#threat_hunting — Public Fediverse posts

Тактический, оперативный и стратегический Threat Intelligence: кому какой нужен и как не перепутать

Threat Intelligence (TI) приносит пользу ровно в тот момент, когда помогает принимать решения быстрее и точнее: SOC — в часах, IR и хантинг — в неделях, CISO — в кварталах. Самая дорогая ошибка — пытаться одним и тем же потоком закрыть всё сразу: тогда тактический слой превращается в шум, а стратегический — в «дайджест тревожности». Развести уровни TI можно по трём признакам: кто потребитель, какой горизонт и какое действие должно стать лучше. Ниже — компактная модель трёх уровней с минимально‑достаточными шагами по сбору/анализу и встраиванию в процессы. TI часто продают как универсальный «витамин безопасности»: выпил — и сразу стал зрелым. На практике TI скорее похож на хороший навигатор в тумане: двигатель (процессы, люди, инструменты) он не заменит, но заметно снижает шанс улететь в кювет, когда видимость нулевая. Проблема начинается, когда навигатор пытаются использовать как молоток: одним и тем же набором индикаторов закрывают и ночные блокировки, и охоты, и разговор о бюджете. Результат предсказуем: SOC получает шум и исключения «потому что мешает», а руководство — цифры без смысла. В зрелых методологиях TI повторяется один тезис: информация об угрозах ценна не сама по себе, а как материал для решений. Поэтому в авторитетных определениях TI обычно понимают широко: это и индикаторы компрометации, и поведение противника (TTP), и выводы из расследований, и рекомендации по обнаружению/сдерживанию/предотвращению. Из одного и того же «сырья» можно делать разные продукты — и именно здесь чаще всего всё и путают: разные продукты начинают требовать от одного потока одновременно скоростной автоматизации, глубокой аналитики и красивой коммуникации для руководства.

https://habr.com/ru/companies/securityvison/articles/1097724/

#soc #информационная_безопасность #tip #itинфраструктура #threat_intelligence #киберразведка #threat_hunting #mashinelearning #threat_intelligence_platform #security_vision

Data Threat Hunting Challenges: SANS Study Finds Data Now Tops the List - https://www.redpacketsecurity.com/data-overtakes-skills-as-top-threat-hunting-challenge-sans-study-finds/

#threatintel #Data_quality #Threat_hunting #Ransomware

Как превратить публичный PoC в детект: разбираем эксплуатацию Dirty Frag

Хабр, привет! На связи Алина Байрамова, аналитик-исследователь угроз кибербезопасности R-Vision. Появление новой уязвимости с рабочим публичным PoC обычно запускает привычный процесс: специалисты определяют затронутые системы, проверяют наличие обновлений и планируют установку патчей. Но до тех пор, пока инфраструктура не обновлена, необходимо понять, можно ли заметить попытку эксплуатации по доступной телеметрии. С этим не всегда все очевидно. Описание CVE и публичный PoC позволяют понять, как работает уязвимость, но сами по себе не дают готового сценария обнаружения. Эксплойт может использовать штатные механизмы операционной системы, а отдельные действия, которые он выполняет, встречаются и в легитимной активности. В этой статье разберем три публичных PoC для Dirty Frag: два варианта эксплуатации CVE-2026-43284 через ESP/XFRM и один для CVE-2026-43500 через RxRPC. Посмотрим, какие системные вызовы выполняют эксплойты, какие следы остаются в событиях Linux и какие признаки можно использовать для обнаружения эксплуатации. В результате соберем детекты для разных вариантов Dirty Frag и сравним, какие признаки остаются стабильными между реализациями PoC.

https://habr.com/ru/companies/rvision/articles/1078220/

#Dirty_Frag #CVE202643284 #CVE202643500 #Linux #Linux_kernel #эксплуатация_уязвимостей #auditd #SIEM #threat_hunting #системные_вызовы

Threat Intelligence без мифов: чем TI не является и почему его часто внедряют неправильно

