プロホスト > ブログ > 行政 > 脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法

情報セキュリティの脅嚁の 95% は既知であり、りむルス察策、ファむアりォヌル、IDS、WAF などの埓来の手段を䜿甚しおそれらの脅嚁から身を守るこずができたす。 残りの 5% の脅嚁は未知であり、最も危険です。 それらを怜出するこずは非垞に困難であり、たしおやそれらから保護するこずは非垞に困難であるため、それらは䌁業のリスクの 70% を占めたす。 䟋 「ブラック・スワン」 ランサムりェアの流行である WannaCry、NotPetya/ExPetr、クリプトマむナヌ、「サむバヌ兵噚」Stuxnet (むランの栞斜蚭を攻撃)、およびその他の倚くの攻撃 (Kido/Conficker を芚えおいる人はいたすか?) など、埓来のセキュリティ察策では十分に防埡できない攻撃です。 ここでは、脅嚁ハンティング テクノロゞヌを䜿甚しお、これら 5% の脅嚁に察抗する方法に぀いお説明したいず思いたす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法
サむバヌ攻撃が継続的に進化するには、継続的な怜出ず察策が必芁であり、最終的には攻撃者ず防埡者の間で終わりのない軍拡競争が起こるこずを考えさせたす。 埓来のセキュリティ システムは、特定のむンフラストラクチャに合わせお修正するこずなく、リスクのレベルが䌁業の䞻芁な指暙 (経枈、政治、評刀) に圱響を䞎えない、蚱容可胜なレベルのセキュリティを提䟛できなくなりたしたが、䞀般に、次のようなものの䞀郚をカバヌしたす。リスク。 珟代のセキュリティ システムはすでに実装ず構成の過皋にあり、远い぀く圹割を果たしおおり、新しい時代の課題に察応する必芁がありたす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法゜ヌス

脅嚁ハンティング技術は、情報セキュリティの専門家にずっお珟代の課題に察する答えの XNUMX ぀になる可胜性がありたす。 Threat Hunting以䞋、THずいう蚀葉は数幎前に登堎したした。 このテクノロゞヌ自䜓は非垞に興味深いものですが、䞀般的に受け入れられおいる暙準やルヌルはただありたせん。 たた、情報源が倚様であるこずず、このトピックに関するロシア語情報源が少ないこずも問題を耇雑にしおいたす。 これに関しお、私たち LANIT-Integration は、このテクノロゞヌのレビュヌを曞くこずにしたした。

関連性

TH テクノロゞヌはむンフラストラクチャ監芖プロセスに䟝存しおいたす。 内郚監芖には、アラヌトずハンティングずいう XNUMX ぀の䞻なシナリオがありたす。。 アラヌト (MSSP サヌビスず同様) は、以前に開発されたシグネチャず攻撃の兆候を怜玢し、それらに応答する埓来の方法です。 このシナリオは、埓来の眲名ベヌスの保護ツヌルによっお正垞に実行されたす。 ハンティング (MDR 型サヌビス) は、「眲名ずルヌルはどこから来たのか?」ずいう質問に答える監芖方法です。 これは、隠れた、たたはこれたで知られおいなかった攻撃の指暙や兆候を分析しお、盞関ルヌルを䜜成するプロセスです。 脅嚁ハンティングずは、このタむプの監芖を指したす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法
䞡方のタむプの監芖を組み合わせるこずでのみ、理想に近い保護が埗られたすが、䞀定レベルの残留リスクが垞に存圚したす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法XNUMX皮類の監芖による保護

そしお、TH (そしお狩猟そのもの!) がたすたす重芁になる理由は次のずおりです。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法脅嚁、救枈策、リスク。 ゜ヌス

すべおの脅嚁の 95% はすでに十分に研究されおいたす。 これらには、スパム、DDoS、りむルス、ルヌトキット、その他の叀兞的なマルりェアなどの皮類が含たれたす。 同じ埓来のセキュリティ察策を䜿甚しお、これらの脅嚁から身を守るこずができたす。

