Журнал IPS за сутки – это тысячи строк, из которых вручную почти невозможно вытащить то, что действительно требует реакции. Мы автоматизировали этот разбор: на портале технической поддержки запускаются два AI-сервиса – AI-аудит правил межсетевого экрана и AI-анализ журналов IPS и DNS Security. Рассказываем, как они устроены, что показали на реальных конфигурациях и почему своевременный разбор событий безопасности перестал быть «когда-нибудь дойдут руки».

• Приоритизацию инцидентов. События ранжируются по критичности: CRITICAL / HIGH / MEDIUM / LOW / INFO. В отчёте сразу видно, с чего начинать.
• Отсев ложных срабатываний. В том числе подавление ложного DNS-туннелирования по легитимным CDN и облакам (cloudflare.net, azurefd.net и другим).
• Выявление «слепых зон». Агент замечает не только атаки, но и остановку IPS, сбой синхронизации событий – то есть проблемы самого мониторинга.
• Привязку к пользователю. Каждый локальный IP (RFC1918) сопровождается именем хоста по данным авторизации NGFW; форвардеры и контроллеры домена помечаются отдельно.
• Контекст по источникам. Топ сигнатур IPS, география стран-источников, опционально – проверка репутации внешних IP и доменов через VirusTotal.

• Исходящие соединения к возможному C&C-серверу (severity 1, CRITICAL). Критическая сигнатура сработала на трёх разных рабочих станциях – и все срабатывания были пропущены. Назначения вели на адреса Cloudflare и Akamai/Apple CDN, что часто оказывается ложным срабатыванием. Но C&C-каналы всё чаще маскируются именно под CDN и domain-fronting, поэтому агент пометил событие как требующее немедленной проверки хостов: активные процессы, исходящие соединения, автозагрузка, наличие неизвестных агентов удалённого доступа.
• Признаки ICMP-туннелирования (HIGH). Нестандартный payload в ICMP-пакетах и аномально высокая частота – классические индикаторы скрытого канала для C2 или эксфильтрации данных в обход межсетевого экрана. Все срабатывания были пропущены.
• Устаревшие экспортные шифры – FREAK / CVE-2015-0204 (HIGH). Внутренние хосты предлагали слабые экспортные RSA-cipher suites в ClientHello – то есть использовали устаревшую TLS-библиотеку. Источником оказалось legacy-устройство с включённым «TLS compatible mode». Агент рекомендовал отключить слабые шифры и перевести группу сигнатур в режим блокировки как политику запрета слабой криптографии на периметре.
• Уязвимый OpenSSH (CVE-2024-6409). В топе сигнатур обнаружился SSH-сервер с уязвимой версией – race condition в обработчике сигналов с потенциальным RCE. Рекомендация: идентифицировать сервер и обновить OpenSSH.
• Активное использование AnyDesk. Одна сигнатура – AnyDesk Relay в TLS SNI – дала почти 12 тысяч срабатываний, 78% всего объёма. Это инструмент двойного назначения: легитимный для ИТ-поддержки, но популярный у атакующих как канал C2 и persistence. Агент не блокирует его автоматически, а выносит вопрос на уровень политики: разрешить только одобренный список устройств или заблокировать домены сервиса.

• Наличие явного завершающего правила default deny в цепочках FORWARD и INPUT.
• Разрешающие правила ANY→ANY без инспекции IPS/DPI.
• Пропуски в логировании разрешающих правил.
• Теневые (перекрытые) и дублирующие правила.
• Детальный разбор публикуемых через DNAT портов.
• Разбор fail2ban: какие службы перебирали по паролю и какие IP или подсети стоит заблокировать постоянно.

• 15 правил ANY→ANY accept без ограничений и без инспекции IPS/DPI в цепочке FORWARD. Это неконтролируемый канал, открытый для бокового перемещения внутри сети.
• Threat-intel списки подключены, но не блокируют. Объекты «Чёрный список ФинЦЕРТ» и «Чёрный список IP-адресов» были заведены, но не использовались в правилах drop. Для финансовых организаций блокировка адресов из фидов ФинЦЕРТ обязательна (Банк России / ГосСОПКА) – требование де-факто не выполнялось.
• Нулевая наблюдаемость. Глобальное логирование было отключено (log_mode = nothing), у разрешающих правил журналирование выключено. Аудиторский след попросту отсутствовал.
• 10 «затенённых» правил (shadowed), перекрытых вышестоящими и никогда не срабатывающих. Они искажают реальную картину политики: администратор читает конфигурацию и делает неверный вывод о поведении МЭ.
• SSH опубликован в интернет. Правило DNAT пробрасывало порт 22 из ANY на внутренний хост – первоочередная цель для перебора.

1. Список инцидентов, требующих реакции в первые 24–48 часов – с привязкой к конкретным хостам и пользователям, а не абстрактные «события безопасности».
2. Отделённый от реальных угроз шум – с обоснованием, почему то или иное срабатывание можно безопасно убрать в исключения и снизить «усталость от алертов».
3. Чек-лист по конфигурации межсетевого экрана – какие правила сузить, где включить логирование, какие сигнатуры перевести из обнаружения в блокировку.
4. Готовый блок-лист по результатам fail2ban – конкретные подсети /24 и IP-адреса для постоянной блокировки.
5. Проверку соответствия требованиям регуляторов – блокировка фидов ФинЦЕРТ, наблюдаемость для ГосСОПКА, политика по слабой криптографии.

Важная оговорка о методологии: оценки ложных и истинных срабатываний агент делает по агрегированным метаданным событий, без анализа полного содержимого пакетов. Окончательное решение по каждому правилу и сигнатуре принимается после проверки на стороне затронутых хостов. Это осознанный подход: агент берёт на себя приоритизацию и черновой разбор, оставляя финальное суждение специалисту.