Threat Intelligence — одна из тех тем в информационной безопасности, про которые вроде бы все что-то слышали, но почти каждый понимает по-своему. Для кого-то TI — это просто фиды с IP-адресами. Для кого-то — дорогая платформа, которую «надо купить, потому что так делают все». Для кого-то — модный термин из презентаций CISO. Проблема в том, что из-за этого разнобоя ожиданий Threat Intelligence очень часто внедряют неправильно. Формально TI в компании есть, бюджеты освоены, отчёты формируются — а реальной пользы почти ноль. В итоге появляется устойчивое ощущение, что TI «не работает», «переоценён» или «нужен только большим корпорациям». TI — это не просто «база индикаторов», но и не магия Начнём с самого важного. Да, современный Threat Intelligence давно ушёл дальше примитивных списков IP-адресов, доменов и хэшей. Сегодня существуют TI-платформы, в которых на основе данных об угрозах строятся корреляции, сценарии, гипотезы, а иногда и полноценные обнаружения. В том числе это относится к коммерческим решениям — например, в продукте

https://habr.com/ru/companies/securityvison/articles/1080650/

#информационная_безопасность #threat_intelligence #tip #soc #mashinelearning #threat_hunting #itинфраструктура #threat_intelligence_platform #security_vision #киберразведка

Брешь в защите: Война Nightmare Eclipse. Часть 2

Хабр, привет! На связи Александр Бек, аналитик-исследователь угроз кибербезопасности R‑Vision. В первой части мы разобрали три PoC от Nightmare Eclipse — YellowKey, GreenPlasma и MiniPlasma. Это были совершенно разные техники: обход BitLocker через WinRE, низкоуровневый примитив на стыке CTF и Windows Object Managerи цепочка локального повышения привилегий (LPE), основанная на взаимодействии Cloud Files с Windows Error Reporting. Тогда стало понятно, что защищаться от этих техник приходится по-разному. В одних случаях телеметрии практически нет, в других — можно строить вполне рабочие детекты по реестру, процессам и файловой системе. В этой статье мы разберем оставшиеся пять PoC. Среди них — четыре уязвимости в Microsoft Defender (три LPE и одна DoS), а также еще один вариант обхода BitLocker через WinRE. Что особенно важно, три из этих техник уже были замечены в реальных атаках. В отличие от первой части, здесь мы сосредоточимся не только на механике эксплуатации, но и на том, какие артефакты оставляют эксплойты в системе, какие изменения происходят на устройствах Windows и на что стоит обратить внимание SOC- и threat hunting-командам при поиске следов компрометации.

https://habr.com/ru/companies/rvision/articles/1058972/

#информационная_безопасность #кибербезопасность #microsoft_defender #windows #уязвимости #threat_hunting #soc #bitlocker #lpe

Ловля «на живца». Как разместить прикормки для злоумышленников по-суворовски

Привет, Хабр! В поле нашего зрения попал технический доклад Сурила Десай (Suril Desai), вице-президента Acalvio. Выступление было посвящено тому, как создать «ложные активы» для злоумышленников по-суворовски: не числом, а умением. Под катом пересказываем доклад со всеми подробностями и нашими инсайтами — всё, как вы любите. Поехали.

https://habr.com/ru/companies/garda/articles/1054522/

#deception #ханипот #ловушки #приманки #deception_monitoring #deceptionтехнологии #threat_hunting #Гарда_Deception #охота_на_хакеров

Технический трек R-EVOlution Conference 2026: 11 докладов, которые теперь можно посмотреть в записи

Иногда самые интересные разговоры на конференциях происходят не на главной сцене. Пока в большом зале обсуждают рынок, стратегию и будущее индустрии, в соседней секции инженеры, аналитики и архитекторы разбирают то, с чем сталкиваются каждый день: алерты, уязвимости, фиды, автоматизацию, инвентаризацию, persistence в Linux и безопасность AI-систем. На R-EVOlution Conference 2026 такой площадкой стал технический трек. Мы запустили его впервые как отдельную секцию для специалистов, которым важны не общие формулировки, а конкретные сценарии, ошибки и рабочие решения. Трек проходил в камерном зале и без онлайн-трансляции. Поэтому если вы не были на площадке, попасть в эту часть конференции было невозможно. Но мы записали выступления и теперь публикуем ролики с докладами. В этой статье собрали короткий гид по техническому треку: кто выступал, о чём рассказывал и какие доклады стоит посмотреть , если вам близки практические задачи SOC, VM, Threat Hunting, TI, SIEM/SOAR, AI Security и Linux detection.

https://habr.com/ru/companies/rvision/articles/1048138/

#кибербезопасность #иб #soc #siem #soar #threat_hunting #управление_уязвимостями #анализ_угроз #ai_security #threat_intelligence

*Read it like an infomercial*

Are you tired of working with logs that contain arrays with multiple JSON like this?

Have you tried creating a new column with the value you want only to find out that this value has no fixed position in the array?

