Cyber Security: Справочники
Оглавление
- Общее описание
- Общие требования к данным
- Наполнение справочников
- Состав справочников
- Автоматически наполняемые справочники
- Актуализация справочников
Общее описание
Справочники хранят сведения об инфраструктуре, которых нет в событиях. Они дают правилам контекст: помогают определить критичные хосты и контроллеры домена, привилегированные учетные записи, внутренние сети и санкционированные сканеры.
Справочники поставляются пустыми, а почти все правила модуля используют хотя бы один справочник. Пока справочники не наполнены, правила работают некорректно.
- правила, которые сравнивают событие со справочником (контроллеры домена, привилегированные группы, VIP-пользователи), не срабатывают или срабатывают на штатную активность
- правила с исключениями (сканеры, служебные учетные записи) дают систематические ложные срабатывания
- инциденты не получают контекст о критичности и роли хоста и о сегменте сети
Наполните справочники до включения правил, см. Порядок включения правил.
Работа со справочниками в интерфейсе описана в разделе Lookup Manager.
Общие требования к данным
- имя хоста (
host) указывается коротким, без домена и в нижнем регистре, напримерdc01, а неDC01.corp.local - имя учетной записи (
user) указывается в нижнем регистре и без домена, напримерivanov, а неCORP\Ivanov - IP-адреса сравниваются по точному значению, а не по вхождению в подсеть, поэтому запись
192.168.0.0/16не совпадет с адресом192.168.1.10. В справочники, по которым правила ищут адрес хоста, вносите конкретные адреса
Наполнение справочников
Справочник можно наполнить тремя способами.
- вручную в разделе
Навигационное меню-Lookup Manager-Список справочников: выберите справочник модуля и откройте его
- загрузкой файла CSV
- из внешних систем задачей по расписанию
Состав справочников
| Группа | Что содержит |
|---|---|
| инфраструктура | критичные хосты, контроллеры домена, внутренние сети и сегменты, хосты с Sysmon |
| учетные записи и группы | критичные и служебные учетные записи, привилегированные группы, владельцы рабочих станций, сведения из Active Directory |
| исключения | санкционированные сканеры и системы мониторинга, легитимные источники и процессы |
| индикаторы угроз | адреса и домены из фидов угроз, имена каналов инструментов удаленного управления |
| почта | внутренние почтовые домены, VIP-пользователи и исключения массовой рассылки |
| базовые линии | наполняются служебными правилами автоматически |
Автоматически наполняемые справочники
Часть справочников наполняют по расписанию служебные правила модуля. В них хранятся давность наблюдения хостов, процессы и привилегированные входы на хостах, типичное время и источники входа пользователей. Вручную такие справочники не заполняются. Служебные правила должны быть включены, см. Порядок включения правил.
Актуализация справочников
Обновляйте справочники одновременно с изменениями инфраструктуры, не откладывая.
| Изменение в инфраструктуре | Что обновлять |
|---|---|
| ввод и вывод хостов, смена роли хоста | справочники инфраструктуры |
| изменение сетевой сегментации | справочники сетей и сегментов |
| изменение состава административных групп | справочники учетных записей и групп |
| новые служебные учетные записи | справочники служебных учетных записей и исключений |
| новые сканеры, системы мониторинга, интеграции | справочники исключений |
| новые индикаторы угроз | справочники индикаторов угроз |
Устаревший список критичных хостов или контроллеров домена не мешает правилам срабатывать, но занижает критичность инцидентов и лишает их контекста. Устаревший список исключений приводит к систематическим ложным срабатываниям.
Перечень справочников с назначением, составом полей и форматом данных, а также список зависящих от них правил приведены в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.