Памятка по настройке активных списков

Активные списки предназначены для повышения эффективности правил корреляции, упрощения процедур обогащения событий и сбора информации для последующего анализа. Они используются в системе для обеспечения перекрестных ссылок в процессе анализа, выполняемого корреляторами.

Настройка выполняется при внедрении и дополняется по результатам профилирования правил и изменений в инфраструктуре. Списки разделены на три группы по способу заполнения:

Группа Действия при внедрении Раздел

Списки с предустановленными значениями

Проверка состава и дополнение при необходимости

2

Списки, заполняемые автоматически

Включение (наполнение происходит автоматически)

3

Списки, заполняемые вручную

Заполнение данными инфраструктуры организации

4

Внутри разделов материалы систематизированы по категориям источников: операционные системы, почтовая инфраструктура, СУБД, средства защиты информации и другие.

1. Общие требования к заполнению

  1. Регистр. Все строковые значения необходимо указывать в нижнем регистре. Правила приводят значения из события через downcase() перед сравнением.

  2. IP-адреса. IP-адреса необходимо указывать в формате IPv4 (10.150.10.11). Правила преобразуют IP-адреса из событий с помощью функции ipv6_to_ipv4(), поэтому адреса в формате IPv6-mapped, например, ::ffff:10.150.10.11, не дадут совпадения. Подсети и CIDR не поддерживаются — необходимо перечислять отдельные адреса.

  3. Ключевые поля. В таблицах ниже данные поля отмечены в столбце Ключ. Правило формирует запрос по всем ключевым полям одновременно: если хотя бы одно ключевое поле записи не совпадает со значением из события, запись не будет найдена.

  4. Подстановочный символ *. Поддерживается только в тех полях, где это отмечено явно.

  5. Перечисление значений. В поле src списка privileged_users_and_hosts_cimv2 несколько адресов указываются через запятую с пробелом (10.10.10.1, 10.10.10.2) — правило разбирает поле через split(", "). В остальных списках для каждой записи указывается только одно значение.

  6. Поле description не участвует в логике обработки правил и используется исключительно для документирования записи. Для удобства дальнейшей эксплуатации рекомендуется заполнять его содержательными и понятными значениями.

2. Списки с предустановленными значениями

Списки содержат предустановленный набор значений. При внедрении необходимо проверить их содержимое и при необходимости дополнить объектами организации. Удалять предустановленные записи не требуется.

2.1. Windows

critical_service — RV-AS-24

  • Источник: Windows System.

  • Назначение списка: указание служб Windows, остановка которых должна расследоваться.

  • Правила: RV-D-785.

  • Предустановлено: Windows Defender Antivirus Service, Windows Event Log, Security Accounts Manager, Credential Manager, Netlogon, Active Directory Domain Services, Windows Management Instrumentation, DNS Client, DHCP Client, Server, Workstation, Windows Defender Firewall, IPsec Policy Agent, winlogbeat.

  • Рекомендуемые дополнения: службы установленных в организации СЗИ (агент EDR, агент DLP, агент резервного копирования) и службы бизнес-приложений, остановка которых влияет на доступность сервиса.

Поле Тип Ключ Обязательность Описание значения

service

string

Да

Да

Отображаемое имя службы в нижнем регистре — значение поля события dst_service_name

description

string

—

Нет

Назначение службы

critical_registry_cimv2 — RV-AS-28

  • Источник: Windows Sysmon, Windows Security.

  • Назначение списка: указание ключей реестра и их значений, установка которых является признаком ослабления защиты.

  • Правила: RV-D-910.

  • Предустановлено: хранение паролей в открытом виде (WDigest UseLogonCredential), отключение диспетчера задач и редактора реестра, изменение политики запуска PowerShell, параметры, характерные для BlackByte, скрытие элементов интерфейса.

  • Рекомендуемые дополнения: параметры реестра прикладного ПО организации, изменение которых отключает защитные механизмы или журналирование.

Поле Тип Ключ Обязательность Описание значения

path

string

Да

Да

Путь к параметру реестра без корневого куста, в нижнем регистре. Правило отбрасывает первые 1–2 сегмента dst_object_path_full до символа \. Пример: system\currentcontrolset\control\securityproviders\wdigest\uselogoncredential

data

string

Да

Да

Контролируемое значение параметра в нижнем регистре — значение поля dst_object_value. Пример: dword (0x00000001)

id

integer

—

Нет

Порядковый номер записи

name

string

—

Нет

Описание эффекта от установки значения

important_gpo_cimv2 — RV-AS-40

  • Источник: Windows Security.

  • Назначение списка: указание GUID и отображаемых имен объектов групповой политики, изменения которых контролируются.

  • Правила: RV-D-1146.

  • Предустановлено: Default Domain Policy (31b2f340-016d-11d2-945f-00c04fb984f9) и Default Domain Controllers Policy (6ac1786c-016f-11d2-945f-00c04fb984f9).

  • Рекомендуемые дополнения: политики, задающие парольные требования, назначение прав пользователей, политику аудита, параметры AppLocker и Windows Defender. GUID можно получить с помощью команды: Get-GPO -All | Select-Object DisplayName, Id.

Поле Тип Ключ Обязательность Описание значения

guid

string

Да

Да

GUID объекта групповой политики без фигурных скобок, в нижнем регистре

name

string

—

Логика

Отображаемое имя политики, подставляемое в текст оповещения

legitimate_scheduled_task_cimv2 — RV-AS-42

  • Источник: Windows Security.

  • Назначение списка: указание запланированных задач, изменение которых не требует реагирования.

  • Правила: RV-D-1168.

  • Предустановлено: штатные задачи Windows и распространенного ПО (обновления Microsoft Edge, Google Chrome, Git for Windows, Office).

  • Рекомендуемые дополнения: задачи прикладного ПО организации и задачи, создаваемые системами управления конфигурацией и резервного копирования. Перечень формируется с помощью команды: Get-ScheduledTask | Select-Object TaskPath, TaskName.

Поле Тип Ключ Обязательность Описание значения

path

string

Да

Да

Путь к задаче в нижнем регистре, начинается с \ — значение dst_object_name. Пример: \microsoftedgeupdatetaskmachinecore

id

integer

—

Нет

Порядковый номер записи

duplicate_token_legitimate_processes_cimv2 — RV-AS-43

  • Источник: Windows Sysmon.

  • Назначение списка: указание процессов, для которых дублирование токена доступа является штатной операцией.

  • Правила: RV-D-912.

  • Предустановлено: системные процессы Windows — wmiprvse.exe, svchost.exe, lsass.exe и другие.

  • Рекомендуемые дополнения: процессы систем удаленного управления и инвентаризации, работающие от имени системы, по результатам разбора ложных срабатываний.

Поле Тип Ключ Обязательность Описание значения

filename

string

Да

Да

Имя процесса-родителя в нижнем регистре, без пути — значение src_process_name

description

string

—

Нет

Обоснование исключения

2.2. Linux

important_linux_service — RV-AS-27

  • Источник: Linux Auditd.

