В MaxPatrol SIEM добавлены новые правила обнаружения угроз

В MaxPatrol SIEM добавлены новые правила обнаружения угроз

Пакет экспертизы MaxPatrol SIEM позволяет выявить еще десять признаков активности злоумышленников

image

Система мониторинга событий информационной безопасности MaxPatrol SIEM получила новый пакет экспертизы. Он позволяет выявить еще десять признаков активности злоумышленников с большей точностью и меньшим количеством ложных срабатываний — благодаря интеграции c MaxPatrol VM и PT Network Attack Discovery (PT NAD) . Добавленные правила детектируют атаки на Active Directory с использованием техник DCShadow и DCSync, применение злоумышленниками утилиты Bloodhound для проведения разведки в домене и сбора доменных записей пользователей, попытки эксплуатации уязвимостей из базы CVE и другие опасные действия.

Добавленный пакет экспертизы содержит правила корреляции, основанные на анализе сетевого трафика с помощью PT Network Attack Discovery, а также на сборе информации об IT-активах в MaxPatrol VM. Вместе продукты дают более полную картину IT-инфраструктуры, а возможность обогащения инцидентов контекстом из других систем позволяет повысить точность и скорость детектирования атак внутри защищаемого периметра.

«Новые правила обнаружения угроз в MaxPatrol SIEM помогут обнаруживать актуальные сценарии атак внутри периметра и останавливать злоумышленников до наступления неприемлемых для бизнеса событий. Кроме того, с новым пакетом экспертизы пользователи получают плотную интеграцию MaxPatrol SIEM с системой поведенческого анализа трафика PT Network Attack Discovery (PT NAD) и решением для управления уязвимостями MaxPatrol VM. Это упростит работу по выявлению аномалий в инфраструктуре, специалисты смогут использовать связку продуктов Positive Technologies эффективнее, чем прежде. Например, теперь можно видеть в интерфейсе MaxPatrol SIEM все необходимые для расследования инцидентов данные, а не искать их самостоятельно на таймлайне, можно переходить по связанным ссылкам в релевантные карточки событий в других продуктах», — отмечает Данил Спиридонов, специалист отдела разработки базы знаний, Positive Technologies.

Добавленные правила помогут специалистам по ИБ проводить более детальное расследование инцидентов. C помощью анализа журналов серверов и сигнатур, то есть с помощью данных, полученных из PT NAD, MaxPatrol SIEM выявляет:

  • Атаки с применением техник DCShadow и DCSync . Их успешная реализация позволит злоумышленникам получить учетные записи пользователей доменов.

  • Передачу зоны DNS c DNS-сервера. При помощи дампа зоны DNS злоумышленник может получить дополнительную информацию о структуре атакуемой сети.

  • Использование утилиты Bloodhound. MaxPatrol SIEM детектирует запуск этой программы, а PT NAD по анализу сетевого трафика определяет, что утилита начала собирать доменные записи пользователей на скомпрометированном узле.

  • Применение злоумышленниками техники Discovery, которое может быть признаком изучения конфигурации сети, учетных записей и др.

  • Попытки эксплуатации уязвимостей CVE-2021-42287 (подмена имени учетной записи пользователя) и CVE-2021-42278 (обман центра выдачи ключей) в службе каталогов Active Directory, которые позволяют злоумышленникам перехватывать контроль над доменами Windows.

  • Подозрительную сетевую активность, исходящую от одного узла ко многим узлам, что может говорить о сканировании сети и перемещении злоумышленника внутри периметра.

  • Аномальную сетевую активность нескольких зараженных узлов, направленную к одному конкретному узлу, который может находиться вне периметра организации.

  • Применение хакерских утилит, в том числе для туннелирования трафика (они используются злоумышленниками для обхода средств защиты и передачи трафика вредоносных программ).

  • Срабатывания индикаторов компрометации (IoC), составленных экспертным центром безопасности Positive Technologies (PT Expert Security Center) на основе непрерывного мониторинга актуальных киберугроз, расследований сложных инцидентов ИБ в компаниях разного профиля, а также на основе анализа техник и инструментов APT-группировок. Это позволит пользователям MaxPatrol SIEM среагировать на аномальную активность (система покажет, с какого узла в сети развивается атака, какой узел был скомпрометирован) и вовремя предотвратить развитие атаки внутри сети.

Компании, использующие помимо MaxPatrol SIEM и PT NAD систему управления уязвимостями MaxPatrol VM, смогут выявлять случаи, когда атакующие эксплуатируют уязвимости с присвоенными идентификаторами CVE. MaxPatrol VM сканирует активы на предмет уязвимостей, MaxPatrol SIEM составляет таблицу с перечнем узлов и свойственных им уязвимостей, известных на текущий момент и занесенных в базу CVE, а PT NAD, в свою очередь, выявляет в сетевом трафике попытки эксплуатации той или иной уязвимости на конкретном узле. Это позволит автоматизировать задачи аналитиков SOC по работе с оповещениями об угрозах из PT NAD и с потенциальными случаями эксплуатации уязвимостей, а также исключить ложные срабатывания от сканирующих интернет ботов.

Чтобы начать использовать новый пакет экспертизы, нужно обновить MaxPatrol SIEM до версии 7.0 и установить правила из этого пакета. Перекрестные ссылки в продуктах появятся автоматически при обновлении базы знаний PT Knowledge Base, которая входит в состав MaxPatrol SIEM.


Мир на грани катастрофы и только те, кто подпишется на наш телеграм канал, смогут выжить в Киберапокалипсисе!