О релизе № 26 от 20.10.2026

Для использования актуального пакета экспертизы необходимо обновить R-Vision SIEM до версии 2.8 или 2.9.

Дашборды, поставляемые в пакете экспертизы, совместимы с версией 2.9 и выше.

Кратко о релизе

  • Индикаторы компрометации: добавлены новые индикаторы ФСТЭК России за период с 09.10.2026 по 15.10.2026.

  • Новые источники:

    • АЛТЭКС-СОФТ RedCheck: сканер уязвимостей, предназначенный для оценки защищенности инфраструктуры и контроля соответствия стандартам безопасности. Типы обрабатываемых событий: события аудита и обнаруженные уязвимости. Обрабатываемые службы: rest_api, web_client, scan_service, sync_service.

  • Новые правила детектирования:

    • Jenkins: обнаружение несанкционированного управления заданиями.

    • Linux: выявление подготовки к эксплуатации уязвимости Fragnesia (CVE-2026-46300).

    • Microsoft Windows: обнаружение эксплуатации уязвимостей PrettyPrague (Avast Sandbox) и ResetNightmare (CVE-2026-27912), привязки групповой политики к корню домена (вектор PAYLOAD), а также выполнения команд загрузки из окна Выполнить (детектирование атаки ClickFix).

    • VMware vCenter: выявление входа в инфраструктуру под учетной записью vpxuser.

    • Zabbix: обнаружение подбора паролей (включая атаку Password Spraying), создания и удаления пользователей, а также активности нелегитимных пользователей по изменению прокси, глобальных скриптов и команд в Action.

  • Улучшения и исправления правил нормализации:

    • Оптимизация и рефакторинг правил нормализации для Microsoft Sysmon, Windows System, Microsoft IIS, DHCP Server, а также сетевого протокола NetFlow V9.

    • Улучшение разбора событий аудита в JetBrains TeamCity и Zabbix.

  • Улучшения и исправления правил детектирования:

    • Linux: исправлены ложные срабатывания на ssh -i при контроле туннелей, скорректирована приоритетность логических операций для выявления эксплуатации уязвимости Copy Fail (CVE-2026-31431).

    • Microsoft Exchange: обновлены рекомендации по реагированию для правил выявления эксплуатации ProxyLogon (CVE-2021-27065) и действий пользователей с ролью управления.

    • Microsoft Windows: обновлены рекомендации по реагированию на установку модулей IIS и эксплуатацию уязвимостей ProxyShell/ProxyNotShell. Расширено покрытие средств туннелирования (добавлен cloudflared), утилит для дампа учетных данных (wbadmin) и манипуляций с теневыми копиями (добавлен PowerShell). Доработаны фильтры разведки систем и учетных записей (добавлен PrincipalSearcher), попыток дампа LSASS и отключения EventLog; актуализированы исключения системных процессов для снижения ложных срабатываний при контроле автозагрузки (включая desktop.ini), реестра, планировщика задач, COM Hijacking и смены ассоциации файлов. Расширены списки детектируемых служб при отключении Windows Defender, уязвимых DLL (ssce5532.dll, msimg32.dll) и ПО для удаленного доступа (SimpleHelp). Добавлено обнаружение запуска системных процессов вне системного каталога (wab.exe).

    • VMware ESXi: добавлено обнаружение удаления VIB-пакета Fault Domain Manager (агента vSphere HA) через CLI, что является подготовительным этапом ransomware-атак.

Правила нормализации

Новые правила

  • АЛТЭКС-СОФТ:

    • RV-N-401: RedCheck — добавлено новое правило нормализации.

Улучшения и исправления

  • Cisco:

    • RV-N-272: NetFlow V9 — уточнена обработка UDP- и ICMP-пакетов.

  • JetBrains:

    • RV-N-403: TeamCity — оптимизация кода правил, убрано дублирование событий.

  • Microsoft Windows:

    • RV-N-211: Sysmon — вынесены словари обогащения в ТО, выполнен ремаппинг полей.

    • RV-N-221: System — оптимизация кода правила, классификация событий.

    • RV-N-230: IIS — добавлен маппинг s-ip, изменено формирование src_query, упрощен фильтр, оптимизирован парсинг, уточнена категория событий.

    • RV-N-399: DhcpSrvLog — добавлена нормализация времени и MAC-адреса.

  • Zabbix:

    • RV-N-260: Zabbix — добавлен разбор событий открытия и закрытия триггеров, фильтр appname переведен в нижний регистр.

В данном релизе изменено значение поля appname в SQL-запросах для сбора данных из Zabbix. Перед обновлением убедитесь, что в ваших инсталляциях на коллекторах обновлены SQL-запросы в точках входа, иначе фильтры правил нормализации перестанут корректно обрабатывать события.

Правила детектирования

Новые правила

  • Jenkins:

    • RV-D-1889: Несанкционированное управление заданиями Jenkins — обнаружение несанкционированного управления заданиями.

