Интернетмагазин

42  Процесс реагирования на компьютерные инциденты 
Рис. 2.4
В этом примере у нас много индикаторов компрометации, и когда мы со-
бираем все части воедино, то можем подтвердить атаку.
Приведенная ниже таблица дает более подробное объяснение этой диа-
граммы: 
Шаг Журнал 
Атака/Действие
1
Защита конечных точек и журналы операционной 
системы могут помочь определить индикатор 
взлома 
Фишинговое письмо
2
Защита конечных точек и журналы операционной 
системы могут помочь определить индикатор 
взлома
Дальнейшее распространение по сети
с последующим повышением привилегий
3
Журналы сервера и сбор сетевых данных могут 
помочь определить индикатор взлома
Несанкционированный или вредоносный 
процесс может прочитать или изменить 
данные
4
Предполагая, что между облачными и локальными 
ресурсами существует межсетевой экран, журнал 
межсетевого экрана и сбор сетевых данных могут 
помочь определить индикатор взлома
Извлечение данных и передача их
командно-контрольному серверу
Как вы убедились, существует множество мер безопасности, которые могут 
помочь определить признаки компрометации. Однако объединение их всех во 
временную шкалу атаки и пересечение данных может быть еще более мощным.

---

Обработка инцидента 
 
43
Это возвращает нас к теме, которую мы обсуждали в предыдущей главе. 
Обнаружение становится одним из наиболее важных элементов управления 
безопасностью для компании. Датчики, расположенные по всей сети (локаль-
ные и облачные), будут играть важную роль при выявлении подозрительной 
активности и создании оповещений. Растущая тенденция в области кибер-
безопасности заключается в использовании разведывательных данных и рас-
ширенной аналитики для более быстрого обнаружения угроз и уменьшения 
количества ложных срабатываний. Это может сэкономить время и повысить 
общую точность.
В идеале система мониторинга должна быть интегрирована с датчиками, 
чтобы вы могли визуализировать все события на одной панели. Ситуация мо-
жет быть иной, если вы используете разные платформы, которые не позволяют 
взаимодействовать друг с другом.
В сценарии, аналогичном тому, что мы рассматривали ранее, интеграция 
между системами обнаружения и мониторинга может помочь связать воедино 
множество вредоносных действий, которые были выполнены для достижения 
конечной цели – извлечения данных и передачи их командно-контрольному 
серверу.
Как только инцидент обнаружен и подтвержден как истинно положитель-
ный, вам нужно либо собрать больше данных, либо проанализировать то, что 
у вас уже есть. Если существует постоянная проблема, когда атака происходит 
именно в этот момент, вам необходимо быстро получить оперативные данные 
о ней и обеспечить способ ее остановить.
По этой причине обнаружение и анализ иногда выполняются почти парал-
лельно, чтобы сэкономить время, а затем это время используется для быстрого 
реагирования. При этом важно отметить, что существует отдельная фаза для 
сдерживания, удаления и восстановления. Об этом пойдет речь в следующем