Главная мысль
Правила обнаружения помогают находить известные шаблоны; поиск угроз исследует подозрительную активность, даже если автоматического оповещения нет. Рабочий процесс связывает гипотезу, подходящую телеметрию, проверку аналитиком и использование выводов в правилах обнаружения.
Как обнаружение дополняет поиск угроз
Обнаружение угроз анализирует события в сети, приложениях и на конечных устройствах, чтобы выявлять признаки компрометации. Сигнатуры и правила находят известные шаблоны, а анализ поведения может выявить отклонения от обычной активности. Специалисты по поиску угроз исследуют системы и сети в поисках активности, которая могла остаться незамеченной без автоматического сигнала. Эти подходы дополняют друг друга: инструменты предоставляют сигналы и данные, аналитик проверяет контекст, а выводы улучшают последующее обнаружение и реагирование. Поиск скрытых признаков может сократить время незамеченного присутствия злоумышленника (dwell time), если данные позволяют это выявить и команда действует по результатам.
Четыре подхода к обнаружению
Один метод не выявляет всю активность. Сочетание данных об угрозах, поведенческих сигналов и расследования специалиста расширяет видимую картину.
Данные об угрозах и сигнатуры
Сигнатуры вредоносного ПО, индикаторы компрометации (IOC), а также тактики, техники и процедуры (TTP) злоумышленников сопоставляются с наблюдаемыми данными. Метод помогает выявлять известные угрозы; для новых или изменённых действий нужны дополнительные средства анализа и расследование. Такие правила могут применяться в антивирусах, SIEM, IDS и веб-прокси.
Анализ поведения
Изучаются обычные шаблоны работы пользователя, например время и место входа. Вход учётной записи из ранее не встречавшегося места вне рабочего времени может стать сигналом для проверки. Средства вроде EDR предоставляют контекст активности конечного устройства, могут предупредить администратора и запустить предусмотренное политикой действие. Записи событий помогают аналитику связать время и источник входа с последующей активностью.
Системы-ловушки
Команда безопасности может разместить учётную запись или ресурс-ловушку для привлечения злоумышленника. Настроенный мониторинг может сообщить об обращении к этому ресурсу. Такой сигнал помогает начать исследование действий и методов, но сам по себе не доказывает атаку. Ограничьте доступ ловушки к реальным данным и рабочим системам.
Проактивный поиск
Аналитики используют данные SIEM, EDR, сети и приложений, чтобы искать подозрительную активность, ещё не вызвавшую оповещение. Поиск может опираться на сведения об угрозе, конкретную технику атаки или наблюдение за средой. Применяются ручные и автоматизированные методы.
Гипотеза и модели поиска
Начинайте поиск с проверяемого вопроса: какое поведение ожидается, в каких системах оно может проявиться и какие данные помогут это проверить? Гипотезу формируют знание среды, прошлые расследования, сведения об угрозах и опыт аналитика. Такие рамки, как MITRE ATT&CK, помогают связать поведение с известными техниками, а Cyber Kill Chain — рассмотреть этапы атаки.
Структурированный
Используется заранее определённая методика и последовательность; расследование может строиться по ATT&CK или Cyber Kill Chain. Семь этапов модели Lockheed Martin: разведка, подготовка оружия, доставка, эксплуатация, установка, командование и управление, достижение цели.
Неструктурированный
Аналитик опирается на опыт и начинает с сигнала, аномалии или наблюдения, исследуя новый контекст по ходу работы.
На основе разведданных
Актуальные сведения об угрозах и активной эксплуатации задают направление поиска действий и инструментов конкретного злоумышленника.
Нацеленный на важные объекты
При ограниченных времени и ресурсах внимание уделяется ценным для злоумышленника объектам: системам аутентификации, хранилищам данных и облачной инфраструктуре.
Поиск по технике атаки
Выбирается конкретная техника атаки, после чего в среде ищут соответствующие ей действия.
Регулярный процесс
Организуйте поиск как регулярный и совершенствуемый процесс, а не как случайную работу «когда появится время».
