Удалённый доступ как источник данных для ИБ: от сессии администратора до расследования инцидента
Специалисты по ИБ всё чаще рассматривают системы удалённого доступа не только как инструмент поддержки, но и как полноценный источник телеметрии. Каждое подключение оставляет след: кто, к какому устройству и когда подключался, какие права использовал и какие действия выполнял. На примере RuDesktop разбираем, как связать эти события и использовать их при расследовании инцидентов — от простого кейса с пропавшим файлом до корреляции в SIEM.
Подробности
В исходном материале разбирается практический подход к использованию данных удалённого доступа на примере RuDesktop. Авторы предлагают двигаться от простого кейса — например, ситуации с пропавшим файлом — до более сложных сценариев, включая корреляцию событий в SIEM. Такой подход позволяет рассматривать систему удалённого доступа не изолированно, а в связке с остальными источниками данных: журналами аутентификации, событиями конечных устройств и средствами мониторинга. Ключевая идея в том, что события удалённых сессий содержат ответы на базовые вопросы расследования: кто подключился, к какому устройству, когда началась сессия, какие права использовались, какие действия выполнялись, передавались ли файлы и какие изменения произошли после этого. Именно связка этих данных с контекстом инфраструктуры позволяет восстановить хронологию происходящего и выявить аномалии. Отдельно подчёркивается ценность корреляции — объединения событий удалённого доступа с данными SIEM для построения целостной картины инцидента.Что делать
Практические рекомендации вытекают из логики материала. Во-первых, стоит рассматривать системы удалённого доступа как полноценный источник телеметрии и обеспечить сохранность соответствующих журналов: кто подключался, к какому устройству, когда, с какими правами и какие действия выполнял. Во-вторых, важно фиксировать факты передачи файлов и изменения, произошедшие в ходе сессии и после неё, — это помогает при разборе инцидентов вроде пропажи файлов. В-третьих, необходимо настроить корреляцию событий удалённого доступа с другими источниками в SIEM, чтобы сессии не анализировались в отрыве от остального контекста. Наконец, следует выстроить процесс, при котором данные удалённых подключений используются в расследованиях системно, а не от случая к случаю. Итог: система удалённого доступа — это не только инструмент поддержки, но и дополнительный источник данных для ИБ, который при правильной связке событий и корреляции в SIEM заметно повышает качество расследования инцидентов.Источник: Хабр — Системное администрирование