В SIEM Alertix 3.10 расширили набор правил обнаружения угроз и сценариев автоматизированного реагирования. Обновление охватывает Windows и Linux, системы управления привилегированным доступом, PostgreSQL и сетевые источники. Для команд ИБ это возможность усилить мониторинг и сократить объём самостоятельной разработки сценариев.
По оценке NGR Softlab, текущий совокупный набор правил Alertix обеспечивает покрытие более 65% матрицы MITRE ATT&CK версии 19. Привязка к матрице помогает соотнести возможности мониторинга с известными способами действий злоумышленников и определить направления дальнейшего развития защиты.
Windows и Linux: от разведки до нарушения работы систем
Около 120 новых правил предназначены для Windows- и Linux-инфраструктуры. Они охватывают компрометацию аутентификации и учётных данных, удалённое выполнение команд, закрепление, повышение привилегий, туннелирование и обход защитных механизмов.
Особое внимание уделено злоупотреблению штатными средствами ОС. Среди примеров — разведка системных служб, массовое копирование данных с сетевых ресурсов, изменение групповых политик, выгрузка файлов в облачные хранилища и массовое включение BitLocker из командной строки.
В MITRE ATT&CK эти сценарии связаны с разведкой, сбором и выводом данных, изменением политик и воздействием на доступность информации. Для аналитика такие признаки становятся отправной точкой для проверки: соответствует ли действие полномочиям пользователя и обычным процессам организации.
Особое внимание уделено злоупотреблению штатными средствами ОС. Среди примеров — разведка системных служб, массовое копирование данных с сетевых ресурсов, изменение групповых политик, выгрузка файлов в облачные хранилища и массовое включение BitLocker из командной строки.
В MITRE ATT&CK эти сценарии связаны с разведкой, сбором и выводом данных, изменением политик и воздействием на доступность информации. Для аналитика такие признаки становятся отправной точкой для проверки: соответствует ли действие полномочиям пользователя и обычным процессам организации.
Более 70 сценариев для контроля привилегированного доступа
Банк контента пополнился более чем 70 сценариями обнаружения по журналам PAM. Они охватывают подозрительную аутентификацию и сессии, операции с паролями, секретами и SSH-ключами, изменения пользователей, устройств, политик и прав доступа.
Также добавлены сценарии выявления подозрительных административных действий и передачи чувствительных данных. Это расширяет контроль операций с высокими полномочиями, злоупотребление которыми может затронуть критичные системы.
Также добавлены сценарии выявления подозрительных административных действий и передачи чувствительных данных. Это расширяет контроль операций с высокими полномочиями, злоупотребление которыми может затронуть критичные системы.
Новые сценарии для баз данных и сетевых источников
Для PostgreSQL добавлены пять сценариев, связанных с признаками компрометации аутентификации, созданием и удалением ролей, изменением паролей и привилегий.
Ещё 11 сценариев пополнили контент для Squid и Cisco IOS. Они направлены на выявление разведки, туннелирования, использования Tor, обращений к подозрительным доменам и нетипичной веб-активности — признаков возможного обхода политик, скрытых каналов связи и попыток нарушения доступности сервисов.
Ещё 11 сценариев пополнили контент для Squid и Cisco IOS. Они направлены на выявление разведки, туннелирования, использования Tor, обращений к подозрительным доменам и нетипичной веб-активности — признаков возможного обхода политик, скрытых каналов связи и попыток нарушения доступности сервисов.
Автоматизация реагирования по условиям правил
В Alertix условия применения сценариев настраиваются непосредственно в правилах. Платформа помогает аналитику быстрее перейти к действиям: в карточке расследования под рукой оказываются нужные скрипты, подобранные под контекст сработавшего правила. Это сокращает число ручных операций и время обработки инцидента — при этом ключевые решения остаются за командой.
Новые сценарии с использованием HAProxy и MikroTik позволяют, например, реализовать сетевую изоляцию с помощью автоматически наполняемых списков Alertix.
Новые сценарии с использованием HAProxy и MikroTik позволяют, например, реализовать сетевую изоляцию с помощью автоматически наполняемых списков Alertix.
Обновлённый контент даёт команде готовую основу для обнаружения угроз и автоматизации ответных мер. Правила и условия реагирования можно адаптировать под критичность систем, внутренние политики и процессы организации.
Автор: Афанасий Клюнков, менеджер продукта Alertix SIEM
