Angara Security разработала ML-решение для повышения эффективности мониторинга в SOC-центрах
Анализ событий информационной безопасности при помощи правил детектирования и корреляции в SIEM-системах пока остается одним из основных способов выявления вредоносной активности в ИТ инфраструктуре. На практике такой подход не всегда эффективен для обнаружения техник злоумышленников, связанных с большой вариативностью, так как создание и поддержание набора правил для всех известных процедур едва ли возможно.
Компания Angara Security разработала решение на базе нейронной сети, которое интегрируется с SIEM-системой. Сконструированная нейронная сеть состоит из комбинированных слоев, свойственных как сверточным сетям (Convolutional Neural Networks), так и рекуррентным (Recurrent Neural Networks). Разработанное решение стало лауреатом премии Digital Leaders Award 2024 года в номинации «Разработка года» в сфере информационной безопасности.
Решение позволяет дополнить классические методы анализа событий информационной безопасности и с высокой точностью определять вредоносную активность по характерным паттернам, выявленным ML-моделью. Такой подход в ряде сценариев расширяет перечень детектируемых процедур, а также помогает избежать необходимости писать отдельные правила детектирования для каждой новой утилиты или процедуры.
«ML-модели являются отличным вспомогательным инструментом в работе аналитиков, так как с одной стороны позволяют расширить возможности по детектированию активности злоумышленников, с другой – автоматизировать часть процессов и высвободить ресурсы для задач, требующих участия человека», − комментирует Артем Грибков, заместитель директора Angara SOC по развитию бизнеса.
В настоящее время ML-модель используется для трех сценариев. В первую очередь, для выявления PowerShell-скриптов, которые активно используются злоумышленниками при проведении атак. Эксперты Angara SOC отмечают, что существует большое количество инструментов на языке PowerShell, которые могут применяться как в составе ВПО, так и непосредственно злоумышленником при компрометации системы. PowerSploit, Empire, Nishang – это лишь малая часть общеизвестных коллекций подобных утилит для автоматизации действий злоумышленника, направленных на сбор информации, эксплуатацию уязвимостей, повышение привилегий и т.д. Кроме того, во многих организациях IT-службы используют и легитимные скрипты для автоматизации администрирования. Отличить легитимное от вредоносного иногда довольно сложно, а проанализировать миллионы скриптов для написания правил скорее невозможно».
Второй сценарий использования – это выявление DGA-доменов и DNS-туннелирования. Классические методы анализа DNS-имен часто сопряжены с большим количеством ложноположительных срабатываний. Также среди злоумышленников популярны инструменты, которые позволяют генерировать доменные имена, на первый взгляд очень похожие на легитимные, что фактически делает автоматическое выявление вредоносных DNS-имен невозможным. ML-решение позволяет эффективно справляться с этой задачей.
Третий сценарий – анализ журналов веб-серверов. Использование ML-модели возможно как дополнение к средствам класса WAF или в качестве альтернативы в системе эшелонированной защиты web-ресурсов.
похожие материалы
Пассворк стал первым менеджером паролей в России c сертификацией ФСТЭК
Компания Пассворк объявила о получении сертификата ФСТЭК России № 5063 по 4-му уровню доверия.
«Лаборатория Касперского» и hh.ru выяснили, как компании выстраивают киберзащиту и обучают сотрудников
Российские компании планомерно выстраивают системный подход к обучению сотрудников кибербезопасности.
Доход обещают пассивный, а списание вполне реальное
МВД предупредило о мошеннической схеме с «пассивным заработком» на VPS-серверах.
Дешевле агрегатора, но без защиты: «серое» такси ушло в чаты на миллионы пользователей
В России за два года почти втрое выросло число чатов, групп и сообществ с нелегальными и «серыми» такси.
Разработчики говорят, что ИИ помогает работать быстрее, но оценки могут быть завышены
Специалисты METR опубликовали исследование о том, как технические специалисты оценивают влияние ИИ-инструментов на свою продуктивность.
Больше половины банков используют устаревшие ИТ-системы
Согласно исследованию RED Security, в большинстве отечественных банков существуют системные проблемы с кибербезопасностью, создающие риски для бизнеса на фоне растущей активности хакеров и мошенников.
Эксперт компании «Газинформсервис»: «Принято считать, что кибербезопасность глобальна, но хакеры специализируются на конкретных странах»
Исследователи обнаружили, что новый банковский троян TCLBanker способен самостоятельно распространяться по принципу сетевого червя как через один из мессенджеров, так и через почтовый клиент Microsoft Outlook, рассылая фишинговые сообщения от имени заражённых пользователей.
«АйТи Бастион» присоединился к Ассоциации РУССОФТ
Российский разработчик решений в области защиты привилегированного доступа и автоматизации «АйТи Бастион» вошел в Ассоциацию разработчиков программного обеспечения РУССОФТ — одному из крупнейших объединений ИТ-компаний страны, участвующему в развитии отечественной ИТ-индустрии и продвижении российских технологий на внутреннем и зарубежных рынках.
Российским разработчикам рекомендуют переходить с GitHub на российские платформы
Депутат Госдумы по информационной политике Антон Горелкин заявил, что российским разработчикам стоит переносить проекты с GitHub в другие репозитории.
IV Форум «Технологии доверенного искусственного интеллекта»
В Москве 13 мая проходит IV Форум «Технологии доверенного искусственного интеллекта» — авторитетная площадка по научным, прикладным и законодательным аспектам разработки и применения решений на базе ИИ.