მთავარი დასკვნა
აღმოჩენის წესები ცნობილი ნიმუშების პოვნას ეხმარება; ძიება საეჭვო აქტივობას ავტომატური შეტყობინების არქონისასაც იკვლევს. სასარგებლო პროცესი ჰიპოთეზას, შესაბამის ტელემეტრიას, ანალიტიკოსის გადახედვასა და აღმოჩენის წესებში უკუკავშირს აკავშირებს.
როგორ მუშაობს აღმოჩენა და პროაქტიული ძიება ერთად
საფრთხეების აღმოჩენა ქსელებში, აპლიკაციებსა და ბოლო მოწყობილობებზე აქტივობას კომპრომეტაციის ნიშნებისთვის ამოწმებს. სიგნატურები და წესები ცნობილ ნიმუშებს პოულობს; ქცევით ანალიზს ჩვეულებრივი აქტივობიდან გადახრების გამოვლენა შეუძლია. საფრთხეებზე მონადირეები სისტემებსა და ქსელებში ეძებენ აქტივობას, რომელიც ავტომატური შეტყობინების გარეშე შეიძლება დამალული დარჩეს. ეს მიდგომები ერთმანეთს ავსებს: ხელსაწყოები სიგნალებსა და მონაცემებს იძლევა, ანალიტიკოსი კონტექსტს ამოწმებს და აღმოჩენები შემდგომ აღმოჩენასა და რეაგირებას აუმჯობესებს. დამალული აქტივობის ძიებამ შეიძლება შეუმჩნევლად ყოფნის დრო შეამციროს, როცა მონაცემები მას ავლენს და გუნდი შედეგებზე მოქმედებს.
აღმოჩენის ოთხი მიდგომა
ერთი მეთოდი ყველა ტიპის აქტივობას ვერ გამოავლენს. საფრთხეების ინფორმაციის, ქცევითი სიგნალებისა და ანალიტიკოსის გამოკვლევის გაერთიანება გუნდის ხედვას აფართოებს.
საფრთხეების ინფორმაცია და სიგნატურები
მავნე პროგრამების ცნობილი სიგნატურები, კომპრომეტაციის ინდიკატორები (IOC) და მოწინააღმდეგის ტაქტიკა, ტექნიკა და პროცედურები (TTP) დაკვირვებულ მონაცემებს ედარება. ეს ცნობილ საფრთხეებს ამოიცნობს; ახალ ან შეცვლილ ქცევას დამატებითი ანალიტიკა და გამოკვლევა სჭირდება. მსგავსი წესები შეიძლება ანტივირუსში, SIEM‑ში, IDS‑სა და ვებპროქსი სისტემებში გამოიყენებოდეს.
ქცევითი ანალიზი
გუნდი სწავლობს ჩვეულებრივ ნიმუშებს, მაგალითად მომხმარებლის ტიპურ შესვლის დროსა და ადგილს. სამუშაო საათებს გარეთ ადრე უნახავი ადგილიდან შესვლა გამოკვლევას შეიძლება იმსახურებდეს. EDR‑ის მსგავს ხელსაწყოებს ბოლო მოწყობილობის კონტექსტის დამატება, ადმინისტრატორის შეტყობინება და პოლიტიკით დამტკიცებული რეაგირების დაწყება შეუძლია. მოვლენათა ჩანაწერები ანალიტიკოსს შესვლის დროისა და წყაროს შემდგომ მოვლენებთან დაკავშირებაში ეხმარება.
მატყუარა ხაფანგები
უსაფრთხოების გუნდს შეუძლია მოწინააღმდეგის მოსაზიდად სატყუარა ანგარიშის ან რესურსის განთავსება. კონფიგურირებულმა მონიტორინგმა მასზე წვდომისას შეიძლება შეატყობინოს. ეს სიგნალი აქტივობისა და ტექნიკის გამოკვლევას იწყებს; თავისთავად შეტევას არ ამტკიცებს. სატყუარას რეალურ მონაცემებსა და საწარმოო სისტემებზე წვდომა შეუზღუდეთ.
