JSOC Inside
- 2. JSOC 弌丱 丶丐 磦仍亠仆亳亠 亳仆亳亟亠仆舒, 亠于仂仆舒舒仍仆舒 从仍舒亳亳从舒亳, 亠于仂仆舒舒仍仆舒 仗亳仂亳亠亰舒亳 舒亰仆舒亠仆亳亠 亳仗仂仍仆亳亠仍 亳亰 1-仂亶 仍亳仆亳亳 仆舒仍亳亰 亳仆亳亟亠仆舒, 仂仂从仂仍亳仂于舒仆亳亠 亳仍亠亟仂于舒仆亳 亠仂弍仂亟亳仄舒 从舒仍舒亳 仗仂 从仗亠亳亰亠? 亠亠亟舒舒 亳仆亳亟亠仆舒 2-仂亶 仍亳仆亳亳/舒仆舒仍亳亳从 丐 False Positive? 舒从亳亠 从舒从 FP 仆仂仄亳仂于舒仆亳亠 舒从舒亰亳从舒, 仗亠亟仂舒于仍亠仆亳亠 亳仆仂仄舒亳亳 仗仂 亳仆亳亟亠仆 亳 亠弍亠仄 仂亠仂于 亢仆舒 亟仂仗仂仍仆亳亠仍仆舒 亳仆仂仄舒亳? 舒从亳亠 亰舒亟舒亳 丐 亠仂弍仂亟亳仄舒 从舒仍舒亳 仗仂 从亳亳仆仂亳? 丕于亠亟仂仄仍亠仆亳亠 舒从舒亰亳从舒 亳 舒仆舒仍亳亳从舒, 仂仄亳仂于舒仆亳亠 亞仗仗 舒亰弍仂舒 亳仆亳亟亠仆舒 丐 丐 亟仄亳仆亳亳亠仄 仍亳 弌? 亠亠亟舒舒 亰舒亟舒亳 仗仂 舒仆亠仆亳 亞仗仗亠 舒亟仄亳仆亳亳仂于舒仆亳
- 3. SOC 丕丐 1-亊 亊 仂仆亳仄舒亠 仂仆仂于 弍亠亰仂仗舒仆仂亳 舒亰弍亳舒亠 于 亳仂亟仆 仂弍亳 亳亠仄 仍舒亟亠亠 于亠仄亳 亳仆仄亠仆舒仄亳 舒仍亠亟仂于舒仆亳 于 SOC 舒弍仂舒亠 仗仂 亳仆从亳亳, 仆仂 仆亠 仂亞舒仆亳亳于舒亠 亠亶 舒亠 于仂舒仆仂于亳 仗仂亳亰仂亠亟亠亠 于 亠舒仍仆仂仄 仄亳亠
- 4. 丕丼亊 弌丐丕 1. 仆仂于 亳仆仂仄舒亳仂仆仆仂亶 弍亠亰仂仗舒仆仂亳: 丼仂 舒从仂亠 亳仆仂仄舒亳仂仆仆舒 弍亠亰仂仗舒仆仂 于 仗亳仆亳仗亠 亠亞仍亳ﾑ亳亠 亟仂从仄亠仆 于 仂弍仍舒亳 亳仆仂仄舒亳仂仆仆仂亶 弍亠亰仂仗舒仆仂亳 仆亳亟亠仆 亳仆仂仄舒亳仂仆仆仂亶 弍亠亰仂仗舒仆仂亳: 仂仗亠亟亠仍亠仆亳亠, 仂仍亳亳亠 仂 丐-亳仆亳亟亠仆舒, 仗亳仆亳仗 仂仗亠亟亠仍亠仆亳 从亳亳仆仂亳 舒亶于亠 亳仆仂仄舒亳仂仆仆仂亶 弍亠亰仂仗舒仆仂亳 从仂仄仄亠亠从仂亞仂 亠从仂舒: 亠亞仍仂, 仗仂仍亳亳从亳, 于仆亠仆亳亠 亞仂亰, 从仂仆仂仄亳亠从舒 弍亠亰仂仗舒仆仂, 亠仗舒亳仂仆仆亠 亳从亳 亳弍亠仗亠仗仆仂: 仂仆仂于仆亠 于亠从仂 舒舒从亳, 仗亳 从仂仄仗仂仄亠舒亳亳, 仍舒亳亳从舒亳 亳仆亳亟亠仆仂于 JSOC: 亠仄 于磶舒仆 亳仆亳亟亠仆, 从舒从亳亠 仗仂仍亠亟于亳 于仍亠亠, 从舒从舒 亳仆仂仄舒亳 于舒亢仆舒 亟仍 舒仍亠亟仂于舒仆亳 2. 舒弍仂舒 舒亟亳仂仄 从仍ﾑ亠于 亳仆舒从仆 亠于亳仂于: Active Directory 仂弍亳 舒亠仆亳亳从舒亳亳 Active Directory 仗仂亳亠 仂弍亳 弌仂弍亳 舒亠仆亳亳从舒亳亳 仆舒 仗仂亳 亳亠仄舒 亟亳 弌 Windows 亟亳 弌 Linux 亟亳 弌丕 (sql 亰舒仗仂, 亳仆舒从亳, 仂仆仂于 仂弍舒弍仂从亳 亳 亰仆舒亠仆亳 从仂仄舒仆亟) 亟亳 亠亠于仂亞仂 仂弍仂亟仂于舒仆亳 亟亳 仄亠亢亠亠于 从舒仆仂于 仆亳于亳 亳 仗仂亠亠 host-based (仗亳仆亳仗 舒弍仂, 从仍ﾑ亠于亠 仂弍亳)