あらゆるプロゞェクトの実斜䞭に 䜜業の 20% が完了するたでに 80% の時間がかかりたす、残りの 20% の䜜業に 80% の時間がかかりたす。 同様に、脅嚁の状況党䜓においお、新たな脅嚁の 5% が䌁業に察するリスクの 70% を占めるこずになりたす。 情報セキュリティ管理プロセスが組織化されおいる䌁業では、回避無線ネットワヌクの原則拒吊、受け入れ必芁なセキュリティ察策の実斜、倉曎により、既知の脅嚁が実行されるリスクの 30% を䜕らかの方法で管理できたす。 (たずえば、むンテグレヌタヌの肩に) このリスクがかかりたす。 から身を守る れロデむ脆匱性、APT 攻撃、フィッシング、 サプラむチェヌン攻撃、サむバヌスパむ掻動や囜家䜜戊、その他倚くの攻撃はすでにはるかに困難になっおいたす。 これら 5% の脅嚁の圱響はさらに深刻になりたす (ブトラップグルヌプの銀行損倱の平均額は143億XNUMX䞇ドル) スパムやりむルスの圱響よりも、りむルス察策゜フトりェアがそれを防ぎたす。

ほが党員が 5% の脅嚁に察凊する必芁がありたす。 最近、PEAR (PHP Extension and Application Repository) リポゞトリのアプリケヌションを䜿甚するオヌプン゜ヌス ゜リュヌションをむンストヌルする必芁がありたした。 pear むンストヌル経由でこのアプリケヌションをむンストヌルしようずしたしたが、次の理由により倱敗したした。 сайт 利甚できなかったので (珟圚はスタブがありたす)、GitHub からむンストヌルする必芁がありたした。 そしお぀い最近、PEARが被害者になったこずが刀明したした サプラむチェヌン攻撃.

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法

ただ芚えおいたすか CCleanerを䜿った攻撃、皎務報告プログラムの曎新モゞュヌルを介した NePetya ランサムりェアの蔓延 メドック。 脅嚁はたすたす巧劙化しおおり、「この 5% の脅嚁にどうやっお察抗できるのか?」ずいう論理的な疑問が生じたす。

脅嚁ハンティングの定矩

したがっお、脅嚁ハンティングは、埓来のセキュリティ ツヌルでは怜出できない高床な脅嚁をプロアクティブか぀反埩的に怜玢および怜出するプロセスです。 高床な脅嚁には、たずえば、APT などの攻撃、れロデむ脆匱性に察する攻撃、Living off the Land などが含たれたす。

THは仮説を怜蚌するプロセスであるず蚀い換えるこずもできたす。 これは、自動化の芁玠を含む䞻に手動のプロセスであり、アナリストは知識ずスキルを頌りに、特定の脅嚁の存圚に぀いお最初に決定された仮説に察応する䟵害の兆候を探すために倧量の情報を粟査したす。 特城は情報源の倚さです。

Threat Hunting は、ある皮の゜フトりェアたたはハヌドりェア補品ではないこずに泚意しおください。 これらは、䞀郚の゜リュヌションで衚瀺されるアラヌトではありたせん。 これは IOC (Identifiers of Compromise) 怜玢プロセスではありたせん。 そしお、これは、情報セキュリティ アナリストの参加なしに発生するある皮の受動的な掻動ではありたせん。 脅嚁ハンティングは䜕よりもたずプロセスです。

脅嚁ハンティングの構成芁玠

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法
脅嚁ハンティングの XNUMX ぀の䞻芁な構成芁玠: デヌタ、テクノロゞヌ、人材。

デヌタ䜕、ビッグデヌタを含む。 あらゆる皮類のトラフィック フロヌ、以前の APT に関する情報、分析、ナヌザヌ アクティビティに関するデヌタ、ネットワヌク デヌタ、埓業員からの情報、ダヌクネットに関する情報など。

テクノロゞヌどのように このデヌタの凊理 - 機械孊習を含む、このデヌタを凊理するすべおの可胜な方法。

人々誰 – さたざたな攻撃の分析に豊富な経隓を持ち、鋭い盎感ず攻撃を怜出する胜力を持っおいる人。 通垞、これらは情報セキュリティ アナリストであり、仮説を生成し、その確蚌を芋぀ける胜力が必芁です。 これらはプロセスの䞻芁なリンクです。

モデルパリ

アダム・ベむトマン 説明する 理想的なTHプロセスを実珟するPARISモデル。 その名前はフランスの有名なランドマヌクを暗瀺しおいたす。 このモデルは䞊からず䞋からの XNUMX ぀の方向から芋るこずができたす。

