Cyber Defense Lab: SOC Analyst — Изучайте реагирование blue team на инциденты, обрабатывая реальные оповещения на телефоне

При обучении на телефоне важно, нужно ли вам принимать решения. Чтение о локализации угроз не формирует интуицию; она появляется, когда вам показывают оповещение и спрашивают, что бы вы сделали. Cyber Defense Lab создано именно так: каждая лаборатория показывает реальное оповещение и телеметрию, вы своими словами вводите защитное действие, а движок оценивает его и повышает показатель локализации угрозы. Приложение бесплатно на iOS и Android и не требует предварительного опыта.

Аналитик центра мониторинга безопасности разбирает оповещения, которые создают инструменты безопасности. Это означает: прочитать оповещение, собрать окружающие журналы из сети и с конечных устройств, определить, является ли оно шумом или настоящим вторжением, а затем передать дальше или локализовать реальные угрозы. Большая часть смены уходит на определение того, что не имеет значения, чтобы немногочисленные действительно важные события быстро получали внимание. Навык принятия решений формируется прежде всего повторением, а не теорией.

SIEM собирает журналы со всей организации — межсетевых экранов, конечных устройств, почтовых шлюзов и облачных сервисов — в одном месте, чтобы сопоставлять события. Один неудачный вход в систему ничего не значит; тысячи входов из одной сети, за которыми следует один успешный, — это атака. Важно не уметь управлять продуктом, а читать связанную телеметрию и понимать, какое сочетание обычных на вид событий складывается в единую картину. Cyber Defense Lab непосредственно тренирует этот этап сопоставления.

Реагирование на инциденты следует жизненному циклу: обнаружение, когда вы подтверждаете, что происходит нечто реальное; локализация, когда вы останавливаете распространение — изолируете хост, блокируете адрес или разрываете сеанс; устранение, когда удаляете точку опоры атакующего, вредоносное ПО или механизм закрепления; и восстановление, когда системы возвращаются в рабочее состояние и контролируются, чтобы подтвердить уход злоумышленника. На практике локализация обычно начинается первой, потому что ограничить ущерб важнее, чем провести идеальную диагностику.

Реагирование на оповещения носит реактивный характер: инструмент срабатывает, и вы начинаете расследование. Поиск угроз — противоположный подход: вы предполагаете, что инструменты что-то пропустили, и ищете в телеметрии признаки вредоносного ПО, горизонтального перемещения или скрытого вторжения, которое вообще ничего не вызвало. Он основывается на гипотезе, а не на уведомлении, и помогает обнаружить скрытые компрометации до того, как они перерастут в утечку.

На телефоне можно освоить уровень принятия решений — именно этого обычно не хватает большинству людей. Распознать похожий домен отправителя, понять, что перед сбором криминалистических данных нужно изолировать хост, расставить этапы локализации по порядку — для этого не нужны клавиатура и виртуальная машина. Телефон не даст практического опыта работы с реальными инструментами, поэтому воспринимайте мобильную практику как тренировку, которая поможет быстрее освоиться в домашней лаборатории или на первой работе.

Нет. Это защитное обучение. В лабораториях вы выступаете на стороне blue team и реагируете на смоделированные инциденты в вымышленной среде; приложение не создаёт работоспособные инструменты для атак и не нацеливается на реальные системы. Оно охватывает поведение атакующих — как распространяется и закрепляется вредоносное ПО, как работают фишинговые атаки и компрометации цепочки поставок, — по той же причине, по которой защитники изучают эти методы: невозможно локализовать то, чего вы не понимаете.

Сценарии охватывают восемь типов инцидентов: вредоносное ПО, фишинг, вторжения, программы-вымогатели, DDoS, внутренние угрозы, утечки данных и компрометации цепочки поставок. Среди примеров — кампания с поддельными счетами, которые уже открыли два сотрудника; ботнет, перегружающий API оформления заказа во время распродажи; увольняющийся инженер, клонирующий приватные репозитории; и зависимость сборки с бэкдором, попавшая в продакшен шесть часов назад. Каждый сценарий начинается с брифинга и необработанной телеметрии от таких инструментов, как почтовый шлюз, EDR, WAF или DLP.

Да. Cyber Defense Lab можно бесплатно скачать в App Store и Google Play. Приложение размещено в категории «Образование» и имеет возрастной рейтинг 4+, а ссылки на условия использования и политику конфиденциальности опубликованы на странице приложения в магазине и на coddykit.com. В Google Play приложение указано как Cyber Defense Lab: SOC Analyst; название в App Store — Cyber Defense Lab.

Предварительный опыт не требуется. Приложение начинается с основ работы SOC — как читать строку журнала и как разбирать оповещение, — а затем вы можете в удобном темпе перейти к продвинутому поиску угроз и полноценному реагированию на инциденты или пропустить начальные этапы, если уже работаете в IT или сетевой сфере. Если лаборатория ставит вас в тупик, можно запросить подсказку или открыть полное решение, не застревая на месте.