Интернетмагазин

индикаторах компрометации. 
Когда новые угрозы обнаруживаются в естественной среде, у них обычно имеет-
ся какой-то поведенческий шаблон и они оставляют свой след в системе жертвы.
Например, программа-вымогатель Petya выполнила следующие команды 
в целевой системе, чтобы перепланировать перезапуск:
schtasks /Create /SC once /TN "" /TR "shutdown.exe /r /f" /ST
cmd.exe /c schtasks /RU "SYSTEM" /Create /SC once /TN "" /TR
"C:Windowssystem32shutdown.exe /r /f" /ST
Еще одним индикатором действия этой программы является сканирование 
локальной сети через порты TCP 139 и TCP 445. Это важные признаки того, что 
в целевой системе происходит атака, а виновник – Petya. Системы обнаруже-
ния смогут собирать эти индикаторы компрометации и выдавать оповещения 
при совершении атаки. Используя Azure Security Center в качестве примера, 
спустя несколько часов после вспышки Petya центр автоматически обновляет 
свой механизм обнаружения и может предупредить пользователей о том, что 
их компьютер был скомпрометирован, как показано на рис. 11.2.
Рис. 11.2

---

Возможности обнаружения 
 
217
Вы можете зарегистрироваться на сайте OpenIOC (
http://openioc.org), чтобы 
получить информацию о новых индикаторах, а также внести свой вклад в со-
общество. Используя IoC Editor (обратитесь к справочному разделу, где указан 
URL-адрес, с которого его можно загрузить), вы можете создать свой собствен-
ный индикатор или просмотреть уже существующий. На рис. 11.3 показан IoC 
Editor, демонстрирующий троян 
DUQU.
Рис. 11.3
Если вы посмотрите нижнюю панель справа, то увидите все признаки ком-
прометации и логических операторов (в данном случае большинство из них – 
это 
AND), которые сравнивают каждую последовательность и возвращают 
положительные значения только в том случае, если все верно. Синяя команда 
всегда должна быть в курсе последних угроз и индикаторов компрометации.

Вы можете использовать эту команду PowerShell для загрузки индикатора из OpenIOC. 
В приведенном ниже примере вы загружаете индикатор для Zeus:
wget
"http://openioc.org/iocs/72669174-dd77-4a4e-82ed-99a96784f36e.ioc" -outfile 
"72669174-dd77-4a4e-82ed-99a96784f36e.ioc"

---