Cyber Security: Источники и правила
Правила корреляции модуля разделены по шести источникам. Для каждого источника описаны назначение, требования к сбору, покрытие тактик MITRE ATT&CK и роль справочников.
| Источник | Что анализируется |
|---|---|
| Windows | журналы рабочих станций и серверов Windows (журнал безопасности, Sysmon, PowerShell, системные журналы, Windows Defender, DNS-серверы) |
| Active Directory | журналы контроллеров домена (аутентификация Kerberos и NTLM, изменения каталога, службы сертификации) |
| Linux | подсистема аудита ядра Linux (auditd) |
| Microsoft IIS | журналы веб-сервера Microsoft IIS |
| nginx | журналы доступа веб-сервера nginx |
| Kubernetes | журналы аудита kube-apiserver |
Документы в поставке модуля
Перечень правил по каждому источнику с тактиками и техниками MITRE ATT&CK приведен в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.