Cisco NetFlow: правила корреляции
Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.
| Отдельные правила корреляции используют данные из активных списков для учета особенностей среды функционирования. Для полноценной работы правил необходимо наполнить списки актуальной информацией, иначе возможны ложные срабатывания или пропуск угроз. С подробным описанием и требованиями к данным можно ознакомиться в Памятке по настройке активных списков. |
| ID правила | Название правила | Описание | Тактики и техники |
|---|---|---|---|
RV-D-1905 |
Сканирование портов NetFlow |
Правило выявляет вероятное сканирование портов, при котором один источник обращается к одному узлу по множеству различных TCP- или UDP-портов. |
|
RV-D-1906 |
Сканирование узлов NetFlow |
Правило выявляет вероятное сканирование узлов, при котором один источник обращается по одному TCP- или UDP-порту к множеству различных узлов. |
|
RV-D-1908 |
Вероятное ICMP-сканирование узлов NetFlow |
Правило выявляет вероятное сканирование узлов, при котором один источник обращается по протоколам ICMP, SCTP или ICMPv6 к пяти и более различным узлам за две минуты. |
|
RV-D-1911 |
Вероятный NTP Timeroasting NetFlow |
Правило выявляет повторяющиеся NTP-запросы от внутреннего узла, не являющегося контроллером домена, к известному контроллеру домена. Активность может указывать на попытку принудительной аутентификации с использованием техники NTP Timeroasting. |
|
RV-D-1914 |
Вероятный SYN flood на узел или сервис NetFlow |
Правило выявляет множество TCP SYN-потоков NetFlow к одному внутреннему узлу и сервису. Активность может указывать на попытку SYN flood и нарушения доступности целевого узла или сервиса. |
Была ли полезна эта страница?
