This is the Trace Id: 23bb9f35c4bc4a93f0d086da80fef240
Перейти до основного Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Purview Microsoft Security Copilot Microsoft Sentinel Переглянути всі продукти Кібербезпека на основі ШІ Безпека в хмарі Безпеки й система керування даними Доступ до ідентичностей і мережі Захист конфіденційності та керування ризиками Захист для ШІ Для малого та середнього бізнесу Уніфіковані операції системи безпеки Нульова довіра Ціни Послуги Партнери Переваги Захисного комплексу Microsoft Поінформованість про кібербезпеку Історії клієнтів Основи безпеки Ознайомлювальні версії продуктів Визнання в галузі Microsoft Security Insider Звіт про цифровий захист (Digital Defense Report) від корпорації Майкрософт Центр реагування на кіберзагрози Блоґ про Захисний комплекс Microsoft Заходи, присвячена Захисному комплексу Microsoft Спільнота технічних спеціалістів Microsoft Документація Бібліотека технічного вмісту Навчання та сертифікація Програма забезпечення відповідності вимогам для Microsoft Cloud Центр безпеки та конфіденційності Microsoft Портал надійності Microsoft Ініціатива щодо безпечного майбутнього Центр рішень для бізнесу Зв’язатися з відділом збуту Почати безкоштовне ознайомлення Захисний комплекс Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space Гібридна реальність Microsoft HoloLens Microsoft Viva Квантові обчислення Освіта Автомобілі Фінансові послуги Державні установи Охорона здоров’я Виробництво Торгівля Знайти партнера Стати партнером Мережа партнерів Microsoft Marketplace Компанії з розробки ПЗ Блоґ Microsoft Advertising Центр розробників Документація Заходи Ліцензування Microsoft Learn Дослідження Microsoft Переглянути карту сайту
Ось альтернативний текст, який було запитано, без згадки про розмите обличчя: **Альтернативний текст:** Людина тримає планшет у серверній кімнаті та переглядає інформаційну панель із діаграмами й показниками стану систем, відображеними на екрані.

Що таке індикатори порушення (ІП)?

Дізнайтеся, як відстежувати, виявляти та використовувати індикатори порушення й реагувати на них.
Огляд Аналізу загроз Microsoft Defender

Пояснення індикаторів порушення

Індикатор порушення (ІП) є доказом, що хтось міг порушити безпеку мережі або кінцевої точки організації. Ці дані експертизи не просто вказують на потенційну загрозу. Вони сигналізують, що вже відбулась атака, наприклад проникнення зловмисної програми, ураження облікових даних або ексфільтрація даних. Фахівці з безпеки шукають індикатори порушення в журналах подій, рішеннях розширеного виявлення й реагування (XDR) і керування захистом інформації (SIEM). Під час атаки команда безпеки використовує індикатори порушення, щоб усунути загрозу та зменшити наслідки. Після відновлення індикатори порушення допомагають організації краще зрозуміти, що сталося. Це дає команді безпеки організації змогу посилити захист і знизити ризик схожого інциденту.

Приклади ІП

У сфері безпеки з використанням індикаторів порушення ІТ-служба відстежує середовище на наявність зазначених нижче ознак активної атаки.

Аномалії трафіку

У більшості організацій існують узгоджені моделі передачі вхідного й вихідного трафіку цифрового середовища. Коли вони змінюються, наприклад якщо організацію залишає набагато більше даних або дії виконуються з незвичного розташування в мережі, це може бути ознакою атаки.

Незвичні спроби входу

Як і трафік, робочі звички людей передбачувані. Зазвичай вони протягом тижня виконують вхід з однакових розташувань приблизно в той самий час. Фахівці з безпеки можуть виявити уражений обліковий запис, приділивши увагу входам у незвичний час доби або з незвичних географічних розташувань, наприклад із країни, де організація не має офісів. Також важливо звертати увагу на неодноразові невдалі спроби входу з одного облікового запису. Хоча люди періодично забувають свої паролі або в них виникають проблеми з входом, вони зазвичай вирішують це за кілька спроб. Повторні невдалі спроби входу можуть означати, що хтось намагається отримати доступ до організації за допомогою вкраденого облікового запису.

Аномалії привілейованого облікового запису

Багато зловмисників (внутрішніх або зовнішніх) хочуть отримати доступ до облікових записів адміністраторів і дістатися до конфіденційних даних. Незвична поведінка, пов’язана з цими обліковими записами, наприклад спроба підвищити свої права, може бути ознакою порушення.

