Как работает обнаружение

Четыре уровня, через которые проходит каждое событие, что каждый ловит из пропущенного другими, и многоэтапные сценарии поверх них.

Каждое событие проходит через одни и те же четыре уровня — пришло ли оно от агента Windows, с SSH-сервера, из лог-файла или через API. Событие, пропущенное одним уровнем, может поймать другой.

1. Правила

Правила обнаружения сопоставляют поля, теги и тип события. Правило срабатывает, только когда выполнено каждое его условие. У каждого правила есть техники MITRE ATT&CK, важность и заметки об известных ложных срабатываниях; у большинства есть и тестовые события, доказывающие, что оно срабатывает и молчит, когда должно. См. Правила обнаружения.

Некоторые правила опираются на теги, вычисляемые по предыдущим событиям в момент прихода нового. Среди них:

Тег	Когда ставится
Перебор паролей	5 и более неудачных входов с одного адреса или для одной учётной записи за 10 минут
Сканирование портов	Один источник обращается к 15 и более портам за 2 минуты — или к 40 и более за 24 часа при медленном сканировании
Обнаружение хостов	ICMP-запросы с одного источника к 10 и более хостам за 2 минуты
Beaconing	Подключения с одного источника к одному адресу через равные интервалы: не менее 6 за 30 минут с разбросом не более 15%. Более мягкая проверка ловит beacon с намеренным джиттером.
Lateral movement по SMB	Один источник обращается к 3 и более хостам по порту 445 за 5 минут
Kerberoasting	Запросы сервисных билетов Kerberos к 5 и более разным сервисам с одного источника за 2 минуты
DNS-туннелирование	30 и более разных запросов поддоменов с одного источника за 5 минут
Массовое изменение файлов	50 и более созданных или изменённых файлов на одном хосте за 2 минуты
Администратор в нерабочее время	Администратор входит или получает привилегии вне рабочего времени тенанта или в выходной. Рабочее время и часовой пояс задаются для каждого тенанта.

2. Эвристики бесфайловых атак

Атаки, которые не пишут файлов на диск, видны в командных строках и связях процессов. Эвристики проверяют каждое событие процесса на:

Поведение	ATT&CK
Закодированный или «скачай и запусти» PowerShell	T1059.001
Системные утилиты (living-off-the-land), используемые для запуска кода	T1218
Чтение памяти LSASS	T1003.001
Внедрение в процесс, DLL-инъекция, process hollowing	T1055, T1055.001, T1055.012
WMI для выполнения	T1047
Задачи планировщика, созданные из командной строки	T1053.005
Перехват порядка поиска DLL	T1574.001
Перечисление Active Directory и доверий доменов, Kerberoasting	T1087.002, T1482, T1558.003
Разведка сети, удалённых систем, защитного ПО и облака	T1046, T1018, T1518.001, T1526

3. Поведенческий профиль

Платформа изучает каждого пользователя, хост, адрес, процесс и домен: сколько событий в день он даёт, в какие часы и каких типов. Пока у сущности нет семи дней истории, ничего не оценивается — чтобы профиль видел и рабочие дни, и выходные.

После этого день, объём которого на три стандартных отклонения и более выше нормы сущности, поднимает алерт — high, а при пяти — critical. Активность в час, на который пришлось меньше 1% истории сущности, и тип события, никогда не встречавшийся у неё, оцениваются, но сами по себе алерт не поднимают.

4. Корреляция kill chain

Отдельные события привязываются к стадиям — атака на учётные данные, вход, выполнение, закрепление, дамп учётных данных, уклонение от защиты, lateral movement, воздействие. Стадией считается только событие, уже отмеченное правилом или эвристикой; успешный вход учитывается как контекст. Когда на одном хосте за 30 минут видны эти сочетания, платформа поднимает один алерт с названием цепочки:

Цепочка	Стадии	Важность
Компрометация учётных данных	Атака на учётные данные + вход	High
Активное вторжение — дамп учётных данных	Вход + дамп учётных данных	Critical
Закрепление	Закрепление + выполнение	High
Уклонение + выполнение	Уклонение + выполнение	High
Подготовка lateral movement	Дамп учётных данных + lateral movement	Critical
Полная цепочка атаки	Атака на учётные данные + выполнение + закрепление + lateral movement	Critical
Фаза воздействия	Закрепление + воздействие	Critical

Между хостами и источниками

Четыре правила корреляции объединяют события из разных источников:

Правило	Сценарий	Окно
Перебор → успешный вход	5 и более неудачных входов, затем успешный, с одного адреса	10 минут
Разведка → эксплуатация	Сканирование портов цели, затем попытка эксплуатации против неё	60 минут
Цепочка lateral movement	Успешный вход на один сервер, затем на другой, с одного источника	30 минут
Накопление → вывод данных	100 и более обращений к файлам, затем крупная исходящая передача с одного актива	2 часа

Проверяется и невозможное перемещение — вход одного пользователя из мест, слишком далёких друг от друга для прошедшего времени.