- 5. 丕丼亊 弌丐丕 3. 弌仂弍亳 仂 弌: 仆亳于亳 (亳仗 于亳仂于, 仂仂弍亠仆仆仂亳 仗仂于亠亟亠仆亳, 从亳亠亳亳 仂弍仆舒亢亠仆亳) 弌亠亠于亠 舒舒从亳 (从仍舒亳亳从舒亳, 仂仆仂于仆亠 仗舒舒仄亠) DDOS-舒舒从亳 (仗亳仆亳仗 舒弍仂, 亳仗, 从仍ﾑ亠于亠 仗仂仂弍 仂弍仆舒亢亠仆亳) 舒从亳 仆舒 于亠弍-仗亳仍仂亢亠仆亳 (仗亳仆亳仗, 亳仗, 从仍ﾑ亠于亠 仗仂仂弍 仂弍仆舒亢亠仆亳) 4. 仆仄亠仆舒亳亶 JSOC: 仆仂于仆亠 亳仆仄亠仆 ArcSight 亟仍 舒仍亠亟仂于舒仆亳 亳仆亳亟亠仆舒 仆亠仆亳亠 仗仂仂弍 仂弍舒弍仂从亳 亳仆仂仄舒亳亳, 亳仂仆亳从亳 亰仆舒仆亳亶 舒亰弍仂 3-4 从仍ﾑ亠于 亳仆亳亟亠仆仂于 于 舒仄从舒 仂于仄亠仆仂亶 舒弍仂 5. 弌舒仄仂仂亠仍仆亶 舒仆舒仍亳亰 亳仆仂仄舒亳亳, 于仗仂仍仆亠仆亳亠 仍舒弍仂舒仂仆 6. 仗从仆仂亶 从亰舒仄亠仆 仗仂 仂于仂亠仆亳 仄舒亠亳舒仍舒
- 6. SLA 舒舒仄亠 亠于亳舒 舒亰仂于亶 舒亳亠仆仆亶 亠仄亳仄 亠仄 仂弍仍亢亳于舒仆亳 8*5 24*7 24*7 亠仄 仂弍仆舒亢亠仆亳 亳仆亳亟亠仆舒 (仄亳仆) 亳亳仆亠 亳仆亳亟亠仆 15-30 10-20 5-10 仂亳亠 亳仆亳亟亠仆 亟仂 60 亟仂 60 亟仂 45 亠仄 弍舒亰仂于仂亶 亟亳舒亞仆仂亳从亳 亳 亳仆仂仄亳仂于舒仆亳 亰舒从舒亰亳从舒 (仄亳仆) 亳亳仆亠 亳仆亳亟亠仆 45 30 20 仂亳亠 亳仆亳亟亠仆 亟仂 120 亟仂 120 亟仂 90 亠仄 于亟舒亳 亠从仂仄亠仆亟舒亳亶 仗仂 仗仂亳于仂亟亠亶于亳 亳亳仆亠 亳仆亳亟亠仆 亟仂 2 亟仂 1,5 亟仂 45 仄亳仆 仂亳亠 亳仆亳亟亠仆 亟仂 8 亟仂 6 亟仂 4
- 7. 丼 丐 丼亂 仂弍仍亠仄 从仗仍舒舒亳亳 SIEM 亳 亳 亠亠仆亳亠 舒从 仂亠仆 亠仆舒亳亳 仗仂 仂弍仆舒亢亠仆亳 亳仆亳亟亠仆仂于 舒从 仂亠仆舒 舒弍仂舒 亳仆亢亠仆亠仂于 于仂亰仆亳从舒ﾑ亳仄亳 仂弍亳礆亳
- 8. 1 弌丶 亊 丼乘丱 弌丐丼 仂亞亳从舒 亳仆亳亟亠仆仂于 仂亟亳仆舒从仂于舒 brute-force 于亠亞亟舒 brute-force 从舒亢亟仂仄 仗亳仍仂亢亠仆亳亳 (AD, Unix OS, Cisco VPN, Siebel, Web- 仗亳仍仂亢亠仆亳亠) 于仂亳 仍仂亞亳 亳 于仂 亳仆仂仄舒亳. 仂弍舒于亳 仆仂于仂亠 仗亳仍仂亢亠仆亳亠 仗舒舒 仗舒于亳仍 + 仗亳从亳 亳从仍ﾑ亠仆亳礆亳 亳 仗仂亳仍亳仂于舒仆亳亠仄 舒从亳于仆仂亳 亳仂亞亠: 弌仍仂亢仆仂 亟亳舒亞仆仂亳从亳 亳从 仂亳弍从亳 仗亳 亠舒仍亳亰舒亳亳 丕于亠仍亳亠仆亳亠 仆舒亞亰从亳 仆舒 亳亠仄
- 9. 2 - 乖 乘丱 弌亠仆舒亳亶 10 舒弍舒于舒仆亳亶 亳亞仆舒 IPS 仂亟仆仂亞仂 亳仂仆亳从舒 仍舒亠 50 舒弍舒于舒仆亳亶 (亳亟亠 从舒仆亳仂于舒仆亳亠): 40 舒亰仍亳仆 仂弍亳亶 40 仂仂弍亠仆亳亶 于 仗仂 弌 亟仂仄 仄仂亢仆仂 仂仗仂舒于亳 亟舒仆仆亠 于 仂亟仆 仆仂 亳 仂仄 仗仂亠仆亳舒仍仆仂 仂 仂亟仆舒 亳 舒 亢亠 舒从亳于仆仂
- 10. 丿 豫丼亊 弌 TOR- 弌丐 亠仆亠亠 亠仄 亰舒 舒 6 仂弍亳亶 仂弍 仂亟仆仂仄 亳 仂仄 亢亠 从舒仆亳仂于舒仆亳亳
- 11. 束 3損 弌弌- 1. 丐亳 仂于仆 SLA. 仂 从舒亢亟仂仄 于仂亠 于亠仄 亠舒从亳亳 于 亰舒于亳亳仄仂亳 仂 从亳亳仆仂亳 亳仆亳亟亠仆舒 丕 从舒亢亟仂亞仂 亰舒从舒亰亳从舒 于仂亶 SLA 丕 从舒亢亟仂亞仂 亰舒从舒亰亳从舒 舒亰仆仂亠 于亳亟亠仆亳亠 从亳亳仆仂亳 亳仆亳亟亠仆舒 2. 亳亰舒仍亳亰舒亳 亳 仗仂亰舒仆仂 舒弍仂 亳仆亳亟亠仆舒仄亳. 仗亠舒仂舒仄 亟仂仍亢仆 弍 亟仂仗仆 亢亠 仂弍舒弍仂舒仆仆亠 仂弍亳. 仗亠舒仂 仆亠 亟仂仍亢仆 束于弍亳舒損 亳仆亳亟亠仆. 3. 仆亠 亟仂仍亢仆 束亠損 亳仆亳亟亠仆. 亳亳仆亶 亳仆亳亟亠仆 亟仂仍亢亠仆 弍 舒仄仂亠仆 于仂于亠仄. 仆亠 亰舒于亳亳仄仂亳 仂 仂亞仂, 仂 亟仂 仆亠亞仂 仗亳仍仂 10 仆亠 从亳亳仆 亳仆亳亟亠仆仂于 亳亳仆仂亳 亳仆亳亟亠仆仂于 仂 仆亠 仗亳仂亳亠 亳 舒仍亠亟仂于舒仆亳 4. 丕亟仂弍于仂 舒弍仂 亳 仄舒舒弍亳亠仄仂 仂弍舒于仍亠仆亳亠 仆仂于仂亞仂 仗舒于亳仍舒 仆亠 亟仂仍亢仆仂 于仍亳 仆舒 亠于亳 舒舒弍亳仂于舒仆亳亠 仗舒于亳仍舒 仆舒 仆仂于亶 亳仂仆亳从 仆亠 亟仂仍亢仆仂 于仍亳 仆舒 亠于亳 仆亢亠仆亠 仆亠 亟仂仍亢亠仆 亳从舒 于 亳仆从亳 于亠仄 亠舒从亳亳, 从亳亳仆仂亳, 亠仍亠仂仆 亳 e-mail 亰舒从舒亰亳从舒
- 12. JSOC - WORKFLOW 仂弍仍亠仄 从仗仍舒舒亳亳 SIEM 亳 亳 亠亠仆亳亠 舒从 仂亠仆 亠仆舒亳亳 仗仂 仂弍仆舒亢亠仆亳 亳仆亳亟亠仆仂于 舒从 仂亠仆舒 舒弍仂舒 亳仆亢亠仆亠仂于 于仂亰仆亳从舒ﾑ亳仄亳 仂弍亳礆亳
- 13. JSOC 丱丐丐丕 亊丶乘丱 Workflow 弌亠仆舒亳亳 束舒亰仂于亠損 亳 束仂亳仍亳ﾑ亳亠損 仗舒于亳仍舒 亠亠舒弍仂舒仆仆亠 仗舒亠 亟仍 从仂仆仆亠从仂仂于 仗仂于亠亠仆亳, 仂亰亟舒仆亳亠 从亠亶仂于, 仂弍舒弍仂从舒 亳仆仂仄舒亳亳 亠仂弍仂亟亳仄亠 仂亠 亳 亳仆仄亠仆 亟仍 舒仆舒仍亳亰舒 亳仆亳亟亠仆仂于 亠仆亠舒亳 仂弍亳亶 仗仂 仂仂于亠于ﾑ亳仄 从亳亠亳礆 束弍仂亞舒亠仆亳亠損 亳仆仂仄舒亳亳 亳从舒 束仄仂舒損 仂弍舒于仍亠仆亳亠 仆舒亠亶 从舒亠亞仂亳亰舒亳亳 仂亳仍亳仂于舒仆亳亠 舒从亳于仆仂亠亶 仂弍舒于仍亠仆亳亠 束仗仂仗亠仆仆仂亶損 亳仆仂仄舒亳亳 仗舒于仍亠仆亳亠 仗仂弍仍亠仄 仗舒亳仆亞仂仄
- 14. 乘 弌丶 舒亰仂于亠 亠仆舒亳亳 (从仂于亠仆仆亠 仗亳亰仆舒从亳) 仂亠仆亳舒仍仆亶 亳仆亳亟亠仆 仂亟亠亠 仗亳仄仂 仂 仆亠亳亰于亠仆仂亞仂 仂仗舒于亳亠仍 仂亳 100% 亰舒舒亢亠仆亳亠 仂舒 亠仂仆亶 亠仍亠仆舒仗舒于仍亠仆仆亶 于亰仍仂仄 仂舒 舒仗从 仆亠仍亠亞亳亳仄仆仂亞仂 (仗仂亠舒) 仆舒 舒弍仂亠亶 舒仆亳亳 仂亟舒 舒从亳于仆仂 Remote Access ToolsTORFeeds 弌仂亰亟舒仆亳亠 仍仂从舒仍仆仂亞仂 舒亟仄亳仆亳舒仂舒 仆舒 亳亠仄亠 仂亟亳亳从舒亳 亠亠舒 仗仂 仆亳 仂亞舒仆亳亠仆亳亶 RDP 仆舒 仂亠 仂仍仂亠 从仂仍-于仂 仆亠仗亠仆 仗仂亟从仍ﾑ亠仆亳亶 于仂 于仆亠仆ﾑ 亠 亠仂仆亠 弍仂仆亠仆亠亳亰于亠仆亠 于亳 仂仗 于 亳仆亠仆亠 从 亳亰于亠仆仄 仂仗舒仆仄 仂舒仄 (Feeds) 仗仂亟仂亰亳亠仍仆亠 从舒亠亞仂亳亳 仆舒 仗仂从亳 仂亟舒 仗仂仗从舒 舒仆仂于亳 仂亠亟亳仆亠仆亳亠 亟舒仍亠仆仆仂亞仂 舒亟仄亳仆亳亳仂于舒仆亳 仂仗 从 从亳亳仆仂亶 亳仆仂仄舒亳亳 (舒亶仍弍舒亰舒etc) 丕亠从舒 亳仆仂仄舒亳亳仗仂仍亰仂于舒仆亳亠 亠仆 亰舒仗亳亠亶 仂于ﾑ亳 仂亟仆亳从仂于 弍仆舒亢亠仆亳亠 仗亠亠亟舒亳 舒亳于舒 仗舒仂仍亠仄 (DLP)仗舒于从舒 弍仂仍仂亞仂 仂弍亠仄舒 亟舒仆仆 亠亠亰 于亠弍-仗仂 弍仆舒亢亠仆亳亠 仆仂于仂亞仂 仂舒 于仂 于仆亠仆亠仄 仗亠亳仄亠亠 丕仗亠仆亶 于亰仍仂仄 于仆亠仆亠亞仂 亠于亳舒 仆亠仆亠亠 从舒仆亳仂于舒仆亳亠 仗仂仂于 丕仗亠仆舒 舒亠仆亳亳从舒亳 仆亠 舒亰亠亠仆仆仂亞仂 亠亞仄亠仆舒 亠亳 (仆舒 亠于亳 ***) 仂亟舒 亠亠于舒 舒从亳于仆仂 仂 从亳亳仆仂亞仂 亠于亠舒 从 仆亠 亟仂于亠亠仆仆仄 仂舒仄
- 15. JSOC - WORKFLOW 仂弍仍亠仄 从仗仍舒舒亳亳 SIEM 亳 亳 亠亠仆亳亠 舒从 仂亠仆 亠仆舒亳亳 仗仂 仂弍仆舒亢亠仆亳 亳仆亳亟亠仆仂于 舒从 仂亠仆舒 舒弍仂舒 亳仆亢亠仆亠仂于 于仂亰仆亳从舒ﾑ亳仄亳 仂弍亳礆亳
- 16. JSOC 弌弌丐 丐乘 弌 丶丐 1. 仆亳亟亠仆 亟仂仍亢亠仆 弍 于亳亰舒仍仆仂 舒亰仍亳亳仄 2. 仂 从舒亢亟仂仄 亳仆亳亟亠仆 仗仂舒于仍磳 仗舒舒仄亠 束舒亞亞亠亞舒亳亳損 亳 弍舒亰仂于仂亞仂 从仂亳仆亞舒 3. 亠仂弍仂亟亳仄舒 舒亳亳从舒 仗仂 束舒亰于亳亳ﾂ 亳仆亳亟亠仆舒 亳 仂仗仂于亠亠仆亳礆 于 仍舒亠 仗仂于仂亠仆亳 亳仍亳 仆亠 舒仆亠仆亳 4. 亳亳仆仂 亳仆亳亟亠仆舒 舒亰仍亳仆舒 亟仍 舒亰仍亳仆 亰舒从舒亰亳从仂于
- 17. 丶弌弌 弌丐丶 弌乘丐亊 ArcSight ESM ArcSight Case KayakoAgentKayako Case RuleAction: Create Case1 RuleAction: Execute External Command 2 弌亠亠于舒 仄仂亟亠仍 + 丕 仆仂仄舒亳 仂 亰舒从舒亰亳从亠 仆仂仄舒亳 仗仂 亳仆亳亟亠仆 弍亠亠 仂仗亳舒仆亳亠 舒亠 SLA 亳仆从 亟仍 亰舒仗从舒 从仂仆仂仍亳 ESM 舒亠 从亳亳仆仂亳
- 18. 弌丼 SLA 1. 束亠仄 亢亳亰仆亳損 亳仆亳亟亠仆舒 舒亰弍亳仂 仆舒 3 仗仂仄亠亢从舒: 束亠仍亠仆舒 亰仂仆舒損, 束亠仍舒 亰仂仆舒損, 束舒仆舒 亰仂仆舒損 2. 亳 仗亠亠仂亟亠 亳仆亳亟亠仆舒 亳亰 仂亟仆仂亶 亰仂仆 于 亟亞 仂弍亳亶 Score 于亠仍亳亳于舒亠 仗仂 从仂亳亳亠仆舒仄 3. 仆亢亠仆亠 仂弍磶舒仆 于亰 亳仆亳亟亠仆 舒仄仄 于仂从亳仄 Score, 舒 仆亠 仗亳仂亳亠仂仄 4. 仗仂于亠亠仆亳 从仂于仂亟亳亠仍亠亶, 舒仆舒仍亳亳从仂于 仗亳 仆亠仂弍仂亟亳仄仂亳 束亳仍亠仆亳晛 亠从亠亶 从仂仄舒仆亟 1-仂亶 仍亳仆亳亳
- 19. 亟亳仆 亟亠仆 亳亰 亢亳亰仆亳 舒仆舒仍亳亳从舒
- 20. 丼 丐 弌弌豫 丶丐 舒仍亠亟仂于舒仆亳亠 仗亳 从舒仍舒亳亳 舒亰弍仂 舒仆仂仄舒仍亳亶 亳 仂亠仆仂 仂亟 仆仂于仂亞仂 IOC 仂仄仂 于 舒仍亠亟仂于舒仆亳亳
- 21. 亅弌丶亊 丐丼弌丐 磦仍亠仆亳亠 亳仆亳亟亠仆舒, 亠于仂仆舒舒仍仆舒 从仍舒亳亳从舒亳, 亠于仂仆舒舒仍仆舒 仗亳仂亳亠亰舒亳 舒亰仆舒亠仆亳亠 亳仗仂仍仆亳亠仍 亳亰 1-仂亶 仍亳仆亳亳 仆舒仍亳亰 亳仆亳亟亠仆舒, 仂仂从仂仍亳仂于舒仆亳亠 亳仍亠亟仂于舒仆亳 亠仂弍仂亟亳仄舒 从舒仍舒亳 仗仂 从仗亠亳亰亠? 亠亠亟舒舒 亳仆亳亟亠仆舒 2-仂亶 仍亳仆亳亳/舒仆舒仍亳亳从 丐 False Positive? 舒从亳亠 从舒从 FP 仆仂仄亳仂于舒仆亳亠 舒从舒亰亳从舒, 仗亠亟仂舒于仍亠仆亳亠 亳仆仂仄舒亳亳 仗仂 亳仆亳亟亠仆 亳 亠弍亠仄 仂亠仂于 亢仆舒 亟仂仗仂仍仆亳亠仍仆舒 亳仆仂仄舒亳? 舒从亳亠 亰舒亟舒亳 丐 亠仂弍仂亟亳仄舒 从舒仍舒亳 仗仂 从亳亳仆仂亳? 丕于亠亟仂仄仍亠仆亳亠 舒从舒亰亳从舒 亳 舒仆舒仍亳亳从舒, 仂仄亳仂于舒仆亳亠 亞仗仗 舒亰弍仂舒 亳仆亳亟亠仆舒 丐 丐 亟仄亳仆亳亳亠仄 仍亳 弌? 亠亠亟舒舒 亰舒亟舒亳 仗仂 舒仆亠仆亳 亞仗仗亠 舒亟仄亳仆亳亳仂于舒仆亳
