Статья Как обнаружить 10 популярных техник пентестеров.

[Vasserman]

Сегодня мы поговорим о рекомендациях для обнаружения атак, а также советы по укреплению системы защиты для предотвращения подобных инцидентов.

Также рассмотрены вопросы, связанные с применением эффективных методов безопасности и соответствием требованиям регуляторов.

В качестве основных источников для обнаружения применения этих техник выступают: ​

• Журнал событий ОС, включая аудит безопасности и вход в систему.
• Сетевой трафик.
• Журнал событий приложений.
• Журнал событий на контроллере домена.

Для облегчения предотвращения и обнаружения атак с использованием этих техник можно использовать следующие системы защиты информации: ​

• Системы управления событиями информационной безопасности (SIEM).
• Системы анализа сетевого трафика (NTA).
• Межсетевые экраны уровня приложений (WAF).
• Межсетевые экраны нового поколения (NGFW).
• Системы обнаружения вторжений (IDS).
• Системы предотвращения вторжений (IPS).
• Решения для обнаружения и реагирования на вредоносную активность на конечных узлах (EDR) и их расширенные версии (XDR).

Также можно использовать встроенные в Windows механизмы обеспечения безопасности, такие как ПО для защиты от атак, направленных на кражу учетных данных (Credential Guard).

Мы также сопоставили превентивные меры по недопущению атак с требованиями Приказа ФСТЭК России № 17. Предложенные меры для основных десяти техник покрывают 33 из 113 требований Приказа.

Например, среди техник, используемых для получения первоначального доступа в инфраструктуру, чаще всего встречается применение техники Exploit Public-Facing Application (T1190), что было обнаружено в 100% проектов по внешнему тестированию на проникновение. Эту атаку можно обнаружить через журнал событий приложения, журнал событий ОС или сетевой трафик, а предотвратить — через управление уязвимостями, сетевые анализаторы и сегментацию сети.

Таким образом, представленные рекомендации и инструменты позволяют эффективно предотвращать и обнаруживать разнообразные атаки, а также соответствовать требованиям регуляторов в области информационной безопасности.