🎙 Как устроен коммерческий SOC изнутри, и можно ли перестроить его без остановки работы?

В новом выпуске подкаста «R‑Vision Talk: под капотом» Константин Мушовец, директор УЦСБ SOC, рассказал о практической стороне построения и развития центра мониторинга.

Вместе с Анастасией Федоренко, менеджером по развитию бизнеса R‑Vision, разобрали:
🔹 какие решения составляют базовый технологический стек SOC;
🔹 почему коммерческому SOC важен мультивендорный подход;
🔹 как выбрать между внутренним, коммерческим и гибридным SOC;
🔹 какие задачи можно передать автоматизации и искусственному интеллекту;
🔹 как мигрировать с одного решения на другое без остановки процессов.

Смотрите и слушайте выпуск на всех удобных площадках:

📺 ВК Видео | 📺 YouTube | 📺 RuTube | 🎧 Mave

#RVision_Подкасты

⭐ Сколько инцидентов сможет обработать одна GPU в реальном SOC?

В первой части эксперимента «SOC на одной GPU» мы проверили пределы локальной модели: сколько параллельных запросов она выдерживает, как на скорость влияют длина контекста и объём ответа.

Но результаты стресс‑тестов ещё не показывают, как конфигурация поведёт себя в реальном SOC. Здесь нагрузка распределяется неравномерно: одновременно обогащаются карточки инцидентов, выполняются шаги ИИ‑оркестратора и поступают запросы аналитиков.

Поэтому во второй части мы приблизили эксперимент к промышленному сценарию и выяснили:
🔹 как меняется нагрузка при спокойной смене и во время массового поступления инцидентов;
🔹 сколько запросов может одновременно обслуживать одна GPU;
🔹 как разделить ресурсы между фоновыми задачами SOAR и интерактивной работой аналитиков;
🔹 зачем нужен AI Gateway и почему важно учитывать не только число запросов, но и длину контекста.

Отдельно проверили, насколько полезен thinking mode в прикладных задачах SOC.

Спойлер: эксперимент показал, что более длинная цепочка рассуждений далеко не всегда компенсирует увеличение времени инференса при суммаризации инцидентов, поиске похожих случаев и формировании предварительного вердикта.

➡ Как всё это работает на практике — рассказываем во второй части статьи.

💬 R-Vision в Max

#RVision_Хабр

⚡️ От теории к конкретным действиям

Во время киберинцидента времени на обсуждение того, кто и что должен делать, уже не остается. Именно поэтому команде нужен плейбук — документ, который заранее определяет порядок реагирования, роли и необходимые действия.

Однако даже хорошо проработанный план необходимо регулярно тестировать, как минимум раз в квартал.

Для этого команда моделирует атаку и проверяет:
🔹 кто принимает ключевые решения;
🔹 какие действия выполняются в первую очередь;
🔹 насколько быстро специалисты обмениваются информацией;
🔹 где возникают задержки и узкие места.

Также не стоит пытаться описать все возможные инциденты в одном документе. На практике лучше работает набор плейбуков: общий сценарий реагирования и специализированные инструкции для наиболее вероятных атак — от фишинга и DDoS до компрометации учётных записей и программ‑вымогателей.

Кроме технических и организационных шагов, в плейбуке важно отразить отраслевую специфику и требования регуляторов:

«Субъекты КИИ обязаны направлять уведомление в ГосСОПКА в течение трёх часов с момента обнаружения инцидента для значимых объектов КИИ и в течение 24 часов — для иных объектов. Банки обязаны направлять уведомления в ФинЦЕРТ. Это также должно быть прописано в плейбуках»,

— Александр Винокуров, технический аккаунт‑менеджер R‑Vision.

➡️ Как подготовить команду к реальной атаке — читайте в материале «Киберболоида» с комментарием эксперта R‑Vision.

💬 R-Vision в Max

#RVision_СМИ

⭐ Июль получился насыщенным на события

Собрали всё самое важное за месяц в одном посте — от 15‑летия R‑Vision и обновлений экспертизы SIEM до разбора актуальных киберугроз и эксперимента с локальным запуском LLM для SOC.

