Главная>Новости>Новости отрасли>MaxPatrol SIEM научилась выявлять атаки на доменную инфраструктуру и другие угрозы

01.02.2023

Посетителей: 32

Просмотров: 24

Время просмотра: 2.3

Апдейты получили четыре пакета экспертизы: «Атаки на Microsoft Active Directory», «Тактики „Повышение привилегий“ и „Организация управления“ (MITRE ATT&CK)», «Атаки с помощью специализированного ПО» и «Тактика „Закрепление“ (MITRE ATT&CK)».

 

В рамках обновления в MaxPatrol SIEM было добавлено 31 новое правило.

Наиболее важные правила в опубликованных обновлениях связаны, пожалуй, с обнаружением атак на Microsoft Active Directory. С подобными угрозами компании сталкиваются каждый день, их активно используют атакующие. В обновление также вошли правила выявления тех техник, которые применяются атакующими уже долгое время и не теряют своей актуальности.

 

Юлия Фомина,

старший специалист отдела обнаружения атак, Positive Technologies.

 

Загруженные в MaxPatrol SIEM обновления пакетов экспертизы помогут выявить: атаки на Microsoft Active Directory, которые позволяют злоумышленникам получить максимальные права в доменной инфраструктуре. Проблемы Microsoft Active Directory эксплуатируются атакующими в реальной жизни, в частности, с весны 2022 г. осуществляются атаки на службу сертификации (Active Directory Certificate Services, AD CS). Атакующие имеют возможность эксплуатации даже при установленных патчах, если шаблоны сертификатов настроены некорректно. Новые правила выявляют подобные атаки на всех стадиях: некорректная конфигурация шаблонов, эксплуатация и последующее использование полученного сертификата для дальнейшего горизонтального перемещения по инфраструктуре; эксплуатацию уязвимости Kerberos Relay в Microsoft Active Directory. Эта уязвимость использует особенности протокола доменной авторизации Kerberos, чтобы повысить права на любом доменном компьютере (от непривилегированной учетной записи до системных прав) и закрепиться в системе. Для детектирования этой активности в MaxPatrol SIEM загружены два новых правила; классическую атаку Silver Ticket на протокол Kerberos. Для детектирования таких атак в систему добавлено правило с новым способом обнаружения: по результатам ряда проведенных проектов red team и пентестов эксперты Positive Technologies нашли определенные аномалии в авторизациях пользователей по протоколу Kerberos; Эксплуатацию известной серии уязвимостей, получившей название Potato Vulnerabilities: Juicy Potato, MultiPotato, Remote Potato, Rogue Potato — это одно семейство уязвимостей, эксплуатация которых позволяет злоумышленникам повысить привилегии от сервисной учетной записи до системных прав; манипуляции с токенами для повышения привилегий в системе; эксплуатацию уязвимостей в службе печати Windows (CVE-2022-21999 и CVE-2022-30206), позволяющих атакующим повысить привилегии; использование классического метода повышения привилегий до системного уровня при наличии прав локального администратора — повышение через именованные каналы. Этот метод атаки по умолчанию предлагают такие фреймворки как Cobalt Strike, Metasploit, Empire.

 

Чтобы начать использовать новый пакет экспертизы, необходимо обновить MaxPatrol SIEM до версий 7.0 или 7.1 и установить правила из пакета экспертизы.

Уведомления об обновлении новостей – в вашей почте

Сайзинг: как нарастить мощности и не разочароваться

Что сайзинг дает бизнесу? С чего начать и как избежать типовых проблем? Советы от «Инфосистемы Джет».

Пентест CRM: как шкатулка с секретами превращается в ящик Пандоры

«Ширли-мырли» в CRM. Про недостатки в управлении пользовательскими сессиями: неограниченное время жизни, неконтролируемый выпуск токенов, отсутствие механизма отзыва и др. Конь троянский. Недостатки, связанные с загрузкой файлов и получением доступа к ним (от классической загрузки шелла и хранимой XSS в файле аватарки (SVG) до кейсов с S3 и CDN). Так и запишем. Чрезмерное и небезопасное логирование. К чему приводит бесконтрольная запись действий пользователя.

Осторожно, CRM: как мошенники используют систему себе во благо

Виды уязвимостей процессов в CRM-системах. Требования к антифрод-системе для защиты CRM.

Другие новости из этой рубрики

05
04

«Тинькофф» запустил сервис речевой аналитики для бизнеса

«Тинькофф» запустил сервис речевой аналитики, который позволяет бизнесу расшифровывать большие объемы телефонных звонков и улучшать работу колл-центров.

23
10

Создан промышленный ПК на базе процессора «Эльбрус-8С»

«Ростех» разработал компьютер «Эльбрус 801-К» на чипе «Эльбрус-8С».

18
10

5-тый SOC-форум пройдет в Москве

19-20 ноября 2019 года в Москве пройдет SOC-Форум, посвященный практике противодействия компьютерным атакам и построения центров мониторинга ИБ.

Спасибо!
Вы подписались на обновления наших статей
Предложить
авторский материал





    Спасибо!
    Вы подписались на обновления наших статей
    Подписаться
    на тему







      Спасибо!
      Вы подписались на обновления наших статей
      Оформить
      подписку на журнал







        Спасибо!
        Вы подписались на обновления наших статей
        Оформить
        подписку на новости







          Спасибо!
          Вы подписались на обновления наших статей
          Задать вопрос
          редактору








            Оставить заявку

            Мы всегда рады ответить на любые Ваши вопросы

            * Обязательные поля для заполнения

            Спасибо!

            Благодарим за обращение. Ваша заявка принята

            Наш специалист свяжется с Вами в течение рабочего дня