Сигнал тревоги обычно фиксирует отдельный подозрительный эпизод: совпадение с известной сигнатурой вредоносного ПО, всплеск неудачных входов или действие, отмеченное агентом на устройстве. Но он не обязательно показывает, когда началось проникновение и как оно развивалось. Злоумышленник может оставаться в корпоративной сети дни или недели, а высокоприоритетное оповещение появится лишь на одном из поздних этапов.
В SIEM события нередко выглядят разрозненными, даже если их временные отметки совпадают или перекрываются. Если расследовать только то, что вызвало тревогу, можно пропустить предшествующие действия и связанные эпизоды на других системах. Для SOC это особенно непросто: оповещений много, а каждое из них рассказывает лишь часть истории.
Искусственный интеллект помогает атакующим быстрее проводить разведку, готовить целевые полезные нагрузки и запускать сценарии. Но скорость не отменяет необходимости оставаться незаметными. Поэтому злоумышленники растягивают операции во времени и маскируются под обычную работу администраторов. Они используют тихие промежутки между тревогами, рассчитывая на то, что команда безопасности не станет проверять каждое DNS-обращение, запрос LDAP, соединение SMB или попытку аутентификации как отдельный инцидент.
Например, злоумышленник с помощью скомпрометированной учётной записи может понемногу опрашивать контроллер домена через LDAP, выясняя, какие есть пользователи, группы и системы. Затем он делает несколько запросов билетов Kerberos для служб и получает учётные данные, которые можно взламывать офлайн, вне поля зрения SOC. Получив действительные данные, он подключается по SMB или RDP, используемым и администраторами, и перемещается между узлами. На внутренней системе собирает файлы и сжимает их, а позднее связывает её с внешним адресатом через HTTPS или DNS, регулярно, но с небольшими вариациями, передавая данные.
Каждый шаг по отдельности может выглядеть вполне обычно. Один контакт с новым узлом не обязательно вызовет подозрение; последовательность запросов к внутренним службам, аутентификаций между узлами, SMB-сессии и последующего внешнего соединения уже даёт материал для расследования. Разрозненные средства защиты часто видят лишь отдельные фрагменты. Сетевая телеметрия NDR помогает связать их между собой и восстановить контекст.
Просто снизить пороги обнаружения и получать больше тревог не выйдет: SOC не может расследовать каждое обращение к DNS или каждое подключение как инцидент. Некоторые инструменты сообщают, что сработало оповещение, но почти не показывают, как развивалась активность. Если же сохранять исходную сетевую телеметрию, аналитик сможет вернуться к событиям, когда появится повод для проверки: тревога, сбой или другой сигнал.
Для такого разбора важно видеть не только факт обмена трафиком между двумя системами. Данные с учётом протоколов показывают, какой именно тип взаимодействия произошёл, кто в нём участвовал, когда это случилось и как отношения между узлами менялись со временем. Такую картину можно восстановить, например, после оповещения на рабочей станции в 2:14 p.m.: обращалась ли она раньше в тот день к необычному домену, проходила ли аутентификацию на другом узле, открывала ли SMB-сессии с внутренними системами, связывались ли эти системы с другими хостами и возникло ли позже зашифрованное соединение с внешним адресатом.
У каждого события может быть безобидное объяснение. Но вместе они помогают понять, было ли оповещение на рабочей станции изолированной проблемой или частью более длинной атаки. Для AI-расследования это также задаёт правильный масштаб поиска: связанные действия можно искать среди хостов, пользователей, протоколов и временных интервалов, а не разбирать каждую тревогу отдельно.
AI-помощник в SOC способен быстрее человека вручную просматривать данные по разным системам, пользователям, сессиям и периодам. Связанные сведения можно собрать в одном представлении за минуты, а не часы. Автоматизированный процесс в NDR-платформе ищет контекст и связи, после чего передаёт данные аналитику для оценки. Это сокращает ручную работу, помогает выявлять закономерности среди тысяч точек данных и освобождает специалистов для решений о рисках. Если злоумышленник распределил действия по времени, вручную проверить сотни внешне обычных транзакций практически нереально.
Сетевая телеметрия полезна и при сбоях приложений. По ней можно выяснить, какие службы обменивались данными, где начались проблемы со связью, какие зависимости оказались затронуты и что изменилось рядом со временем отказа. Если причиной окажется атака, записи о сетевой активности уже будут доступны для расследования.
Corelight предоставляет данные для обнаружения угроз и реагирования на сети (NDR), описываемые компанией как открытые, прозрачные и объяснимые. По заявлению Corelight, эти данные помогают выявлять скрытные угрозы, сокращать время первичной оценки и использовать агентный ИИ в работе SOC. Структурированные сведения о протоколах дают аналитикам и ИИ больше оснований для проверки гипотез, восстановления последовательности действий и обоснованных выводов, чем отдельные тревоги или метаданные. Указанный адрес сайта: https://corelight. (в исходных сведениях он приведён не полностью).
