Thread 61. Xavfsizlik ma’lumotlari va hodisalarni boshqarish (siem). Ibm qradar tahdidlarni aniqlash

65. DDoS fidlar, fidlar kamchiliklari, C & C fidlar.
Fidlar– bu kelishuv ko'rsatkichlarini o'z ichiga olgan ma'lumotlar oqimlari, ya'ni, potentsial tahdidni aniqlash mumkin bo'lgan belgilar, masalan, zararli fayllar, IP -manzillar va jinoiy faoliyat bilan bog'liq domenlarning xeshlari. Masalan, kompaniya shubhali IP -manzillardan so'rovlarni blokirovka qilish uchun fid ma'lumotlardan foydalanishi mumkin.
Fidlar kamchiliklari
Shu bilan birga, fidlarning aniq kamchiliklaridan biri - kontekstning yetishmasligidir, chunki "dastlabki" ma'lumotlar asosiy savollarga javob olishga imkon bermaydi:

• 
  komprometatsiya ko'rsatkichlari va aniq hujumlar o'rtasida qanday bog'liqlik bor?
  
• 
  ular tajovuzkor infratuzilmasida qanchalik muhim?
  
• 
  ularni zararli faylning o'ziga xos turi deb tasniflash mumkinmi?
  
• 
  Buning uchun siz qabul qilingan va mavjud bo'lgan ma'lumotlar o'rtasidagi munosabatni tahlil qilishingiz kerak, bu esa katta hajmli ma'lumot tufayli juda ko'p mehnat talab qiladigan ishdir - odatda jarayon qo'lda bajariladi, ya'ni samaradorlik haqida so'z yuritilmaydi.
  

DDoS fidlar
(Distributed Denial of Service – taqsimlangan xizmatdan voz kechish hujumi)
Kiberxavfsizlikning asosiy tushunchalari mavjudlik, yaxlitlik va maxfiylikdir. “Xizmatdan voz kechish” (DoS) hujumlari axborot resurslarining mavjudligiga ta'sir qiladi. Xizmat ko'rsatishni rad etish, agar u axborot resursiga kirishni imkonsizlantirishga olib kelgan bo'lsa, muvaffaqiyatli hisoblanadi. Hujumning muvaffaqiyati va maqsadli resurslarga ta'siri farq qiladi, bu ta'sir jabrlanuvchiga zarar yetkazadi. Masalan, agar onlayn-do'konga hujum qilinsa, xizmat ko'rsatishning uzoq muddat rad etilishi kompaniya uchun moliyaviy yo'qotishlarga olib kelishi mumkin. Har bir holatda, DoS faoliyati to'g'ridan-to'g'ri zarar yetkazishi yoki tahdid va zarar yetkazish xavfini tug'dirishi mumkin.
C&C fidlar
Muammo shundaki, qaysi manbalar indikatorlar bo'yicha bunday kontekstni taqdim etadi. Masalan, bitta manbada C&C serveri haqida ma'lumot bo'lishi mumkin, boshqasida esa zararli dasturlar nomi bo'lishi mumkin. Ammo buni hal qilish mumkin: siz turli manbalarni tanlashingiz, ularning mazmunini o'rganishingiz va takroriy ma'lumotlarni olib tashlashda iloji boricha ko'proq ma'lumot to'plashingiz kerak. Bunday ishlar natijasida indikator uchun qo'shimcha kontekstni shakllantirish mumkin bo'ladi.