15.04.2019 Новости, БезопасностьПо сообщению компании Positive Technologies, в систему мониторинга событий ИБ MaxPatrol SIEM загружен пакет экспертизы, который позволяет выявлять аномалии в активности пользователей в Microsoft Active Directory. Такие активности внутри сети могут свидетельствовать о развитии атаки на ИТ-инфраструктуру организации, приводящей к неограниченному контролю в управлении учетными записями и компьютерами локальной сети. Новые правила корреляции, вошедшие в пакет экспертизы, выявляют действия злоумышленника с помощью профилирования активности пользователей. Для каждой учетной записи и сетевого узла в инфраструктуре автоматически формируется модель поведения на основе истории легитимных действий. Когда пользователь совершит отклоняющееся от модели действие, MaxPatrol SIEM зарегистрирует аномалию. На данный момент реализовано три сценария: вход в систему Windows, обращение к сетевым ресурсам общего доступа и именованным каналам, запрос сессионных билетов для аутентификации через Kerberos. Если любой из перечисленных выше сценариев выполнен успешно и реализуется от имени учетной записи или с сетевого узла, которые не выполняли таких действий на протяжении длительного времени, оператор MaxPatrol SIEM получит уведомление об инциденте ИБ с описанием типа и ключевых атрибутов аномалии. Эксперты Positive Technologies планируют постепенно расширять набор правил корреляции для выявления аномальной активности в инфраструктуре. В течение месяца будет добавлено правило для выявления запуска ...
читать далее.
