Александр Луганский: Ставка на Safe. UserGate о вызовах, достижениях и будущем ИБ

Компания UserGate является пионером в области NGFW-решений. В последнее время вы значительно расширили продуктовую линейку, включив решения класса SIEM и EDR/NAC, а также создав экосистему UserGate SUMMA. Чем они отличаются от тех, что уже есть на рынке?

Начну с того, что быть пионерами отечественных NGFW-решений — это действительно круто. Мы гордимся этим званием, хотя сейчас, возможно, мы уже не пионеры, а скорее «комсомольцы» в этой области. Появляются новые игроки - «октябрята», но наша экосистема демонстрирует, насколько мы выросли в своей экспертизе. Сначала расширились за счет новых продуктов, а потом начали делиться накопленными знаниями и опытом.

Теперь у нас есть не только NGFW, но и решения класса SIEM, EDR/NAC и другие компоненты экосистемы UserGate SUMMA. Это позволяет нашим клиентам интегрировать все необходимые продукты в единую структуру, что значительно упрощает их работу. Они получают одну точку входа и широкий спектр настроек для своих решений. Вендор лучше всех знает, какие данные необходимо собирать со своих решений, поэтому логично, что логи с NGFW собираются и обрабатываются в SIEM, а затем отрабатываются политики безопасности через наш клиент. Это обеспечивает целостность и эффективность всей архитектуры, избегая создания зоопарка из разрозненных решений.

Можете подробнее рассказать о решениях UserGate SIEM и UserGate Client?

UserGate SIEM — это система управления информационной безопасностью, которая собирает и коррелирует логи, настраивается буквально за 10-15 минут. Она включает в себя множество предустановленных правил, которые можно сразу применять для удовлетворения различных потребностей заказчиков. Для некоторых клиентов это будут базовые потребности, а для других — полный спектр необходимых функций в зависимости от размера компании.

UserGate Client объединяет в себе три основных компонента: VPN, EDR и NAC. VPN основан на IPsec, L2TP. EDR позволяет реагировать на инциденты на хостах клиента в реальном времени, выполняя необходимые действия удаленно, будь то компьютер или сервер. NAC позволяет обеспечить проверку АРМ на соответствие политикам безопасности. Всё это исходит из концепции Zero Trust Network Access (ZTNA), которая подразумевает, что нельзя доверять никому — ни сотрудникам внутри, ни внешним пользователям. Периметр информационной безопасности давно уже не имеет четких границ.

Жизнь в белых списках тоже невозможна. Вероятно, в небольших городах с одним предприятием можно все жестко регулировать, но в крупных городах такой подход не сработает. Люди просто уйдут туда, где им комфортнее. Поэтому проще не доверять и контролировать. Правильные политики позволяют управлять этими процессами.

Запрещая сотрудникам, например, доступ к социальным сетям с корпоративного компьютера, вы не решаете проблему. Они все равно смогут зайти с телефона. Вместо этого можно наблюдать за их действиями, получая более подробную картину о привычках и моделях поведения, а также о новых угрозах. Любой аналитической системе для работы нужны данные. Не стоит самостоятельно от них отказываться. Так вы сможете правильно реагировать на события и управлять ситуацией.

А что такое технология User ID?

Технология User ID позволяет собрать информацию о конкретном пользователе, не ограничиваясь только его IP-адресом, а действительно понимая, кто этот человек. Она определяет, кто является принимающей или отдающей стороной в информационном поле. Это идентификатор, который дает гораздо больше данных, чем просто IP, и позволяет лучше коррелировать события.

Например, вход в информационную систему под вашим логином может быть вполне разрешенным действием и отмечен зеленым цветом. Но если добавить дополнительные данные, например, что вы обычно работаете с 10 утра до 8 вечера в Москве, а вдруг зашли в 3 часа ночи из Коста-Рики, это может вызвать подозрение. Такая аномалия позволяет системе генерировать дополнительные события и помогает более внимательно оценить легитимность действия.