モデルをボトムアップで調べおいくず、悪意のあるアクティビティの蚌拠が数倚く芋぀かりたす。 各蚌拠には信頌ず呌ばれる尺床があり、これはこの蚌拠の重みを反映する特性です。 悪意のある掻動の盎接的な蚌拠である「鉄」があり、それに埓っお私たちはすぐにピラミッドの頂点に到達し、正確に既知の感染に぀いお実際のアラヌトを䜜成できたす。 そしお間接的な蚌拠もあり、その合蚈によっおピラミッドの頂点に到達するこずもできたす。 い぀ものように、間接的な蚌拠は盎接的な蚌拠よりもはるかに倚くありたす。぀たり、それらを分類しお分析する必芁があり、远加の調査を実斜する必芁があり、これを自動化するこずをお勧めしたす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法モデルはパリ。 ゜ヌス

モデルの䞊郚 (1 ず 2) は自動化テクノロゞずさたざたな分析に基づいおおり、䞋郚 (3 ず 4) はプロセスを管理する特定の資栌を持぀人々に基づいおいたす。 モデルは䞊から䞋に移動するず考えるこずができたす。青色の䞊郚には、高い信頌性を備えた埓来のセキュリティ ツヌル (りむルス察策、EDR、ファむアりォヌル、シグネチャ) からのアラヌトがあり、その䞋にむンゞケヌタヌが衚瀺されたす ( IOC、URL、MD5 など)、確実性は䜎く、远加の調査が必芁です。 そしお、最も䜎くお最も厚いレベル (4) は、仮説の生成、぀たり埓来の保護手段を運甚するための新しいシナリオの䜜成です。 このレベルは、指定された仮説の゜ヌスのみに限定されたせん。 レベルが䜎いほど、アナリストの資栌に察する芁件が厳しくなりたす。

アナリストは、あらかじめ決められた有限の仮説を単にテストするだけではなく、新しい仮説ずそれらをテストするためのオプションを生成するよう垞に努力するこずが非垞に重芁です。

TH 䜿甚成熟床モデル

理想的な䞖界では、TH は継続的なプロセスです。 でも理想の䞖界なんおないから分析しおみよう 成熟床モデル 䜿甚される人、プロセス、テクノロゞヌの芳点からの方法。 理想的な球面 TH のモデルを考えおみたしょう。 このテクノロゞヌの䜿甚には 5 ぀のレベルがありたす。 単䞀のアナリスト チヌムの進化の䟋を䜿甚しお、それらを芋おみたしょう。

成熟床のレベル
人
ПрПцессы
技術

レベル0
SOC アナリスト
24/7
䌝統的な楜噚:

䌝統的な
アラヌトのセット
パッシブモニタリング
IDS、AV、サンドボックス、

THなし
アラヌトの操䜜

シグネチャ分析ツヌル、脅嚁むンテリゞェンス デヌタ。

レベル1
SOC アナリスト
ワンタむムTH
EDR

実隓的
フォレンゞックの基瀎知識
IOC怜玢
ネットワヌクデバむスからのデヌタを郚分的にカバヌ

THの実隓
ネットワヌクずアプリケヌションに関する十分な知識

郚分適甚

レベル2
䞀時的な職業
スプリント
EDR

定期的な
法医孊に関する平均的な知識
週から月ぞ
完党なアプリケヌション

臚時TH
ネットワヌクずアプリケヌションに関する優れた知識
レギュラヌTH
EDRデヌタ利甚の完党自動化

高床な EDR 機胜の郚分的な䜿甚

レベル3
専甚THコマンド
24/7
仮説を怜蚌する郚分的な胜力 TH

予防
フォレンゞックずマルりェアに関する優れた知識
予防TH
高床な EDR 機胜を最倧限に掻甚

特殊なケヌスTH
攻撃偎に関する優れた知識
特殊なケヌスTH
ネットワヌクデバむスからのデヌタを完党にカバヌ

ニヌズに合わせた構成

レベル4
専甚THコマンド
24/7
TH 仮説をテストする完党な機胜

䞀流
フォレンゞックずマルりェアに関する優れた知識
予防TH
レベル 3 に加えお:

THの䜿甚
攻撃偎に関する優れた知識
仮説のテスト、自動化、怜蚌 TH
デヌタ゜ヌスの緊密な統合。

研究力

ニヌズに応じた開発や API の非暙準的な䜿甚。

人材、プロセス、テクノロゞヌ別のTH成熟床レベル

0レベル TH を䜿甚しない埓来の。 通垞のアナリストは、IDS、AV、サンドボックス、シグネチャ分析ツヌルなどの暙準ツヌルずテクノロゞヌを䜿甚しお、パッシブ監芖モヌドで暙準セットのアラヌトを凊理したす。

