Для раннего выявления атакующего в инфраструктуре мы разворачиваем ложные цели — ловушки, имитирующие реальные серверы, сервисы и данные. Легитимные пользователи с ними не работают, поэтому любое обращение почти наверняка означает вредоносную активность — сигнал приходит рано и почти без ложных срабатываний.
Каждый сигнал ценен — SOC не тонет в шуме, а сразу реагирует на настоящую угрозу.
Позволяют заметить горизонтальное перемещение злоумышленника внутри сети на ранних этапах атаки.
Honeypot — специализированная ловушка, имитирующая реальный сервер, сервис или данные, представляющие интерес для атакующего. Выглядит как настоящая цель, но существует только чтобы поймать обращение.
Имитируют привлекательные внутренние системы (файловые серверы, БД, «1С», админ-панели). Срабатывание — признак того, что атакующий уже внутри и перемещается по сети.
Ловушки на внешнем периметре фиксируют попытки сканирования и подбора — и дают понять интенсивность атак на компанию, а не только сам факт.
Canary Token — скрытая метка, встроенная в документ, ресурс или запись. При обращении к ней срабатывает сигнал. Размещаются там, где их найдёт только тот, кто целенаправленно ищет ценное.
Метки в документах — срабатывают при открытии файла (например, приманочные «пароли» или «выгрузки»).
В разделах корпоративного портала и SharePoint — реагируют на доступ к приманочным страницам и файлам.
Сигнал от ловушки почти не даёт ложных срабатываний — в отличие от многих детектов на реальном трафике.
Выявляет горизонтальное перемещение — этап, который часто остаётся незаметным для классического мониторинга.
Состав, количество и места размещения ложных целей определяются вместе с вашими специалистами — с учётом архитектуры ИТ-инфраструктуры, чтобы ловушки выглядели естественно и стояли там, где их будет искать атакующий.
Все события, генерируемые ложными целями, передаются в сервис SOC и обрабатываются с повышенным приоритетом — как сигналы высокой достоверности.
Ловушка на периметре показывает не только факт атак, но и их интенсивность.
Ловушки дёшево расставляются по инфраструктуре и создают минное поле для атакующего.
Каждый сигнал ценен — SOC не тонет в шуме, а сразу реагирует на настоящую угрозу.
Позволяют заметить горизонтальное перемещение злоумышленника внутри сети на ранних этапах атаки.
Ловушка на периметре показывает не только факт атак, но и их интенсивность.
Имитируют привлекательные внутренние системы (файловые серверы, БД, «1С», админ-панели). Срабатывание — признак того, что атакующий уже внутри и перемещается по сети.
Ловушки на внешнем периметре фиксируют попытки сканирования и подбора — и дают понять интенсивность атак на компанию, а не только сам факт.
Триггеры к ячейкам и полям-приманкам — срабатывают при запросе к «интересным» записям.
Приманочные файлы на файловых шарах и файлообменниках — реагируют на доступ и копирование.
Метки в shared mailboxes, mail-папках и почтовых ящиках — срабатывают при чтении приманочных писем и вложений.
Специальные УЗ, которыми никто и никогда не должен пользоваться. Любая попытка входа — сигнал компрометации.
Метки в документах — срабатывают при открытии файла (например, приманочные «пароли» или «выгрузки»).
В разделах корпоративного портала и SharePoint — реагируют на доступ к приманочным страницам и файлам.
Триггеры к ячейкам и полям-приманкам — срабатывают при запросе к «интересным» записям.
Раннее обнаружение даёт время отреагировать до того, как атакующий достигнет цели.
Ловушки на периметре показывают интенсивность и характер атак на компанию.
Мало шума — аналитики не отвлекаются на ложные тревоги и работают по реальным сигналам.
Атакующий не знает, что реально, а что ловушка — это замедляет его и повышает риск обнаружения.
Сигнал от ловушки почти не даёт ложных срабатываний — в отличие от многих детектов на реальном трафике.
Выявляет горизонтальное перемещение — этап, который часто остаётся незаметным для классического мониторинга.
Раннее обнаружение даёт время отреагировать до того, как атакующий достигнет цели.
Состав, количество и места размещения ложных целей определяются вместе с вашими специалистами — с учётом архитектуры ИТ-инфраструктуры, чтобы ловушки выглядели естественно и стояли там, где их будет искать атакующий.
Все события, генерируемые ложными целями, передаются в сервис SOC и обрабатываются с повышенным приоритетом — как сигналы высокой достоверности.
Ловушки дёшево расставляются по инфраструктуре и создают минное поле для атакующего.
Приманочные файлы на файловых шарах и файлообменниках — реагируют на доступ и копирование.
Метки в shared mailboxes, mail-папках и почтовых ящиках — срабатывают при чтении приманочных писем и вложений.
Специальные УЗ, которыми никто и никогда не должен пользоваться. Любая попытка входа — сигнал компрометации.
Ловушки на периметре показывают интенсивность и характер атак на компанию.
Мало шума — аналитики не отвлекаются на ложные тревоги и работают по реальным сигналам.
Атакующий не знает, что реально, а что ловушка — это замедляет его и повышает риск обнаружения.