Презентация Павла Нагина с конференции «SIEM в банковской сфере: автоматизация хаоса»

1. SIEM и фрод-мониторинг
транзакций
Павел Нагин,
отдел информационной безопасности
АО «Райффайзенбанк»

2. Содержание
Предпосылки
Цель и задачи
Источники информации
Архитектура
Контроль работоспособности
Быть или не быть?
Вопросы

3. Предпосылки
Динамика количества и объема несанкционированных
операций, совершенных с использованием систем ДБО*
* «Обзор о несанкционированных переводах денежных средств», ЦБ РФ 2015 год

4. Цель и задачи
Цель:
Минимизация потерь от мошеннических транзакций в системах
ДБО
Задачи:
 Своевременное выявление фродовых
транзакций и остановка их обработки
 Минимизация ложных срабатываний
(False Positive)
 Предоставление оператору SIEM
дополнительной информации для
принятия решения

5. Источники информации
 Журналы аудита ДБО
 Подсистема авторизации
 Черные списки
 WAF
 IOCs
 …

6. Архитектура (основное)
Черные и белые
списки на входе
Цепочка правил и скорринг
на выходе

7. Архитектура (дополнительно)
Профилирование
осуществляется
через активные
списки (Active Lists)
Отдельные правила
c уведомлением по email

8. Контроль работоспособности
 Контроль поступления
событий от источников
 Контроль прохождения цепочки правил

9. Быть или не быть?
Низкая стоимость внедрения и владения
Простота и скорость реализации базовых правил
Источники информации как правило уже
подключены
Отсутствие функционала по автоматической
приостановке транзакции (prevention)
Недостаточная гибкость
Возможное влияние других функций SIEM

10. Вопросы