Сегодня мы поговорим о рекомендациях для обнаружения атак, а также советы по укреплению системы защиты для предотвращения подобных инцидентов.
Также рассмотрены вопросы, связанные с применением эффективных методов безопасности и соответствием требованиям регуляторов.
В качестве основных источников для обнаружения применения этих техник выступают:
Также рассмотрены вопросы, связанные с применением эффективных методов безопасности и соответствием требованиям регуляторов.
В качестве основных источников для обнаружения применения этих техник выступают:
- Журнал событий ОС, включая аудит безопасности и вход в систему.
- Сетевой трафик.
- Журнал событий приложений.
- Журнал событий на контроллере домена.
Для облегчения предотвращения и обнаружения атак с использованием этих техник можно использовать следующие системы защиты информации:
- Системы управления событиями информационной безопасности (SIEM).
- Системы анализа сетевого трафика (NTA).
- Межсетевые экраны уровня приложений (WAF).
- Межсетевые экраны нового поколения (NGFW).
- Системы обнаружения вторжений (IDS).
- Системы предотвращения вторжений (IPS).
- Решения для обнаружения и реагирования на вредоносную активность на конечных узлах (EDR) и их расширенные версии (XDR).
Мы также сопоставили превентивные меры по недопущению атак с требованиями Приказа ФСТЭК России № 17. Предложенные меры для основных десяти техник покрывают 33 из 113 требований Приказа.
Например, среди техник, используемых для получения первоначального доступа в инфраструктуру, чаще всего встречается применение техники Exploit Public-Facing Application (T1190), что было обнаружено в 100% проектов по внешнему тестированию на проникновение. Эту атаку можно обнаружить через журнал событий приложения, журнал событий ОС или сетевой трафик, а предотвратить — через управление уязвимостями, сетевые анализаторы и сегментацию сети.
Таким образом, представленные рекомендации и инструменты позволяют эффективно предотвращать и обнаруживать разнообразные атаки, а также соответствовать требованиям регуляторов в области информационной безопасности.
