Поиск по индикаторам
Простыми словами
Проще говоря, «Поиск по индикаторам» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Поиск по индикаторам» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Поиск по индикаторам», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Поиск по поведениюПоиск по поведению — выявление признаков угрозы по TTP и аномалиям, не зависящее от статичных индикаторов.
- Раннее предупреждение об угрозеРаннее предупреждение об угрозе — своевременное информирование о признаках потенциально значимой угрозы до её влияния на организацию.
- Индикатор компрометации (IOC)IOC — наблюдаемый признак, который может указывать на компрометацию: хеш, домен, IP-адрес, путь, артефакт или иной индикатор.
Как это работает
- Поставить аналитический вопросДля «Поиск по индикаторам» заранее определяют, какое решение должен поддержать результат.
- Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
- Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
- Операционализировать выводРезультат «Поиск по индикаторам» превращают в поиск, приоритет защиты или изменение обнаружения.
Частые вопросы
Проще говоря, «Поиск по индикаторам» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Поиск по индикаторам» применяют на практике?В практике ИБ термин «Поиск по индикаторам» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Поиск по индикаторам» отличается от близких понятий?«Поиск по индикаторам» описывает следующее: выявление в среде совпадений с известными индикаторами компрометации. «Поиск по поведению» означает: выявление признаков угрозы по TTP и аномалиям, не зависящее от статичных индикаторов. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.