Халдлагын векторуудыг (Attack vectors) хэрхэн удирдах вэ?
Энэ хуудсыг AI-аар орчуулж, автоматаар шалгасан. Нарийн тохиргоо хийхээсээ өмнө англи эхтэй тулгаж болно.
Attack vector (халдлагын вектор) бол PHASR-ийн халдлагын боломжит хувилбаруудыг тодорхойлж, халдлагын гадаргууг багасгахад тусалдаг механизм юм. Вектор тус бүр олон зөвлөмж үүсгэж болно.
PHASR attack vectors хуудас таны орчинд одоо хянагдаж буй халдлагын векторуудыг жагсаана. Энэ хуудаснаас нэг удаад нэг векторын үйл ажиллагааг судалж, хандалтыг удирдана. Олон векторыг нэг дор удирдахыг хүсвэл PHASR MITRE Grouping-ийг ашиглана.
- View options (Харагдац сонгох) цэс. Энэ хэсэг smart view-тэй ажиллах хэд хэдэн үйлдэл агуулна:
- Save — одоогийн smart view-г хийсэн өөрчлөлттэй нь хадгална.
- Save as — одоогийн smart view дээр үндэслэн шинэ smart view үүсгэнэ.
- Discard changes — хадгалаагүй бүх өөрчлөлтийг сүүлд хадгалсан хувилбар руу буцаана.
- Add to favorites — хадгалсан smart view-г дуртай жагсаалтад нэмнэ.
- Show or hide filters — шүүлтүүрийн цэсийг нууж эсвэл харуулна.
- Open settings — Settings самбарыг нээнэ.
Энэ самбараар харагдац дахь баганыг тохируулж, Compact (товчилсон) харагдацыг идэвхжүүлж эсвэл идэвхгүй болгож болно.
- Smart views хэсэг. Smart view нь PHASR attack vectors хуудсыг өөрт тохируулах боломж олгоно. Өөрийн харагдацаа үүсгэж эсвэл бэлэн харагдацыг ашиглаад хүссэн үедээ хурдан сэлгэнэ.
- Filters хэсэг. Доорх хүснэгтэд ямар халдлагын вектор харагдахыг эдгээр сонголтоор тохируулна.
Одоогоор дараах шүүлтүүрүүд байна:
- Company — хайлттай жагсаалтаар векторыг харьяалагдах компанийн нэрээр шүүнэ. Сонгосон компанийн векторууд л харагдана. Энэ шүүлтүүр зөвхөн Partner (түнш) компаниудад байна.
- Vector name — хайлттай жагсаалтаар векторыг нэрээр нь шүүнэ. Сонгосон векторууд л харагдана.
- Vector trigger date — календараас хоёр огноо сонгоно. Сонгосон хоёр огнооны хооронд идэвхжсэн векторууд л харагдана.
- Unrestricted behavioral profile identities — хайлттай жагсаалтаар векторыг холбогдох identity-н нэрээр шүүнэ. Сонгосон identity-тэй холбоотой векторууд л харагдана.
- Unrestricted behavioral profile resources — хайлттай жагсаалтаар векторыг холбогдох resource-ийн нэрээр шүүнэ. Сонгосон resource-той холбоотой векторууд л харагдана.
- Targeted activity type — жагсаалтаас векторыг чиглэсэн үйл ажиллагааны төрлөөр шүүнэ. Сонгосон үйл ажиллагааны төрлийг чиглэсэн векторууд л харагдана.
- Attack vectors table (халдлагын векторуудын хүснэгт). Хүснэгт идэвхтэй PHASR халдлагын бүх векторыг харуулна.
Вектор бүрийн мэдээллийг дараах багануудаар харуулна:
- Attack vector — векторын нэр.
Нэр дээр дарвал Vector details хажуугийн самбар нээгдэнэ.
- Recommendations — энэ вектор дээр үндэслэн үүссэн зөвлөмжийн тоо.
Энэ баганын утга дээр дарвал PHASR recommendations хуудас нээгдэж, зөвхөн энэ векторын үүсгэсэн зөвлөмжийг харуулна.
- Trigger date — векторын хамгийн сүүлд идэвхжсэн огноо, цаг.