Зміни в конфігураціях систем

Зловмисні програми часто налаштовані на внесення змін у конфігурації систем, наприклад увімкнення віддаленого доступу або вимкнення захисного програмного забезпечення. Відстежуючи ці несподівані зміни конфігурації, фахівці з безпеки можуть виявити порушення до того, як буде завдано занадто великої шкоди.

Неочікувані інсталяції або оновлення програмного забезпечення

Багато атак починаються з інсталяції програмного забезпечення, як-от зловмисної програми чи зловмисної програми з вимогою викупу, яке призначено, щоб зробити файли недоступними або надати зловмисникам доступ до мережі. Відстежуючи незаплановані інсталяції та оновлення програмного забезпечення, організації можуть швидко помітити ці індикатори порушення.

Численні запити того самого файлу

Декілька запитів одного файлу можуть указувати на те, що зловмисник намагається вкрасти його й спробував отримати до нього доступ кількома способами.

Незвичні запити доменної системи іменування

Деякі зловмисники використовують метод атаки, який називається атакою типу "Командування та керування". Вони інсталюють зловмисну програму на сервері організації, яка встановлює підключення до сервера, що належить зловмисникам. Після цього вони надсилають команди зі свого сервера на уражений комп’ютер, щоб спробувати вкрасти дані або порушити роботу. Незвичні запити доменної системи іменування допомагають ІТ-службі виявляти ці атаки.

Виявлення індикаторів порушення

Ознаки цифрової атаки записуються у файли журналів. У рамках кібербезпеки з використанням індикаторів порушення команди регулярно відстежують цифрові системи на наявність підозрілих дій. Сучасні рішення SIEM та XDR спрощують цей процес за допомогою алгоритмів ШІ й машинного навчання, які встановлюють базові показники нормальної роботи в організації, а потім сповіщають команду про аномалії. Крім того, важливо інформувати працівників, не пов’язаних із системою безпеки, які можуть отримати підозрілі електронні листи або випадково завантажити заражений файл. Хороші програми навчання безпеки допомагають працівникам краще виявляти уражені електронні листи та надають їм способи повідомляти про все, що здається незвичним.

Важливість індикаторів порушення

Відстеження індикаторів порушення критично важливе для зниження ризику у сфері безпеки організації. Раннє виявлення індикаторів порушення дає командам безпеки змогу швидко реагувати на атаки й усувати їх, зменшуючи тривалість простоїв і кількість порушень роботи. Регулярне відстеження також дозволяє командам краще зрозуміти вразливості організації, які потім можна усунути.

Реагування на індикатори порушення

Коли команди безпеки виявляють ІП, їм потрібно ефективно відреагувати на них, щоб забезпечити мінімальний рівень збитків для організації. Указані нижче дії допомагають організаціям підтримувати пильність і якнайшвидше зупиняти загрози.

Створення плану реагування на інциденти

Реагування на інциденти викликає стрес і вимагає оперативності, оскільки що довше зловмисники залишаються невиявленими, то більша ймовірність, що вони досягнуть своєї мети. Багато організацій розробляють план реагування на інциденти, щоб допомогти командам на критичних етапах реагування. У плані описано, як організація визначає інцидент, роль та обов’язки, дії для усунення інциденту, а також спосіб, яким команда повинна повідомляти працівників і зовнішніх зацікавлених осіб.

Ізолювання уражених систем і пристроїв

Коли організація виявляє загрозу, команда безпеки швидко ізолює програми або системи, які зазнали атаки, від решти мереж. Це допомагає запобігти доступу зловмисників до інших частин бізнесу.

Проведення експертного аналізу

Експертний аналіз допомагає організаціям виявляти всі аспекти порушення, зокрема джерело, тип атаки та цілі зловмисників. Аналіз відбувається під час атаки, щоб усвідомити ступінь ураження. Коли організація відновиться після атаки, додатковий аналіз допоможе команді зрозуміти можливі вразливості та іншу аналітику.

Усунення загрози

Команда видаляє зловмисника та будь-які зловмисні програми з уражених систем і ресурсів, що може призвести до відключення систем від мережі.

Упровадження покращень системи безпеки та процесів

Коли організація відновиться після інциденту, важливо оцінити, чому відбулась атака та які дії могла виконати організація, щоб запобігти їй. Можуть бути доступні прості покращення процесів і політик, які зменшать ризик аналогічних атак у майбутньому, або команда може виявити довгострокові рішення для покращення дорожньої карти безпеки.



