PT Network Attack Discovery: правила корреляции

RV-D-1381

Признаки использования утилиты для туннелирования трафика

Система PT NAD позволяет обнаруживать использование различных средств для туннелирования трафика. Туннелирование трафика может быть использовано для обхода межсетевых экранов, IDS/IPS и других механизмов безопасности. Атакующий может использовать это для эксфильтрации данных, скрытного управления вредоносными программами или для скрытой коммуникации с командно-контрольными серверами (C2).

RV-D-1383

Обнаружены признаки использования вредоносной утилиты

Система PT NAD позволяет обнаруживать признаки использования вредоносных утилит. Атака с использованием вредоносной утилиты предполагает, что атакующий применяет специальные программы для получения несанкционированного доступа, сбора данных или повреждения системы. Обнаруженные утилиты могут включать Metasploit, Cobalt Strike, Powershell Empire и другие.

RV-D-1384

Обнаружен индикатор компрометации - IOC

Система PT NAD позволяет обнаруживать в сетевом трафике индикаторы компрометации. В случае срабатывания правила рекомендуется проверить актуальность данного IOC, хост инициатора активности, по возможности опросить ответственного за узел, если активность не является легитимной, то провести внутреннее расследование.

RV-D-1389

Атака DCSync PT NAD

Система PT NAD позволяет обнаруживать попытки атаки DCSync. Атака позволяет атакующему выдавать себя за контроллер домена (DC, domain controller) с целью получения учетных данных пользователей для последующего горизонтального перемещения в сети и/или доступа к конфиденциальной информации. В основе атаки лежит механизм, предусмотренный для выполнения репликации данных между контроллерами домена (DC).

RV-D-1390

Атака DCShadow PT NAD

Система PT NAD позволяет обнаруживать попытки атаки DCShadow. При помощи DCShadow атакующий может скрытно изменить данные в Active Directory (AD), маскируясь под легитимный контроллер домена (DC). Атакующий создает фиктивный контроллер домена, регистрируя его в AD, и использует его для внесения изменений, таких как добавление учетных записей или изменение прав доступа. Эти изменения выглядят как легитимные, что затрудняет их обнаружение с помощью стандартных механизмов мониторинга и журналирования.

RV-D-1391

Попытки получения информации об учетных записях

Система PT NAD позволяет обнаруживать запросы для получения информации об учетных записях. Данная активность может выполняться администраторами, разрешенными инструментами или атакующими, осуществляющими несанкционированный сбор информации.

RV-D-1396

Обнаружена попытка эксплуатации уязвимости

Система PT NAD позволяет обнаруживать попытки эксплуатации уязвимостей.

RV-D-1397

Запрос на репликацию от недоверенного DNS-сервера

Система PT NAD позволяет обнаружить атаку с недоверенной репликацией DNS-зоны. Репликация DNS-зоны через запрос AXFR — это процесс, при котором все содержимое DNS-зоны передается от одного DNS-сервера другому, обычно для синхронизации данных между основным и резервными серверами. Запрос AXFR (Asynchronous Full Transfer Zone) предназначен для легальной передачи полной копии зоны, однако его использование может быть опасным, если такой запрос разрешен от недоверенных источников.

RV-D-1398

Подозрительная сетевая активность с одного узла

Система PT NAD обнаруживает атаки на основе сигнатурного анализа. Данное правило выявляет множественные срабатывания сигнатур за короткий промежуток времени с одного источника, направленные на различные узлы сети.

RV-D-1399

Подозрительная сетевая активность с нескольких узлов

Система PT NAD обнаруживает атаки на основе сигнатур. Данное правило выявляет множественные срабатывания сигнатур за короткий промежуток времени с разных узлов, направленные на один хост.

RV-D-1850

Обнаружена атака системой PT NAD

Система PT NAD обнаруживает сетевые атаки на основе сигнатур. Правило выявляет множественные события атак, источником которых является один узел, за короткий промежуток времени. Срабатывание может указывать на проведение сетевой разведки, эксплуатацию уязвимостей, подбор учетных данных, распространение вредоносного программного обеспечения или другую вредоносную сетевую активность.