Angara Security

🎤 25 сентября встречаемся на TLP: POSITIVE RED №2 от Positive Technologies в Музее криптографии.

🅰️ От нашей команды выступит Александр Гантимуров, руководитель направления обратной разработки Angara MTDR, с докладом «VantaCore: как вымогатели собирают собственный арсенал».

▶️ На примере VantaCore он разберет, почему атакующие переходят от публичных инструментов к собственным разработкам, как устроен их современный арсенал и готов ли SOC к знакомым техникам в исполнении незнакомых инструментов.

До встречи 25 сентября!

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

⚠️Сегментация есть. А связи между сегментами действительно под контролем?

Разделить инфраструктуру на зоны — важный шаг, но со временем появляются новые сервисы, интеграции, временные доступы и исключения. И первоначально выстроенная модель постепенно перестает соответствовать реальной картине взаимодействий.

🅰️В новой статье наш эксперт Никита Новиков разобрал, почему классического подхода к сегментации уже недостаточно и почему фокус стоит смещать на управление связями между системами.

В материале — о том, как:

🔘увидеть реальные взаимодействия внутри инфраструктуры;
🔘выявить избыточные и устаревшие связи;
🔘оценить возможные пути распространения атаки;
🔘перейти от статичной схемы сегментации к постоянному контролю связности;
🔘как сохранить управляемость инфраструктуры, когда она постоянно меняется, а количество взаимодействий между системами растет.

📎Статья нашего эксперта в журнале «Информационная безопасность» «От сегментации к управлению связями»

MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🅰️Angara Security — стратегический партнер KICS Conference 2026!

Уже 9–11 сентября в Сочи проходит одно из ведущих событий в сфере промышленной кибербезопасности — Kaspersky Industrial Cybersecurity Conference 2026 (KICS 2026). В этом году конференция объединит около 300 руководителей и экспертов крупнейших предприятий.

На нашем стенде представляем:
🔘сервисы Angara MTDR;
🔘решение Blazar NAC.

✔️Одна из ключевых активностей деловой программы — выступление генерального директора Angara Security Сергея Шерстобитова на межотраслевом круглом столе «Как реально управлять безопасностью в крупном холдинге?»

Уже сегодня участники обсудят практические вопросы управления информационной безопасностью, работу SOC, применение ИИ и защиту промышленной инфраструктуры.

Сергей Петрович поделится нашим взглядом на важную для крупных компаний задачу: как в условиях роста количества СЗИ сохранить реальное управление системой защиты.

Удачи на KICS Conference 2026!🧡

MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🪲 Баг, с которого всё началось

9 сентября 1947 года инженеры, работавшие с компьютером Harvard Mark II, обнаружили причину сбоя — мотылька, застрявшего между контактами реле. Его вклеили в журнал и подписали: «First actual case of bug being found».

Так появилась одна из самых известных легенд ИТ. Правда, слово bug в значении технической неисправности использовали и раньше — зато тот самый мотылёк действительно сохранился в истории.

▶️За почти 80 лет баги сильно изменились. Теперь они редко машут крыльями внутри компьютера — зато могут открыть атакующему путь в корпоративную инфраструктуру.

Но знак равенства между багом и уязвимостью ставить тоже нельзя. Большинство ошибок не создают угрозу безопасности. Задача ИБ — вовремя понять, какие из них действительно опасны и что с ними делать в первую очередь.

Поэтому сегодня предлагаем отметить День бага по-ИБшному:
🔘проверить, все ли критические обновления установлены;
🔘посмотреть, не залежались ли уязвимости в бэклоге;
🔘убедиться, что средства защиты действительно закрывают актуальные векторы атак;
🦋и поблагодарить того самого мотылька за один из самых удачных терминов в истории IT.

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🔍Что ищет GOFFEE и где заканчивается привычная география её атак?

Из-за ошибок операторов Paper Werewolf нам удалось получить доступ не только к образцам вредоносного ПО, но и к журналам сканирования и попыток эксплуатации различных систем.

В новой статье разбираем:
🔘какие уязвимости искали операторы GOFFEE;
🔘что удалось узнать о географии их технической разведки;
🔘почему обнаруженные цели ещё не означают подтверждённые компрометации;
🔘какую роль в атаках играют подрядчики и другие доверенные связи.

Полученные данные не дают полной картины операций группировки, но позволяют немного шире взглянуть на её реальные устремления.

