О релизе № 13 от 21.04.2026

Для использования актуального пакета экспертизы необходимо обновить R-Vision SIEM до версии 2.5.0 и выше.

Кратко о релизе

  • Добавлены новые индикаторы компрометации ФСТЭК России от 10.04.2026.

  • Внесены улучшения и исправления в правила нормализации для Kaspersky Security Center, Kaspersky Anti Targeted Attack Platform, InfoWatch, Solar, Xello, Код Безопасности и универсальных функций системы.

  • Внесены улучшения и исправления в правила детектирования для Microsoft Windows, Kaspersky, Linux и VMware.

  • Выполнен перевод на Универсальную модель событий 2.0 (УМС 2.0) и поддержаны новые источники: Solar Web Proxy, UserGate NGFW, Microsoft Exchange, Cisco Nexus, MultiFactor RADIUS, Apache Cassandra, Citrix NetScaler, РЕД СОФТ РЕД АДМ, Eltex ESR и СберТех Pangolin SE.

  • Добавлены новые правила детектирования для Код Безопасности Континент 4, Kaspersky, Microsoft Windows, Linux и InfoWatch Traffic Monitor.

Правила нормализации

Новые правила

  • Solar:

    • Перевод правила нормализации для Web Proxy на модель 2.0.

  • UserGate:

    • Перевод правила нормализации для NGFW на модель 2.0.

  • Microsoft:

    • Добавлено правило нормализации Exchange для журналов IMAP и POP.

    • Перевод правила нормализации для Exchange Online на модель УМС 2.0.

  • Cisco:

    • Перевод правила нормализации для Nexus на модель 2.0.

  • MultiFactor:

    • Покрытие источника RADIUS в УМС 2.0.

  • Apache:

    • Перевод правила нормализации для Cassandra в УМС 2.0.

  • Citrix:

    • Перевод правила нормализации для NetScaler на модель 2.0.

  • РЕД СОФТ:

    • Перевод правила нормализации для РЕД АДМ на модель 2.0.

  • Eltex:

    • Добавлено правило нормализации для ESR.

  • СберТех:

    • Перевод правила нормализации для Pangolin SE на модель 2.0.

Улучшения и исправления

  • Все источники:

    • В правила нормализации добавлено приведение к строке значения, передаваемого в функцию rv_contains_any().

  • Kaspersky:

    • Kaspersky Anti Targeted Attack Platform (KATA): исправление поля description.

    • Kaspersky Security Center: донормализация события klaud_ev_serverconnect.

    • Kaspersky Security Center: оптимизация структуры правила, использование if-else в частном маппинге.

  • InfoWatch:

    • Traffic Monitor: исправлена нормализация в событиях update object.

  • Solar:

    • Dozor: поправлена категоризация событий.

  • Xello:

    • Deception: обогащение нормализации частных событий.

  • Код Безопасности:

    • Континент 4: модифицирована обработка событий ролей (БД).

Правила детектирования

Новые правила

  • Континент 4:

    • Успешный подбор пароля к серверу Континент TLS.

    • Подбор пароля к серверу Континент TLS.

    • Вход привилегированного пользователя с неизвестного хоста.

    • Подбор пароля Континент методом Password Spraying.

  • Kaspersky:

    • Множество хостов заражены одним типом ВПО.

    • Множественное срабатывание вердиктов средств АВЗ на одном хосте за сутки.

    • Программа безопасности не запущена.

    • Вирусная атака.

  • Microsoft Windows:

    • Запуск неподписанного установочного файла TrueConf.

    • Массовые запросы сертификатов AD CS.

    • Включение флага SAN в AD CS.

    • Подмена установочных файлов TrueConf.

    • NTLM Relay на AD CS.

    • Аномальная аутентификация с использованием сертификата.

    • Злоупотребление выдачей сертификатов AD CS.

    • Уязвимая конфигурация шаблона AD CS.

    • Блокировка сервисного аккаунта.

    • Возможное сокрытие запланированной задачи.

  • Linux:

    • Изменение меток времени через touch.

    • Отключение узла Linux.

    • Удаление пользователя или группы.

  • InfoWatch TM:

    • Вход администратора на InfoWatch TM.

    • Массовое удаление пользователей.

    • Создание роли администратора в InfoWatch TM.

    • Создание администратора в InfoWatch TM.

    • Отключение политики защиты данных в InfoWatch TM.

    • Атака Brute Force к InfoWatch TM.

    • Успешная атака Brute Force к InfoWatch TM.

    • Password Spraying в InfoWatch TM.

Улучшения и исправления

  • Microsoft Windows:

    • Запуск whoami с правами системы: добавлена проверка на легитимные ТУЗ.

    • Использование хакерской утилиты PowerSploit: исправления фильтра для исключения ложных срабатываний.

    • Вход на несколько узлов под одной учетной записью: внесены исправления в работу исключений.

    • Смена ассоциации запуска файла: добавлена поддержка событий Security 4657.

    • Внедрение стороннего ПО через отладчик IFEO: добавлена поддержка событий Security 4657.

    • Добавление в Appinit DLL полезной нагрузки: добавлена поддержка событий Security 4657.

    • Зафиксирована подмена файлов экрана заставки Windows: добавлена поддержка событий Security 4657.

    • Закрепление через изменения ключей автозапуска в реестре: добавлена поддержка событий Security 4657.

    • Кодирование файла в Base64 с помощью Certutil: добавлена поддержка флага -decode.

    • Изменение доверительных отношений между доменами: добавлена поддержка событий PowerShell.

  • Kaspersky:

    • Множество хостов заражены одним типом ВПО: изменена нормализация в on_correlate.

  • Linux:

    • Создание туннелей и перенаправление трафика: корректировка фильтра для исключения ложных срабатываний.

    • Изменение конфигурационных файлов службы firewalld: расширение корреляционного фильтра.

    • Изменение привилегий файлов Linux: расширение корреляционного фильтра.

    • Большое количество подозрительных команд: расширение корреляционного фильтра.

    • Разведка локальных УЗ в Linux: расширение корреляционного фильтра.

  • VMware:

    • Отключено несколько критичных виртуальных машин: в описание добавлен период времени активности.

  • Общее:

    • Таблица IoC: добавлены новые индикаторы компрометации ФСТЭК России от 10.04.2026.

Была ли полезна эта страница?

+7 (499) 755 55 70 sales@rvision.ru

О компании Пользовательское соглашение Политика cookies

Обратная связь