Now your problems are over! With this 5 line KQL snippet, written by a real human, you can finally have the peace of mind that all the fields are populated correctly and everything is neat inside a single JSON!

https://github.com/0x-cde/Threat-Hunting-with-KQL/blob/main/CodeSnippets/Converting-array-of-json-to-single-json.md

#kusto #kustoquery #kql #threathunting #threat_hunting #dfir #digitalforensics

CVE-2026-3502 в TrueConf: как доверенный механизм обновлений превратился в вектор атаки

Хабр, привет! На связи Алина Байрамова, аналитик-исследователь угроз кибербезопасности R-Vision. В этой статье я разберу уязвимость нулевого дня в TrueConf Server (CVE-2026-3502), связанную с механизмом обновлений, и то, как она может быть использована для компрометации изолированных инфраструктур через доверенный канал распространения ПО.

https://habr.com/ru/companies/rvision/articles/1026640/

#изолированные_сети #уязвимости #trueconf #supply_chain_attack #soc #threat_hunting #sysmon #исследование_угроз #CVE20263502 #tampering

Охота на Emmenhtal: как мы восстановили полную kill chain банковского трояна с переформатированного диска

Разбираем реальный IR-кейс: ClickFix → Emmenhtal Loader → банковский троян с Telegram C2. Форензик переформатированного диска на 930 ГБ, VDM-дисамбигуация ложноположительных и восстановление артефактов из hibernation-файла.

https://habr.com/ru/articles/1021698/

#DFIR #форензика #malware_analysis #банковский_троян #Emmenhtal #ClickFix #threat_hunting #YARA #fileless_malware #incident_response

🎯 Threat Intelligence
===================

Executive summary: ConsentFix is described as a phishing campaign that leverages "click‑fix" style user interaction tricks to capture authentication tokens. The activity is reported in the context of Microsoft Threat Hunting and references Entra identity telemetry.

Technical details:
• The campaign's core technique focuses on convincing users to interact with a deceptive interface or consent prompt designed to result in token issuance or token disclosure.
• Observers label the interaction pattern as "click‑fix" style, meaning the UX flow is manipulated so that a routine click or consent action yields privileged tokens or consent grants.
• Public reporting highlights the objective as token theft (auth tokens) rather than delivery of a traditional payload or ransomware.

Analysis:
• The primary impact described is unauthorized access via stolen tokens, enabling potential session reuse or API access tied to the compromised token scope.
• The attack model emphasizes social engineering of consent flows and UI manipulation rather than exploiting a specific software vulnerability. No CVEs or IoCs were provided in the source material.

🔹 Attack Chain Analysis
• Initial Access: Social engineering via phishing message that directs users to a malicious or spoofed consent/UI flow.
• Interaction: Click‑fix style prompt or interface persuades the user to accept or click, causing a token to be issued or disclosed.
• Token Theft: Exfiltration or capture of the resulting auth token for subsequent use.

Detection:
• The source does not publish detailed detection rules or specific IoCs in the summary available here. Reporting is focused on the technique classification and target (auth tokens/Entra identities).

Limitations:
• Available reporting is descriptive about the UX technique and target (auth tokens) but lacks published indicators of compromise, sample artifacts, or detailed telemetry.

🔹 ConsentFix #phishing #auth_tokens #microsoft_entra #threat_hunting

🔗 Source: https://newtonpaul.com/blog/consentfix-phishing-for-tokens/

Как мы научили нейросеть искать связи между инцидентами в SOC

Представьте круглосуточную работу в SOC. В понедельник аналитик первой смены расследует вирусное заражение через почту. В среду аналитик второй смены разбирает алерт от NGFW о передаче вредоносного файла. Оба профессионалы, оба закрывают алерты по регламенту. Но они не заметили, что разбирали два шага одной атаки, просто потому, что ключевая улика — хитрое название сигнатуры — затерялась в простыне текстового описания, а не лежала в отдельном поле. Вот он, «цифровой туман». Проблема не в том, что скрипты не умеют сравнивать строки, они не понимают, что HOSTNAME и hostname.corp.local — по сути одно и то же. Они далеко не всегда могут выцепить IP-адрес из комментария заказчика. А когда за день сыплются десятки, а то и сотни алертов, искать подобные связи руками — это прямо боль. В поисках лекарства мы пошли на рискованный эксперимент: решили построить систему, которая находит неочевидные связи с помощью LLM. А валидатором выбрали человека, который называет себя «одним из основных хейтеров LLM и нейросетей». Под катом Кирилл Рупасов, технический директор SOC К2 Кибербезопасность, Юлия Гильмуллина, старший инженер-разработчик К2Тех, и Татьяна Белякова, ведущий системный аналитик К2Тех расскажут о том, как подружить Gemma, Qdrant и DBSCAN. Как прагматичный инжиниринг, борьба с галлюцинациями и месяцы ручной отладки заставили главного скептика признать: да, в таком виде это действительно работает.

