптимальну  для себе модель захисту. Це, мабуть, і відрізняє нас від росіян. Окрім технологій ми також консультуємо людей: бо на місцях, у тих же міськрадах або лікарнях, технічних спеціалістів, на жаль, поки не так багато», — розповідає CEO SOC Prime.

Держспецзв’язку, окрім іншого, є регулятором у сфері захисту інформації та зв’язку встановлених законом. Також Служба надає допомогу всьому українського бізнесу, адже всі мають бути захищені — це і є ознака кіберстійкості держави.

За словами експерта, надсучасні технології, якими ворог атакує у кіберпросторі — це міф. У кібервійні вони використовують саме те, чим світ користується роками. Якби усі держустанови та приватні компанії почали використовувати Sigma з ATT&CK, автоматизували блокування найпоширеніших методів переміщення всередині мережі (Lateral Movement) і почали б обмінюватися даними про інфраструктуру ворога — будь-яку атаку можна було б виявити за секунди й одразу бачити, хто і чим атакує, та ще й автоматично блокувати. Але на сьогодні це лише візія ідеального майбутнього, яке може реалізуватися за три або п’ять років. 

Щоб наблизити це майбутнє, спільноті кіберзахисників треба піклуватися про підготовку та підтримку спеціалістів, які знаються на нових технологіях. Один зі шляхів до цієї мети — баунті-програми.

Як працює програма Threat Bounty і чим відрізняється від Bug Bounty

Протистояння кібератаці починається з її ідентифікації — без цього весь процес боротьби з атаками не має сенсу. Понад 30 років індустрія кіберзахисту загалом пропонувала винагороди (баунті) за те, щоб спеціалісти намагалися знайти слабкі місця (баги) у захисті мереж, сайтів та сервісів. Легалізація Bug Bounty програм в Україні — це важливий та довгоочікуваний крок у підвищенні кібербезпеки держави.

Зараз настає час програм для тих, хто вміє «побачити» і описати атаку. Це просто інший бік монети, як пояснює Безверхий, адже для ефективної боротьби з кібератаками потрібно, щоб тих, хто описує захист, було не менше, аніж тих, хто описує напад. 
За словами Алли Юрченко, координаторки програми Threat Bounty, яку втілює SOC Prime, її відмінності від Bug Bounty: відкритість, відсутність нормативних обмежень, націленість на користь для ком’юніті, а також універсальний підхід.

«Bug  Bounty — це залучення ком’юніті експертів до пошуку та тестування вразливостей у продукті, тоді як Threat Bounty — це краудсорсинг експертизи написання алгоритмів детектування кіберзагроз. Тобто у випадку Bug Bounty фахівці отримують винагороду за знайдені недоліки та вразливості. Натомість у Threat Bounty учасники отримують змогу заробляти на створенні алгоритмів виявлення загроз за допомогою універсальної мови Sigma. При цьому рівень винагороди визначає кіберспільнота, враховуючи світові тренди та актуальні потреби індустрії», — говорить вона.

У випадку Bug Bounty також учасники програми зв’язані NDA та обіцянками вендору: поки він не пропатчить знайдену «діру», розповідати про неї не можна. Знання, отримане в процесі Threat Bounty, доступне у загальній «бібліотеці», і все ком’юніті може користуватися ним, поширювати та збагачувати його. 

Наприклад, загальна кількість учасників спільноти, яка бере участь у програмі SOC Prime, — приблизно 600 людей, і це число тільки зростатиме. За весь час існування програми її учасникам виплатили понад $377 000, причому в окремих випадках виплати досягали $2700 щомісяця — а це вже можна порівняти із фултайм-роботою. До того часу як компанія підняла інвестиції — платила експертам зі своїх прибутків, а згодом інвестор підтримав цю ініціативу. Також SOC Prime веде діалог з Google та Microsoft, щоби вони долучилися як спонсори. 

«Навіть якщо завтра Мордор самознищиться, кібервійна все одно триватиме. І Україні слід уміти захищатися. Тому нам потрібно готувати кадри, які займатимуться цим захистом у майбутньому», — підсумовує Безверхий. 

Збільшення кількості експертів, які знаються на новітніх технологіях, що здатні ідентифікувати та класифікувати будь-яку загрозу за секунди, справді потрібне світу. І зокрема, потрібне Україні, яка перебуває зараз у стані війни і захищається по всіх доменах: від землі й до космосу та кіберпростору.