Интернетмагазин

 
215
сигнатур, все еще занимают свою нишу на линии защиты, но предназначены 
для борьбы с устаревшими угрозами. Вы не должны удалять свое антивирусное 
программное обеспечение только потому, что оно не обладает возможностя-
ми машинного обучения. Это все еще уровень защиты вашего хоста. Помни-
те подход с использованием глубоко эшелонированной защиты, который мы 
обсуждали в предыдущей главе? Рассматривайте его как один уровень защи-
ты, а теперь вам нужно объединить другие уровни для улучшения стратегии 
безопас ности.
С другой стороны, традиционное мышление защитника, которое фокуси-
руется только на мониторинге пользователей с большими полномочиями, за-
кончилось, и у вас больше не может быть такого подхода. Для обнаружения 
текущих угроз необходимо просматривать учетные записи всех пользовате-
лей, профилировать их и понимать обычное поведение. Действующие субъек-
ты угроз будут пытаться скомпрометировать обычного пользователя, остаться 
в сети и продолжать вторжение путем дальнейшего распространения и повы-
шения привилегий. По этой причине у Синей команды должны быть механиз-
мы обнаружения, которые могли бы идентифицировать такое поведение на 
всех устройствах, в разных местах и создавать оповещения на основе 
Корре-
ляции данных, как показано на рис. 11.1.
Поведенческая 
аналитика
Профили-
рование
Машинное
обучение
Оценка
активности
Обнаружение 
аномалий
Корреляция данных
Значимые оповещения
Рис. 11.1

---

216  Активные сенсоры 
Когда вы контекстуализируете данные, то естественным образом умень-
шаете количество ложных срабатываний и даете исследователю безопасности 
более значимый результат.
Индикаторы компрометации
Говоря об обнаружении, важно упомянуть об