С-Терра Шлюз: правила корреляции
Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.
| Отдельные правила корреляции используют данные из активных списков для учета особенностей среды функционирования. Для полноценной работы правил необходимо наполнить списки актуальной информацией, иначе возможны ложные срабатывания или пропуск угроз. С подробным описанием и требованиями к данным можно ознакомиться в Памятке по настройке активных списков. |
| ID правила | Название правила | Описание | Тактики и техники |
|---|---|---|---|
RV-D-1526 |
Создан пользователь на S-Terra Gate |
Атакующие после получения доступа к системе S-Terra могут создать нового пользователя, таким образом можно временно закрепиться в системе и вносить свои изменения в конфигурацию. |
|
RV-D-1527 |
Отключена отправка событий на S-Terra Gate |
После получения доступа к системе S-Terra атакующие могут отключить отправку системных событий на удаленный узел, чтобы скрыть свои дальнейшие вредоносные действия. |
|
RV-D-1528 |
Изменен пароль для привилегированного режима |
Атакующие после получения доступа к системе S-Terra и внесения изменений могут изменить пароль или секрет для входа в привилегированный режим, таким образом, можно временно закрепиться в системе и вносить свои изменения в конфигурацию, это также не позволит администратору быстро изменить настройки системы. |
|
RV-D-1529 |
Очищен файл конфигурации на S-Terra Gate |
Атакующие, после получения доступа к системе S-Terra для изменения конфигурации системы, могут очистить текущий файл конфигурации для сброса настроек и установки своей конфигурации. |
|
RV-D-1530 |
Вход в привилегированный режим на S-Terra Gate |
Атакующие для получения доступа к системе S-Terra и изменения параметров должны сначала войти в привилегированный режим системы. Таким образом можно закрепиться в системе или вносить свои изменения в конфигурацию. |
|
RV-D-1536 |
Удален файл на S-Terra Gate |
Атакующие, после получения доступа к системе S-Terra, могут удалить критичные файлы или папки из системы, например, файлы логов, пользователей или конфигурации системы. |
|
RV-D-1538 |
Подбор пароля для привилегированного режима |
Атакующие для получения доступа к привилегированному режиму S-Terra Gate могут попробовать подобрать пароль. Данное правило обнаруживает множественные неудачные попытки входа в привилегированный режим. |
|
RV-D-1539 |
Выдача максимальных привилегий для пользователя |
Атакующие после получения доступа к системе S-Terra могут попробовать выдать максимальные привилегии в системе для пользователя, что позволит закрепиться на устройстве. |
|
RV-D-1540 |
Настроена отправка логов на неизвестный узел |
Атакующие после получения доступа к системе S-Terra могут изменить конфигурацию и установить отправку логов системы на другой неизвестный узел, тем самым отключить мониторинг устройства. |
Была ли полезна эта страница?