  • Назначение списка: указание сервисов Linux, остановка которых должна расследоваться.

  • Правила: RV-D-901.

  • Предустановлено: auditd, rsyslog, syslog-ng, syslogd, kesl, kesl-supervisor, klnagent, klnagent64, cybertrace, rpoint-agent, drweb-configd, apparmor, ufw, iptables, mysqld.

  • Рекомендуемые дополнения: сервисы СЗИ и прикладного ПО организации — агенты сбора логов, сервисы СУБД, серверы приложений. Для сбора активных служб можно воспользоваться командой: systemctl list-unit-files --state=enabled.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

Имя сервиса в нижнем регистре — значение поля события dst_service_name

description

string

—

Нет

Назначение сервиса

2.3. Solar webProxy

critical_parameters_swp_cimv2 — RV-AS-64

  • Источник: Solar webProxy.

  • Назначение списка: указание параметров прокси, изменение которых не требует реагирования.

  • Правила: RV-D-1578.

  • Предустановлено: monitor-server, skvt-kerberos-server.

  • Рекомендуемые дополнения: параметры конкретной инсталляции, изменяемые в рамках регламентного обслуживания. В поле dstObjectPath допускается символ * — исключение действует для любых подразделов параметра.

Поле Тип Ключ Обязательность Описание значения

dstObjectName

string

Да

Да

Имя параметра в нижнем регистре — значение dst_object_name

dstObjectPath

string

Да

Да

Путь или подраздел настройки — значение dst_object_path. Допускается символ *

description

string

—

Нет

Назначение параметра

3. Списки, заполняемые автоматически

Списки наполняются правилами корреляции во время работы и не требуют настройки. Записи имеют ограниченный срок хранения, пустое состояние после установки пакета является штатным. Вносить записи вручную не следует: они будут удалены по истечении срока действия, указанного в столбце TTL.

3.1. Windows

Активный список ID Правило-наполнитель TTL Назначение

legitimate_guids_svchost_processes_cimv2

RV-AS-25

RV-AL-4

30 000 с

Накапливает GUID родительских процессов svchost, обслуживающих службу Schedule, для исключения штатной работы планировщика из RV-D-817.

save_logons_cimv2

RV-AS-29

RV-AL-5

300 с

Кэш удаленных входов (EventID 4624). По идентификатору сессии 10 правил lateral movement восстанавливают адрес узла-источника.

dns_queries_count_cimv2

RV-AS-32

RV-D-900

RV-D-1392

3600 с

Счетчик уникальных поддоменов в разрезе домена и узла для выявления DNS-туннелирования.

3.2. Microsoft Exchange

Активный список ID Правило-наполнитель TTL Назначение

suspicious_recipients_cimv2

RV-AS-44

RV-D-1166

3600 с

Счетчик внутренних отправителей в разрезе внешнего получателя

mailbox_permission_grant_cimv2

RV-AS-67

RV-AL-6

1200 с

Фиксация выданных прав доступа к почтовым ящикам для выявления их отзыва в течение 20 минут

3.3. Средства защиты

Активный список ID Правило-наполнитель TTL Назначение

active_threat_list_cimv2

RV-AS-62

RV-D-1568

86 400 с

Накопление зараженных узлов в разрезе хэша SHA256 для выявления массового заражения

different_threats_on_single_host_cimv2

RV-AS-63

RV-D-1569

86 400 с

Накопление вердиктов средств АВЗ в разрезе узла

4. Списки, заполняемые вручную

Для каждого списка указаны источники информации, состав вносимых данных и примеры заполнения. Примеры заполнения поля content приведены в формате YAML.

4.1. Общие списки

Заполняются в первую очередь: используются правилами всех источников.

privileged_users_and_hosts_cimv2 — RV-AS-30

  • Источник: все источники.

  • Назначение списка: указание привилегированных учетных записей в разрезе продукта и узла, а также адресов, с которых для них разрешен вход. Оповещение формируется только для УЗ из списка. При заполненном поле src оповещение не формируется, если вход выполнен с указанного адреса.

  • Правила: RV-D-919, RV-D-985, RV-D-1027, RV-D-1028, RV-D-1040, RV-D-1046, RV-D-1060, RV-D-1066, RV-D-1196, RV-D-1197, RV-D-1224, RV-D-1285, RV-D-1304, RV-D-1310, RV-D-1327, RV-D-1435, RV-D-1436, RV-D-1447, RV-D-1448, RV-D-1449, RV-D-1480, RV-D-1488, RV-D-1500, RV-D-1501, RV-D-1517, RV-D-1523, RV-D-1542, RV-D-1543, RV-D-1544, RV-D-1545, RV-D-1547, RV-D-1553, RV-D-1560, RV-D-1562, RV-D-1573, RV-D-1578, RV-D-1580, RV-D-1585, RV-D-1602, RV-D-1604, RV-D-1645, RV-D-1657, RV-D-1683, RV-D-1691, RV-D-1706, RV-D-1722.

  • Вносимые данные:

    • учетные записи администраторов домена и леса (Domain Admins, Enterprise Admins, Schema Admins);

    • локальные администраторы серверов, включая УЗ, добавленные через групповые политики;

    • администраторы прикладных систем: СУБД (sa, postgres, владельцы схем), виртуализации (administrator@vsphere.local), сетевого оборудования (admin, root на Cisco, MikroTik, Eltex), СЗИ (Континент, Secret Net, Check Point), Jira, Гарда WAF;

    • технические УЗ с административными правами, используемые системами управления и резервного копирования.

  • Правила заполнения: для каждой уникальной комбинации учетной записи, продукта и узла создается отдельная запись. Если администратору разрешен вход на любой узел данного продукта, в поле host необходимо указать символ *. Если на конкретном узле привилегированной считается любая УЗ, в поле username указывается символ *. Адреса рабочих станций администрирования перечисляются в поле src через запятую с пробелом (", "). При пустом src проверка источника не выполняется и оповещение формируется на каждый вход.

  • Источник данных: Get-ADGroupMember "Domain Admins", выгрузка ролей из консолей прикладных систем, перечень АРМ администраторов из сегмента управления.

