Əsas fikir
Aşkarlama qaydaları məlum nümunələri tapmağa kömək edir; təhdid ovlaması avtomatik siqnal olmasa belə şübhəli fəaliyyəti araşdırır. Effektiv proses fərziyyəni, uyğun telemetriyanı, analitik yoxlamanı və nəticələrin aşkarlama qaydalarına qaytarılmasını birləşdirir.
Aşkarlama və ovlama bir-birini necə tamamlayır
Təhdidlərin aşkarlanması şəbəkə, tətbiq və son nöqtələrdəki fəaliyyəti yoxlayaraq sistemin təhlükəsizliyinin pozulduğuna işarə edən hadisələri müəyyənləşdirir. İmzalar və qaydalar tanınmış nümunələri tapır; davranış təhlili adi fəaliyyətdən kənara çıxan halları üzə çıxara bilər. Təhdid ovlayan analitiklər isə avtomatik siqnal olmadan sistemlərdə və şəbəkələrdə gizli qala bilən fəaliyyəti axtarırlar. Bu yanaşmalar bir-birini tamamlayır: alətlər siqnalları və məlumatı təqdim edir, analitik konteksti yoxlayır, tapıntılar isə sonrakı aşkarlama və cavab prosesini yaxşılaşdırır. Gizli fəaliyyəti axtarmaq aşkarlanmadan qalan müddəti (dwell time) azalda bilər; bunun üçün müvafiq məlumat və tapıntıya uyğun cavab lazımdır.
Dörd aşkarlama yanaşması
Tək bir üsul bütün fəaliyyəti üzə çıxarmır. Təhdid məlumatı, davranış siqnalları və analitik araşdırma birləşdirildikdə görünən mənzərə genişlənir.
Təhdid məlumatı və imzalar
Məlum zərərli proqram imzaları, təhlükəsizliyin pozulması göstəriciləri (IOC) və təhdid aktorlarının taktika, texnika və prosedurları (TTP) müşahidə olunan məlumatlarla tutuşdurulur. Bu üsul tanınmış təhdidləri aşkarlamağa kömək edir; yeni və ya dəyişdirilmiş davranış üçün əlavə analitika və araşdırma lazımdır. Mənbələrə antivirus, SIEM, IDS və veb-proksi sistemlərində istifadə edilən qaydalar daxil ola bilər.
Davranış təhlili
İstifadəçinin adi giriş vaxtı və yeri kimi nümunələri öyrənilir. Məsələn, hesabın əvvəllər görünməyən məkandan iş saatlarından kənar daxil olması araşdırılmalı siqnal ola bilər. EDR kimi vasitələr endpoint fəaliyyəti barədə kontekst verə, administratora xəbərdarlıq edə və siyasətə uyğun cavab addımını başlada bilər. Hadisə qeydləri analitikin girişin vaxtını, mənbəyini və sonrakı fəaliyyəti əlaqələndirməsinə kömək edir.
Aldadıcı tələlər
Təhlükəsizlik qrupu hücumçunun diqqətini cəlb etmək üçün tələ hesabı və ya resurs yerləşdirə bilər. Düzgün qurulmuş monitorinq bu resursa müraciət barədə xəbərdarlıq verə bilər. Belə siqnal fəaliyyəti və istifadə olunan üsulları araşdırmaq üçün başlanğıcdır, hücumun qəti sübutu deyil. Tələnin həqiqi məlumatlara və işlək sistemlərə çıxışını məhdudlaşdırın.
Proaktiv ovlama
Analitiklər SIEM, EDR, şəbəkə və tətbiq məlumatlarından istifadə edərək hələ xəbərdarlıq yaratmamış şübhəli fəaliyyəti axtarırlar. Ovlama məlum təhlükə məlumatına, konkret hücum texnikasına və ya mühitə dair müşahidəyə söykənə bilər. Axtarış həm əl ilə, həm də maşın dəstəkli üsullarla aparılır.