- Targeted activity type — векторын хамаарах үйл ажиллагааны төрөл.
- Triggers — энэ векторыг идэвхжүүлсэн үйл явдлын тоо.
Утга дээр дарвал Triggers хажуугийн самбар нээгдэнэ.
- Unrestricted behavioral profiles — энэ векторын хувьд хандалт нь хязгаарлагдаагүй behavioral profile-ийн тоо.
Энэ баганын дүрс дээр дарвал холбогдох хэрэглэгч, төхөөрөмжийг жагсаасан Behavioral Profiles хажуугийн самбар нээгдэнэ.
> Тэмдэглэл: Энэ хэсэг PHASR-ийн одоогоор илрүүлсэн profile-уудыг жагсаана. Гэхдээ тэдгээрийн суралцах үйл явц дууссан гэсэн үг биш. Систем өгөгдөл цуглуулж, шинжилсээр байх тул шинэ profile нэмэгдэж болно.
- Restricted behavioral profiles — энэ векторын хувьд хандалт нь хязгаарлагдсан behavioral profile-ийн тоо.
Энэ баганын дүрс дээр дарвал холбогдох хэрэглэгч, төхөөрөмжийг жагсаасан Behavioral Profiles хажуугийн самбар нээгдэнэ.
- MITRE tactics — халдлагын вектор харьяалагдах MITRE Tactics.
> Тэмдэглэл: Шүүлтүүрийн сонголтуудын талаар дэлгэрэнгүйг Filters хэсгээс үзнэ үү.
- Actions menu (үйлдлийн цэс) — мөр доторх цэсийн товчийг дарвал тухайн халдлагын векторт хийх боломжтой үйлдлүүд харагдана:
- View/edit access — сонгосон халдлагын векторын Edit access урсгалыг нээнэ. Одоогийн хязгаарлалтын төлвийг харж, хэлтэс, хэрэглэгч эсвэл тус тусын behavioral profile-д Restrict (хязгаарлах) эсвэл Do not restrict (хязгаарлахгүй) шийдвэр гаргана. Autopilot-ийн өмнө гаргасан хандалтын шийдвэрийг энэ урсгалаар дарж өөрчилж болно.
Векторын дэлгэрэнгүйг харах нь
Векторын нэмэлт мэдээллийг Vector details хажуугийн самбараас харна. Нээхийн тулд Vector name баганаас векторын нэр дээр дарна:
Самбар дараах хэсгүүдтэй:
- General — энэ хэсэг дараах мэдээллийг агуулна:
- Target activity type — вектор чиглэсэн үйл ажиллагааны төрөл.
- Vector trigger date — векторын хамгийн сүүлд идэвхжсэн огноо, цаг.
- Vector triggers — энэ векторыг идэвхжүүлсэн үйл явдлын тоо.
Утга дээр дарвал Vector triggers хажуугийн самбар нээгдэнэ.
- Recommendations — энэ вектор дээр үндэслэн үүссэн зөвлөмжийн тоо.
Утга дээр дарвал PHASR recommendations хуудас нээгдэж, зөвхөн энэ векторын үүсгэсэн зөвлөмжийг харуулна.
- Behavioral profiles — энэ халдлагын вектор хамаарах behavioral profile-ийн тоо.
Дүрс дээр дарвал холбогдох хэрэглэгч, төхөөрөмжийг жагсаасан Behavioral Profiles хажуугийн самбар нээгдэнэ.
- Restricted behavioral profiles — энэ векторын хувьд хандалт нь хязгаарлагдсан behavioral profile-ийн тоо.
Дүрс дээр дарвал холбогдох хэрэглэгч, төхөөрөмжийг жагсаасан Behavioral Profiles хажуугийн самбар нээгдэнэ.
- Incidents involving vector triggers — энэ вектор идэвхжсэний улмаас нээгдсэн incident-үүдийн жагсаалт.
Incident-ийн нэр дээр дарвал шинэ хөтчийн табд Incidents хуудасны Graph таб нээгдэнэ.
- Vector description — векторыг тайлбарлаж, хэрхэн хамаарахыг харуулна.