პროაქტიული ძიება
ანალიტიკოსები SIEM‑ის, EDR‑ის, ქსელისა და აპლიკაციის მონაცემებს იყენებენ საეჭვო აქტივობის საძებნელად, რომელსაც შეტყობინება არ წარმოუქმნია. ძიება შეიძლება საფრთხეების ინფორმაციით, კონკრეტული შეტევის ტექნიკით ან გარემოზე დაკვირვებით დაიწყოს. ანალიტიკოსები ხელით და მანქანით მხარდაჭერილ მეთოდებს იყენებენ.
ჰიპოთეზები და ძიების მიდგომები
ძიება შემოწმებადი კითხვით დაიწყეთ: რა ქცევას ელით, სად შეიძლება გამოჩნდეს და რომელი მონაცემები აჩვენებს? გარემოს ცოდნა, წინა გამოკვლევები, საფრთხეების ინფორმაცია და ანალიტიკოსის გამოცდილება ჰიპოთეზას აყალიბებს. MITRE ATT&CK‑ის მსგავს ჩარჩოებს ქცევის ცნობილ ტექნიკებთან დაკავშირება შეუძლია, Cyber Kill Chain კი შეტევის ეტაპების ორგანიზებას ეხმარება.
სტრუქტურირებული
ძიება განსაზღვრულ მეთოდსა და მიმდევრობას მიჰყვება, შესაძლოა ATT&CK‑ის ან Cyber Kill Chain‑ის მიხედვით. Lockheed Martin‑ის შვიდი ეტაპია დაზვერვა, შეიარაღება, მიწოდება, ექსპლუატაცია, დაყენება, მართვა და კონტროლი და მიზნობრივი ქმედებები.
არასტრუქტურირებული
ანალიტიკოსი გამოცდილებიდან, შეტყობინებიდან, ანომალიიდან ან დაკვირვებიდან იწყებს და შესაბამის კონტექსტს მისი გამოჩენისას მიჰყვება.
საფრთხეების ინფორმაციაზე დაფუძნებული
აქტუალური საფრთხეების ინფორმაცია და აქტიური ექსპლუატაციის ანგარიშები კონკრეტული აქტორის ქცევისა და ხელსაწყოების ძიებას წარმართავს.
სამიზნეზე ორიენტირებული
შეზღუდული დროისა და რესურსების პირობებში ძიება მოწინააღმდეგისთვის ღირებულ აქტივებზე ფოკუსირდება, მაგალითად ავთენტიფიკაციის სისტემებზე, მონაცემთა საცავებსა და ღრუბლოვან ინფრასტრუქტურაზე.
ტექნიკაზე ორიენტირებული
მონადირე კონკრეტულ შეტევის ტექნიკას ირჩევს და გარემოში მის შესაბამის ქცევას ეძებს.
მუდმივი მეთოდოლოგია
ძიება განმეორებად სამუშაოდ მიიჩნიეთ, რომელსაც გადახედვა და გაუმჯობესება სჭირდება და არა შემთხვევით ამოცანად „როცა დრო იქნება“.
ტექნოლოგია და მონაცემები
ბოლო მოწყობილობის უსაფრთხოება, ავტომატური აღმოჩენა და სასარგებლო ტელემეტრია მონადირეებს ანომალიების, უჩვეულო ნიმუშებისა და შეტევის კვალის შესწავლის საფუძველს აძლევს.
კვალიფიციური პერსონალი
ძიებას ანალიტიკური აზროვნება, პრობლემის გადაჭრისა და ციფრული ექსპერტიზის უნარები სჭირდება. განსაზღვრეთ პასუხისმგებლობა, ხელმისაწვდომი დრო და ესკალაციის მოვალეობა.
წვდომა საფრთხეების ინფორმაციაზე
IOC‑ებს, შეტევის კლასიფიკაციებსა და საფრთხის ჯგუფის კონტექსტს ჰიპოთეზებისა და პრიორიტეტების ჩამოყალიბება შეუძლია; თითოეული წყარო შესაბამისობისა და აქტუალურობის მხრივ შეაფასეთ.
