0: Коллеги, всем привет, меня зовут Илья Косынкин, я в компании positive technologies отвечаю за разработку продукта питиай Сим и с нами Александр Садонин, всем привет, я лидер продуктовой практики, я отвечаю за практику применения продукта в заказчиках и партнёра.

1: Сегодня мы поговорим о том, что нового появилось в продукте питиси за 2025 год. Причём, наверное, это в какой-то степени такой знаковый вебинар, потому что обычно мы рассказываем, просто там, ребята, у нас появилась пара тройка новых фич. В этот раз все интереснее, потому что

2: Сим шагнул сильно дальше, и можно сказать, что все новинки, которые у нас появились, они тянут на какие-то новые классы решений, которые заехали в пт Сим. Именно поэтому сегодня вебинар у нас построен, скажем так, вокруг всех тех 3 ключевых новинок.

3: Которые в продукте появились. Вот, в общем, не всем классным нововведениям достался своя минута славы. Мы поговорим только о самых важных. Вот. Но они действительно знаковые. Итак, давайте, наверное, начнём. Ну, собственно, в начале мы вспомним немножко про самасим, потом проговорим.

4: Про каждую из этих вот интересных вещей и, наконец, в самом конце немножечко приоткроем завесу того, что, собственно, ждать в 2026 году сразу скажу, что 2026 год ждёт нас такой же классный и интересный с точки зрения расширения продукта.

5: Ну, давайте все-таки небольшую там ретроспективу 2025 года. И в целом вспомним о том, куда в последнее время идёт исим, да, то есть вы помните, наверное, все, кто знаком с продуктом, что он начинался как сетевой сенсор для технологической сети, и, на наш взгляд, это там максимально остаётся важнейшей.

6: Составляющую продукта. Собственно, он сертифицирован по этой части. Это профиль соф. Собственно, это мониторинг сетевого трафика. Хорош он потому что позволяет легко дотянуться даже для до максимально изолированных объектов, там с минимальным влиянием на их работоспособность, что, собственно, являет

7: Самым важным. Вот, но тем не менее, когда мы заходим на историю, что нужно обеспечить там действительную защиту технологического сегмента. Ну, мониторинг трафика это важная мера, но недостаточно, да, и если там, в обычной бэшечка, все это заканчивается тем, что нужно ставить много, но

8: Других классов, продуктов, да, их нужно все больше, их нужно интегрировать друг с другом, то концепция нового исима это то, что мы планируем все собрать в 1 коробке, то есть и сделать из исима единую систему обеспечения киберустойчивости промышленных инфраструктур. Если говорить совсем

9: Просто то условно, если у вас есть технологическая сеть в птси, должно быть достаточно инструментов для того, чтобы обеспечить там реальную защищённость. Вот, ну, собственно, возвращаясь к исторической ретроспективе, наверное, там примерно год назад, это был такой немножко концепт, да, то есть

10: В начале 2025 года мы вышли со словами ребята, это пока не презентация, у нас уже есть рабочее решение, где есть перезагруженный Сим. Многие, наверное, помнят старт 5 поколения. Вот тогда же в него добавился энпоинт, да, то есть решение

11: Который может вставать на хосты, который может с хостов собирать разного рода информацию. Там важной особенностью нашего энпоинт было и остаётся то, что в него заложена промышленная экспертиза, да, то есть он понимает, в том числе работу со скада, системами, работу промышленного по оборудования. Все

12: Это входит в pt айси, но, тем не менее, было много квадратиков, которые, ещё скажем так, не закрашены, да, то есть те, которые мы говорили, ребята, они появятся в течение 2025 года, там 2025 год закончился, сейчас уже начало 26, если кто не заметил.

13: И важный момент, что прям многое из того, что мы обещали практически все самое важное, оно появилось, оно доступно в текущих сборках продукта и, наверное, вот сегодня как раз вокруг этих вещей у нас все и покрутится, да, то есть, наверное, ключевые компоненты, но вы уже сам

14: Прочитали на экране. Это, конечно, появление в её антивируса, и это развитие там качественное, ассет менеджмента и волнооб менеджмент. Вот. Ну, наверное, давайте мы начнём наш разговор как раз с управления уязвимостями, с блока волнаи менеджмента. Посмотрим.

15: Что это такое и зачем нужно? Ну, я начну немножечко с предыстории, да, то есть зачем управлять уязвимостями в устп. Наверное, там знаем, что у многих заказчиков есть такое отношение, что, ребята, технологическая сеть это, в принципе, просто дыра там все стоит.

16: Старая, все компы, которые там есть, они точно уязвимы. В целом позиция в какой-то степени справедливая, но тем не менее, важным фактом остаётся в том, что со многими уязвимостями по прежнему можно бороться, да, то есть если вы знаете, какие уязви,

17: Присутствует у вас на хостах. На самом деле, где-то часто установка небольшого патча может привести к тому, что атака злоумышленника на эту инфраструктуру становится все более и более тяжёлой. Вот, и, соответственно, технологические сети, все мы знаем, это не всегда там какие-то волшебные

18: Волшебные датчики, там исполнительные механизмы, верхний уровень, сутп, то место, откуда начинается атака, это чаще всего именно те системы windows и linux, которые, ну, скажем так, привычны атакующим для развития атаки, вот что.

19: Самое страшное, да, вполне возможно, что у вас даже не атакующий проникает в вашу сетку, а просто забытый коннект до корпоративной сети там привёл к тому, что через эту маленькую дырочку, условно говоря, в вашу инфраструктуру попал какой-нибудь зловред. И поскольку у вас все старое

20: Пропаченная там ваша инфраструктура остаётся уязвима к тем, скажем так, рискам, от которых корпоративной сети все уже давным давно забыли, и, в общем, никак они там распространяться не могут. Вот, поэтому, собственно, заниматься уязвимостями в технологических сетях также важно.

21: Как и в корпоративной. Вот, но, скажем так, другим блокером, да, для, соответственно, многих заказчиков становится сложность сбора информации, да, то есть из серии ребят мы готовы заниматься управлением. Нам интересно, что там действительно есть, но как собрать эти данные, собрать их, может быт

22: Достаточно тяжело. Вот именно поэтому мы, собственно, и закладываем Сим решение, которое, скажем так, ориентировано на разные возможности по сбору данных. То есть не получилось. Так, давайте сяк. Вот. И его задача дать вам максимально достоверную кар.

23: Относительно того, какая у вас картина по уязвимостям, по самым критичным хостам в вашей инфраструктуре, которыми часто являются там сервера, рабочие станции, с которых там, ну, осуществляется непосредственно управление производством, собственно, Немно.

24: Подраскрою тематику относительно того, как собирать данные по уязвимостям. Ну, мы знаем, что многие решения как на российском рынке, так и на западном, часто пытаются здесь рассказывать про важность и возможность построения качественного управления уязвимостями на базе пассивного анализа.

25: Трафика. Вот, но здесь правда жизни, она, ну, давайте, собственно, посмотрим, а что нужно для того, чтобы качественно инвентаризировать уязвимость? Ну, во первых, вам нужно знать, какое по стоит на машине, да, то есть в трафике не всегда эти сведения мелькают, они часто мелькают очень косвенным образом, причём

26: Ну, скажем так, не с той степень, не с той глубиной, которая нужна, условно, большая часть вендоров, которые рассказывают об уязвимостях своего, по, рассказывают на базе версий своего, по, ну, условно говоря, в трафике у вас далеко не всегда мелькает версия, по возможно, её там уже обновили 10 раз на маши.

27: Да, вы там в трафике видели какую-то устаревшую версию, ещё хуже обстоят дела с патчами, да? Ну как бы там windows не шлёт нигде по сети информацию о том, что у меня там бродкастом установлены вот такие-то патчи, да, если вы там не провалились вглубь операционки.

28: И не посмотрели. А что действительно установлено на этой машине? Ну, достоверной картины по уязвимостям вы не получите. То есть какие-то уязвимости прилетят, да, но их не будет. Вот поэтому ключевая мысль этого слайда, что для того, чтобы получить качественную полную картину

29: Относительно того, что у вас происходит по уязвимостям, вам нужно использовать активный опрос, который должен быть максимально, скажем так, заточен и интегрирован в решение, ну, с помощью которого вы осуществляете н менеджмент. Вот у нас существует 2 способа таких

30: Выполнение этого активного опроса, мы о них подробно рассказывали на прошлом вебинаре. Собственно, можно проводить инвентаризацию хостовым агентом, да, то есть он может собирать там и сведения о по и установленных патчах, и очень много других сведений по оборудованию принесёт.