- Edit access — сонгосон халдлагын векторын хандалт засах урсгалыг нээнэ.
Хандалтыг харах, засах
Тодорхой халдлагын векторын хандалтыг харж, өөрчлөхдөө Edit access урсгалыг ашиглана. Урсгалыг эхлүүлсэн халдлагын вектор автоматаар сонгогдох бөгөөд бүх өөрчлөлт зөвхөн тэр векторт үйлчилнэ.
Хандалтыг засахын тулд дараах алхмыг дагана:
- PHASR attack vectors хуудас руу орно.
- Удирдахыг хүссэн халдлагын векторыг олоод Vector name баганаас нэр дээр нь дарна.
Vector details хажуугийн самбар нээгдэнэ.
- Edit access-ийг сонгоно.
Эсвэл халдлагын векторын үйлдлийн цэсийг нээгээд View/edit access-ийг сонгоно.
Сонгосон халдлагын вектортой Edit access урсгал нээгдэнэ.
- Target type хэсэгт хандалтыг ямар түвшинд удирдахаа сонгоно:
- Departments — сонгосон хэлтсүүдэд одоо байгаа бүх хэрэглэгчид шийдвэрийг хэрэгжүүлнэ.
- Users — хэлтсээс үл хамааран сонгосон хэрэглэгчдэд шийдвэрийг хэрэгжүүлнэ.
- Behavioral profiles — хэрэглэгч-төхөөрөмжийн тус тусын profile-д шийдвэрийг хэрэгжүүлнэ.
Сонгосон target type-д тохируулан хүснэгт шинэчлэгдэнэ.
> Тэмдэглэл: PHASR хэлтсийн мэдээллийг Active Directory-ийн Department талбараас авч, зөвхөн хянагдаж буй хэрэглэгчдэд харуулна. Төгсгөлийн төхөөрөмж Active Directory-д хандах эрхтэй, талбар нь утгатай байх ёстой. Үгүй бол хэрэглэгч PHASR recommendations болон PHASR attack vectors хуудсанд Unassigned бүлэгт харагдана.
- Удирдахыг хүссэн хэлтэс, хэрэглэгч эсвэл behavioral profile-ээ олохын тулд боломжтой шүүлтүүрүүдийг ашиглана.
- Элемент бүрийн Restriction status (хязгаарлалтын төлөв)-ийг шалгана. Сонгосон target type-аас хамаарч төлөв дараах байж болно:
- Restricted — хамрагдсан бүх behavioral profile-д хандалт хязгаарлагдсан.
- Unrestricted — хамрагдсан бүх behavioral profile-д хандалт зөвшөөрөгдсөн.
- Custom — хамрагдсан behavioral profile-уудын хязгаарлалтын төлөв өөр өөр.
- Дараах шийдвэрийн аль нэгийг хэрэгжүүлнэ:
- Restrict — сонгосон халдлагын векторын хандалтыг хязгаарлана.
- Do not restrict — сонгосон халдлагын векторын хандалтыг зөвшөөрнө.
Хэрэв өмнө нь Autopilot өөр шийдвэр гаргасан бол таны гараар хэрэгжүүлсэн шийдвэр түүнийг дарж өөрчилнө. Дарж өөрчилсний дараа ч PHASR хянаж, суралцсаар байна.
Шийдвэрийг мөр мөрөөр нь эсвэл Apply to all-оор хэрэгжүүлж болно. Хүснэгтийг шүүсэн үед энэ товч Apply to filtered болж, зөвхөн шүүсэн үр дүнд хэрэгжинэ.
Зөвлөмжөөр хэрэгжсэн хязгаарлалтыг PHASR attack vectors хуудаснаас мөн цуцалж болно.
- Заавал биш: тухайн элементийн өөрчлөлтийг буцаахын тулд мөр доторх revert товчийг, эсвэл одоогийн хүрээний хүлээгдэж буй бүх өөрчлөлтийг буцаахын тулд Revert changes-ийг сонгоно.
- Save-ийг сонгоно.
- Apply changes? цонхонд өөрчлөлтийн хураангуйг шалгана:
- Хязгаарлагдах behavioral profile-ийн тоо.