Поле Тип Ключ Обязательность Описание значения

username

string

Да

Да

Имя привилегированной УЗ в нижнем регистре. Сравнивается с src_user_name (правила входа и действий от лица УЗ) либо с dst_user_name (правила изменения УЗ). Допускается символ *.

product

string

Да

Да

Значение поля события device_product в нижнем регистре: windows, sql_server, postgresql, jira, kontinent, vcenter. Для MikroTik (RV-D-1304) сравнивается с device_vendor.

host

string

Да

Да

Узел-источник событий в нижнем регистре. В большинстве правил — device_fqdn; для Jira, Cisco IOS, Континент, СУБД — device_hostname; для Гарда WAF (RV-D-1448) — device_ip. Допускается символ *.

src

string

—

Логика

Адреса IPv4, с которых вход для данной УЗ разрешен. Несколько адресов указываются через запятую с пробелом. Пустое значение отключает проверку источника.
Пример заполнения списка
- username: "adm_ivanov"
  product: "windows"
  host: "dc01.example.com"
  src: "10.10.5.11, 10.10.5.12"
- username: "sa"
  product: "sql_server"
  host: "sql01.example.com"
  src: "10.10.5.11"
- username: "*"
  product: "kontinent"
  host: "kont01.example.com"
  src: "10.10.5.11"

brute_legit_host_cimv2 — RV-AS-31

  • Источник: все источники.

  • Назначение списка: указание узлов и учетных записей, для которых серии неуспешных аутентификаций являются штатными.

  • Правила: RV-D-992, RV-D-1004, RV-D-1005, RV-D-1034, RV-D-1045, RV-D-1062, RV-D-1065, RV-D-1097, RV-D-1098, RV-D-1102, RV-D-1103, RV-D-1118, RV-D-1154, RV-D-1155, RV-D-1274, RV-D-1281, RV-D-1283, RV-D-1307, RV-D-1308, RV-D-1404, RV-D-1418, RV-D-1438, RV-D-1440, RV-D-1465, RV-D-1468, RV-D-1469, RV-D-1484, RV-D-1487, RV-D-1505, RV-D-1534, RV-D-1541, RV-D-1546, RV-D-1575, RV-D-1577, RV-D-1579, RV-D-1637, RV-D-1639, RV-D-1641, RV-D-1658, RV-D-1661, RV-D-1665, RV-D-1666, RV-D-1668, RV-D-1669, RV-D-1672, RV-D-1685, RV-D-1688.

  • Вносимые данные:

    • сканеры защищенности и системы инвентаризации, выполняющие аутентифицированное сканирование;

    • системы мониторинга, опрашивающие узлы по SSH, WMI, SNMP;

    • интеграционные УЗ, у которых в конфигурации смежной системы остался устаревший пароль;

    • узлы NAT и терминальные серверы, с которых приходит аутентификация множества пользователей с одного адреса;

    • УЗ, для которых характерны опечатки при вводе пароля на общих терминалах.

  • Правила заполнения: список заполняется не на этапе установки, а по результатам разбора первых срабатываний правил подбора пароля. Для каждого ложного срабатывания вносится запись с адресом источника, продуктом, целевой УЗ и узлом. Если источник легитимен для любых УЗ, в поле username указывается символ *; если УЗ штатно дает отказы с любых адресов, в поле src указывается символ *.

  • Источник данных: оповещения правил подбора пароля за первые 3—​5 рабочих дней эксплуатации.

Поле Тип Ключ Обязательность Описание значения

src

string

Да

Да

Адрес IPv4 узла, с которого выполнялись попытки входа — src_ip (для RV-D-1665, RV-D-1666 — dst_ip). Допускается символ *

product

string

Да

Да

Значение device_product в нижнем регистре

username

string

Да

Да

Имя целевой УЗ в нижнем регистре: src_user_name либо dst_user_name в зависимости от источника. Допускается символ *

hostname

string

Да

Да

Узел, на котором зафиксирован отказ. В большинстве правил — device_fqdn; device_hostname — в RV-D-1534, RV-D-1541, RV-D-1546, RV-D-1685, RV-D-1688; device_ip — в RV-D-1637, RV-D-1639, RV-D-1641

description

string

—

Нет

Обоснование исключения
Пример заполнения списка
- src: "10.20.0.50"
  product: "windows"
  username: "*"
  hostname: "dc01.example.com"
  description: "Сканер защищенности, аутентифицированное сканирование"
- src: "*"
  product: "postgresql"
  username: "svc_backup"
  hostname: "pg01.example.com"
  description: "Устаревший пароль в задании резервного копирования, заявка INC-1024"

4.2. Windows

telegram_legit_actives_cimv2 — RV-AS-26

  • Источник: Windows Sysmon.

  • Назначение списка: указание узлов и процессов, которым разрешены обращения к API Telegram.

  • Правила: RV-D-831.

  • Вносимые данные: узлы и полные пути процессов легитимных интеграций: боты оповещения службы мониторинга, скрипты рассылки уведомлений, корпоративный мессенджер-шлюз. Если Telegram в организации запрещен, список остается пустым.

  • Источник данных: согласование с владельцами систем мониторинга, разбор первых срабатываний правила.

  • Поставляется с демонстрационной записью, которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

hostname

string

Да

Да

FQDN узла в нижнем регистре — device_fqdn

processName

string

Да

Да

Полный путь к исполняемому файлу в нижнем регистре — src_process_path_full

description

string

—

Нет

Обоснование исключения
Пример заполнения списка
- hostname: "mon01.example.com"
  processName: "c:\\scripts\\alert_bot\\notify.exe"
  description: "Бот оповещения службы мониторинга"

known_dc_cimv2 — RV-AS-34

  • Источник: Windows Security.

  • Назначение списка: указание FQDN всех контроллеров домена инфраструктуры.

  • Правила: RV-D-1011, RV-D-1151, RV-D-1220, RV-D-1446.

  • Вносимые данные: FQDN каждого контроллера домена всех доменов леса, включая контроллеры только для чтения (RODC) и контроллеры в филиалах. Список должен быть полным: узел, отсутствующий в списке, но выполняющий репликацию, расценивается правилами как подставной контроллер.

  • Источник данных: Get-ADDomainController -Filter * | Select-Object HostName. При наличии нескольких доменов команда выполняется для каждого. Get-ADDomainController требует предустановленного модуля ActiveDirectory (RSAT). Наименования доменов рекомендуется заполнять в нижнем регистре.

  • Поставляется с демонстрационными записями (dc01.example.com, dc02.example.com), которые необходимо заменить на актуальные.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

FQDN контроллера домена в нижнем регистре — значение device_fqdn либо src_fqdn

description

string

—

Нет

IP-адрес и SID контроллера домена
Пример заполнения списка
- name: "dc01.example.com"
  description: "10.10.10.10, основной КД домена example.com"
- name: "dc02.example.com"
  description: "10.10.10.11, резервный КД домена example.com"

known_dc_ip_cimv2 — RV-AS-37

  • Источник: Windows Sysmon.

  • Назначение списка: указание IP-адресов всех контроллеров домена. Требуется там, где в событии присутствует только адрес назначения.

  • Правила: RV-D-905, RV-D-1877.

  • Вносимые данные: адреса IPv4 тех же узлов, что и в known_dc_cimv2. Если у контроллера несколько сетевых интерфейсов, каждый адрес необходимо внести отдельной записью.

  • Источник данных: Get-ADDomainController -Filter * | Select-Object HostName, IPv4Address.

