Bancă comercială sau fintech
Conturile cu drepturi mari sunt ținta principală. Urmărim accesul administrativ, exporturile mari de date și conexiunile ieșite din segmentul de plăți, cu alertă separată pentru fiecare abatere.
Detectare amenințări cu AI și UEBA în Moldova
Servicii CyberSecurity · Moldova
Linii de bază UEBA pe conturi și servere
Detectarea amenințărilor cu AI pornește de la o idee simplă: în loc să cauți doar semnături cunoscute, înveți cum arată normalul pentru fiecare cont, server și flux de rețea, apoi urmărești abaterile. Pentru echipele din Moldova care găzduiesc la noi construim liniile de bază, regulile de detecție și capcanele care semnalează un intrus înainte să ajungă la date.
- Anomalii pe loguri și pe trafic de rețea
- Honeytokens care dau alarma la primul acces
- cPanel 1 h de la Advanced, VPS 1–8 h, dedicate 5–10 h (în funcție de plan), GPU 10 hOre incluse
- UE: FrankfurtRezidența datelor
- latență redusă din Frankfurt, plus CDNLatență din Moldova
- bilingv română și rusăSuport
Comportament în loc de semnături
Un atacator care intră cu credențiale furate nu declanșează niciun antivirus: face exact ce face un utilizator legitim, doar altfel. De aceea urmărim tipare: la ce oră lucrează un cont, din ce rețele, ce comenzi rulează, câte date citește, spre ce destinații deschide conexiuni. Când abaterea depășește pragul, alerta vine cu contextul comparativ, nu doar cu un mesaj de eroare. Pe servere adăugăm detecție pe procese și fișiere, iar pe rețea analiză de flux pentru mișcarea laterală.
AI de ambele părți ale atacului
Ofensiva s-a schimbat concret: campanii de phishing scrise corect în română și rusă, voci clonate pentru apeluri de suport, agenți care caută singuri configurări greșite și chei lăsate în depozite publice de cod. Semnătura statică nu prinde nimic din asta. Apărarea folosește aceleași unelte invers: scor de risc pe context, gruparea evenimentelor într-un caz, corelare între surse și triaj automat care lasă în față doar ce merită investigat. Rezultatul măsurabil nu e mai multe alerte, ci mai puține, dar corecte.
Detection engineering: reguli Sigma și capcane
Detecțiile bune se scriu, nu se cumpără. Ținem un set de reguli Sigma versionate, adaptate la ce rulezi efectiv: baze de date, cozi, panouri de administrare, integrări cu parteneri. Le testăm pe date reale înainte să le pornim, ca să nu adăugăm zgomot. Peste ele punem honeytokens: un cont fals cu nume atrăgător, o cheie care nu deschide nimic, un fișier care raportează la prima citire.
- Reguli Sigma versionate, testate pe date reale
- Honeytokens pe conturi, chei și fișiere
- Analiză de flux pentru mișcarea laterală
- Fluxuri de threat intel pentru indicatori actuali
Ce înseamnă pentru o echipă din Moldova
Un furnizor de outsourcing din Chișinău sau o fintech care se pregătește pentru audit nu are nevoie de o platformă enterprise, are nevoie de câteva detecții care funcționează și de cineva care le ține în viață. Asta facem din orele lunare de CyberSecurity incluse în abonament: reguli noi, calibrare, verificarea capcanelor, revizuire după fiecare schimbare de arhitectură. Datele rămân în Frankfurt, iar discuția tehnică se poartă în română sau rusă, fără traducere prin engleză.
Orele de DevOps, CyberSecurity și Programare sunt incluse în abonament, lună de lună: 1 h de la planul cPanel Advanced în sus, 1–8 h pe VPS și 5–10 h pe serverele dedicate, în funcție de plan, și 10 h pe GPU. Le ceri din panoul de client și propui termenul; cota expiră la sfârșitul lunii calendaristice, iar lucrul de peste cotă se acceptă și se facturează separat, în euro, cu TVA 20 % și factură SFS. Cu abonamentele care includ minimum 2 ore lunare îți construim un site de prezentare, iar cu cele care includ minimum 5 ore, un magazin online — din orele deja plătite în abonament.