https://habr.com/ru/companies/k2tech/articles/972220/

#soc #мониторинг #анализ_инцидентов #расследование_инцидентов #incident_response #автоматизация #нейросети #llm #threat_hunting #ai_в_кибербезопасности

Finally finished my ftp honeypot: https://github.com/dleto614/Ussuri/tree/main/ftp-honeypot

The repo:

https://github.com/dleto614/Ussuri

Next on the list is databases.

#linux #golang #go #git #redteam #threat_hunting #blueteam #purpleteam

🦠 Malware Analysis
===================

🎯 AI Prompts as Code & Embedded Keys — The Hunt for LLM-Enabled Malware

Executive summary

SentinelLABS presents a systematic survey of LLM-enabled malware
observed in the wild and describes a hunting methodology that relies
on detecting embedded API keys and structured prompt artifacts.
Preliminary analysis suggests that runtime code generation via LLMs
changes the detection landscape by moving malicious logic out of
static code and into model responses.

Methodology

The research applied pattern-matching techniques to binaries and
scripts to locate hardcoded API credentials and repeated prompt
constructs. The approach combined static scanning for token-like
strings with heuristics for prompt templates and programmatic use of
LLM endpoints. This allowed discovery of previously unknown samples
and the identification of a likely early instance referred to as
"MalTerminal." Findings emphasize that human refinement still appears
to play a role in LLM-assisted malware development.

Key findings
• LLMs have been used in multiple adversarial roles: as lures (fake AI
assistants), as targets (prompt-injection against integrated systems),
and as operational sidekicks (phishing, code support).
• Embedded API keys and canonical prompt structures provided reliable
hunting signals where classic signatures failed.
• Autonomous, large-scale malware generation by LLMs was not observed;
hallucinations, instability, and testing gaps appear to limit fully
automated malicious code generation.

Detection and operational impact

Detection engineers should expand hunting surfaces to include token
leaks, prompt-template fingerprints, and telemetry around model API
use. Runtime monitoring of outbound requests to model endpoints,
better secret-scanning in build artifacts, and behavioral baselines
for processes invoking LLM clients are practical mitigations.
Adversaries may harden workflows by obfuscating tokens or using
proxies, so defenders should prioritize multiple correlated signals
rather than single IOCs.

Limitations

The dataset is exploratory and likely incomplete; initial reports
indicate a sampling bias toward artifacts exposing keys or prompt
text. Future work should monitor evolution in actor techniques,
including secret management and prompt obfuscation.

🔹 prompt_injection #LLM #threat_hunting

🔗 Source: https://www.sentinelone.com/labs/prompts-as-code-embedded-keys-the-hunt-for-llm-enabled-malware/

https://www.sentinelone.com/labs/prompts-as-code-embedded-keys-the-hunt-for-llm-enabled-malware/

«Один в поле не воин». Интеграционные сценарии Kaspersky NGFW

Привет, Хабр! Меня зовут Иван Панин, я специалист в области сетевой безопасности, CCNP, CCNP Security, CCDP, MBA CSO. С 2022 года — руководитель группы развития решений по инфраструктурной безопасности «Лаборатории Касперского», где занимаюсь экспертной технической поддержкой пресейловых команд решений SD-WAN и NGFW, разработкой сценариев использования, лабораторных работ и технических материалов. В статье хочу рассказать об интеграционных сценариях NGFW c комплиментарными решениями смежных классов. В первую очередь это будет интересно архитекторам информационной безопасности на стороне заказчика, отвечающим за проектирование комплексной системы защиты корпоративной инфраструктуры и разработку сценариев реагирования на инциденты, а также экспертам по кибербезопасности на стороне системных интеграторов.

https://habr.com/ru/companies/kaspersky/articles/945966/

#ngfw #инфраструктура #информационная_безопасность #инфобез #иб #xdr #soc #kaspersky #threat_hunting #реагирование_на_инциденты

