Путь атаки и граф сущностей

Как отдельные алерты объединяются в одну атаку, насколько она важна для бизнеса и где сдерживание одного объекта разрывает больше всего путей.

Два представления показывают алерты связанными, а не по одному. Путь атаки восстанавливает идущие атаки. Граф сущностей показывает, как связаны хосты, пользователи, адреса и алерты.

Путь атаки

Какие алерты — одна атака

Два алерта относятся к одной атаке, только если у них есть что-то конкретное общее — хост, пользователь, IP-адрес, домен или хеш файла — и по этому общему они произошли в пределах 24 часов друг от друга. Помещение алертов в одно расследование тоже объединяет их, когда бы они ни произошли: это аналитик говорит, что это одна история.

Что не объединяет алерты:

общая техника MITRE — техника есть классификация, а не то, что два события могут разделять;
значения-заполнители вроде unknown, встроенные учётные записи и значения, которые тенант пометил как доверенные.

Для атаки нужно минимум два разных обнаружения. Одиночное обнаружение показывается, только если его что-то подтверждает: оно уже в расследовании, к нему относятся две или больше техник MITRE, или оно затрагивает два или больше актива.

Что показывает атака

Часть	Что это
Стадии	По одной на каждое отдельное обнаружение, в порядке первого появления. Правило, сработавшее десять раз, — одна стадия, ×10.
Связи между стадиями	Каждая стадия соединяется с последней более ранней стадией, с которой у неё есть общее, и связь называет его (`host WIN-07`, `ip 203.0.113.5`). Ничто не рисуется как причина, если это не наблюдалось.
Тактики	Каждая стадия размещается на тактике MITRE ATT&CK, к которой относятся её техники
Узкие места	Хосты, пользователи, адреса и файлы, через которые проходит больше всего стадий, и что даст сдерживание каждого
Адреса для блокировки	Внешние адреса, которые находки называют индикаторами, — никогда не ваши активы, не частные, не loopback и не доверенные
Расследования	Открытые расследования, уже содержащие любой из её алертов, — чтобы никто не открыл второе

Атака остаётся активной, пока любой её алерт открыт, разбирается, подтверждён, расследуется или эскалирован.

Business Impact Score

Каждая атака получает одну оценку от 0 до 100, и каждый её вход показан рядом:

оценка = min(100, наибольший риск алерта × 0.5  +  min(вовлечённых сущностей, 10) × 4  +  бонус актива)

Бонус актива зависит от критичности атакуемого актива, заданной у актива от 1 до 5: 0, 5, 10, 15 или 20 баллов.

Граф сущностей

Граф показывает все хосты, пользователей, адреса, индикаторы и алерты за последние 30 дней и распространяет риск по связям: хост, связанный с critical-алертом, сам находится под риском.

Действие	Что делает
Поиск вокруг	Связи сущности, сгруппированные по типу
Найти путь	Выберите две сущности — граф покажет, как они связаны
Радиус поражения	Чего достигает сущность, риск по этому охвату и что сдерживать первым
Автоматическое расследование Legit AI	Для выбранной сущности: радиус поражения и наиболее вероятный путь атаки через неё
Слои	Скрыть или показать каждый тип сущностей

Панели Узкие места и Концентраторы показывают сущности с наибольшим числом связей — устраните одну, и разорвётся несколько путей.