31: Главным преимуществом агента остаётся то, что он позволяет работать без там сетевой учетки с очень крутыми правами. Да, вот, но у него есть свой недостаток. Надо ставить агент на хост. Вот. Поэтому здесь такой трейдов выбор. Вот. Соответственно, если агента на хост поставить не удалось, то

32: Есть 2 способ, это инвентаризация без агентская инвентаризация сетевым сканером. Ну, собственно, в без агентско сти её главное преимущество и состоит, вот, но она требует учетки, да, то есть, вполне возможно, что на самом деле это приемлемо, ну, либо сертификаты, если это

33: Сканирование линукс систем. Вот важно, что данных она приносит Ровно столько же, сколько агент. Поэтому это вот такой выбор. Можете поставить агента, лучше ставить агента, там не можете поставить агента, можно поставить там сетевой сканер. Ну, либо вы хотите просто попилотировать я и проверить, как у вас

34: Инфраструктуре отработает эта возможность. Можно просто там с сервера исим настроить сканирование там соседнего айпишника и получить о нём все сведения необходимые. Вот. Собственно, важно, что оба этих способа приносят данных достаточно для того, чтобы

35: Получать полный список уязвимостей на хосте. Вот тут можно сделать маленькую заметку, да, относительно того, что типа, ребята, вы знаете, сколько вообще уязвимостей обычно на типовом хосте. Ну, это правда, их обычно много. То есть, если вы просканируете, например, там типичный windows host, вы получите несколько тысяч

36: Да, это правда, потому что система, операционная система существует давно исследуется там и вендором, и исследователями безопасности, там на предмет уязвимостей достаточно активно, поэтому там уязвимостей больше. Ну, в принципе, если посмотреть графики аналитики, там по уязвимостям

37: То там от года к году, они там чуть ли не экспоненциально растут вверх. То есть в принципе известных уязвимостей там эксплуатируемого программного обеспечения его становится все больше и больше. Вот поэтому ключевой фактор после того, как система определила все уязвимости, он

38: Состоит в том, что нужно их приоритизировать, да, то есть система, которая просто рисует вам, мы нашли у вас 1000000 уязвимостей, она там чуть чуть лучше, чем система, которая нашла полмиллиона уязвимостей. Но важный момент, их нужно приоритизировать. Нужно выбрать те самые уязвимости, через которые

39: Возможно, развитие, атаку на вашу инфраструктуру. Поэтому решение должно, ну, давать для этого как инструменты, так и там нужную атрибуцию этим уязвимостям. Вот у нас это, как мы сейчас посмотрим, все в продукт упаковано. Вот, ну, собственно, кратко расскажу про наше решение.

40: Потому что Саша сейчас его покажет вживую, да, то есть важно, что в нашем случае абилити менеджмент упакован в провь сенсоры Сима, да, то есть, по сути, не нужно ничего докупать, если у вас уже привью сенсор и работает там по встроенным

41: Инструментом сбора данных. Вот у него уже заложены возможности по приоритизации и что там важно, это решение мы понесём на сертификацию, там хотели успеть до нового года, но немножечко не успели. Важно, что в 1 половине года это будет сертифици.

42: Решение, ну, по техусловиям, потому что по другому, а не сертифицируют профиля никакого специфичного нет. В общем, мы это все готовим максимально к сертификации, можно будет использовать на объектах с достаточно жёсткими требованиями. Вот. Ну, здесь, наверное, я рассказ закончу.

43: Передам слово Саше. Саш, расскажи нам о том, как устроено наше решение. Да, давайте посмотрим на демонстрацию продукта, как у нас это устроено. И 1 то, с чего хочется начать, это как

44: Собственно, включить функционал управления уязвимостями делается это достаточно просто. Мы заходим в систему, у вас начиная с версии 5 8 появляется вот такая вот строчка, управление, оценка уязвимостей. Переклю.

45: Переключаемся на неё. И здесь есть возможность. Сейчас у меня, естественно, этот функционал включён у вас вот здесь вот на этом месте будет возможность включить его и после активации службы. Соответственно, у вас появляется функционал расчёта уязвимостей. Вот, ну,

46: Теперь давайте посмотрим, наверное, на сам этот функционал. Как уже говорил Илья, после того, как мы собрали сведения о наших, о нашей инфраструктуре, мы должны выбрать в 1 очередь тот узел, с которого мы начнём.

47: Собственно, управление уязвимостями. Для этого у нас есть вот такой вот дашборд. Мы считаем, что пользоваться им в 1 очередь достаточно удобно как раз-таки из за этого, где мы распределили уже все наши хосты по уровню значимости и естественно, начать

48: Лучше, наверное, с тех хостов, которых мы считаем наиболее значимыми. Как вы знаете, каждый из этих дашбордов у нас каждый из этих цифр на дашборде у нас кликабелен. Мы можем перейти непосредственно на него или открыть любой из наших

49: Со схемой сети я так и поступлю. То есть есть у меня здесь узел, который мы просканировали, у нас на нём находится, имеются сведения о программном обеспечении, а также о конфигурации.

50: Системы, включая сведения о операционной системе. Как раз-таки тем самым мы выполняем 1 из этапов управления уязвимостями. Это сбор данных и их классификация, когда мы закончили уже

51: С этим процессом как раз-таки нам можно переходить на сам процесс устранения уязвимостей их приоритизации. Появляется вкладка у нас опять же с версией 5 8 уязвимости на карточке узла, переключившись на которую мы

52: Видим, скажем так, вкладку, которая условно разделена у нас на 2 части, где слева видим мы некие дашборды, о которых мы сейчас как раз-таки и поговорим. А справа непосредственно список самих уязвимостей, которые у нас присутствуют.

53: Как видите, уязвимостей у нас действительно на данном узле достаточно много, их более 3000. И тот самый процесс приоритизации у нас встаёт в 1 очередь во главе вопроса. Вот у нас есть различные

54: Приоритизации. Давайте про них и поговорим. Для кого-то, возможно, будет достаточно просто ранжировать уязвимости по уровню опасности, по цвс. Вот. Но если мы посмотрим сюда внимательнее, допустим, нажмём на

55: Критический уровень опасности их становится у нас 91. И, в принципе, с этим числом можно работать 91 уязвимость это не так и много, но если мы посмотрим уже дальше на высокие средние уровни опасности, вот

56: Допустим, высокий, их уже около 2000 и ориентироваться именно на этот параметр становится уже достаточно проблематичным. Вот для этого у нас как раз-таки есть другие способы приоритизации, которые мы считаем

57: Наиболее приоритетными, например, мы можем начать данный процесс с уязвимостей, которые у нас размечены по которые имеют метку с эксплоитом.

58: Это одни из наиболее важных уязвимостей, которые подлежат устранению. То есть кому-то этот, этот параметр будет наиболее важен. То есть, опять же, если мы нажимаем на данную вкладку, то у нас уязвимости отфильтровываются

59: Именно по той метке, которая у нас размечена также по цвс, с эксплоитом. Также у нас база размечена и ещё по уязвимостям, которые имеют возможность эксплуатации по сети. Таким же образом мы можем их отфильтровать и

60: И здесь они расположены справа, у нас ранжированы по уровню опасности и можем начинать вместе с этим. Вот. То есть это то, что касается этих 2 пунктов, естественно, у нас также имеются и трендовые

61: Уязвимости, которые подлежат устранению. В 1 очередь, это те самые уязвимости, которые наша команда экспертов мониторит, в том числе различные ресурсы, да, то есть

62: Те самые техники, которые используются злоумышленниками здесь и сейчас. Вот, и, как вы знаете, да, эти уязвимости должны устраняться прям незамедлительно, потому как время проникновения в инфраструктуру через них в среднем занимает около 45 минут. Вот.

63: Это то, что касается того, как мы можем достаточно быстро и удобно для себя выставить процесс приоритизации тех уязвимостей, которые мы нашли на узле. Вот что ещё мы можем здесь посмотреть.

64: Мы также можем увидеть распределение уязвимостей по уровню опасности. Вот что нам это может сказать здесь. Это нам может ответить на несколько вопросов. Во первых, насколько моя инфраструктура

65: То есть, как часто в моей инфраструктуре появляются уязвимости по разному уровню опасности. Как видите, здесь у меня график линейный, потому как для данной демонстрации на хосте было установлено определённое программное обеспечение и проведено сканирование.

66: Но если мы, допустим, нажмём вот сюда, на фильтр, добавим метки с тем же, с той же меткой, с эксплоитом применим. И здесь у нас график меняется уже, ну совершенно другим образом здесь мы можем для себя понять.

67: А какие уязвимости у меня появлялись после того, как вы их устранили, появляется, появляются ли у меня новые уязвимости. То есть здесь вы можете как раз-таки просмотреть, насколько ваша инфраструктура меняется, как

68: Видно, вот здесь вот Шёл график Ровный, вот здесь вот у меня появилась ещё 1 уязвимость высокого уровня. Это может быть все вами, скажем так, замечено. Вот вместе с этим мы ещё также можем посмотреть, как

69: Насколько хорошо у нас уязвимости на хосте устраняются. Для этого у нас есть ещё 1, скажем так, дашборд график, да, который отображает то количество уязвимостей, которые у нас были закрыты. Вот как раз здесь видно, что у меня

70: Было закрыто 8 и заново обнаружено тоже 8. То есть это как раз та самая частота появления и устранения уязвимостей, которую вам хотелось бы, я думаю, знать вот это нам о чем говорит здесь, почему у меня 8 было устранено и 8 появилось для данной демонстрации.

71: Я просто удалил с хоста какое-то определённое программное обеспечение, проведено повторное сканирование и заново оно установлено. Вот.

72: Что ещё мы можем здесь посмотреть, как видно, вот здесь, вот в правой части дашборда, есть такое поле, как можно исправить уязвимости. Это как раз-таки, ну, оно говорит само за себя те самые уязвимости, которые вы можете пропач.

73: Потому что часто инфраструктура сутп закрытые, может быть, даже кому-то неизвестные, и всем кажется, что там ничего нельзя устранить. Да, Илья уже про это говорил, но, как видно здесь, вы можете спокойно управлять уязвимостями.

74: Говорить, что нет, давайте устранять их, они все возможны к исправлению и за этим можно. Здесь опять же следить достаточно удобно, также хочется.