Threat Hunting изнутри: как охотиться на атакующего

Threat Hunting — это навык находить атакующего там, где нет алертов. А еще это умение выдвигать гипотезу, проверять ее и превращать результат в рабочую экспертизу. А также это системная работа с инфраструктурой, в которой важен контекст, скорость мышления и понимание поведения злоумышленника. Меня зовут Алексей Леднев, я руковожу продуктовой экспертизой PT ESC в Positive Technologies. И сегодня я по кирпичикам разберу профессию Threat Hunter: как она устроена, кто этим занимается, какие ошибки совершают новички, какие навыки обязательны для Threat Hunter и как попасть в профессию.

https://habr.com/ru/companies/pt/articles/911246/

#обнаружение_атак #threat_hunting #security_operation_center #учебный_курс #цепочка_атаки_хакера #обнаружение_атаки #анализ_сетевого_трафика #сигнатуры #threat_intelligence #анализ_логов

Специалист по обнаружению атак в сети: как выглядит эта работа на самом деле

Привет, Хабр! Меня зовут Андрей Тюленев, я старший специалист отдела обнаружения атак в сети в Positive Technologies. Моя работа — отслеживать атаки, затем разбирать их по косточкам, чтобы не дать злоумышленникам реализовать недопустимое событие, и создавать детекты — чтобы продукты Positive Technologies могли их обнаруживать. Сегодня я расскажу, как выглядит работа специалиста по обнаружению атак, какие инструменты мы используем, как попасть в эту профессию и какие скилы реально важны. Разберем, чем мы занимаемся на практике: от написания правил детектирования и анализа трафика до участия в расследованиях, где на кону — безопасность крупных компаний.

https://habr.com/ru/companies/pt/articles/894004/

#обнаружение_атак #threat_hunting #уязвимости_и_их_эксплуатация #rce #wireshark #osi #python #ntaсистемы #middle #senior

Mastering the Art of Threat Hunting to Enhance Cybersecurity - https://www.redpacketsecurity.com/mastering-the-art-of-threat-hunting-to-enhance-cybersecurity/

#Threat_hunting #CyberSecurity #OSINT #Cyber

Обычная практика Threat Hunting и причем тут пирамида боли

Привет Хабр! Меня зовут Иван Костыря, и я работаю в команде VK SOC, а точнее — в группе реагирования, куда стекаются все подозрения на инциденты информационной безопасности в компании. Сегодня хочу рассказать немного о том, как мы ищем угрозы в периметре компании, какие средства и техники для этого используем. Если коротко, то этот процесс можно описать так — мы задаем себе очень много вопросов и постоянно ищем на них ответы. Статья будет интересна начинающим специалистам: здесь я обобщил основные практики и рекомендации, которые выработаны в индустрии и проверены опытом нашей команды.

https://habr.com/ru/companies/vk/articles/881688/

#soc #threat_hunting #threat_intelligence #обучение #информационная_безопасность #информационные_технологии #siem #пирамида_боли #поиск_угроз #mitre

Unveiling the Shadows: Mastering Threat Hunting - https://www.redpacketsecurity.com/unveiling-the-shadows-mastering-threat-hunting/

#Threat_hunting #CyberSecurity #OSINT #Cyber

«Дело не в музе и вдохновении. Дело в труде». Честное интервью с Алексеем Лукацким о плюсах и минусах книгописательства

Привет! Сегодня мы решили напомнить читателям Хабра о том, что в Positive Technologies не только исследуют уязвимости, пишут ресерчи и разрабатывают ПО для защиты — наши коллеги ко всему прочему еще и авторы книг. Алексей Усанов уже рассказал о своей книге «Реверс-инжиниринг встраиваемых систем». Мы расспросили другого нашего коллегу, Алексея Лукацкого ( @alukatsky ), и он поведал нам о своем писательском пути. Разговор получился откровенный, прямолинейный, как во многом и сам Алексей Викторович. Можно ли заработать книгописательством, надо ли следовать советам Стивена Кинга, а также маленький, но полезный лайфхак для авторов — обо всем этом читайте в интервью с Алексеем Лукацким в этой статье. Почитать

https://habr.com/ru/companies/pt/articles/874276/

#cybersecurity #обнаружение_атак #писательство #книга #техническая_литература #написание_книги #творческий_процесс #threat_hunting #intrusion_detection #профессиональная_литература

Network defenders should be monitoring and/or blocking VS Code remote tunnels, especially if VS Code is approved software at your organization (living-off-the-land binary aka LOLBIN). Adversaries can connect to workstations via these legitimate VS Code tunnels and potentially steal data or establish C2 without triggering proxy/firewall/email DLP rules. Pre-existing alerting will likely not fire for this activity as its legitimate network activity from signed Microsoft software through Microsoft-owned domains. I am not aware of any past or present intrusion campaigns which use this technique for data exfil/C2, but an internal retro threat hunt showed our red team probing this feature. Monitor or block vscode.dev/tunnel and tunnels.api.visualstudio.com for easy wins. Monitor the code-tunnel.exe binary or the remote tunnels extension installation for any attempts at starting the remote tunnel server on a host. Happy hunting.

