TLS и перемещение внутри сети

Таблица. Параметры anomaly.tls

ПараметрЗначенияНазначение и особенности

enabled

true / false; true

Включает проверки подключённого l2-tls-anomaly.lua независимо от anomaly.enabled.

check_outdated_version

true / false; true

Проверяет версию по outdated_versions.

outdated_versions

SSLv2, SSLv3, TLSv1.0, TLSv1.1

При отсутствии список пуст и соответствующая проверка не выявляет версии.

check_weak_cipher

true / false; true

Проверяет выбранный сервером набор шифров.

weak_cipher_substrings

RC4, DES, NULL, MD5, EXPORT

Список подстрок; при отсутствии пуст.

check_self_signed

true / false; true

Совпадение издателя и субъекта сертификата.

check_expired

true / false; true

Истёкший или ещё не наступивший срок действия.

check_sni_mismatch

true / false; true

Несовпадение SNI с именами сертификата.

check_incomplete_handshake

true / false; true

Незавершённое рукопожатие или отсутствие прикладных данных после него.

check_fatal_alerts

true / false; true

Фатальное сообщение Alert от сервера.

internal_subnets_excluded_from_self_signed

Массив CIDR; []

Серверы, для которых допустим самоподписанный сертификат.

Проверки сертификата применимы к открыто переданным сертификатам SSL 3.0 — TLS 1.2. В TLS 1.3 сертификат находится в зашифрованной части рукопожатия. Не трактуйте отсутствие такой находки как подтверждение корректности сертификата, если его данные не наблюдались.

Таблица. Доверенные узлы детекторов DCE RPC LDAP и SMB

ПараметрЗначенияНазначение и особенности

dcerpc.enabled

true / false; true

Включает секцию DCE/RPC.

dcerpc.detect_dcsync

true / false; true

Проверка репликации с узла вне списка контроллеров.

dcerpc.detect_lateral

true / false; true

Обращения к чувствительным интерфейсам с узлов вне списка администраторов.

dcerpc.domain_controllers

Адреса и CIDR; []

Разрешённые участники репликации. Пока список пуст, находки DCSync не выпускаются.

dcerpc.whitelist_admin_hosts

Адреса и CIDR; []

Доверенные рабочие места и системы управления. Пустой список не активирует соответствующие находки.

ldap.enabled

true / false; true

Включает детектор разведки каталога.

ldap.whitelist_admin_hosts

Адреса и CIDR; []

Доверенные средства работы с каталогом. До заполнения находки не выпускаются.

smb.enabled

true / false; true

Включает проверки доступа к административным ресурсам и передачи инструментов.

smb.whitelist_admin_hosts

Адреса и CIDR; []

Рабочие места администраторов, резервное копирование и управление. До заполнения находки не выпускаются.

Для этих правил необходимо согласовать списки с владельцами инфраструктуры. Не включайте всю внутреннюю сеть в исключение: тогда обращения с скомпрометированного внутреннего узла также будут пропущены. Указывайте конкретные роли и проверяйте актуальность списка после изменений адресации.