О релизе № 25 от 06.10.2026

Для использования актуального пакета экспертизы необходимо обновить R-Vision SIEM до версии 2.8 или 2.9.

Дашборды, поставляемые в пакете экспертизы, совместимы с версией 2.9 и выше.

Кратко о релизе

  • Индикаторы компрометации: добавлены новые индикаторы ФСТЭК России за период с 23.09.2026 по 01.10.2026.

  • Новые источники:

    • Apache Airflow: платформа с открытым исходным кодом для разработки, планирования и мониторинга рабочих процессов. Типы обрабатываемых событий:

      • события аудита;

      • события операций с DAG.

    • МойОфис Squadus: корпоративное цифровое рабочее пространство, объединяющее мессенджер, систему видеоконференцсвязи и инструменты совместной работы с документами. Типы обрабатываемых событий: события аудита внутренних микросервисов платформы.

  • Новые правила детектирования:

    • Cisco: выявление сканирования узлов и портов, включая ICMP-сканирование, признаков SYN flood и вероятного NTP Timeroasting по серии NTP-запросов к контроллеру домена для NetFlow.

    • Linux: обнаружение запуска командной оболочки из JVM — возможного признака эксплуатации Java-приложений.

    • Microsoft Windows: обнаружение запуска системных процессов вне системных каталогов, в том числе для выявления активности PAPERMILL; признаков эксплуатации HardBreacher по загрузке неподписанных DLL процессами Kaspersky Endpoint Security; запуска командной оболочки из 1С, характерного для активности Toy Ghouls, и из JVM.

  • Улучшения и исправления правил нормализации:

    • ELMA: уточнение полей для ELMA365.

    • Fortinet: категоризация событий для FortiAnalyzer.

    • Microsoft Windows: нормализация журнала DhcpSrvLog для DHCP Server.

  • Улучшения и исправления правил детектирования:

    • Kaspersky: для Kaspersky Security Center в описания срабатываний по множественным антивирусным вердиктам на одном хосте и массовому заражению хостов теперь включаются данные последнего события-триггера.

    • Microsoft Windows: расширено обнаружение дампа учетных данных за счет экспорта веток реестра SAM, отключения UAC и удаления теневых копий; добавлено обнаружение установки Splashtop, SimpleHelp, eHorus и ManageEngine UEMS; дополнен активный список уязвимых DLL; исправлено отображение IP-адресов в событиях исходящих подключений SYSTEM-процессов.

    • VMware: скорректирован фильтр правила назначения административных или глобальных прав для снижения ложных срабатываний в vCenter.

    • Общее: расширен список адресов в правиле обнаружения обращений к Blockchain API.

Правила нормализации

Новые правила

  • Apache:

    • RV-N-395: Apache Airflow — добавлено новое правило нормализации.

  • Microsoft Windows:

    • RV-N-399: DHCP Server — добавлено новое правило нормализации журнала DhcpSrvLog.

  • МойОфис:

    • RV-N-397: Squadus — добавлено новое правило нормализации.

Улучшения и исправления

  • ELMA:

    • RV-N-394: ELMA365 — уточнение полей отдельных событий.

  • Fortinet:

    • RV-N-285: FortiAnalyzer — добавлена категоризация событий.

Правила детектирования

Новые правила

  • Cisco:

    • RV-D-1905: Сканирование портов NetFlow — обнаружение вероятного сканирования портов.

    • RV-D-1906: Сканирование узлов NetFlow — детектирование попыток разведки.

    • RV-D-1908: Вероятное ICMP-сканирование узлов NetFlow — детектирование сетевой разведки.

    • RV-D-1911: Вероятный NTP Timeroasting NetFlow — обнаружение серии NTP-запросов к контроллеру домена.

    • RV-D-1914: Вероятный SYN flood на узел или сервис NetFlow — детектирование попыток нарушения доступности.

  • Linux:

    • RV-D-1910: Запуск командной оболочки из JVM (Linux) — покрытие эксплуатации Java.

  • Microsoft Windows:

    • RV-D-1909: Запуск командной оболочки из JVM (Windows) — покрытие эксплуатации Java.

    • RV-D-1918: Запуск командной оболочки из 1С — покрытие активности APT Toy Ghouls.

    • RV-D-1919: Возможная эксплуатация HardBreacher — детектирование загрузки неподписанной DLL.

    • RV-D-1920: Запуск системного процесса вне системного каталога — покрытие вектора PAPERMILL.

Улучшения и исправления

  • Kaspersky:

    • RV-D-1568: Массовое заражение хостов одним типом вредоносного ПО за сутки — включение хоста из последнего события-триггера в описание корреляционного события для Kaspersky Security Center.

    • RV-D-1569: Множественное срабатывание вердиктов средств АВЗ на одном хосте за сутки — включение последнего события-триггера в описание корреляционного события для Kaspersky Security Center.

  • Microsoft Windows:

    • Активный список уязвимых DLL — добавлены новые DLL.

    • RV-D-853: Отключение контроля учетных записей пользователей — добавлен ключ ConsentPromptBehaviorAdmin.

    • RV-D-980: Установлено ПО для удаленного доступа — добавлены Splashtop, SimpleHelp, eHorus и ManageEngine UEMS.

    • RV-D-1123: Исходящее подключение SYSTEM-процессов к нестандартным портам — исправлено отображение IP-адресов в корреляционном событии.

    • RV-D-1185: Манипуляции с теневыми копиями с помощью встроенных утилит — дополнено покрытие удаления теневых копий.

    • RV-D-1273: Обнаружена попытка дампа учетных данных — рефакторинг фильтра, покрытие экспорта веток реестра SAM.

  • VMware:

    • RV-D-1554: Назначение административных или глобальных прав vCenter — оптимизация фильтра для снижения ложных срабатываний.

  • Общее:

    • RV-D-1844: Обращение к Blockchain API — расширено покрытие адресов.

    • Таблица IoC: добавлены новые индикаторы компрометации ФСТЭК России в период с 23.09.2026 по 01.10.2026.

Была ли полезна эта страница?

+7 (499) 755 55 70 sales@rvision.ru

О компании Пользовательское соглашение Политика cookies

Обратная связь