  • Поставляется с демонстрационными записями, которые необходимо заменить на актуальные.

Поле Тип Ключ Обязательность Описание значения

ip

string

Да

Да

Адрес IPv4 контроллера домена

description

string

—

Нет

FQDN и SID контроллера домена
Пример заполнения списка
- ip: "10.10.10.10"
  description: "dc01.example.com"
- ip: "10.10.10.11"
  description: "dc02.example.com"

legit_processes_for_external_connections_cimv2 — RV-AS-38

  • Источник: Windows Sysmon.

  • Назначение списка: указание процессов, которым разрешены подключения к внешним адресам по нестандартным портам.

  • Правила: RV-D-1123.

  • Вносимые данные: агенты антивируса и EDR, обращающиеся к облачным репутационным сервисам; клиенты систем обновления; агенты телеметрии и мониторинга; интеграционные скрипты, работающие с внешними API.

  • Правила заполнения: если процессу разрешены подключения к любым внешним адресам, в поле dstIP требуется указать символ *. Если разрешен только конкретный сервис, необходимо внести адрес, так как это сузит исключение.

  • Источник данных: разбор первых срабатываний правила, перечень установленного на серверах ПО.

  • Поставляется с демонстрационными записями, которые необходимо заменить на актуальные.

Поле Тип Ключ Обязательность Описание значения

hostname

string

Да

Да

FQDN узла в нижнем регистре — device_fqdn

process

string

Да

Да

Полный путь к процессу в нижнем регистре — src_process_path_full

dstIP

string

Да

Да

Адрес IPv4 назначения либо символ * — подключения процесса к любым адресам

description

string

—

Нет

Обоснование исключения
Пример заполнения списка
- hostname: "srv05.example.com"
  process: "c:\\program files (x86)\\kaspersky lab\\kes\\avp.exe"
  dstIP: "*"
  description: "Обращения агента антивируса к облачным сервисам"

cloudflare_legit_connections_cimv2 — RV-AS-39

  • Источник: Windows Sysmon.

  • Назначение списка: указание процессов, которым разрешены подключения к доменам trycloudflare.com.

  • Правила: RV-D-1120.

  • Вносимые данные: узлы и процессы разработчиков и администраторов, которым согласовано использование туннелей Cloudflare для публикации тестовых стендов. При отсутствии такого согласования список остается пустым — любое обращение расценивается как канал управления.

  • Поставляется с демонстрационными записями, которые необходимо заменить на актуальные.

Поле Тип Ключ Обязательность Описание значения

host

string

Да

Да

FQDN узла в нижнем регистре — device_fqdn

process

string

Да

Да

Полный путь к процессу в нижнем регистре — src_process_path_full

description

string

—

Нет

Обоснование исключения
Пример заполнения списка
- host: "dev07.example.com"
  process: "c:\\tools\\cloudflared\\cloudflared.exe"
  description: "Публикация тестового стенда, согласование SEC-204"

service_account_list_cimv2 — RV-AS-46

  • Источник: Windows Security.

  • Назначение списка: указание сервисных учетных записей и узлов, на которых их вход является штатным.

  • Правила: RV-D-1181, RV-D-1274, RV-D-1281, RV-D-1286, RV-D-1298, RV-D-1563, RV-D-1900.

  • Вносимые данные:

    • УЗ, от имени которых запускаются службы Windows на серверах;

    • УЗ заданий планировщика;

    • УЗ агентов резервного копирования, мониторинга, инвентаризации, антивируса;

    • УЗ пулов приложений IIS и служб SQL Server.

  • Правила заполнения: для каждой уникальной пары учетной записи и узла создается отдельная запись. Необходимо указывать только те узлы, на которых вход данной УЗ ожидаем: запись с одним узлом не исключает вход этой же УЗ на другой сервер, что и является целью контроля.

  • Источник данных: Get-CimInstance Win32_Service | Select-Object Name, StartName, Get-ScheduledTask | Select-Object TaskName, Principal, конфигурация пулов IIS.

Поле Тип Ключ Обязательность Описание значения

host

string

Да

Да

FQDN узла в нижнем регистре — device_fqdn

username

string

Да

Да

Имя сервисной УЗ в нижнем регистре: src_user_name (RV-D-1298, RV-D-1900) либо dst_user_name (остальные правила)

description

string

—

Нет

Назначение учетной записи
Пример заполнения списка
- host: "sql01.example.com"
  username: "svc_sqlagent"
  description: "УЗ запуска SQL Server Agent"
- host: "app01.example.com"
  username: "svc_backup"
  description: "Агент резервного копирования"

vulnerable_dlls_cimv2 — RV-AS-76

  • Источник: Windows Sysmon.

  • Назначение списка: указание библиотек, подверженных подмене, и ожидаемых параметров их загрузки.

  • Правила: RV-D-1892.

  • Вносимые данные: имена библиотек, известных как пригодные для DLL Sideloading, вместе с ожидаемым каталогом загрузки и ожидаемой подписью. Правило формирует оповещение, если библиотека загружена не из ожидаемого пути или подпись не соответствует указанной.

  • Правила заполнения: пустое значение path означает, что путь не проверяется; пустое значение signature — что контролируется только факт загрузки библиотеки. Начинать следует с узкого набора библиотек, применимых к используемому в организации ПО.

  • Источник данных: публичные перечни библиотек, подверженных подмене; перечень прикладного ПО организации.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

Имя библиотеки в нижнем регистре — значение dst_object_name.

path

string

—

Логика

Подстрока ожидаемого пути загрузки. При пустом значении путь не проверяется.

signature

string

—

Логика

Ожидаемое значение подписи. При пустом значении проверяется только факт загрузки.

description

string

—

Нет

Описание библиотеки.
Пример заполнения списка
- name: "version.dll"
  path: "c:\\windows\\system32"
  signature: "microsoft windows"
  description: "Подмена при загрузке из каталога приложения"
- name: "wincrypt.dll"
  path: ""
  signature: ""
  description: "Контроль факта загрузки"

4.3. Службы Microsoft

known_adfs_cimv2 — RV-AS-41

  • Источник: Microsoft AD FS.

  • Назначение списка: указание FQDN серверов службы федерации.

  • Правила: RV-D-1152.

  • Вносимые данные: FQDN всех узлов фермы AD FS, включая прокси веб-приложений (WAP), опубликованные во внешнем периметре.

  • Источник данных: Get-AdfsFarmInformation, конфигурация балансировщика перед фермой AD FS. Требуется выполнить на сервере AD FS.

  • Поставляется с демонстрационными записями, которые необходимо заменить на актуальные.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

FQDN сервера AD FS в нижнем регистре — device_fqdn

description

string

—

Нет

IP-адрес и роль узла в ферме
Пример заполнения списка
- name: "adfs01.example.com"
  description: "10.10.20.10, основной узел фермы"
- name: "wap01.example.com"
  description: "10.10.30.10, прокси веб-приложений в DMZ"

known_ca_ip_cimv2 — RV-AS-74

  • Источник: Microsoft AD CS.

