Перейти к содержанию

Recommended Posts

demkd
или данный файл ВРЕМЕННО на период сессии уходит из списка подозрительных?

Временно до выхода или сброса статуса проверенного.

Если надо на постоянку то есть соотв. команда в контекстном меню, но тогда уже мою базу нужно будет не копировать а импортировать для сохранения своих хэшей.

Или нужен дополнительный твик - восстановление ассоциаций на исполняемые файлы?

Это я уже сделал и релиз как бы готов, поскольку уже приставали с твиком на прошлой неделе, но мне че-то лень было собирать дистрибутив, игрушки одолели :) но в принципе могу завтра релизнуть 3.33 если срочно надо.

...А в некоторых случаях проблему решает файл _unlock.inf идущий в комплекте, если использован простой блок прописанный в ключе Explorer-а

в данном случае - в автозапуске svchost.exe (путь стандартный) определяется как вредоносная программа,

а не нужно верить глазам, нужно верить uVS :)

причем не в том смысле что файл поддельный или зараженный, а в том что имя файла НЕ svchost.exe

трояны давно используют левые (в т.ч. и русские) символы похожие на английские буквы в результате при проверке глазками получается что файл системный и лежит где надо... но почему-то их два, а то и три с "одинаковым" именем. Поэтому как его в uVS не удаляй системный файл затронут не будет, убит будет только зловред.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Временно до выхода или сброса статуса проверенного.

Если надо на постоянку то есть соотв. команда в контекстном меню, но тогда уже мою базу нужно будет не копировать а импортировать для сохранения своих хэшей.

Так нормально. Просто раньше была некоторая путаница понятий: список проверенных, база проверенных файлов. Сейчас четче уяснил, что база проверенных - это файл sha1, а список проверенных - это динамический список файлов, имеющих статус ПРОВЕРЕННЫЙ, т.е. прошедших проверку по списку sha1 или вручную, по функции ПРОВЕРЕН в окне "информация".

Я для себя веду параллельный список sha1_user (приложения от eset, например, разных версий), который импортирую в базовый список разработчика, по мере его выхода.

Это я уже сделал и релиз как бы готов, поскольку уже приставали с твиком на прошлой неделе, но мне че-то лень было собирать дистрибутив, игрушки одолели :) но в принципе могу завтра релизнуть 3.33 если срочно надо.

Видимо, есть необходимость в этом выпуске - у нас был второй случай нарушения ассоциаций.

а не нужно верить глазам, нужно верить uVS :)

причем не в том смысле что файл поддельный или зараженный, а в том что имя файла НЕ svchost.exe

трояны давно используют левые (в т.ч. и русские) символы похожие на английские буквы в результате при проверке глазками получается что файл системный и лежит где надо... но почему-то их два, а то и три с "одинаковым" именем. Поэтому как его в uVS не удаляй системный файл затронут не будет, убит будет только зловред.

А есть возможность ВСКРЫТЬ эту подмену символов?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

1.В скрипт автоматически добавлять не только сигнатуру объекта НО ! и его "Текущее" Имя из списка: "Подозрительные и вирусы".

Это необходимо в случае последующего анализа самого скрипта.

Анализ - почему Скрипт не сработал, так, как планировалось,проверка ошибок.

Ориентироваться по Имени удобнее,чем по Сигнатуре.

2.Ввести возможность Индикации.

"Скрыть проверенные" Звучит, несколько двусмысленно...

Кроме того, Зачем скрывать,если есть необходимость в Присутствии объекта в списке.

Скажем для Визуального сравнения, по схожим именам Объектов Одного производителя.

Например в случае повреждения файла/отсутствия цифровой подписи.

В ряде случаев в этом есть смысл - Особенно на начальном этапе работы/обучения uVS.

*Возможно это и неэффективно но...

3."ИЗВЕСТНЫЙ ПОДОЗРИТЕЛЬНЫЙ в автозапуске"

Прекрасно,что программа проводит автоматический анализ списка.

*Значит все Легитимные варианты ей известны ...

Предлагаю ввести возможность Самостоятельного - Визуального просмотра Всех... Легитимных Значений/Параметров.

Суть: При Автоматической обработке, есть риск потери квалификации персоналом.

Особенно у начинающих или недавно прошедших обучение сотрудников.

*Для потери Квалификации достаточно 4 месяцев.

Не факт,что это произойдёт, однако...

Это, Актуально и в Свете повышенного Интереса к программе со стороны пользователей. ( Число просмотров ресурса ) :rolleyes:

Это, Актуально в перспективе, с выходом Windows 8. ( Обучение )

Windows XP/Vista/7/8 ( Всё помнить...) :facepalm:

* Никаких принципиальных изменений при этом в uVS не произойдёт.