- Хязгаарлалт нь арилах behavioral profile-ийн тоо.
- Өөрчлөгдөхгүй үлдэх behavioral profile-ийн тоо.
- Өөрчлөлтөд хамрагдах хэлтэс, хэрэглэгчийн тоо.
- Өөрчлөлтөө хэрэгжүүлэхийн тулд Apply-г сонгоно.
Хүснэгтийг шүүхээс өмнө эсвэл дараа хийсэн өөрчлөлтийг оролцуулаад хадгалсан бүх өөрчлөлтийг GravityZone хэрэгжүүлж, үйлдэл амжилттай болсон эсэхийг мэдэгдлээр харуулна.
Өөрчлөлт хийсний дараа Cancel-ийг сонговол эсвэл урсгалыг хаавал GravityZone өөрчлөлтийг цуцлахыг баталгаажуулахыг асууна.
Autopilot шийдвэрийг дарж өөрчлөх
Үйл ажиллагааны төрлийг Autopilot горимд тохируулсан үед PHASR ажиглагдсан зан төлөвт тулгуурлан хандалтын шийдвэрийг автоматаар гаргадаг. Тодорхой халдлагын вектор дээр өөр хандалтын төлөв хэрэгтэй бол Autopilot-ийн шийдвэрийг гараар дарж өөрчилж болно.
Autopilot шийдвэрийг дарж өөрчлөхийн тулд:
- PHASR attack vectors хуудас руу орно.
- Хандалтын шийдвэрийг нь дарж өөрчлөхийг хүссэн халдлагын векторыг олно.
- Үйлдлийн цэсийг нээгээд View/edit access-ийг сонгоно.
- Дарж өөрчлөх хүрээнээс хамааран Target type хэсэгт Departments, Users эсвэл Behavioral profiles-ийг сонгоно.
- Autopilot шийдвэрийг дарж өөрчлөхийг хүссэн объектуудыг олно.
- Одоогийн хандалтын шийдвэрийг дарж өөрчлөхийн тулд Restrict эсвэл Do not restrict-ийг сонгоно.
- Save-ийг сонгоод өөрчлөлтөө шалгаж, дараа нь Apply-г сонгоно.
Хэрэв та Autopilot-ийн хязгаарлалтыг дарж өөрчлөөд хандалтыг зөвшөөрвөл PHASR шинэчлэгдсэн зан төлөвийг үргэлжлүүлэн сурна. Behavioral profile уг хэрэгслийг ашигладаг бол хэрэглээ нь зан төлөвт нь шингэж, хэрэгслийг хэрэглэсээр байгаа цагт холбогдох суралцах хугацаанд хандалт зөвшөөрөгдсөн хэвээр байна. Хэрэв behavioral profile уг хэрэгслийг ашиглахаа больж, дараагийн суралцах хугацаа ямар нэг хэрэглээ илрүүлэлгүй дууссан бол PHASR хандалтыг дахин хязгаарлаж болно. Суралцах хугацаа хамгийн багадаа 30 хоног үргэлжилж, халдлагын векторээс хамааран 60 хоног хүртэл уртасч болно.
Суралцах хугацаанд Autopilot-ийг дарж өөрчлөх
Behavioral profile суралцах хугацааныхаа дундуур байх үед та хязгаарлалтыг дарж өөрчилсөн бөгөөд хэрэглэгч хэрэгслийг ажиллуулбал PHASR тухайн хугацааны үлдсэн хэсэгт хэрэгслийг ашиглагдсан гэж бүртгэнэ. PHASR дараагийн суралцах хугацаанд хэрэглээг хянасаар байх тул хэрэгсэл зөвшөөрөгдсөн хэвээр байна. Хэрэгслийг ашиглахаа больж, тэр суралцах хугацаа нэмэлт хэрэглээ илрүүлэлгүй дууссан бол PHASR хандалтыг дахин хязгаарлаж болно.