Вы построили и запустили в коммерческую эксплуатацию собственный центр мониторинга информационной безопасности – SOC, услуги которого будут предоставляться по облачной модели SOC-as-a-Service. Каковы преимущества этого подхода для клиентов?

SIEM является сердцем SOC, по большому счету. Здесь важно понимать, что SOC – это не просто инструмент, будь он в облаке или нет. Есть технические средства, которые помогают собирать и автоматически анализировать данные, но главное – это люди. И вот здесь мы сталкиваемся с одной из главных проблем рынка – нехваткой квалифицированных специалистов, которые действительно разбираются в практической безопасности. SOC предоставляет эту квалификацию как услугу. Почему это важно и интересно рынку? Нельзя просто прийти и сказать: «Я хочу SOC», если у вас ничего не было до этого. Это незрелый шаг, который ничего не даст. Логи будут собираться, но вы не сможете адекватно на них реагировать, потому что у вас нет специалистов и выстроенных процессов. До SOC нужно дорасти ментально. Это сложно – принять, что приходится доверять кому-то внешнему, а не держать всё внутри компании. SOC также должен доверять своему заказчику. Как заказчик не хочет получить у себя инцидент, так и SOC не хочет, чтобы инцидент, который он обработал, остался без реакции и действий со стороны заказчика. Поэтому необходимо взаимное доверие и синергия, когда обе стороны доверяют друг другу и работают вместе.

Идеальный SOC – это структура, которая знает о процессах компании лучше, чем все остальные сотрудники. Они могут быть незаметны, но должны точно знать, что, например, бухгалтер Мария Петровна не может в 3 часа ночи из Сьерра-Леоне проводить финансовые операции, если ушла из офиса в Москве в 10 вечера. Или, например, генеральный директор всегда работает только из Москвы. SOC должен понимать, какие операции являются нормальными, а какие – подозрительными, и информировать клиента о них. Для этого нужно глубоко погрузиться в бизнес-процессы, реально понять, чем занимается организация и как она работает.

На первом этапе такое взаимодействие необходимо для выстраивания всей картины. В дальнейшем SOC должен реагировать только на фактические инциденты, исключая ложноположительные срабатывания, звонить в случае серьезных угроз, отправлять письма по менее значимым событиям или предложениям, эскалировать их при необходимости. Эта гибкость в настройке под желания клиента позволяет бизнесу понимать необходимость SOC, осознавать, за что они платят деньги, и видеть выгоды и безопасность, которые он предоставляет.

По сути, это облачный сервис, в который клиент отправляет события, происходящие в его информационных системах. Эти события обрабатываются сотрудниками SOC, которые наблюдают за ними и выстраивают корреляции. Первая линия SOC занимается просмотром событий и реагированием на понятные инциденты. Вторая линия SOC пишет нестандартные правила корреляции и начинает расследование инцидентов, когда нужно поглубже разобраться в причинах их возникновения.

Далее подключается полноценная команда для инцидент-респонса, которая занимается расследованием и определяет, что нужно сделать, как отреагировать и как предотвратить повторение инцидента в будущем. Облачность в этом случае заключается в том, что сервис находится не у заказчика, а удаленно. Клиент не управляет им напрямую, но получает услугу, включающую множество действий, выполняемых удаленными специалистами.

Можете рассказать о каких-то примерах, не называя компании?

Мы буквально пару месяцев назад анонсировали запуск нашего SOC. Сейчас у нас проходят первые пилотные проекты и заключаются первые договоры. Поэтому пока сложно раскрывать какую-то практику, так что накапливаем опыт. У нас отличная команда, имеющая опыт построения и обслуживания SOC с 200+ тысяч событий в секунду, на порядок больше, чем в любой крупной коммерческой организации. Эти специалисты сейчас выстраивают наш SOC.

Важно отметить, что наш SOC – это продукт, который мы используем и для себя. Мы изначально построили центр мониторинга для собственных нужд, настроили его с точки зрения оборудования, команды, софта. Когда убедились, что он хорошо работает для нас, то решили, что можем предложить этот сервис и внешним клиентам. У нас есть опыт и специалисты, чтобы предлагать эти услуги другим компаниям. В этом и заключается суть нашей сервисной модели. Многие говорят о безопасности, о необходимости защищаться, но комплексного мониторинга своей инфраструктуры не хватает. Такие вещи, как SOC, могут позволить себе только крупные компании и корпорации с соответствующими ресурсами. Но что делать компаниям, которые осознают необходимость такой защиты, но не имеют на это финансовых возможностей?

