Экспертиза R-Vision SIEM превысила 1000 правил корреляции

R-Vision, разработчик систем цифровизации и кибербезопасности, обновил пакеты экспертизы для R-Vision SIEM: количество правил корреляции превысило 1050. За три года их число выросло более чем в шесть раз, а покрытие матрицы MITRE ATT&CK (v17.1) составило более 68%.

Новые релизы экспертизы выходят каждые две недели, что позволяет регулярно актуализировать возможности обнаружения в соответствии с изменениями ландшафта угроз. За последнее время были добавлены пакеты экспертизы для популярных корпоративных систем, правила детектирования новых техник атак и эксплуатации уязвимостей, а также расширена поддержка источников событий. Кроме того, обновился портал документации, где теперь доступны структурированные списки правил корреляции с удобной навигацией по источникам событий и покрываемым техникам MITRE ATT&CK.

Правила детектирования  для корпоративных систем

В рамках обновления были добавлены и обновлены правила детектирования для целого ряда систем и сервисов: Kubernetes, Yandex Cloud, 1С-Битрикс24, MultiFactor, Active Directory Certificate Services (ADCS), Microsoft Exchange и других источников событий.

Расширение пакетов правил позволяет учитывать больше сценариев атак и особенностей эксплуатации различных компонентов инфраструктуры заказчиков — от облачных сервисов и бизнес-приложений до систем управления доступом и корпоративных платформ.

Детектирование новых техник атак и эксплуатации уязвимостей

В обновленные пакеты экспертизы вошли новые правила для выявления актуальных техник атакующих и эксплуатации уязвимостей.

Так, например, были добавлены правила для PoC, опубликованных исследователем под псевдонимом Nightmare Eclipse, который получил известность благодаря серии публичных демонстраций эксплуатации уязвимостей в компонентах Microsoft Windows. Подробный разбор этих эксплоитов аналитики R-Vision подготовили в двух статьях на Habr. Первая посвящена YellowKey, GreenPlasma и MiniPlasmac, вторая — BlueHammer, RedSun, UnDefend, GreatXML и RougePlanet. В статьях также рассмотрены способы обнаружения и артефакты, которые они оставляют в телеметрии.

Кроме того, в ходе обновления было реализовано обнаружение эксплуатации уязвимости CVE-2026-31431 (Copy Fail) и других уязвимостей, которые используются в реальных атаках или находятся в зоне внимания исследовательского сообщества.

Новые правила существенно расширяют поверхность обнаружения атак.

Расширение поддержки источников событий

В рамках обновления были добавлены и правила нормализации. Среди новых поддерживаемых источников событий — Positive Technologies Container Security, RedOS RedADM, IT Bastion, AVSoft Kairos, Check Point Endpoint Harmony, Efros NAC, MariaDB, MS Hyper-V, ROSA Virtualization, MultiFactor, Multidirectory, Dallas Lock ВИ, Ideco VPN, Jenkins, Harbor, Nexus Repository, Nextcloud и другие системы.

Поддержка новых источников позволяет получать структурированные и единообразные данные из большего количества сегментов ИТ-инфраструктуры, включая средства контейнеризации, виртуализации, управления доступом, разработки и хранения артефактов.

Для упрощения конфигурации и настройки сбора событий с поддерживаемых источников событий команда подготовила примеры готовых конвейеров для R-Vision SIEM. Они доступны в репозитории на GiteVerse и могут быть импортированы напрямую в R-Vision SIEM.

На текущий момент R-Vision SIEM поддерживает 280 источников событий с правилами нормализации.

Обновленный портал документации и база знаний по экспертизе

На портале документации R-Vision SIEM теперь доступны списки правил корреляции с разбивкой по источникам событий. В таблицах представлены:

• идентификатор и название правила;
• краткое описание сценария обнаружения;
• тактики и техники MITRE ATT&CK, которые покрывает правило.

Новый формат документации помогает аналитикам SOC быстрее находить необходимые правила, понимать их назначение и использовать информацию при расследовании инцидентов.

Помимо портала документации R-Vision развивает открытый репозиторий аналитических материалов — публичную базу знаний по экспертизе для R-Vision SIEM. В нем публикуются исследования и материалы, которые становятся основой для разработки правил корреляции.

Репозиторий показывает не только итоговую логику детектирования, но и процесс анализа угроз: какие события формируют следы атаки, какие инструменты используют злоумышленники, какие артефакты остаются в инфраструктуре и почему для обнаружения применяется конкретная логика.

Таким образом, пользователи получают готовые правила корреляции и дополнительный аналитический контекст для их применения и адаптации под собственные сценарии.

«Мы продолжаем регулярно расширять и актуализировать экспертизу в R-Vision SIEM, чтобы SOC-команды получали не просто набор правил, а прикладной контент для работы с реальными угрозами. Новые детекты, поддержка дополнительных источников событий и развитие документации помогают быстрее выявлять, понимать и отрабатывать инциденты, а также сокращают время на поиск и интерпретацию нужных правил», — Николай Рягин, руководитель управления исследований и аналитики R-Vision.