Раннее предупреждение о шифровальщиках и ловушки
Сигналы, которые оцениваются до и во время шифрования, файлы-ловушки и учётные данные-приманки, создающие находку в момент использования.
Шифровальщики сводит сигналы до и во время шифрования в один уровень угрозы для вашей организации: Безопасно, Предупреждение, Критично или Активная атака. Страница показывает затронутые машины, хронологию и раздел Что делать сейчас.
Сигналы приходят из реальной телеметрии агента Windows. Файловым сигналам нужен Sysmon, который настраивает установщик агента. Раздел Что отслеживает эта страница перечисляет все сигналы.
Что оценивается
Заголовок раздела «Что оценивается»| Сигнал | Вес |
|---|---|
| Запись в файл-ловушку или использование ловушки | 100 |
| Создана записка о выкупе | 95 |
| 50 и более файлов записаны на одной машине за две минуты | 90 |
| Удалены теневые копии | 85 |
| Удалены резервные копии или отключено восстановление загрузки | 80 |
| 25 и более файлов минимум в трёх папках получили одно необычное расширение за пять минут | 70 |
| Остановлены службы баз данных, резервного копирования или безопасности | 65 |
| Отключён Windows Defender | 45 |
| Очищен журнал Windows Security | 40 |
Файлы-ловушки
Заголовок раздела «Файлы-ловушки»Файлы-ловушки показывает файлы, размещённые в папках, которыми пользуются люди. Законные программы в них не пишут, поэтому запись сразу даёт наивысшую оценку. Ловушка отслеживается через файловые события Sysmon, поэтому на машине нужен агент с Sysmon.
Учётные данные-приманки
Заголовок раздела «Учётные данные-приманки»Сеть ловушек создаёт учётные данные и записи, которыми никто не должен пользоваться. Есть восемь типов токенов: ключ доступа AWS, токен GitHub, ключ API, пароль, адрес базы данных, JWT, секрет клиента Azure и закрытый ключ SSH.
В разделе Готовые ловушки:
- Срабатывают сами: Legit AI видит использование ловушки в данных, которые уже собирает.
- Нужна интеграция: об использовании должна сообщить внешняя система, например AWS или GitHub. На вашем сервере нужный для этого секрет настраивает Legit AI по вашей просьбе.
Мои ловушки показывает размещённое, Срабатывания — что сработало. Использованная ловушка создаёт находку и считается главным сигналом шифровальщика.