Но как говорил Пётр I, Вижу...

4.скрытый системный. Следует писать так: СКРЫТЫЙ СИСТЕМНЫЙ.

Мелкий и типичный.шрифт.затрудняет.восприятие. :)

5.В Папку ZOO, Автоматически добавлять: Открытый, Программный отчёт uVS,о ходе выполнения скрипта/+-/сбой.

6.Я предлагал ввести предупреждение при наличие не читаемых символов в списке...

Но, это предложение было отклонено " В Windows нет ни читаемых - Уникоддс..."

Я имел в виду не читаемых для Оператора PC!. :)

7.Возможность проверять состояние ключей реестра,на проблемной машине.

Это дополнение к Пункту №5.

Сохранять значение сбойных/изменённых значений - Основных - параметров в txt формате.

Это даст дополнительную информацию для анализа.

8.Проверка HDD, на наличие неизвестной структурированной, файловой системы - простое Информирование Оператора.

Возможность временной блокировки доступа к периферийным областям HDD ?

9.Как написал SANTY: Определение Подмены Языковых Символов ( С информированием пользователя во избежание...! )

a,e,о,p...

10."Размер 2889424 байт"

Это замечательно, можно определить точные параметры ! Однако...

Так будет практичнее 2889424/2889/2.9mb

*Если, что написал не точно, то значит так тому и быть... ;)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

выскажу свое отношение к некоторым предложениям PR55

1.В скрипт автоматически добавлять не только сигнатуру объекта НО ! и его "Текущее" Имя из списка: "Подозрительные и вирусы".

может и имеет смысл добавить после команды addsgn закоментированную строку с именем файла, но с другой стороны, на одну сигнатурку может попасть несколько файлов. Так же для анализа скриптов (ЕСЛИ КОМУ ИНТЕРЕСНО) можно обмениваться с ХЕЛПЕРОМ сигнатурными базами, тогда все будет видно - какая сигнатура какой файл "спалила".

5.В Папку ZOO, Автоматически добавлять: Открытый, Программный отчёт uVS,о ходе выполнения скрипта/+-/сбой.

имхо, лучший отчет о выполнении скрипта - это новый образ автозапуска.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
А есть возможность ВСКРЫТЬ эту подмену символов?

В смысле автоматом добавлять в подозрительные? Это конечно можно, однако ведь есть масса софтописателей, что используют в именах файлов символы отличные от ASCII... хотя можно сделать подобный детект опциональным.

А вот как-то опеределять похожие по написанию имена - это уже тяжелей, ибо Unicode 6-й версии уж очень большой...

Анализ - почему Скрипт не сработал, так, как планировалось,проверка ошибок.

Это можно в виде комментария.

Кроме того, Зачем скрывать,если есть необходимость в Присутствии объекта в списке.

Скрыть смысл есть, а вот зачем-то засорять список проверенными и увеличивать время копания в нем нет совершенно.

Предлагаю ввести возможность Самостоятельного - Визуального просмотра Всех... Легитимных Значений/Параметров.

Список известных можно легко просмотреть.

6.Я предлагал ввести предупреждение при наличие не читаемых символов в списке...

Но, это предложение было отклонено " В Windows нет ни читаемых - Уникоддс..."

Я имел в виду не читаемых для Оператора PC!. smile.gif

В том то и дело, что они все читаемые, тут надо подумать.

Сохранять значение сбойных/изменённых значений - Основных - параметров в txt формате.

Лень.

8.Проверка HDD, на наличие неизвестной структурированной, файловой системы - простое Информирование Оператора

Это совсем лень и мало того будет безумно долго работать... если вообще будет работать.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
В смысле автоматом добавлять в подозрительные? Это конечно можно, однако ведь есть масса софтописателей, что используют в именах файлов символы отличные от ASCII... хотя можно сделать подобный детект опциональным.

А вот как-то опеределять похожие по написанию имена - это уже тяжелей, ибо Unicode 6-й версии уж очень большой...

Да, если возможно, вынести его в настройки, чтобы по желанию можно было подключать данные проверки. Может, выбрать для проверки список системных файлов, которые чаще всего подменяются: svchost.exe, userinit.exe, lsass.exe, winlogon.exe, explorer.exe?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Да, если возможно, вынести его в настройки, чтобы по желанию можно было подключать данные проверки. Может, выбрать для проверки список системных файлов, которые чаще всего подменяются: svchost.exe, userinit.exe, lsass.exe, winlogon.exe, explorer.exe?

Если делать то для всех, без полумер.