  • Назначение списка: указание IP-адресов серверов Certification Authority.

  • Правила: RV-D-1877.

  • Вносимые данные: адреса IPv4 всех центров сертификации иерархии — корневого (Root CA), подчиненных (Subordinate CA) и выдающих (Issuing CA), в том числе выведенных из эксплуатации, но еще принимающих обращения.

  • Источник данных: certutil -config - -ping, оснастка "Центр сертификации", перечень узлов с ролью AD CS.

  • Поставляется с демонстрационной записью, которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

ip

string

Да

Да

Адрес IPv4 сервера CA

description

string

—

Нет

FQDN сервера и его роль в иерархии
Пример заполнения списка
- ip: "10.10.20.30"
  description: "ca01.example.com — Issuing CA"

4.4. Microsoft Exchange

trusted_recipient_domains_cimv2 — RV-AS-45

  • Источник: Microsoft Exchange Server.

  • Назначение списка: указание корпоративных почтовых доменов и доменов доверенных контрагентов.

  • Правила: RV-D-1166, RV-D-1767, RV-D-1775.

  • Вносимые данные:

    • все принятые домены организации, включая домены дочерних компаний и домены, оставшиеся после слияний;

    • домены подрядчиков и партнеров, с которыми ведется регулярная переписка;

    • домены облачных сервисов, используемых для документооборота.

  • Правила заполнения: указывается только доменная часть без символа @. Поддомены вносятся отдельными записями.

  • Источник данных: Get-AcceptedDomain, перечень контрагентов от службы документооборота, топ внешних доменов по объему переписки за месяц. Для использования командлета требуется Exchange Management Shell (EMS).

Поле Тип Ключ Обязательность Описание значения

recipients

string

Да

Да

Доменная часть почтового адреса в нижнем регистре, без символа @. Сравнивается с dst_user_domain (RV-D-1767) и src_user_domain (RV-D-1775)
Пример заполнения списка
- recipients: "example.com"
- recipients: "mail.example.com"
- recipients: "partner-company.ru"

exchange_black_list_users_cimv2 — RV-AS-48

  • Источник: Microsoft Exchange Server.

  • Назначение списка: указание учетных записей, которым доступ к почтовым сервисам запрещен. Обращение такой УЗ к /owa/, /rpc или /autodiscover формирует оповещение.

  • Правила: RV-D-1290.

  • Вносимые данные:

    • сервисные УЗ Exchange, не предназначенные для интерактивной работы с почтой;

    • УЗ уволенных сотрудников, ящики которых переведены в архив;

    • тестовые и демонстрационные УЗ;

    • УЗ с признаками компрометации, выведенные из эксплуатации.

  • Источник данных: перечень отключенных УЗ из AD, список сервисных УЗ Exchange, данные кадровой службы об уволенных сотрудниках.

Поле Тип Ключ Обязательность Описание значения

username

string

Да

Да

Имя УЗ в нижнем регистре — значение src_user_name

description

string

—

Нет

Причина запрета
Пример заполнения списка
- username: "svc_exchange_scan"
  description: "Сервисная УЗ сканирования, интерактивный доступ к почте не предусмотрен"
- username: "petrov_ivan"
  description: "Уволен 01.08.2026, ящик в архиве"

critical_distribution_groups_cimv2 — RV-AS-60

  • Источник: Microsoft Exchange Server.

  • Назначение списка: указание групп рассылки, изменение которых требует реагирования.

  • Правила: RV-D-1296.

  • Вносимые данные: рассылки на всю организацию, рассылки руководства и совета директоров, рассылки подразделений, работающих с финансовой и персональной информацией, рассылки службы ИБ. Добавление постороннего получателя в такую группу дает доступ ко всей корреспонденции подразделения.

  • Правила заполнения: значение указывается в том виде, в каком оно передается администратором в параметре -Identity командлета, в нижнем регистре.

  • Источник данных: Get-DistributionGroup | Select-Object DisplayName, PrimarySmtpAddress. Для использования командлета требуется Exchange Management Shell (EMS).

Поле Тип Ключ Обязательность Описание значения

displayName

string

Да

Да

Отображаемое имя группы рассылки в нижнем регистре — значение параметра -Identity "…​"

description

string

—

Нет

Назначение группы
Пример заполнения списка
- displayName: "all-employees"
  description: "Рассылка на всю организацию"
- displayName: "board"
  description: "Рассылка совета директоров"

4.5. Виртуализация и облачные платформы

critical_vm_cimv2 — RV-AS-33

  • Источник: VMware vCenter Server.

  • Назначение списка: указание критичных виртуальных машин (ВМ), операции с которыми требуют реагирования.

  • Правила: RV-D-1000, RV-D-1001, RV-D-1002, RV-D-1003, RV-D-1026, RV-D-1029, RV-D-1219, RV-D-1225, RV-D-1226, RV-D-1270 (выключение, удаление, клонирование, миграция, изменение конфигурации, операции с дисками).

  • Вносимые данные: ВМ контроллеров домена, серверов СЗИ, SIEM и систем резервного копирования, серверов СУБД с критичными данными, ВМ бизнес-систем, простой которых влияет на деятельность организации.

  • Правила заполнения: имя ВМ указывается в соответствии с тем, как оно отображается в инвентарном списке vCenter, в нижнем регистре. Клонирование критичной ВМ — способ получить копию ее дисков в обход средств защиты, поэтому перечень должен покрывать все ВМ с чувствительными данными.

  • Источник данных: Get-VM | Select-Object Name из PowerCLI, реестр информационных систем организации.

  • Поставляется с демонстрационной записью, которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

Имя виртуальной машины в нижнем регистре. Сравнивается с dst_hostname (большинство правил), src_hostname (RV-D-1000, RV-D-1001) либо с именем файла ВМ (RV-D-1002, RV-D-1003)

description

string

—

Нет

Роль виртуальной машины
Пример заполнения списка
- name: "dc01"
  description: "Контроллер домена"
- name: "siem-collector01"
  description: "Коллектор SIEM"

critical_vm_yandex_cimv2 — RV-AS-65

  • Источник: Yandex Cloud.

  • Назначение списка: указание виртуальных машин, изменения которых требуют мониторинга.

  • Правила: RV-D-1679, RV-D-1681, RV-D-1684, RV-D-1686.

  • Вносимые данные: ВМ автомасштабируемых групп, тестовые и временные ВМ, машины CI/CD, пересоздаваемые при каждой сборке. Список работает как исключение: операции с перечисленными ВМ не порождают оповещение.

  • Правила заполнения: для каждого уникального сочетания каталога и виртуальной машины создается отдельная запись. Идентификаторы каталога и ВМ берутся из консоли Yandex Cloud либо командами yc resource-manager folder list и yc compute instance list.

