Приложение 1. Описание демо-профилей и тестовых датасетов xBA

Аномально большой для пользователя объём полученного трафика в VPN-сегменте может свидетельствовать о нелегитимном использовании данного канала коммуникации. В частности, о реализации ряда техник, относящихся к TA0009 Collection ВЕС 2:

В общем случае это может свидетельствовать о реализации техники T1119 Automated Collection - потенциальный злоумышленник может осуществлять автоматизированный сбор данных внутри VPN-сегмента, если не предоставлен дополнительный контекст об источнике получаемых данных (вес 2)

DEMO PACK: VPN

Выявление признаков инсайдерской деятельности и компрометации учетных данных пользователя при доступе к информационным ресурсам через VPN.

Дополнительно - сведения для анализа эффективности работы сотрудников

Атрибут количества переданных байт является приоритетным (вес соответствующего профиля выше), т.к. предполагается, что большой объем переданных данных во время VPN сессии может свидетельствовать о получении конфиденциальных сведений.

Результаты сводного анализа показывают пользователей, чье поведение было необычным по совокупности профилей, т.е. их риск (индивидуальный и групповой, с учетом веса профилей) наиболее высокий.

TA0009 – Collection ВЕС 2:

T1119 Automated Collection- увеличение трафика может быть вызвано выгрузкой файлов, дампов и т.д (вес 3)

TA0010 – Exfiltration ВЕС 2:

T1041 Exfiltration Over C2 Channel - трафик идет по легитимному VPN-каналу, что типично для эксфильтрации через управляемое злоумышленником соединение (вес 2)

Аномально высокая для пользователя длительность VPN-сессии может свидетельствовать о нелегитимном использовании данного канала коммуникации (TA0011 Command and Control  ВЕС 4), а также о компрометации исследуемой учетной записи и, как следствие, возможном закреплении злоумышленника в инфраструктуре (TA0003 Persistence ВЕС 2).

TA0011 –  Command and Contro ВЕС 4:

T1095 Non-Application Layer Protocol ВЕС 2 – в общем случае свидетельствует о компрометации VPN-соединения для использования его в качестве канала коммуникации с C2-сервером

T1572 Protocol Tunneling ВЕС 1 – злоумышленник может использовать туннелирование для сокрытия C2-трафика внутри легитимного VPN-трафика 

T1219 Remote Access Software ВЕС 1 – VPN-соединение может использоваться для поддержания удаленного доступа к инфраструктуре

TA0003 – Persistence ВЕС 2::

T1078 Valid Accounts ВЕС 2 – учётные данные, используемые для доступа к VPN, могли быть скомпрометированы; (вес 2)

TA0011 – Command and Control ВЕС 4:

T1572 Protocol Tunneling ВЕС 1– злоумышленник может использовать туннелирование для сокрытия C2-трафика внутри легитимного VPN-трафика

T1095 Non-Application Layer Protocol ВЕС 2 – в общем случае свидетельствует о компрометации VPN-соединения для использования его в качестве канала коммуникации с C2-сервером

*T1219 Remote Access Software ВЕС 1 – VPN-соединение может использоваться для поддержания удаленного доступа к инфраструктуре

TA0003 – Persistence ВЕС 2:

*T1078 Valid Accounts ВЕС 2 – учётные данные, используемые для доступа к VPN, могли быть скомпрометированы

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 2 – использование легитимных учетных записей для выполнения действий с сетевыми шарами, вредоносное воздействие: повышение сложности в выявлении атаки

TA0007 – Discovery ВЕС 4:

T1135 Network Share Discovery ВЕС 1- злоумышленник исследует доступные сетевые шары для поиска файлов или данных, вредоносное воздействие: утечка данных, увеличение нагрузки на сервер

TA0009 – Collection ВЕС 2:

T1039 Data from Network Shared Drive ВЕС 2 – злоумышленник использует сетевые шары для извлечения или копирования файлов, вредоносное воздействие: потеря данных, поиск конфиденциальной информации

T1119 Automated Collection ВЕС 2– злоумышленник получает данные с сетевых устройств, используя сетевые шары как часть атаки, вредоносное воздействие: потеря данных

DEMO PACK: File Server

Выявления признаков инсайдерской деятельности или компрометации учетных данных при реализации доступа пользователя к файловому серверу.

