Threat hunting в банке: IOC, SIEM-правила и поиск APT-активности в финансовой сети

Четверг, 14:23. SIEM выдаёт алерт средней критичности: Sysmon Event ID 10 фиксирует обращение к lsass.exe с хоста из SWIFT-сегмента. Процесс-инициатор - svhost.exe, не svchost.exe. Одна лишняя буква «v» в имени. Кто-то не очень старался с маскировкой - или, наоборот, рассчитывал, что SOC не заметит.

Медианное время нахождения атакующего в сети до обнаружения - 11 дней (исторический минимум по Mandiant M-Trends 2025). При этом 57% организаций узнают о компрометации от внешней стороны, а не от собственного SOC. В банковском контексте «внешняя сторона» - это ЦБ РФ или FinCERT, и к этому моменту разговор уже не про инцидент, а про регуляторные последствия вплоть до отзыва лицензии.

Этот материал - о том, как выстроить threat hunting в финансовой организации так, чтобы находить атакующего раньше регулятора.

Ландшафт угроз: кто атакует банки и какими TTPs​

По данным BI.ZONE Threat Intelligence, на российскую финансовую отрасль нацелены более 60 группировок, каждая со своим набором TTPs (полный обзор векторов и техник - в руководстве по кибербезопасности банков). На долю финансового сектора приходится порядка 11% всех кибератак в России за девять месяцев 2025 года. Глобально не легче: согласно hunt.io, доля ransomware-атак в финансовом секторе выросла до 65% в 2024 году - почти вдвое по сравнению с 34% в 2021. А за последние два десятилетия около 20% всех зарегистрированных киберинцидентов затронули финансовые учреждения и принесли прямых убытков на $12 млрд.

Четыре тренда, которые определяют направление проактивного поиска угроз в финансовом секторе:

Credential-based атаки доминируют. Valid Accounts (T1078, Initial Access / Persistence / Privilege Escalation) - основной метод закрепления в банковской инфраструктуре. Атакующие не ломают периметр - они входят через ворота с легитимными ключами. CrowdStrike Global Threat Report 2025 фиксирует рост активности China-nexus группировок на 150% год к году, и значительная часть этой активности связана именно с кражей и повторным использованием валидных учёток.

Living off the Land. APT-группы, нацеленные на банки, массово используют встроенные системные утилиты: PowerShell (T1059.001), WMI, cmd.exe (T1059.003). По данным Huntress, APT-группы задействуют легитимные системные инструменты во вредоносных целях - антивирус такую активность не детектирует, потому что формально ничего вредоносного не запускается. Всё «штатно».

Supply chain как вектор входа. Как отмечают в BI.ZONE, злоумышленники всё чаще атакуют менее защищённых подрядчиков банков, а не сами банки напрямую. Это смещает фокус threat hunting с периметра на мониторинг VPN-сессий подрядчиков и сервисных учёток.

GenAI ускоряет Spearphishing. По данным IBM X-Force Threat Intelligence Index 2025, генерация фишинговых писем с помощью GenAI быстрее в 11,4 раза при сопоставимом качестве. Для банковского SOC это означает кратный рост объёма Spearphishing Attachment (T1566.001), где каждое письмо стилизовано под легитимное обращение контрагента. Раньше ломаный русский в фишинге выдавал атакующего - сейчас этот фильтр мёртв.

Гипотезы для threat hunting в банковской инфраструктуре​

Threat hunting начинается не с SIEM-правил - он начинается с гипотез. Гипотеза - это предположение о наличии конкретной TTPs в инфраструктуре, которое можно подтвердить или опровергнуть данными из телеметрии. Без гипотезы threat hunter превращается в аналитика, просматривающего алерты, а это уже не охота за угрозами, а реактивный мониторинг. Разница - как между снайпером и охранником на проходной.

Kill chain финансовых APT по MITRE ATT&CK​

Для банковской сети типичная цепочка целевой атаки выглядит так:


Для банка критична привязка к бизнес-контексту: SWIFT-терминалы, АБС (автоматизированная банковская система), процессинговые серверы - это хосты, которые требуют отдельных baseline и повышенного внимания при поиске APT-активности в сети.

Decision tree: с чего начинать охоту за угрозами в SIEM

1. Есть свежий threat intelligence о кампании на финансовый сектор - формулируем гипотезу на основе конкретных IOC и TTPs из фида
2. Нет актуального TI - начинаем с credential access (T1003.001): проверяем все обращения к lsass.exe за последние 30 дней
3. Credential access чист - переходим к lateral movement: ищем аномальные Logon Type 3 между сегментами (рабочие станции → серверный сегмент)
4. Lateral movement чист - проверяем C2: DNS-запросы к DGA-подобным доменам, HTTP-beaconing с фиксированными интервалами

Этот decision tree - отправная точка, не истина в последней инстанции. В крупном банке с десятками тысяч хостов каждый шаг генерирует тысячи событий, и без предварительного baseline работа превращается в хождение по минному полю ложных срабатываний.

SIEM-правила для обнаружения APT-активности в банке​

Требования к окружению​

Перед внедрением корреляционных правил убедитесь, что инфраструктура готова:

IOC и IOA: индикаторы компрометации в банковской инфраструктуре​

Разница между IOC (Indicator of Compromise) и IOA (Indicator of Attack) в контексте мониторинга угроз в банке - принципиальная. IOC - хеш файла, IP-адрес C2, домен. Они устаревают за часы: атакующий пересобрал бинарь - и хеш уже другой. IOA - поведение: последовательность действий, указывающая на атаку независимо от конкретных артефактов. IOA живут столько, сколько живёт TTPs.

