T1204 User Esecution это самый частый способ проникновения - запуск вредоносного кода самим пользователем

Посмотрел отчет JET CSIRT и решил перечитать как мировое сообщество предлагает защищаться от топовой техники в отчете: User Execution, когда сам пользователь запускает вредоносный код, под воздействием хакера. По сути это про социальную инженерию.

Самое простое для ответа - зайти в описание техники Е1204 на сайте 

И в общем в базе все логично пишут коллеги

Обычно предлагается для защиты использовать бесплатные методики в Windows SRP или Applocker и в общем методика белых списков - до сих пор рабочий инструмент. Автор блога и Петр Губаревич делали вебинар на тему практического использования SRP.

Обучение сотрудников не так эффективно, как мы выяснили в разговоре со специалистом по Security Awareness Ольгой Лимоновой на интервью с ней.

Контроль скачиваемого по сети софта и исходящих от клиентов внешних подключений - эффективный метод, который реализован внутри NGFW и IPS.

Сегодня для этого есть полный комплект:
- URL фильтрация - позволяет заблокировать подключения к фишинговым и вредоносным сайтам;
- SSL расшифрование позволяет увидеть файлы и атаки внутри протокола SSL и TLS,
- потоковый антивирус, позволяет проверить и заблокировать файлы прямо в сетевом трафике для всех устройств в сети;

- песочница, активно дополняет антивирус и выявляет новые, ранее неизвестные образцы вредоносного кода;
- база IoC, которую обычно называют умным словом Threat Intelligence (TI), позволяет выявить подключения к известным центрам управления бот-сетями, криптолокерами и спам серверами;
- ML для DGA DNS запросов, дополняет TI базу, поскольку позволяет выявлять активно перемещающиеся центры управления
- контроль приложений (DPI), позволяет увидеть неожиданные подключения, которые обычно не делают сервера и даже некоторые сотрудники.

О работе NGFW и сегментации для блокировки этой угрозы и реализации многоэшелонированной защиты, также есть короткий видеоролик https://www.youtube.com/watch?v=lj3_ZE5DRgM

Ну и конечно топовыми сегодня являются поведенческие техники, обычно они сегодня реализованы на базе EDR, XDR или в SIEM.

Заходите в телеграмм канал Топ Кибербезопасности, обсудим!

А что делать, если вы знаете кто вас атакует?

Существуют компании, которые постоянно под атакой. То есть они та самая лакомая цель. И они про это в курсе и здесь роль безопасника именно в реальной защите, а не в перекладывании бумажек. Причем, бывает, что вы даже знаете кто вас атакует: конкуренты или соседние государства. Эти люди даже пишут в своем блоге об успешной атаке на вас. А когда это те самые избранные государства, о которых нельзя говорить и которым все можно, то вспомните как подозрительно промолчали все по поводу того, кто же взломал Лабораторию Касперского при помощи Duqu2.
И какой подход в этом случае применять, когда вы знаете что вас атакуют и даже знаете кто? Такая конференция совершенно необходима и мы ее организовали.

Подключайтесь 7 апреля в 11 утра на онлайн выступление экспертов по целенаправленным атакам. Я его модерирую. Регистрация тут.

Напоминаю! Почта, это не только SMTP!

Существует народное поверье, формируемое некоторыми производителями, что защищать нужно только почту, которая идет по SMTP. Хакеры благодарны им конечно и заражают корпорации через электронные письма, которые сотрудники принимают по HTTPS, POP3 и IMAP. Такая типовая ошибка настолько распространена, что я вынужден написать об этом после очередного случая заражения. Напоминаю! Почта, это не только SMTP!

По информации аналитиков UNIT42, действительно, облачные песочницы Palo Alto Networks видят самым популярным приложением по доставке zero day именно SMTP, но это же не означает, что нужно игнорировать остальные приложения.