Cyber Security: Источник Windows

Описание источника

Источник объединяет журналы событий рабочих станций и серверов Windows. Правила выявляют подозрительный запуск и поведение процессов, изменения реестра и служб, вредоносные сценарии PowerShell, сетевую активность хостов, действия с учетными записями, известные вредоносные поведенческие паттерны и эксплуатацию уязвимостей.

Источник охватывает рабочие станции и серверы, включая DNS-серверы Windows. Правила анализируют события журнала безопасности, Sysmon, PowerShell, системных журналов и Windows Defender. Запуск процесса правила сопоставляют с командной строкой и родительским процессом, а также учитывают сетевую активность и изменения реестра, служб и конфигурации хоста.

Требования к сбору

• политика аудита Windows с командной строкой в событии 4688, см. Настройка источников на инфраструктуре
• журналирование PowerShell (события 4103 и 4104)
• Sysmon, настроенный по требованиям модуля, см. Настройка источников на инфраструктуре
• конфигурации сбора Security, Sysmon, PowerShell, Windows Events и DNS Server, см. Подключение и настройка сбора данных

Покрытие MITRE ATT&CK

Правила источника охватывают следующие тактики.

• разведка
• первоначальный доступ
• выполнение
• закрепление
• повышение привилегий
• скрытность
• ослабление защиты
• получение учетных данных
• изучение
• перемещение внутри периметра
• сбор данных
• командование и управление
• эксфильтрация
• деструктивное воздействие

Справочники

Правила источника обогащают инциденты контекстом из справочников инфраструктуры и учетных записей, а по справочникам исключений отсекают штатную активность. Требования к наполнению описаны в разделе Справочники.

Документы в поставке модуля

Перечень правил источника с тактиками и техниками MITRE ATT&CK, идентификаторами и используемыми справочниками приведен в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.