Comments 4
Жаль про автоматизацию не сказано ничего
Привествую. Если технически потходить к данному вопросу, то в целомя с вами согласен, но надо иметь ввиду что описывать полноценный цикл мапингов, корреляции и большого количества возможных операций связанных с полным циклом автоматизации, как по мне - это будет, по сути, большой документ описывающий SOAR систему, здесь же я старался как некий пользователь - исследователь, показать полезность автоматизации с помощью системы SOAR/IRP, которая поможет разобраться с большим количеством разносторонних данных (Описав их значимость) и сконцентрировать их в одну систему. Но учту замечание и постараюсь в следующих статьях учитывать более внутренний технический анализ.
SIEM/SOAR продукт Microsoft Sentinel представляет MITRE ATT&CK матрицу с отмеченным количеством аналитических правил (Analytic rules), которые уже сконфигурированы для обнаружения конкретной атаки.Очень удобно для наглядности.При написании собственных правил можно выбрать соответсвующую TTP.
Автоматизация безопасности с разнообразием матриц MITRE