🎓 Инструменты для SOC: автоматизация

➤ Автоматизация
— Перебор пароля учётной записи (УЗ) на l Подключение к ханипоту
— Срабатывание правил DLP
— Запуск недоверенного ПО
— Очистка журнала безопасности Windows

➤ Сценарий для перебора паролей
1. Устройство доступа направляет сообщения о попытках обращений в SIEM
2. SOC забирает по API инцидент из SIEM
3. Детектор SOC анализирует инцидент по внутренним правилам:
—Выделяется имя пользователя, чью УЗ атаковали
— Выделяется IP источника обращений
4. Алертер:
— Формирует распоряжение для Управляющего модуля (SOAR)
— Формирует задание в системе Service Desk на расследование инцидента
— Направляет уведомление в систему мгновенных сообщений
5. Управляющий модуль взаимодействует с межсетевым экраном и Active Directory :
— Блокировка IP
— При необходимости по политике — блокировка УЗ
6. Вся информация об инциденте сохраняется в Базе данных

Полную статью можно прочитать в нашем клубе Код ИБ | ЗУБРЫ Кибербеза.