Технологии и данные
Защита конечных устройств, автоматическое обнаружение и достаточная телеметрия создают основу для изучения аномалий, необычных шаблонов и следов атаки.
Подготовленные специалисты
Поиск требует аналитического мышления, решения задач и навыков криминалистического расследования. Заранее определите роль, время и ответственного за эскалацию.
Доступ к данным об угрозах
IOC, классификации атак и сведения о группах угроз помогают формировать гипотезы и приоритеты; актуальность каждого источника следует оценивать отдельно.
Процесс поиска от гипотезы до реагирования
План поиска превращает наблюдение в проверяемый вопрос. Поводом может стать гипотеза, оповещение или подозрение в отношении конкретной системы. Фиксируйте данные, решения и следующие действия, чтобы команда могла повторить расследование или передать его коллегам. Автоматизация может ускорить сбор данных, упорядочить поток сигналов по уровню риска и выполнять небольшие рутинные ответные действия, освобождая аналитиков для сложного расследования.
Сформулируйте гипотезу
Определите подозрительное поведение и возможную связь со злоумышленником, его тактиками, техниками и процедурами (TTP) или особенностью среды. Учитывайте разведданные, знание среды, прошлый опыт и альтернативные объяснения.
Соберите и подготовьте данные
Выберите данные конечных устройств, сети, идентификации и журналов, необходимые для проверки гипотезы; зафиксируйте охват и пробелы доступности. SIEM может помочь со сбором и анализом.
Запустите поиск и проверьте данные
Выполняйте запросы по системам и участкам сети, связанным с исходной гипотезой или сигналом. Сопоставляйте время, пользователя, устройство и связанные события, чтобы отличить обычную активность от подозрительных шаблонов.
Углубите расследование
Изучайте потенциальную аномалию с помощью EDR и других средств расследования. Подтвердите или опровергните гипотезу, определите затронутые активы и возможный масштаб; сохраните доказательства и задокументируйте неопределённость.
Отреагируйте и примените выводы
Если вредоносная активность подтверждена, передайте результаты команде реагирования на инциденты. Сохраняя доказательства и действуя в рамках полномочий и политики, рассмотрите удаление вредоносных файлов, восстановление изменённых файлов, обновление правил межсетевого экрана или IPS, установку исправлений и изменение конфигурации. Добавьте индикаторы в средства обнаружения и зафиксируйте вопросы для следующих поисков.
Превратите индикаторы в данные для дальнейшего поиска
Добавьте подтверждённые индикаторы и шаблоны поведения в подходящие сенсоры и правила обнаружения. Сенсор реального времени может быть полезен, но его внедрение требует ресурсов и технической готовности.
Методы анализа и вопросы для поиска
Аналитические методы помогают искать отклонения в наборах данных. Анализ объёма и частоты может выявить, например, периодические соединения с сервером управления (beaconing). Группировка, кластеризация и подсчёт записей с общими признаками (stacking) показывают сходства и статистические выбросы. Отдельное отклонение ещё не доказывает вредоносную активность.
Анализ объёма
Выявляет отклонения по объёму данных. Вопросы: сколько данных конечные устройства отправляют из сети? Какое устройство отправило больше всего? Для какого внешнего IP заблокировано больше всего соединений? На каких системах самые длинные сеансы и больше всего сигналов антивируса?
Анализ частоты
Показывает, как часто происходит событие на устройстве или в сети. Вместе с анализом объёма помогает выявить необычные повторения, в том числе периодические соединения с сервером управления.
Кластерный анализ
Совместно анализирует характеристики узлов и сети, чтобы обнаружить необычное число повторений обычного поведения или неожиданные кластеры.
Группировка
Рассматривает сочетание нескольких выбранных признаков и помогает выявить комбинации, характерные для инструментов или методов злоумышленника.
Stacking — сопоставление похожих записей
Записи с общими признаками объединяются и сравниваются со всем набором, чтобы выявлять статистические выбросы. Примеры: строки user-agent, высокие эфемерные порты, имена и пути файлов, установленные программы, имена процессов и пути их запуска по подразделениям.