Читайте на Хабре: Устремления GOFFEE. Часть 2

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🔗Как связать VM и SIEM для оценки реальных рисков уязвимостей

🔎Приоритизация только по CVSS часто вводит в заблуждение:
опасная «дыра» на изолированном тестовом сервере получает высший приоритет, а критичный бизнес-сервис со «средней» уязвимостью остаётся без внимания.

💡В новой статье на Anti-Malware.ru разобрали, как выстроить процесс Risk-Based Vulnerability Management (RBVM) через связку:

➡️ VM (управление уязвимостями) — что уязвимо
➡️ SIEM — что происходит в сети сейчас
➡️ CMDB — бизнес-контекст актива

Ключевые идеи:
🔘От CVSS к реальному риску. Формула на основе CVSS, EPSS (вероятность эксплуатации), CISA KEV (подтверждённые атаки) и бизнес-критичности актива.
🔘Повышающие коэффициенты. Например, если CVE есть в CISA KEV → риск ×2, доступ из интернета → ×1.5.
🔘Уровни риска и SLA. Критический риск (288,1–360 баллов) — устранять за 24 часа, высокий — за 3 суток, средний — в плановое окно.
🔘Выявление «слепых зон». Сопоставление данных VM и SIEM помогает находить активы, которые есть в логах, но отсутствуют в инвентаризации (и наоборот).
🔘Безопасное повышение критичности. Не понижайте уровень инцидента по устаревшим данным VM — лучше добавьте метку на ручную проверку.

📎Читайте полностью: Как связка VM и SIEM помогает оценивать риски эксплуатации уязвимостей

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🅰️Лето — время не только отпусков, но и старта в профессию

Завершилась ежегодная стажировка «Angara Start 2026». 8 недель, 22 целеустремленных участника и полное погружение в мир кибербезопасности.

🏆Для нас это не просто профориентационный проект, а настоящая стартовая площадка для будущих специалистов. Вместе с экспертами Angara Security стажеры решали реальные бизнес-кейсы, отрабатывали сценарии атак, учились защищать инфраструктуру и работать в команде.

▶️28 участников приняли участие в стажировке.
▶️22 - дошли до финала.
▶️19 из них подтвердили свой уровень и получили сертификаты.
▶️Лучшие из лучших уже проходят финальные собеседования — и уже в сентябре мы ждем новых коллег в команде. 🚀

❤️Мы ценим смелость стажеров, их горящие глаза и готовность брать на себя ответственность. А главное — рады, что качественный кадровый резерв для нашей индустрии растет с каждым годом.

✔️Стажировка завершена, но карьерный путь в кибербезопасности только начинается. Ждем новых звезд в Angara Start 2027!

⚠️BYOD — удобно, но опасно?
Разбираем риски

41% сотрудников в России работают с 3+ устройств. Но безопасность таких сценариев — под вопросом.

🅰️Олег Аксютин, руководитель группы защиты данных Angara Security, выделил главные угрозы:
🔘Доступ администраторов к инфраструктуре с личных устройств
🔘Подключение без проверки на вирусы
🔘«Серая зона» подрядчиков без СЗИ и политик паролей

Что выбрать компании?
✔️VDI — безопасно, но не для мобильных
✔️Контейнеризация — хорошо для смартфонов, но защищает только рабочие данные
✖️MDM с полным доступом — сотрудники не готовы предоставлять работодателю такой уровень доступа.

Главный миф: мультидевайсность снижает КПД. На самом деле — повышает, ведь смартфон всегда под рукой.

Краткий итог: безопасный BYOD — это не про запреты, а про выбор правильной модели под ваш бюджет и задачи.

➡️Читайте подробнее в материале

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🅰️Эксперты Angara MTDR подготовили исследование COW — непубличного агента Mythic, который использует группировка GOFFEE (Paper Werewolf).

Удалось проследить его развитие от ранних Windows- и Linux-сборок до более функциональных версий 2025–2026 годов, разобрать команды, конфигурацию и P2P-механизмы.

🔱Отдельно показали, какие следы связывают COW с кодовой базой Poseidon и почему известное название инструмента — ещё не повод заканчивать анализ.

В первой части — технический разбор. Исследование возможностей агента, анализ его эволюции и сравнение с публичными версиями Poseidon и Freyja.

🐄Читайте на Хабре: «GOFFEE: от Poseidon к COW»

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🅰️За каждой техникой MITRE ATT&CK - реальный инцидент.

В течение 2025 года команда Angara MTDR расследовала атаки, связанные с деятельностью самых разных злоумышленников. Каждое расследование - это десятки артефактов, неочевидных находок и деталей, которые невозможно передать в сухом описании техник MITRE ATT&CK.

