Cyber Security: Источник Linux
Описание источника
Источником служит подсистема аудита ядра Linux (auditd). Правила выявляют подозрительный запуск процессов, повышение привилегий, закрепление через cron, systemd, PAM, ключи SSH и модули ядра, сокрытие следов, разведку и доступ к учетным данным.
Правила анализируют системные вызовы и изменения файлов, которые контролирует подсистема аудита. Это запуск процессов, смена идентификаторов пользователя, сетевые операции и изменения конфигурации аутентификации, планировщика, служб и журналирования.
Требования к сбору
- правила аудита из конфигурации Auditbeat модуля, см. Настройка источников на инфраструктуре
- конфигурация сбора
auditd, см. Подключение и настройка сбора данных
Покрытие MITRE ATT&CK
Правила источника охватывают следующие тактики.
- разведка
- подготовка ресурсов
- первоначальный доступ
- выполнение
- закрепление
- повышение привилегий
- скрытность
- ослабление защиты
- получение учетных данных
- изучение
- перемещение внутри периметра
- сбор данных
- командование и управление
- эксфильтрация
- деструктивное воздействие
Справочники
Правила источника обогащают инциденты контекстом из справочников инфраструктуры и учетных записей, а по справочникам исключений отсекают штатную активность. Требования к наполнению описаны в разделе Справочники.
Перечень правил источника с тактиками и техниками MITRE ATT&CK, идентификаторами и используемыми справочниками приведен в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.