- 22. 亅弌丶亊 丐丼弌丐 丶丐 丐 弌弍仂 亟仂仗仂仍仆亳亠仍仆 于亠亟亠仆亳亶 亰舒亳仄仂亟亠亶于亳亠 舒从舒亰亳从仂仄, 仗仂仍亠仆亳亠 仂弍舒仆仂亶 于磶亳 仂亟从仍ﾑ亠仆亳亠 仆仂于 亳仂仆亳从仂于 仗亳 亳仆亳亟亠仆亠 亟仍 弍仂舒 亟仂仗仂仍仆亳亠仍仆仂亶 亳仆仂仄舒亳亳 于 从亠仆仆 仍舒
- 23. 亅弌丶亊 丐丼弌丐 弌: REMOTE ADMIN TOOLS 仂仆亳从亳: 仂仆仂仍仍亠 亟仂仄亠仆舒 弌亠亠于亠 仂亶于舒 弌亅, 仂从亳 仂从舒仍仆亠 仍仂亞亳 弌亠仆舒亳亳 舒弍舒于舒仆亳: 仂亠仆仆舒 从舒亠亞仂亳亰舒亳 亠亠于 仂亶于 仍亠 仗仂 亳亰于亠仆仄 仗仂舒仄 舒仍亠亟仂于舒仆亳亠: 仆舒仍亳亰 亠亠于仂亶 舒从亳于仆仂亳 仂于亠从舒 亰舒仗从舒亠仄 仗仂亠仂于 (亠仍亳 仂 仗仂亟从仍ﾑ亠仆) 亅从舒仍舒亳: 仂仆仂亠 于亠仄 亳亳仆亠 仂
- 24. 亅弌丶亊 丐丼弌丐 弌: REMOTE ADMIN TOOLS 18 Jul 2015 03:08:02 MSK 舒亳从亳仂于舒仆 亳仆亳亟亠仆: 舒仗从 RemoteAdminTools 仆舒 仂亠 仂亟仆亠 亟舒仆仆亠: 舒亳仆舒 从仂于仂亟亳亠仍 仂亟亠仍舒 仂从舒仍仆亠 仍仂亞亳 仆亠亟仂仗仆 舒仍亠亟仂于舒仆亳亠: 仗仂于亠亠仆亳亠 舒仆舒仍亳亳从舒 弌仂亞仍舒仂于舒仆亳亠 舒从舒亰亳从仂仄 仗仂亟从仍ﾑ亠仆亳 仄舒亳仆 从 JSOC 仂亟从仍ﾑ亠仆亳亠 仂舒. 仍 仂亞舒仆亳亰舒亳亳 亠仂仗亠从亳于仆仂亞仂 舒仆舒仍亳亰舒 于 agent properties 束startatend=false損
- 25. 亅弌丶亊 丐丼弌丐 丕亊
- 26. 亅弌丶亊 丐丼弌丐 DETAILS 17 Jul 2015 17:23:44 MSK 舒仗从 仗亠于亟仂仗仂仍亠亰仆仂亞仂 17 Jul 2015 18:59:14 MSK 仂亞舒 仗仂仍亰仂于舒亠仍, 弍仍仂从亳仂于从舒 从仂仄仗ﾑ亠舒 18 Jul 2015 03:07:57 MSK 舒仗从 仗仂亠舒 vuupc.exe 18 Jul 2015 03:08:02 MSK 仆亳亟亠仆 18 Jul 2015 03:26:00 MSK 仗仂于亠亠仆亳亠 舒仆舒仍亳亳从舒 仗仂 亠仍亠仂仆 18 Jul 2015 03:32:48 MSK 仗仂于亠亠仆亳亠 仂 1-亶 仍亳仆亳亳 于 仂仂仆 舒从舒亰亳从舒 18 Jul 2015 03:55:00 MSK 仗仂亟从仍ﾑ亠仆亳亠 仄舒亳仆 从 ArcSight
- 27. 仂亳仍亳仂于舒仆亳亠 仍亠亞亳亳仄仆 仗仂亠仂于 亰仄亠仆亠仆亳亠 舒亶仍仂于 /system32, 于 仂仄 亳仍亠 Hosts 仂仆仂仍 于亠仂从 亠亠舒: Run, RunOnce 舒舒仄亠 fSingleSessionPerUser 于 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal Server CLASSES_ROOTexefileshell 亅弌丶亊 丐丼弌丐 丐亂
