БезопасностьYandex Security × Naumen

Naumen выстроила мониторинг безопасности облачной инфраструктуры с Yandex Security

Naumen — российский вендор ПО, технологический партнер в цифровой трансформации для компаний и органов власти.

За 1,5 месяца компания перенесла часть сервисов в Yandex Cloud, автоматизировала мониторинг безопасности и снизила нагрузку на команду ИБ.

10 мин

медианное время обнаружения подозрительных действий

1 млрд

событий Audit Trails в месяц

Задача

Безопасность облачных сервисов без расширения штата

Naumen разрабатывает продуктовую линейку в сфере управления цифровой инфраструктурой, клиентскими коммуникациями и сервисом. Компания начала переносить в Yandex Cloud часть инфраструктурных и платформенных сервисов, включая базы данных. Облако позволяло гибко масштабировать продукты и быстрее запускать их без крупных стартовых вложений в собственную инфраструктуру.

Одновременно рос поток событий безопасности из вычислительных ресурсов, хранилищ и кластеров Kubernetes⁹. В ИБ-команде Naumen девять специалистов, но мониторингом и реагированием занимается SOC-подразделение¹⁰ из двух человек; часть функций выполняет внешний подрядчик.

Не увеличивать штат вслед за ростом инфраструктуры

У компании уже были собственный SOC и SIEM, однако для облачной инфраструктуры не хватало готового контура мониторинга и соответствующей экспертизы. Naumen требовалось централизовать контроль, ускорить обнаружение подозрительных действий и не увеличивать штат вслед за ростом инфраструктуры.

Решение

Выбор решения

Компания оценивала решения по скорости запуска и интеграции с облаком, полноте типового покрытия, объему необходимой настройки и возможности подключить внешний SOC. Основными показателями стали время обнаружения угроз (TTD) и время реагирования (TTR).

Naumen выбрала сервис Yandex Cloud Detection and Response (SOCaaS). Сервис встроен в Yandex Cloud и получает события на уровне облачной платформы. Поэтому компании не потребовалось устанавливать агенты на каждый ресурс и создавать отдельный слой интеграции.

Специалисты ИБ теперь отслеживают активность размещенных в облаке сервисов, анализируют события control plane¹¹ и выявляют подозрительное поведение пользователей. Возможные угрозы и нарушения политик безопасности сервис обнаруживает автоматически.

Информация о рисках и рекомендации по действиям поступают команде. Для типовых инцидентов настроили сценарии реагирования: процесс запускается сразу после появления подозрительной активности.

Внедрение

Пример эффективности

Подозрительную активность обнаружили на самом раннем этапе

Сервис показал результат уже на старте. Команда сервиса Yandex Cloud Detection and Response обнаружила подозрительные обращения из тестовой инфраструктуры Naumen к сервисам туннелирования Cloudflare¹². Анализ DNS-запросов¹³ позволил выявить активность на уровне DNS-серверов самого облака без установки агентов или дополнительной настройки инфраструктуры клиента. Подозрительную активность обнаружили на самом раннем этапе.

Кроме того, ИБ-специалисты Naumen прошли бесплатное обучение по облачной безопасности. Теперь команда может не только реагировать на инциденты, но и учитывать требования безопасности ещё на этапе проектирования облачной инфраструктуры.

Как работает обнаружение

события облачных сервисов
DNS-запросы
сетевой трафик
активность размещённых сервисов

Yandex Cloud Detection and Response

аномалии выявлены

команде

Информация о рисках и рекомендации по действиям поступают команде.

сценарии реагирования

Для типовых инцидентов настроили сценарии реагирования: процесс запускается сразу после появления подозрительной активности.

Результат

Обнаружение подозрительных действий в облаке за 10 минут

С Yandex Cloud Detection and Response Naumen выстроила централизованный мониторинг событий безопасности в облачной инфраструктуре. Система обрабатывает сотни тысяч событий Audit Trails¹⁴ в месяц, отслеживая события облачных сервисов, DNS-запросы, сетевой трафик и активность размещённых сервисов. Аномалии, подозрительное поведение пользователей, нарушения конфигурации и нежелательные попытки её изменения выявляются автоматически.

Медианное время обнаружения подозрительных действий не превышает 10 минут.

медианное время

1 млрд событий Audit Trails в месяц

10 минутобнаружение подозрительных действий
1–3 часаобработка события, где требуется подтверждение легитимности действий пользователя
12 часовобработка тикета в первые месяцы после внедрения

Ключевые метрики эффективности:

медианное время обнаружения подозрительных действий — не более 10 минут
медианное время обработки событий, требующих подтверждения легитимности действий пользователя, — 1–3 часа (после оптимизации процессов; на старте обработка тикета занимала около 12 часов)
5 рабочих дней заняли подключение и настройка

Централизованный мониторинг позволил Naumen развивать облачную инфраструктуру без пропорционального увеличения ручной нагрузки на SOC. Компания планирует подключать дополнительные источники событий Kubernetes, распространять мониторинг на другие контуры и использовать инструменты контроля данных.

Мнение

Сервис YCDR позволил компании Naumen автоматизировать мониторинг безопасности облачной инфраструктуры без расширения штата ИБ-специалистов. Благодаря Yandex Cloud Detection and Response компания выстроила централизованный контроль, где медианное время обнаружения подозрительной активности не превышает 10 минут. Ключ к этому — интеграция YCDR напрямую в платформу Yandex Cloud: без агентов и долгих настроек. Кейс Naumen подтверждает наш подход: технология работает в связке с командой и процессами.

Мария Кирилловаменеджер продуктов безопасности, Yandex Cloud

Yandex Cloud Detection and Response помог автоматизировать мониторинг безопасности

Задача

Обеспечить мониторинг и контроль безопасности облачной инфраструктуры без расширения команды ИБ.
Решение

Naumen внедрила Yandex Cloud Detection and Response для автоматического обнаружения подозрительной активности, анализа событий безопасности и реагирования на инциденты.
Результат

Компания выстроила централизованный мониторинг облачной инфраструктуры. Медианное время обнаружения подозрительных действий не превышает 10 минут, а для событий, требующих подтверждения легитимности действий пользователя, медианное время обработки составляет 1–3 часа.