75: Отметить ещё вот такой вот дашборд, где вы можете посмотреть весь список закрытых уязвимостей. Как видно, здесь также применяются фильтры и на все остальные дашборды. То есть вы можете для того, чтобы отчитаться перед руководством или ввести

76: Свой учёт на то, какие уязвимости были закрыты. То есть они также ранжированы под трендовые с эксплоитом и по сети. Вот это то, что касается самого процесса приоритизации. Ну и устранение давайте на

77: Переключимся на любую карточку уязвимости, откроем 1 попавшуюся для нас и посмотрим, что есть на ней. Естественно, она какая-то часть информации у нас дублируется с общего вида. То есть вы здесь можете посмотреть уровень опасности.

78: Идентификаторы в различных базах, уязвимости на каждую эту базу вы можете кликнуть и перейти непосредственно на сам этот сайт для того, чтобы более глубже ознакомиться с описанием уязвимости те самые метки, по которым мы ранжируем уязвимости, по которым вы можете

79: Их приоритизировать, её время обнаружения, время жизни тоже немаловажный факт. Насколько быстро у вас эти уязвимости устраняются или сколько они живут в вашей инфраструктуре. Вот описание, оценка по цвс, вот, и

80: Естественно, как эту уязвимость можно исправить с прямой ссылкой на сайт производителя или ещё полезные ссылки, которые могут нам в этом помочь. Также хочется отметить, что в карточке присутствует информация о том, с каким по

81: Связана эта уязвимость, версия, где оно расположено. Опять же, это очень удобно для того, чтобы, да, сразу понимать, какое по нам необходимо пропатчить. И, наверное, последнее, что здесь хочется сказать, это то, что

82: У нас ещё есть такая вкладка, как другие узлы с подобной уязвимостью, но других узлов у меня именно с данной уязвимостью нет. Для чего это удобно? Если мы говорим про трендовые уязвимости, давайте, допустим, переключимся на них. Вот.

83: Не знаю. Наверное, не найду я сейчас быстро такое. То есть, если мы отфильтровали трендовые уязвимости, и у нас есть ещё другие узлы с такой же трендовой уязвимостью. Естественно, их нужно поставить в приоритет по устранению. Данная вкладка нам может с этим помочь.

84: Вот, наверное, то, что касается процесса управления уязвимостями в продукте пита Сим. Все, передаю слово Илье. Саш, спасибо за рассказ. Ну, собственно, ребята все увидели, какое у нас управление уязвимостями, там, скажу.

85: Сразу, что она будет активно развиваться на протяжении следующего года, то есть будет там много чего ещё интересного, но мы перейдём к следующей теме. Следующая тема.

86: Следующая тема, это, собственно, антивирус в Симе. Ну, собственно, это модуль, которого многие ждали достаточно долго, да, то есть, когда мы говорим про защиту, там, наверное, любого компьютера, в том числе компьютера, который установлен в технологической сети.

87: И, ну, наверное, 1 средство, которое приходит в голову, а что же нам нужно для того, чтобы базово повысить уровень там, кибергигиены в этих местах, это поставить туда антивирус. Вот есть у меня такой интересный слайд, на котором написано, зачем нужен

88: Антивирус стп. Вот. Ну, я думаю, наверное, это 1 из немногих слайдов, который не требует объяснения, да, то есть, наверное, все-таки у всех у нас дома есть компьютеры, у всех там стоят антивирусы. Вот. И все. Мы знаем, что если там носишь сменные носители, которые нельзя носить технологические

89: Сети, на многие, практически на все. Вот. Но тем не менее, если кто-то их недобросовестно туда принёс, подключил. Ну, чаще всего это является началом заражения в данной инфраструктуре, на объекте, на котором ничего не должно происходить. Будь там антивирус, ничего бы и не произошло. Вот, ну,

90: Конечно, нельзя не заметить такой фактор, как там требование регуляторки, то есть 239 приказ требует там установки сертифицированного средства антивирусной защиты на все категории k. Вот поэтому, собственно, решение подобного класса для заказчиков.

91: Максимально актуально. Вот тут, наверное, хотелось бы заметить, что сейчас на российском рынке таких решений, именно предназначенных для работы в технологическом сегменте сети и сертифицированных немного, да, то есть, скажем так, по честному, вроде как примерно 2. Вот мы в данном случае целимся в

92: То, что у нас будет 3 решение, оно пока что ещё не сертифицировано, но вот, вот опять же, в 1 половине года мы точно ожидаем получения на неё сертификата. Вот. И, в общем, его вполне можно будет использовать здесь как альтернативу со своими конкурентными преимуществами. Вот, не

93: Поговорю про его архитектуру. Ну, смотрите, мы решили там не встраивать, скажем так, не выстраивать антивирус как отдельное решение. Он максимально плотно интегрирован в исим. Вот, и, соответственно, является частью аген.

94: Steam энпоинт. То есть важно, что все, что мы хотим установить на хост, работает с единым агентом и управляется через единую центральную консоль. Вот эта консоль располагается рядом, собственно, с основной консолью Сима, там её серверная часть установлена. Нас

95: Симом. Ну и, собственно, вот через эту центральную консоль мы осуществляем там мониторинг, реагирование, можем централизованно настраивать политики, такие как расписание сбора данных, там условно активный неактивный режим работы через эту центральную консоль осуществляется обновле

96: Экспертизы непосредственно на машине. Вот. Ну и важно, что, собственно, вместе с модулем антивируса этот же хостовый агент может доустанавливать другие модули Симон поинта, там модули, которые выполняют аудит, модули, которые могут выполнять атаки непосредственно на

97: Machine. Вот, ну и в общем, все это собирается в такую там, скажем, боевую двойку, да, то есть есть сервер, да, на сервере ведётся все управление, есть хостовый агент, на хостовом агенте могут запускаться разные модули, в том числе и антивирусные, собственно,

98: Поговорим про лицензирование, да, наверное, там важный и горячий вопрос. Мы изначально закладываем в антивирус максимальную гибкость, да, то есть есть варианты поставки, в которые вы можете приобрести просто антивирус, да, и, собственно, попробовать это решение даже без сете.

99: Сенсора. Вот есть вариант поставки, в который вы можете зайти там в более глубокое решение. Это антивирус плюс энпоинт, да, со всеми теми вещами, которые энпоинт несёт на борту. Там вот, собственно, такими, как активный аудит, возможность сбора данных для виэма, такими, как

100: Там вот проактивная защита и реагирование, ну опять же, опциональные. Все мы знаем, что в технологическом сегменте реагирования техника, достаточно требующая взвешенного подхода, что называется. Вот, но опять же, если вы хотите просто антивирус, у нас такая опция существует, можно просто купить антивирус.

101: Он будет управляться из центральной консоли, к нему будут поступать обновления, там его сработки будут видны и так далее. Вот важно, что лицензируется он на хост. Есть бандлы. Вот. Ну и соответственно, любой из этих вариантов поставки может быть дополнен сенсором там

102: В любой из редакций, там либо только трафик, либо вариант с вимом. То есть пробью сенсор. Вот, в общем, все такие гибкие опции есть. Можно в разных вариациях этот антивирус попробовать. Вот. Ну, тут, как говорится, наверное, особо рассказывать то больше нечего лучше посмотреть.

103: Живую. Саш, тебе слово. Да, спасибо, Илья. Давайте опять переключимся у нас на демонстрацию я выключу полный экранный режим и перейду как раз-таки в саму консоль управления.

104: Поинтом, через который у нас осуществляется и управление антивирусом. Смотрите, у меня есть несколько агентов, на которых у нас как раз-таки есть политики, включающие модуль антивируса. И 1, что хочется посмотреть

105: Это вернее показать это то, каким образом антивирус у вас может быть установлен на конечные хосты. То есть вам не нужно бегать с какой-то флешкой там или с дистрибутивом. Если у вас уже раскатан агент на хосте, то

106: Установка и вообще управление там отключением, удалением антивируса осуществляется непосредственно с самой консоли. То есть вы заходите в модуль и есть возможность произвести установку, удаление, там, отключение и другие манипуляции, которые вы видите у се.

107: Тебя на экране. Вот это то что касается установки. Теперь давайте перейдём на посмотрим на то, как антивирус у нас может настраиваться. Для этого откроем карточку агента, перейдём в политику, которая уже заранее здесь установлена.

108: И, собственно, нажмём на сам модуль антивируса. Вообще хочется сказать здесь такую вещь, что настраивать антивирус вам, возможно, и не нужно. То есть он имеет определённые настройки.

109: Из коробки, что называется. И если вам это не нужно, то вы можете просто его установить как модуль и далее пользоваться. Вот. Но все же, если вам какие-то настройки нужны, то делаются

110: Они достаточно просто зашли в настройки модуля и здесь вы можете ознакомиться с ними, которые они какие они здесь есть, да, лечить ли там файлы из загрузочного сектора, устанавливать ли зависимости в linux, блокировать ли вредоносные файлы, то есть если вам

111: Нужен респонс непосредственно на хосте, да, то можно это включить опцию или отключить. То есть все это делается достаточно просто с помощью чекбоксов. Вот таким образом производится настройка основных параметров. Далее у нас идут настройки. Исклю

112: Для проверок отдельно для windows и linux хостов. Здесь есть примеры того, как какие пути к файлам или к папкам сразу же прописываются, а также имеются подсказки на то, что та или

113: Иная настройка означает, вот если мы наведём вот сюда на знак вопроса, то, например, глобальный это исключения, которые будут учитываться при любых проверках. Вот, соответственно, есть такие же для реального времени и по запросу. То есть с каждым из них можно ознакомиться.