1⃣ R‑Vision исполнилось 15 лет

Отметили юбилей компании и оформили ключевые этапы в игровую карту

2⃣ Дайджест уязвимостей за июнь

Команда инженеров-аналитиков R‑Vision выделила наиболее опасные уязвимости месяца

3⃣ Кибербезопасность 2040

Попросили экспертов отрасли заглянуть в будущее и рассказать, каким будет мир кибербезопасности через 15 лет

4⃣ Конфликт Nightmare Eclipse набирает обороты

Разобрали техники атакующего и рассказали, на что стоит обратить внимание ИБ‑специалистам

5⃣ Расширение экспертизы R‑Vision SIEM

Обновили пакет экспертизы продукта: добавили новые правила корреляции, источники событий и возможности для выявления актуальных угроз

6⃣ Локальный запуск LLM для SOC

🔹 В первой части статьи рассмотрели, как архитектура современных LLM влияет на требования к инфраструктуре

🔹 Во второй части статьи провели эксперимент и выяснили, сколько инцидентов может обработать одна GPU в реальном SOC

➡ Больше новостей и экспертных материалов — на нашем сайте

#Дайджест_RVision

⚙️ От «коробки» к готовому стеку

Как убедиться, что ИБ‑платформа не только соответствует требованиям импортонезависимости, но и сохранит производительность и устойчивость под высокой нагрузкой?

Для этого важно проверять не отдельные компоненты, а всю конфигурацию целиком: программное обеспечение, серверное оборудование и сценарии эксплуатации.

TERA развернула в собственном R&D‑центре постоянно действующий демостенд платформы R‑Vision EVO на серверах СИСТЕМАИКС (SX). На нём партнёры‑интеграторы и их заказчики могут протестировать R‑Vision SIEM и R‑Vision VM в условиях, приближенных к промышленной эксплуатации.

Платформа разворачивается в Kubernetes‑кластере. Для хранения событий используется ClickHouse, а для сервисных данных — PostgreSQL.

Такой подход позволяет:
🔹 масштабировать платформу по мере роста объёма событий и данных;
🔹 поддерживать непрерывность мониторинга и доступность интерфейсов даже в процессе обновления или апгрейда компонентов системы;
🔹 быстрее интегрировать платформу в существующие процессы разработки и эксплуатации без рисков для безопасности инфраструктуры.

Юлиана Павлова, директор департамента программного обеспечения TERA, комментирует значимость проекта:

«Сегодня заказчики ИБ‑решений стали гораздо прагматичнее, они требуют доказанной эффективности и предсказуемости. Наше сотрудничество с R‑Vision позволяет снять с партнёров риски несовместимости сложного софта и аппаратных платформ.

Развернув R‑Vision EVO на серверах СИСТЕМАИКС (SX), мы создали полностью готовый, верифицированный стек. Мы предлагаем каналу не просто лицензии и серверные стойки, а готовую к промышленной эксплуатации экосистему, способную защитить бизнес любого масштаба».

➡ Подробнее о технологическом стеке и результатах тестирования читайте на сайте

💬 R-Vision в Max

#RVision_Новости

👾 Аналитики R‑Vision назвали наиболее опасные уязвимости июля

Тополиный пух, жара, июль и 13 трендовых уязвимостей в популярных корпоративных продуктах. Эксперты R‑Vision выделили 6 наиболее опасных из них: ошибки в Linux KVM, Microsoft SharePoint Server и Adobe ColdFusion.

1⃣ Уязвимость в подсистеме KVM ядра Linux (CVE‑2026‑53359)
16-летняя уязвимость в подсистеме виртуализации KVM ядра Linux связана с обращением к памяти после её освобождения (use‑after‑free). Пользователь с правами root внутри гостевой виртуальной машины при включённой вложенной виртуализации может вызвать аварийную остановку физического сервера, а потенциально — выполнить произвольный код с правами root на хосте.

2⃣ Уязвимость в Adobe ColdFusion (CVE‑2026‑48282 | BDU:2026‑09259)
Уязвимость в компоненте Remote Development Services (RDS) Adobe ColdFusion позволяет обходить ограничения файловой системы и произвольно записывать файлы на сервер. Из‑за недостаточной проверки пути атакующий может использовать последовательности (../), перезаписать конфигурационные файлы или загрузить CFML‑веб‑шелл в доступный через веб‑каталог. Это может привести к удалённому выполнению кода с правами служебной учётной записи.