Дополнительно – сведения для определения наиболее характерных для пользователей или подразделений сетевых ресурсов, критически важных общих сетевых ресурсов.

Атрибуты количества обращений к файловому серверу и количеству объектов файлового сервера, к которым обращается пользователь, являются приоритетными, т.к. предполагается, что инсайдер попытается выполнить анализ наибольшего числа объектов файлового сервера для сбора данных. Нетипичное количество хостов, с которых выполняется обращение пользователя к файловому серверу может говорить о компрометации его учетных данных, или, например, о его частых командировках. Также, если в целом по всем пользователям отмечается большое количество адресов доступа, то возможны какие-то ошибки конфигурации инфраструктурных сервисов (например, DHCP-сервера).

Результаты сводного анализа покажут пользователей с наибольшим суммарным риском (с учетом весов профилей) и позволят выявить аномально активных пользователей файлового сервера, на которых стоит обратить внимание. Дополнительно, можно выявить наиболее характерные для пользователей или групп пользователей сетевые ресурсы, реструктурировать их, актуализировать текущие потребности в доступе к сетевым папкам.

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 2 – использование легитимных учетных записей для выполнения действий с сетевыми шарами, вредоносное воздействие: повышение сложности в выявлении атаки

TA0007 – Discovery ВЕС 4:

T1135 Network Share Discovery ВЕС 1 - злоумышленник исследует доступные сетевые шары для поиска файлов или данных, вредоносное воздействие: утечка данных, увеличение нагрузки на сервер

TA0009 – Collection ВЕС 2:

T1039 Data from Network Shared Drive ВЕС 2 – злоумышленник использует сетевые шары для извлечения или копирования файлов, вредоносное воздействие: потеря данных, поиск конфиденциальной информации

T1119 Automated Collection ВЕС 2 – злоумышленник получает данные с сетевых устройств, используя сетевые шары как часть атаки, вредоносное воздействие: потеря данных

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 2 – использование легитимных учетных записей для выполнения действий с сетевыми шарами, вредоносное воздействие: повышение сложности в выявлении атаки

TA0007 – Discovery ВЕС 4:

T1135 Network Share Discovery ВЕС 2 – злоумышленник исследует доступные сетевые шары для поиска файлов или данных, вредоносное воздействие: утечка данных, увеличение нагрузки на сервер

TA0009 – Collection ВЕС 2:

T1039 Data from Network Shared Drive ВЕС 2 – злоумышленник использует сетевые шары для извлечения или копирования файлов, вредоносное воздействие: потеря данных, поиск конфиденциальной информации 

T1119 Automated Collection ВЕС 1 – злоумышленник получает данные с сетевых устройств, используя сетевые шары как часть атаки, вредоносное воздействие: потеря данных

TA0007 – Discovery ВЕС 4:

T1135 Network Share Discovery ВЕС 2 – злоумышленник исследует сетевые папки, расширяя диапазон директорий, к которым получает доступ

TA0009 – Collection ВЕС 2:

T1039 Data from Network Shared Drive ВЕС 2 – доступ к новым папкам может сопровождаться копированием или выгрузкой данных с них

T1119 Automated Collection ВЕС 1 – автоматизированные скрипты могут обращаться ко множеству папок, включая ранее неиспользуемые

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 2 – легитимная УЗ используется злоумышленником для доступа к новым директориям, маскируя поведение под обычное

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 2 – если один пользователь начинает работать с разных IP/хостов, то это может говорить о скомпрометированной УЗ, используемой в разных точках входа для маскировки поведения

TA0007 – Discovery ВЕС 4:

