Представим условную ситуацию:
1. По учетной записи сотрудника происходит 15 неудачных попыток входа в VPN.
2. Через минуту вход удается с непривычного IP-адреса.
3. Затем учетная запись обращается к файловому серверу, с которым обычно не работает.
4. После этого фиксируется передача большого объема данных.
Корреляционное правило может связать эти события по учетной записи и времени и сформировать сигнал для проверки.
Но сама цепочка еще не доказывает атаку.
Сотрудник мог вернуться из командировки, несколько раз ошибиться в пароле и скачать архив для новой задачи.
Возможен и другой сценарий — учетную запись использует посторонний.
Аналитику предстоит проверить устройство, историю активности, назначение файлов и обстоятельства доступа. SIEM помогает собрать данные для этой проверки и выделить подозрительную последовательность.
В первую очередь стоит связаться с сотрудником и верифицировать активность, подтвердить ее легитимность. Многие кейсы решаются уже на этом этапе.
Если действия нелегитимны, необходимо изолировать потенциальную точку входа: например, выполнить сетевую изоляцию хоста и блокировку учетной записи VPN.
После купирования необходимо определить точку проникновения и принять меры, чтобы предотвратить подобные инциденты в будущем.
В этом кейсе явно есть риск компрометации учетных данных VPN. Значит, меняем пароль, проверяем хост сотрудника на наличие ПО, которое могло перехватить учетные данные. Параллельно вычищаем следы деятельности злоумышленника и проверяем, не оставил ли он себе обходных путей.
Что происходит после срабатывания
- SIEM может показать алерт в консоли, отправить уведомление, создать тикет или передать сигнал в SOAR для запуска сценария реагирования.
Однако способ доставки — только часть задачи.
Для работы с сигналом нужно понимать:
- что именно вызвало срабатывание
- какие учетные записи и системы затронуты
- почему сигналу присвоен такой приоритет
- какие данные необходимо проверить дальше
- кто отвечает за проверку и последующие действия.
Приоритет зависит и от контекста.
Подозрительный вход под учетной записью с широкими правами требует иного внимания, чем похожее событие в изолированной тестовой среде.
Автоматическая блокировка тоже требует заранее согласованных условий: ошибка может прервать законную работу.
Поэтому связь между обнаружением и реагированием нужно проектировать вместе с владельцами инфраструктуры.
SIEM не принимает решение вместо аналитика. Она должна дать ему достаточно данных, чтобы это решение можно было принять быстро и обоснованно.
Наши соцсети: ВК | МАХ | ТГ
