От обнаружения угроз к автоматизации реагирования: что нового в контенте Alertix 3.10

По оценке NGR Softlab, текущий совокупный набор правил Alertix обеспечивает покрытие более 65% матрицы MITRE ATT&CK версии 19. Привязка к матрице помогает соотнести возможности мониторинга с известными способами действий злоумышленников и определить направления дальнейшего развития защиты.

Около 120 новых правил предназначены для Windows- и Linux-инфраструктуры. Они охватывают компрометацию аутентификации и учётных данных, удалённое выполнение команд, закрепление, повышение привилегий, туннелирование и обход защитных механизмов.

Особое внимание уделено злоупотреблению штатными средствами ОС. Среди примеров — разведка системных служб, массовое копирование данных с сетевых ресурсов, изменение групповых политик, выгрузка файлов в облачные хранилища и массовое включение BitLocker из командной строки.

В MITRE ATT&CK эти сценарии связаны с разведкой, сбором и выводом данных, изменением политик и воздействием на доступность информации. Для аналитика такие признаки становятся отправной точкой для проверки: соответствует ли действие полномочиям пользователя и обычным процессам организации.

Банк контента пополнился более чем 70 сценариями обнаружения по журналам PAM. Они охватывают подозрительную аутентификацию и сессии, операции с паролями, секретами и SSH-ключами, изменения пользователей, устройств, политик и прав доступа.

Также добавлены сценарии выявления подозрительных административных действий и передачи чувствительных данных. Это расширяет контроль операций с высокими полномочиями, злоупотребление которыми может затронуть критичные системы.

Для PostgreSQL добавлены пять сценариев, связанных с признаками компрометации аутентификации, созданием и удалением ролей, изменением паролей и привилегий.

Ещё 11 сценариев пополнили контент для Squid и Cisco IOS. Они направлены на выявление разведки, туннелирования, использования Tor, обращений к подозрительным доменам и нетипичной веб-активности — признаков возможного обхода политик, скрытых каналов связи и попыток нарушения доступности сервисов.

В Alertix условия применения сценариев настраиваются непосредственно в правилах. Платформа помогает аналитику быстрее перейти к действиям: в карточке расследования под рукой оказываются нужные скрипты, подобранные под контекст сработавшего правила. Это сокращает число ручных операций и время обработки инцидента — при этом ключевые решения остаются за командой.

Новые сценарии с использованием HAProxy и MikroTik позволяют, например, реализовать сетевую изоляцию с помощью автоматически наполняемых списков Alertix.