Кибербезопасность банков: 6 решений для защиты данных и инфраструктуры

9 часов назад

© Изображение сгенерировано нейросетью

По данным Банка России, во II квартале 2026 года банки предотвратили 17,5 млн попыток хищения средств клиентов на общую сумму почти 1,9 трлн рублей. При этом злоумышленникам удалось совершить 458,7 тыс. мошеннических операций; потери клиентов банков составили менее 7,4 млрд рублей. Эти цифры показывают, что защита дистанционных каналов, платёжных сервисов и цифровых сессий остаётся одной из ключевых задач банковской кибербезопасности. RUБЕЖ подготовил обзор решений для этих задач.

На основе открытых источников и данных компаний

Indeed PAM: контроль привилегированного доступа к критичным системам

Привилегированные учетные записи используются для администрирования АБС, СУБД, серверов, сетевого оборудования и прикладных систем. Их компрометация или ошибочные действия специалиста могут повлиять как на конфиденциальность данных, так и на доступность банковских сервисов.

Indeed PAM позволяет выстроить единые правила доступа к критичным ресурсам. Администраторы, технические специалисты и подрядчики подключаются к целевым системам через PAM, не получая пароли от самих ресурсов. Каждая сессия связывается с конкретным пользователем, в том числе если несколько сотрудников используют одну технологическую учётную запись.

«Indeed PAM позволяет выстроить единые правила доступа к таким ресурсам, сохраняя привычные для специалистов сценарии работы. Администраторы могут подключаться к серверам, базам данных, сетевому оборудованию и специализированным приложениям, не зная паролей от целевых систем», — рассказал Александр Кириллов, руководитель продукта Indeed PAM компании «Индид».

Решение может разворачиваться полностью внутри инфраструктуры банка и работать в закрытых сегментах без подключения к интернету. Поддерживается установка на Linux, включая сертифицированные дистрибутивы; для автоматизации внедрения применяется Ansible. Подключения осуществляются по привычным для специалистов протоколам RDP, SSH или через веб-терминал, однако прямой сетевой доступ к защищаемым системам пользователям не предоставляется.

Для аутентификации можно использовать Indeed AM либо внешние решения по протоколам RADIUS и OIDC. Для чувствительных операций, например доступа подрядчика к АБС или получения расширенных прав на сервере, настраивается дополнительное согласование.

PAM также фиксирует действия в ходе сессий: сохраняет видеозаписи и текстовые журналы RDP-подключений, команды SSH и переданные файлы. Для сервисных учетных записей предусмотрены зашифрованное хранение паролей и SSH-ключей, контроль их актуальности и автоматическая смена. Модуль Application to Application Password Manager позволяет приложениям получать секреты через API без хранения паролей в открытом виде.

Для интеграции с ИТ- и ИБ-контуром используются LDAP, Microsoft Active Directory и FreeIPA. События и текстовые логи сессий могут в реальном времени передаваться в SIEM или систему мониторинга по Syslog в форматах CEF и LEEF.

Штатная схема высокой доступности предусматривает дублирование ключевых компонентов. Встроенный балансировщик распределяет трафик между узлами, а при отказе одного из них виртуальный IP-адрес переходит на резервный. Для базы данных поддерживается работа с кластером PostgreSQL. Записи сессий могут выноситься в удалённые SMB- или S3-хранилища, в том числе одновременно в несколько хранилищ.

«СёрчИнформ КИБ»: предотвращение утечек финансовых и персональных данных

Банки обрабатывают персональные данные, сведения о платежах, реквизиты карт и внутреннюю служебную информацию. Для них важна не только защита от случайной отправки данных, но и выявление попыток целенаправленно обойти политики безопасности.

«СёрчИнформ КИБ» позиционируется как DLP-система для предотвращения утечек. В решении предусмотрены готовые политики для финансового сектора, включая детектирование идентификаторов, платёжных реквизитов и национальных ID граждан разных стран.

«В банковском секторе одни из самых строгих требований к защите информации. Кроме универсальных стандартов — ФЗ-152, ФЗ-187, ФЗ-149, приказов ФСТЭК № 21, 239 — в финсекторе работают отраслевые нормативы — ГОСТы от Банка России», — пояснил Алексей Парфентьев, заместитель генерального директора по инновационной деятельности «СёрчИнформ».

По словам спикера, система может автоматически блокировать попытки передачи критичных данных. Дополнительный ИИ-анализ предназначен для распознавания маскировки информации при передаче — сценария, который актуален не только для случайных ошибок, но и для спланированных действий злоумышленника.