  • Linux:

    • RV-D-1929: Подготовка к эксплуатации CVE-2026-46300 Fragnesia — покрытие уязвимости Fragnesia.

  • Microsoft Windows:

    • RV-D-1923: Привязка групповой политики к корню домена — покрытие вектора атаки PAYLOAD.

    • RV-D-1927: Запуск команды загрузки из окна Выполнить (ClickFix) — детектирование атаки ClickFix.

    • RV-D-1930: Возможная эксплуатация PrettyPrague — обнаружение эксплуатации уязвимости Avast Sandbox.

    • RV-D-1931: Возможная эксплуатация ResetNightmare (CVE-2026-27912) — покрытие CVE-2026-27912.

  • VMware:

    • RV-D-1926: Вход под учетной записью vpxuser — покрытие кейса выполнения операций из-под учетной записи vpxuser в vCenter.

  • Zabbix:

    • RV-D-1907: Подбор пароля к Zabbix — покрытие атаки брутфорс.

    • RV-D-1912: Password Spraying в Zabbix — детектирование атаки с распылением паролей.

    • RV-D-1913: Создание или удаление пользователя в Zabbix — детектирование подозрительной активности.

    • RV-D-1915: Изменение команды в Action Zabbix — детектирование активности от нелегитимного пользователя.

    • RV-D-1916: Изменения глобального скрипта Zabbix — детектирование активности от нелегитимного пользователя.

    • RV-D-1917: Изменение прокси Zabbix — детектирование активности от нелегитимного пользователя.

Улучшения и исправления

  • Linux:

    • RV-D-906: Создание туннелей и перенаправление трафика — исправление ложных срабатываний на ssh -i.

    • RV-D-1693: Эксплуатация CVE-2026-31431 Copy Fail — исправлена приоритетность логических операций в фильтре.

  • Microsoft Windows:

    • Активный список уязвимых DLL — добавлены ssce5532.dll, msimg32.dll из отчета DFIR Report.

    • RV-D-838: Смена ассоциации запуска файла — рефакторинг корреляционного фильтра, исключение легитимной пользовательской активности.

    • RV-D-878: Закрепление через изменения ключей автозапуска в реестре — обновлены исключения системных процессов.

    • RV-D-940: Закрепление через COM Hijacking — обновлены исключения системных процессов.

    • RV-D-980: Установлено ПО для удаленного доступа — расширен детект для SimpleHelp.

    • RV-D-993: Попытка дампа процесса LSASS с помощью comsvcs.dll — добавлен фильтр на вызов по номеру функции.

    • RV-D-1006: Использование средств туннелирования трафика — добавлен cloudflared.

    • RV-D-1092: Закрепление в директорию автозагрузки — исключение создания файла desktop.ini в директории автозагрузки для снижения FP.

    • RV-D-1131: Установка модуля IIS — обновлены рекомендации в response.

    • RV-D-1168: Изменения в планировщике задач — обновлены исключения системных процессов.

    • RV-D-1185: Манипуляции с теневыми копиями с помощью встроенных утилит — добавление покрытия PowerShell.

    • RV-D-1191: Подозрение на эксплуатацию ProxyShell — обновлены рекомендации в response.

    • RV-D-1192: Отключение службы Windows EventLog — исправлены и расширены фильтры детектирования.

    • RV-D-1211: Успешная эксплуатация ProxyShell — обновлены рекомендации в response.

    • RV-D-1221: Эксплуатация ProxyLogon в Microsoft Exchange (CVE-2021-27065) — обновление рекомендаций в response.

    • RV-D-1227: Эксплуатация уязвимости ProxyNotShell (CVE-2022-41082) — обновлены рекомендации в response.

    • RV-D-1269: Разведка учетных записей — добавлен фильтр PrincipalSearcher.

    • RV-D-1273: Обнаружена попытка дампа учетных данных — добавлен wbadmin.

    • RV-D-1295: Пользователь выполнил действие с ролью управления в Exchange — обновлены рекомендации в response.

    • RV-D-1342: Отключение или модификация Windows Defender — расширен список детектируемых служб.

    • RV-D-1344: Выполнение разведки удаленных систем — добавлен фильтр PrincipalSearcher.

    • RV-D-1920: Запуск системного процесса вне системного каталога — добавлен wab.exe из отчета DFIR Report.

  • VMware:

    • RV-D-984: Использование утилит ESXi через CLI — обнаружение удаления VIB-пакета Fault Domain Manager (агент vSphere HA), подготовительный этап ransomware-атак.

  • Общее:

    • RV-D-1121: Обнаружен индикатор компрометации — добавлена проверка нового поля.

    • Таблица IoC: добавлены новые индикаторы компрометации ФСТЭК России в период с 09.10.2026 по 15.10.2026.

Была ли полезна эта страница?

+7 (499) 755 55 70 sales@rvision.ru

О компании Пользовательское соглашение Политика cookies

Обратная связь