SIEM: от корреляции до расследования

Представим условную ситуацию:

1. По учетной записи сотрудника происходит 15 неудачных попыток входа в VPN.
2. Через минуту вход удается с непривычного IP-адреса.
3. Затем учетная запись обращается к файловому серверу, с которым обычно не работает.
4. После этого фиксируется передача большого объема данных.

Корреляционное правило может связать эти события по учетной записи и времени и сформировать сигнал для проверки.
 
Но сама цепочка еще не доказывает атаку.
 
Сотрудник мог вернуться из командировки, несколько раз ошибиться в пароле и скачать архив для новой задачи.
 
Возможен и другой сценарий — учетную запись использует посторонний.
 
Аналитику предстоит проверить устройство, историю активности, назначение файлов и обстоятельства доступа. SIEM помогает собрать данные для этой проверки и выделить подозрительную последовательность.
 
В первую очередь стоит связаться с сотрудником и верифицировать активность, подтвердить ее легитимность. Многие кейсы решаются уже на этом этапе.
 
Если действия нелегитимны, необходимо изолировать потенциальную точку входа: например, выполнить сетевую изоляцию хоста и блокировку учетной записи VPN.
 
После купирования необходимо определить точку проникновения и принять меры, чтобы предотвратить подобные инциденты в будущем.
 
В этом кейсе явно есть риск компрометации учетных данных VPN. Значит, меняем пароль, проверяем хост сотрудника на наличие ПО, которое могло перехватить учетные данные. Параллельно вычищаем следы деятельности злоумышленника и проверяем, не оставил ли он себе обходных путей.

Что происходит после срабатывания
SIEM может показать алерт в консоли, отправить уведомление, создать тикет или передать сигнал в SOAR для запуска сценария реагирования.
 
Однако способ доставки — только часть задачи.
 
Для работы с сигналом нужно понимать:
 
✔️ что именно вызвало срабатывание
✔️ какие учетные записи и системы затронуты
✔️ почему сигналу присвоен такой приоритет
✔️ какие данные необходимо проверить дальше
✔️ кто отвечает за проверку и последующие действия.
 
Приоритет зависит и от контекста.
 
Подозрительный вход под учетной записью с широкими правами требует иного внимания, чем похожее событие в изолированной тестовой среде.
 
Автоматическая блокировка тоже требует заранее согласованных условий: ошибка может прервать законную работу.
 
Поэтому связь между обнаружением и реагированием нужно проектировать вместе с владельцами инфраструктуры.
 
SIEM не принимает решение вместо аналитика. Она должна дать ему достаточно данных, чтобы это решение можно было принять быстро и обоснованно.
 
#SIEM #SOC #ПрактикаИБ