Кластер активности
Простыми словами
Проще говоря, «Кластер активности» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Кластер активности» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Кластер активности», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Профиль противникаПрофиль противника — структурированное описание мотивов, возможностей, TTP, целей и инфраструктуры предполагаемого противника.
- Инфраструктура противникаИнфраструктура противника — домены, адреса, серверы, аккаунты и другие ресурсы, используемые в действиях атакующего.
- Индикатор IP-адресаИндикатор IP-адреса — IP-адрес, связанный с инфраструктурой, командным сервером, сканированием или другой угрозой.
Как это работает
- Поставить аналитический вопросДля «Кластер активности» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Кластер активности» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Кластер активности» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Кластер активности» применяют на практике?В практике ИБ термин «Кластер активности» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Кластер активности» отличается от близких понятий?«Кластер активности» описывает следующее: набор связанных наблюдений, которые ещё не обязательно можно атрибутировать конкретной группе. «Профиль противника» означает: структурированное описание мотивов, возможностей, TTP, целей и инфраструктуры предполагаемого противника. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.