Экспертиза MaxPatrol SIEM

Отслеживайте попытки включить поддержку сценариев в системе и рассматривайте их как подозрительные. Если использование сценариев в системе допустимо, но не является типичным, их выполнение вне цикла обновлений или других административных задач должно рассматриваться как подозрительное. По возможности сохраняйте сценарии, записанные в файловой системе, для последующего анализа действий и целей злоумышленников.

Отсутствие новых записей в журнале .bash_history во время сеанса пользователя следует считать подозрительным. Отслеживайте изменение настроек истории команд PowerShell, а именно случаи запуска процессов с аргументами командной строки -HistorySaveStyle SaveNothing и использование команд PowerShell Set-PSReadlineOption -HistorySaveStyle SaveNothing и Set-PSReadLineOption -HistorySavePath {File Path}. На сетевых устройствах отслеживайте пропуски или несоответствия в записях, созданных интерпретаторами командной строки, а также в журналах аутентификации, авторизации и аудита (AAA), включая журналы RADIUS и TACACS+.

Отслеживайте изменения в настройках учетных записей тех пользователей или тенантов, которые могут повлиять на функции ведения журналов в средствах защиты — например, события Изменить пользователя и Изменить лицензию пользователя в журнале аудита Azure AD.

Отслеживайте нетипичное удаление ключей реестра Windows, с помощью которых злоумышленники могут изменить компоненты среды атакуемого, чтобы помешать работе средств защиты или отключить их.

Отслеживайте изменения в ключах реестра и (или) значения, с помощью которых злоумышленники могут отключать или модифицировать настройки системного межсетевого экрана, включая HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy.

Отслеживайте записи журналов, сообщения и другие артефакты, указывающие на состояние датчиков узла (например, метрики, ошибки и (или) исключения из инструментов ведения журналов), сопоставляя и сравнивая централизованную телеметрию с подозрительными уведомлениями на отдельных системах.

Отслеживайте изменения в файле /etc/audit/audit.rules, содержащем последовательность команд auditctl, которые загружаются во время запуска системы.

Отслеживайте недостающие файлы журналов для машин, которые находились в активной работе.

Отслеживайте нетипичную/подозрительную активность драйверов, особенно связанных с EDR и инструментами безопасности. Также обратите внимание на те драйверы, с помощью которых злоумышленники могут отключить протоколы безопасности.

Отслеживайте неожиданные изменения настроек и (или) данных облачных служб.

Отслеживайте в журналах вызовы API, направленные на отключение журналирования. В AWS отслеживайте такие записи, как StopLogging и DeleteTrail. В GCP отслеживайте google.logging.v2.ConfigServiceV2.UpdateSink. В Azure отслеживайте az monitor diagnostic-settings delete. Кроме того, неожиданная потеря источника журнала может указывать на отключение журналирования.

Отслеживайте контекстные данные службы/демона, включая имя, исполняемый файл и тип запуска, с помощью которых можно изменить компоненты среды атакуемого, чтобы помешать работе средств защиты или отключить их.

Отслеживайте аномальное выполнение syslog и других функций, используемых системным журналом.

По возможности отслеживайте подозрительные процессы, которые могут подменять сообщения систем безопасности и мониторинга.

Отслеживайте неожиданное удаление запущенных процессов (например, события Sysmon с ИД 5 или события Windows с ИД 4689), с помощью которых злоумышленники могут изменить компоненты целевой среды, чтобы помешать работе средств защиты или отключить их.

Используя другой процесс или сторонние инструменты, отслеживайте потенциально вредоносные изменения или обращения к системному процессу auditd.

Отслеживайте изменения статуса системного межсетевого экрана, в частности, события системы аудита безопасности Windows с ИД 5025 (остановка службы брандмауэра Windows) и 5034 (остановка драйвера брандмауэра Windows).

Отслеживайте создание и изменение групп безопасности или правил межсетевых экранов в облачных журналах.

Проследите, чтобы действовали пользовательские права, которые не позволяют злоумышленникам отключать брандмауэр или вносить изменения в его настройки.

Проследите, чтобы у процессов и файлов были надлежащие разрешения, чтобы предотвратить отключение или изменение настроек брандмауэра злоумышленником.

Проследите, чтобы в реестре были соответствующие разрешения, чтобы предотвратить отключение или изменение настроек брандмауэра злоумышленниками.

Используйте контроль приложений там, где это необходимо, особенно в отношении выполнения инструментов, выходящих за рамки политик безопасности организации (например, инструментов для удаления руткитов), которые были использованы для ослабления защиты системы. Проследите, чтобы в корпоративных системах использовались и работали только одобренные приложения для обеспечения безопасности.

Регулярно проверяйте разрешения ролей учетных записей, чтобы убедиться, что право изменять системные брандмауэры имеют только те пользователи и роли, которым это требуется.

Проследите, чтобы средства защиты конечных точек работали в безопасном режиме.