Спецпроекты

Maxpatrol SIEM научилась выявлять аномальную активность пользователей в Microsoft Active Directory

Безопасность Новости поставщиков

В Maxpatrol SIEM загружен пакет экспертизы, который позволяет выявлять аномалии в активности пользователей в Microsoft Active Directory. Об этом CNews рассказали в пресс-службе Positive Technologies.

Такие активности внутри сети могут свидетельствовать о развитии атаки на ИТ-инфраструктуру организации, что может привести к неограниченному контролю в управлении учетными записями и компьютерами локальной сети.

Новые правила корреляции, вошедшие в пакет экспертизы, выявляют действия злоумышленника с помощью профилирования активности пользователей. Для каждой учетной записи и сетевого узла в инфраструктуре автоматически формируется модель поведения на основе истории легитимных действий. Когда пользователь совершит отклоняющееся от модели действие, Maxpatrol SIEM зарегистрирует аномалию.

На данный момент реализовано три сценария: вход в систему Windows; обращение к сетевым ресурсам общего доступа и именованным каналам; запрос сессионных билетов для аутентификации через Kerberos.

Если любой из перечисленных выше сценариев выполнен успешно и реализуется от имени учетной записи или с сетевого узла, которые не выполняли таких действий на протяжении длительного времени, оператор Maxpatrol SIEM получит уведомление об инциденте ИБ с описанием типа и ключевых атрибутов аномалии.

Эксперты Positive Technologies планируют постепенно расширять набор правил корреляции для выявления аномальной активности в инфраструктуре. В течение месяца будет добавлено правило для выявления запуска подозрительных для узла процессов от имени учетной записи с максимальными привилегиями в системе.



Тема месяца

Обзор: ИТ в промышленности 2019

Рейтинги CNews

Крупнейшие поставщики ИТ на промышленные предприятия

Технология месяца

Цифровизация электросетей реализуется преимущественно на отечественных технологиях

Игорь Маковский

генеральный директор «Россети Центр»