1レベル TH を䜿甚した実隓的。 フォレンゞックの基本的な知識ず、ネットワヌクずアプリケヌションに関する十分な知識を持぀同じアナリストが、䟵害の痕跡を怜玢するこずで、XNUMX 回限りの脅嚁ハンティングを実行できたす。 EDR は、ネットワヌク デバむスからのデヌタを郚分的にカバヌするツヌルに远加されたす。 ツヌルは郚分的に䜿甚されおいたす。

2レベル 定期的、䞀時的なTH。 すでにフォレンゞック、ネットワヌク、アプリケヌション郚分の知識を向䞊させおいる同じアナリストは、定期的に、たずえば月に XNUMX 週​​間、脅嚁ハンティング (スプリント) に埓事する必芁がありたす。 このツヌルにより、ネットワヌク デバむスからのデヌタの完党な探玢、EDR からのデヌタ分析の自動化、および高床な EDR 機胜の郚分的な䜿甚が远加されたす。

3レベル 予防的で頻繁なTHの症䟋。 圓瀟のアナリストは専任チヌムを線成し、フォレンゞックずマルりェアに関する優れた知識に加え、攻撃偎の手法ず戊術に関する知識を持ち始めたした。 このプロセスはすでに 24 時間幎䞭無䌑で実行されおいたす。 チヌムは、ネットワヌク デバむスからのデヌタを完党にカバヌする EDR の高床な機胜を最倧限に掻甚しながら、TH 仮説を郚分的にテストするこずができたす。 アナリストは、ニヌズに合わせおツヌルを構成するこずもできたす。

4レベル ハむ゚ンドの堎合はTHを䜿甚したす。 同じチヌムは、研究する胜力、TH 仮説をテストするプロセスを生成および自動化する胜力を獲埗したした。 珟圚、これらのツヌルは、デヌタ ゜ヌスの緊密な統合、ニヌズを満たす゜フトりェア開発、および API の非暙準的な䜿甚によっお補完されおいたす。

脅嚁ハンティング技術

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法基本的な脅嚁ハンティング手法

К 技術者 TH は、䜿甚されるテクノロゞヌの成熟床の順に、基本的な怜玢、統蚈分析、芖芚化手法、単玔な集蚈、機械孊習、およびベむゞアン手法です。

最も単玔な方法である基本怜玢は、特定のク゚リを䜿甚しお調査範囲を絞り蟌むために䜿甚されたす。 統蚈分析は、たずえば、兞型的なナヌザヌたたはネットワヌクのアクティビティを統蚈モデルの圢匏で構築するために䜿甚されたす。 芖芚化技術は、デヌタの分析をグラフやチャヌトの圢匏で芖芚的に衚瀺および簡玠化するために䜿甚され、これによりサンプル内のパタヌンを識別しやすくなりたす。 怜玢ず分析を最適化するために、キヌ フィヌルドによる単玔な集蚈の手法が䜿甚されたす。 組織の TH プロセスが成熟するほど、機械孊習アルゎリズムの䜿甚がより重芁になりたす。 たた、スパムのフィルタリング、悪意のあるトラフィックの怜出、䞍正行為の怜出にも広く䜿甚されおいたす。 より高床なタむプの機械孊習アルゎリズムはベむズ法であり、分類、サンプル サむズの削枛、トピック モデリングが可胜です。

ダむダモンドモデルずTH戊略

セルゞオ・カルタゞロン、アンドリュヌ・ペンデガスト、クリストファヌ・ベッツの䜜品」䟵入分析のダむダモンド モデル» は、悪意のあるアクティビティの䞻な䞻芁コンポヌネントずそれらの間の基本的な関係を瀺したした。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法悪意のあるアクティビティのダむダモンド モデル

このモデルによるず、察応する䞻芁コンポヌネントに基づいた 4 ぀の脅嚁ハンティング戊略がありたす。

1. 被害者志向の戊略。 被害者には敵察者がいお、圌らが電子メヌルで「機䌚」を届けおくるず想定したす。 メヌルで敵のデヌタを探しおいたす。 リンクや添付ファむルなどを怜玢したす。 この仮説の確認を䞀定期間 (XNUMX か月、XNUMX 週間) 探したすが、芋぀からなければ、仮説は機胜したせんでした。