«Поскольку банки часто работают не только с резидентами РФ, система из коробки распознает реквизиты карт и национальные ID граждан разных стран. Любая попытка переслать критичные данные блокируется автоматически», — добавил Парфентьев.

Отдельный сценарий — защита внутренних документов, где контекст определяет конфиденциальность информации. При интеграции с системой файлового аудита пользователи могут маркировать документы прямо в офисных редакторах. DLP считывает метку и блокирует несанкционированную передачу файла по каналам связи.

Такой подход позволяет подключать к классификации данных владельцев бизнес-информации: они определяют, какие документы требуют особого режима обращения, а система применяет политику защиты при попытке передачи.

Solar JSOC: мониторинг и реагирование на инциденты 24/7

Даже при наличии нескольких средств защиты банку необходимо сопоставлять сигналы от ИБ- и ИТ-систем, определять приоритеты и согласованно реагировать на инциденты. Solar JSOC предлагает сервисную модель круглосуточного мониторинга и реагирования.

«Solar JSOC решает задачу круглосуточного обнаружения кибератак и организации реагирования. Его роль — связать сигналы от подключенных средств защиты и информационных систем в понятную картину: какие устройства и учетные записи затронуты, как развивается атака и какие действия необходимы для ограничения ее последствий», — рассказал Дмитрий Иванов, директор по развитию сервисного портфеля Solar JSOC ГК «Солар».

Для сложной инфраструктуры предлагается индивидуальный формат JSOC Expert: состав источников событий, сценарии обнаружения и порядок взаимодействия определяются с учетом конкретного ИТ- и ИБ-контура банка. Для более стандартизированных задач предусмотрен облачный сервис JSOC ONE.

В линейке JSOC ONE есть два тарифа. Start ориентирован на мониторинг конечных устройств с использованием EDR, а Smart дополняет его функциями SIEM для сбора и анализа событий из разных источников.

Solar JSOC может использоваться и в банках с собственным SOC — как дополнительный контур для новых филиалов, дочерних компаний или систем, ещё не включенных в основную модель мониторинга. При этом заказчик и провайдер заранее определяют состав передаваемых событий, порядок оценки критичности и перечень действий, которые внешняя команда может выполнять самостоятельно.

«Главная проблема, которую мы помогаем решать, — разрыв между обнаружением подозрительной активности и согласованными действиями по остановке атаки. У банка может быть много средств защиты, но отдельные уведомления еще не дают целостной картины: что произошло, какие системы затронуты и что нужно делать в первую очередь», — добавил Иванов.

Для расследований используются данные EDR и SIEM. EDR предоставляет детальную информацию об активности на конечных устройствах и серверах, а SIEM собирает и сопоставляет события из подключенных систем. Требования к хранению журналов, доступности материалов расследования и непрерывности мониторинга фиксируются в рамках проекта.

Solar AI Firewall для защиты банковских ИИ-сценариев

Банки внедряют ИИ для анализа документов, автоматизации внутренних процессов и поддержки сотрудников. Вместе с этим появляются риски утечки конфиденциальной информации через запросы и контекст, а также риск prompt injection — внедрения скрытых инструкций в документы или другие данные, с которыми работает модель.

Solar AI Firewall предназначен для контроля взаимодействия с внутренними и внешними ИИ-моделями. Решение проверяет запросы, контекст и ответы, может выявлять персональные данные, реквизиты и секреты, а также обнаруживать попытки обхода ограничений и внедрения вредоносных инструкций.

«Недостаточно проверять только запрос сотрудника — необходимо анализировать и документы, контекст и другие данные, на основе которых модель формирует ответ или действует», — объяснил Евгений Федоров, технический директор Центра технологий кибербезопасности ГК «Солар».

В зависимости от настроенных правил шлюз может маскировать конфиденциальную информацию, блокировать опасные запросы и ответы либо приостанавливать обработку для дополнительной проверки. Также можно устанавливать лимиты на запросы, токены и нагрузку. Решение поддерживает OpenAI-совместимый API, может передавать события безопасности в SIEM/SOAR и взаимодействовать с SWG и DLP.

При этом сам по себе ИИ-шлюз не определяет допустимость передачи банковской тайны внешнему провайдеру модели.

«Размещение Solar AI Firewall внутри инфраструктуры банка само по себе не делает внешнюю ИИ-модель внутренней и не означает, что передача ей банковской тайны разрешена», — добавил Федоров.

