Размещение устройств

Используя те же принципы, которые ранее обсуждались в разделе IDS, место, где вы будете устанавливать свой UEBA, будет варьироваться в зависимости от потребностей компании и требований поставщика. Microsoft ATA, которая использовалась в примерах, описанных в предыдущих разделах, требует ис- пользования зеркалирования трафика с контроллером домена. ATA не окажет влияниянапропускнуюспособностьсети,посколькубудеттолькослушатьтра- фик контроллера. Другие решения могут потребовать иного подхода. По этой причине важно составить план в соответствии с решением,которое вы приоб- рели для своей среды.

Поведенческая аналитика в гибридном облаке

Когда Синей команде необходимо принять контрмеры для защиты гибрид- ной среды, ей следует расширить свое представление о текущем ландшафте угроз и выполнить оценку, чтобы проверить возможность непрерывного со- единения с облаком и оценить влияние на общее состояние безопасности. В гибридном­ облаке большинство компаний предпочитает использовать мо- дель IaaS. Хотя внедрение этой модели растет, согласно исследованию Oracle, аспект безопасности по-прежнему остается главной проблемой. Согласно тому же отчету,долгосрочные пользователи IaaS полагают,что эта технология в конечном итоге окажет положительное влияние на безопасность. Она на са-

мом деле оказывает положительное влияние, и именно здесь Синяя команда должна сосредоточить свои усилия, чтобы улучшить процесс всеобщего об- наружения. Цель состоит в использовании возможности гибридного облака, чтобы содействовать всеобщей концепции безопасности. Первыми шагами являются установление хороших партнерских отношений с вашим облачным провайдероми пониманиетого,какиевозможностипообеспечениюбезопас­ ности он предлагает,а также как эти возможности можно использовать в гиб­ ридной среде.Это важно,потому что некоторые возможности доступнытоль- ко в облаке, а не локально.

Прочитайте статью Cloud security can enhance your overall security posture, чтобы лучше понятьпреимущества облачных вычислений для безопасности.Ее можно найти на стра-

нице http://go2l.ink/SecPosture.

Центр безопасности Azure

Причина, по которой мы используем Центр безопасности Azure для монито- ринга гибридной среды, заключается в том, что агента центра можно устано- вить на локальном компьютере (Windows или Linux), на виртуальной машине, работающей в Azure, или в AWS. Такая гибкость важна, а централизованное

Рис.11.12

Обратите внимание,что первое оповещение имеетдругой значок и называ- ется Security incident detected (Обнаружен инцидент в сфере безопасности). Происходит это потому, что он был идентифицирован, а две или более атак являются частью одной и той же кампании, направленной против определен- ного ресурса. Это означает, что, вместо того чтобы просить кого-то из Синей команды собратьданные с целью найти взаимосвязьмежду событиями,Центр безопасности делает это автоматически и предоставляет соответствующие оповещения для анализа. Когда вы нажмете на это оповещение, то увидите следующее (рис. 11.13).

Рис.11.13

В нижней части этой страницы видны все три атаки (в порядке их возник- новения) на ВМ1 и уровень серьезности, назначенный Центром безопасности. Приведем одно важное наблюдение относительно преимущества использо- вания поведенческой аналитики для обнаружения угроз. Речь идет о третьем по счету оповещении Multiple Domain Accounts Queried (Запрос нескольких учетных записей домена). Команда, которая была выполнена, чтобы выдать это оповещение: net user <username> /domain. Однако, чтобы принять решение о том, что это выглядит подозрительно, необходимо посмотреть на нормаль- ное поведение пользователя, который выполнил эту команду, и сопоставить

Рис.11.14

Помните, что Центр безопасности – это не единственное решение, которое будет осуществлять мониторинг систем и интегрироваться с другими постав-

щиками. Существует множество SIEM (Security Information and Event Management) – решений для обеспечения безопасности информации и управле- ния событиями, таких как Splunk и LogRhythm, которые будут выполнять мониторинг аналогичного типа.