114: Делать какие-то исключения, если вам это необходимо для дальнейшей работы. Вот. И далее хочется перейти к расписанию. Здесь вы можете как раз-таки настроить расписание тех проверок, которые вам необходимы. Вот как

115: Как видите, у меня здесь включено расписание на сегодняшний день на 2 часа ночи. Для чего это может понадобиться, как мы знаем, в асутп хосты достаточно могут быть старые или не очень мощные, соответственно, а

116: Техпроцесс, который они обеспечивают, должен быть непрерывным и реагировать на него нужно достаточно быстро. И чтобы не загружать наши узлы лишними проверками. Если вам это необходимо, то можно как раз-таки вклю

117: Включить проверки по расписанию, то есть можно сделать быструю проверку, допустим, на каждый день, когда у вас наименее загруженные есть наименее загруженное время или же включить полную проверку, допустим, в моменты каких-то

118: Технологических простоев. Вот то есть тут, собственно, только все зависит от вашей фантазии. Каким образом вы можете эти расписания настраивать и хочется сказать немножко про будущее. Вот здесь вот пока нету ничего. No буквально в следую

119: Версии, которая у нас выходит на следующей неделе, это 5 10. Здесь появится возможность делать несколько проверок по расписанию. То есть вы можете их прям добавлять достаточно много в зависимости от тех условий, которые вам необходимы. Вот это

120: То, что касается самой настройки. Ну и давайте, наверное, посмотрим, как выглядит антивирус на хосте. У меня есть вот такая вот машинка, которую мы специально

121: Здесь разместили в области уведомления. Так, простите, наверное, надо

122: Его сделать побольше, да, вот так вот промотаем, не умещается на экране в области уведомлений у нас находится значок непосредственно самого антивируса, когда у него обновлены базы данных, да, и что он сам работает и

123: Если, допустим, вам, как пользователю, необходимо проверить какой-либо файл, который вы принесли в асотп на флешке, но этого быть не должно сделать. Это можно достаточно просто. То есть, ну, включена, естественно, и сама проверка постоянно. Но если вы вдруг хотите сделать это,

124: Принудительно можете правой кнопкой нажать на файл крутится, крутится, да, машинка не очень мощная, сразу же скажу и нажать scan with пт антивирус. Вот как только у нас проверка данного файла про

125: Как видите, здесь у меня определена угроза что-то икар, вот это стандартная проверка. Вот. И тем самым вы можете осуществить как раз-таки проверку файлов принудительно, как и

126: Наверное, в любом другом антивирусе, который вам был до этого знаком. Вот что ещё хочется здесь показать. Если это я показал, как с точки зрения пользователя вы можете антивирус использовать, да, простите за тавтологию, непосредственно на ма.

127: Вот, а если вы являетесь администратором системы и пользователь не обладает какими-то навыками по проверке, возможно, он не знает. Или у вас по регламентам этого не положено, или, в принципе у конечного устройства нету.

128: Монитора, но он используется для того, чтобы на флешке принести, допустим, какой-то проект или ещё что-то, как вы можете это сделать непосредственно из консоли, из единой. Вам не нужно подходить непосредственно на машину, то есть

129: Опять же мы открываем наш агент, нажимаем реагировать. Работа с файлами открывается файловый браузер у нас, и мы можем найти наш документ, который лежит

130: У меня на рабочем столе, сейчас мы до него дойдём.

131: И, как видно, вот здесь есть данный этот документ. То есть 1 мы уже проверили. Давайте проверим 2, как только мы на него нажимаем, появляется возможность проверить антивирусом. И, собственно, после проверки мгновенно нам выдаётся результат о том, что обнаружена какая-либо угроза.

132: Таким образом мы можем из единой консоли проверить все те хосты, до которых для которых нам необходимо это сделать. Вот, но что ещё хочется здесь показать? Давайте переклю.

133: Включимся обратно на наш веб интерфейс основной консоли, так как мы позиционируем наш продукт как единое средство управления. То есть вам не нужно переключаться в консоль нпоит, кроме как для его устано.

134: Я имею ввиду антивируса и принудительных, возможно каких-то проверок, потому как антивирус работает всегда, он и так будет приносить вам информацию о том, какие были сработки. Хочется показать, что все как раз-таки сработки, в том числе антивирус.

135: У нас происходит в едином окне. Вот как видно, здесь у меня уже даже не пришлось ничего фильтровать, потому что это можно сделать, да, только по антивирусу видно уже здесь, что пришла как раз-таки сейчас.

136: Сообщение об инциденте, то, что сработало правило антивируса. Как видите, здесь, да, у нас есть 2 файла, те самые, которые у нас были на рабочем столе, что это является угрозой.

137: Также напомню, что здесь можно смотреть это все и в единых дашбордах, которые у нас присутствуют. Допустим, если мы сейчас отфильтруем их за, пардон, за 1 день, то мы

138: Непосредственно увидим, в том числе и сработки, опять же с антивирусом, которые к нам пришли. То есть вы можете во всей единой консоли пассим работать и с хостами, и с трафиком. То есть все наглядно видно.

139: Пожалуй, это про антивирус. Все, передаю слово обратно Илье. Да, саш, спасибо. Коллеги. Ну, собственно, вот такой антивирус у нас заехал в дружную симскую семью, что называется, пробуйте, устанавливайте все это уже есть на релизе. Вот буквально на днях там выйдет обнов.

140: Версия, поэтому берите её, но мы двигаем дальше и поговорим немножечко про такую вещь, как коллекторы. Вы симя, то есть в анонсе вебинара. Вы, наверное, слышали о том, что мы говорили, что есть такая штука, как сбор данных с изолированных по

141: Площадок, объектов, коров. Что же это такое? Ну, давайте, наверное, начнём. Собственно, Ефим коллектор это примерно про это. Вот давайте начнём с некой проблематики и задачи, о которой хотелось бы поговорить. Ну, смотрите, достаточно типовая, скажем так, история для

142: Многих технологических объектов, это какая-то есть у вас есть там, например, несколько грессо, да, в каждом из них, ну, Гресс просто для примера, в данном случае и есть, соответственно, в каждом из них технологический сегмент, который там, судя,

143: Времени изолирован, что называется, по полной через дату диоды, да, то есть прям с требованием физической изоляции. Вот, но тем не менее, необходимо обеспечить информационную безопасность этих технологических сегментов. Но вот проблема, сок у нас сидит где-нибудь в центре

144: Возможно, где-то даже в большом городе, ну или небольшом, но соседнем ко всем этим гресса и встаёт вопрос, как же данные из этих технологического сегмента достать, потому что для обеспечения там нужд информационной безопасности нам нужны как непосредственно просто события из этого сегмента.

145: Нужны инциденты, да, то есть алерты события безопасности, то есть самые интересные, скажем так, сработки из того, что происходило в этом сегменте. И, конечно же, мы хотим видеть инвентарку, да, мы хотим понимать, а что происходило внутри этих изолированных сегментов. Вот

146: Ну, на самом деле, такая задачка, она достаточно проблемная, да, с точки зрения там многих решений на рынке, потому что, собственно, вопрос, как в этот изолированный сегмент дотянуться, особенно если их много, да, и даже если поставить продукты внутрь этих технологических сегментов, да, то есть всегда же

147: Можно просто развернуть продукты внутри. Встаёт вопрос, как сок будет реализовывать свою функцию мониторинга, да, потому что, ну, мы же собираем эти данные для того, чтобы сок их видел. В принципе, вся концепция мониторинга построена на том, что данные по сработкам нужно видеть, ну, фактически мгновенно, чтоб

148: Иметь возможность прореагировать до того, как злоумышленник свои злые чары хотел сказать, злые дела натворил. Вот вопрос, че с этим делать? Ну, собственно, коллекторы это наш новый ответ, скажем так, на подобного рода вызов устроены

149: История примерно следующим образом, да, то есть, если мы посмотрим на классическую архитектуру исима, то есть, собственно, есть у нас такая штука, как view сенсор. Это, собственно, самый основной исим, к нему можно там подцеплять поинт агенты, он может выполнять сканирование, в него можно заводить трафик, все это подклю.

150: Подключается к овервью и все абсолютно с этой схемой. Хорошо, за исключением того, что она где-то требует двунаправленного канала связи. Это во первых. А во вторых, собственно, ну, для того, чтобы работать с данными, которые собираются, кроме инцидентов, нужно с консоли овервью, скажем так,

151: Проваливаться в консоль вью сенсора. Вот, ну все это у нас, естественно, покрыто удобными ссылками, но возникает мысль, что если хочется вот собрать такую точку видимости в классном интерфейсе, который сейчас даёт исим, но где-то на уровне, там более

152: Высоким, высоком, чем 1 объект, 1 площадка, да, вот, собственно, коллекторы и эту проблему также адресуют, да, собственно, вот они появились сейчас как альтернативная архитектура, да, то есть схема с юсена овервью, она остаётся там полностью функциональной, ей можно поль,

153: На ней можно проектировать все с ней хорошо. Многих из нас она переживёт, что называется. Вот. Но, тем не менее, коллекторы появились здесь как альтернатива. И, собственно, как это работает непосредственно на объект, на площадку, который может быть там изоли.

154: Дата диодом устанавливается исим коллекторы это без юайный сервер, который, собственно, осуществляет сбор данных с этого объекта. Ну и, собственно, все собранные данные он транслирует наверх, во вью сенсор, где они видны.