Поле Тип Ключ Обязательность Описание значения

catalogId

string

Да

Да

Идентификатор каталога (folder_id) в нижнем регистре — значение field9

instanceId

string

Да

Да

Идентификатор виртуальной машины — значение dst_object_id

product

string

Да

Да

Значение device_product — cloud
Пример заполнения списка
- catalogId: "b1gg41ne1jurpji1ihn9"
  instanceId: "fhm9aoc2k1rlhbpjs0rv"
  product: "cloud"

service_accounts_with_secret_access_cimv2 — RV-AS-66

  • Источник: Yandex Cloud.

  • Назначение списка: указание сервисных учетных записей, имеющих доступ к секретам Lockbox.

  • Правила: RV-D-1605.

  • Вносимые данные: идентификаторы сервисных аккаунтов, которым назначены роли lockbox.payloadViewer, lockbox.editor или lockbox.admin. Назначение такого аккаунта виртуальной машине дает доступ к секретам через метаданные инстанса, поэтому правило контролирует именно факт привязки.

  • Источник данных: yc resource-manager folder list-access-bindings <folder-id> с фильтром по ролям Lockbox, либо раздел "Права доступа" секрета в консоли.

Поле Тип Ключ Обязательность Описание значения

serviceAccount

string

Да

Да

Идентификатор сервисного аккаунта (service_account_id) в нижнем регистре — значение field1

description

string

—

Нет

Перечень доступных секретов
Пример заполнения списка
- serviceAccount: "ajen4arn333mfhh1fp9l"
  description: "lockbox.payloadViewer для секрета prod-db-credentials"

protective_vm_assets_cimv2 — RV-AS-68

  • Источник: Microsoft Hyper-V.

  • Назначение списка: указание виртуальных машин, на которых размещены средства защиты информации.

  • Правила: RV-D-1631, RV-D-1634, RV-D-1642.

  • Вносимые данные: ВМ межсетевых экранов и шлюзов, серверов управления антивирусом, серверов DLP, IDS/IPS, серверов SIEM и коллекторов, серверов аутентификации. Выключение или изменение конфигурации такой ВМ — это способ отключить защиту перед развитием атаки.

  • Источник данных: Get-VM | Select-Object Name на узлах Hyper-V, перечень СЗИ организации.

  • Поставляется с демонстрационной записью (example_protective_vm), которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

Имя виртуальной машины в нижнем регистре — значение dst_object_name

description

string

—

Нет

Размещенное средство защиты
Пример заполнения списка
- name: "ksc01"
  description: "Сервер администрирования Kaspersky Security Center"

critical_vm_assets_cimv2 — RV-AS-69

  • Источник: Microsoft Hyper-V.

  • Назначение списка: указание бизнес-критичных виртуальных машин.

  • Правила: RV-D-1635, RV-D-1642.

  • Вносимые данные: ВМ, не относящиеся к средствам защиты, но критичные для деятельности: серверы 1С, файловые серверы, серверы СУБД, терминальные фермы. Средства защиты следует вносить в список protective_vm_assets_cimv2, дублировать их в данном списке не требуется.

  • Поставляется с демонстрационной записью (example_critical_vm), которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

Имя виртуальной машины в нижнем регистре — значение dst_object_name

description

string

—

Нет

Роль виртуальной машины
Пример заполнения списка
- name: "1c-srv01"
  description: "Сервер приложений 1С:Предприятие"

yandex_cloud_administrators_cimv2 — RV-AS-72

  • Источник: Yandex Cloud.

  • Назначение списка: указание администраторов, которым разрешено создание кластеров.

  • Правила: RV-D-1654.

  • Вносимые данные: учетные записи инженеров, ответственных за развертывание кластеров в каждом каталоге. Создание кластера учетной записью вне списка порождает оповещение, в том числе при компрометации УЗ разработчика и запуске вычислительных ресурсов за счет организации.

  • Правила заполнения: для каждого уникального сочетания каталога и учетной записи создается отдельная запись. Если администратор работает в нескольких каталогах, вносится несколько записей.

Поле Тип Ключ Обязательность Описание значения

catalogId

string

Да

Да

Идентификатор каталога (folder_id) в нижнем регистре — значение field9

product

string

Да

Да

Значение device_product — cloud

username

string

Да

Да

Имя УЗ в нижнем регистре — значение src_user_name
Пример заполнения списка
- catalogId: "b1gg41ne1jurpji1ihn9"
  product: "cloud"
  username: "adm_sidorov"

4.6. СУБД

legit_sql_query_cimv2 — RV-AS-57

  • Источник: СУБД.

  • Назначение списка: указание учетных записей и серверов, для которых административные и разведочные SQL-запросы являются штатными.

  • Правила: RV-D-1474, RV-D-1476, RV-D-1477, RV-D-1478, RV-D-1485, RV-D-1486, RV-D-1491, RV-D-1494 — исключения, RV-D-1502, RV-D-1503 — обратная логика, оповещение формируется при наличии записи.

  • Вносимые данные:

    • УЗ систем отчетности и BI, выполняющих запросы к системным таблицам;

    • УЗ ETL-процессов и репликации;

    • УЗ систем мониторинга, опрашивающих состояние СУБД;

    • УЗ инструментов миграции схемы, выполняющих DDL при обновлении приложений.

  • Правила заполнения: для каждой уникальной комбинации учетной записи, продукта и сервера создается отдельная запись. Учетные записи администраторов СУБД следует вносить не в этот список, а в список privileged_users_and_hosts_cimv2.

  • Источник данных: разбор первых срабатываний правил СУБД, перечень интеграций от владельца системы.

Поле Тип Ключ Обязательность Описание значения

hostname

string

Да

Да

FQDN сервера СУБД в нижнем регистре — device_fqdn

product

string

Да

Да

Значение device_product в нижнем регистре: clickhouse, postgresql, sql_server

username

string

Да

Да

Имя УЗ СУБД в нижнем регистре — src_user_name

src

string

—

Нет

Адрес источника, с которого выполняются запросы

description

string

—

Нет

Обоснование исключения
Пример заполнения списка
- hostname: "ch01.example.com"
  product: "clickhouse"
  username: "bi_reader"
  description: "УЗ системы отчетности, запросы к system.tables"

critical_db_users_cimv2 — RV-AS-58

  • Источник: PostgreSQL.

  • Назначение списка: указание критичных учетных записей СУБД.

  • Правила: RV-D-1496 (смена пароля, изменение прав, удаление УЗ).

  • Вносимые данные: суперпользователи (postgres), владельцы схем и баз с критичными данными, роли с правом SUPERUSER, CREATEROLE или REPLICATION, а также УЗ, используемые приложениями для подключения к продуктивной базе.

  • Правила заполнения: для каждой уникальной комбинации учетной записи, сервера и продукта создается отдельная запись. Одноименные роли на разных серверах вносятся отдельно.

