-
Похожий контент
-
От Добрый Заазыч
Если у вас есть желание поделится своей фотографией, скидывайте в эту тему... После надеюсь будет создана "как бэ галерея фан-клубней" все наши мордочки личики.. ))
Фотографии скидывать культурные, соблюдая правила культурных фоток и других культурных и не ой и вообщем просто правил...
-
От KL FC Bot
Чем раньше действия злоумышленников попадут в сферу внимания защитных решений и экспертов, тем эффективнее получится минимизировать, а то и вовсе предотвратить ущерб. Поэтому, работая над новыми правилами детектирования для нашей SIEM-системы KUMA (Kaspersky Unified Monitoring and Analysis Platform), мы уделяем особое внимание выявлению активности хакеров на самом начальном этапе атаки — то есть на этапе сбора информации о защищаемой инфраструктуре. То есть к действиям, относящимся к тактике Discovery по классификации Enterprise Matrix MITRE ATT&CK Knowledge Base.
В последнее время все чаще внимание атакующих привлекает инфраструктура контейнеризации, в которой нередко находят достаточно опасные уязвимости. Например, в нашем майском отчете об эксплойтах и уязвимостях описывается уязвимость CVE-2024-21626, эксплуатация которой позволяет совершить побег из контейнера. Поэтому в обновлении KUMA SIEM за третий квартал 2024 года среди правил для выявления нетипичного поведения, которое может свидетельствовать об активности злоумышленников на этапе первичного сбора данных, мы добавили правила детектирования, которые ловят попытки сбора данных об используемой инфраструктуре контейнеризации, а также следы различных попыток манипуляций с самой системой контейнеризации.
Сделано это было с помощью детектирующих правил R231, R433 и R434, которые уже доступны пользователям KUMA SIEM через систему обновления правил. В частности, они служат для детектирования и корреляции следующих событий:
доступ к учетным данным внутри контейнера; запуск контейнера на неконтейнерной системе; запуск контейнера с избыточными правами; запуск контейнера с доступом к ресурсам хоста; сбор информации о контейнерах с помощью стандартных инструментов; поиск слабых мест в контейнерах с помощью стандартных инструментов; поиск уязвимостей безопасности в контейнерах с помощью специальных утилит. С учетом вышеописанного обновления сейчас на платформе доступно более 659 правил, из них 525 правил с непосредственно детектирующей логикой.
Мы продолжаем ориентироваться на Enterprise Matrix MITRE ATT&CK Knowledge Base, которая сегодня включает в себя 201 технику, 424 подтехники и тысячи процедур. На данный момент наше решение покрывает 344 техники и подтехники MITRE ATT&CK.
Кроме того, мы доработали множество старых правил путем исправления или корректировки условий, например, для снижения количества ложных срабатываний (false-positives).
View the full article
-
От Mrak
Всем привет!
Потребовалось скачать приложение аэрофлота, чтобы пуш уведомления были перед вылетом. Не нашел ни одного нормального способа, кроме загрузки через магазин приложений RuStore.
Сейчас глянул, а RuStore занимает на моем самсунге 2.89 гб. в хранилище. Это для него нормально? Дистрибутив весил 46.5 мегабайт, так что на почти три гигабайта я не договаривался )))
-
От Дмитрий Сан
Здравствуйте!
Сам в себе развиваю привычку тайм-менеджмента и по случаю интересно сколько свободного времени остаётся у Евгения Касперского на дню?
Заранее спасибо!)
-
От KL FC Bot
Вендоры SIEM-систем поставляют правила корреляции, которые могут работать сразу «из коробки». И количество этих правил у всех разное. Это неизбежно приводит к законному вопросу — сколько же нужно правил для эффективной работы SIEM? Очевидно, это не такой простой вопрос. И количество правил, создаваемых вендорами, — вовсе не основной критерий для ответа на него.
Насколько эффективны правила «из коробки»?
Если бы мы жили в мире с универсальными информационными инфраструктурами, то типовые правила отлично справлялись бы со всеми задачами. К сожалению, в реальности все значительно сложнее — многое зависит от объекта защиты: важно, какие используются операционные системы, какие приложения необходимы для обеспечения рабочих процессов, какие средства защиты уже внедрены и какой аудит настроен. Кроме того, следует учитывать, что новые уязвимости выявляются с завидной регулярностью, а иногда злоумышленники и вовсе изобретают новые векторы атак.
Не стоит расценивать SIEM как систему, которую можно включить и сразу начать использовать. Вам в любом случае придется создавать новые детектирующие правила или серьезно дорабатывать те, что поставляются «из коробки». Все, кто начинают работать с базовым набором правил, очень быстро понимают, что большую их часть придется отключить — просто потому, что при сомнительной эффективности они создают значительную нагрузку на SIEM-систему. А остальные правила придется перерабатывать для лучшего соответствия реалиям вашей инфраструктуры.
То есть правила «из коробки» правильнее рассматривать не как готовый к использованию инструмент, а как источник идей. И по большому счету важно не то, сколько их поставляется разработчиком решения, а то, насколько они эффективны и насколько трудоемкой будет их адаптация под ваши нужды. А для облегчения адаптации, например, критичны наличие описания логики работы правил и их структуризация — в соответствии с источниками событий или MITRE ATT&CK.
Так что оценивать правила для SIEM простым подсчетом точно не стоит.
Посмотреть полную статью
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти