SOC: логи, SIEM и расследование инцидентов

«Поставить систему логирования — легко. Построить логирование, которое выдержит расследование реального инцидента,, это другой уровень. Это не про гигабайты в SIEM, а про создание альтернативной, защищённой реальности, которая переживёт компрометацию основных систем. Её итог — не красивые графики, а полная, неопровержимая цепочка событий.» Определите цели, прежде чем настраивать сбор Логи — инструмент для ответа на … Читать далее

«Мы месяцами собираемы метрики и строим графики, получая красивые корреляции, похожие на инсайты. Потом совершаем дорогостоящие ошибки, потому что эти графики указывают на последствия, а не на причины. Разница между ‘происходит вместе с’ и ‘происходит из-за’, это фундаментальный барьер, отделяющий данные от решений. В расследованиях киберинцидентов цена ошибки — повторная атака, а не испорченный дашборд.» … Читать далее

«Формальный, неработающий план реагирования, это ловушка. Он создаёт иллюзию защищённости, а в момент реальной атаки приводит к хаосу, потому что сценарии на бумаге расходятся с практикой. Нужен не документ для проверки, а живой, отлаженный механизм, который команда использует на автомате.» Ключевые разделы рабочего плана реагирования Эффективный план структурирует процесс от обнаружения до восстановления и анализа. … Читать далее

«Honeypot, это ловушка. Он должен быть пассивен и только наблюдать, иначе он становится оружием. Атаковать в ответ — значит выйти за границы своего предназначения и войти в сферу кибероружия, где начинаются совсем другие правила, риски и последствия, особенно в контексте российского законодательства о защите информации.» Что такое «активный» honeypot и чем он отличается от классического … Читать далее