Перейти к основному содержимому
Версия: 6.1

Редактор слоев

Описание​

Редактор слоев предназначен для создания и редактирования слоев. Слой является абстракцией, представляющей собой набор матриц приоритетов, срабатываний и покрытия. Слой помогает отнести данные сущности к конкретной области мониторинга, информационной системе или даже конкретному узлу. Разделение слоев помогает более детально рассматривать случаи угроз в зависимости от того, в какой области или информационной системе они возникли.

Интерфейс редактора слоев

Принцип работы слоя​

Схема ниже показывает, как техника атаки попадает в слой и как слой связан с зоной инфраструктуры:

Схема работы слоя

Действие MITRE ATT&CK — отправная точка процесса. Когда в Smart Monitor срабатывает корреляционное правило и появляется алерт, в настройках правила может быть указано действие MITRE ATT&CK, в котором задаются техника и слой, к которым относится это событие. Техника фиксируется в слое только через это действие при срабатывании алерта. Подробнее в разделе Настройка связи слоя и техники атаки.

Слой — ключевая абстракция модуля. Это не одна таблица, а контейнер, внутри которого лежат три матрицы, и каждая отвечает на свой вопрос:

  • Матрица приоритетов — насколько важна каждая техника именно для этого слоя. Приоритет расставляется вручную: например, для периметра брутфорс может иметь высокий приоритет, а для внутреннего сегмента — низкий
  • Матрица срабатываний — что реально детектируется. Сюда попадают техники из алертов через действие MITRE ATT&CK / Risk Action. Это актуальная картина того, какие атаки система фиксирует в данный момент
  • Матрица покрытия — какие техники закрыты корреляционными правилами. Позволяет выявить пробелы в защите: если техника имеет высокий приоритет, но не покрыта ни одним правилом, это указывает на недостаточную защиту от данной техники

Область мониторинга — каждый слой привязан к конкретному участку инфраструктуры: информационной системе, сегменту сети или отдельному узлу. Поэтому слоев может быть много — отдельный для домена AD, отдельный для веб-периметра, отдельный для АСУ ТП. Одна и та же техника в разных слоях может иметь различный приоритет и покрытие, поскольку угрозы для различных зон инфраструктуры отличаются.

Во всех трех матрицах слой выбирается в качестве фильтра в панели управления (параметр Слой), поэтому перед началом работы с матрицами необходимые слои должны быть предварительно созданы в Редакторе слоев.

Примечание

Одна и та же техника атаки может одновременно входить в несколько слоев — приоритет, срабатывания и покрытие для нее будут учитываться отдельно в рамках каждого слоя.

Создание слоя​

Чтобы создать слой, выполните следующие действия:

  1. Перейти в Редактор слоев (Навигационное меню - MITRE ATT&CK - Редактор слоев)
  2. В интерфейсе Редактора слоев нажмите кнопку Создать
  3. В модальном окне введите название слоя и нажмите кнопку Добавить
Примечание

Для создания нескольких слоев повторите указанную выше последовательность действий (шаги 1-3).

Редактирование слоя​

Чтобы отредактировать слой, нажмите на значок "три точки" в его строке и выберите в меню пункт Редактировать, откроется модальное окно с формой редактирования слоя. После изменений нажмите кнопку Сохранить изменения.

Удаление слоя​

Чтобы удалить слой, нажмите на значок "три точки" в его строке и выберите в меню пункт Удалить. В открывшемся диалоговом окне подтвердите удаление слоя, нажав кнопку Удалить слой.

Установка разрешений​

Чтобы настроить права доступа для слоя, выполните следующие действия:

  1. В строке соответствующего элемента нажмите на значок меню "три точки"
  2. Из выпадающего списка выберите пункт Разрешения
  3. В интерфейсе управления правами, который откроется в модальном окне, назначьте необходимые разрешения для ролей, существующих в системе

Настройка связи слоя и техники атаки​

Привязка техники атаки к слою происходит при настройке действия MITRE ATT&CK. Более подробно ознакомиться можно в соответствующем разделе Фиксация техник MITRE ATTACK