Велика вероятность пропустить "Очевидное - Невероятное" :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55

Цитируя самого себя:

В скрипт автоматически добавлять не только сигнатуру объекта НО ! и его "Текущее" Имя из списка: "Подозрительные и вирусы".

А если рассмотреть в таком виде: Автоматически...

1- й. Скрипт

addsgn 555444 14 bl

delall \\?\C:\WINDOWS\SYSTEM32\MSSPAINT.EXE

2- й. Скрипт

addsgn 555444 14 bl

delall \\?\C:\WINDOWS\SYSTEM32\SIMANSS.EXE

*Если автоматизировать, то по полной программе!

А ещё лучше так... :)

3- й.

addsgn 555444 14 bl

delall \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

zoo \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

czoo

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Список известных можно легко просмотреть.

Можно.

Но Речь о другом ! :)

Информацию добавить сюда: "Информация"

Возможные Легитимные пути С:**\****\.... ( Все )

Стандартные значения Реестра для Объекта.

Стандартный/размер/размеры 2888 bt ....

Это, Кардинально отличается от того,что есть на данный момент.

Но можно добавить информацию и в список известных.

Только, как мне кажется это будет менее практично.

Или распределить информацию по актуальности.

Перечислять повторно аргументы к этому предложению не буду.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Если делать то для всех, без полумер.

Велика вероятность пропустить "Очевидное - Невероятное" :)

уже сейчас автоматическая проверка по базе sha1 притормаживает загрузку списка подозрительных (оставляю эту проверку только в функции ПРОВЕРИТЬ СПИСОК), поэтому исходить нужно таким образом - лучше меньше, да лучше_быстрее, а если при этом большие ресурсные затраты, то лучше никак - поскольку список подозрительных невелик.

Цитируя самого себя:

В скрипт автоматически добавлять не только сигнатуру объекта НО ! и его "Текущее" Имя из списка: "Подозрительные и вирусы".

А если рассмотреть в таком виде: Автоматически...

1- й. Скрипт

addsgn 555444 14 bl

delall \\?\C:\WINDOWS\SYSTEM32\MSSPAINT.EXE

PR55, вы похоже так и не прочитали документацию по программе.

Какой смысл добавлять сигнатуру файла, если вы хотите убить файл по "прямому пути"?

Смысл моего предложения сводится лишь к внесению комментария в скрипт.

addsgn 555444 14 bl

; \\?\C:\WINDOWS\SYSTEM32\MSSPAINT.EXE

в этом случае, вы будете знать, какой файл из системы будет удален по данной сигнатуре.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
PR55, вы похоже так и не прочитали документацию по программе.

Вот как пишет ВСЕ скрипты zloyDi

;uVS v3.32 script [http://dsrt.jino-net.ru | http://dsrt.dyndns.org]

zoo \\?\C:\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\CHKNTFS.EXE

bl 775DF5D6DE85E54A0FAD5E6E58C7CF33 71680

delall \\?\C:\DOCUMENTS AND SETTINGS\USER\ГЛАВНОЕ МЕНЮ\ПРОГРАММЫ\АВТОЗАГРУЗКА\CHKNTFS.EXE

zoo \\?\C:\WINDOWS\SYSTEM32\REKBZSC.EXE

bl 5837CF56CD56ACEBDCEE0E1B36DDD5A6 156616

delall \\?\C:\WINDOWS\SYSTEM32\REKBZSC.EXE

delnfr

regt 12

regt 13

regt 14

deltmp

restart

Или другой пример:

;uVS v3.31 script [http://dsrt.jino-net.ru | http://dsrt.dyndns.org]

zoo \\?\C:\WINDOWS\SYSTEM32\AF90B9F1.EXE

bl 79F493F5105560C0F0CC003C753443AF 44544

delall \\?\C:\WINDOWS\SYSTEM32\AF90B9F1.EXE

zoo \\?\C:\WINDOWS\SYSTEM32\FYDNVKN.EXE

bl 100AD308FB55F50C39472238DDFD6E7D 149504

delall \\?\C:\WINDOWS\SYSTEM32\FYDNVKN.EXE

zoo \\?\C:\WINDOWS\SYSTEM32\KFEXMXY.EXE

bl E2068F5620FF15A31191BCC38989BC8D 175104

delall \\?\C:\WINDOWS\SYSTEM32\KFEXMXY.EXE

delall \\?\C:\WINDOWS\SYSTEM32\OPKJDKW.EXE

delnfr

regt 12

regt 13

regt 14

deltmp

restart

Я так понимаю,что он тоже не читал...!

Кроме того, я показал примеры, а не реальные фрагменты скриптов.