🔎В новом отчете мы не ограничивались только статистикой по каждой тактике, но и подготовили реальные истории из собственной практики. В них мы показываем характерные действия злоумышленников на различных этапах атаки.

✅Такие примеры помогают лучше понять, как техники выглядят в реальных инцидентах и на что действительно стоит обращать внимание при расследовании.

📎Подробнее - в нашем исследовании.
#DFIRMA

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🅰️Эксперты Angara Security на Offzone 2026

В этом году расскажем о расследовании атаки GOFFEE (Paper Werewolf), которая началась далеко за пределами защищаемой инфраструктуры — с подрядчика, доверенных связей и полностью скомпрометированной Linux-сети.

⚡️GOFFEE break: новые атаки группировки Paper Werewolf

Спикеры:
Ян Блинов, Эксперт по реагированию на инциденты;
Александр Гантимуров, Руководитель направления обратной разработки.

21 августа в 14:00 Threat.Zone

▶️Покажем, как восстанавливали события после зачистки серверов, наблюдали возвращение злоумышленников, разбирали их инструменты и в итоге вышли не только на GOFFEE, но и на данные о других целях группировки.

▶️Будут Linux, Mythic, приватный агент на базе Poseidon, ошибки OpSec, немного атрибуции и много артефактов из реального расследования.

🎤Приходите послушать, посмотреть и задать неудобные вопросы. Увидимся на OFFZONE!

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🔎Каждый этап атаки требует от защитников своего подхода

🔘Поиск следов разведки среди большого объёма легитимной активности;
🔘Проверка инфраструктуры по имеющимся индикаторам компрометации;
🔘Оперативное ограничение взаимодействия с C2-инфраструктурой при недостаточных возможностях средств защиты на периметре
— крайне важные задачи, требующие отработанных действий в сжатые сроки.

✖️Универсальных рекомендаций, которые одинаково хорошо работают во всех ситуациях, не существует.
✔️В такой ситуации пригодятся плейбуки, которые помогают не искать решение «с нуля», а быстро перейти к устранению той или иной проблемы.

▶️В своей практике мы регулярно сталкиваемся с подобными задачами, поэтому собрали решения, которые позволяют противодействовать злоумышленникам на разных этапах атаки.

🅰️Часть таких подходов мы представили в новом годовом отчёте. На основе нашего опыта мы подготовили набор наиболее востребованных практических плейбуков, посвящённых конкретным задачам.

⚡️Мы хотим, чтобы после знакомства с исследованием у читателя осталось не только понимание того, как действуют злоумышленники, но и появились готовые алгоритмы, которые специалисты по информационной безопасности могут уже сегодня адаптировать и применять при работе в своей инфраструктуре.

🔗Подробнее - в нашем исследовании.
#DFIRMA

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

⚙️Единые стандарты информационной безопасности для филиалов и дочерних обществ: локальные исключения без потери контроля

Управление информационной безопасностью в компаниях с распределённой структурой — головная боль для многих руководителей служб безопасности. Создать единый защищённый периметр — цель, которая выходит далеко за рамки разработки регламентов.

Сложность в том, чтобы обеспечить их внедрение в каждом филиале, организовать непрерывный контроль и оперативно реагировать на меняющиеся условия на местах.

🅰️Светлана Осина, руководитель группы проектирования отдела систем мониторинга и реагирования Angara Security, рассказала о том, как совместить единые требования безопасности с локальными особенностями филиалов и при этом не скатиться в самообман абсолютного контроля:
🔘Когда жёсткие стандарты на практике не работают
🔘 Фундамент системы: единые политики с регламентированным механизмом исключений
🔘SGRC: учёт рисков
🔘SIEM: единый источник данных
🔘SOAR: автоматизирует исполнение и обеспечивает единые процессы
🔘Прозрачность, отчётность и культура: организационная основа.

✔️Единые стандарты информационной безопасности в распределённой компании — это в первую очередь создание прозрачной системы, в основе которой лежат чёткие политики с заранее предусмотренным механизмом для обоснованных отклоненй, считает Светлана Осина.

📎Читать статью

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

👤 Поведенческий анализ в АСУ ТП: зачем UEBA промышленному мониторингу

Для промышленной среды недостаточно просто собрать логи и подключить несколько источников.

Важно безопасно получить данные из технологического сегмента, не перегрузить каналы связи, учесть режимы работы площадок и не переложить всю кибербезопасность на инженеров АСУ ТП.