T1135 Network Share Discovery ВЕС 1 – поиск доступных сетевых ресурсов, вредоносное воздействие: увеличение нагрузки на сетевые ресурсы из-за большого количества запросов

TA0008 – Lateral Movement ВЕС 3:

T1021 Remote Services ВЕС 2 – использование удаленных сервисов (SMB, RDP, SSH и т.д) через различные хосты, вредоносное воздействие: создание цепочек событий для сокрытия следов атаки, потенциальное распространение атаки

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 3 - злоумышленник использует скомпрометированные учетные записи или учетные данные для выполнения атак из разных источников, вредоносное воздействие: усложнение процедуры расследования инцидента из-за использования множественных источников

TA0007 – Discovery ВЕС 4:

T1135 Network Share Discovery ВЕС 1 – поиск доступных сетевых ресурсов, вредоносное воздействие: увеличение нагрузки на сетевые ресурсы из-за большого количества запросов

TA0008 – Lateral Movement ВЕС 3:

T1021 Remote Services ВЕС 2 – использование удаленных сервисов (SMB, RDP, SSH и т.д) через различные хосты, вредоносное воздействие: создание цепочек событий для сокрытия следов атаки, потенциальное распространение атаки

TA0043 - Reconnaissance ВЕС 2:

T1595 Active Scanning ВЕС - Злоумышленник выполняет активное сканирование для выявления уязвимостей и информации о целевых системах, вредоносное воздействие: нагрузка на веб-сервер, изучение слабых мест

T1593 Search Open Websites/Domains ВЕС 1 - Автоматический сбор информации о веб-ресурсе с помощью поисковых систем может увеличить количество обращений, вредоносное воздействие: компрометация конфиденциальной информации

DEMO PACK: Proxy

Выявление признаков нецелевого использования ресурсов компании.

Дополнительно – сведения для анализа эффективности работы сотрудников, определения некорректной настройки правил, использования в сети распределенных протоколов передачи данных.

Атрибуты количества обращений к web-ресурсу, количество загруженных данных, среднее время выполнения запроса (большое значение косвенно является признаком запроса большого объема данных) являются приоритетными, т.к. они свидетельствуют о высокой сетевой активности пользователя. Например, в некоторых компаниях, такая активность может свидетельствовать о некачественной работе сотрудников, об использовании ресурсов компании в личных целях. Атрибут нетипичного количества использованных портов также может говорить об использовании распределенных протоколов передачи данных (например, torrent).

Результаты сводного анализа покажут пользователей, которые часто пользуются, например, сторонними ресурсами сети Интернет, когда в сети компании созданы все условия, необходимые для работы (справочные и консультационные системы, офлайн сервисы и пр.).

TA0010 – Exfiltration ВЕС 2:

T1567 Exfiltration Over Web Service 4- злоумышленник выгружает собранные данные (архивы, дампы, экспорт файлов), отправляя их в теле HTTP‑запросов, каждый запрос занимает много времени, а суммарная длительность сеансов скачивания/загрузки выбивается из нормы

TA0011 – Command and Control ВЕС 4:

T1071.001  Web Protocols 2 - злоумышленник использует обычный HTTP/HTTPS‑трафик как канал управления (C2), маскируя команды и ответы внутри легитимных веб‑запросов и ответов. C2-сервер может использовать HTTP/HTTPS, что увеличивает длительность сессии и вызывает отклонения в прокси

TA0010 – Exfiltration ВЕС 2:

T1567 Exfiltration Over Web Service 4- злоумышленник выгружает собранные данные (архивы, дампы, экспорт файлов), отправляя их в теле HTTP‑запросов, каждый запрос занимает много времени, а суммарная длительность сеансов скачивания/загрузки выбивается из нормы

TA0011 – Command and Control ВЕС 4:

T1071.001  Web Protocols 2 - злоумышленник использует обычный HTTP/HTTPS‑трафик как канал управления (C2), маскируя команды и ответы внутри легитимных веб‑запросов и ответов. C2-сервер может использовать HTTP/HTTPS, что увеличивает длительность сессии и вызывает отклонения в прокси