Поэтому банку необходимо отдельно определить, какие данные допустимо передавать конкретной модели или её провайдеру, а также ограничить полномочия ИИ-агентов в подключенных системах по принципу минимально необходимых прав.

F6 Fraud Protection: защита цифровых банковских каналов и финансовых операций

Дистанционное банковское обслуживание, мобильное приложение, платежные операции и API требуют защиты не только от несанкционированного доступа, но и от мошеннических действий, которые совершаются в рамках внешне легитимной клиентской сессии. Платформа F6 Fraud Protection предназначена для выявления, предупреждения и устранения мошенничества в цифровых каналах в режиме реального времени.

Платформа также заявлена для противодействия несанкционированному доступу, множественным регистрациям под разными учётными записями, действиям от имени пользователя, атакам с использованием вредоносного ПО и бот-активности.

В линейку входят несколько решений, которые могут использоваться отдельно или совместно:

Session Fraud Protection — поведенческий анализ и защита цифровых сессий от аномалий;

Transaction Fraud Protection — защита транзакций и критичных операций от мошенничества;

Preventive Proxy — защита мобильного API от атак, нелегитимного использования API, применения украденных данных, прикладных DDoS-атак, кражи cookie, скрейпинга и брутфорса;

Call ID — выявление входящих мошеннических звонков, начавшихся до открытия пользователем защищаемого мобильного приложения;

Global ID — обмен сведениями о зафиксированных случаях аномальной активности между защищаемыми приложениями.

По данным разработчика, платформа использует машинное обучение, поведенческий анализ, Big Data и специализированные алгоритмы для выявления аномалий и предупреждения мошенничества. Решения F6 интегрируются с действующими системами заказчика через API.

Для финансовых организаций существенна возможность выбора модели поставки. F6 указывает, что Session Fraud Protection и Preventive Proxy могут предоставляться как интернет-сервис со встраиваемой клиентской частью либо как программное обеспечение для установки на оборудовании заказчика. Transaction Fraud Protection поставляется как программное обеспечение для установки на стороне заказчика.

Таким образом, F6 Fraud Protection закрывает антифрод-контур цифровых каналов: от анализа клиентской сессии и выявления аномалий до контроля критичных операций и защиты API. Конкретные правила реакции на риск-события, состав интеграций и порядок обработки подозрительных операций определяются в проекте внедрения.

MaxPatrol EDR: выявление и остановка сложных атак на конечных точках

Рабочие места сотрудников, серверы и другие конечные устройства остаются одним из ключевых источников данных для расследования инцидентов. На них могут проявляться признаки первоначального проникновения, запуска вредоносного кода, закрепления злоумышленника в инфраструктуре и дальнейшего развития атаки.

MaxPatrol EDR — решение для защиты устройств организации от сложных и целевых атак. Система предназначена для оперативного выявления и остановки цепочек целевых атак, автоматизации рутинных операций на устройствах и сбора телеметрии для последующего расследования инцидентов.

В банковском контуре MaxPatrol EDR может использоваться для контроля событий на рабочих станциях и серверах, где требуется детализированная информация об активности на устройстве. Собранная телеметрия может быть востребована при разборе инцидента: она помогает восстановить последовательность действий, установить затронутые устройства и передать данные команде реагирования.

В обзорной архитектуре банковской кибербезопасности MaxPatrol EDR дополняет сервис SOC, а не заменяет его. EDR отвечает за сбор и анализ данных непосредственно на конечных устройствах и реагирование на них; SOC объединяет сигналы из разных источников, оценивает развитие инцидента и организует дальнейшие действия по согласованному регламенту.

Как выстроить комплексную кибербезопасность банка

Защита банковской инфраструктуры требует сочетания нескольких взаимосвязанных контуров: управления привилегированным доступом, предотвращения утечек, мониторинга событий, защиты цифровых каналов и контроля активности на конечных точках. Рассмотренные решения закрывают разные этапы работы с рисками — от доступа администратора к АБС и передачи чувствительных данных до выявления мошеннической операции или расследования целевой атаки. При внедрении важно заранее определить критичные системы и данные, состав источников событий, правила реакции на инциденты, полномочия внешних команд и требования к хранению журналов. Такой подход позволяет собрать не набор разрозненных средств защиты, а связанную модель контроля ключевых банковских процессов.

Подробнее о том, как меняются подходы банков к защите инфраструктуры на фоне развития ИИ и усложнения сценариев атак, читайте в материале RUБЕЖ: «Специалисты Т-Банка зафиксировали несколько атак с использованием искусственного интеллекта в ходе кибериспытаний».