Интернетмагазин

https://www.snort.org/downloads/#rule-downloads. Когда Си-
няя команда выполняет упражнение с Красной командой, есть вероятность, 
что новые правила должны быть созданы в соответствии с моделью трафика 
и попытками, которые Красная команда предпринимает для проникновения 
в систему. Иногда для нейтрализации угрозы требуется несколько правил. На-
пример, правила 42340 (попытка доступа к IPC-ресурсу анонимного сеанса 
протокола SMB), 41978 (попытка удаленного выполнения кода протокола SMB) 
и 42329-42332 (разновидность Win.Trojan.Doublepulsar) могут быть использо-
ваны для обнаружения программы-вымогателя WannaCry. То же самое отно-
сится и к другим СПВ, таким как Cisco с сигнатурами 7958/0 и 7958/1, создан-
ными для обработки WannaCry.

Подпишитесь на блог Snort, чтобы получать обновления о новых правилах на странице 
http://blog.snort.org.
Преимущество использования ССПВ с открытым исходным кодом, такой 
как Snort, состоит в том, что когда новая угроза становится доступной в сети, 
сообщество обычно довольно быстро реагирует, публикуя новое правило для 
обнаружения угрозы. Например, когда был обнаружен вирус-вымогатель Petya, 
сообщество создало правило и разместило его на GitHub (его можно увидеть 
здесь: 
https://goo.gl/mLtnFM). Хотя поставщики и сообщество безопасности 
действительно быстро публикуют новые правила, Синяя команда должна сле-
дить за новыми индикаторами компрометации и создавать правила ССПВ на 
их основе.
Обнаружение на основе аномалий 
В этом случае аномалия основана на том, что СПВ классифицирует как ано-
мальное. Эта классификация обычно основана на эвристике или своде правил. 
Один из вариантов – статистическое обнаружение аномалий, при котором бе-
рутся выборки сетевого трафика в случайные моменты времени и выполня-
ется сравнение с базовым состоянием. Если этот образец выходит за пределы 
базового состояния, отправляется оповещение с последующим действием.