MS Documentation on VSCode Remote Tunnels:
https://code.visualstudio.com/docs/remote/tunnels

#cti #threat_intelligence #threat_hunting

Why bother with argv[0]?
https://www.wietzebeukema.nl/blog/why-bother-with-argv0
#ycombinator #argv_lsqb_0_rsqb #argv0 #argv #arg_lsqb_0_rsqb #arg0 #command_line #cmd #command_line_obfuscation #command_line_bypass #edr_obfuscation #cyber #threat_detection #cyber_threat #cyber_threat_detection #edr #endpoint #blue_team #blue_teaming #red_team #red_teaming #threat_hunting #threat_hunter #hunting

Why Bother with Argv[0]?
https://www.wietzebeukema.nl/blog/why-bother-with-argv0
#ycombinator #argv_lsqb_0_rsqb #argv0 #argv #arg_lsqb_0_rsqb #arg0 #command_line #cmd #command_line_obfuscation #command_line_bypass #edr_obfuscation #cyber #threat_detection #cyber_threat #cyber_threat_detection #edr #endpoint #blue_team #blue_teaming #red_team #red_teaming #threat_hunting #threat_hunter #hunting

Охота на цифровых призраков: как OSINT и threat hunting защищают ваши данные

Введение: Цифровые угрозы в современном мире В нашу эпоху, когда данные стали новой нефтью, а цифровые активы ценятся на вес золота, кибербезопасность превратилась в настоящее поле битвы. Увы и ах, но традиционные методы защиты уже не справляются с лавиной угроз , которые обрушиваются на компании и частных лиц. Как говорится, нельзя прийти на перестрелку с ножом. Именно поэтому мир кибербезопасности переживает настоящую революцию, во главе которой стоят две мощные техники: OSINT (Open Source Intelligence) и threat hunting . Представьте себе: вместо того чтобы сидеть в окопе и ждать атаки, вы отправляетесь на охоту за угрозами, выслеживая их еще до того, как они успели нанести удар. Круто, правда? Это и есть суть proactive threat hunting. А теперь добавьте к этому возможность использовать всю мощь открытых источников информации для сбора разведданных о потенциальных угрозах. Вот вам и OSINT во всей красе. В этой статье мы нырнем в глубины цифрового океана, чтобы разобраться, как эти две техники работают вместе, создавая мощный щит против киберугроз. Пристегните ремни, будет интересно!

https://habr.com/ru/articles/837108/

#osint #threat_hunting #кибербезопасность #проактивная_защита #разведка_по_открытым_источникам #анализ_угроз #цифровые_угрозы

Mastering Threat Hunting for Advanced Cyber Defense - https://www.redpacketsecurity.com/mastering-threat-hunting-for-advanced-cyber-defense/

#Threat_hunting #CyberSecurity #OSINT #Cyber

Метрики качества динамических плейбуков

При создании динамических планов реагирования должны быть сформулированы и учитываться критерии, которые будут подтверждать качество разработанного алгоритма действий для решения конкретного типа инцидента информационной безопасности. Критерии формулируются на основе основных параметров инцидента, которые должны быть учтены в работе над его расследованием, реагированием и постинцидентной активности. При этом важно учитывать тот факт, что работа над инцидентом – гораздо шире, чем стандартный анализ и реакт на скоррелированные события ИБ. Работа над инцидентом – это:

https://habr.com/ru/companies/securityvison/articles/831182/

#playbook #next_generation_security #threat_hunting #soc #soar #динамические_плейбуки #kill_chain

ML-алгоритмы против хакеров: как поведенческая аналитика меняет правила игры в кибербезопасности

