Код Безопасности vGate: правила корреляции
Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.
| Отдельные правила корреляции используют данные из активных списков для учета особенностей среды функционирования. Для полноценной работы правил необходимо наполнить списки актуальной информацией, иначе возможны ложные срабатывания или пропуск угроз. С подробным описанием и требованиями к данным можно ознакомиться в Памятке по настройке активных списков. |
| ID правила | Название правила | Описание | Тактики и техники |
|---|---|---|---|
RV-D-1852 |
Потенциальный подбор пароля пользователя в vGate |
Правило срабатывает при множественных неудачных попытках аутентификации в панели управления vGate для одной учетной записи за короткое время (5 и более попыток). Это может указывать на попытку подбора пароля (брутфорс) или использование устаревших учетных данных. |
|
RV-D-1854 |
Успешный подбор пароля пользователя в vGate |
Правило срабатывает при входе после множественных неудачных попыток аутентификации в панели управления vGate для одной учетной записи за короткое время (5 и более попыток). Это может указывать на попытку подбора пароля (брутфорс) или использование устаревших учетных данных. |
|
RV-D-1855 |
Атака Password Spraying в vGate |
Правило срабатывает при множественных неудачных попытках аутентификации разных учетных записей с одного источника в панели управления vGate за короткое время (5 и более попыток). Это может указывать на попытку подбора пользователей (Password Spraying) или использование устаревших учетных данных. |
|
RV-D-1857 |
Создание привилегированного пользователя vGate |
Правило срабатывает при создании новой учетной записи или изменении существующей в панели управления vGate с назначением привилегированных ролей (администратор информационной безопасности, администратор средства виртуализации, администратор межсетевого экрана, администратор средства защиты информации, оператор учетных записей). Это может указывать на попытку атакующего закрепиться в системе или получить повышенные права. |
|
RV-D-1860 |
Массовое удаление пользователей в vGate |
Правило срабатывает при массовом удалении учетных записей в панели управления vGate. Это может указывать на злонамеренное уничтожение учетных записей, ошибку администратора или плановую очистку. |
|
RV-D-1862 |
Массовая смена паролей пользователей в vGate |
Правило срабатывает при массовой смене паролей учетных записей в панели управления vGate. Это может указывать на попытку атакующего закрепиться в системе и перехватить контроль над учетными записями. |
Была ли полезна эта страница?