ძიება ჰიპოთეზიდან რეაგირებამდე
ძიების გეგმა დაკვირვებას შემოწმებად კითხვად აქცევს. გამომწვევი შეიძლება თავად ჰიპოთეზა, შეტყობინება ან კონკრეტულ სისტემაზე შეშფოთება იყოს. აღრიცხეთ გამოყენებული მონაცემები, მიღებული გადაწყვეტილებები და შემდეგი ქმედებები, რათა გუნდმა გამოკვლევა გაიმეოროს ან გადააბაროს. ავტომატიზაციას მონაცემთა შეგროვების აჩქარება, შეტყობინებების ხმაურის პრიორიტეტებით დალაგება და მცირე ჩვეულებრივი რეაგირებების შესრულება შეუძლია, რაც ანალიტიკოსებს რთული გამოკვლევებისთვის მეტ დროს უტოვებს.
ჩამოაყალიბეთ ჰიპოთეზა
აღწერეთ საეჭვო ქცევა და მისი შესაძლო კავშირი აქტორთან, TTP‑სთან ან გარემოს პირობასთან. გაითვალისწინეთ საფრთხეების ინფორმაცია, გარემოს ცოდნა, წინა გამოცდილება და ალტერნატიული ახსნები.
შეაგროვეთ და მოამზადეთ მონაცემები
ჰიპოთეზის შესამოწმებლად შეარჩიეთ ბოლო მოწყობილობის, ქსელის, იდენტობისა და ჟურნალის მონაცემები; აღრიცხეთ დაფარვისა და ხელმისაწვდომობის ხარვეზები. SIEM‑ს შეგროვებისა და ანალიზის მხარდაჭერა შეუძლია.
გაუშვით ძებნა და გადახედეთ აღმოჩენებს
მოთხოვნა გაუშვით გამომწვევთან დაკავშირებულ სისტემაში ან ქსელის არეში. დრო, მომხმარებელი, მოწყობილობა და დაკავშირებული მოვლენები შეადარეთ ჩვეულებრივი აქტივობის საეჭვო ნიმუშებისგან გასარჩევად.
განაგრძეთ გამოკვლევა
შესაძლო ანომალიას EDR‑ითა და სხვა საგამოძიებო ხელსაწყოებით მიჰყევით. დაადასტურეთ ან უარყავით ჰიპოთეზა, გამოავლინეთ დაზიანებული აქტივები და შესაძლო მასშტაბი, შეინახეთ მტკიცებულებები და აღწერეთ გაურკვევლობა.
უპასუხეთ და გამოიყენეთ ნასწავლი
მავნე აქტივობის დადასტურებისას აღმოჩენები ინციდენტზე რეაგირების გუნდს გადაეცით. შეინარჩუნეთ მტკიცებულებები და უფლებამოსილებისა და პოლიტიკის ფარგლებში იმოქმედეთ მავნე პროგრამის წაშლის, შეცვლილი ფაილების აღდგენის, ქსელური ეკრანისა თუ IPS წესების განახლების, პატჩებისა და კონფიგურაციის ცვლილებების განხილვისას. ინდიკატორები აღმოჩენის სისტემებს მიაწოდეთ და მომავალი ძიებებისთვის კითხვები აღრიცხეთ.
ინდიკატორები ხელახლა გამოსაყენებელ ინფორმაციად აქციეთ
დადასტურებული ინდიკატორები და ქცევები შესაბამის სენსორებსა და აღმოჩენის წესებს დაამატეთ. რეალურ დროში მომუშავე სენსორი სასარგებლო შეიძლება იყოს, თუმცა მის შექმნასა და მოვლას რესურსები და ტექნიკური მზადყოფნა სჭირდება.
ანალიტიკური მეთოდები და ძიების კითხვები
ანალიტიკური მეთოდები მონაცემთა ნაკრებში გამორჩეული მნიშვნელობების გამოვლენას ეხმარება. მოცულობისა და სიხშირის ანალიზს მართვისა და კონტროლის სერვერთან პერიოდული კონტაქტის მსგავსი ნიმუშების გამოვლენა შეუძლია. საერთო მახასიათებლების მქონე ჩანაწერების დაჯგუფება, კლასტერიზაცია და დათვლა (stacking) მსგავსებებსა და სტატისტიკურ უკიდურესობებს ავლენს. მხოლოდ გამორჩეული მნიშვნელობა მავნე აქტივობას არ ადგენს.