Примеры инструментов для расследования
Выбирайте инструмент под конкретный вопрос поиска и проверяйте полученный результат. Ниже приведены примеры средств для разных задач; перед применением проверьте актуальную версию, поддержку и соответствие политике организации.
CyberChef
Объединяет операции анализа и декодирования с их параметрами в повторно используемый «рецепт». Эта последовательность применяется к входным данным, а результат отображается отдельно.
Phishing Catcher
Открытый прототип, который ищет возможные фишинговые домены по данным TLS-сертификатов из журналов Certificate Transparency через CertStream. Оценка подозрительности служит сигналом для проверки; использование домена для фишинга нужно подтвердить отдельно.
DNSTwist
Создаёт варианты заданного доменного имени с опечатками и похожими символами, затем проверяет, используются ли они. Поддерживает интернационализированные доменные имена. Сходство домена — повод для проверки, а не самостоятельное доказательство вредоносной активности.
AttackerKB
AttackerKB использовалась для анализа и приоритизации уязвимостей. Rapid7 закрыла отдельную публичную платформу; её домен теперь перенаправляет в Rapid7 Vulnerability and Exploit Database. Новые технические разборы ищите в блоге Rapid7 и базе уязвимостей.
YARA
Средство сопоставления на основе правил. Правила YARA можно подключать к совместимым средствам безопасности, чтобы искать определённые семейства вредоносных программ или чувствительные документы.
Оценка компрометации и постоянный поиск
Оценка компрометации — это ограниченное по объёму расследование сети и конечных устройств на предмет доказательств текущей или недавней несанкционированной активности. Его могут начать при подозрении на компрометацию. Поиск угроз — повторяющаяся работа по гипотезам, поведению или разведданным без привязки к одному эпизоду. Тестирование на проникновение проверяет меры защиты; поиск угроз не является его обязательным продолжением и планируется отдельно.
Критерии оценки
Эффективность: выявляются ли известное вредоносное ПО, средства удалённого доступа и подозрительное поведение? Скорость: как быстро проверяется охваченная среда с помощью инвентаризации и стандартных способов доступа? Стоимость: понятна ли фиксированная цена на устройство или модель периодических проверок? Независимость: подтверждаются ли результаты проверкой, не зависящей только от действующих средств и команды?
Результаты и периодичность
От оценки можно ожидать выявления серьёзных уязвимостей, действий злоумышленника или вредоносной логики, а затем рекомендаций по реагированию и материалов для расследования. Такая работа не заменяет полное криминалистическое исследование. Ежемесячная проверка — один из возможных вариантов планирования; периодичность согласуется с учётом риска, охвата и ресурсов.
Выбор по задаче
Если нужны доказательства текущей или недавней компрометации, задайте объём оценки. Для регулярного исследования аномалий поведения и активности, обошедшей защиту, организуйте программу поиска угроз. Выявленная подозрительная активность может потребовать реагирования на инцидент и более глубокого криминалистического исследования.
Семь критериев оценки поставщика услуги
При сравнении предложений закрепите каждый критерий в письменном описании охвата и распределении обязанностей.
Опыт и компетенции
Уточните опыт команды в применяемых методах, системах, похожих на вашу среду, и обосновании выводов расследования.
Технологии
Уточните применяемую аналитику, EDR, источники данных и разведданные об угрозах, а также ограничения хранения и интеграции.
Настройка под среду
Согласуйте, как охват адаптируется к сети, бизнес-целям и требованиям безопасности, а также кто утверждает изменения.
Данные об угрозах
Узнайте, как обновляются источники, оценивается их актуальность и как разведданные влияют на решения о поиске.
Непрерывность и адаптация
Уточните часы мониторинга, передачу смен, периодические углублённые расследования и порядок обновления плана при появлении новых угроз или изменении среды.
Обучение и передача знаний
Определите формат передачи выводов, методов и рекомендаций внутренней команде и способы её участия в процессе.