Cazuri de utilizare
Companie de outsourcing cu acces la mediile clienților
Riscul principal e un cont de dezvoltator compromis. Liniile de bază pe oră, rețea și volum de date prind repede o sesiune care nu se comportă ca de obicei.
Operator agricol sau de transport cu senzori
Dispozitivele din câmp și din camioane trimit date constant. Anomaliile de flux arată când un dispozitiv a fost înlocuit, clonat sau folosit ca punct de intrare în rețea.
Cum lucrăm
Ce e normal la tine
Colectăm două sau trei săptămâni de activitate ca să avem o linie de bază reală pe conturi, servere și fluxuri, nu un profil generic din documentație.
Detecții și capcane
Pornim regulile Sigma potrivite pe stiva ta, plantăm honeytokens în locurile unde ar căuta un atacator și legăm totul la canalul tău de notificare.
Calibrare pe scenarii
Simulăm câteva comportamente de atac obișnuite, verificăm ce se declanșează și ce trece nedetectat, apoi ajustăm pragurile până rezultatul e stabil.
Predare și întreținere
Primești catalogul de detecții, harta capcanelor și procedura pe fiecare alertă. Mai departe adăugăm reguli lunar, din orele incluse în abonament.
Tehnologii
- Wazuh
- Suricata
- Zeek
- Sigma
- Velociraptor
- OpenSearch
- Grafana
- canarytokens
Întrebări frecvente
Ce este UEBA?
Analiza comportamentului utilizatorilor și entităților. Sistemul învață ce e obișnuit pentru fiecare cont și server, adică program, locație, volum de date și comenzi, apoi scorează abaterile. Utilă exact în cazurile în care atacatorul are credențiale valide și nu declanșează nicio semnătură de malware.
Ce diferență e între EDR și XDR?
EDR se uită la ce se întâmplă pe stație sau pe server: procese, fișiere, conexiuni. XDR adună mai multe surse, de la endpoint și rețea până la identitate și e-mail, și corelează între ele. Pe infrastructura găzduită la noi pornim de la agent pe server plus analiză de rețea și corelare în SIEM.
Ce este NDR?
Detecția bazată pe trafic de rețea. Se uită la fluxuri, protocoale și destinații, fără să depindă de un agent instalat, deci vede și dispozitive pe care nu poți instala nimic. Prinde bine mișcarea laterală și exfiltrarea, chiar când traficul este criptat, pe baza tiparelor.
Cum ajută inteligența artificială la prevenirea atacurilor?
Nu prin magie, prin volum. Modelele grupează evenimente, învață linii de bază și ordonează alertele pe risc, ceea ce scurtează timpul până la o decizie. Prevenția reală rămâne aceeași: acces minim, patch-uri rapide, segmentare, backup. AI schimbă cât de repede vezi ce se întâmplă.
Ce sunt honeytokens?
Momeli: un cont care nu are niciun rost, o cheie de API care nu funcționează, un fișier cu nume tentant. Nimeni din echipă nu are motiv să le atingă, deci orice acces este un semnal aproape sigur, nu o alertă de calibrat. Sunt ieftine și se pun repede.
Cum reduc alertele care nu înseamnă nimic?
Prin context și prin proprietar. Fiecare regulă are un caz de folosire scris și un răspuns așteptat; ce nu duce la nicio acțiune se oprește. Peste asta, gruparea automată și scorul de risc adună evenimentele repetate într-un singur caz, în loc de zeci de mesaje.
Pune detecția pe comportament
Cere o evaluare din panoul de client. Stabilim liniile de bază, pornim primele detecții și capcanele, apoi ajustăm lunar din orele incluse.