მოცულობითი ანალიზი
მონაცემთა მოცულობაში გამორჩეულ მნიშვნელობებს ეძებს. იკითხეთ: რამდენ მონაცემს აგზავნიან ბოლო მოწყობილობები გარეთ? რომელმა გაგზავნა ყველაზე მეტი? რომელ გარე IP‑ს ჰქონდა ყველაზე მეტი დაბლოკილი კავშირი? რომელ სისტემებს ჰქონდა ყველაზე ხანგრძლივი სესიები ან ყველაზე მეტი ანტივირუსის შეტყობინება?
სიხშირული ანალიზი
ზომავს, რამდენად ხშირად ხდება მოვლენა ჰოსტის ან ქსელის დონეზე. მოცულობით ანალიზთან ერთად შეუძლია ქსელურ პერიოდულ სიგნალებთან დაკავშირებული უჩვეულო გამეორების გამოვლენა.
კლასტერული ანალიზი
ერთად იკვლევს ჰოსტისა და ქსელის მახასიათებლებს ჩვეულებრივი ქცევის უჩვეულო კონცენტრაციის ან მოულოდნელი კლასტერების საპოვნელად.
დაჯგუფების ანალიზი
შერჩეული მახასიათებლების მცირე ნაკრებს ერთად იკვლევს ისეთი კომბინაციების გამოსავლენად, რომლებიც მოწინააღმდეგის ხელსაწყოებსა თუ ტექნიკებს შეიძლება გამოარჩევდეს.
ჯგუფური დათვლა (stacking)
საერთო მახასიათებლის მქონე ჩანაწერები ერთიანდება და ნაკრებში ერთმანეთს ედარება სტატისტიკური უკიდურესობების საპოვნელად. მაგალითებია მომხმარებლის აგენტის სტრიქონები, მაღალი დროებითი პორტის ნომრები, კონკრეტული ფაილის სახელები და გზები, დაყენებული პროგრამები და განყოფილებებში პროცესების სახელები და შესრულების გზები.
გამოკვლევის ხელსაწყოების მაგალითები
ხელსაწყო კონკრეტული ძიების კითხვისთვის შეარჩიეთ და მის შედეგს გადახედეთ. ეს მაგალითები სხვადასხვა ამოცანას ემსახურება; დანერგვამდე მიმდინარე გამოშვებები, მხარდაჭერა და ორგანიზაციის პოლიტიკა შეამოწმეთ.
CyberChef
ანალიზისა და დეკოდირების ოპერაციებს მათი პარამეტრებით ხელახლა გამოსაყენებელ „რეცეპტებად“ აერთიანებს. მიმდევრობა შემავალ მონაცემებზე გამოიყენება, შედეგი კი ცალკე ჩანს.
Phishing Catcher
ღია კოდის კონცეფციის დემონსტრაცია, რომელიც CertStream‑ით Certificate Transparency ჟურნალების TLS სერტიფიკატების მონაცემებიდან შესაძლო ფიშინგის დომენებს მონიშნავს. ეჭვის ქულა გადასახედი მინიშნებაა; ფიშინგისთვის გამოყენება ცალკე უნდა შემოწმდეს.
DNSTwist
მიწოდებული დომენის ვარიანტებს ბეჭდვითი შეცდომებითა და მსგავსი სიმბოლოებით ქმნის, შემდეგ ამოწმებს, გამოიყენება თუ არა. საერთაშორისო დომენის სახელებს უჭერს მხარს. მიმსგავსებული დომენი გადახედვას იმსახურებს, თუმცა თავისთავად მავნე აქტივობის მტკიცებულება არ არის.
AttackerKB
AttackerKB მოწყვლადობების გასაგებად და პრიორიტეტიზაციისთვის გამოიყენებოდა. Rapid7‑მა დამოუკიდებელი საჯარო პლატფორმა გააუქმა; მისი დომენი ახლა Rapid7 Vulnerability and Exploit Database‑ზე გადამისამართდება. ახალი ტექნიკური ანალიზი Rapid7‑ის ბლოგსა და მოწყვლადობების ბაზაში იპოვეთ.
