КІБЕРЗАХИСТ МІСЬКИХ ЦИФРОВИХ СИСТЕМ: МАСШТАБУВАННЯ КОРЕЛЯЦІЇ ПОДІЙ У SIEM ДЛЯ ЗМЕНШЕННЯ ІНЦИДЕНТІВ В УМОВАХ ВОЄННОГО ЧАСУ

Анотація

Сучасні мегаполіси дедалі більше залежать від стійкості цифрових платформ та конвергентних мереж, які забезпечують життєдіяльність міста. В умовах повномасштабної війни, коли кібератаки синхронізуються з фізичним руйнуванням інфраструктури, забезпечення безперервності надання муніципальних послуг вимагає переходу від фрагментарного моніторингу до централізованого, інтелектуального управління інцидентами. У статті систематизовано практичний досвід побудови та експлуатації міського центру кіберзахисту (SOC) на базі Спеціалізованого комунального підприємства «Київтелесервіс» у період 2021–2024 років. Об’єктом дослідження є процеси захисту корпоративної мультисервісної мережі (КММ) міста Києва, яка об’єднує понад 1800 муніципальних установ, 1500 км волоконно-оптичних ліній зв’язку, систему міського відеоспостереження «Безпечне місто» (понад 8000 камер) та мережу датчиків інтернету речей (LoRaWAN). Автором детально проаналізовано операційні виклики, що виникли внаслідок різкого зростання кількості кіберінцидентів та зміни ландшафту загроз: від масованих DDoS-атак на сервіси «Київ Цифровий» до спроб експлуатації вразливостей у телекомунікаційному обладнанні під час блекаутів. Основну увагу в роботі приділено розробці та впровадженню методики масштабування правил кореляції в SIEM-системі. Запропоновано перехід від використання стандартних сигнатур до поведінкового аналізу, структурованого відповідно до функцій рамкової моделі NIST Cybersecurity Framework 2.0 (Identify – Protect – Detect – Respond – Recover). Описано механізм «контекстного збагачення» подій безпеки (Contextual Enrichment), який передбачає автоматичне додавання до сирих логів метаданих про критичність активу, його фізичне розташування та відповідального адміністратора. Це дозволило вирішити проблему «втоми від сповіщень» (alert fatigue), відсіявши до 90% помилкових спрацювань, спричинених легітимною активністю віддалених користувачів через VPN-шлюзи. Результати дослідження підтверджено кількісними показниками ефективності роботи SOC: середній час реагування (MTTR) на інциденти високої критичності вдалося скоротити на 30% (з 45 до 30 хвилин), а доступність ключових адміністративних послуг для громадян було збережено на рівні 99,9% навіть у періоди пікових навантажень. У висновках сформульовано практичні рекомендації для керівників цифрової трансформації міст щодо пріоритезації засобів моніторингу та побудови відмовостійкої архітектури кіберзахисту в умовах обмежених кадрових та фінансових ресурсів. Стаття може бути корисною для фахівців із кібербезпеки критичної інфраструктури, системних архітекторів та посадових осіб органів місцевого самоврядування.