В статье описан процесс расследования инцидентов информационной безопасности, включающий этапы выявления инцидента, сбора и анализа данных, а также локализации и устранения угрозы и последствий инцидента. Общим недостатком применяемых методов и средств сбора цифровых доказательств в рамках расследования инцидентов информационной безопасности является фрагментированность собранных данных, что усложняет корреляцию и сопоставление событий из разных источников и систем в корпоративной сети. Описан принцип работы системы обнаружения и анализа вредоносной активности на конечных устройствах с открытым исходным кодом Velociraptor. Предложенный метод основан на совокупном использовании системы Velociraptor и применении YARA-правил, что обеспечивает унифицированный сбор и анализ цифровых доказательств, возможность создания типовых правил реагирования на инциденты информационной безопасности, а также автоматизацию процесса локализации инцидента. Кроме того, за счет генерации YARA-правил на основе выявленных индикаторов компрометации обеспечивается интеграция с процессом проактивного поиска угроз, направленным на выявление скрытых сетевых атак.
< ... >
The article describes the process of investigating IS incidents. A common disadvantage of the methods and means used to collect digital evidence in the investigation of IS incidents is the fragmentation of the collected data. The principle of operation of the Velociraptor open source malware detection and analysis system is described. The proposed method is based on the combined use of the Velociraptor system and the application of YARA rules, provides a unified collection and analysis of digital evidence, the ability to create standard rules for responding to IS incidents, as well as automating the incident localization process. In addition, by generating YARA rules based on the identified indicators of compromise, integration with the proactive threat search process aimed at detecting hidden network attacks is ensured.
Keywords:
EDR systems, indicator of compromise (IoC), forensics, triage, incident response, YARA rules
Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд»