Сетевой уровень:

• DNS-запросы к доменам с Shannon entropy (log2) > 4.0 при длине >12 символов и отсутствии в Tranco/Alexa top-1M (DGA-подобные)
• HTTPS-соединения на нестандартных портах (не 443) из SWIFT-зоны
• SMB-трафик между хостами, которые исторически не обменивались данными (тут без baseline вообще никак)

Хостовый уровень:

• Создание процессов из %TEMP%, %APPDATA%\Local\Temp - типичный IOA для post-exploitation
• Sysmon EID 11 (FileCreate) с расширениями .ps1, .bat, .vbs в пользовательских директориях
• Запуск cmd.exe или powershell.exe от имени сервисной учётной записи АБС - тут стоит насторожиться, потому что сервисная учётка АБС не должна запускать интерактивные шеллы

Специфика банка:

• Обращения к серверам процессинга или SWIFT-шлюзам с хостов, не входящих в разрешённый ACL
• Аномальные транзакции в нерабочее время (корреляция SIEM с бизнес-логикой банка)
• Изменения в конфигурации маршрутизации SWIFT-сообщений

Threat intelligence для финансового сектора нужно обогащать отраслевыми фидами: FinCERT в России, FS-ISAC глобально. Как отмечает Олег Скулкин из BI.ZONE Threat Intelligence, у каждой из 60+ группировок, нацеленных на финансы, свой почерк - generic-фиды покрывают от силы 30% индикаторов. Остальные 70% - это то, что отличает банковский threat hunting от «threat hunting по учебнику».

Insider threat и скомпрометированные легитимные аккаунты​

Техника Valid Accounts (T1078) - головная боль банковского SOC. Когда атакующий использует скомпрометированную учётную запись сотрудника, все его действия выглядят легитимно для стандартных корреляционных правил SIEM. Правило сработает на mimikatz, но не сработает на человека, который залогинился с правильным паролем.

Три категории insider threat в банковской среде по классификации Huntress:

• Malicious insiders - сотрудники, намеренно крадущие данные для личной выгоды
• Compromised insiders - учётные записи, захваченные внешним атакующим
• Negligent insiders - случайные утечки через небрежность

Для обнаружения compromised insiders работает только поведенческая аналитика:

1. Временные аномалии: сотрудник бухгалтерии, который десять лет логинился с 9:00 до 18:00, вдруг начинает работать в 3:00 - это повод для гипотезы, а не для увольнения
2. Географические аномалии: VPN-сессия из нетипичной локации при наличии активной сессии с рабочего места (impossible travel). Классика: одна сессия из Москвы, вторая из Амстердама, разница - 20 минут
3. Аномалии доступа: обращение к ресурсам, не связанным с должностными обязанностями - особенно к серверам с финансовой отчётностью

В Elastic SIEM это реализуется через ML-based anomaly detection с custom jobs на Logon Events (модуль Security, версия 8.11+). В Splunk - через UBA-модуль с baseline минимум 90 дней. Для IBM QRadar - через Risk Scoring с привязкой к HR-данным (должность, отдел, грейд доступа). Каждый из этих подходов требует интеграции с кадровой системой банка - без информации о том, кто чем должен заниматься, любая поведенческая аналитика слепа. А попробуйте получить выгрузку из SAP HR в банке - отдельное приключение.

Отдельная боль - сервисные учётные записи. В типичном банке их сотни: от интеграции АБС с процессингом до автоматических сверок с ЦБ. Каждая - потенциальный вектор для T1078, и стандартный мониторинг «кто логинился во внеурочное время» к ним неприменим, потому что они работают 24/7. Для сервисных учёток нужен отдельный baseline: откуда логинятся, к каким ресурсам обращаются, какой объём данных перемещают. Любое отклонение - повод копнуть.

Detection-чеклист для SOC финансовой организации​

Готовый чеклист - можно включать в отчёт по аудиту или передавать в SOC как есть:


Каждый detection из таблицы должен пройти цикл: создание правила → тюнинг baseline (минимум 30 дней) → вывод в production (для UBA-модулей - не менее 90 дней). Развёртывание всех правил одновременно без тюнинга гарантированно парализует SOC. На практике правило по NTLM без исключений legacy-систем даёт 200+ алертов в сутки в крупном банке. Аналитики начинают игнорировать - и пропускают настоящий инцидент.

Три года в банковском SOC сформировали одно убеждение: большинство финансовых организаций фокусируется на периметре и реактивном мониторинге. Threat hunting как выделенный процесс - не строка в регламенте для ЦБ, а человек, который каждый день формулирует гипотезы и проверяет их на данных - существует в единичных банках. При этом 70% атак в 2024 году, по данным IBM X-Force, пришлись на критическую инфраструктуру, а в атаках на SWIFT-терминалы в 2015-2016 годах одного скомпрометированного хоста хватило, чтобы нарушить работу финансовых транзакций глобально (hunt.io).

Проблема не в SIEM - Splunk Enterprise 9.x, Elastic 8.11, QRadar умеют всё, что описано выше. Проблема в дефиците людей, которые одновременно понимают MITRE ATT&CK, пишут SPL-запросы и знают, как выглядит легитимный SWIFT-трафик в два часа ночи. Вакансии Threat Hunter в крупных банках от 220 тысяч рублей до вычетов - и они висят месяцами, потому что рынок пуст. Пока банки ждут идеального кандидата, атакующие работают с тем, что есть - а у них есть 11 дней dwell time, и они тратят их с пользой. По свежим кампаниям на финансовый сектор на codeby.net разбираем IOC и detection на регулярной основе - если выстраиваете аналогичный процесс, стоит заглянуть.