Hipotez qurmaq və araşdırma modelləri
Ovlamanı konkret yoxlanıla bilən sualla başlayın: hansı davranışı gözləyirsiniz, hansı sistemlərdə görünə bilər və bunu hansı məlumat göstərə bilər? Mühit barədə bilik, əvvəlki araşdırmalar, təhdid məlumatı və analitikin təcrübəsi hipotezi formalaşdırır. MITRE ATT&CK kimi çərçivələr davranışları tanınmış texnikalarla əlaqələndirməyə, Cyber Kill Chain isə hücumun mərhələlərini nəzərdən keçirməyə kömək edə bilər.
Strukturlaşdırılmış
Əvvəlcədən müəyyən olunmuş metod və mərhələlər izlənir; araşdırma ATT&CK və ya Cyber Kill Chain kimi çərçivə üzrə qurula bilər. Lockheed Martin-in yeddi mərhələli Cyber Kill Chain modeli kəşfiyyat, silahlandırma, çatdırılma, istismar, quraşdırma, komanda-idarəetmə və məqsədə çatma mərhələlərini təsvir edir.
Struktursuz
Analitik təcrübəsinə əsaslanaraq ilkin siqnal, anomaliya və ya müşahidədən başlayır, hər addımda yeni konteksti araşdırır.
Kəşfiyyat yönümlü
Cari təhdid məlumatı və aktiv istismar barədə bildirişlər konkret aktorun davranışını və alətlərini axtarmaq üçün istiqamət verir.
Hədəf yönümlü
Məhdud vaxt və resurslar şəraitində hücumçular üçün dəyərli ola bilən autentifikasiya sistemləri, məlumat anbarları və bulud infrastrukturu kimi aktivlərə diqqət yetirilir.
Texnika yönümlü
Konkret hücum texnikası seçilir və mühitdə həmin texnikaya uyğun davranışlar axtarılır.
Davamlı metodologiya
Ovlamanı “vaxt qaldıqda” görülən təsadüfi iş kimi deyil, müntəzəm nəzərdən keçirilən və təkmilləşdirilən proses kimi təşkil edin.
Texnologiya və məlumat
Endpoint təhlükəsizliyi, avtomatik aşkarlama və yetərli telemetriya anomaliyaları, qeyri-adi nümunələri və hücum izlərini araşdırmaq üçün əsas yaradır.
Bacarıqlı heyət
Ovlama analitik düşüncə, problem həlli və forensik araşdırma bacarıqları tələb edir. Rolları, ayrılan vaxtı və eskalasiyaya cavabdeh şəxsi əvvəlcədən təyin edin.
Təhdid məlumatına çıxış
IOC-lər, hücum təsnifatları və təhdid qruplarına dair məlumatlar hipotez və prioritet qurmağa kömək edir; hər mənbənin aktuallığı ayrıca qiymətləndirilməlidir.
Fərziyyədən cavaba qədər ovlama prosesi
Ovlama planı müşahidəni yoxlanıla bilən suala çevirir. Tətikləyici ilkin hipotez, xəbərdarlıq və ya konkret sistemə dair şübhə ola bilər. Mərhələlərdə istifadə olunan məlumatı, qərarı və növbəti addımı qeyd edin ki, komanda araşdırmanı təkrarlaya və ötürə bilsin. Avtomatlaşdırma məlumat toplama vaxtını azalda, siqnal axınını riskə görə sıralaya və kiçik, təkrarlanan cavab addımlarını icra edə bilər; analitiklər mürəkkəb araşdırmalara vaxt ayırar.
Hipotez qurun
Şübhəli davranışı və onun hansı aktor, TTP və ya mühit xüsusiyyəti ilə əlaqəli ola biləcəyini müəyyən edin. Təhdid məlumatını, mühit biliklərini, əvvəlki təcrübəni və alternativ izahları nəzərə alın.
Məlumatı toplayın və hazırlayın
Hipotezi yoxlamaq üçün lazım olan endpoint, şəbəkə, identifikasiya və jurnal məlumatlarını seçin; əhatəni və əlçatanlıq boşluqlarını qeyd edin. SIEM toplama və təhlilə kömək edə bilər.
