Автор: Марсель Айсин, руководитель BI.ZONE SOC Consulting
Первая статья цикла посвящена покрытию мониторингом ИТ-инфраструктуры. В обоих случаях, о которых речь пойдет ниже, компании решили строить внутренний SOC: за мониторинг и реагирование на киберинциденты отвечали собственные сотрудники, а к услугам внешнего провайдера прибегали только при проведении расследований.
В первом случае компания исходила из того, что защищать нужно только критически важные активы. Поэтому к мониторингу были подключены лишь отдельные приложения, серверы и рабочие станции, которые имели принципиальное значение для бизнес-процессов. Еще одним аргументом в пользу такого подхода стало желание снизить расходы, связанные с покупкой лицензий на СЗИ, хранением данных и т. д. Причем у критически важных активов оставалось прямое сопряжение с другими ресурсами компании.
В ходе мониторинга на одном из активов благодаря EDR-решению была выявлена попытка удаленного исполнения кода – использовались скрипты из фреймворка Impacket. Как правило, он применяется для горизонтального перемещения в скомпрометированной сети и свидетельствует об активности злоумышленника (или действиях специалиста по анализу защищенности). То есть, SOC обнаружил инцидент, когда атакующие уже достигли критически важного актива, так как его дельта-окрестность (элементы, окружающие актив) не была подключена к мониторингу. Расследование с привлечением внешних экспертов показало, что она была скомпрометирована.
Проблема заключается еще и в том, что при таком подходе аналитики могут неправильно оценить серьезность ситуации и предпринять ошибочные действия: заблокировать учетную запись, изолировать хост и т. д. При этом в отсутствие событий от других источников не получится глубоко проанализировать первопричины инцидента. Каким образом вредоносное ПО вроде Impacket попало на сервер? Почему злоумышленник обладает действительной учетной записью? Ответы на эти и другие вопросы помогли бы правильно нейтрализовать вектор проникновения. Если действовать ошибочно, киберпреступник поймет, что обнаружен, быстро перестроится, выберет другой способ атаки либо, например, зашифрует важные данные для последующего шантажа. Шансы на реагирование без последствий в такой ситуации резко уменьшатся.
Поэтому важно расширять зону мониторинга – включать в нее не только критические активы, но и их дельта-окрестность. Такой подход позволяет:
Другая компания, напротив, подключила к SIEM-системе все возможные источники событий и установила EDR-агенты на все серверы и рабочие станции, на которых это было возможно. Таким образом, центр мониторинга собирал максимальное количество событий.
Однако такой подход привел к пропуску важного инцидента среди огромного потока незначимых событий.
Выяснилось, что источники подключали к мониторингу без анализа целесообразности подключения. Компания также не оценивала, какие именно типы событий важно собирать, какие задачи мониторинга они позволяют решать. Все это привело не только к пропуску инцидента, но и к необоснованному росту расходов на содержание SOC.
Избежать этого можно, если оценивать подключение каждого источника в контексте решаемых задач. То есть нужно понимать, какие правила обнаружения могут быть реализованы по событиям от конкретного источника. Это позволит разделить источники на обязательные для подключения и те, полезность подключения которых под вопросом.
Источники, обязательные для подключения, характеризуются:
А признаками источников с низкой практической ценностью, напротив, являются:
Важно понимать, что оценка уровня покрытия инфраструктуры не должна восприниматься как единоразовая задача. Это непрерывный процесс, который должен включать как минимум регулярные проверки следующих показателей:
Чтобы автоматизировать процесс идентификации объектов, которые не покрыты мониторингом, применяются специализированные решения, такие как IRP или SOAR (например, BI.ZONE SOAR). Подобные платформы собирают сведения обо всех активах и сопоставляют их с реально подключенными к SOC источниками. Полученные данные помогают аналитикам сформировать исчерпывающее представление об инциденте и предпринять точные и эффективные действия для реагирования.
Реклама.: ООО "БИЗон". ИНН 9701036178. Erid: 2SDnjbyi4eJ
Бесплатно проверьте текущее состояние SOC и определите векторы его развития. Это займет примерно 15 минут