3⃣ Уязвимости в Microsoft SharePoint Server (CVE‑2026‑50522, CVE‑2026‑58644 | BDU:2026‑09928, BDU:2026‑10084)
Пара критических уязвимостей в Microsoft SharePoint Server (локальная установка на серверах организации, не облачная версия), связанных с небезопасной обработкой входящих данных.

🔹 CVE‑2026‑50522 позволяет без аутентификации выполнить код через сторонний провайдер входа и похитить криптографические ключи SharePoint. После этого злоумышленник может создавать сессии с правами любого пользователя, поэтому кроме установки патча требуется заменить ключи.

🔹 CVE‑2026‑58644 эксплуатируется пользователем с правами владельца сайта и приводит к выполнению кода с повышенными привилегиями. Обе уязвимости закрываются одним обновлением безопасности.

4⃣ Уязвимости в Microsoft SharePoint Server (CVE‑2026‑56164, CVE‑2026‑45659 | BDU:2026‑09724, BDU:2026‑07705)
Обе уязвимости закрывают разные этапы атаки: одна обеспечивает неаутентифицированный доступ, вторая — выполнение произвольного кода при наличии минимальных прав.

🔹 CVE‑2026‑56164 позволяет неаутентифицированному злоумышленнику получить повышенные привилегии вследствие недостаточной проверки аутентификации. Неаутентифицированный атакующий эксплуатирует её по сети без учётных данных и без взаимодействия с пользователем, отправляя специально сформированные запросы к функциональности, которая должна требовать авторизации.

🔹 CVE‑2026‑45659 связана с десериализацией недоверенных данных и приводит к удалённому выполнению кода на сервере. Здесь требуется аутентификация, однако порог низкий: достаточно учётной записи с минимальными правами Site Member, без прав администратора.

Все уязвимости уже добавлены в базу R‑Vision VM. Подробную информацию об эксплуатации и рекомендации по устранению можно найти на Хабре.

💬 R-Vision в Max

#RVision_Хабр

⚡️ За пределами привычных сценариев

Threat Deception Platform — это не только ловушки, которые помогают обнаружить злоумышленника и замедлить его продвижение по инфраструктуре.

В видео Артём Погребняк, менеджер по развитию бизнеса R‑Vision, разбирает три дополнительных сценария применения TDP и показывает, какие ещё задачи можно решать с помощью технологии.

А в новом материале подробно разбираем:
🔹 как TDP выявляет нелегитимную активность на ранних этапах атаки;
🔹 почему SIEM и SOAR нужно взаимодействие с Deception;
🔹 когда стоит присмотреться к технологии.

➡️ Читайте статью на сайте

💬 R-Vision в Max

#RVision_Технологии #RVisionTDP

⚡️ От сканирования до внедрения — что определяет успех VM‑проекта?

Сравнение технических возможностей — обязательный этап выбора VM‑решения. Оно помогает сформировать шорт‑лист и понять, соответствует ли продукт базовым требованиям. Но что влияет на финальный выбор и от чего в итоге зависит успех проекта?

Наше предыдущее исследование показало, что ~80% компаний считают качество сканирования одним из ключевых критериев при выборе VM‑системы. В этот раз мы решили посмотреть на процесс выбора с другой стороны и опросили партнёров — компании, которые участвуют во внедрении VM‑решений у корпоративных заказчиков.

Ключевые выводы:

🔹 функциональность важна, но не закрывает всю оценку VM‑решения;
🔹 сканирование остаётся основной точкой входа в VM‑проекты;
🔹 часть заказчиков уже на старте смотрит шире сканирования;
🔹 основные сложности проявляются после выбора решения;
🔹 финальный выбор во многом зависит от команды реализации;
🔹 пилот и архитектурная совместимость входят в число ключевых факторов выбора.

➡ Мнение представителей партнёрского сообщества и результаты опроса читайте на сайте

💬 R-Vision в Max

#RVisionVM