Aniqlash qanday ishlaydi

Har bir hodisa — Windows agentdan, SSH serverdan, log fayldan yoki API’dan kelganidan qat’i nazar — bir xil to’rt qatlamdan o’tadi. Bir qatlam o’tkazib yuborgan hodisani boshqasi ushlashi mumkin.

1. Qoidalar

Aniqlash qoidalari hodisaning maydonlari, teglari va turini solishtiradi. Qoida faqat undagi har bir shart bajarilganda ishga tushadi. Har bir qoidada MITRE ATT&CK texnikalari, daraja va ma’lum soxta signallar haqida eslatmalar bor; ko’pchiligida ishga tushishini va kerak bo’lganda jim qolishini isbotlaydigan test hodisalari ham bor. Aniqlash qoidalari sahifasiga qarang.

Ba’zi qoidalar yangi hodisa kelganda oldingi hodisalardan hisoblanadigan teglarga tayanadi. Ular orasida:

Teg	Qachon qo’yiladi
Brute force	Bitta manzildan yoki bitta hisob uchun 10 daqiqa ichida 5 yoki undan ortiq muvaffaqiyatsiz kirish
Port skanerlash	Bitta manba 2 daqiqa ichida 15 yoki undan ortiq portga murojaat qiladi — sekin skan uchun esa 24 soat ichida 40 va undan ortiq
Hostlarni aniqlash	Bitta manbadan 2 daqiqa ichida 10 yoki undan ortiq hostga ICMP so’rovlari
Beaconing	Bitta manbadan bitta manzilga muntazam oraliqdagi ulanishlar: 30 daqiqada kamida 6 ta, tarqoqligi ko’pi bilan 15%. Yumshoqroq test ataylab “jitter” qo’shilgan beaconlarni ham ushlaydi.
SMB lateral movement	Bitta manba 5 daqiqa ichida 445-port orqali 3 yoki undan ortiq hostga murojaat qiladi
Kerberoasting	Bitta manbadan 2 daqiqa ichida 5 yoki undan ortiq turli xizmat uchun Kerberos service-ticket so’rovlari
DNS tunnel	Bitta manbadan 5 daqiqa ichida 30 yoki undan ortiq turli subdomen so’rovlari
Ommaviy fayl o’zgarishi	Bitta hostda 2 daqiqa ichida 50 yoki undan ortiq fayl yaratilishi yoki o’zgarishi
Ish vaqtidan tashqari admin	Administrator tenantning ish vaqtidan tashqari yoki dam olish kunida kiradi yoki imtiyoz oladi. Ish vaqti va vaqt zonasi har bir tenant uchun belgilanadi.

2. Fileless-malware evristikasi

Diskka fayl yozmaydigan hujumlar buyruq qatorlari va jarayonlar o’rtasidagi munosabatlarda ko’rinadi. Evristika har bir jarayon hodisasini quyidagilar uchun o’qiydi:

Xulq	ATT&CK
Kodlangan yoki “yukla va ishga tushir” PowerShell	T1059.001
Kod ishga tushirish uchun ishlatilgan living-off-the-land dasturlar	T1218
LSASS xotirasini o’qish	T1003.001
Jarayonga, DLL’ga inyeksiya, process hollowing	T1055, T1055.001, T1055.012
Bajarish uchun ishlatilgan WMI	T1047
Buyruq qatoridan yaratilgan rejalashtirilgan vazifalar	T1053.005
DLL search-order hijacking	T1574.001
Active Directory va domen ishonchlarini sanash, Kerberoasting	T1087.002, T1482, T1558.003
Tarmoq, masofaviy tizimlar, xavfsizlik dasturlari va bulutni o’rganish	T1046, T1018, T1518.001, T1526

3. Xulq-atvor bazasi

Platforma har bir foydalanuvchi, host, manzil, jarayon va domenni o’rganadi: kuniga qancha hodisa beradi, qaysi soatlarda va qaysi turdagi. Obyekt yetti kunlik tarixga ega bo’lmaguncha hech narsa baholanmaydi — baza ish kunlarini ham, dam olish kunini ham ko’rgan bo’lishi uchun.

Shundan keyin hajmi obyekt me’yoridan uch standart og’ish yoki undan ko’p yuqori bo’lgan kun alert ko’taradi — high, beshtada esa critical. Obyekt tarixining 1% dan kamini tashkil etgan soatdagi faollik va undan hech qachon ko’rilmagan hodisa turi baholanadi, lekin o’zicha alert ko’tarmaydi.

4. Kill-chain korrelyatsiyasi

Alohida hodisalar bosqichlarga bog’lanadi — credential hujumi, kirish, bajarish, doimiylik, credential dumping, chetlab o’tish, lateral movement, ta’sir. Bosqich sifatida faqat biror qoida yoki evristika allaqachon belgilagan hodisalar hisoblanadi; muvaffaqiyatli kirish kontekst sifatida hisoblanadi. Bitta hostda 30 daqiqa ichida shu birikmalar ko’rinsa, platforma zanjirni nomlaydigan bitta alert ko’taradi:

Zanjir	Bosqichlar	Daraja
Credential kompromatsiyasi davom etmoqda	Credential hujumi + kirish	High
Faol buzib kirish — credential dumping	Kirish + credential dumping	Critical
Mustahkam o’rnashib olish	Doimiylik + bajarish	High
Chetlab o’tish + bajarish	Chetlab o’tish + bajarish	High
Lateral movement oldidan	Credential dumping + lateral movement	Critical
To’liq hujum zanjiri	Credential hujumi + bajarish + doimiylik + lateral movement	Critical
Ta’sir bosqichi	Doimiylik + ta’sir	Critical

Hostlar va manbalar bo’ylab

To’rtta korrelyatsiya qoidasi turli manbalardagi hodisalarni birlashtiradi:

Qoida	Naqsh	Oyna
Brute force → muvaffaqiyatli kirish	Bitta manzildan 5 yoki undan ortiq muvaffaqiyatsiz kirish, so’ng muvaffaqiyatli kirish	10 daqiqa
Razvedka → ekspluatatsiya	Nishonda port skan, so’ng unga qarshi ekspluatatsiya urinishi	60 daqiqa
Lateral movement zanjiri	Bitta manbadan avval bir serverga, so’ng boshqasiga muvaffaqiyatli kirish	30 daqiqa
Ma’lumot yig’ish → chiqarib yuborish	Bitta aktivdan 100 yoki undan ortiq faylga murojaat, so’ng katta tashqi uzatish	2 soat

Imkonsiz sayohat — bir foydalanuvchining oradagi vaqt uchun juda uzoq joylardan kirishi — ham tekshiriladi.

AI qayerda

Bu qatlamlarning hech biri til modeli emas. AI tahlilchi ular topganini tushuntiradi.