- 28. 丐丼丐乘 丕丐丕 个 Case review 弍仂仂仆舒 仗仂于亠从舒 舒亰弍仂舒 亳仆亳亟亠仆仂于 1-亶 仍亳仆亳亠亶 舒弍仂舒 仄亳 亟舒仆仆仄亳 弌于仂亟从舒 仗仂 亳仆亳亟亠仆舒仄, 于亠从仂 舒舒从
- 29. 丐丼丐乘 丕丐丕 个 丐丐丶亊? 弌! 舒仗从 仗仂亠仂于 /Temp 仂于亠从舒 仍亠亞亳亳仄仆仂亳 C:UsersADMIN- ~2AppDataLocalTempklrbtagt_64.exe 舒仗亠从亳亶? 178 仂亠亟亳仆亠仆亳亶 仆舒 ip 丱丱.丱丱丱.丱丱.丱丱丱 (Spain) 亳仍亠亟亠仄仂亞仂 仂舒 亰舒 亟亠仆, 仗仂亟仂亰亳亠仍仆仂? 弌仂亠亟亳仆亠仆亳 仂于仆仂 1 舒亰 于 15 仄亳仆 亠亟亳从 从仗亠亳亰 仄舒亳仆 于亠亟仂仆仂 仗仂 仄仂亳于舒仄 carberb
- 30. 乘丱 IOC 仆舒仍亳亰 IOC 仂弍舒于仍亠仆亳亠 亳亞仆舒 仗仂于亠亠仆亳亠 舒从舒亰亳从仂于 亠仂仗亠从亳于仆亶 舒仆舒仍亳亰
- 31. 乘丱 IOC Incident of compromise 弌亠亠于仂亶 从仂从: ip-舒亟亠舒 弌仍亠亟 仗亳于亳 于亠亟仂仆仂舒 亠亠 个舒亶仍 弌仂仗于ﾑ亳亠 磶于亳仄仂亳 仂亠
- 32. 乘丱 IOC Carberb (Anunak, Carbanak) Skeleton key 亳仗仂仍亰仂于舒仆亳亠 仍ﾐ頴笑 亠仆仂亶 亰舒仗亳亳 于 亟仂仄亠仆亠 弍亠亰 仗舒仂仍
- 33. 弌亠亠于 舒 于 active list`s. 弌舒弍舒于舒仆亳亠 仗舒于亳仍舒: INC_Outbound communication to Malicious Host 弌仍亠亟 亳 从仗仍舒亳亠仄亠 磶于亳仄仂亳: 仂于亠从舒 仆舒 仂仗于ﾑ亳亠 磶于亳仄仂亳 从舒仆亠仂仄 亰舒亳亠仆仆仂亳; 仂于亠从舒 仆舒 仂舒 舒亶仍仂于 仂舒于仍ﾑ亳 于亠亟仂仆仂舒 从亳仗, Qualys; 仂于亠从舒 仆舒 仂舒 亠亠仂于 仂舒于仍ﾑ亳 从亳仗, Qualys. 仂仆仄亠: 亠从仂仄亠仆亟舒亳亳 仗仂 弍仍仂从亳仂于从亠; 舒从亳亠 仂仗于ﾑ亳 磶于亳仄仂亠亶, 仆舒仗舒于仍亠仆仆 仆舒 仗仂于亠仆亳亠 仗亳于亳仍亠亞亳亶, 亰舒亞亰从 于 VBR/MBR 亳 亟.; 仂仆亳仂亳仆亞 仂亰亟舒仆亳 舒亶仍仂于 于 亳仗仂仍亰亠仄 于亠亟仂仆仂仂仄 仗舒仗从舒 (仗仂 仄仂仍舒仆亳 仄仂仆亳仂亳仆亞 仗仂亳亰于仂亟亳 仗舒仗仂从 system32 亳 亟亞亳 从亳亳仆 亳亠仄仆 仗舒仗从舒) 仆舒 从亳亳仆 仂舒; 仂仆亳仂亳仆亞 亳亰仄亠仆亠仆亳 仆亠从仂仂 从亳亳仆 舒亶仍仂于 (于 .. Hosts) 仆舒 从亳亳仆 仂舒. 乘丱 IOC 丶亊
- 34. 乂亂 弌弌 亠 仗仂亟从仍ﾑ亠仆仆亠 亳亠仄 仆亳亟亠仆, 于仂亟亳亠 亰舒 舒仄从亳 亠仆舒亳亠于 JSOC 仂仄仗舒仆亳亳, 仆亠 亳仗仂仍亰ﾑ亳亠 JSOC
- 35. 弌弍仂亶 于 舒弍仂亠 Siebel 仂仆-仂亳 亳亳仆舒: 束弍亳亶損 从仂仆亳亞舒亳仂仆仆亶 舒亶仍 于亠 舒从亳于仆亠 亠亳亳: 仂亟磲亳从 (SMB) 仗亠亟仗仂亟舒从仆 亠于亠舒 弌仂亟仆亳从 弍舒仆从舒 (RDP) 舒弍仂亠亶 舒仆亳亳 从亳于仆仂亳: 弌仂亟仆亳从: 于 舒仄从舒 RDP-亠亳亶 弍仍仂 仗亠亠亟舒仆仂 于 亠亟仆亠仄 仗仂磲从舒 5弍, 仂 亳从仍ﾑ舒亠 从仂仗亳仂于舒仆亳亠 亞仂仂于仂亞仂 舒亶仍舒 从仂仆亳亞舒亳亳 仆舒 舒弍仂亳亠 亠于亠舒: 5758010 弍舒亶 仆舒 app04, 6020111 弍舒亶 仆舒 app03, 7979583 弍舒亶 仆舒 app02, 2481417 弍舒亶 仆舒 app01. 仂亟磲亳从: 仂仗 从仂 于亠仄 仗仂亟从亳于仆仄 亠于亠舒仄 从 从舒舒仍仂亞 C$ 仗亠亟仗仂亟从亳于仆仂亞仂 (亠仂于仂亞仂) 亠于亠舒 Siebel 乂亂 弌弌 弌 丐 豫丼 弌弌丐乘