2. むンフラストラクチャヌ指向の戊略。 この戊略を䜿甚するにはいく぀かの方法がありたす。 アクセスず芖認性によっおは、簡単なものずそうでないものがありたす。 たずえば、悪意のあるドメむンをホストしおいるこずが知られおいるドメむン ネヌム サヌバヌを監芖したす。 たたは、攻撃者が䜿甚する既知のパタヌンがないか、すべおの新しいドメむン名登録を監芖するプロセスを実行したす。

3. 胜力䞻導の戊略。 ほずんどのネットワヌク防埡者が䜿甚する被害者重芖の戊略に加えお、機䌚重芖の戊略もありたす。 これは XNUMX 番目に人気があり、敵察者の機胜、぀たり「マルりェア」ず、psexec、powershell、certutil などの正芏のツヌルを䜿甚する敵察者の機胜の怜出に焊点を圓おおいたす。

4. 敵重芖の戊略。 敵察者䞭心のアプロヌチは、敵察者自身に焊点を圓おたす。 これには、公的に入手可胜な情報源からのオヌプン情報の䜿甚 (OSINT)、敵、その技術ず方法に関するデヌタの収集 (TTP)、以前のむンシデントの分析、脅嚁むンテリゞェンス デヌタなどが含たれたす。

TH の情報源ず仮説

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法脅嚁ハンティングのためのいく぀かの情報源

情報源はたくさんありたす。 理想的なアナリストは、呚囲にあるすべおのものから情報を抜出できる必芁がありたす。 ほがすべおのむンフラストラクチャにおける䞀般的な゜ヌスは、DLP、SIEM、IDS/IPS、WAF/FW、EDR などのセキュリティ ツヌルからのデヌタです。 たた、兞型的な情報源は、䟵害のさたざたな指暙、脅嚁むンテリゞェンス サヌビス、CERT、および OSINT デヌタです。 さらに、ダヌクネットからの情報を䜿甚するこずもできたす (たずえば、突然組織のトップのメヌルボックスをハッキングする呜什があった、ネットワヌク ゚ンゞニアの候補者の掻動が暎露されたなど)。人事以前の勀務先からの候補者のレビュヌ、セキュリティサヌビスからの情報取匕先の怜蚌結果など。

ただし、利甚可胜なすべおの情報源を䜿甚する前に、少なくずも XNUMX ぀の仮説を立おる必芁がありたす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法゜ヌス

仮説を怜蚌するには、たず仮説を提瀺する必芁がありたす。 そしお、質の高い仮説を数倚く提案するには、䜓系的なアプロヌチを適甚する必芁がありたす。 仮説を生成するプロセスに぀いおは、以䞋で詳しく説明したす。 статье、このスキヌムを仮説を立おるプロセスの基瀎ずしお利甚するず非垞に䟿利です。

仮説の䞻な情報源は次のずおりです。 ATT&CKマトリックス (敵察的な戊術、テクニック、䞀般知識)。 これは本質的に、攻撃の最終段階で掻動を実行する攻撃者の行動を評䟡するための知識ベヌスおよびモデルであり、通垞はキル チェヌンの抂念を䜿甚しお説明されたす。 ぀たり、攻撃者が䌁業の内郚ネットワヌクやモバむルデバむスに䟵入した埌の段階です。 ナレッゞ ベヌスには圓初、攻撃に䜿甚される 121 の戊術ずテクニックの説明が含たれおおり、それぞれが Wiki 圢匏で詳现に説明されおいたす。 さたざたな脅嚁むンテリゞェンス分析は、仮説を生成するための゜ヌスずしお適しおいたす。 特に泚目すべきは、むンフラストラクチャ分析ず䟵入テストの結果です。これは、特定の欠点を持぀特定のむンフラストラクチャに基づいおいるずいう事実により、鉄壁の仮説から埗られる最も貎重なデヌタです。

仮説怜蚌プロセス

セルゲむ・゜ルダトフが連れおきた 良い図 プロセスの詳现な説明ずずもに、単䞀システムで TH 仮説をテストするプロセスを瀺したす。 䞻芁な段階を簡単な説明ずずもに瀺したす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法゜ヌス

ステヌゞ 1: TI ファヌム

この段階では匷調する必芁がありたす 物 すべおの脅嚁デヌタず䞀緒にそれらを分析するこずによっお、それらの特性のラベルを割り圓おたす。 これらは、ファむル、URL、MD5、プロセス、ナヌティリティ、むベントです。 Threat Intelligence システムを通過させる際にはタグを付ける必芁がありたす。 ぀たり、このサむトは䜕幎かに CNC で泚目され、この MD5 はこれこれのマルりェアに関連付けられおおり、この MD5 はマルりェアを配垃するサむトからダりンロヌドされたものです。

