Приложение 1. Описание демо-профилей и тестовых датасетов xBA

Mon, 01 Jan 0001 00:00:00 +0000

В таблице ниже приведен состав дополнения xba-demo, которое включается в дистрибутив продукта и может быть установлено в разделе Администрирование > Обновление > Дополнения. В столбце "MITRE" приводится информация по техникам и тактикам по матрице MITRE ATT&CK.

№ п\п

Наименование профиля

Результат

MITRE

Источник, таблица

Функция, поле

Метапрофиль (имя, описание)

Вес профиля в метапрофиле

DEMO PACK: VPN - Объем переданных данных. ИНД

Перечень пользователей, чей суммарный объем данных в VPN-сессиях за день был необычным относительно индивидуального поведения

Аномально большой для пользователя объём полученного трафика в VPN-сегменте может свидетельствовать о нелегитимном использовании данного канала коммуникации. В частности, о реализации ряда техник, относящихся к TA0009 Collection ВЕС 2:

Приложение 2. Описание таблиц источников данных для построения демо-профилей

Mon, 01 Jan 0001 00:00:00 +0000

Таблица

Поля

Описание

Журналы событий VPN сервера

xba_demo\vpn

Дата и время начала VPN-соединения

user

ФИО пользователя

vpn_bytes_received

Количество байт, полученных в течении VPN-сессии

vpn_duration_sec

Длительность VPN-сессии в секундах

Журналы событий файлового сервера

xba_demo\file

account

Имя учетной записи (поле маскировано)

account_domain

Имя домена (поле маскировано)

share_name

Сетевой ресурс (поле маскировано)

source_adress

IP-адрес хоста (поле маскировано)

Дата и время обращения к ресурсу

Журналы событий прокси-сервера

Приложение 3. Формат рассылки о новых отклонениях xBA по Syslog

Mon, 01 Jan 0001 00:00:00 +0000

В следующей таблице представлены значения полей заголовка рассылки:

Поле заголовка

Значение для профилей

Значение для метапрофилей

Version

Device Vendor

NGR Softlab

Device Product

Dataplan

Device Version

Name

[Dataplan:<ip>]<msg label>

[Dataplan:<ip>] New xba groups diviations data

Severity

Medium

В следующей таблице представлены значения полей с данными:

Приложение 4. Описание сценариев по модели данных для автоматической генерации профилей и метапрофилей

Mon, 01 Jan 0001 00:00:00 +0000

Сценарии для профилей
Сценарии для метапрофилей

В следующей таблице приведен перечень сценариев для автоматической генерации профилей.

Источник

Название сценария

Описание

WinEvent

WinEvent. Новые типы событий для УЗ

Профиль позволяет оценить нетипичное поведение УЗ в разрезе новых ранее не встречавшихся событий

WinEvent

WinEvent. Время работы УЗ (по разности отметок времени)

Профиль позволяет оценить нетипичное поведение УЗ в разрезе времени работы

WinEvent

WinEvent. Время начала работы УЗ

Профиль позволяет оценить нетипичное поведение УЗ в разрезе времени работы

WinEvent

WinEvent. Время окончания работы УЗ

Профиль позволяет оценить нетипичное поведение УЗ в разрезе времени работы

WinEvent

WinEvent. Нетипичное количество событий у УЗ

Профиль позволяет оценить нетипичное поведение УЗ в разрезе количества событий

WinEvent

WinEvent. Индивидуальная активность административных УЗ по количеству событий

Профили позволяют отслеживать отклонения в поведении административных УЗ и потенциально указывать на возможную компрометацию учётной записи с широкими правами доступа

WinEvent

WinEvent. Групповая активность административных УЗ по количеству событий

WinEvent

WinEvent. Индивидуальная активность административных УЗ по количеству уникальных id событий

WinEvent

WinEvent. Индивидуальная активность административных УЗ по неверно введенным паролям

WinEvent

WinEvent. Индивидуальная активность административных УЗ по новым id событий

Netflow

Intranet. Входящий трафик извне. Объем данных за день

Перечень хостов интранет сети с наибольшей входящей сетевой активностью извне по объему загруженных данных ЗА ДЕНЬ по отношению к индивидуальному доверительному интервалу и другим хостам

Приложения on Dataplan

Приложение 1. Описание демо-профилей и тестовых датасетов xBA

Приложение 2. Описание таблиц источников данных для построения демо-профилей

Приложение 3. Формат рассылки о новых отклонениях xBA по Syslog

Приложение 4. Описание сценариев по модели данных для автоматической генерации профилей и метапрофилей