Использование журналов и телеметрии

Качество поиска угроз определяется лежащими в его основе данными. Журналы и телеметрия — это следы, которые злоумышленники оставляют в разных системах.

В этом уроке рассматриваются основные источники данных и способы поиска угроз по ним.

Данные с конечных устройств — самый богатый источник. Такие средства, как EDR и Sysmon, записывают создание процессов, командные строки, записи в файлы и изменения реестра.

Большинство современных атак затрагивает конечное устройство, поэтому многие поисковые операции начинаются именно здесь.

Сетевые данные показывают, с какими узлами соединяются хосты. Журналы межсетевых экранов, прокси-серверов и DNS, а также записи Zeek выявляют маячковую активность, вывод данных и перемещение по сети.

Они дополняют данные с конечных устройств, показывая сторону коммуникаций.

Журналы аутентификации показывают, как используются учётные записи. Ищите входы в необычное время, из новых мест или последовательности неудачных, а затем успешных входов.

Здесь особенно важны ID событий Windows и журналы каталогов.

Современные среды создают облачные журналы: сведения об активности программного интерфейса, входах учётных записей и изменениях конфигурации.

Ищите новые ключи доступа, отключённое журналирование или необычные административные вызовы программного интерфейса.

SIEM собирает журналы со всей среды в одном доступном для поиска месте. Поиск угроз по нескольким источникам практически возможен только при централизованном хранении данных.

Распространённые платформы включают Splunk, Elastic и Sentinel.

Разные источники по-разному называют поля. Нормализация сопоставляет их с общей схемой, поэтому один запрос может охватывать множество источников.

Без неё для каждого формата журналов пришлось бы писать новый запрос.

Настоящая сила заключается в корреляции: свяжите процесс на конечном устройстве с сетевым соединением и событием аутентификации для одного и того же хоста в одно и то же время.

Один источник вызывает подозрение, а три источника вместе формируют убедительную доказательную базу.

Знайте, какие данные вы не журналируете. Злоумышленники используют слепые зоны: узлы без журналирования, отключённый аудит командной строки или короткий срок хранения журналов.

Выявление пробелов само по себе является ценным результатом поиска угроз.

Журналы занимают огромный объём, а хранилище ограничено. Сопоставляйте срок хранения с затратами, чтобы нужные данные всё ещё существовали, когда вы начнёте поиск угроз.

Атака, обнаруженная сегодня, могла начаться несколько месяцев назад; короткий срок хранения позволяет её не заметить.

Если поиск угроз по журналам выявляет метод, оформите его как правило обнаружения, чтобы в следующий раз SIEM обнаружила его автоматически.

Так ручной поиск угроз постоянно усиливает автоматизированную защиту.

Проверьте, насколько хорошо вы поняли работу с журналами и телеметрией.

Вы научились искать угрозы в журналах и телеметрии.

• Данные с конечных устройств (процессы, командные строки) — самый богатый источник.
• Сетевые журналы, журналы аутентификации и облачные журналы добавляют контекст.
• SIEM централизует данные, а нормализация позволяет выполнять запросы по нескольким источникам.
• Сопоставляйте источники, чтобы формировать убедительные зацепки.
• Учитывайте пробелы в журналировании и сроки хранения; превращайте результаты в правила обнаружения.

Далее вы научитесь сопоставлять результаты с MITRE ATT&CK.