В SIEM события нередко выглядят разрозненными, даже если их временные отметки совпадают или перекрываются. Если расследовать только то, что вызвало тревогу, можно пропустить предшествующие действия и связанные эпизоды на других системах. Для SOC это особенно непросто: оповещений много, а каждое из них рассказывает лишь часть истории.
Искусственный интеллект помогает атакующим быстрее проводить разведку, готовить целевые полезные нагрузки и запускать сценарии. Но скорость не отменяет необходимости оставаться незаметными. Поэтому злоумышленники растягивают операции во времени и маскируются под обычную работу администраторов. Они используют тихие промежутки между тревогами, рассчитывая на то, что команда безопасности не станет проверять каждое DNS-обращение, запрос LDAP, соединение SMB или попытку аутентификации как отдельный инцидент.
Например, злоумышленник с помощью скомпрометированной учётной записи может понемногу опрашивать контроллер домена через LDAP, выясняя, какие есть пользователи, группы и системы. Затем он делает несколько запросов билетов Kerberos для служб и получает учётные данные, которые можно взламывать офлайн, вне поля зрения SOC. Получив действительные данные, он подключается по SMB или RDP, используемым и администраторами, и перемещается между узлами. На внутренней системе собирает файлы и сжимает их, а позднее связывает её с внешним адресатом через HTTPS или DNS, регулярно, но с небольшими вариациями, передавая данные.
Каждый шаг по отдельности может выглядеть вполне обычно. Один контакт с новым узлом не обязательно вызовет подозрение; последовательность запросов к внутренним службам, аутентификаций между узлами, SMB-сессии и последующего внешнего соединения уже даёт материал для расследования. Разрозненные средства защиты часто видят лишь отдельные фрагменты. Сетевая телеметрия NDR помогает связать их между собой и восстановить контекст.
Просто снизить пороги обнаружения и получать больше тревог не выйдет: SOC не может расследовать каждое обращение к DNS или каждое подключение как инцидент. Некоторые инструменты сообщают, что сработало оповещение, но почти не показывают, как развивалась активность. Если же сохранять исходную сетевую телеметрию, аналитик сможет вернуться к событиям, когда появится повод для проверки: тревога, сбой или другой сигнал.
Для такого разбора важно видеть не только факт обмена трафиком между двумя системами. Данные с учётом протоколов показывают, какой именно тип взаимодействия произошёл, кто в нём участвовал, когда это случилось и как отношения между узлами менялись со временем. Такую картину можно восстановить, например, после оповещения на рабочей станции в 2:14 p.m.: обращалась ли она раньше в тот день к необычному домену, проходила ли аутентификацию на другом узле, открывала ли SMB-сессии с внутренними системами, связывались ли эти системы с другими хостами и возникло ли позже зашифрованное соединение с внешним адресатом.
У каждого события может быть безобидное объяснение. Но вместе они помогают понять, было ли оповещение на рабочей станции изолированной проблемой или частью более длинной атаки. Для AI-расследования это также задаёт правильный масштаб поиска: связанные действия можно искать среди хостов, пользователей, протоколов и временных интервалов, а не разбирать каждую тревогу отдельно.
AI-помощник в SOC способен быстрее человека вручную просматривать данные по разным системам, пользователям, сессиям и периодам. Связанные сведения можно собрать в одном представлении за минуты, а не часы. Автоматизированный процесс в NDR-платформе ищет контекст и связи, после чего передаёт данные аналитику для оценки. Это сокращает ручную работу, помогает выявлять закономерности среди тысяч точек данных и освобождает специалистов для решений о рисках. Если злоумышленник распределил действия по времени, вручную проверить сотни внешне обычных транзакций практически нереально.
Сетевая телеметрия полезна и при сбоях приложений. По ней можно выяснить, какие службы обменивались данными, где начались проблемы со связью, какие зависимости оказались затронуты и что изменилось рядом со временем отказа. Если причиной окажется атака, записи о сетевой активности уже будут доступны для расследования.
Corelight предоставляет данные для обнаружения угроз и реагирования на сети (NDR), описываемые компанией как открытые, прозрачные и объяснимые. По заявлению Corelight, эти данные помогают выявлять скрытные угрозы, сокращать время первичной оценки и использовать агентный ИИ в работе SOC. Структурированные сведения о протоколах дают аналитикам и ИИ больше оснований для проверки гипотез, восстановления последовательности действий и обоснованных выводов, чем отдельные тревоги или метаданные. Указанный адрес сайта: https://corelight. (в исходных сведениях он приведён не полностью).