Axtarışı başladın və yoxlayın
Tətikləyiciyə uyğun sistem və ya şəbəkə hissəsində sorğular aparın. Normal fəaliyyəti şübhəli nümunələrdən ayırmaq üçün zaman, istifadəçi, cihaz və əlaqəli hadisələri tutuşdurun.
Araşdırmanı dərinləşdirin
EDR və digər araşdırma vasitələri ilə potensial anomaliyanı izləyin. Hipotezi təsdiqləyin və ya rədd edin, təsirlənmiş aktivləri və mümkün əhatəni müəyyənləşdirin; sübutları qoruyun və qeyri-müəyyənliyi sənədləşdirin.
Cavab verin və öyrəndiklərinizi tətbiq edin
Zərərli fəaliyyət təsdiqləndikdə nəticələri insidentə cavab komandasına ötürün. Sübutları qoruyaraq, səlahiyyətə və siyasətə uyğun olaraq zərərli faylları silmək, dəyişdirilmiş faylları bərpa etmək, şəbəkələrarası ekran və ya IPS qaydalarını yeniləmək, yamaq quraşdırmaq və konfiqurasiyanı dəyişmək kimi addımları nəzərdən keçirin. İndikatorları aşkarlama sistemlərinə əlavə edin və sonrakı ovlamalar üçün sualları qeyd edin.
İndikatorlardan sonrakı axtarışlarda istifadə edin
Təsdiqlənmiş indikatorları və davranışları uyğun sensorlara və aşkarlama qaydalarına daxil edin. Real-vaxt sensorunun hazırlanması faydalı ola bilər, lakin onun tətbiqi resurs və texniki hazırlıq tələb edir.
Analitik üsullar və axtarış sualları
Analitik üsullar məlumat dəstində kənaraçıxmaları tapmağa kömək edir. Həcm və tezlik təhlili, məsələn, idarəetmə serverinə dövri bağlantıları (beaconing) göstərə bilər. Qruplaşdırma, klasterləşdirmə və ortaq xüsusiyyətli qeydlərin sayılması (stacking) oxşarlıqları və statistik kənar halları üzə çıxarır. Tək bir kənaraçıxma zərərli fəaliyyəti sübut etmir.
Həcm təhlili
Məlumat miqdarındakı kənar halları tapır. Suallar: endpoint-lər şəbəkədən nə qədər məlumat göndərir? Ən çox məlumatı hansı cihaz göndərib? Hansı xarici IP-yə ən çox bağlantı bloklanıb? Ən uzun sessiyalar və ən çox antivirus siqnalı hansı sistemlərdədir?
Tezlik təhlili
Hadisənin cihazda və ya şəbəkədə nə qədər tez-tez baş verdiyini ölçür. Həcm təhlili ilə birlikdə idarəetmə serverinə dövri bağlantılar da daxil olmaqla qeyri-adi təkrarlanmanı tapmağa kömək edir.
Klasterləşdirmə
Host və şəbəkə xüsusiyyətlərini birlikdə təhlil edərək adi davranışın qeyri-adi sayda təkrarlanmasını və ya gözlənilməyən qrupları müəyyənləşdirir.
Qruplaşdırma
Seçilmiş bir neçə xüsusiyyəti birlikdə nəzərdən keçirir; hücumçunun alət və üsullarını fərqləndirən kombinasiyaları tapmağa kömək edir.
Stacking — oxşar qeydlərin yığılması
Ortaq xüsusiyyətə malik qeydlər birləşdirilib bütöv dəstlə müqayisə edilir; statistik kənar halları aşkar etməyə kömək edir. Nümunələr: user-agent sətirləri, yüksək keçici portlar, konkret fayl adları və yolları, quraşdırılmış proqramlar, proses adları və şöbələr üzrə icra yolları.