155: Непосредственно в интерфейсе писима, ну то есть важной особенностью коллектора как раз является в том, что он может работать, в том числе и из за даты диода целиком. То есть вы просто сервер помещаете там, ну, собственно, внутрь, ну, короче, по ту сторону диода, вот.

156: И все данные, он там непосредственно по udp отправляет наверх, то есть даже не требуя каких-то обратных подключений его там, скажем, техническая реализация изначально проектировалась под возможность работы в таких инфраструктурах. Вот, а теперь немножко поговорим про возмож,

157: Коллектора, да, то есть важно, что коллектор мы изначально проектируем как полнофункциональную замену исима в подобных площадках, да, то есть он может собирать трафик, да, он может быть точкой, к которой подключаются непосредственно агенты, будь то

158: Point, будь то антивирус, он может осуществлять активное сканирование устройств вокруг, да, этого пока нет на релизе, но как раз вот в той версии 5 10, о которой сейчас вот говорил Саша, в ней в том числе, появится на коллекторе возможность проводить сканирование там

159: Вокруг, даже если коллектор установлен в изолированном сегменте, то есть работает это как вы на view сенсоре настраиваете непосредственно параметры задачи сканирования, там диапазон ip адресов, которые нужно сканировать, учетку, под которую нужно подключаться, какие-то другие параметры транспорта.

160: Вот, собственно, эта задача закидывается на коллектор и затем коллектор, собственно, в таком автономном режиме производит сканирование по расписанию и, соответственно, собранные данные наверх закидывает на сенсор, где все это уже видно и непосредственно по этим данным рассчитываются.

161: Уязвимости, там можно их использовать, там как инвентаризационные данные. Все они видны в тех интерфейсах, которые мы сейчас посмотрели. Вот, в общем, вот такая хорошая вещь. Единственная, наверное, особенность, которую

162: Хотелось отметить здесь, что если мы сравниваем эти 2 архитектуры, они, наверное, чуть отличаются по потреблению канала, да, то есть, поскольку там схема с коллекторами, она предполагает Подъём всех данных в 1 центральную консоль, это, ну, немножко перераспределяет

163: Нагрузку, оно говорит нам о том, что центральная консоль должна как-то масштабироваться и быть достаточно большой, чтобы там уметь хранить в себе все данные с разных мест, да, и, соответственно, требования к каналу тоже здесь чуть чуть повыше, чем в схеме с просто

164: Верю просто потому, что там в схеме с овервью поднимаются наверх только инциденты, их мало в схеме с коллектором. Ну, поднимаются все события, там касательные, как события энпоинт, да, то есть, если вы энпоинт, например, раскинули по хостам технологической сети, они

165: Работают у вас в режиме lock коллектора, то есть собирают все сведения, все эти события там поднимаются наверх ну все это требует канала, смотрите сайдинги там точно у нас будут предоставлены в документации, но там по потреблению канала можно ориентироваться что ну с точки

166: С точки зрения, например, обработки трафика на каждые 10 входящих мегабит, у нас расходуется примерно 3 мегабита канала до вью сенсора. Вот здесь будут ещё улучшения в дальнейшем, но пока вот цифры такие, на них можно ориентироваться. То есть это все равно там значительно меньше, чем напрямую передавать трафик.

167: Наверх. Так, ну и небольшая заметка по лицензированию и по тому, как, в принципе, у нас здесь устроены сайзинги, да, то есть какой подход мы выбрали. Ну смотрите, во первых, сами коллекторы будут. Да, кстати, важно, что коллекторы можно купить

168: Варианте поставки с паком, да, то есть паками. Мы сейчас активно предлагаем закупаться всеми, кто делает новые инсталляции Сима. Коллекторы в том числе доступны на паках. И важно, что изначально они начинают у нас целиться, в том числе с точки зрения лицензирования на

169: На разные объёмы перерабатываемого трафика, да, то есть будут в будущем и другие позиции пока вот такие, как представлены на экране. Вот у нас нет ограничений по количеству точек мониторинга, нет ограничений по количеству коллекторов, которые можно подключить ю сенсора.

170: Но в целом нужно понимать, что система в целом ограничена, ну, там, теми возможностями консоли вью сенсора по переработке данных. Ну, в общем, сколько, чем больше вы в неё подаёте, тем больше она должна перерабатывать.

171: Поэтому мы здесь вот математику такую приводим достаточно простую. То есть, условно говоря, если вы покупаете вью сенсор, там в высокопроизводительной редакции, там на 500 мегабит и соответствующая там требуемым ресурсам, ставите железо, то, например, к нему

172: Можно подключить, там 5 коллекторов по 100 мегабит, или к нему можно подключить, там 50 по 10, да, понятно, что есть там Середина, да, то есть, может быть какие-то перекосы, какие-то коллекторы могут там потреблять не по 10, а по 5 мегабит, да? Ну не

173: И перерабатывать трафик, да, на каких-то других может быть наоборот 100. Вот здесь ключевой и важный момент, что нужно ориентироваться на пропускную способность, скажем так, основного сенсора, да, то есть пока вот мы математику предлагаем таким образом ввести

174: Ну, наверное, по схемам и там идеологии коллекторов. У нас все, сейчас Саша немножко покажет их вживую. Вот, саш, тебе слово. Да, спасибо, Илья. И давайте ещё раз посмотрим 3 нашу демонстрацию на та, которая нам

175: Скажет о коллекторах. Хочется 1 момент здесь отметить то, что данный функционал про него не столь есть, много чего показать, но это как раз-таки нам и говорит о том, что настолько большой и хороший функционал

176: Так, лаконично вписался в ту текущую консоль Сима, которая у нас есть, что остаётся просто только порадоваться и пойти всем приобретать, пользовать данную схему. Давайте переключимся на пардон, нажал не туда.

177: На схему сети, вот где у меня условно изображён, изображено некое предприятие, где у нас есть головной офис, который у нас отмечен вот в этом контейнере и есть 2 филиала. Назовём его 1. Это тдма, да, и

178: 2 вот как раз-таки есть pt Сим коллектор о чем нам это говорит то что вот эти 2 филиала они у нас как раз-таки трафик с них заведён непосредственно на сам сервер птим а вот этот вот кусок.

179: Нашей инфраструктуры заведён на пт Сим коллектор. Вот, и что здесь хочется отметить, что все те коммуникации и вся та наша инфраструктура, которая у нас есть, изображена непосредственно на 1 экране,

180: Достаточно удобно смотреть, если у нас есть какие-то, допустим, коммуникации сразу же между сегментами или между группами, или опять же выход в интернет. Все видно на 1 экране. Как вот, например, мы можем сразу же просмотреть соединение.

181: Которые у нас есть, если они неразрешённые, они так же как и неразрешённые соединения, другие будут показываться в инцидентах. Вот, и давайте посмотрим на саму карточку.

182: Какого-либо узла, который присоединён у нас к коллектору, я не знаю, для примера давайте откроем вот этот, мы можем видеть всю ту же самую информацию, которую мы собрали из трафика. То есть это

183: Сведения об узле. Мы можем также посмотреть на нём, какие у нас случались инциденты. Как мы видим, здесь у нас они сразу же тоже изображены. Открыв там любой из них, мы видим всю ту же самую карточку, кото

184: Так же, как и все остальные инциденты у нас переходят, вернее, не переходит, а склеивается в единую цепочку инцидентов. То есть интерфейс управления выглядит в точности также и те сведения, которые мы получаем.

185: Выглядит в точности так же, как и с сработками или со сбором сетной информации, непосредственно подключённой к самому серверу исима.

186: Тоже самое у нас отображается и на графиках, и на других дашбордах. То есть все те же самые сработки, которые у нас есть. Или, например, там сведения о хостах также у нас изображаются на непосредственно в 1 единой консоли. Вот ещё

187: Хочется показать, как настраиваются сами коллекторы. То есть мы также нажимаем система у нас есть вот здесь вот коллекторы, они пока ещё в бете, скоро они из неё выйдут, как только заедет, у нас весь основной функционал здесь

188: У нас есть сведения как раз-таки у нас есть коллектор, на котором у нас заведён трафик и развернут и simon поинт, то есть это все делается на 1 сервере вот давайте откроем карточку.

189: У коллектора, где мы можем следить за его состоянием непосредственно, какая у него загрузка, какие события у нас идут, что у нас с памятью, с разделами диска и по трафику, какая у нас идёт нагрузка. Также мы видим статус активен он

190: Или нет. Ну и, соответственно, некую другую информацию. Очень важно здесь сказать про то, что как коллекторы у нас конфигурируется. Для этого мы нажимаем скачать вот сюда вот файл конфигурации и его

191: Как раз-таки нам необходимо доставить до коллектора непосредственно на сам сервер. После этого, как только мы скачали этот файл конфигурации, коллектор подключается к серверу исима и начинает работать. Вот как я

192: Сказал. На самом деле, с точки зрения наглядности демонстрация здесь не очень большая, потому что вписался он и так очень хорошо в текущую архитектуру, наверное, можно посмотреть ещё на то, как мы можем добавить коллектор здесь настроек совсем

193: Немножко мы даём ему имя, какие-то другие настройки по каналу передачи данных. Вот как раз здесь мы можем посмотреть, что мы можем использовать его как в tcp транспорте, так и в udp, если он у нас стоит за диодом данных. Вот интервал пере,

194: Дачи и также формирование пакета событий. После этого мы нажимаем сохранить. Давайте дадим ему какой-то имя. У нас появляется карточка коллектора, где мы можем скачать какую-то конфигурацию после того, как он подключится к серверу steam у нас

195: Появятся сведения те, которые я перед этим вам показывал.

