Перейти к основному содержимому
Версия: 6.2

Cyber Security: Источник nginx

Описание источника​

Источником служат журналы доступа веб-сервера nginx. Правила источника выявляют сканирование и перебор, внедрение команд и шаблонных выражений, обход каталогов, SSRF и RFI, обращения известных инструментов атак, а также цепочки от разведки к успешному доступу.

Правила анализируют адрес клиента, метод, URI, код ответа и User-Agent запросов. Часть правил сопоставляет веб-запросы с запуском процессов на хосте веб-сервера и так выявляет эксплуатацию уязвимостей и веб-шеллы.

Требования к сбору​

Покрытие MITRE ATT&CK​

Правила источника охватывают следующие тактики.

  • разведка
  • первоначальный доступ
  • выполнение
  • закрепление
  • получение учетных данных
  • изучение
  • перемещение внутри периметра
  • командование и управление

Справочники​

Правила источника обогащают инциденты контекстом из справочников инфраструктуры и учетных записей, а по справочникам исключений отсекают штатную активность. Требования к наполнению описаны в разделе Справочники.

Документы в поставке модуля

Перечень правил источника с тактиками и техниками MITRE ATT&CK, идентификаторами и используемыми справочниками приведен в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.