🅰️В новой статье Сергей Скородумов, руководитель отдела систем мониторинга и реагирования Angara Security, объясняет:
🔘Почему в АСУ ТП поведение важнее отдельных событий
🔘Что такое UEBA простыми словами
🔘UEBA как дополнение к SIEM и ICS/OT-мониторингу
🔘В чём ценность UEBA именно для АСУ ТП
🔘SIEM + UEBA на одной платформе или отдельная UEBA?
🔘Какие данные нужны для UEBA в АСУ ТП
🔘Как внедрять UEBA в промышленной среде
🔘Где UEBA может не сработать
🔘Что получает CISO

Автор приводит практические кейсы использования UEBA в промышленной среде. Он делает вывод, что UEBA в АСУ ТП — это не замена SIEM и не альтернатива ICS/OT-мониторингу. Это дополнительный аналитический слой, который помогает понять, когда привычные на первый взгляд действия начинают выбиваться из нормального поведения.

📎Читать статью

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

❓Сколько у вас есть времени, чтобы остановить атаку?

ℹ️Ландшафт киберугроз крайне неоднороден, но программы‑вымогатели по‑прежнему остаются одной из главных угроз для бизнеса.

По данным наших расследований инцидентов 2025 года, медианный срок от первоначального проникновения до шифрования инфраструктуры у финансово мотивированных группировок — всего 7️⃣дней.

На первый взгляд, недели достаточно. Но на практике первые дни часто уходят на подтверждение инцидента, сбор первичной информации, поиск подрядчика, согласование работ. В итоге на активное противодействие остаётся значительно меньше времени, чем кажется.

⚡️В нашем годовом отчёте мы детально разобрали, как меняется продолжительность атак в зависимости от мотивации злоумышленников: почему одни кибератаки завершаются за несколько дней, а другие могут оставаться незамеченными месяцами и даже годами.

📎О том, как не упустить критический момент в реагировании читайте в нашем исследовании.
#DFIRMA

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🔍Новая статья от Angara Security на Хабре: разбираем эксплуатацию уязвимости Stack Overflow в драйверах Windows

Если вы только начинаете свой путь в теме Malware и Exploit Development — этот материал точно для вас. Наша команда редтим подробно разбирает технику эксплуатации одной из критических уязвимостей на примере тестового драйвера.

В статье:
🔘Почему публично известные методы эксплуатации приводят к падению современных ОС.
🔘Подробный разбор техники эксплуатации уязвимости на примере тренировочного драйвера Extreme Vulnerable Driver.
🔘Как обойти проблему без нарушения работы ОС и BSOD и заставить работать полезную нагрузку.

Это не просто теория — в материале много технических деталей и рабочих подходов, которые можно применять на практике.

📎Читайте статью на Хабре

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

🅰️ Angara MTDR выпустила ежегодное исследование киберугроз по итогам расследования атак 2025 года

В отчёте – наш практический опыт реагирования на инциденты: от первоначального доступа злоумышленника до детального анализа его действий внутри инфраструктуры. Мы не просто фиксируем факты, а показываем, как меняются методы развития атак и что с этим делать.

⚡️ Помимо разбора актуальных сценариев, мы подготовили рекомендации: сценарии реагирования и меры защиты, которые помогут повысить эффективность на каждом этапе атаки.

Ключевые наблюдения по итогам расследований:

🔘Время обнаружения напрямую влияет на последствия атаки — чем раньше вы видите угрозу, тем меньше ущерб.
🔘Доверенные отношения — один из ключевых векторов атак: злоумышленники всё чаще эксплуатируют цепочки доверия и легитимные доступы.
🔘Характер атак меняется: фокус смещается с публичной демонстрации активности на сценарии саботажа и нарушения работы инфраструктуры.
🔘Инструментарий атакующих развивается: злоумышленники активно используют новые техники, в том числе методы, ранее применявшиеся чаще в рамках Red Team.

🔗 Получить отчет можно на нашем сайте
#DFIRMA

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity

⚠️ Angara Security предупреждает: 5 сезонных ловушек, которые уже работают

Лето — время отпусков, шашлыков, детских лагерей и подработок. Идеальное время для мошенников. По данным экспертов Angara MTDR, в летний период злоумышленники перестраиваются, маскируя фишинговые сайты под самые востребованные ресурсы: отели, авиакомпании и детские лагеря .

Разбираем ТОП-5 схем 2026 года, которые уже фиксируют специалисты.

📎Сохраните пост, чтобы не потерять.

📲 MAX | 📱 ВКонтакте | 🌐 Сайт

@angarasecurity