DP
Опять вы тут ханипот=ddp с примитивным аккаунтом-приманкой в одну кучу мешаете
Size: a a a
2021 September 27
AP
Как ты опять из подвала выбрался? Снова дверь забыли закрыть? 😏
Z
:))))
DP
Барин от батареи отстегнул
Z
И 4625;)
IB
Использование ханипотов не исключает необходимости мониторинга остального куска инфраструктуры.
K
Не исключает. Но и не требует.
T
Странное утверждение, а если я домен админа сбручу, то это некритично? Или предполагается, что после получения админа я сразу по приколу по приманкам начну шарить?
IB
Неа, это же не ханипот :)
Z
Ну а че:) не зря же их поставили😂
DP
И 4662 тогда уж)
Z
И керберос:)
P
Ага
И Документы все прочитать. Политику ИБ, управления рисками и расследования инцидентов…
И Документы все прочитать. Политику ИБ, управления рисками и расследования инцидентов…
Z
И ахренеть что по модели нарушителя ты террорист или иностранная спецслужба 😂
P
И поправить модель угроз, да
Можно в СЭДе ещё согласование запустить
Можно в СЭДе ещё согласование запустить
АС
Так и запишем
RI
"Главное при расследовании - не выйти случайно на самих себя (с)"
2021 September 28
VV
Здравствуйте!
Подскажите, кто-либо использует osquery как источник для siem?
Каким способом направляются события в siem?
Какие кейсы решали?
Подскажите, кто-либо использует osquery как источник для siem?
Каким способом направляются события в siem?
Какие кейсы решали?
GO
1. да
2. через самописную "ручку" принимающую https://osquery.readthedocs.io/en/stable/deployment/remote/#remote-logging
3. довольно примитивные - поиск по хешу, имени, запуски, цепочки запусков, сетевые коннекты, dns-запросы и прочее стандартное. В ходе инцидентов запросы через аналог fleet помогают. Но GRR, конечно, не заменяет.
2. через самописную "ручку" принимающую https://osquery.readthedocs.io/en/stable/deployment/remote/#remote-logging
3. довольно примитивные - поиск по хешу, имени, запуски, цепочки запусков, сетевые коннекты, dns-запросы и прочее стандартное. В ходе инцидентов запросы через аналог fleet помогают. Но GRR, конечно, не заменяет.
IM
Да, маки мониторим