Многие атаки на российские организации включают компрометацию ПО 1С, поскольку компания доминирует на отечественном рынке ERP-систем. Поэтому знать основные особенности этой системы нужно как сотрудникам SOC, так и экспертам по IR.
В новой статье на Securelist разобраны основные практические моменты:
🔵 какие события на хостах 1С требуют внимания SOC и могут свидетельствовать о компрометации (спойлер: подозрительные дочерние процессы порожденные из
ragent.exe, rphost.exe, rmngr.exe);🟣 где искать артефакты на скомпрометированном сервере;
🟣 как анализировать журналы 1С и каким событиями уделять внимание;
🟣 что искать на клиентских машинах 1С.
Изучите статью и сохраните для коллег!
#советы #IR @П2Т