YARA
წესებზე დაფუძნებული დამთხვევის ხელსაწყო. თავსებად უსაფრთხოების კონტროლს YARA წესების გამოყენება კონკრეტული მავნე ოჯახებისა თუ მგრძნობიარე დოკუმენტების საძებნელად შეუძლია.
კომპრომეტაციის შეფასება და მუდმივი ძიება
კომპრომეტაციის შეფასება ქსელისა და ბოლო მოწყობილობების განსაზღვრულ ფარგლებში გამოკვლევაა მიმდინარე ან ახლო წარსულის უნებართვო აქტივობის მტკიცებულებისთვის. ორგანიზაციამ ის კომპრომეტაციის ეჭვისას შეიძლება შეუკვეთოს. საფრთხეების ძიება ჰიპოთეზებით, ქცევითა თუ ინფორმაციით წარმართული განმეორებადი გამოკვლევაა და ერთი შეფასებით არ შემოიფარგლება. შეღწევადობის ტესტი უსაფრთხოების კონტროლს აფასებს; ძიება მისი აუცილებელი გაგრძელება არ არის და ცალკე მიზანი აქვს.
შეფასების კრიტერიუმები
ეფექტიანობა: შეუძლია ცნობილი მავნე პროგრამების, დისტანციური წვდომის ხელსაწყოებისა და საეჭვო ქცევის ამოცნობა? სისწრაფე: რამდენად სწრაფად აფასებს განსაზღვრულ გარემოს აღმოჩენითა და გავრცელებული წვდომის მეთოდებით? ხარჯი: მკაფიოა ფასი თითოეულ მოწყობილობაზე ან განმეორებით შეფასებაზე? დამოუკიდებლობა: მოწმდება აღმოჩენები მეთოდებით, რომლებიც მხოლოდ არსებულ ხელსაწყოებსა და პერსონალს არ ეყრდნობა?
მოსალოდნელი შედეგები და პერიოდულობა
შეფასებისგან შეიძლება მნიშვნელოვანი მოწყვლადობების, მტრული აქტივობისა თუ მავნე ლოგიკის გამოვლენას, შემდეგ რეაგირების რეკომენდაციებსა და გამოკვლევის ჩანაწერებს ელოდნენ. ის სრულ ციფრულ ექსპერტიზას ვერ ცვლის. ყოველთვიური ხელახალი შეფასება დაგეგმვის ერთ-ერთი შესაძლო ინტერვალია; პერიოდულობა რისკის, ფარგლებისა და რესურსების მიხედვით განსაზღვრეთ.
შეარჩიეთ კითხვის მიხედვით
შეფასების ფარგლები განსაზღვრეთ, როცა მიმდინარე ან ახლო წარსულის კომპრომეტაციის მტკიცებულება გჭირდებათ. ძიების პროგრამა შექმენით, როცა ქცევითი ანომალიებისა და კონტროლისთვის გვერდის ამვლელი აქტივობის განმეორებადი გამოკვლევა გჭირდებათ. საეჭვო აღმოჩენას ინციდენტზე რეაგირება და უფრო ღრმა ციფრული ექსპერტიზა შეიძლება დასჭირდეს.
ძიების მომწოდებლის შეფასების შვიდი კრიტერიუმი
წინადადებების შედარებისას თითოეული კრიტერიუმი წერილობით ფარგლებსა და პასუხისმგებლობის განაწილებაში განსაზღვრეთ.
კომპეტენცია და გამოცდილება
იკითხეთ გუნდის გამოცდილებაზე მის მეთოდებში, თქვენს გარემოსთან მსგავს სისტემებსა და მტკიცებულებაზე დაფუძნებულ გამოკვლევის შედეგებში.
ტექნოლოგია
დააზუსტეთ გამოყენებული ანალიტიკა, EDR, მონაცემთა წყაროები და საფრთხეების ინფორმაცია, შენახვისა და ინტეგრაციის შეზღუდვებთან ერთად.
