Код Безопасности Secret Net Studio: правила корреляции

RV-D-847d6ab7be99

Нарушение целостности объекта системы

Механизм контроля целостности осуществляет слежение за неизменностью контролируемых объектов (файлов, каталогов, элементов системного реестра). Правило регистрирует корреляционное событие при внесении изменений в контролируемый объект или его удалении.

RV-D-1415

Подключено съемное устройство к компьютеру

Одной из функций механизма контроля подключения и изменения устройств в Secret Net Studio является поддержание в актуальном состоянии списка устройств компьютера. Правило обнаруживает подключение нового устройства и регистрирует корреляционное событие.

RV-D-1416

Изменение политики безопасности Secret Net Studio

Изменение действующей политики осуществляется администратором локально или централизованно через центр управления. Правило обнаруживает изменения в действующей политике безопасности Secret Net Studio и регистрирует корреляционное событие.

RV-D-1417

Очищен журнал событий Secret Net Studio

Атакующий, с целью сокрытия следов присутствия в инфраструктуре и затруднения последующего расследования, может очистить журналы событий. Правило обнаруживает факт очистки журнала пользователем.

RV-D-1422

Отключение механизма самозащиты в Secret Net Studio

Отключение механизма самозащиты может позволить атакующему произвести несанкционированную остановку или модификацию критических служб, процессов и механизмов защиты.

RV-D-1423

Отключение защитного механизма в Secret Net Studio

Механизмы защиты осуществляют различные функции по защите от несанкционированного доступа к ресурсам хоста, на котором установлен Secret Net Studio. При их отключении может значительно снизиться уровень защищенности узла. Правило обнаруживает факт отключения защитного механизма.

RV-D-1424

Изменение правил межсетевого экрана в Secret Net Studio

Изменение или удаление правил межсетевого экранирования может расширить поверхность атаки для атакующего, а также ограничить легитимный доступ для администраторов к консоли управления. Правило обнаруживает добавление, удаление или изменение правил межсетевого экрана.

RV-D-1426

Многократная смена пароля учетной записи

Многократная смена пароля учетной записи в течение короткого промежутка времени является признаком аномального поведения пользователя. Правило обнаруживает аномальное поведение на основе событий изменения пароля и создает корреляционное событие после нескольких таких попыток.

RV-D-1431

Массовая блокировка узлов Secret Net Studio

Блокировка узлов Secret Net Studio может осуществляться вручную администратором или на основании нарушений, выявленных механизмом контроля целостности. Правило обнаруживает множественную блокировку узлов в сети и регистрирует корреляционное событие.

RV-D-1432

Массовая разблокировка узлов Secret Net Studio

Разблокировка узлов Secret Net Studio может осуществляться администратором локально или через центр управления. После разблокирования узла снимаются ограничения на вход. Правило обнаруживает множественное разблокирование узлов в сети и регистрирует корреляционное событие.

RV-D-1434

Вход пользователя из черного списка

Правило обнаруживает вход в систему пользователя из черного списка (активного списка secretnet_significant_users), содержащего учетные записи, под которыми запрещен вход на устройство с установленным средством защиты информации Secret Net Studio.

RV-D-1435

Изменение критически важной учетной записи

При изменении параметров пользователя можно расширить или ограничить доступ к конфиденциальным ресурсам. Правило обнаруживает изменение параметров критически важных пользователей, включенных в активный список privileged_users_and_hosts.