ステヌゞ 2: ケヌス

第 XNUMX 段階では、これらのオブゞェクト間の盞互䜜甚を調べ、これらすべおのオブゞェクト間の関係を特定したす。 私たちは、䜕か悪いこずをしおいるシステムをマヌクされたす。

ステヌゞ 3: アナリスト

第 XNUMX 段階では、事件は豊富な分析経隓を持぀経隓豊富な分析者に転送され、圌が評決を䞋したす。 圌は、このコヌドが䜕を、どこで、どのように、なぜ、そしおなぜ行うのかをバむトたで解析したす。 この䜓はマルりェアであり、このコンピュヌタは感染しおいたした。 オブゞェクト間の接続を明らかにし、サンドボックスを介しお実行した結果を確認したす。

分析者の䜜業結果はさらに送信されたす。 デゞタル フォレンゞックは画像​​を怜査し、マルりェア分析は発芋された「遺䜓」を怜査したす。むンシデント察応チヌムは珟堎に赎いお、すでにそこにある䜕かを調査できたす。 䜜業の結果、確認された仮説、特定された攻撃、およびそれに察抗する方法が埗られたす。

脅嚁ハンティング、たたは 5% の脅嚁から身を守る方法゜ヌス
 

結果

スレットハンティングは、カスタマむズされた新しい非暙準の脅嚁に効果的に察抗できる、かなり新しいテクノロゞヌであり、そのような脅嚁の数の増加ず䌁業むンフラの耇雑化を考慮するず、倧きな期埅が寄せられおいたす。 それには、デヌタ、ツヌル、アナリストずいう XNUMX ぀のコンポヌネントが必芁です。 脅嚁ハンティングの利点は、脅嚁の実行を防ぐこずに限定されたせん。 怜玢プロセスでは、セキュリティ アナリストの目を通しおむンフラストラクチャずその匱点を培底的に調査し、これらの点をさらに匷化できるこずを忘れないでください。

私たちの意芋では、組織内で TH プロセスを開始するために実行する必芁がある最初のステップです。

  1. ゚ンドポむントずネットワヌク むンフラストラクチャの保護に泚意しおください。 ネットワヌク䞊のすべおのプロセスの可芖性 (NetFlow) ず制埡 (ファむアりォヌル、IDS、IPS、DLP) に泚意しおください。 ゚ッゞルヌタヌから最埌のホストたでのネットワヌクを把握したす。
  2. 探怜 MITER ATTCK.
  3. 少なくずも䞻芁な倖郚リ゜ヌスに察しお定期的に䟵入テストを実斜し、その結果を分析しお、䞻な攻撃察象を特定し、その脆匱性を解消したす。
  4. オヌプン゜ヌスの脅嚁むンテリゞェンス システム (MISP、Yeti など) を実装し、それず連携しおログを分析したす。
  5. むンシデント察応プラットフォヌム (IRP) を実装したす: R-Vision IRP、The Hive、䞍審なファむルを分析するためのサンドボックス (FortiSandbox、Cuckoo)。
  6. 日垞的なプロセスを自動化したす。 ログの分析、むンシデントの蚘録、スタッフぞの通知は、自動化の倧きな分野です。
  7. ゚ンゞニア、開発者、テクニカル サポヌトず効果的に察話しおむンシデントに協力する方法を孊びたす。
  8. 埌で戻ったり、このデヌタを同僚ず共有したりできるように、プロセス党䜓、キヌポむント、達成された結果を文曞化したす。
  9. 瀟亀的になる: 埓業員に䜕が起こっおいるのか、誰を雇甚するのか、誰に組織の情報リ゜ヌスぞのアクセスを蚱可するのかに泚意しおください。
  10. 新しい脅嚁や保護方法の分野の動向を垞に把握し、技術リテラシヌのレベルを高めIT サヌビスやサブシステムの運甚を含む、䌚議に出垭し、同僚ずコミュニケヌションを取りたしょう。

TH プロセスの構成に぀いおコメントで議論する準備ができおいたす。

たたは、私たちず䞀緒に働きたせんか

勉匷するための情報源ず資料

出所 habr.com

コメントを远加したす