მორგებული ფარგლები
შეათანხმეთ, როგორ ერგება ფარგლები თქვენს ქსელს, ბიზნესმიზნებსა და უსაფრთხოების მოთხოვნებს და ვინ ამტკიცებს ცვლილებებს.
ინფორმაცია კიბერსაფრთხეების შესახებ
იკითხეთ, როგორ ახლდება წყაროები, როგორ ფასდება შესაბამისობა და როგორ აყალიბებს ინფორმაცია კონკრეტულ ძიების გადაწყვეტილებებს.
უწყვეტობა და ადაპტაცია
დააზუსტეთ მონიტორინგის საათები, ცვლების გადაბარებები, პერიოდული ინტენსიური ძიებები და გეგმის ცვლილება საფრთხეებისა თუ გარემოს ცვლილებისას.
სწავლება და ცოდნის გადაცემა
განსაზღვრეთ, როგორ გაზიარდება აღმოჩენები, მეთოდები და რეკომენდაციები შიდა გუნდთან და როგორ მიიღებს იგი მონაწილეობას.
მხარდაჭერა და კომუნიკაცია
აღწერეთ კონტაქტები, გადაუდებელი შეტყობინების არხები, ანგარიშის მიმღებები, რეაგირების საათები და მომხმარებლის დამტკიცების მომთხოვნი ქმედებები.
ხილვადობა და ცოდნა ბოლო მოწყობილობის ძიებაში
ბოლო მოწყობილობებზე ძიება მოწყობილობისა და მომხმარებლის მონაცემებს უცნობი აქტივობისთვის იკვლევს. ეს ოთხი სიტუაცია შესამოწმებელი მონაცემებისა და კონტექსტის არჩევას ეხმარება.
ცნობილი და დაკვირვებული
საფრთხე გაგებულია და სისტემაში ხილულია; დაადასტურეთ და მასშტაბი დაადგინეთ.
შესაძლებელი, მაგრამ ჯერ დაუკვირვებელი
კონტროლს კონკრეტული საფრთხე არ დაუფიქსირებია, თუმცა ცნობილი რისკი ან მოწყვლადობა მის არსებობას დამაჯერებელს ხდის; შეისწავლეთ შესაბამისი მონაცემთა წყაროები.
დაკვირვებული, მაგრამ ჯერ გაუგებარი
სისტემამ უცნობი აქტივობა აღმოაჩინა, თუმცა ბუნება და გამოსავალი გაურკვეველია; მეტი კონტექსტი და გამოკვლევაა საჭირო.
დაუკვირვებელი და უცნობი
არც აქტივობაა ცნობილი და არც მისი ბუნება; ტელემეტრიის ხარვეზები და წესებისთვის გვერდის ამვლელი ქცევა ამ სიტუაციის აღმოჩენას ართულებს.
რა შეიძლება გააუმჯობესოს ძიებამ
შეაფასეთ, რომელი სისტემები და მონაცემები შემოწმდა ჰიპოთეზის მიხედვით, გამოიღო თუ არა ძიებამ სასარგებლო აღმოჩენები ან ახალი აღმოჩენის წესები და დასრულდა თუ არა შეთანხმებული გამოსწორება.
ადრეული აღმოჩენა
შეტყობინების გარეშე საეჭვო აქტივობის გამოკვლევამ დამალული საფრთხის შეუმჩნევლად ყოფნის დრო შეიძლება შეამციროს.
მეტი კონტექსტი
ანალიტიკოსს ბოლო მოწყობილობისა და ქსელის მოვლენების დაკავშირება შეუძლია შესაძლო შეტევის გზისა და დაზიანებული აქტივების უფრო მკაფიო სურათის ასაგებად.
რეაგირებისა და აღდგენის პრიორიტეტები
აღმოჩენები რეაგირების ქმედებების, ფაილების აღდგენის, პატჩებისა და კონფიგურაციის ცვლილებების პრიორიტეტიზაციას შეიძლება დაეხმაროს.
გაუმჯობესებული კონტროლი და სწავლა
გაკვეთილები აღმოჩენის წესებად, პროცედურებად, თანამშრომელთა სწავლებად და ძიების ახალ ჰიპოთეზებად აქციეთ.
