Доверяй, но проверяй: история расследования инцидента на основе OSINT

[ifap]

Поэтому, если вы сталкиваетесь с потенциально вредоносным файлом, отсутствие информации о нём в подобных базах и других открытых источниках не повод не беспокоиться.

По-моему, если по пути C:\Windows\System32\ обнаруживается файл, о котором нет никаких сведений в паблике, это уже повод забеспокоиться...

[qw1]

Для меня повод забеспокоиться - файл в директории \Windows\System32, без валидной цифровой подписи от Microsoft.

[B1is7aj]

Верно. Но подозрительная длл могла быть обнаружена и не в системной директории, и вывод распространяется и на такие случаи.

[MaxStirlits]

Список библиотек разрешённых внутри периметра карма не позволяет создать и вести?

[B1is7aj]

Как вы представляете этот процесс со стороны внешнего SOC?)

[MaxStirlits]

Задача более чем решаемая. Вопрос в подходе и нужности декларируемого результата. :)

[B1is7aj]

SOC не может вносить изменения в инфраструктуру заказчика. Наша задача - мониторить то что по факту имеем, а рекомендации по безопасности не факт что будут приняты на практику.

[Devastor87]

Спасибо! Годный кейс ?