Corelight: NDR раскрывает цепочки атак между алертами SOC
Corelight заявила, что платформы NDR помогают SOC восстанавливать цепочку атаки между разрозненными алертами: сетевые данные на уровне протоколов связывают DNS-, LDAP-, SMB-, RDP- и HTTPS-события по времени, системам и участникам обмена. Компания также считает, что ИИ-расследованиям нужна именно такая доказательная база, а не только отдельные уведомления SIEM и конечных средств защиты.
Атака может развиваться в паузах между тревогами
В SOC инцидент нередко начинается с нескольких небольших сигналов: совпадения с хешем вредоносной программы, всплеска неудачных входов или подозрительной активности на конечной точке. На панели SIEM они могут выглядеть как отдельные события с близкими отметками времени.
Однако высокий приоритет алерта не обязательно означает начало компрометации. Злоумышленник способен находиться в инфраструктуре дни или недели, растягивая операции и используя привычные для администраторов инструменты и протоколы. Такой подход не требует, чтобы каждое действие выглядело аномальным.
В качестве примера Corelight описывает разведку через скомпрометированную учётную запись: атакующий с умеренной частотой запрашивает у контроллера домена данные LDAP, чтобы составить карту пользователей, групп и систем. Несколько запросов сервисных билетов Kerberos могут дать материал для офлайн-взлома учётных данных. Затем действительные учётные данные используются для SMB- или RDP-подключений между хостами.
Почему важна последовательность событий
По отдельности DNS-запрос, аутентификация или SMB-сеанс могут иметь законное объяснение. Иная картина возникает, когда один хост обращается к нескольким внутренним сервисам, входит на соседнюю систему, устанавливает SMB-сессию, а затем соединяется с внешним адресом.
Corelight также указывает на сценарий сбора файлов на внутренней системе с последующим сжатием и регулярной передачей наружу по HTTPS или DNS. Небольшие изменения интервалов способны сделать трафик похожим на обычный. Значение таких действий проявляется в их связях и порядке, а не в единственном уведомлении.
Для ретроспективной проверки необходимо хранить не только факт обмена трафиком. NDR-телеметрия с учётом протоколов показывает тип взаимодействия, участников, время и изменение отношений между системами. После алерта на рабочей станции аналитик может проверить предшествующие обращения к необычному домену, внутренние аутентификации и SMB-соединения, а также последующие зашифрованные сессии с внешними адресатами.
Роль ИИ в расследовании
По оценке компании, ИИ может искать связанные действия сразу по хостам, пользователям, протоколам и периодам времени, собирая релевантные данные за минуты вместо часов. Это не означает, что SOC должен понижать пороги детектирования и направлять в очередь каждый DNS-запрос или попытку входа: такой поток невозможно расследовать вручную.
Автоматизированный процесс в NDR должен выявлять контекст и связи, а аналитик — оценивать представленные доказательства и принимать решение о риске. Та же телеметрия может помочь при операционных сбоях: она показывает взаимодействовавшие сервисы, точку нарушения связи, затронутые зависимости и изменения вокруг события.
Практический вывод для бизнеса: при развитии SOC стоит оценивать не только число и тяжесть алертов, но и полноту сохраняемой сетевой телеметрии. Она позволяет проверить, был ли сигнал изолированной проблемой или частью более длинной последовательности, не превращая каждое штатное сетевое действие в инцидент.