Рішення ІП

Більшість порушень безпеки залишають слід у файлах журналів і системах. Вміння виявляти й відстежувати ці індикатори порушення допомагає організаціям швидко ізолювати та усувати зловмисників. Багато команд звертаються до рішень SIEM, наприклад Microsoft Sentinel і Microsoft Defender XDR, які використовують ШІ та автоматизацію, щоб виявляти індикатори порушення й зіставляти їх з іншими подіями. План реагування на інциденти дає командам змогу випереджати атаки та швидко припиняти їх. Коли йдеться про кібербезпеку, що швидше компанії зрозуміють, що відбувається, то вища ймовірність, що вони зупинять атаку, перш ніж це призведе до збитків або нашкодить репутації. Безпека з використанням індикаторів порушення відіграє ключову роль у допомозі організаціям знизити ризик дороговартісних порушень.
Ресурси

Дізнайтеся більше про Захисний комплекс Microsoft

  1.
Чоловік і жінка сидять за столом, жінка робить нотатки в книжці, поруч видно ноутбук.

Захист від загроз Microsoft

Виявляйте інциденти у вашій організації та реагуйте на них за допомогою новітніх засобів захисту від загроз.
Дізнайтеся більше
Людина сидить за столом і працює з ноутбуком.

Microsoft Sentinel

Об’єднайте дані та контекст безпеки для захисту на основі агентів за допомогою платформи з орієнтацією на ШІ.
Дізнайтеся більше
Жінка дивиться на мобільний телефон.

Microsoft Defender XDR

Зупиняйте атаки на кінцеві точки, електронну пошту, ідентичності, програми й дані за допомогою рішень XDR.
Дізнайтеся більше
Група з трьох людей у світлому офісі, які посміхаються та зацікавлено дивляться на ноутбук, який тримає одна людина.

Спільнота аналізу кіберзагроз

Отримуйте найновіші оновлення з випуску Аналізу загроз Microsoft Defender для спільноти.
Дізнайтеся більше
Повернутися до розділу "Пов’язані продукти"
Запитання й відповіді

Запитання й відповіді

  • Існує кілька типів індикаторів порушення. Нижче наведено одні з найпоширеніших.
    • Аномалії трафіку
    • Незвичні спроби входу
    • Аномалії привілейованого облікового запису
    • Зміни в конфігураціях систем
    • Неочікувані інсталяції або оновлення програмного забезпечення
    • Численні запити того самого файлу
    • Незвичні запити доменної системи іменування
  • Індикатор порушення є цифровим доказом, що атака вже відбулася. Індикатор атаки є доказом, що атака відбудеться з великою ймовірністю. Наприклад, фішингова кампанія є індикатором атаки, оскільки немає доказів, що зловмисник порушив безпеку компанії. Однак, якщо хтось натисне фішингове посилання й завантажить зловмисну програму, інсталяція зловмисної програми стане індикатором порушення.
  • До індикаторів порушення електронної пошти належать раптовий наплив спаму, незвичні вкладення та посилання або неочікуваний лист від відомої людини. Наприклад, якщо працівник надсилає колезі листа з незвичним вкладенням, це може означати, що його обліковий запис уражений.
  • Є кілька способів визначити уражену систему. Зміна трафіку з конкретного комп’ютера може бути індикатором його ураження. Якщо людина, якій зазвичай не потрібна система, починає регулярно отримувати до неї доступ, це тривожний сигнал. Зміна конфігурацій у системі або неочікувана інсталяція програмного забезпечення може також указувати на ураження.
  • Нижче наведено три приклади індикаторів порушення.
    • Обліковий запис користувача, розташований у Північній Америці, починає входити в ресурси компанії з Європи.
    • Тисячі запитів на доступ до кількох облікових записів користувачів указують на те, що організація стала жертвою атаки прямим добором.
    • Нові запити доменної системи іменування, що надходять із нового хосту чи країни, де немає працівників і клієнтів компанії.

Підпишіться на новини про Захисний комплекс Microsoft

Copilot для організацій Copilot для особистого використання Microsoft 365 Ознайомтеся з продуктами Microsoft Програми для Windows 11 Профіль облікового запису Центр завантажень Повернення Відстеження замовлення Microsoft для освіти Пристрої для освіти Microsoft Teams для освіти Microsoft 365 Education Office Education Підвищення кваліфікації викладачів Спеціальні пропозиції для студентів і батьків Azure для студентів
ШІ від Microsoft Захисний комплекс Microsoft Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft 365 Copilot Microsoft Teams Розробник Microsoft Microsoft Learn Підтримка ШІ-програм на Marketplace Технічна спільнота Microsoft Microsoft Marketplace Microsoft Power Platform Компанії з розробки ПЗ Visual Studio Вакансії Конфіденційність у Microsoft Інвестори
Українська (Україна) Конфіденційність інформації про здоров’я споживачів Звернутися до корпорації Microsoft Конфіденційність Керування файлами cookie Умови використання Товарні знаки Відомості про рекламу