🥊 Как найти «пробив» с помощью анализа трафика Один из популярных векторов проникновения в сеть компании — успешная эксплуатация уязвимостей в сервисах на периметре. В нашей терминологии это называется «пробивом». Чтобы проникнуть в сеть, злоумышленнику необходимо скомпрометировать ресурсы, расположенные в демилитаризованной зоне (ДМЗ). При этом он может прийти откуда не ждали: из интернета сети удаленных пользователей, филиалов компании, сети подрядчика и т. п. Таким образом, мониторинг расположенных в ДМЗ сервисов является критически важной задачей. 🤨 Как сделать это эффективно • Самый быстрый и достаточно эффективный способ — анализ трафика. Например, с помощью PT Network Attack Discovery (PT NAD). Однако если просто завести в продукт трафик, то можно потонуть в false positive: сети всех компаний исследуются в режиме нон-стоп, а злоумышленники предпринимают попытки проникнуть внутрь. • Для того чтобы разобраться со срабатываниями, необходимо их верифицировать вручную. Если алертов немного, проверка не вызывает проблем. Но если их сотни, вероятность пропустить «пробив» значительно увеличивается. • Команде PT NAD пришла идея — научить систему тем действиям, которые аналитик выполняет для верификации эксплуатации уязвимости. Продукт умеет не только анализировать трафик на потоке, но и записывать метаданные сессий в хранилище (они доступны для анализа), что позволяет выявить действия злоумышленника. • В итоге был создан алгоритм проверки успешности «пробива». За счет этого удалось автоматизировать рутинные действия аналитика, снизить число false positive и повысить вероятность обнаружения атаки. 👉 Подробнее о работе алгоритма, который помогает вовремя выявить злоумышленника, в новом материале на Хабре рассказал Виктор Еременко, лидер продуктовой практики PT NAD: https://vk.cc/cGloJI #PositiveЭксперты