Устранение пробелов в обнаружении и метрики

Работа фиолетовой команды создает множество ценных данных, но без метрик они остаются лишь отдельными примерами. Метрики превращают упражнения в обоснованную историю улучшений для руководства и ответственных за бюджет.

• Они показывают, действительно ли средства защиты становятся лучше
• Они помогают определить приоритеты при ограниченных инженерных ресурсах
• Они делают абстрактное «состояние безопасности» конкретным и отслеживаемым

Цель состоит не в том, чтобы получить высокий балл ради самого балла, а в измеримом и устойчивом улучшении защиты от актуальных угроз.

Основная метрика — покрытие обнаружением: доля проверенных техник, вызвавших оповещение.

Рассчитывайте ее для каждой тактики и в целом:

Процент покрытия может вводить в заблуждение. Подсчет только тех техник, которые Вы выбрали для проверки, завышает показатель, а признание ненадежного правила «покрытием» преувеличивает реальные возможности защиты.

• Покрытие следует измерять относительно актуального для угроз набора техник, а не выборочного набора
• Результат «обнаружено» должен быть получен благодаря надежному правилу, основанному на поведении
• Результаты «только зарегистрировано» — это не покрытие, а лишь потенциальное покрытие

Всегда указывайте процент вместе со знаменателем: «80% техник FIN7» означает гораздо больше, чем просто «80%».

Скорость важна не меньше, чем видимость. Две временные метрики отражают скорость реагирования защиты:

• MTTD — среднее время обнаружения: от отметки времени действия до отметки времени оповещения
• MTTR — среднее время реагирования: от оповещения до действия по сдерживанию

Поскольку при работе фиолетовой команды фиксируется точный момент запуска каждой техники, эти показатели можно измерять точно, а не оценивать по неполным данным об инцидентах.

Не каждый пробел требует одинаково срочного устранения. Ранжируйте пробелы по риску, учитывая вероятность применения техники и ущерб, который она может причинить.

• Высокая вероятность + высокий ущерб (например, извлечение содержимого LSASS) = исправить в первую очередь
• Низкая вероятность + низкий ущерб = добавить в очередь задач
• Учитывайте, упоминается ли техника в Ваших разведданных об угрозах

Простая оценка, полученная умножением вероятности на ущерб, дает упорядоченный список исправлений и помогает направить усилия туда, где они сильнее всего снижают реальный риск.

Прежде чем писать правило, выясните, почему возник пробел. Исправление зависит от его корневой причины:

• Нет телеметрии — включите отсутствующий источник данных (например, конфигурацию Sysmon или журналирование блоков сценариев)
• Телеметрия есть, но правила нет — напишите правило обнаружения
• Правило существует, но не сработало — исправьте логику или фильтр, подавивший срабатывание
• Оповещение сработало, но было проигнорировано — это проблема процесса или первичной обработки, а не пробел в содержании

Исправлять ошибку логики бессмысленно, если исходный журнал никогда не собирался.

Самый фундаментальный пробел — отсутствие данных. Например, журналирование блоков сценариев PowerShell включается через групповую политику или реестр, чтобы сделать доступным идентификатор события 4104.

Когда телеметрия настроена, напишите правило обнаружения и настройте его для выделения полезного сигнала. Ненастроенные правила перегружают аналитиков ложными срабатываниями и начинают игнорироваться.

• Начните с широкого правила, чтобы убедиться в появлении артефакта
• Добавьте исключения для известной безопасной эталонной активности
• Измерьте частоту ложных срабатываний относительно обычного трафика
• Повторно запустите эмуляцию, чтобы убедиться, что атака по-прежнему обнаруживается

Правило обнаружения можно считать «готовым» только тогда, когда оно надежно срабатывает на атаке и сохраняет молчание при безопасной активности.

Показатели одного упражнения — это лишь снимок; тенденции рассказывают настоящую историю. Отслеживайте покрытие и MTTD по кварталам.

• 1-й квартал: покрытие 45%, MTTD — 22 мин
• 2-й квартал: покрытие 62%, MTTD — 14 мин
• 3-й квартал: покрытие 71%, MTTD — 9 мин

Положительная тенденция показывает, что работа фиолетовой команды приносит результат. Стабильная или отрицательная тенденция указывает на деградацию обнаружения или на то, что исправления не внедряются.

Средства обнаружения могут незаметно переставать работать по мере изменения среды. Относитесь к ним как к коду и проверяйте наличие регрессий.

• В каждом цикле повторно запускайте техники, которые ранее проходили проверку
• Автоматизируйте непрерывную проверку, чтобы неисправные средства обнаружения вызывали оповещение
• Храните содержимое правил обнаружения в системе контроля версий и проверяйте изменения

Средство обнаружения, которое тихо перестало срабатывать, возможно, хуже, чем его отсутствие с самого начала: команда считает, что защищена, хотя это не так.

Адаптируйте отчетность к аудитории. Инженерам нужны подробности на уровне техник, а руководству — результаты и риски.

• Для инженеров: результаты по каждой технике, созданные правила, заметки о настройке
• Для руководства: тенденция покрытия, тенденция MTTD, устраненные и сохраняющиеся основные риски
• Визуализация: тепловая карта ATT&CK Navigator, показывающая прогресс во времени

Именно представление результатов как снижения риска, а не как необработанных технических данных, позволяет сохранять поддержку и финансирование программы.

Проверьте, насколько Вы поняли, как закрывать пробелы и использовать метрики.

Теперь Вы умеете строго измерять и улучшать покрытие обнаружением:

• Используйте покрытие, MTTD и MTTR как основные метрики и всегда указывайте их знаменатель
• Избегайте иллюзий покрытия, создаваемых выборочными или ненадежными средствами обнаружения
• Перед исправлением определяйте корневую причину каждого пробела: телеметрия, правило, логика или первичная обработка
• Включайте отсутствующие данные, затем настраивайте правила для снижения числа ложных срабатываний
• Отслеживайте тенденции и предотвращайте незаметный регресс обнаружения
• Представляйте результаты как снижение риска, используя тепловые карты ATT&CK для поддержания программы

Вы завершили курс по работе фиолетовой команды: объединили красную и синюю команды в непрерывный измеримый цикл, который позволяет доказуемо улучшать защиту.