Поддержка и взаимодействие
Письменно согласуйте контактных лиц, канал срочных уведомлений, получателей отчётов, время ответа и действия, требующие согласия клиента.
Наблюдение и знания при поиске на конечных устройствах
Поиск угроз на конечных устройствах изучает данные об устройствах и пользователях в поисках неизвестной активности. Эти четыре ситуации помогают выбрать, какие данные и контекст проверить.
Известное и наблюдаемое
Характер угрозы известен, и её активность видна в системе; требуется подтвердить её и определить охват.
Возможное, но ещё не наблюдаемое
Средства защиты пока не видят конкретных признаков угрозы, но известный риск или уязвимость создают вероятность проникновения; проверьте подходящие источники данных.
Наблюдаемое, но пока не объяснённое
Система обнаружила неизвестную активность, но её природа и способ устранения неясны; нужны контекст и расследование.
Не наблюдаемое и неизвестное
Неизвестны и сама активность, и её характер; пробелы телеметрии и поведение, обходящее правила, затрудняют обнаружение.
Что может улучшить поиск угроз
При оценке фиксируйте, какие системы и данные проверены по гипотезе, получены ли полезные выводы, созданы ли новые правила обнаружения и завершены ли согласованные исправления.
Более раннее обнаружение
Исследование подозрительной активности без оповещения может сократить время до обнаружения скрытой угрозы.
Более полный контекст
Аналитик может связать события конечных устройств и сети, чтобы лучше понять возможный ход атаки и затронутые активы.
Приоритеты реагирования и восстановления
Результаты расследования могут помочь обосновать ответные меры, восстановление файлов, исправления и изменения конфигурации.
Улучшение защиты и накопление опыта
Выводы полезно преобразовать в правила обнаружения, процедуры, обучение сотрудников и новые гипотезы для поиска.
Данные и доверие
Аналитики могут связать события, защитить данные, оценить последствия инцидента и скоординировать восстановление.
Совместная проверка red и blue team
В согласованном и безопасном сценарии red team выполняет действия, blue team проверяет обнаружение и реагирование, а purple-team координация совместно разбирает телеметрию, правила и решения. Исправьте пробелы и повторите сценарий; не измеряйте результат только цветом ячейки на карте.
Как читать карты ATT&CK и результаты оценок
ATT&CK классифицирует тактики и техники, а Navigator помогает визуализировать заметки и оценки в слоях. Закрашенная ячейка сама по себе не доказывает обнаружение. При оценке охвата отдельно проверьте актуальность угрозы для организации, наличие нужной телеметрии, работу аналитики и результат проверки в сценарии.
Результаты ATT&CK Evaluations
Перед интерпретацией результатов проверьте год и раунд оценки, сценарий, конфигурацию участника и то, что измеряет методика подсчёта баллов именно этого раунда. В раунде Enterprise 2026 введён Total Evaluation Score (TES); не сравнивайте его напрямую с другими показателями прежних раундов. Результаты относятся только к проверенному охвату и конфигурации. Учитывайте применимые для вашей среды техники, телеметрию, операционную модель и результаты локальных тестов.
Часто задаваемые вопросы
Формат программы поиска определяется размером организации, чувствительностью данных и профилем риска.
Что такое поиск киберугроз и чем он отличается от традиционной защиты?
При поиске специалисты активно исследуют угрозы, которые могли остаться скрытыми в сети. Он сочетает автоматические сигналы, аналитическую работу и опыт людей, чтобы искать активность, которую инструменты могли не заметить.
Как часто организации следует проводить поиск угроз?
Периодичность зависит от размера организации, характера данных и профиля риска. Возможная модель — непрерывный мониторинг вместе с периодическими углублёнными поисками; время и охват выбираются с учётом ресурсов и согласованной цели.
Что спросить при сравнении предложений?
Спросите об опыте команды, технологиях и источниках данных, настройке охвата, актуальности разведданных, мониторинге и адаптации, передаче знаний, поддержке и мерах реагирования, требующих согласия клиента.