Araşdırma üçün alət nümunələri
Aləti konkret ovlama sualına uyğun seçin və onun yaratdığı nəticəni yoxlayın. Aşağıdakı alətlər müxtəlif işlərə xidmət edən nümunələrdir; seçimdən əvvəl cari buraxılış, dəstək və təşkilat siyasətinə uyğunluğunu yoxlayın.
CyberChef
Məlumatı təhlil və dekodlaşdırmaq üçün əməliyyatları və onların parametrlərini təkrar istifadə edilən “resept” şəklində birləşdirir. Giriş məlumatlarına bu ardıcıllıq tətbiq edilir və nəticə ayrıca göstərilir.
Phishing Catcher
Certificate Transparency jurnallarındakı TLS sertifikat məlumatlarını CertStream vasitəsilə izləyərək mümkün fişinq domenlərini seçən açıq mənbəli prototipdir. Şübhə balı araşdırma üçün siqnaldır; domenin fişinq üçün istifadə olunduğunu ayrıca yoxlamaq lazımdır.
DNSTwist
Verilmiş domen adının səhv yazılış və oxşar görünən simvol variantlarını yaradır, sonra onların istifadədə olub-olmadığını yoxlayır. Beynəlmiləlləşdirilmiş domen adlarını da dəstəkləyir. Oxşar domen araşdırma üçün səbəbdir, özlüyündə zərərli fəaliyyət sübutu deyil.
AttackerKB
AttackerKB zəiflikləri anlamaq və prioritetləşdirmək üçün istifadə olunurdu. Rapid7 ayrıca açıq platformanı bağlayıb; domen indi Rapid7 Vulnerability and Exploit Database-ə yönləndirilir. Yeni texniki təhlilləri Rapid7 bloqunda və zəiflik bazasında axtarın.
YARA
Qayda əsaslı uyğunlaşdırma vasitəsidir. YARA qaydaları uyğun təhlükəsizlik alətlərinə daxil edilərək konkret zərərli proqram ailələrini və ya həssas sənədləri axtarmağa kömək edə bilər.
Təhlükəsizliyin pozulmasının qiymətləndirilməsi və davamlı ovlama
Təhlükəsizliyin pozulmasının qiymətləndirilməsi (compromise assessment) şəbəkə və endpoint-lərdə mövcud və ya yaxın keçmişdə baş vermiş icazəsiz fəaliyyətə dair sübutları axtaran müəyyən həcmli araşdırmadır. Təşkilat təhlükəsizliyin pozulması ehtimalından şübhələndikdə başlana bilər. Təhdid ovlama isə tək bir qiymətləndirmə ilə məhdudlaşmadan hipotez, davranış və ya təhdid məlumatı əsasında təkrarlanan axtarış işidir. Penetrasiya testi təhlükəsizlik nəzarətlərini yoxlayır; ovlama onun məcburi davamı deyil və ayrıca məqsədlə planlaşdırılır.
Qiymətləndirmə sualları
Effektivlik: məlum zərərli proqramı, uzaqdan idarəetmə vasitələrini və şübhəli davranışı müəyyən edə bilirmi? Sürət: inventar və giriş üsulları ilə əhatə olunan mühiti nə qədər tez yoxlayır? Xərc: endpoint başına sabit qiymət və ya dövri yoxlama modeli aydındırmı? Müstəqillik: nəticə yalnız mövcud alət və heyətdən asılı olmayan yoxlama ilə təsdiqlənirmi?
Gözlənilən nəticələr və təkrar interval
Qiymətləndirmədən ciddi boşluqların, düşmən fəaliyyəti və ya zərərli məntiqin müəyyənləşdirilməsi, sonra isə cavab tövsiyələri və araşdırma üçün qeydlər gözlənilə bilər. Bu iş tam forensik araşdırmanı əvəz etmir. Aylıq təkrar yoxlama bir mümkün planlama meyarıdır; uyğun interval riskə, əhatəyə və resurslara görə razılaşdırılır.
