Получив доступ к системе, злоумышленник первым делом пытается ослепить средства аудита, чтобы как можно дольше оставаться незамеченным. В этой статье мы с тобой попробуем ослепить Sysmon и сделать это максимально незаметно для штатного аудита Windows. Достичь этого нам позволят манипуляции с хендлами и дескрипторами безопасности.

Можно бесконечно наблюдать за тремя вещами: горящим огнем, текущей водой и событиями в операционной системе. И если в Windows средства мониторинга и журналирования уже хорошо изучены пользователями и системными администраторами, то в macOS с этим не все так просто. Сегодня мы поговорим о бесплатных инструментах отслеживания событий в «маке» и их практическом применении.

Рынок SIEM считается зрелым, но на нем регулярно появляются новые решения. SIEM, разработанный в «СёрчИнформ» – это молодой продукт, который противопоставляет себя рынку. Руководитель отдела аналитики «СёрчИнформ» Алексей Парфентьев рассказывает о том, в чем проблема применения SIEM сейчас, почему системы могут быть с настройками «из коробки» и какие функции он считает избыточными для SIEM.

При расследовании инцидентов важно установить точное время и способ компрометации системы, чтобы затем раскрутить весь ряд действий злоумышленника. Сегодня мы проделаем именно это, используя инструмент Timesketch.

Серьезные организации используют продвинутые защитные решения. Относительно недавно вендоры систем кибербезопасности представили новый класс решений, с которыми значительно легче выявлять и расследовать инциденты, изучать картину происходящего и блокировать атаки. Эти решения назвали XDR — eXtended Detection and Response.