- 36. 仂亟从仍ﾑ舒亠仄 亠仂于亶 亠于亠 Siebel: 仂仗 仆舒 仗亠亟仗仂亟舒从仆 亠于亠 亳亰 亟亳舒仗舒亰仂仆舒 舒亟亠仂于 仗仂亟磲仆仂亶 仂亞舒仆亳亰舒亳亳 (VPN) 舒 仗亠亟仗仂亟舒从仆 亠于亠亠 弍仍 亰舒仗亠仆 仗仂亠 siebdev.exe 亳亰-仗仂亟 亠从亳 仂亟仆亳从舒 仗仂亟磲仆仂亶 仂亞舒仆亳亰舒亳亳. 仂亠 亞亠仆亠亳亠 从仂仆亳亞舒亳仂仆仆亶 舒亶仍 亟仍 Siebel. 舒仍亠亠 仆舒 仗亠亟仗仂亟舒从仆 亰舒仗从 亠亠亰 cmd C:/Bat files/sbl_stop 丼亠亠亰 2 仄亳仆 亰舒仗从 亠亠亰 cmd C:/Bat files/sbl_start 亠舒仍亳亰舒亳: 丼亠仆亳亠 仗舒舒仄亠仂于 仗仂亠舒 仗仂仄仂 仆舒仂亠从 舒亟亳舒: Include command line in process creation events 于仂 于从仍舒亟从亠 Computer ConfigurationPoliciesAdministrative TemplatesSystemAudit Process Creation 乂亂 弌弌 弌 丐 豫丼 弌弌丐乘
- 37. 仂仗仂 弍亠亰仂仗舒仆仂亳 于 JSOC
- 38. 丼 丐 丼亂 亠亰仂仗舒仆仂 Solar 于 亠仍仂仄 亠仗亠于仆仂 JSOC 亠亰仂仗舒仆仂 亟舒仆仆 于 JSOC
- 39. 乘 丕弌 亅个个丐 于亳亠 仗仂亟亟亠亢从亳 于亠 仆亳亰 亳亰仆亠 仂亟亠仍仆仂 仂 (亟亞亳亠 仗亳仂亳亠) 亟亠仍亠仆亳亠 弍ﾐ莞勤却仂于 仆舒 亠亟于舒 亳 仗亠仂仆舒仍 弌仍仂亢仆仂 仗仂于亠亟亠仆亳 仂亠仆从亳 亳从仂于 仆亳 仆亠 从仂仄仗亠亠仆亳亶 弌仆舒亢亳 仆亠 亞舒舒仆亳仂于舒仆 亠 仗亠亳亳从亳 束仂亳亠从亳亠 于仂損 仗仂亠仂于 亳 亳仆舒从 亳亰从舒 仄仂亳于舒亳 弍亳亰仆亠舒 亳 丐 仆舒 舒弍仂 亳从舒仄亳
- 40. 弌丶个 SOLAR 亠 从仂于仂亟亳亠仍亳 束于 亠仄亠損 仂仂从亳亶 束舒舒仍仆亶 于仂損 仂从亳亠 于仆亠仆仆亳亠 从仂仄仗亠亠仆亳亳 弌于仂亳 亳亠仄 亳 亠于亳 仆舒 束舒亢亠損 从仂仄仗舒仆亳亳 弌仂弍于亠仆仆舒 仆亳从舒仍仆舒 仄亠仂亟亳从舒 仗仂 仂亠仆从亠 亳从仂于
- 41. 乘 丿 亳亰仆亠-亳仆亠于 仗仂 15 从仍ﾑ亠于仄 仂亟仆亳从舒仄 弌仂弍舒仆 亳 仂亞仍舒仂于舒仆 亠亠 亳从仂于 (33 仂仗舒仆), 亳仆仂仄舒亳亳 亳 舒从亳于仂于 弌仂亰亟舒仆 从仂仄亳亠 仗仂 亳仆仂仄舒亳仂仆仆仂亶 弍亠亰仂仗舒仆仂亳 弌仂亞仍舒仂于舒仆 仗仍舒仆 仄亠仂仗亳亳亶 仗仂 仂从磡亠 亰舒于亠舒亠仄 仗亠于亶 舒仗 仄亠仂仗亳亳亶 PCI DSS 亢亠 亠, 仂亳亠仆亳 - 27001
- 42. 丱丐丐丕 仂仗. 亠 从仍亳亠仆舒 仂仗. 亠 从仍亳亠仆舒 仂仗. 亠 从仍亳亠仆舒 弌弍仂仂弍亳亶 仗亳仍仂 弌弍仂仂弍亳亶 丶 JSOC 丶 JSOC SIEM backup addons trial SIEM backup jivsvdi jivsvdi
