Управление индикаторами компрометации

Подсистема управления индикаторами компрометации предназначена для загрузки с портала AM TIP, формирования датасетов, передачи их на сенсоры и последующего обнаружения сетевой активности, соответствующей загруженным индикаторам.

Система поддерживает группы индикаторов, приведенные в таблице 10.

Таблица 10 – Базовые группы индикаторов компрометации

Группа	Поддерживаемые типы индикаторов
IP-адреса	IPv4-адреса
Доменные имена	Доменные имена
URL	URL
Хэш-суммы файлов	MD5 и SHA256

После установки системы базовые группы не содержат индикаторов. Для начала обнаружения индикаторов необходимо настроить получение данных с портала AM TIP и привязать соответствующие группы к сенсорам.

Настройка индикаторов компрометации и подключение к порталу AM TIP производятся через веб-интерфейс системы, описание представлено в («Индикаторы компрометации»).

Настройка обнаружения индикаторов компрометации из AM TIP

Для обнаружения сетевой активности, соответствующей индикаторам компрометации из AM TIP, в eSensor используется модуль сигнатурного анализа Suricata.

Обнаружение выполняется с помощью специальных правил Suricata, предоставляемых производителем eSensor. Правила обеспечивают проверку сетевого трафика на соответствие индикаторам, загруженным на сенсор.

Внимание! Для обнаружения индикаторов компрометации недостаточно загрузить их на сенсор. Необходимо также настроить использование соответствующих правил Suricata.

Для настройки обнаружения индикаторов компрометации из AM TIP необходимо:

1. Настроить подключение к AM TIP: указать токен доступа к порталу в разделе «Администрирование» → «Общие настройки».
2. Загрузить индикаторы компрометации: в разделе «Администрирование» → «Индикаторы компрометации» выполнить обновление необходимых групп индикаторов из AM TIP и убедиться, что обновление завершилось успешно.
3. Назначить группы индикаторов сенсору: для каждой необходимой группы выбрать сенсоры, которые должны использовать ее индикаторы. После назначения данные группы автоматически передаются на соответствующие сенсоры.
4. Настроить правила обнаружения IoC: загрузить предоставленные производителем правила «ETECS-AM IoC» в группу правил сигнатурного анализа, используемую соответствующим сенсором, и убедиться, что правила успешно загружены и применены.
5. Проверить работу обнаружения: убедиться, что модуль сигнатурного анализа сенсора работает без ошибок и использует необходимые правила и группы индикаторов.

После выполнения указанных действий сенсор сможет обнаруживать в анализируемом трафике признаки, соответствующие загруженным индикаторам компрометации.

При обновлении групп индикаторов их данные автоматически синхронизируются с подключенными сенсорами. Повторная загрузка правил при каждом обновлении индикаторов не требуется.

Ротация индикаторов компрометации

Для предотвращения ложных срабатываний и экономии места в базе данных система ежедневно в 05:00 по системному времени запускает фоновый процесс удаления устаревших индикаторов из каждой группы.

Удаление выполняется в соответствии с правилами, приведенными в таблице 11, в зависимости от типа индикатора.

После удаления устаревших индикаторов система автоматически инициирует синхронизацию соответствующих групп с подключенными сенсорами. После успешной синхронизации удаленные индикаторы перестают использоваться для обнаружения угроз.

Таблица 11 – Условия удаления данных

Тип индикатора	Условие удаления
IP, домен, URL	Если с даты добавления прошло 5 дней и более, данные из базы удаляются безвозвратно
Хэш-сумма файла	Если с даты добавления прошло более 177 дней, данные из базы удаляются безвозвратно

Загрузка пользовательских датасетов для обнаружения IoC

eSensor позволяет использовать свои датасеты для обнаружения источников компрометации (IoC) в трафике.

Для этого нужно:

1. Подготовить датасеты и правила для обнаружения по ним (структура датасета должна соответствовать типу: {"value":"<ioc>","score":<score>}, например{"value":"https://very.bad.site.com","score":72});

2. Загрузить файлы с датасетами и правилами для анализа по ним в группу правил.

3. Синхронизировать правила на сенсоре с группой.