TA0010 – Exfiltration ВЕС 2:

T1567 Exfiltration Over Web Service ВЕС 2 - Злоумышленник может использовать нестандартные HTTP-запросы для загрузки значительного объема данных с веб-ресурса, вредоносное воздействие: загрузка больших объемов данных для увеличения отклика или вызвать отказ в обслуживании

TA0009 – Collection ВЕС 2:

T1119 Automated Collection ВЕС 1 - Злоумышленник может использовать автоматизированные инструменты для загрузки данных с веб-ресурса в объеме, значительно превышающем обычное количество запросов, вредоносное воздействие: повышенная нагрузка на серверы, отказ в обслуживании, потеря данных

TA0010 – Exfiltration ВЕС 2:

T1567 Exfiltration Over Web Service ВЕС 3 - Злоумышленник может использовать нестандартные HTTP-запросы для загрузки значительного объема данных с веб-ресурса, вредоносное воздействие: загрузка больших объемов данных для увеличения отклика или вызвать отказ в обслуживании

TA0009 – Collection ВЕС 2:

T1119 Automated Collection ВЕС 4 - Злоумышленник может использовать автоматизированные инструменты для загрузки данных с веб-ресурса в объеме, значительно превышающем обычное количество запросов, вредоносное воздействие: повышенная нагрузка на серверы, отказ в обслуживании, потеря данных

TA0007 – Discovery ВЕС 4:

T1046 Network Service Scanning ВЕС 2– Злоумышленник может сканировать сети для выявления активных сервисов и открытых портов, получения информации о системах, чтобы найти порты, которые могут быть уязвимы для атак, вредоносное воздействие: сбор информации о сети для выявления точек входа, поиск уязвимых сервисов

TA0007 – Discovery ВЕС 4:

T1046 Network Service Scanning ВЕС 2– Злоумышленник может сканировать сети для выявления активных сервисов и открытых портов, получения информации о системах, чтобы найти порты, которые могут быть уязвимы для атак, вредоносное воздействие: сбор информации о сети для выявления точек входа, поиск уязвимых сервисов

TA0010 – Exfiltration ВЕС 2:

T1567 Exfiltration Over Web Service ВЕС 2 – Описание поведения злоумышленника: Атакующий использует легитимный веб‑сервис для отправки больших объёмов данных наружу, скрывая это в теле HTTP‑запросов

TA0011 - Command and Control ВЕС 4:

T1071.001 Web Protocols ВЕС 1– Злоумышленник устанавливает длительный HTTPS‑канал к C2‑серверу через балансировщик, аномальный объём или длительность HTTP‑сессии свидетельствует о скрытой передаче данных

DEMO PACK: Proxy. Точки входа

Выявления признаков нарушения конфигурации, прогнозирование нагрузки.

Атрибут объема переданных данных через точку входа (балансировщик) является приоритетным, т.к. он  свидетельствует о высокой нагрузке на сеть и другие ресурсы, что может негативно сказаться на доступности ресурса. Косвенно, такие признаки так же могут свидетельствовать о реализации через этот сервер скрытых каналов передачи данных. Атрибуты количества событий и количества уникальных клиентов балансировщиков так же могут показывать отклонения в нагрузке на серверы, вероятных ошибках в их настройках, а также необходимости выделения дополнительных ресурсов. При этом, большое количество уникальных клиентов так же может свидетельствовать, например, об организации ботнет сети или попытках парсинга ресурсов.

Результаты сводного анализа покажут перечни серверов, которые наиболее подвержены высоким нагрузкам, а также те, чьи параметры работы могут свидетельствовать о нелегитимных действия в отношении web-ресурсов, к которым выполняется доступ.