მონაცემები და ნდობა
ანალიტიკოსებს დაკავშირებული მოვლენების შეერთება, მონაცემების დაცვა, ინციდენტის გავლენის შეფასება და აღდგენის ნაბიჯების კოორდინაცია შეუძლიათ.
იისფერი გუნდის ხელახალი ტესტირება
შეთანხმებულ უსაფრთხო სცენარში წითელი გუნდი აქტივობას ასრულებს, ლურჯი გუნდი აღმოჩენასა და რეაგირებას ამოწმებს, იისფერი კოორდინაცია კი ტელემეტრიას, ანალიტიკასა და გადაწყვეტილებებს ერთად განიხილავს. გამოასწორეთ ხარვეზები და სცენარი გაიმეორეთ; შედეგი მხოლოდ რუკის უჯრის გაფერადებით არ გაზომოთ.
ATT&CK რუკებისა და შეფასებების წაკითხვა
ATT&CK ტაქტიკასა და ტექნიკებს ახარისხებს, Navigator კი ანოტაციებისა და შეფასებების ფენებად ვიზუალიზაციას ეხმარება. მხოლოდ ფერადი უჯრა აღმოჩენას არ ამტკიცებს. დაფარვის გადახედვისას ცალკე შეამოწმეთ, მნიშვნელოვანია თუ არა საფრთხე თქვენი ორგანიზაციისთვის, ხელმისაწვდომია თუ არა საჭირო ტელემეტრია, მუშაობს თუ არა ანალიტიკა და გამოიღო თუ არა სცენარის ტესტმა დაკვირვებული შედეგი.
ATT&CK Evaluations შედეგები
შედეგების განმარტებამდე განსაზღვრეთ შეფასების წელი და რაუნდი, სცენარი, მონაწილის კონფიგურაცია და რას ზომავს ამ რაუნდის შეფასების მეთოდი. Enterprise 2026‑ს შემოაქვს Total Evaluation Score (TES); პირდაპირ არ შეადაროთ იგი წინა რაუნდების განსხვავებულ მაჩვენებლებს. შედეგები შემოწმებულ ფარგლებსა და კონფიგურაციას ეხება. გაითვალისწინეთ თქვენი გარემოსთვის შესაბამისი ტექნიკები, ტელემეტრია, საოპერაციო მოდელი და ადგილობრივი ტესტის შედეგები.
ხშირად დასმული კითხვები
ძიების პროგრამა ორგანიზაციის ზომის, მონაცემთა მგრძნობელობისა და რისკის პროფილის მიხედვით ააგეთ.
რა არის კიბერსაფრთხეებზე პროაქტიული ძიება და რით განსხვავდება ტრადიციული უსაფრთხოებისგან?
ძიება ქსელში შესაძლო დამალული საფრთხეების აქტიური გამოკვლევაა. ის ავტომატურ სიგნალებს, ანალიტიკურ სამუშაოსა და ადამიანურ კომპეტენციას აერთიანებს ისეთი აქტივობის საძებნელად, რომელიც ხელსაწყოებს შეიძლება გამორჩა.
რა სიხშირით უნდა ეძებდეს ორგანიზაცია საფრთხეებს?
სიხშირე ორგანიზაციის ზომაზე, მონაცემებსა და რისკის პროფილზეა დამოკიდებული. ერთ-ერთი მოდელი უწყვეტ მონიტორინგს პერიოდულ ინტენსიურ ძიებებს უთავსებს; დრო და ფარგლები ხელმისაწვდომ რესურსებსა და შეთანხმებულ მიზანს მოარგეთ.
რა ვიკითხო სერვისის წინადადებების შედარებისას?
იკითხეთ გუნდის კომპეტენციაზე, ტექნოლოგიასა და მონაცემთა წყაროებზე, მორგებულ ფარგლებზე, ინფორმაციის აქტუალურობაზე, მონიტორინგსა და ადაპტაციაზე, ცოდნის გადაცემაზე, მხარდაჭერასა და მომხმარებლის დამტკიცების მომთხოვნ რეაგირების ქმედებებზე.