Событие безопасности
Простыми словами
Вход в систему, изменение роли или отказ доступа — факты, которые нужно видеть. Сам по себе один такой факт ещё не объясняет причину и не доказывает атаку.
Как применяется
События собирают из приложений, ОС, средств защиты и облачных сервисов. Для анализа важны время, субъект, объект, действие и результат. Проверяют полноту и достоверность журналов: отсутствие записи может означать проблему сбора, а не отсутствие опасного действия.
Пример применения
Сотрудник несколько раз вводит неверный пароль, затем успешно входит. Аналитик проверяет источник, устройство и привычный контекст. Если рядом есть смена MFA и доступ к необычным данным, набор событий требует дальнейшего расследования; простая опечатка не должна автоматически стать подтверждённой компрометацией.
Не путать с
- Инцидент ИБСитуация с нарушением или угрозой нарушения безопасности по применимым критериям, а не любое наблюдение.
- АлертОповещение от правила или средства обнаружения; может объединять несколько событий и быть ложноположительным.
- ЛогЗапись или журнал, представляющий наблюдение; качество записи влияет на возможность анализа.
Как это работает
- Зафиксировать действиеИсточник создаёт запись с временем, субъектом, объектом и результатом.
- Передать без потерьКонтролируют сбор, синхронизацию времени и сохранение исходных данных.
- Добавить контекстСопоставляют с активом, учётной записью и соседними действиями.
- Принять решениеОпределяют штатность, необходимость проверки или эскалации по критериям инцидента.
Связанные термины
Частые вопросы
Нет. Многие события отражают штатную работу или ошибку пользователя.
Алерт равен инциденту?Нет. Требуется проверка фактов и критериев, по которым начинается реагирование.
Почему важны часы источника?Ошибочное время мешает восстановить последовательность и связать действия разных систем.