  • Источник данных: SELECT rolname FROM pg_roles WHERE rolsuper OR rolcreaterole OR rolreplication;.

Поле Тип Ключ Обязательность Описание значения

username

string

Да

Да

Имя УЗ СУБД в нижнем регистре — значение dst_user_name

hostname

string

Да

Да

FQDN сервера СУБД в нижнем регистре — device_fqdn

product

string

Да

Да

Значение device_product в нижнем регистре — postgresql

description

string

—

Нет

Роль учетной записи
Пример заполнения списка
- username: "postgres"
  hostname: "pg01.example.com"
  product: "postgresql"
  description: "Суперпользователь СУБД"

4.7. Сетевые сервисы и VPN

allowed_locations_cimv2 — RV-AS-51

  • Источник: OpenVPN.

  • Назначение списка: указание стран, из которых подключение к VPN разрешено.

  • Правила: RV-D-1321.

  • Вносимые данные: страны присутствия организации, а также регионы удаленной работы и служебных командировок сотрудников. Название указывается в нижнем регистре в том виде, в каком его возвращает обогащение по геолокации. Перед заполнением значение необходимо проверить на реальных событиях.

  • Источник данных: кадровые данные о местах работы, статистика подключений VPN за месяц.

  • Поставляется с демонстрационной записью (россия), которую требуется проверить и дополнить.

Поле Тип Ключ Обязательность Описание значения

country

string

Да

Да

Название страны в нижнем регистре в формате поля dst_geo_country

product

string

—

Нет

openvpn

description

string

—

Нет

Обоснование
Пример заполнения списка
- country: "россия"
  product: "openvpn"
  description: "Основная локация сотрудников"
- country: "казахстан"
  product: "openvpn"
  description: "Филиал в Алматы"

allowed_admin_src_ips_cimv2 — RV-AS-52

  • Источник: OpenVPN Access Server.

  • Назначение списка: указание адресов, с которых разрешен вход в административную панель.

  • Правила: RV-D-1324.

  • Вносимые данные: адреса рабочих станций администраторов VPN и серверов управления конфигурацией, обращающихся к панели по API. Адреса указываются поштучно — подсети не поддерживаются.

  • Источник данных: перечень АРМ из сегмента управления, журналы обращений к панели за месяц.

  • Поставляется с демонстрационной записью, которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

srcIP

string

Да

Да

Адрес IPv4 рабочей станции администратора — src_ip

hostname

string

Да

Да

Имя узла сервера Access Server в нижнем регистре — device_hostname

product

string

—

Нет

openvpn_access_server

description

string

—

Нет

Обоснование
Пример заполнения списка
- srcIP: "10.10.5.11"
  hostname: "ovpn01"
  product: "openvpn_access_server"
  description: "АРМ администратора VPN"

trusted_dns_servers_cimv2 — RV-AS-53

  • Источник: BIND DNS.

  • Назначение списка: указание вторичных и доверенных DNS-серверов, которым разрешена передача зон (AXFR).

  • Правила: RV-D-1386.

  • Вносимые данные: адреса всех вторичных DNS-серверов, получающих зоны с данного сервера, включая серверы провайдера и внешние DNS-хостинги. Для каждого уникального сочетания адреса вторичного сервера и имени узла основного сервера создается отдельная запись.

  • Источник данных: директивы allow-transfer и also-notify в конфигурации BIND (named.conf).

  • Поставляется с демонстрационной записью, которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

src

string

Да

Да

Адрес IPv4 доверенного DNS-сервера — src_ip

hostname

string

Да

Да

Имя узла сервера BIND в нижнем регистре — device_hostname

product

string

—

Нет

Продукт

description

string

—

Нет

Обоснование
Пример заполнения списка
- src: "10.10.40.20"
  hostname: "dns01"
  product: "*"
  description: "Вторичный DNS, репликация зоны example.com"

trusted_domains_cimv2 — RV-AS-54

  • Источник: BIND DNS.

  • Назначение списка: указание доменных зон, операции с которыми не требуют реагирования.

  • Правила: RV-D-1395.

  • Вносимые данные: внутренние технические зоны, изменяемые системами автоматизации (зоны DHCP-обновлений, зоны сервис-дискавери), а также зоны тестовых стендов.

  • Источник данных: перечень зон из named.conf, согласование с администратором DNS.

Поле Тип Ключ Обязательность Описание значения

domain

string

Да

Да

Имя зоны в нижнем регистре — значение dst_object_name
Пример заполнения списка
- domain: "dhcp.example.local"
- domain: "test.example.local"

legit_hosts_cimv2 — RV-AS-59

  • Источник: С-Терра Шлюз.

  • Назначение списка: указание узлов, для которых контролируемые операции являются штатными.

  • Правила: RV-D-1540, RV-D-1584.

  • Вносимые данные: узлы, выполняющие переотправку событий, и смежные шлюзы, участвующие в штатном обмене.

В правиле RV-D-1540 поле hostname сравнивается с device_ip, то есть заполняется адресом IPv4 узла-получателя, а не его именем, что связано с особенностями логирования источника.
Поле Тип Ключ Обязательность Описание значения

src

string

Да

Да

Адрес IPv4 узла-источника — src_ip

product

string

Да

Да

Значение device_product в нижнем регистре — s-terra_gate

hostname

string

Да

Да

Адрес IPv4 узла-получателя (сравнивается с device_ip)

description

string

—

Нет

Обоснование исключения
Пример заполнения списка
- src: "10.10.60.10"
  product: "s-terra_gate"
  hostname: "10.10.60.1"
  description: "Переотправка событий со шлюза"

4.8. Средства защиты и мониторинг

secretnet_significant_users_cimv2 — RV-AS-55

  • Источник: Secret Net Studio.

  • Назначение списка: указание учетных записей, которым вход в систему запрещен. Вход перечисленной УЗ формирует оповещение.

  • Правила: RV-D-1434.

  • Вносимые данные: встроенные УЗ, использование которых запрещено регламентом (локальный администратор, guest), сервисные УЗ, не предназначенные для интерактивного входа, УЗ уволенных сотрудников на защищаемых АРМ.

  • Источник данных: регламент управления доступом организации, перечень УЗ на защищаемых узлах из консоли Secret Net Studio.

Поле Тип Ключ Обязательность Описание значения

user

string

Да

Да

Имя УЗ в нижнем регистре — значение src_user_name

description

string

—

Нет

Причина запрета
Пример заполнения списка
- user: "guest"
  description: "Гостевая УЗ, вход запрещен регламентом"

high_privileges_roles_garda_waf_cimv2 — RV-AS-56

  • Источник: Гарда WAF.

  • Назначение списка: указание ролей WAF, назначение которых расценивается как повышение привилегий.

  • Правила: RV-D-1444.

  • Вносимые данные: роли, дающие право изменять правила фильтрации, отключать защиту виртуальных хостов, управлять учетными записями и просматривать перехваченный трафик. Перечень зависит от модели ролей конкретной инсталляции. Список поставляется пустым.

