PT AF Cloud научился выявлять аномалии в профиле трафика WAF

Межсетевой экран уровня веб-приложений (WAF) фиксирует каждое срабатывание правила защиты. У крупных клиентов за сутки накапливаются десятки и сотни тысяч таких событий. Значительная их часть — привычный фон: активность ботов, сканеров, перебор типовых путей и превышения лимита запросов.

За этими событиями обычно следит небольшая команда центра мониторинга безопасности (SOC), причём сразу по множеству приложений. Просматривать каждое событие вручную она физически не успевает. В результате начало целенаправленного сканирования или эксплуатация недавно опубликованной уязвимости теряются среди остальных срабатываний и обнаруживаются с опозданием. Именно эту проблему и призвано решить обнаружение аномалий в профиле трафика, реализованное в PT Cloud Application Firewall.

Подробности

О разработке рассказал Даниил Лопаткин, ML-инженер группы машинного обучения Positive Technologies. Задача функции — замечать смену характера атак на фоне большого объёма рутинных событий WAF.

Ключевая идея подхода — агрегировать множество разрозненных событий безопасности в одну аномалию. Как отмечается в публикации, «миллионы событий WAF» сводятся к единому сигналу, который помогает специалистам SOC обратить внимание на действительно значимое изменение в профиле трафика, а не разбирать по отдельности каждое срабатывание правила.

По словам автора, большая часть ежедневного потока событий у крупного клиента — это привычный фон: боты, сканеры, перебор типовых путей, превышения лимита запросов. На этом фоне теряются принципиально иные по характеру активности — начало целенаправленного сканирования или эксплуатация свежей уязвимости. Функция обнаружения аномалий предназначена для того, чтобы такие изменения не оставались незамеченными.

В исходной публикации не приводятся сведения о конкретных версиях продукта, затронутых компонентах или идентификаторах CVE — материал носит описательный характер и посвящён архитектуре и логике работы механизма, а не раскрытию уязвимости.

Что делать

Пользователям PT Cloud Application Firewall стоит обратить внимание на возможности обнаружения аномалий в профиле трафика и оценить, насколько они применимы в их контуре мониторинга. Практические шаги:

• Уточнить у вендора или в документации, доступна ли функция обнаружения аномалий в вашей конфигурации PT AF Cloud, и при необходимости включить её.
• Настроить процессы реагирования так, чтобы аномалии профиля трафика попадали в очередь приоритетных инцидентов для команды SOC, а не смешивались с рутинным фоном срабатываний.
• Проверить, как сигналы об аномалиях интегрируются с используемыми в компании системами мониторинга и оповещения.
• Для команд, которые пока не используют подобный механизм, — рассмотреть его как способ снизить нагрузку на аналитиков и сократить время обнаружения целенаправленных атак среди массовых событий WAF.

Агрегация множества событий WAF в одну аномалию — практичный ответ на перегрузку команд SOC: она помогает не пропустить смену характера атак среди привычного шума. Для компаний с интенсивным веб-трафиком это может заметно повысить скорость реакции на реальные угрозы.

Источник: Хабр — Информационная безопасность