Здравствуйте, друзья! Меня зовут Алексей Потапов, и я представляю экспертный центр безопасности Positive Technologies. Ранее мы уже знакомили вас с ключевыми элементами нашего подхода к обнаружению атак на примере технологий в SIEM: механизме построения цепочек запускаемых процессов на основе нормализованных событий , автоматическом вайтлистинге и машинном обучении для выявления нестандартного поведения пользователей и процессов в инфраструктуре . Тему ML было бы невозможно раскрыть в одном посте, поэтому предлагаю углубиться в более технические детали. Мы уже рассказывали про модуль Behavioral Anomaly Detection (BAD). Он работает как система second opinion — собирает данные о событиях и пользователях, присваивает им определенный уровень оценки риска (risk score) и выдает альтернативное мнение, основываясь на своих алгоритмах. Фишка BAD в том, что он снижает когнитивную нагрузку аналитика системы SIEM, позволяя эффективнее принимать решение по инциденту информационной безопасности. В этой статье я расскажу, что делает модуль BAD не просто новым инструментом, а полноценным игроком в вашей команде кибербезопасности. Поговорим о перспективах, которые открывает его использование. Подробности

https://habr.com/ru/companies/pt/articles/824628/

#cybersecurity #инциденты #threat_hunting #threat_intelligence #siem #кибератаки #ии #true_positive #powershell #windows

Аналитик SOC: про скилы, карьерный рост и… медведей

Всем привет! Меня зовут Иван Дьячков, я руководитель центра мониторинга информационной безопасности в Wildberries и сегодня хочу рассказать о профессии аналитика SOC, поделиться своим опытом развития. Карьерный путь я начинал с классического сисадмина, а в направлении SOC поработал как со стороны вендора, так и в формате in-house внутри компаний. Что самое важное в профессии? Как преуспеть и сделать карьеру? И главное — где точка входа в SOC? Подробнее

https://habr.com/ru/companies/pt/articles/814715/

#cybersecurity #работа_в_it #soc #кибератаки #аналитик #инциденты #threat_hunting #обучение #go #rfc

Респонс по DaVinci: как мы перевернули систему работы Security-аналитика и что из этого вышло

Как обычно происходит стандартное реагирование в SOC? Получил аналитик оповещение об инциденте от какой-то системы безопасности, посмотрел логи SIEM, чтобы собрать дополнительные данные, уведомил заказчика и составил для него короткий отчет о произошедшем. А что дальше? А дальше — переключился на новый инцидент или ожидает его появления. В крайних случаях — участие в расследовании инцидентов и разработка новых сценариев выявления атак. Такова «хрестоматийная», стандартная схема работы аналитика в коммерческом SOC. Это и не хорошо, и не плохо — это, как правило, просто данность. Однако формат действий security-аналитика можно сделать кардинально иным, и за счет этого помочь амбициозному специалисту расти быстрее и шире, а компании-заказчику — дополнительно укрепить свою безопасность. Я, Никита Чистяков, тимлид команды security-аналитиков в «Лаборатории Касперского». Под катом я расскажу, как и зачем в Kaspersky помогаю выстраивать новые условия работы для security-аналитиков и как эти условия помогают им стать эдакими витрувианскими ИБшниками эпохи Возрождения. Если вы сами аналитик или в целом работаете в инфобезе, хотите узнать, какой скрытый потенциал есть у профессии и как его раскрыть, эта статья — для вас.

https://habr.com/ru/companies/kaspersky/articles/801451/

#лаборатория_касперского #респонс #soc #incident_responce #incident #инцидент #securityаналитик #security_analyst #разработка #r&d #Threat_Intelligence #Threat_Hunting #GReAT #AMR #anti_malware_research #форензика #IoC #ИБ #hr #сотрудники #управление_командой #управление_людьми #карьера #управление_персоналом #карьера_в_itиндустрии #карьера_в_it #карьера_итспециалиста #работа #информационная_безопасность #кибербезопасность #безопасность #уязвимости #кибератаки #пентест #исследование #аналитика #рынок_труда #рынок_труда_в_ит #найм_персонала #тенденции #хедхантеры

На GitHub виявлено понад 100 тисяч репозиторіїв зі шкідливим кодом

Дослідники безпеки з компанії Apiiro виявили на GitHub модифіковані клони різних проєктів з невеликими змінами у коді, спрямовані на вчинення деструктивних дій.