Мы предлагаем услугу, которая решает эту проблему. У нас есть команда специалистов, работающих 24/7 по сменам. Они могут следить за событиями не только нашей инфраструктуры, но ряда сторонних компаний, при этом сохраняя необходимый уровень качества и непрерывности. Содержать для этих целей собственную инфраструктуру и команду нецелесообразно. Мы распределяем ресурсы и время специалистов между несколькими клиентами. В результате эти компании получают защиту 24/7, деля стоимость услуги между собой, без ущерба для качества.

Экономика сервисной модели позволяет нам обслуживать ряд компаний одновременно, быть достаточно гибкими в задачах и найме специалистов. В этом есть и некая социальная миссия. На рынке явно не хватает кадров и экспертов, и распределение ресурсов только среди крупных компаний несправедливо. Представьте компанию с оборотом в 20 миллиардов рублей в год и штатом в 2-3 тысячи человек. Построить свой SOC для них может быть очень дорого, и даже если они смогут это сделать, привлечь специалистов будет сложно.

В борьбе за кадры выигрывают компании, которые предлагают кандидатам развитие, интересную работу и достойную оплату. Создать такое ядро специалистов в не самой крупной компании практически невозможно. Мы предлагаем решение этой проблемы, обеспечивая надежную и доступную защиту для компаний любого масштаба.

Хотела бы поговорить о вашей лаборатории, которая разрабатывает фичи для информационной безопасности. Что это такое?

Начну с того, что мы стремимся к тому, чтобы продукты были полностью сделаны нашими руками. Это касается и софта, и железа, и промышленного дизайна, который тоже играет важную роль, позволяя экономить ресурсы. Важно понимать, что есть фичи, а есть задачи, которые определяют, как эти фичи будут быстро и эффективно работать, и сколько их можно использовать одновременно. Всё это наши специалисты разрабатывают и проектируют, а затем передают в производство.

Что же такое фичи? Это единицы полезности, которые позволяют клиенту выбрать определенное решение. У каждой фичи есть свои критерии и значимость для каждого клиента. В какой-то момент именно этот набор значимых функций склоняет чашу весов в пользу выбора конкретного продукта. Фичи должны быть как стандартными, так и уникальными. Уникальные фичи, скорее всего, со временем будут скопированы конкурентами, поэтому чем быстрее мы их разрабатываем и внедряем, тем лучше.

С уходом компании Cisco и других западных компаний как вы оцениваете возможность UserGate по замещению этих решений? И что проще: переделывать или строить с нуля?

Наверное, начну с прошлого опыта, когда я работал CISO и использовал не российское оборудование, не российские межсетевые экраны. Эта инфраструктура развивалась постепенно: сначала появлялось одно оборудование, потом сеть под него перестраивалась. В той компании не могло быть простоев по технологическим причинам.

Технологическое окно для обновлений условно составляет два-три часа в ночь с 31 декабря на 1 января. Невозможно прийти и поменять всё за три часа. Поменять-то можно, но чтобы всё заработало – точно нет. Строить с нуля намного проще: берешь мануалы, и если они адекватные, то понимаешь, как строить систему. А когда начинаешь менять кусочками, сталкиваешься с тем, что одно оборудование работает иначе, чем другое, что создает сложности.

В UserGate мы работаем над тем, чтобы переход от западных продуктов к нашим решениям был максимально безболезненным. Создаем мануалы, объясняем, что будет работать, что нет, как правильно переносить системы.