- 43. JSOC: 弌丐丕弌丐亂 仆舒从舒 于仆亠亠仆仆亶 丶 从舒亠亞仂亳亳 Tier3 亠亰亠于仆亶 丶 从舒舒仂仂仂亶亳于仂 亟仂仗仆仂 磲舒 99,2% 仍舒仆 仆亠仗亠于仆仂亳 弍亳亰仆亠舒 舒仗亠亟亠仍亠仆仆亠 仗仍仂舒亟从亳 亠仄舒 亟亠亢于舒 仗仂 从仂仄仗亠亠仆亳礆 于仂亰仄仂亢仆仂 舒弍仂舒 弍亠亰 亳仆舒从 Solar
- 44. JSOC: 丶弌丐弌丐亂 仂亟亠仍 亰亟仂仂于, 仂亳亠仆亳仂于舒仆仆舒 仆舒 亠于亳 仂仆仂仍 仂仂礌亳 亳仂仆亳从仂于 仂仆仂仍 弍仂亟亠亶于亳 弌仂弍于亠仆仆亠 仄亠舒仆亳亰仄 弍从舒仗亳仂于舒仆亳 亠亰亠于亳仂于舒仆亳亠 亳仆仂仄舒亳亳 亳 从仂仄仗亠亠仆亳亶
- 45. JSOC: 乘 丶亠仆舒仍亳亰仂于舒仆仆亶 亟仂仗: 仗亠仂仆舒仍仆亠 亠从亳 于仂仂亶 舒从仂 亠仄亳仆舒仍仆亶 亠于亠 亰舒仗亳 仂弍亳亶 亰舒亳舒 亟舒仍亠仆仆仂亞仂 亟仂仗舒: 亟于舒 舒从仂舒 + 亟亠亢仆亠 仆仂弍从亳 仂仍亠于舒 仄仂亟亠仍: 舒亰亟亠仍亠仆亳亠 仄仂仆亳仂亳仆亞舒 亳 亠舒亞亳仂于舒仆亳 仂亞舒仆亳亠仆仆亶 亟仂仗 亟仍 1-仂亶 仍亳仆亳亳 four eye principle 于仆亳 从舒亢亟仂亶 亳亰 从仂仄舒仆亟 从仂仆仂仍 于亞亰仂从 亳 仂弍舒弍仂仂从 亳仆仂仄舒亳亳
- 46. JSOC:个丶亂弌丐亂 乂乂乘 乘 亠从于亳亰亳 亟仂仗舒 从 从仍亳亠仆舒仄 仆仂仄舒亳 仗仂 亳仆亳亟亠仆舒仄 从仍亳亠仆仂于 仆仂仄舒亳 仗仂 亳仆舒从亠 仂亳仍 从仍亳亠仆舒 弌于仂亟仆亠 仂亠 亰舒 仗亠亳仂亟 弌亠 亟舒仆仆亠 从仍亳亠仆仂于 仂仍仆亶 从舒舒仍仂亞 亠仆舒亳亠于 JSOC
- 47. JSOC: 丿 丕乘 - Solar 仗仂仍亰仂于舒亠仍从亳亶 亠亞仄亠仆 亳亰仂仍亳仂于舒仆: 于亰舒亳仄仂亟亠亶于亳亠 仂仍从仂 仗仂仂亶 亳 亟仂仄亠仆仂仄 亟亠仍仆亶 service desk, KB 亠亞仄亠仆亠 丶 仆亠 仗弍仍亳仆仂亞仂 亳仆亠仆亠舒 仂仗 于 亠亞仄亠仆 丶 仂仍从仂 亠亠亰 TS + 从仂仆仂仍亳亠仄亶 亠亰亠于仆亶 亟仂仗 亟仍 舒亳亠从仂舒 亠亞仄亠仆亠 丶 - 仂亟亠仍仆亶 亟仂仄亠仆 JSOC, 于仂仂亶 舒从仂 舒亠仆亳亳从舒亳亳
- 48. JSOC: 丿 丕乘 丕亞仂亰舒 舒舒从亳 仂 仂仂仆 从仍亳亠仆舒: 仂仗仆仂 仂亟亳仆-亟于舒 舒亟亠舒 Up2date 仗舒亳 仆舒 亳亠仄舒 丼亠仆亶 PCI DSS 亞舒仆亳亠仆仆亶 亟仂仗 从 亠亟亠 仂仆亳仂亳仆亞 亳仆舒从 JSOC
- 49. JSOC: 丿 丕乘 弌丶亊 仂于仂亟亳仄 亠亞仍仆亠 亠 仗仂 仂.亳仆亢亠仆亠亳亳 仆亠仆仆亳亠 仗仂于亠从亳 舒亰 于 从于舒舒仍 亳 仗仂 舒从 于仂亟舒 仆仂于 仂亟仆亳从仂于 仆亠仆亳亠 舒亰 于 亞仂亟 舒亳亠仆仆亶 security awareness 于 从仂仄舒仆亟亠 JSOC 仆仂于 亟亠亠仍仆仂亳 从亳弍亠仗亠仗仆亳从仂于 亳亞亳亠仆舒 仂弍亠仆亳 从仍亳亠仆仂仄 舒亰弍仂 从亳 从亠亶仂于 仗仂仍亠亟仆亠亞仂 于亠仄亠仆亳 亳亞亳亠仆舒 仍亳仆仂亞仂 仗仂舒仆于舒
- 50. 弌 于舒亢亠仆亳亠仄, 仂仄舒仆亟舒 Solar Security http://solarsecurity.ru +7 (499) 755-07-70 info@solarsecurity.ru