О релизе № 24 от 23.09.2026

Для использования актуального пакета экспертизы необходимо обновить R-Vision SIEM до версии 2.8 или 2.9.

Дашборды, поставляемые в пакете экспертизы, совместимы с версией 2.9 и выше.

Кратко о релизе

Индикаторы компрометации: новые индикаторы компрометации ФСТЭК России от 27.08.2026, 02.09.2026, 09.09.2026 и 16.09.2026.
Новые источники:
- Kaspersky Industrial CyberSecurity for Networks: решение от "Лаборатории Касперского" для защиты промышленных сетей и систем автоматизации (АСУ ТП), анализа сетевого трафика, выявления аномалий, признаков вторжений и нештатных ситуаций. Типы обрабатываемых событий:
  - обнаружение неразрешенных сетевых взаимодействий (включая SSL/TLS) и попыток связи с внешними IP-адресами;
  - неразрешенные файловые операции в заданной области мониторинга;
  - признаки ARP-спуфинга и активности троянских программ в сетевом трафике.
Новые правила детектирования:
- Jenkins: выявление подбора паролей, Password Spraying, создания и удаления пользователей, а также эксплуатации уязвимости CVE-2024-23897.
- Microsoft Windows: обнаружение сборки файлов с помощью copy /b, выполнения команд через ftp.exe, удаленного управления через WinRM, расшифровки строк подключения IIS, доставки нагрузки через WebDAV, изменения временных меток, Process Hollowing и загрузки DLL с некорректной подписью.
- Oracle: обнаружение создания процедур и Java-объектов с выполнением кода на уровне ОС в Oracle Database.
- VMware: обнаружение изменения приветственного сообщения MOTD в VMware ESXi.
Улучшения и исправления правил нормализации:
- Apache: устранены ошибки в тестах для Apache Cassandra.
- Microsoft Windows: скорректирована структура парсинга логов (перевод поля array_field1 в нижний регистр) для Microsoft-Windows-AppXDeployment-Server.
- Redis: исправлено поле device_product для Redis Enterprise Software.
- VMware: оптимизирована производительность и ускорена работа правил для VMware vCenter Server и VMware ESXi.
- Солар: расширено покрытие за счет донормализации событий для Solar inRights.
Улучшения и исправления правил детектирования:
- Linux: расширено покрытие туннелирования с помощью gost, добавлены исключения для системных процессов, cron и системных обновлений, скорректированы правила обнаружения загрузки кода, доступа к учетным данным и скрытых shared object файлов.
- Microsoft Windows: расширено покрытие BYOVD, туннелирования и удаленного доступа, добавлены MeshCentral, RuDesktop и gost, актуализирован список уязвимых драйверов, доработаны правила для PowerShell, COM Hijacking, WMI, AMSI и автозапуска, снижено количество ложных срабатываний за счет дополнительных исключений, расширено обнаружение компонентов вредоносного ПО CoolClient.
- VMware: расширен набор параметров для контроля изменений аудита виртуальной инфраструктуры VMware ESXi.

Правила нормализации

Новые правила

Kaspersky:
- RV-N-396: Kaspersky Industrial CyberSecurity for Networks — добавлено покрытие источника.

Улучшения и исправления

Apache:
- RV-N-343: Apache Cassandra — внесены исправления в тесты.
Microsoft:
- RV-N-387: Microsoft-Windows-AppXDeployment-Server — перевод поля array_field1 в нижний регистр.
Redis:
- RV-N-196: Redis Enterprise Software — исправление поля device_product.
VMware:
- RV-N-179: VMware vCenter Server, VMware ESXi — ускорение работы правил нормализации в 2—2,5 раза.
Солар:
- RV-N-317: Solar inRights — проведена донормализация новыми событиями.