  • Правила заполнения: поскольку в событиях роли перечисляются через запятую с пробелом (", ") и обрабатываются системой индивидуально, каждую роль необходимо вносить отдельной записью.

  • Источник данных: раздел управления ролями в консоли Гарда WAF.

Поле Тип Ключ Обязательность Описание значения

rolename

string

Да

Да

Имя роли в нижнем регистре

capabilities

string

—

Нет

Перечень привилегий роли
Пример заполнения списка
- rolename: "administrator"
  capabilities: "управление правилами, УЗ и политиками"
- rolename: "security_officer"
  capabilities: "просмотр перехваченного трафика"

time_zone — RV-AS-71

  • Источник: Xello Deception.

  • Назначение списка: указание часового пояса для каждого коллектора распределенной инсталляции. При отсутствии записи правило использует часовой пояс Europe/Moscow.

  • Правила: RV-D-1645.

  • Вносимые данные: одна запись для каждого коллектора, установленного в часовом поясе, отличном от Europe/Moscow. В противном случае события из филиалов будут обрабатываться по московскому времени, что приведет к некорректному определению рабочего времени, например, ночные часы будут расцениваться как рабочие.

  • Источник данных: идентификатор коллектора из поля collectorId любого события этого коллектора либо из консоли управления коллекторами.

Поле Тип Ключ Обязательность Описание значения

collectorId

string

Да

Да

Идентификатор коллектора (UUID) в нижнем регистре — значение поля события collectorId

timezone

string

—

Логика

Часовой пояс в формате IANA

description

string

—

Нет

Площадка или регион
Пример заполнения списка
- collectorId: "0e0516ba-ae67-46cb-9ec1-1097f36cf264"
  timezone: "Asia/Yekaterinburg"
  description: "Коллектор филиала в Екатеринбурге"

4.9. Корпоративные приложения

important_object — RV-AS-36

  • Источник: Пассворк.

  • Назначение списка: указание критичных объектов парольного хранилища: сейфов, папок, паролей, ролей.

  • Правила: RV-D-1044, RV-D-1046.

  • Вносимые данные: сейфы с учетными данными администраторов домена и инфраструктуры, сейфы с ключами доступа к облачным сервисам и платежным системам, сейфы службы безопасности, папки с сертификатами. Выдача доступа к такому сейфу или его удаление формируют оповещение.

  • Правила заполнения: имя указывается ровно так, как оно отображается в интерфейсе Пассворк, в нижнем регистре.

  • Источник данных: перечень сейфов и их владельцев из консоли Пассворк.

Поле Тип Ключ Обязательность Описание значения

name

string

Да

Да

Имя объекта в нижнем регистре. В RV-D-1044 сравнивается с field2 (метка passwork_vault_name — имя сейфа), в RV-D-1046 — с dst_object_name

description

string

—

Нет

Назначение объекта
Пример заполнения списка
- name: "infra-admins"
  description: "Сейф с УЗ администраторов инфраструктуры"
- name: "cloud-keys"
  description: "Ключи доступа к облачным сервисам"

privileged_groups_cimv2 — RV-AS-47

  • Источник: Jira, Континент TLS.

  • Назначение списка: указание групп и ролей, добавление в которые расценивается как повышение привилегий.

  • Правила: RV-D-1271, RV-D-1375, RV-D-1601.

  • Вносимые данные: для Jira — группы администраторов системы и администраторов проектов, группы с доступом к проектам службы безопасности и кадровой службы; для Континент TLS — роли администратора и оператора СКЗИ. Разделение между продуктами выполняется полем product.

  • Источник данных: раздел управления группами Jira (/secure/admin/user/GroupBrowser.jspa), модель ролей Континент TLS.

  • Поставляется с демонстрационной записью (jira-administrators), которую требуется проверить и дополнить.

Поле Тип Ключ Обязательность Описание значения

group

string

Да

Да

Имя группы или роли в нижнем регистре — значение dst_object_name, для RV-D-1601 — элемент списка ролей

product

string

Да

Да

Значение device_product в нижнем регистре: jira, kontinent

description

string

—

Нет

Назначение группы
Пример заполнения списка
- group: "jira-administrators"
  product: "jira"
  description: "Администраторы Jira"
- group: "security-project-access"
  product: "jira"
  description: "Доступ к проекту службы безопасности"

critical_1c_objects_cimv2 — RV-AS-73

  • Источник: 1С:Предприятие.

  • Назначение списка: указание объектов метаданных, операции с данными которых требуют контроля.

  • Правила: RV-D-1739.

  • Вносимые данные: справочники сотрудников и контрагентов, документы платежных поручений и банковских выписок, регистры расчета заработной платы, справочник банковских счетов. Изменение реквизитов контрагента или счета — типовой сценарий вывода средств.

  • Правила заполнения: имя указывается в нижнем регистре в том виде, в каком оно приходит в поле src_query_response, с префиксом типа метаданных и пробелом после точки (catalog. сотрудники). Формат обязательно следует проверить на реальных событиях инсталляции.

  • Источник данных: конфигуратор 1С (дерево метаданных), согласование с владельцем информационной системы.

  • Поставляется с демонстрационной записью, которую необходимо заменить на актуальную.

Поле Тип Ключ Обязательность Описание значения

object

string

Да

Да

Имя объекта метаданных в нижнем регистре в формате поля src_query_response

description

string

—

Нет

Назначение объекта
Пример заполнения списка
- object: "catalog. сотрудники"
  description: "Справочник сотрудников"
- object: "document. платежное поручение"
  description: "Платежные поручения"

supply_chain_private_vendor_libraries_cimv2 — RV-AS-75

  • Источник: Sonatype Nexus Repository.

  • Назначение списка: указание наименований внутренних (проприетарных) библиотек организации.

  • Правила: RV-D-1863.

  • Вносимые данные: имена пакетов, разрабатываемых внутри организации и публикуемых только в приватном репозитории. Появление пакета с таким именем в публичном репозитории означает попытку атаки типа dependency confusion: сборка может подтянуть внешний пакет вместо внутреннего.

  • Правила заполнения: вносятся имена всех внутренних артефактов, включая устаревшие, но упоминаемые в файлах зависимостей.

  • Источник данных: перечень артефактов приватных репозиториев Nexus, файлы зависимостей проектов (package.json, pom.xml, requirements.txt).

Поле Тип Ключ Обязательность Описание значения

assetName

string

Да

Да

Имя библиотеки или пакета в нижнем регистре — значение dst_object_name

description

string

—

Нет

Владелец и назначение библиотеки
Пример заполнения списка
- assetName: "example-core-utils"
  description: "Внутренняя библиотека, команда платформы"

Была ли полезна эта страница?

+7 (499) 755 55 70 sales@rvision.ru

О компании Пользовательское соглашение Политика cookies

Обратная связь