Müşahidələrə uyğun qərar
Mövcud və ya yaxın keçmişdəki təhlükəsizliyin pozulmasına dair sübut lazımdırsa, qiymətləndirmə əhatəsini müəyyən edin. Davranış anomaliyalarını və müdafiədən yayınmış fəaliyyəti müntəzəm araşdırmaq lazımdırsa, ovlama proqramı qurun. Şübhəli tapıntı insidentə cavab və daha dərin forensika tələb edə bilər.
Xidmət təminatçısını qiymətləndirmək üçün 7 meyar
Təklifləri müqayisə edərkən hər meyarı yazılı əhatə və məsuliyyət bölgüsündə razılaşdırın.
Təcrübə və ekspertiza
Komandanın istifadə olunan metodlara, mühitinizə bənzər sistemlərə və araşdırma nəticələrinin əsaslandırılmasına dair təcrübəsini soruşun.
Texnologiya
İstifadə edilən analitika, EDR, məlumat mənbələri və təhdid məlumatlarının növünü, saxlanma və inteqrasiya sərhədlərini dəqiqləşdirin.
Fərdi əhatə
Əhatənin şəbəkənizə, biznes məqsədlərinizə və təhlükəsizlik tələblərinizə necə uyğunlaşdırıldığını, dəyişikliklərin kim tərəfindən təsdiqləndiyini razılaşdırın.
Təhdid məlumatı
Mənbələrin necə yeniləndiyini, aktuallığının necə qiymətləndirildiyini və kəşfiyyatın konkret axtarış qərarlarına necə çevrildiyini öyrənin.
Davamlılıq və uyğunlaşma
Monitorinq saatlarını, növbə ötürülməsini, dövri intensiv araşdırmaları və yeni təhdidlər və mühit dəyişiklikləri qarşısında planın necə yeniləndiyini dəqiqləşdirin.
Təlim və bilik ötürülməsi
Tapıntıların, metodların və tövsiyələrin daxili komandaya hansı formatda ötürüləcəyini, komandanın prosesə necə cəlb ediləcəyini müəyyənləşdirin.
Dəstək və əlaqə
Əlaqə nöqtələrini, təcili bildiriş kanalını, hesabat alan şəxsləri, cavab saatlarını və müştəri təsdiqi tələb edən tədbirləri yazılı şəkildə razılaşdırın.
Endpoint ovlamasında müşahidə və bilik
Endpoint ovlaması cihaz və istifadəçi məlumatlarında naməlum fəaliyyəti axtarır. Bu dörd vəziyyət hansı məlumatı və konteksti yoxlamaq lazım olduğunu seçməyə kömək edir.
Məlum və müşahidə olunan
Təhdidin xarakteri məlumdur və sistemdə görünən fəaliyyəti var; onu təsdiqləmək və əhatəni müəyyənləşdirmək lazımdır.
Ehtimal olunan, hələ müşahidə edilməyən
Müdafiə sistemi konkret təhdid əlamətini hələ görməyib, lakin məlum risk və ya zəiflik onun daxil olma ehtimalını yaradır; uyğun məlumat mənbələrini yoxlayın.
Müşahidə olunan, hələ izah edilməyən
Sistem naməlum fəaliyyət aşkarlayıb, lakin onun nə olduğu və necə aradan qaldırılacağı məlum deyil; əlavə kontekst və araşdırma tələb olunur.
Müşahidə edilməyən və naməlum
Həm fəaliyyət, həm də onun xarakteri məlum deyil; telemetriyada boşluqlar və qaydalardan yayınan davranışlar bu vəziyyətin araşdırılmasını çətinləşdirir.
Ovlama nəyi yaxşılaşdıra bilər
Qiymətləndirmədə hipotezin hansı sistem və məlumatlarla yoxlandığını, araşdırmanın faydalı tapıntı verib-vermədiyini, yeni aşkarlama qaydalarının yaradılıb-yaradılmadığını və razılaşdırılmış düzəlişlərin tamamlanmasını izləyin.
Erkən aşkarlama
Siqnalsız qalmış şübhəli fəaliyyəti araşdırmaq gizli təhdidin üzə çıxma müddətini azalda bilər.