Правила детектирования

Новые правила

Jenkins:
- RV-D-1883: Подбор пароля к Jenkins — обнаружение подозрительной активности.
- RV-D-1884: Атака Password Spraying на Jenkins — обнаружение атаки.
- RV-D-1888: Создание или удаление пользователя в Jenkins — обнаружение активности.
- RV-D-1891: Эксплуатация CVE-2024-23897 в Jenkins — покрытие уязвимости.
Microsoft Windows:
- RV-D-1890: Подозрение на подмену образа процесса — расширение подтехники MITRE ATT&CK T1055.012 Process Hollowing.
- RV-D-1892: Загружена библиотека (DLL) с некорректной подписью — обобщенное правило на загрузку уязвимой DLL.
- RV-D-1893: Монтирование WebDAV-шары для доставки нагрузки — обнаружение доставки вредоносной нагрузки.
- RV-D-1895: Изменение временных меток файла — покрытие техники Indicator Removal: Timestomp.
- RV-D-1896: Дамп информации о защитниках BitLocker с узла — расширение подтехники MITRE ATT&CK T1518.001 Security Software Discovery.
- RV-D-1897: Расшифровка строк подключения IIS — обнаружение использования утилиты aspnet_regiis.
- RV-D-1900: Удаленное создание процесса с помощью WinRS — детектирование удаленного управления по протоколу WinRM.
- RV-D-1901: Использование ftp.exe для выполнения команд из скрипта — отслеживание использования LOLBins для выполнения произвольных команд.
- RV-D-1902: Сборка средством copy /b (Split Payload Reconstruction) — обнаружение использования сборки файлов.
Oracle:
- RV-D-1894: Создание процедур или Java-объектов в Oracle Database — обнаружение выполнения кода на уровне ОС.
VMware:
- RV-D-1898: Изменение приветственного сообщения ESXi (MOTD) — расширение покрытия изменения MOTD напрямую через редакторы.

Улучшения и исправления

Linux:
- RV-D-786: Большое количество подозрительных команд — заменен набор полей для группировки.
- RV-D-807: Загрузка файлов с удаленных ресурсов стандартными утилитами — добавлено исключение для системных обновлений.
- RV-D-924: Создание или изменение скрытых shared object файлов — проведена корректировка фильтра для исключения ложных срабатываний.
- RV-D-925: Загрузка кода в процесс Linux — добавлены исключения системных процессов.
- RV-D-930: Чтение файлов с пользовательскими учетными данными — добавлено исключение обновлений системных пакетов.
- RV-D-1010: Использование средств туннелирования трафика Linux — добавлен инструмент gost.
- RV-D-1106: Создание интерактивной оболочки через GTFOBins — добавлено исключение системных скриптов cron.
Microsoft Windows:
- RV-ET-53: Таблица vuln_drivers_list_cimv2 — дополнено покрытие BYOVD-драйвера Silver Fox.
- RV-D-776: Использование обфускации PowerShell — доработка обнаружения функций PowerShell.
- RV-D-814: Использование PowerShell через сторонние инструменты — добавлено исключение системного процесса.
- RV-D-816: Зафиксирована загрузка модуля WMI подозрительным процессом — добавлено исключение агента R-Vision Endpoint.
- RV-D-820: Неподписанная DLL загружена утилитой Windows — проведена корректировка фильтра для исключения ложных срабатываний.
- RV-D-823: Загрузка процессом mshta модулей для выполнения скриптов — добавлен фильтр удаленной загрузки HTA-файлов.
- RV-D-833: Загрузка amsi.dll необычным процессом — обновлено исключение системного процесса.
- RV-D-838: Смена ассоциации запуска файла — добавлено исключение системного обновления.
- RV-D-878: Закрепление через изменения ключей автозапуска в реестре — добавлена проверка на AutodialDLL на основании отчета об атаке GOFFEE, а также проведена корректировка фильтра для исключения ложных срабатываний.
- RV-D-940: Закрепление через COM Hijacking — добавлено исключение обновлений легитимного ПО.
- RV-D-980: Установлено ПО для удаленного доступа — добавлены MeshCentral и RuDesktop.
- RV-D-1006: Использование средств туннелирования трафика — проведена корректировка фильтра для снижения ложных срабатываний, добавлена утилита gost.
- RV-D-1018: Создание или изменение сервиса с помощью командной строки — расширен фильтр утилитой nssm.exe.
- RV-D-1142: Загрузка DLL системным процессом из подозрительного места — детектирование компонентов вредоносного ПО CoolClient.
- RV-D-1298: Исправление опечатки в наименовании полей в активном списке RV-AS-46.
- RV-D-1342: Отключение или модификация Windows Defender — проведена корректировка фильтра для исключения ложных срабатываний.
- RV-D-1785: Загрузка уязвимого драйвера для обхода средств защиты — актуализирован список драйверов.
VMware:
- RV-D-1222: Изменение аудита виртуальной инфраструктуры — расширен набор параметров и внесены исправления, связанные с изменением нормализации.
Общее:
- Таблица IoC: добавлены новые индикаторы компрометации ФСТЭК России от 27.08.2026, 02.09.2026, 09.09.2026 и 16.09.2026.

Была ли полезна эта страница?