Проверка удалённого доступа по IoC

Таблица. Параметры anomaly.rat_ioc

ПараметрЗначенияНазначение и особенности

protocols

Массив; rdp, vnc, ssh, teamviewer, anydesk в поставке

Перечень протоколов. Пустой список отключает проверку; встроенное распознавание не присваивает идентификатор anydesk.

direction

any / inbound / outbound; any

inbound проверяет адрес клиента; outbound — сервера; any — сначала сервера, затем клиента.

whitelist_remote_admin_subnets

Массив CIDR; []

Если любой участник входит в список, сессия не проверяется.

Проверка выполняется службой sensor-identity при закрытии TCP- или UDP-сессии. Для неё нужны anomaly.enabled: true, непустой список протоколов и загруженные IP-индикаторы. Находка rat-to-ioc относится к behavioral. Названия inbound и outbound определяют сторону сессии; они сами по себе не описывают периметр организации.