detection
6 статей с этим тегом
Что такое бэкдор: как злоумышленники сохраняют доступ и как его обнаружить
Бэкдор — скрытая точка входа, оставленная, чтобы злоумышленник мог вернуться в обход обычной аутентификации. Обычно он появляется после первоначального взлома и превращает одно вторжение в постоянный доступ; он также может прийти внутри заражённой зависимости. От законного удалённого обслуживания его отличает то, разрешил ли его кто-то, знают ли о нём и виден ли он в журналах. Защита: минимум привилегий, контроль целостности, мониторинг исходящего трафика, проверка зависимостей.
Что такое вредоносное ПО? Типы, каналы заражения и базовая защита
Вредоносное ПО (malicious software) — это общий термин для программ, созданных, чтобы навредить вашим устройствам или данным. Вирусы, черви, трояны, программы-вымогатели, шпионское ПО и боты — всё это его типы. Как бы по-разному они ни выглядели, защита одна и та же и состоит из трёх частей: предотвратить заражение (обновления, не открывать подозрительные вложения/макросы, MFA), обнаружить (EDR, антивирус) и суметь восстановиться (резервные копии). Правильно выстроить эти общие меры защиты куда важнее, чем заучивать названия типов.
Что такое C2 (command and control): канал, через который злоумышленники управляют устройством после взлома
C2 — канал, через который скомпрометированное устройство «звонит обратно» на сервер злоумышленника (beacon), чтобы получать команды и выводить данные — стадия после взлома. Главные признаки — подозрительный периодический исходящий трафик и известные вредоносные адреса. Защита: фильтрация исходящего трафика, мониторинг DNS, сопоставление с IOC/IOA, минимум привилегий. Подтверждение «нет резидентного C2» — важная часть расследования инцидента.
Что такое EDR: запись активности конечных точек для обнаружения и реагирования на атаки, которые пропустил антивирус
EDR непрерывно записывает поведение конечной точки, обнаруживает подозрительную активность (в стиле IOA) и поддерживает реагирование (изолировать, расследовать). Он ловит бесфайловые и living-off-the-land атаки, которые пропускает сигнатурный/IOC-антивирус, по поведению и временной шкале. Небольшим командам часто не нужен полноценный EDR — встроенная защита ОС плюс журналы плюс мышление IOA дают большую часть пользы.
Что такое IOA (Indicator of Attack): обнаружение взлома по поведению, а не по следам
IOA (Indicator of Attack) обнаруживает взлом по поведению атаки в процессе (повышение привилегий → горизонтальное перемещение → вывод данных). Это противоположность ретроспективного IOC. Злоумышленники мгновенно меняют хеши и IP, но техника (поведение) трудно меняется — поэтому IOA служат дольше. Даже небольшие команды могут подойти к этому, отслеживая поведение, отличающееся от нормального.
Что такое IOC (Indicator of Compromise): следы, выдающие взлом
IOC (Indicator of Compromise) — это след, который оставляет взлом: известные вредоносные хеши файлов, IP/домены злоумышленника, URL, необычные процессы. Его ценность — механически обнаруживать/блокировать известное вредоносное. Но это реактивная улика, которую злоумышленники меняют дёшево, поэтому сопоставление IOC — финальная проверка, а не полноценная защита. Основная защита — проектирование, устойчивое к проникновению (минимум привилегий, обновления, MFA).