Cyber Security: Адаптация под инфраструктуру
Оглавление
Общее описание
Часть правил содержит значения, рассчитанные на типичную инфраструктуру.
- пороги — минимальное число событий, хостов, учетных записей или портов за окно анализа
- исключения в условии правила — штатные процессы, учетные записи и хосты, которые зависят от инфраструктуры организации
- справочники исключений — санкционированные сканеры, служебные учетные записи и доверенные адреса
Проверяйте эти значения на данных своей инфраструктуры перед включением правила и пересматривайте их при изменениях в инфраструктуре.
Порядок разбора
Много ложных срабатываний
- Проверьте справочники, на которые опирается правило. Они должны быть заполнены, а значения должны быть в нужном формате (регистр, короткое имя хоста, точный адрес), см. Справочники
- Определите причину срабатываний. Если это легитимный процесс с высокой активностью (опрос службы, сканер, система мониторинга), добавьте его в справочник исключений или в исключения условия правила. Рекомендации по исключениям для отдельных правил приведены в документе «Порядок включения и адаптации правил»
- Если срабатывания вызваны общим уровнем активности, повысьте порог по разделу Пороговые правила
Исключайте источник срабатываний максимально узко, парой «процесс и каталог», «учетная запись и хост» или «субъект и namespace». Широкое исключение по имени процесса или по namespace целиком скрывает и атаку, которая использует тот же процесс или ту же учетную запись.
Правило не срабатывает
- Проверьте, что данные источника поступают и содержат поля, которые использует правило, см. Подключение и настройка сбора данных
- Проверьте, что на источнике включены нужные события, см. Настройка источников на инфраструктуре
- Выполните запрос правила в поиске без порогового условия и сравните фактические значения с порогом, см. Проверка правила в поиске
- Если порог не достигается при реальной атаке или на тестовом сценарии, понизьте его
Проверка правила в поиске
- Откройте правило в разделе
Навигационное меню-Планировщик задач-Список задачи нажмитеОткрыть в поиске - Скопируйте запрос правила в раздел
Навигационное меню-Поиск - Удалите стадию
whereс порогом, которая следует за агрегацией (aggs) - Задайте период больше окна правила, например 7 суток, чтобы увидеть типичные значения
- Оцените распределение агрегированного значения по времени
- Установите порог выше штатного максимума с запасом. Если значения атаки и штатной активности пересекаются, вместо повышения порога добавьте исключение
Изменение правила
- порог и исключения меняются в запросе правила в разделе
Навигационное меню-Планировщик задач-Список задач - после изменения проверьте запрос в поиске на окне правила
Пороговые правила
Повышайте порог, если штатная активность регулярно его превышает. Понижайте, если порог не достигается при проверке на тестовом сценарии.
| Тип правила | Когда повышать порог | Когда понижать порог |
|---|---|---|
| перебор и распыление паролей | сервисы с массовыми повторными попытками входа (устаревшие пароли в службах, мобильные клиенты почты) | политика блокировки учетных записей срабатывает раньше порога |
| сканирование портов и хостов | системы инвентаризации, мониторинга, резервного копирования (лучше исключать по адресу) | небольшая сеть, в которой атакующему достаточно нескольких хостов |
| вход на множество хостов | администраторы, системы управления конфигурацией, jump-серверы (лучше исключать по учетной записи) | небольшая инфраструктура, в которой атакующему достаточно нескольких хостов |
| массовые запросы к веб-серверу | мониторинг доступности, поисковые роботы, нагрузочное тестирование (лучше исключать по адресам в справочнике сканеров) | сайты с небольшой посещаемостью |
| DNS | серверы с большим числом разных DNS-имен (прокси, почтовые серверы) | в зависимости от особенностей инфраструктуры |
Пороги по умолчанию для каждого правила, рекомендации по исключениям для отдельных правил с примерами и перечень правил, зависящих от справочников, приведены в документе «Порядок включения и адаптации правил». Документ поставляется вместе с модулем.