Autopilot-ийг дарж өөрчилж хандалтыг зөвшөөрсний дараа юу болох вэ
Autopilot-ийг дарж өөрчилснөөр тодорхой хэрэгслийн хувьд одоогийн Autopilot шийдвэр л өөрчлөгдөнө. Autopilot-ийг идэвхгүй болгохгүй. Дарж өөрчилсний дараа ч PHASR үйл ажиллагааг хянаж, хэрэглэгчийн зан төлөвөөс суралцсаар байна.
5 хоногийн хэрэглээний хугацаа
Өмнө нь хязгаарлагдсан хэрэгсэлд хандалтыг зөвшөөрөхөд хэрэглэгч тэр хэрэгслийг ажиллуулах эсвэл ашиглахад 5 хоног байна.
- Хэрэгслийг 5 хоногт ашиглаагүй бол PHASR түүнийг дахин хязгаарлана.
- Хэрэгслийг 5 хоногт ашигласан бол PHASR энэ зан төлөвийг сурч, хэрэгслийг зөвшөөрөгдсөн хэвээр үлдээнэ. PHASR хэрэгслийг хэрхэн ашиглаж буйг үргэлжлүүлэн хянаж, суралцана.
Зөвшөөрсөн хэрэгсэл ашиглагдахаа больсон үед
Зөвшөөрсөн хэрэгсэл ашиглагдахаа больж, дахин нэг суралцах хугацаа үйл ажиллагаагүй өнгөрвөл PHASR хэрэгслийг дахин хязгаарлана.
- Хязгаарлагдсан хэрэгсэлд дарж өөрчлөлт хийсэн — хэрэгсэл зөвшөөрөгдөж, 5 хоногийн хэрэглээний хугацаа эхэлнэ;
- Хэрэгслийг 5 хоногт ашиглаагүй — хэрэгсэл дахин хязгаарлагдана;
- Хэрэгслийг 5 хоногт ашигласан — PHASR зан төлөвийг сурч, хэрэгслийг зөвшөөрөгдсөн хэвээр үлдээнэ;
- Хэрэгсэл бүтэн суралцах хугацаанд ашиглагдаагүй — хэрэгсэл дахин хязгаарлагдана.
Суралцаж дуустал халдлагын векторыг хязгаарлах
PHASR-ийн суралцах хугацаа дуустал хүлээлгүй халдлагын векторын хандалтыг урьдчилан хязгаарлаж болно. Таны орчинд тодорхой хэрэгсэл эсвэл үйл ажиллагааг зөвшөөрөх ёсгүй гэдгийг мэдэж байгаа бол энэ нь ашигтай.
Тусдаа халдлагын векторыг урьдчилан хязгаарлахын тулд PHASR attack vectors хуудасны Edit access урсгалыг ашиглаж, шаардлагатай хэлтэс, хэрэглэгч эсвэл behavioral profile-д Restrict-ийг хэрэгжүүлнэ.
MITRE tactic, technique эсвэл sub-technique-тэй холбоотой хэд хэдэн халдлагын векторыг урьдчилан удирдахын тулд PHASR MITRE Grouping-ийг ашиглана.
Векторын идэвхжүүлэлтийг харах
Векторыг идэвхжүүлсэн үйл явдлын нэмэлт мэдээллийг харахын тулд дараах алхмыг дагана:
- PHASR attack vectors хуудас руу орно.
- Судлахыг хүссэн векторыг олоод Vector triggers баганын тоон дээр дарна.
Vector triggers хажуугийн самбар нээгдэнэ.
Хажуугийн самбар векторыг идэвхжүүлсэн үйл явдал бүрийн талаар дараах мэдээллийг агуулна:
- Timestamp — векторыг идэвхжүүлсэн огноо, цаг.
- Username — векторыг идэвхжүүлсэн үйл явдалтай холбоотой хэрэглэгчийн нэр.
- Hostname — вектор идэвхжсэн төгсгөлийн төхөөрөмжийн хостын нэр.
- Incidents — векторыг идэвхжүүлснээс үүссэн incident.
Incident-ийн нэр дээр дарвал шинэ хөтчийн табд Incidents хуудасны Graph таб нээгдэнэ.
Энэ хуудсанд гарсан нэр томъёо
- Incidents
- Илэрсэн халдлага, түүний алхмуудын бүртгэл (EDR/XDR)