Серед масок, які можна використовувати для визначення наявності шкідливих вставок у завантажених репозиторіях, згадуються:

exec(Fernet
exec(requests
exec(__import
exec(bytes
exec(“””\nimport
exec(compile
__import__(“builtins”).exec(

Шкідливий код після запуску здійснює пошук конфіденційних даних, таких як параметри облікових записів, токени, збережені в браузері паролі та Cookie, і відправляє їх на сервер атакуючих. Шкідливий код також підтримує заміну адрес криптовалют, що передаються через буфер обміну, може створювати скріншоти і приймати команди від керуючого сервера

#github #malware #spyware #malicious #Threat_Hunting #threatintel

https://apiiro.com/blog/malicious-code-campaign-github-repo-confusion-attack/

Суд зобов’язав виробника шпигунського програмного забезпечення Pegasus передати код представникам WhatsApp

Пам'ятаю, як колись шанувальники WhatsApp кричали: "Ні-ні, що ти, ніякого Пегасуса не існує! Це фейки!".

Рішення судді Філліс Гамільтон є важливою юридичною перемогою WhatsApp, що належить компанії Meta, яка з 2019 року веде судовий процес проти NSO, стверджуючи, що шпигунське програмне забезпечення ізраїльської компанії було використано проти 1400 користувачів WhatsApp протягом двох тижнів.

Код Pegasus компанії NSO, а також коди інших продуктів для стеження, які вона продає, вважаються державною таємницею, яка дуже ретельно охороняється і дуже затребувана. Діяльність NSO ретельно регулюється Міністерством оборони Ізраїлю, яке має розглядати й затверджувати продаж усіх ліцензій іноземним урядам, повідомляє Guardian.

Програмне забезпечення Pegasus від NSO може дати необмежений доступ до телефонних дзвінків, електронних листів, фотографій, інформації про місцеперебування та зашифрованих повідомлень без відома користувача.

NSO продає своє шпигунське програмне забезпечення урядовим клієнтам по всьому світу і заявляє, що відомства, які його розгортають, несуть відповідальність за те, як воно використовується.

#pegasus #nso #nso_group #spyware #whatsapp #messengers #cybersecurity #mobilesecurity #intelligence #Threat_Hunting #threatintel

https://itc.ua/ua/novini/sud-zobov-yazav-vyrobnyka-shpygunskogo-programnogo-zabezpechennya-pegasus-peredaty-kod-predstavnykam-whatsapp/

Динамические плейбуки

Мы привыкли к стандартным планам реагирования, которые представляют собой либо развесистые алгоритмы действий, покрывающие большое количество ситуаций, либо много маленьких плейбуков, специализированных под конкретный тип инцидента. При этом инфраструктура предприятия – живой организм, который постоянно меняется: добавляются новый устройства, сегменты сети, меняются политики работы ноутбука важного босса, добавляются СЗИ. По этой причине в организациях с развитым уровнем ИБ регулярно проводятся аудит и инвентаризация, которые помогают актуализировать информационную модель предприятия, но меняются ли по результатам инвенторки плейбуки? Следующий аспект, влияющий на эффективность защиты – переменчивость внешнего окружения. В текущих реалиях техники реализации атак эволюционируют, усложняются, затрагивают новые типы данных инфраструктуры, используют новые механизмы и способы посткомпрометации (например, программы-вымогатели ransomeware теперь не только шифруют данные организации и требуют оплату за восстановление доступа, но могут также воровать информацию организации, требуя дополнительную плату в обмен на неразглашение информации властям, конкурентам или общественности). В силу постоянно меняющегося ландшафта угроз и способов их реализации наши плейбуки тоже должны изменяться, чтобы не устаревать на фоне меняющегося поведения злоумышленников. Для решения первой задачи (изменчивости инфраструктуры) был разработан подход, который в зарубежном сообществе трактуется как CD/CR, или непрерывность обнаружения и реагирования.

https://habr.com/ru/companies/securityvison/articles/796571/

#playbooks #next_generation_security #threat_hunting #soar #CD/CR #динамические_плейбуки #kill_chain #цепочка_атаки_хакера #soc #аналитик_иб

Искусство следопыта в корпоративной инфраструктуре

В этой статье хотелось бы обсудить индикаторы атаки — ту часть Threat Intelligence, которая отвечает за эффективное реагирование на угрозы и расследование инцидентов. В этом контексте вспомним одну из апорий Зенона Элейского - про Ахиллеса и черепаху. Современный бизнес часто оказывается в позиции быстроного Ахиллеса, который, догоняя черепаху, всегда остается чуть позади.

https://habr.com/ru/companies/securityvison/articles/783698/

#SV #Практика_ИБ #tip #soar #siem #иб #threat_intelligence #threat_hunting #уязвимости #инфраструктура