Гарда WAF: правила корреляции
Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.
| Отдельные правила корреляции используют данные из активных списков для учета особенностей среды функционирования. Для полноценной работы правил необходимо наполнить списки актуальной информацией, иначе возможны ложные срабатывания или пропуск угроз. С подробным описанием и требованиями к данным можно ознакомиться в Памятке по настройке активных списков. |
| ID правила | Название правила | Описание | Тактики и техники |
|---|---|---|---|
RV-D-1441 |
Подбор пароля пользователя к Гарда WAF |
Правило детектирует перебор паролей для одного пользователя. Для получения доступа к учетной записи или хосту атакующий может попробовать подобрать пароль с помощью перебора. |
|
RV-D-1442 |
Успешный подбор пароля к Гарда WAF |
Правило детектирует успешную аутентификацию после серии попыток подбора пароля. Для получения доступа к учетной записи или хосту атакующий может попробовать подобрать пароль с помощью перебора. |
|
RV-D-1443 |
Атака Password Spraying на Гарда WAF |
Атакующие могут использовать один или небольшой список часто используемых паролей для многих различных учетных записей, чтобы попытаться получить действительные учетные данные. |
|
RV-D-1444 |
Добавление пользователю критичной роли в Гарда WAF |
Атакующий в рамках закрепления может создать новую роль с критичными правами или назначить расширенные права доступа существующей роли. Данное правило также детектирует создание пользователя. В случае детектирования данного инцидента необходимо получить подтверждение активности от ответственного лица за учетную запись. |
|
RV-D-1448 |
Массовое удаление УЗ Гарда WAF |
Атакующий, получив доступ к административной панели Гарда WAF, может удалить учетные записи пользователей, чтобы затруднить их повторный вход и скрыть следы своей активности. Массовое удаление учетных записей может указывать на попытку нарушения работы системы безопасности. Правило обнаруживает множественные удаления учетных записей в Гарда WAF инициированное одной учетной записью. |
|
RV-D-1451 |
Отключение или изменение паттерна Гарда WAF |
Атакующий в рамках защиты от обнаружения может отключить или удалить паттерны валидации, которые отвечают за валидацию обращений к защищаемому ресурсу, а также отключить и удалить паттерны, отвечающие за парольную политику. |
|
RV-D-1452 |
Изменение настроек защиты подключенного сервера |
Правило отслеживает изменение настроек защиты на подключенных серверах, использующих ModSecurity. Основной фокус – детектирование перехода в пассивные режимы, когда защита перестает активно блокировать атаки. |
|
RV-D-1454 |
Атака на веб-приложение Гарда WAF |
Гарда WAF — это сетевой экран уровня приложений, который защищает и обнаруживает веб-атаки на сайты и приложения. В результате мы можем получать оповещения средства защиты информации (далее — СЗИ) о произошедших событиях веб-атаки. |
|
RV-D-1458 |
Множественные атаки на веб-приложение Гарда WAF |
Гарда WAF — это сетевой экран уровня приложений, который защищает и обнаруживает веб-атаки на сайты и приложения. В результате мы можем получать оповещения средства защиты информации (далее — СЗИ) о произошедших событиях веб-атаки. Данное правило детектирует множественные веб-атаки различных типов, направленные на один хост. |
|
RV-D-1460 |
Множественная атака на веб-приложение Гарда WAF |
Гарда WAF — это сетевой экран уровня приложений, который защищает и обнаруживает веб-атаки на сайты и приложения. В результате мы можем получать оповещения от средства защиты информации (далее — СЗИ) о произошедших событиях веб-атаки. Данное правило обнаруживает на веб-сервере множественные атаки одного типа. |
Была ли полезна эта страница?