TA0043  – Reconnaissance ВЕС 2:

T1595 Active Scanning ВЕС 2: Злоумышленник или ботнет выполняет активное сканирование публичных веб‑ресурсов, включая балансировщики, рассылая запросы с множества IP‑адресов (или прокси) для обнаружения уязвимостей и возможностей C2. Это приводит к резкому росту числа уникальных клиентов, обращающихся к серверу

TA0040 - Impact ВЕС 1:

T1499 Endpoint Denial of Service ВЕС 3:

Для вывода сервиса из строя или отвлечения внимания злоумышленник генерирует огромное количество HTTP‑запросов (DoS‑атака) к балансировщику, что отражается в пиковом количестве событий на точке входа

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 2– злоумышленник может использовать скомпрометированные учетные записи для выполнения множества операций в БД, при этом выполняемые действия остаются легитимными с точки зрения системы

DEMO PACK: ПРСУБД

Выявление признаков инсайдерской деятельности или компрометации учетных данных при реализации доступа пользователей к параллельной реляционной СУБД.

Дополнительно – сведения для анализа эффективности работы сотрудников, определение попыток поиска конфиденциальных сведений.

Атрибуты доступа к нетипичным для пользователя объектам БД и перечню выполняемых операций являются приоритетными, т.к. они свидетельствуют о возможном поиске пользователем конфиденциальной информации. Данные признаки выявляются с применением функции novelty, которая отслеживает (накапливает статистику) по типовым объектам БД, к которым обращается пользователь, и по типовым операциям, которые он совершает. Любой новый объект доступа или любая новую операцию, возникающие в ходе дальнейшего контроля, воспринимаются системой как аномальные. Изменение же распределения обращения к объектам и используемых типов операций свидетельствует об изменении поведения пользователя в целом, что может быть признаком компрометации учетных данных.

Атрибуты нетипичного количества IP адресов хостов, с которых пользователь выполняет доступ к БД, а также нетипичное время выполнения запроса имеют вес ниже. Предполагается, что высокие затраты процессорного времени на выполнение запроса свидетельствуют о попытке получения большого массива данных. Аномально большое количество хостов, с которых пользователь выполняет запросы в БД, может свидетельствовать о компрометации учетных данных пользователя или попытках скрыть свои действия в рамках инсайдерской деятельности.

Атрибуты нетипичного времени обращения к БД и нетипичного количества приложений, через которые выполняются запросы, могут также свидетельствовать об инсайдерской деятельности. Вместе с тем, в некоторых компаниях позднее время работы с БД не является нарушением (возможны частые переработки), а большое количество приложений, используемых для доступа к БД, может свидетельствовать о широком спектре задач, решаемых сотрудником.

Результаты сводного анализа позволят определить пользователей, наиболее активно работающих с БД, выявить не только инсайдеров, но и сотрудников, которые выполняют большое количество задач. И, например, в случае увольнения такого сотрудника, компания может лишиться ключевого бизнес-процесса в связи с остановкой определенных видов деятельности.

TA0009 – Collection ВЕС 2:

T1213 – Data from Information Repositories ВЕС 2

Злоумышленник использует скрипты или клиентские приложения для рекурсивного обхода и выборки данных из хранилищ информации (включая базы данных), запрашивая системные и пользовательские таблицы, метаданные и ACL

TA0005 – Defense Evasion ВЕС 5:

T1078 Valid Accounts ВЕС 2– злоумышленник может использовать скомпрометированные учетные записи для выполнения множества операций в БД, при этом выполняемые действия остаются легитимными с точки зрения системы

TA0002 – Execution ВЕС 4:

T1059 Command and Scripting Interpreter ВЕС 4– злоумышленник может использовать SQL-инъекцию для выполнения команд или запросов через скриптовый интерпретатор, встроенный в БД, вредоносное воздействие: отказ в обслуживании, модификация данных

sum (сумма значений),

AMPCPUTimeNorm (процессорное время)

TA0001 – Initial Access ВЕС 3:

T1078 Valid Accounts ВЕС 2– скомпрометированные учетные записи могут быть использованы с различных IP-адресов

TA0008 – Lateral Movement ВЕС 3:

T1021 Remote Services ВЕС 2 – имея доступ к БД через удаленные сервисы может быть инициирован с большого количества IP-адресов

TA0001 – Initial Access ВЕС 3:

T1078 Valid Accounts ВЕС 3– скомпрометированные учетные записи могут быть использованы с различных IP-адресов

TA0008 – Lateral Movement ВЕС 3:

T1021 Remote Services ВЕС 3 –  имея доступ к БД через удаленные сервисы может быть инициирован с большого количества IP-адресов

TA0001 – Initial Access ВЕС 3:

T1078 Valid Accounts ВЕС 2– злоумышленник может использовать скомпрометированные учетные записи для выполнения множества операций в БД, при этом выполняемые действия остаются легитимными с точки зрения системы

Профиль регистрирует смещение временного окна активности пользователя, что может быть индикатором злоумышленника, использующего УЗ в нерабочее время, MITRE не содержит техник, отражающих подобное отклонение

Вес профиля: 1

TA0004 – Privilege Escalation ВЕС 3:

T1078 Valid Accounts ВЕС 5 – злоумышленник использует данные скомпрометированной учетной записи администратора через ранее не установленное приложение

TA0008 – Lateral Movement ВЕС 3:

T1021 Remote Services ВЕС 4 – злоумышленник использует новое приложение для подключения к БД через удаленный сервис, чтобы скрыть свои действия

TA0010 – Exfiltration ВЕС 2:

T1567 Exfiltration Over Web Service ВЕС 3 – злоумышленник может использовать новое приложение, которые могут взаимодействовать с БД для эксфильтрации данных

TA0004 – Privilege Escalation ВЕС 3:

T1078 Valid Accounts ВЕС 5 – злоумышленник использует данные скомпрометированной учетной записи администратора через ранее не установленное приложение

TA0008 – Lateral Movement ВЕС 3:

T1021 Remote Services ВЕС 4 – злоумышленник использует новое приложение для подключения к БД через удаленный сервис, чтобы скрыть свои действия

TA0010 – Exfiltration ВЕС 2:

T1567 Exfiltration Over Web Service ВЕС 2 – злоумышленник может использовать новое приложение, которые могут взаимодействовать с БД для эксфильтрации данных

TA0001 – Initial Access ВЕС 3:

T1566 Phishing ВЕС 3 – злоумышленник путем рассылки может выполнить вредоносный код или скомпрометировать учетные записи

DEMO PACK: СЗЦА

Выявление признаков аномальной вирусной активности в почтовом трафике по данным от системы защиты от целенаправленных атак.

Дополнительно – сведения для определения попыток заражения инфраструктуры через почтовые ящики определенных пользователей, для определения перечня лиц, которым необходимо провести дополнительный инструктаж по использованию корпоративной почты.

Атрибут количества получаемых рассылок пользователем является приоритетным, т.к. он может свидетельствовать целенаправленной попытке заражения инфраструктуры через неблагонадежных пользователей (тех, кто, например, использует служебную почту в личных целях или с которой выполняет несанкционированную массовую рассылку писем). По разнообразию типов вирусов также можно определить попытку заражения через определенного пользователя (его email).

Результаты сводного анализа позволят определить пользователей, которым, возможно, требуется провести дополнительный инструктаж по использованию корпоративной почты или в целом по "цифровой гигиене". Также, возникновение большого скачка суммарного риска по метапрофилю может свидетельствовать о попытке целенаправленной атаки компании

TA0003 – Persistence ВЕС 2:

T1543 Create of Modify System Process ВЕС 5 – злоумышленник может использовать ВПО, которое создает или модифицирует системные процессы для маскировки или обеспечения постоянного присутствия в инфраструктуре

TA0003 – Persistence ВЕС 2:

T1543 Create of Modify System Process ВЕС 5 – злоумышленник может использовать ВПО, которое создает или модифицирует системные процессы для маскировки или обеспечения постоянного присутствия в инфраструктуре