Daha dolğun kontekst
Analitik əlaqəli endpoint və şəbəkə hadisələrini birləşdirərək mümkün hücum gedişi və təsirlənən aktivlər barədə daha aydın mənzərə yarada bilər.
Cavab və bərpa prioritetləri
Araşdırma cavab tədbirlərini, faylların bərpasını, yamaq və konfiqurasiya ehtiyaclarını əsaslandırmağa kömək edə bilər.
Müdafiə və öyrənmə
Araşdırmadan çıxarılan nəticələri aşkarlama qaydalarına, prosedurlara, heyət hazırlığına və növbəti hipotezlərə çevirmək faydalıdır.
Məlumat və etimad
Analitiklər əlaqəli hadisələri birləşdirərək məlumatı qoruya, insidentin təsirini qiymətləndirə və bərpa addımlarını əlaqələndirə bilərlər.
Purple-team təkrar yoxlaması
Razılaşdırılmış və təhlükəsiz ssenaridə red team davranışı icra edir, blue team aşkarlama və cavabı yoxlayır, purple-team koordinasiyası isə telemetriyanı, qaydaları və qərarları birgə nəzərdən keçirir. Boşluqları düzəldib eyni davranışı yenidən sınaqdan keçirin; nəticəni yalnız xəritədə xana rəngləməklə ölçməyin.
ATT&CK xəritələrini və qiymətləndirmələri oxumaq
ATT&CK taktika və texnikaları təsnif edir, Navigator isə qatlarda qeydləri və qiymətləndirmələri vizuallaşdırmağa kömək edir. Xəritədə rənglənmiş xana öz-özlüyündə aşkarlama sübutu deyil. Əhatəni şərh edərkən təhdidin təşkilat üçün uyğunluğunu, tələb olunan telemetriyanın mövcudluğunu, analitikanın işlədiyini və ssenaridə yoxlanmış nəticəni ayrı-ayrılıqda yoxlayın.
ATT&CK Evaluations nəticələri
Nəticələri şərh etməzdən əvvəl qiymətləndirmə ilini və raundunu, ssenarini, iştirakçı konfiqurasiyasını və həmin raundun bal hesablama metodunun nəyi ölçdüyünü yoxlayın. Enterprise 2026 raundunda Total Evaluation Score (TES) təqdim olunur; onu əvvəlki raundların fərqli ölçüləri ilə birbaşa müqayisə etməyin. Nəticələr yalnız yoxlanmış əhatə və konfiqurasiyaya aiddir. Öz mühitiniz üçün uyğun texnikaları, telemetriyanı, əməliyyat modelini və yerli sınaq nəticələrini nəzərə alın.
Tez-tez verilən suallar
Ovlama proqramının forması təşkilatın ölçüsü, məlumat həssaslığı və risk profilinə görə müəyyən edilir.
Kiber təhdid ovlama nədir və ənənəvi müdafiədən nə ilə fərqlənir?
Ovlama mütəxəssislərin şəbəkədə gizli qalmış ola bilən təhdidləri fəal araşdırmasıdır. Avtomatik siqnalları, analitik işi və insan təcrübəsini birləşdirərək alətlərin təkbaşına görmədiyi fəaliyyəti tapmağa çalışır.
Təşkilat ovlamanı nə qədər tez-tez aparmalıdır?
Tezlik təşkilatın ölçüsündən, məlumatlarının xarakterindən və risk profilindən asılıdır. Davamlı monitorinqi dövri intensiv ovlamalarla birləşdirmək mümkün modeldir; vaxt və əhatə resurslara və razılaşdırılmış məqsədə uyğun seçilir.
Xidmət təkliflərini müqayisə edərkən nə soruşmaq lazımdır?
Komanda təcrübəsi, texnologiya və məlumat mənbələri, fərdiləşdirilmiş əhatə, təhdid məlumatının aktuallığı, monitorinq və uyğunlaşma, bilik ötürülməsi, dəstək və müştəri təsdiqinin tələb olunduğu cavab tədbirləri barədə soruşun.