MaxPatrol SIEM получил свыше 60 новых правил для обнаружения актуальных атак

Система мониторинга событий ИБ MaxPatrol SIEM дополнена новыми правилами обнаружения угроз. Обновления коснулись 18 пакетов экспертизы, помогающих выявлять актуальные техники атак на Microsoft Active Directory и Microsoft Exchange, а также активность хакерских фреймворков, действия злоумышленников с применением тактик по матрице MITRE ATT&CK¹ и сетевые аномалии во время удаленной работы.

Ежедневно хакеры изобретают новые методы нападений, совершенствуют и модифицируют уже известные и ищут аналоги тем своим инструментам, которые уже покрыты детектами систем безопасности. Чтобы обеспечивать результативную защиту и оперативно предупреждать инциденты ИБ, специалисты Positive Technologies следят за трендами и новейшими подходами киберпреступников и непрерывно расширяют экспертный контент MaxPatrol SIEM. Суммарно в рамках масштабного обновления экспертизы было разработано 60 правил корреляции и нормализации. С их помощью система среди прочего теперь выявляет:

современные сетевые аномалии при удаленной работе, среди которых нетипичные для корпоративной инфраструктуры подключения по VPN или RDG не из России, подозрительные действия на узлах, исходящие от специализированных программ для удаленного администрирования, а также создание посредством их файлов, которые нарушители могут отправить на целевой узел для дальнейшего развития атаки;
дополнительные признаки работы ранее детектируемых хакерских утилит Cobalt Strike и Covenant: их продолжают задействовать для постэксплуатации и сокрытия нелегитимной активности на конечных точках;
новейшие сценарии атак на Microsoft Active Directory, службу каталогов для операционных систем семейства Windows: с обновленным пакетом экспертизы MaxPatrol SIEM сообщит оператору о попытках получения сертификатов для целевой учетной записи в результате ретрансляции NTLM-аутентификации², выпуска TGT-билетов³ на имя другого пользователя вследствие злоупотребления сопоставлением сертификатов и других угрозах, связанных с переоформлением сертификатов;
способы атак на корпоративный почтовый сервер Miсrosoft Exchange: среди добавленных детектируемых событий — скачивание с помощью функции Microsoft ActiveSync содержимого почтового ящика пользователя, учетные данные которого уже находятся в распоряжении злоумышленников, а также получение перечня опубликованных каталогов Microsoft Exchange с последующими попытками подключения по протоколу SMB⁴ к каждому из них.

«Хакеры не теряют интереса к службе сертификации Microsoft: в последние месяцы атаки на Active Directory обрели большую популярность и, как и прежде, остаются в числе самых опасных для компаний. Обусловлено это тем, что служба играет важную роль в работе домена, но при этом имеет множество слабых мест в защите, которые активно эксплуатируются как до выхода патчей, так и после, если намеченные жертвы не установили исправленные версии приложения. Успешная реализация атаки, как правило, позволяет з...

Сергей ЩербаковСтарший специалист группы обнаружения продвинутых атак, Positive Technologies

Дополнительно специалисты Positive Technologies актуализировали выпущенные ранее пакеты для обнаружения техник атакующих, относящихся по матрице MITRE ATT&CK к тактикам «Получение учетных данных» (Credential Access), «Разведка» (Discovery), «Повышение привилегий» (Privilege Escalation), «Закрепление» (Persistence) и другим.

Чтобы начать использовать новые правила, необходимо обновить MaxPatrol SIEM до версии 8.2 и установить обновления пакетов экспертизы.

Описывает тактики и техники, которыми злоумышленники пользуются в своих атаках на корпоративную инфраструктуру.
Протокол сетевой аутентификации, разработанный Microsoft для Windows NT.
Билет проверки подлинности Kerberos.
Сетевой протокол прикладного уровня для удаленного доступа к файлам, принтерам и другим сетевым ресурсам, а также для межпроцессного взаимодействия.