Rhadamanthys: от индикатора компрометации до расследования инцидента в SC SIEM
В практическом Workshop-видео показан полный сценарий расследования угрозы Rhadamanthys: от получения Threat Intelligence и индикатора компрометации до обнаружения события, формирования инцидента и дальнейшей работы аналитика в Security Capsule SIEM.
Это не обзор интерфейса, а последовательный SOC-сценарий, в котором внешний контекст угрозы превращается в рабочий процесс мониторинга и расследования.
От внешнего IOC — к проверке инфраструктуры
Информация о новых угрозах часто поступает в SOC из внешних источников киберразведки в виде отчётов, описаний кампаний и индикаторов компрометации.
Но сам факт получения IOC ещё не отвечает на главный вопрос: встречалась ли связанная активность внутри инфраструктуры организации.
В Workshop показан именно этот переход: от внешнего контекста Rhadamanthys к поиску признаков, событию безопасности, инциденту и дальнейшему расследованию в SC SIEM.
Три уровня одного расследования
Контекст угрозы
Анализируется информация о Rhadamanthys, связанные сущности и индикаторы компрометации, которые могут использоваться в дальнейшей проверке.
Обнаружение события
Демонстрационное событие передаётся в SC SIEM, после чего выполняется поиск и анализ связанной активности.
Расследование инцидента
Показывается переход от события к инциденту, карточке расследования и дальнейшим действиям аналитика SOC.
Пять шагов от Threat Intelligence до инцидента
Workshop построен как последовательный сценарий, чтобы показать взаимосвязь между внешним контекстом угрозы и практической работой аналитика внутри SIEM.
- 01 Threat Intelligence Получение контекста угрозы и индикаторов компрометации
- 02 Подготовка события Формирование безопасного демонстрационного события, имитирующего активность источника событий безопасности
- 03 Поиск в SC SIEM Обнаружение события и анализ связанных данных
- 04 Формирование инцидента Переход от выявленного события к карточке инцидента
- 05 Работа аналитика Проверка контекста, фиксация выводов и дальнейшие действия в процессе расследования
Rhadamanthys: от IOC до инцидента
В видео показан полный маршрут внутри рабочего процесса SOC — от исходного контекста угрозы до анализа сформированного инцидента.
От индикатора угрозы — к рабочему процессу SOC
Главная ценность сценария заключается не в отдельной проверке IOC, а в переходе от внешнего признака угрозы к полноценному процессу обработки инцидента.
Security Capsule SIEM объединяет события безопасности, правила корреляции, индикаторы компрометации и инструменты расследования в одном рабочем пространстве аналитика.
Что можно увидеть на одном практическом сценарии
- получение и первичную интерпретацию контекста угрозы;
- выделение индикатора компрометации для дальнейшей проверки;
- передачу демонстрационного события в SC SIEM;
- поиск и анализ события внутри системы;
- переход от события к сформированному инциденту;
- работу с карточкой расследования;
- анализ связанного контекста;
- дальнейшие действия аналитика в процессе SOC.
Хотите проверить такой сценарий на своей инфраструктуре?
Проведём демонстрацию, разберём ваши сценарии обнаружения и покажем, как Security Capsule SIEM связывает события, индикаторы, корреляцию и расследование.
Подробнее о SC SIEM