Сопоставление одних лишь следов взлома (IOC) не успевает, как только злоумышленники меняют эти следы. Здесь помогают основанные на поведении IOA. Разберём значение и как их использовать (без шагов атаки).
IOC против IOA — след результата против поведения в процессе
IOC (Indicator of Compromise) = след результата
- Ретроспективное свидетельство: хеши, IP, домены
- Можно сопоставлять механически с известным вредоносным — быстро
- Но злоумышленники легко это меняют
- По своей сути реактивно
IOA (Indicator of Attack) = поведение в процессе
- Поток техники: повышение → горизонтальное перемещение → вывод данных
- Ловит ближе к реальному времени
- Трудно изменить (это суть атаки)
- Тяжелее внедрить — нужно понимание механики
Почему поведение трудно изменить
Для злоумышленника хеш файла или IP одноразовы. Но поток «как атаковать» привязан к цели (получить привилегии, распространиться, вывести данные), поэтому его непросто изменить.
Как это могут использовать даже небольшие команды
Даже без выделенного EDR (продукта, который мониторит поведение конечных точек) суть — отслеживать «поведение, отличающееся от нормального».
Знайте свою «норму»
Следите за поведенческими аномалиями
При срабатывании изолируйте и расследуйте
Держите это в паре с сопоставлением IOC
Примеры IOA по этапам атаки
IOA работает только тогда, когда вы решили, за чем следить. Группировать по этапам проще всего с помощью MITRE ATT&CK (открытой базы знаний, которая упорядочивает техники злоумышленников по этапам).
| Этап | Пример поведения | Где смотреть |
|---|---|---|
| Первоначальный доступ | Серия неудачных входов, за которой следует успешный; вход из необычной страны или в необычное время | Журналы входа (события Windows 4625 и 4624, журналы входа в облако) |
| Повышение привилегий | Редко используемую учётную запись добавляют в группу администраторов | Событие Windows 4732, журналы изменения прав в облаке |
| Закрепление | Создаётся новая учётная запись, запланированная задача или служба | События 4720, 4698, 4697 |
| Сокрытие следов | Журнал аудита очищен | Событие 1102 |
| Связь с внешним миром | Трафик к одному и тому же адресу через равные промежутки (C2); массовая отправка в нестандартные часы | Журналы прокси, DNS и межсетевого экрана; объём трафика во времени |
Всё это может происходить и при обычной административной работе. В собственном списке Microsoft событий для мониторинга сказано, что события средней и низкой критичности стоит расследовать, когда они происходят неожиданно или намного чаще обычного базового уровня. IOA оценивают не по одному значению, а по тому, чем это отличается от нормы и как выстраиваются действия.
Реальные примеры: заметили по следу или по поведению?
В публичных случаях, разобранных на этом сайте, то, что привлекло внимание, различалось от случая к случаю.
| Случай | Что привлекло внимание | Тип |
|---|---|---|
| Codecov (2021) | Хеш распространяемого скрипта не совпал с официальным значением | IOC (сопоставление следов) |
| Hugging Face (2026) (на английском) | По раскрытию компании, сигнал уловил конвейер обнаружения аномалий по телеметрии безопасности | IOA (поведенческая аномалия) |
В случае Hugging Face обе компании сообщают, что вторжение совершил ИИ-агент, действовавший без указаний человека. Такой субъект действует так, как не может человек: не отдыхает, не делает пауз и выполняет одно и то же действие параллельно. Чем новее атака и чем меньше для неё известно следов вроде хешей или IP, тем важнее замечать её по поведению.
Как проверить в своей среде
Начать можно с записей, которые ОС или облако ведут по умолчанию, без отдельного продукта.
- Windows: в «Просмотре событий» откройте «Журналы Windows → Безопасность» и отфильтруйте по кодам событий из таблицы выше. В PowerShell команда
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50выводит последние неудачные входы (запускать от имени администратора) - Если ничего не записывается: какие события аудита Windows ведёт по умолчанию, зависит от версии и настроек. Проверьте «Конфигурацию расширенной политики аудита» в групповой политике, чтобы нужные события записывались
- Серверы Linux:
lastпоказывает историю входов;journalctl -u ssh(илиsshd, в зависимости от дистрибутива) либо/var/log/auth.logпоказывают успешные и неудачные аутентификации - Облако и SaaS: в журналах аудита и входа консоли администратора ищите входы из необычных стран или в необычное время, а также изменения прав
- Ведите базовую линию: запишите обычное число входов и объём трафика в будни и выходные. Без базовой линии нельзя понять, что значит «отличается от нормы»
Мнение этого сайта: обнаружение и предотвращение — разные вещи, поэтому держите оба
IOA — мощная идея «замечать по поведению», но на этом сайте мы рекомендуем не опираться на одно лишь «замечание». Обнаружение (IOA/IOC) касается того, что после начала инцидента; первая цель — проектирование, которое не даёт ему начаться или распространиться: минимум привилегий, быстрые обновления (мониторинг CVE), устойчивая к фишингу MFA, никаких секретов в открытом виде. Поскольку идеальной профилактики не существует, нужны и профилактика (не допустить), и обнаружение (заметить через IOA/IOC). Основанные на поведении IOA добавляют ценность, отмечая аномалию на шаг раньше, чем сопоставление следов.
Источники (первичные)
- MITRE, «ATT&CK Enterprise Tactics» — attack.mitre.org (как группируются этапы атаки)
- IETF RFC 9424, «Indicators of Compromise (IoCs) and Their Role in Attack Defence» (август 2023) — rfc-editor.org (TTP труднее изменить, чем следы)
- Microsoft Learn, «Appendix L: Events to Monitor» — learn.microsoft.com (коды событий и расследование относительно обычного базового уровня)
- Источники по Codecov и Hugging Face приведены в статье о каждом случае
Читать дальше
- Глоссарий: Что такое IOC (Indicator of Compromise) · Что такое C2 · Что такое EDR · Что такое CVE
- Случаи: Вторжение в Hugging Face (2026) (на английском) · Компрометация Codecov (2021)
- Фид: Лента угроз