#атрибуция_без_телеметрии — Public Fediverse posts

Атрибуция кибератак: почему иногда «не знаю» — единственный честный ответ

Представьте, что вы остановили атаку шифровальщика, залатали уязвимость и восстановили системы из бэкапа. Через неделю в той же сети всплывает майнер. Еще через месяц документы утекают в открытый доступ. Следы каждый раз ведут к одной и той же уязвимости. Что происходит: резвится один упорный хакер или ваша сеть превратилась в «коммуналку» для злоумышленников? С каждым годом становится всё труднее ответить на этот вопрос. Атрибуция кибератак превратилась в гадание на кофейной гуще. Атакующие используют одни и те же open-source-инструменты, а хорошая телеметрия блокирует атаки так быстро, что после инцидента остается слишком мало данных для полноценного расследования. Чтобы разобраться в ситуации, мы позвали Семена Рогачёва, руководителя отдела реагирования на инциденты Бастиона. Он уже выступал с докладом на эту тему. Рассмотрим три реальных кейса: от простого подсчета атакующих до полной неопределенности с двумя группировками на одном сервере. Сразу предупреждаем: простых ответов не будет.

https://habr.com/ru/companies/bastion/articles/975212/

#информационная_безопасность #атрибуция_кибератак #расследование_кибератак #цифровая_криминалистика #анализ_TTPs #сложности_атрибуции_кибератак #реагирование_на_инциденты #атрибуция_атакующих #DFIR #атрибуция_без_телеметрии