Cisco IOS: правила корреляции
Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.
| Отдельные правила корреляции используют данные из активных списков для учета особенностей среды функционирования. Для полноценной работы правил необходимо наполнить списки актуальной информацией, иначе возможны ложные срабатывания или пропуск угроз. С подробным описанием и требованиями к данным можно ознакомиться в Памятке по настройке активных списков. |
| ID правила | Название правила | Описание | Тактики и техники |
|---|---|---|---|
RV-D-1657 |
Конфигурация Cisco IOS с недоверенного IP-адреса |
Правило детектирует изменение настроек Cisco IOS с недоверенного IP-адреса. |
|
RV-D-1663 |
Атака ARP spoofing |
Правило детектирует подозрительную ARP-активность, а именно событие некорректного ARP-запроса. ARP spoofing — это атака, при которой атакующий отправляет поддельные ARP-сообщения, чтобы связать свой MAC-адрес с IP-адресом другого устройства. |
|
RV-D-1668 |
Подбор пароля на Cisco IOS методом Password Spraying |
Правило обнаруживает неудачные попытки аутентификации с разными учетными записями на одном устройстве. Данная активность может указывать на попытки аутентификации атакующего методом Password Spraying. |
|
RV-D-1669 |
Подбор пароля к устройству с ОС Cisco IOS |
Правило обнаруживает неудачные попытки аутентификации одной учетной записи на устройстве. Данная активность может указывать на попытки аутентификации атакующего методом Bruteforce. |
|
RV-D-1672 |
Успешный подбор пароля к устройству с ОС Cisco IOS |
Правило детектирует успешный вход на устройство с операционной системой Cisco IOS после нескольких неудачных попыток аутентификации. Данная активность может указывать на попытки аутентификации атакующего методом Bruteforce. |
|
RV-D-1691 |
Вход администратора на устройство Cisco IOS с неизвестного хоста |
Правило детектирует вход на устройство с операционной системой Cisco IOS привилегированного пользователя с неизвестного хоста. |
|
RV-D-1719 |
Потенциальная атака VLAN Hopping на устройстве Cisco IOS |
Правило срабатывает при обнаружении на устройстве Cisco IOS событий, характерных для атаки VLAN Hopping (изменение порта в транковый режим, ошибки создания VLAN, несовпадение PVID). Это может указывать на попытку атакующего нарушить сетевую сегментацию и переместиться между VLAN. |
|
RV-D-1720 |
Потенциальная атака MAC-flooding на устройстве Cisco IOS |
Правило срабатывает при нарушении политики Port Security на устройстве Cisco IOS (превышение допустимого числа MAC-адресов на порте). Это может указывать на попытку атаки MAC-flooding с целью переполнения MAC-таблицы и последующего перехвата трафика. |
|
RV-D-1721 |
Потенциальная атака DHCP Starvation на устройстве Cisco IOS |
Правило срабатывает при множественных некорректных ARP-запросах, отклоненных DHCP Snooping на устройстве Cisco IOS, что характерно для атаки DHCP Starvation. Атакующий пытается исчерпать пул IP-адресов DHCP-сервера, отправляя большое количество запросов с подменными MAC-адресами. |
|
RV-D-1722 |
Вход в привилегированный режим Cisco IOS с недоверенного IP-адреса |
Правило срабатывает при входе пользователя в привилегированный режим (enable) на устройстве Cisco IOS с IP-адреса, не входящего в список разрешенных для этой учетной записи. Это может указывать на использование скомпрометированных учетных данных для получения полного контроля над сетевым оборудованием. |
Была ли полезна эта страница?