196: Наверное, с точки зрения коллекторов, здесь все передаю опять слово Илье для того, чтобы он нам рассказал о том, что нас ждёт в 2026 году ещё. Да, саш, спасибо.

197: Сейчас об этом расскажем. Коллеги. В общем, коллекторы это наша новая схема. Проектируйте на ней, пробуйте, все с ней будет хорошо. Будем максимально развивать её в 26 году, в том числе по вашим запросам. Так, ну давайте, наверное, немножечко поговорим про 26 год.

198: Здесь у нас будет всего 1 слайд. Смотрите, мы решили не делиться в этот раз каким-то там длинным таймлайном, где там кровью подписываемся, что в этом месяце выйдет то в этом се, поскольку релизы продукта выходят достаточно часто. Вот, ну, собственно, динамично что-то

199: Появляется, что-то мы там включаем в планы доработок здесь решили обозначить основные направления, в которых мы двинемся в 26 году. Вот, поскольку в продукте, в принципе достаточно много всего, да, вот так вот немножко

200: Скажем так, основным функциональным блоком. Вот, ну, кратко пробегусь, собственно, когда мы говорим про сет менеджмент и ворили менеджмент, они будут развиваться в 1 очередь, с точки зрения широты поддержки систем, да, то есть будут системы там заезжать, как на возмож,

201: Сканирования, так, и на определение уязвимостей. Параллельно в сет менеджменте будут появляться новые способы сбора данных. То есть, наверное, вот как раз вот 1, можно сказать, который появится, это вот в релизе 5, 10. Сейчас поговорили, это возможность

202: Собирать данные непосредственно с помощью удалённого коллектора, да, который стоит в изолированной инфраструктуре, но из неё, скажем так, вытягивает сведения об оборудовании по, и все это поставляет непосредственно наверх, но там не буду

203: Будут ещё новые способы собирать данные, потому что самая ключевая проблема в осушке, да, это как достать оттуда данные, да, то есть они, может быть даже где-то похожи на данные в корпоративной сети, но как их оттуда достать? Вот нужно ещё больше способов собирать эти данные. У нас они

204: Будут. Вот если мы говорим про воннаби менеджмент, то там ключевое функциональное развитие будет в области там какой-то глобальной отчётности, да, то есть, в принципе, мы показывали сейчас то, что сосредоточено в районе карточки.

205: Ghost вот. И там, ну, мы считаем, что это хорошее решение, да, потому что хостов, которые можно покрыть вимом в технологической структуре, ну, инфраструктуре не так много на самом деле, да, это не там десятки тысяч хостов, как в каком-нибудь крупном, скажем так, бан.

206: У вас может внезапно оказаться, да, вот все-таки в технологических сегментах даже там крупный объект, это может быть там 100 хостов, десяток хостов, то есть их не так много и что называется, врага лучше знать в лицо, да, то есть на наш достаточно удобно, когда вы заходите на хост и можете по нему посмотреть, скажем так, лич.

207: Всю информацию. Вот, но, тем не менее, там максимально важно также иметь смотреть срезы, которые, скажем так, глобальны по всей инфраструктуре, да, где вы в своей инфраструктуре видите наиболее уязвимые места и такие точки, на которые нужно обратить внимание. Поэтому глобальная отчетност

208: Ну, очень скоро у нас появится в продукте, на неё максимально таргетируемся. Вот. Также будет развиваться антивирус, да, то есть, в 1 очередь, это, наверное, все-таки сейчас вопрос сертификацией связан. То есть мы там сертифицируем все нацелены на то, чтобы получить по нему сертифи.

209: Но, соответственно, также он будет развиваться функционально, да, то есть появится функциональность контроля usb устройств, приложений, то есть такие важные особенности, которые, ну, мы часто слышим непосредственно как запрос к промышленному антивирусу. Вот, ну,

210: И с точки зрения, скажем так, развития системы управления Симом, с точки зрения там его классических возможностей по разбору сетевого трафика точно будет рост пропускной способности, да, то есть в 1 очередь, наверное, мы ориентируемся на рост пропускной способности в районе.

211: Коллекторной схемы, да, то есть вот эта вот центральная вьюха будет позволять подключать все больше и больше и больше Сборщиков как раз для того, чтобы можно было в 1 консоли собрать видимость там большого сегмента технологической сети. Ну и с тем, чтобы заходить, скажем так, в

212: Такое зонирование, да, когда там на 1 объект 1 исим только в тех ситуациях, где это нужно по смыслу проекта, а не с точки зрения пропускной способности. Вот, ну и также будет развиваться юикс в области, скажем так, непосредственно там, прямых задач продукта, то есть экспертизы, эксперт

213: Работы вот здесь планируются также значительные сдвиги, скажем так, в некоторые новые парадигмы, о которых пока говорить не хочу. Вот, ну и есть odin Ван морфин, вот, который, собственно, тоже появится в продукте на протяжении года. Вот, то есть, важно, что

214: Мы здесь не остановились с точки зрения концепции расширения и Сима различными модулями будут появляться ещё вот о них пока не поговорим, но, что называется, стейт юнт. Так, ну, собственно, наверное, это у нас все, все

215: О чем хотелось рассказать сейчас ответим на вопросы, но перед этим, конечно, не могу не сказать о том, что у нас есть канал пока ещё в telegram канал птс ньюс, все на него, кто не подписан, подписывайтесь, потому что именно там мы пишем регулярно о том, что выходят новые релизы.

216: И Сима делимся новостями нашей команды промышленной. Вот иногда пишем об угрозах технологических сетей, ну, либо статистики того, что мы выпустили в регулярных обновлениях экспертизы для продукта. Вот, в общем, канал такой ненавязчивый. Подписывайтесь, смотрите. Так.

217: Давайте, наверное, поотвечаем на вопросы. Их здесь, я смотрю, набралось достаточно много. Ответим на них сверху вниз. Вопросы я буду читать. Так, ну, на 1 вопрос ответили, будет ли на почту присылаться? Презентация, ссылка на вебинар, запись. Ну, записи на всякий случай сразу скажу, у нас все появляют.

218: На RuTube на канале позитивы, так что если че, можно пересмотреть её там, ну и запись на презентацию тоже пришлём следующий вопрос чем принципиально отличается управление уязвимостями в steam и в мпвм?

219: Ну, смотрите, если уж так прям по честному принципиально, да, принципиально не отличаются и там, и там это уязвимости. И более того, мы максимально напираем на то, что они рассчитываются по там максимально близкой базе знаний. И это хорошо, потому что это

220: Над этой базой знаний в позитиве работает там огромное количество людей, она переводится на разные языки, она максимально точно верифицируется для расчёта, она максимально там актуализируется, чтобы сведения об уязвимостях у нас там были не позапрошлогодние, а максимально актуальные.

221: Вот отличием де сисиной базы является там коробочная поддержка уязвимостей многих промышленных устройств. Искат вот это тоже направление, которое будет расширяться в 26 году. Вот, соответственно, ну, сенсор у нас промышленный, поэтому все промышленно

222: Там идёт из коробки, вот для Макпал веема также есть промышленные лицензии. Если вы знаете, они там докупаются за отдельную сумму. Ну и все-таки там мы видим значительное количество проектов, в которых, ну, скажем так, заказчик, может быть, пока не хочет покупать

223: Большое полновесное, виэм, решение, вот, или там, не знаю, ему необходимо покрыть вот как раз небольшой сегмент технологической сети. Нужно знать, какие там уязвимости напросить. Установка виэма, там это целый отдельный сервер, да, именно поэтому мы все это укомплектовали в 1 коробочку, где

224: В 1 месте все это доступно, срощено там вам не надо смотреть хосты в 1 месте там сработки в другом месте все как показывал Саша сейчас в единой консоли. Плюс с возможностями определения уязвимостей для промышленных устройств, которые заложены. Ну, собственно,

225: Сразу в эту же коробку. Вот, поэтому, наверное, ну, отличия вот такие, да, сразу скажу, что там 1 из важных моментов для развития винной части в Симе является то, что данные, собираемые и Симом на протяжении 26 года смогут поставляться там на

226: Прямую в макспатрол вим. Вот, поэтому там, если вы условно, там, в голову, в корпоративную сеть внедряете виэм и на базе него планируете построить там единую вьюху вообще всех ассетов исим сможет быть источником данных для

227: Этой системы. Вот просто он, скажем так, как такой швейцарский нож лучше всего знает, как достать эти данные из промки, он может сам их показать на, скажем так, уровне объекта, да, если у вас, не знаю, там ибшники сидят на заводе, вот, а на уровне там какого

228: Какого-нибудь там пао холдинга, да, вы можете уже смотреть единую сетку имени всего, куда исим сможет отдавать эти данные. Вот это тоже важная парадигма продукта. Вот пока у нас такой интеграции нет, но она обязательно заедет на протяжении 26 года таким

229: Управление уязвимостями включает в себя управление уязвимостями только эндпоинтов или плк и промышленного сетевого оборудования тоже. Смотрите, текущая версия на релизе работает только с виндой, линуксами разных версий. Возможность работы с плк у нас как раз сейчас появляется в релизе.