Уход крупных компаний – это, с одной стороны, возможность для нас масштабировать наш бизнес. С другой стороны, мы учились у них, перенимали их опыт, полезный опыт, которым не собираемся пренебрегать. Можно начинать эффективно заменять свои средства защиты на наши решения, не боясь длительных простоев. К этому нужно готовиться, это требует времени, и, к сожалению, работы на сети не могут проходить абсолютно безболезненно. Это сложный процесс, который может блокировать многие активности и вызывать определенные сложности у клиентов. Но наши продукты уже готовы к использованию, и мы продолжаем их совершенствовать.

А как вы помогаете клиентам переходить на ваши продукты? Тем, кто ранее использовал западные решения?

Сейчас у нас очень активно развивается проект Академия UserGate. Мы предлагаем реальное обучение и знания о том, как пользоваться нашими продуктами, аналогично тому, как это делали западные вендоры. У нас есть партнерские учебные центры, где можно научиться работать с нашим оборудованием. Плотно работаем с образовательными учреждениями, внедряя наши программы в стандартные тематические курсы и добиваясь того, чтобы студенты к моменту окончания учебы имели сертификаты, позволяющие им работать с нашими решениями.

Недавно на HeadHunter мы обнаружили около 300 вакансий, в которых прямо указано, что требуется опыт работы с UserGate. Это показывает, что наши продукты востребованы на рынке, даже если не все компании указывают это явно.

Кроме того, мы активно работаем над улучшением техподдержки, выкладываем новые материалы по устранению неполадок и решению проблем, расширяем документацию и облегчаем доступ к ней. За последний год благодаря доступной документации на 20% сократились обращения в службу поддержки, потому что заказчики находят ответы самостоятельно.

Это также помогает нашим инженерам. Знания аккумулируются и становятся доступными всем специалистам, а не остаются в одной голове. Таким образом, наши инженеры постоянно повышают свою квалификацию и могут более эффективно помогать клиентам.

Какова стоимость ваших решений по сравнению с западными, которые покинули рынок, и как они соответствуют по функционалу?

Сейчас сложно сравнивать с розничными ценами, которые предлагали ушедшие вендоры. Эти продукты всё ещё продаются на рынке, но все приятные скидки, которые раньше давали вендоры, достигая порой 60% и больше, более недоступны. Поэтому покупка западных решений сейчас обходится дороже. Если сравнивать с ценами на западные продукты тогда, наши имеют сходные значения. Если же сравнивать с текущими ценами на нероссийские продукты, наши – определенно дешевле.

В техподдержке у вас произошли какие-то изменения?

Чуть больше года назад мы запустили мини-проект под названием User-Hate. На нашей конференции был создан трек, где пользователи могли делиться проблемами, с которыми они сталкиваются при использовании UserGate. Много вопросов было и к технической поддержке. После этого в техподдержке произошли значительные изменения. Во-первых, численность техподдержки увеличилась примерно в полтора раза. Во-вторых, изменился подход к управлению знаниями.

Мы создали Knowledge Center Service (KCS), ориентированный на накопление и распространение знаний. Статьи, которые мы публикуем, доступны не только внутри компании, но и для клиентов. Внедрена система менторства и ускорен процесс онбординга, что позволяет новым сотрудникам быстрее адаптироваться и начать продуктивно работать.

Увеличение знаний и опыта сотрудников дает им возможность решать более сложные и нетиповые проблемы, и уменьшает время ожидания для клиентов.

Рынок меняется, всё меняется. Как вы представляете себе развитие вашей компании? Какие у вас планы и цели?

Основная цель — продолжать активно развиваться, не останавливаться на достигнутом. Планируется рост как на рынке NGFW, так и в сфере предоставления сервисов, таких как SOC, аудит и консалтинг. Мы также намерены предлагать услуги по повышению осведомленности пользователей в области цифровой гигиены. Обучение и демонстрация на понятных примерах, почему общая безопасность важна и актуальна во всех сферах нашей жизни.

Компания стремится оставаться лидером в области информационной безопасности. Опыт, накопленный за последние 14 лет, будет только увеличиваться. Мы планируем привлекать лучших специалистов и экспертов, готовых усилить команду и защищать с помощью технологий, независимо от границ. Создание продуктов, которые будут высоко оценены не только в России, но и на международной арене, остается ключевой задачей.