Практика работы с ELK Stack. Lesson: 12

1.

[SOC]
Course:
SECURITY OPERATION CENTER (SOC) FROM THE INSIDE
Theme 5:
«Threat Hunting»
Lesson: 12
«Практика работы с ELK Stack»

2.

[SOC]
На занятии:
1. Зачем сохранять логи и телеметрию трафика?
2. Основы работы в Elastic Stack
-2-

3.

На чем мы останавились?
[SOC]
Фиды,
полученные в
процессе TI
Внешние фиды
Фиды из
собственных
инцидентов
TI-платформа
Обогащение телеметрии событий контекстом
Средства ЗИ
организации
SIEM-система
События ИБ
IRP-система
(при наличии)
Инциденты ИБ
-3-
Приоретизированные на
основе TI инциденты

4.

Зачем сохранять логи и телеметрию трафика?
[SOC]
При расследовании инцидентов:
В рамках Threat Hunting:
Понимание контекста инцидента
• Какие действия предшествовали инциденту?
• Какие действия последовали за ним?
• Это действия пользователя или активность ПО?
Понимание масштабов инцидента
• На скольких машинах признаки компрометации
• Как долго злоумышленник в системе
• Проверка наличия индикаторов компрометации
в системе (ретроспективный анализ)
• Проверка гипотез (сработают ли СЗИ на исследуемую
активность? Какие события будут зафиксированы?)
-4-

5.

[SOC]
Домашнее задание указано
в методичке к занятию
Спасибо за внимание!
-5-