230: 5, 10, о котором мы сегодня уже несколько раз поговорили, он выходит буквально через пару недель, в конце февраля. Кстати, уже там 23 число. Следующее. Следующее. Да, почти конец февраля. Вот. Так что выходит, он очень скоро, вот, и там появится возможность.

231: Как раз сканирование там плк нескольких промышленных вендоров. Вот. Соответственно, список вендоров будет активно расширяться на протяжении 26 года. В эту историю тоже смотрим. Вот сразу скажу, что активное сканирование плк у нас, ну, соответственно, проходит

232: Все нужные исследования, да, то есть все плк сканируются там своим особым образом. Плюс снмп, кстати, вот, например, давайте прям поговорим про это подробнее. Вот когда мы сканируем сименс, да, вот, ну, сименс, все любят, все в промке всегда начинают все с сименса, да?

233: Соответственно, там 1 из первых систем, которая у нас заедет, это поддержка как раз семантиков, и для них 2 транспорта реализовано сходу, это смпи и с 7. Вот в случае там с сименсом оба, они несут примерно одинаковый набор информации, да, ну и в зависимости от того,

234: Там, какой вам предпочтителен, да, вы можете использовать там, либо родной их протокол с 7, там как раз есть возможность собирать диагностическую информацию, которой достаточно для определения уязвимостей. То есть там и версия прошивки возвращается, и модель устройства.

235: Так далее. Вот, кстати, поддержка резервированных контроллеров у нас также отдельно там присутствует, есть поддержка ееще исошных транспортов, да, то есть, когда, ну, многие знают, что у сименса есть сети, которые построены там не на ip, а исошные сети, то есть просто по мак адресам. Вот у нас такое сканирование.

236: И тоже поддерживается. Вот. Но для там сипины сетей есть ещё альтернатива в виде снпи. То есть где-то это может оказаться более предпочтительно. Если сушники скажут вам, кроме как по снмп нельзя трогать сименсы. Вопрос у нас есть на это ответ. Вот.

237: Аналогичная история с мадико ами, да, то есть мадико ы тоже можно сканировать, там по имасу, можно сканировать по smpp. Здесь они тоже дают достаточно близкий набор собираемых данных, но не у всех устройств. Так, в общем, здесь будет у нас все расширяться на протяжении следующего года. Ну и

238: Возможность сканировать плк заедет вот буквально там на днях, что называется, вот сразу после праздников праздник в честь заезда плк, возможности сканирования плк, выси, вот говоря про сетевое оборудование, смотрите, сетевое оборудование, возможность его сканирования также появит.

239: И там в 1 половине года, вот сейчас активно ведём над этим работу, будет там максимально широкая поддержка устройств. Со временем, в том числе появится поддержка промышленных Вендеров, ну, всех всем известных, типа хирмана, мокса и так далее.

240: Вот пока так. Так, следующий вопрос. Авз, в steam можно пользоваться как продуктом отдельно от функционала анализа трафика. Ну, походу на этот вопрос вроде отвечали, да, можно. То есть можете купить только антивирус консоль симская останется там.

241: Также там не будет сведений о сетевом трафике. Вот, но будут антивирусные сработки. Соответственно, консоль настройки, политик, все это останется, ну, непосредственно то, которое Саша сейчас показывал, здесь тоже функционал с цепочками и

242: Бордами все это у вас будет да ну соответственно, если вы купили только антивирус, у вас не будет сработок от поинта да, будут только антивирусные и не будет сработок от сетевого трафика от signature вот соответственно, если купили антивирус энпоинт, то будет все от энпоинт.

243: Но не будет сетевого трафика, да, если купили с сетевым трафиком, то будет совсем все. Также про схему лицензирования хотелось бы услышать. Ну, тут, коллеги, может быть, вы задали вопрос до того, как мы на него ответили. Вот, наверное, по ходу, там много говорили про схему лицензирования. Если

244: Вопросы ещё остались, вы их задайте. Вот мы пока будем считать, что ответили на этот вопрос. Есть ли гибкая настройка, политик вз и применение различных политик к разным группам хостов? Ну да, собственно, вот Саша, то, что показывал настройку антивируса, она как раз выполняется через

245: Значение модуля в определённую политику, а политика как раз настроена.

246: На определённую группу устройств можно как к 1 устройству, так и к нескольким, да, поэтому здесь все как раз максимально гибко и настраивается как раз с помощью политик так хотел бы услышать про взаимодействие с ппк. Какие промышленные протокол

247: Поддерживается функционал защиты аналитика и так далее. Ну, смотрите, сейчас в целом в time возможности работы с плк предполагают, ну, как раз разбор значительного количества протоколов, которые, по которым, собственно, с плк как раз общение и ведётся. Вот

248: С точки зрения активного вопроса я сейчас тоже рассказал. То есть, ну, собственно, появляется возможность в 1 очередь работать с сименсами Мадикова, и там, как по промышленным протоколам, так и нет. Ну, сведения собираем достаточно широкие. Вот, ну,

249: Там, если чего-то будет не хватать, можете присылать запросы, мы будем расширять так, в случае использования схемы с диодом данных, когда епп сервер поинт за ним как серверы син поинт связывается с сервером steam по udp там летит только

250: В сторону исим или можно как-то исим управлять епп и самим сервером энпоинт. Ну, смотрите, если схема с диодом данных, да, то тут, как говорится, изоляция стопроцентная, но наполовину, да, в общем, ну, очевидно, что от центрального сервера сисима

251: Никаких коннектов там в сторону коллектора, который расположен за диодом быть не может, именно поэтому у нас изначально настройка, ну, поскольку она ориентирована как раз на такую изолированную схему, ведётся через файлик вот, но для tcp каналов

252: В ближайшем будущем там появится авто перенастройка, так что файлик можно будет туда не носить. Вот. Поэтому, если, собственно, система с Симом, точнее коллектор, стоит за диодом, то управление энпоинт м, настройка политик, они осуществляются

253: Непосредственно с web интерфейса, который вот на этом коллекторе, который за диодом, да, ну, соответственно, вам нужно какой-то доступ к той сети иметь, возможно, там физически до неё дойти. Либо это может быть какой-то арм, у которого, по сути, арм безопасника, на котором сводится там,

254: Данные с разных сетей, в общем разные схемы здесь возможны, но там непосредственно Сима, здесь можно только через файлик им управлять, вот других возможностей здесь ну бай, дизайн быть не может. Вот, но для схемы с tcp то соответственно возможны разные вариации будут

255: В том числе. Так, почему в примере у Александра в сведениях хоста было 4 макадреса? Так, речь, я так понимаю, про нашего Александра. Смотрите, ну, алгоритм по умолчанию, который у нас собирает

256: Из сетевого трафика. Ну, собственно, работает таким образом, что изначально он объединяет узлы по ip адресу, потому что, ну, часто, когда вы мониторите сетевой трафик один и тот же пакет, ну, либо общение с 1 и тем же устройством, вы мо,

257: Можете видеть с разными мак адресами, да, то есть например, вы собираете непосредственно трафик из внутренней сетки и видите там мак адрес устройства, но в то же время пакеты от него пролетают, там маршрутизируются наверх, и вы видите общение с этим устройством, но с mc адресом уже роутера, да, поэтому

258: У нас, собственно алгоритм по умолчанию это собирать несколько мак адресов в 1 место и есть некие тонкие ситуации, в которых мы их, наоборот, разъединяем, чтобы, скажем так, устройства, которые имеют 1 ip адрес, но расположены в разных подсети.

259: Максимально пытаться не склеивать автоматом. Вот, поэтому вот такой хитрый алгоритм. Ну, собственно, вот по данным, которые смотрели у Саши, там 4 макадреса могут быть оттуда. Вот если там непосредственно на них посмотреть, скорее всего, они будут иметь как раз отметк.

260: Что типа это собственный mac адрес, а этот, скорее всего, от маршрутизатора и так далее. Вот, поэтому макадреса могли быть оттуда. Ну и опять же, это 1 кейс, да, сбора именно с сетевого трафика 2.

261: История, что там машина, которую показывал Саша, скорее всего, была просканирована непосредственно активным аудитом, да, когда активный аудит там проходится по машине. Неважно, агентский или безагентский, он собирает сведения о всех сетевых интерфейсах, которые есть на машине. Поэтому, если на машине нескольк.

262: Mac адресов, то там из активного аудита. Эти сведения тоже туда приедут и покажут. Так и есть. Я это виртуальный сервер. А, да, да, черт 1 рассказ. Ну ладно, ну ничего, это полезная информация, я думаю. Ну, надеюсь, если

263: Поддержка протокола 7 ком плюс есть шифрованного нет. Ну, собственно, тут ответ простой. То есть когда мы работаем все-таки с сетевым трафиком, его расшифровка, она, ну как бы по трафику в целом невозможна, то есть есть отдельные эксперименты, но на практи.

264: Там сильно полезных данных они не дают, но поддержка 7 ком плюс у нас присутствует, ну, в плане разбора сетевого трафика, там, на с обычным 7. Так, насколько понял, на данный момент сертификатов стек для применения в периметрах

265: Нет, смотрите, ну исим продукт максимально сертифицированный. Кстати, мы забыли об этом поговорить. В конце года у нас случилось продление сертификата на пятёрку, да, то есть версия 5, 8 сейчас сертифицирована вот там в декабре, в январе, мы получили этот сертификат, все подписчики.

