Отслеживайте попытки доступа к сети или вычислительным ресурсам со стороны пользователей, зачастую с использованием доменных служб аутентификации, таких как System Security Services Daemon (sssd) в Linux.

Примечания.

• В Windows для отслеживания поведения пользователей при входе в систему можно использовать события журналов безопасности, в частности события с идентификатором 4624.
• В Linux для оповещения об изменениях в файлах с информацией о входе в систему можно использовать механизмы аудита, поддерживающие мониторинг целостности файлов (FIM), например демон аудита (auditd). К указанным файлам относятся: /etc/login.defs, /etc/securetty, /var/log/faillog, /var/log/lastlog, /var/log/tallylog.
• В MacOS для аудита попыток входа и аутентификации учетных записей пользователей можно использовать механизмы аудита, поддерживающие сбор информации о попытках входа пользователей, например OSQuery.

Отслеживайте подозрительные действия с учетными записями, которые имеют доступ к нескольким системам, будь то учетные записи пользователей, администраторов или служб. Примеры: одна учетная запись, которая вошла в несколько систем одновременно; несколько учетных записей, вошедших в систему на одной машине одновременно; попытки входа в необычное или нерабочее время. Подозрительная активность может исходить от интерактивной рабочей сессии или включать использование прав владения процессами для запуска бинарных файлов на удаленной системе определенными учетными записями.

Подключение по протоколу удаленного рабочего стола нередко проводится системными администраторами и службами поддержки, но только с определенных рабочих станций. Отслеживая попытки подключения к удаленным рабочим столам и сопоставляя их источники с известными и одобренными системами, можно выявить перемещение злоумышленников внутри сети.

Случаи одновременного входа нескольких пользователей в систему на одной машине или в пределах часа крайне нетипичны для сетей, за которыми мы вели наблюдение. Вход в систему регистрируется событиями Windows с идентификаторами 4624 (Windows Vista и выше) и 518 (версии ниже Vista). События выхода — события Windows с идентификаторами 4634 (Windows Vista и выше) и 538 (версии ниже Vista). Особое внимание уделяйте типам входа 2, 3, 9 и 10. С подробностями можно ознакомиться в таблице типов входа на странице событий аудита входа Microsoft.

Аналитика 1. Вход в систему с помощью удаленного рабочего стола

(source="*WinEventLog:Security" EventCode="4624") AuthenticationPackageName= "Negotiate" AND Severity= "Information" AND logon_type= "10"

Сопоставляйте сведения других систем безопасности с информацией о входе (например, данные о пользователе, который вошел в систему, но не находится в здании и не имеет доступа через VPN).

Внедрение многофакторной аутентификации (MFA) в организационную политику может значительно снизить риск получения злоумышленником контроля над действительными учетными данными, которые могут быть использованы для дополнительных тактик, таких как первоначальный доступ, боковое перемещение и сбор информации. MFA также можно использовать для ограничения доступа к облачным ресурсам и API.

Регулярно проверяйте уровни разрешений доменных учетных записей, чтобы выявить ситуации, в которых злоумышленник может получить широкий доступ, завладев учетными данными привилегированной учетной записи. Не включайте учетные записи пользователей или администраторов домена в группы локальных администраторов на всех системах, если они не находятся под строгим контролем и использование учетных записей не сегментировано, поскольку это часто эквивалентно наличию учетной записи локального администратора с одинаковым паролем на всех системах. Следуйте передовым методам разработки и администрирования корпоративной сети, чтобы ограничить использование привилегированных учетных записей на всех административных уровнях. Ограничьте дублирование учетных данных в разных системах, чтобы предотвратить доступ в случае получения учетных данных.

Приложения могут отправлять уведомления для подтверждения входа в систему (многофакторная аутентификация). Научите пользователей подтверждать только действительные уведомления и сообщать о подозрительных уведомлениях.