Работим по ясен обхват, договорени контакти и отчетност, за да превърнем техническите сигнали в конкретни решения.
Какво включва услугата
- Хипотези, основани на средата и риска
- Търсене в налични логове и сигнали
- Проверка на покритие и видимост
- Доклад с находки и следващи стъпки
Търсене отвъд автоматичните аларми
Защитното търсене на заплахи е целенасочено изследване на наличната телеметрия по въпрос или хипотеза. То допълва автоматичните детекции, като проверява дали определен вид подозрително поведение може да бъде видян в конкретната среда. Хипотезата може да идва от събитие, промяна в инфраструктурата, нова информация за заплахи или повтарящи се сигнали.
Преди търсенето определяме периода, системите и данните, до които има разрешен достъп. Ако нужната телеметрия липсва или е непълна, това се отбелязва като ограничение, а не се представя като доказателство, че активност не е имало.
- Формулиране на защитен въпрос и очаквани данни
- Търсене в одитни, крайни, мрежови или облачни записи според наличността
- Проверка на резултатите с контекст за активи и промени
- Докладване на находки, ограничения и потенциални подобрения
Какво може да покаже един лов
Резултатът може да е потвърден сигнал, вероятно обяснение, което изисква проверка от собственика на системата, или липса на доказателства в наличния набор. Тези категории не са взаимозаменяеми. Документираме какво е търсено, кои данни са използвани, какъв период е покрит и каква увереност позволява резултатът.
Когато има индикация за инцидент, преминаваме към съгласувания процес за управление на инциденти. Самото търсене не разрешава промяна по системи и не замества пълно криминалистично разследване, когато такова е необходимо.
Повтаряем и безопасен процес
Добрата хипотеза е достатъчно конкретна, за да може да бъде проверена, но не предполага предварително виновен потребител или компрометирана система. Анализаторите използват одобрени заявки и четат резултатите в рамките на зададения обхват. Всяка препоръка посочва дали е свързана с логване, настройка на правило, преглед на достъп или допълнителен анализ.
С времето резултатите от търсенията могат да подобрят правилата за откриване и инвентара на телеметрията. Така организацията научава не само дали дадена хипотеза се подкрепя от данните, а и къде защитният процес няма достатъчна видимост.