266: Чата об этом знают. Вот. Соответственно, сертификат максимально свежий, можно сборку использовать, но сертификация там только по профилю соф. Сейчас мы активно работаем над тем, чтобы у нас были ещё сертификаты по профилю савс, да.

267: И soar вот и вим тоже планируем сертифицировать, вот пока по планам пойдёт на сертификацию версия 5 9, как раз вот для неё выйдет сейчас обновлённая версия с антивирусом и ну рассчитываем получить сертификат в 1 половине года, вот поэтому.

268: Собственно, там всем сейчас максимально сертификаты можно использовать, но вот на новые решения, которые в продукте только только появились, да, вот, и сертификация по ним пока ещё только в процессе. Так, куда

269: Выключился, куда делись отчёты из сенсора. Хороший вопрос. Смотрите, ну, функциональность отчётов у нас сейчас находится в переработке. Вот там, если говорить по честному, старые отчёты мы проанализировали, ну, те самые, которые печатают

270: Такие очень длинные пдфы, иногда там на 600 страниц, иногда на 500, вот иногда на 550. Вот. В общем, показалось, что данные они показывают не очень интересные. Вот, в отличие от текущей вьюхи исима, и мы активно смотрим на то,

271: То, чтобы отчёты переработать. Вот, поэтому старые, чтобы они не мешали, честно отрезали. Вот, ну и многих заказчиков, на самом деле, мы сейчас спрашиваем в районе того, что, ребята, какого вида отчётность вам вообще интересно, вам интересны вот эти вот пдфы на 600 листов? Ну и на самом деле ответ вот прям вот.

272: 50 на 50, да, то есть кто-то говорит, ребят, ну все-таки, да, пдфы важны, там возможность в оффлайне поделиться, она классная и полезная, это так и есть. Вот. А кто-то говорит, слушайте, ну на самом деле лучше развивать вебку, да, и в вебке делать возможность смотреть на

273: Данные под разными видами, скажем так, срезов. Вот. Поэтому, наверное, сейчас мы максимально активно сосредоточены на то, чтобы в вебке появилось много новых возможностей посмотреть разные срезы там как по сетевому

274: Трафику, так и по уязвимостям. Вот, но и к возможности печатать отчёты мы тоже вернёмся. Оо, нет, у меня сел ноут, я не могу прочитать оставшиеся вопросы. Давай я переключу. Вот. Поэтому, если для вас функциональность там, максима

275: Релевантно и там без неё сложно там вы лучше там, ну если вы там со стороны заказчика говорите, там через своего аккаунт менеджера как-то подсветите этот вопрос, будем общаться на предмет того, какие конкретно отчёты вам

276: Максимально интересное в моменте. Вот, но в целом, там, на наш взгляд, все-таки системой в основном работают безопасники непосредственно в веб интерфейсе, поэтому развитие там юикса в вебке, оно там на порядок более актуально, чем печать pdf, но пдфки тоже важны. Так

277: Сейчас я попробую открыть вопросы на, я открыл, насколько я вижу, это и был последний вопрос открытый, да? Вот. Угу.

278: Так, для сименса будет функционал мониторинга ша контроля. Я так понимаю, это хэш сумм, да, сопоставление с эталоном контроля значения технологических параметров и их отклонения от норм. Давай с конца начнём отвечать. Ну, смотрите.

279: Тролль для сименса технологических параметров. Ну, у нас уже есть вот в начале прошлого года в Симе, скажем так, была зарелижена значительно переработанная функциональность технологических сигналов. То есть, когда мы можем по трафику видеть, скажем так,

280: Общение разных устройств именно с точки зрения чтения и записи тегов. Вот протоколы сименсовые, там по 7 кому. И, кстати, плюсу тоже заехали туда самыми первыми. Ну потому что все всегда в промке начинается с сименса. И важно, что независимо от того, по какому

281: Протокол видеосообщения. У нас есть возможность настроить хитрые правила контроля техпроцесса, которые, собственно, позволяют контролировать, че реально меняется. Вот если речь идёт именно о контроле, сборе там контрольных сумм.

282: С контроллера. Ну, сейчас такой функциональности нету, да, возможно, будем расширять ей сканер плк. Сейчас сканер там не приносит сведения о программе, но он приносит сведения, необходимые для работы вима, да, то есть такие, как собственно, версия устройства.

283: Версия прошивки, там не программа, а именно прошивки, которая там установлена. Вот. Ну, может быть, будем расширять, посмотрим по запросам, а я добавлю, что ещё с помощью модулей Симон поинта можно мониторить, можно контролировать данные хэш суммы для

284: Проектов плк, которые расположены на какой-то машине у вас. То есть такая возможность вот имеется. То есть это нельзя сделать онлайн или из трафика, да, о чем сейчас говорил Илья, но именно на машине с помощью инпономарева это делать, да, то есть важная часть нашего энпоинт, это именно контроль целостности.

285: Проектов, да, то есть, например, по опыту того же стендапа, все мы знаем, что достаточно часто там хорошие злоумышленники, тренируясь, попадая в промышленные сетки. 1, с чего начинают, это подмена проекта, потому что там подмена проекта

286: Нет возможности там, по, не знаю, там подсунуть пользователя какого-то, под которым можно просто штатно залогиниться в эту каду и так далее. Вот как раз для возможности этого контроля у нас есть в поинте модули, адаптированные конкретно под разные скады, там зарубежные

287: Там отечественные, которые как раз вот эти вещи позволяют контролировать и прям вот на раннем этапе детектировать попытки подменить целостность скада системы. Как раз-таки Андрей уточнил, что это речь идёт про проект плк следующий.

288: Вопрос у нас. Планируется ли отказоустойчивость приложения Сим в схеме с 3 хостами в случае требования от заказчика к на и катастрофоустойчивости? Смотрите, давайте скажем честно, пока к таким требованиям сталкиваемся 1 раз по

289: Запросу, короче, сейчас планов нет, но тема интересная. Возможно, мы к ней вернёмся на протяжении года. Если у вас есть конкретный проект, лучше заходите, будем общаться. Вполне возможно, в эту историю. Там тоже копнём, что называется, вопрос про при

290: Отдельного функционала антивируса. Распространяется ли сертификат стек на него? Смотрите, сейчас у нас в целом сертифицированное решение исима по классу соф. Туда входят там все модули, включая антивирусные, но они не сертифицированы по профилю.

291: Stubbs на сертифицирование, собственно, по сазу мы сейчас отдельно работаем и планируем там его появление к середине года, да, то есть уже там, ну, короче, к середине года, к маю, да, условно говоря, вот тут важный момент, какой, что там, ну, реше.

292: Только вышло, да, вы можете брать его, пилотироваться. Вот все равно, ну, все, мы знаем, что в промке внедрения достаточно длинные, да, к моменту, как у вас пойдёт реальное там внедрение сертификат мы точно планируем получить. Вот активно над этим работаем.

293: Так, пока у нас остался ещё 1 вопрос интересна выгрузка всей информации может по api, а потом всю эту информацию обрабатывать самим, например, с помощью power биай, в зависимости от того, что потребуется руководству.

294: Что именно и что потребуется руководству, пока непонятно. Ну, смотрите, давайте там мы кругами ходить не будем. Сейчас там публично описанного ипиай, продукта нет. Кроме, собственно, возможности потребления инцидентов по сислогу. Вот понятно, что продукт у нас вебка, вы всегда

295: Можете воспользоваться там кнопочкой ф 12 в браузере и воспользоваться теми апишками, которые там описаны. Вот, возможно, у нас будет появление публичного аппиа там на протяжении года. Вот, но пока, скорее, там немножко спойлерну мы планируем развивать, скажем,

296: Так, интеграцию с внешними системами за счёт, ну, непосредственно коробочной интеграции, там, а не интеграции силами, там, интегратора, условно говоря, простите за тавтологию, вот у нас точно появится ряд таких, скажем так, вшитых в продукт готовых коробочных

297: Интеграции на протяжении этого года. Но если у вас есть конкретный кейс, где прям вот необходим хаппи, ну тоже лучше заходите там через аккаунт менеджера вопросам, что за проект, почему это может потребоваться? Вот будем развивать

298: Пока так. Мне кажется, это был последний вопрос. Коллеги, все верно. Если успеете задать, задавайте, если нет, всегда можно задать вопросы в чат, который прилинкован к каналу, ссылку на которую, собственно, мы давали. Вот, либо там, если вы партнёр,

299: Приходите на dot, то есть вот там версия 5 10, о которой мы сейчас говорили с возможностью там посканировать плк точно будет на доте показана всем, кто на неё придёт. Вот кто не придёт на dot, приходите на пхд там также, ну когда он будет в мае, вот там

300: Также и Сим активно будем показывать. Либо берите сборки на тест. То есть, по сути, все, о чем мы сейчас говорили, это не будущее, это то, что в продукте уже есть, да, несмотря на то, что вот там буквально на днях выходит ещё и ещё улучшение, то, что есть, уже тоже неплохо. Вот берите, тестируйте.

301: Пробуйте, вот мы вам активно в этом поможем. Если самим сходу разобраться не удастся, поучаствуем, все покажем.

302: Ну, наверное, на этом будем заканчивать. Коллеги, да, нас поблагодарили. Да. Коллеги, вам спасибо. И вам что пришли. Спасибо. Да, спасибо за вопросы. В этот раз их было там достаточно много, все интересные. Вот. Жалко, что нельзя ничего подарить автору лучшего вопроса.

303: Вот. Ну, собственно, че? Всем пока. До свидания.