Да в том, что я написал 1. ошибка есть.

"Почему мой самолёт не Летает? - Это Сувенир!"

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

v 3.33

Релиз, чего было не лень добавил.

Проверка на левые символы неотключаемая, поскольку побочных эффектов не замечено, потерь в производительности практически нет.

o Добавлен твик #22 "Восстановить из копии параметры запуска файлов".

Восстанавливаются из бэкапа ключи Classes\exefile, Classes\.exe и еще 14 основных типов файлов.

o В меню "Запустить" добавлен пункт "Управление сервисами".

(В случае работы с удаленной системой в открывшемся окне выберите в меню

"Действие->Подключится к другому компьютеру" и введите имя или ip нужного компьютера)

o Улучшена функция анализа имен файлов, теперь файлы с чередованием в имени некоторых

ASCII и NON-ASCII символов считаются подозрительными.

o Теперь при добавлении сигнатуры в скрипт помещается полный путь до файла в виде комментария.

уже сейчас автоматическая проверка по базе sha1 притормаживает

Зато значительно экономит время при последующей проверке за счет отсева ложноподозрительных :)

Стандартные значения Реестра для Объекта.

Это мне ни к чему, а тем кому интересно почитают книгу о реестре Windows.

uVS НЕ для начинающих и никогда не станет таковым.

Стандартный/размер/размеры 2888 bt ....

Нет никаких стандартных размеров, версий одного и того же системного файла море.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
v 3.33

Релиз, чего было не лень добавил.

ок, проверим.

o Теперь при добавлении сигнатуры в скрипт помещается полный путь до файла в виде комментария.

не будет противодействия со стороны зловредов? ибо увидят свое имя в скрипте :)))

А вот по сигнатуре не смогут себя узнать, так надо знать по какому алгоритму вычисляется сигнатура.

Зато значительно экономит время при последующей проверке за счет отсева ложноподозрительных :)

учту. смутил тот факт, что происходит резная смена экрана: скажем при появлении uVS виден один список, затем резко появляется другой после завершения проверки.

Нет никаких стандартных размеров, версий одного и того же системного файла море.

Вот человеку мало контрольных сумм: sha1, md5 еще надо и размер файла записать.

Вот как пишет ВСЕ скрипты zloyDi

ZloyDi, конечно, респект за виртуозную работу с uVS и другими инструментами лечения.

"Почему мой самолёт не Летает? - Это Сувенир!"

Вот и вы чаще практикуйте написание скриптов в uVS, чтобы лучше уяснить тонкости в работе uVS.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Уже сейчас автоматическая проверка по базе sha1 притормаживает загрузку списка подозрительных (оставляю эту проверку только в функции ПРОВЕРИТЬ СПИСОК), поэтому исходить нужно таким образом - лучше меньше, да лучше_быстрее, а если при этом большие ресурсные затраты, то лучше никак - поскольку список подозрительных невелик.

"Притормаживает" И сколько это в режиме РЕАЛЬНОГО времени занимает?

Субъективная оценка - не в счёт.

Если, есть сомнения то Опционально добавить - (Проверка по Необходимости... )

3- й. + ( Так вернее :) )

Автоматический режим.

addsgn 555444 14 8 bob_vir

zoo \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

chklst

delvir

delall \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

Или.

( Скажем Цепная команда при добавлении файла в ZOO )

zoo \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

bl 79F493F5105560C0F0CC003C753443AF 44544

delall \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

Если ошибка в том,что нет всех команд - то Это часть скрипта АВТОМАТИЧЕСКОГО !

Всё остальное от Оператора..

MD 5 и прочее...

* Я Готовых решений и не предлагаю.

* Так и пишу с ошибками. :)

Поясню скрипт: Если сигнатура есть в базе и она добавлена автоматически.

То, нет гарантии, что сам Объект попал в Вир.Лаб.

Пользователь мог не отправить по почте или на сервере удалили.

А изучить нужно...

Поэтому и есть необходимость даже при авто. добавлении сигнатуры в скрипт помещать копию файла в ZOO.

Что касается "Убить файл по "прямому пути"?

А если сигнатура не сработает? Да пусть даже и сработает...

Просто зачистка.

*Единой догмы по применению и написанию Скриптов в uVS всё равно нет.

Да Я Постоянно думаю и Могу СНАЧАЛА НАПИСАТЬ, А УЖЕ ПОТОМ ДУМАЮ... :) ....

А, ВЕДЬ ЗРЯ Я ЭТО НАПИСАЛ !

Есть такая Русская народная сказка: " Передел и Недодел"

Что Касается zloyDi Я ЭТО к ЧЕМУ.

Автоматизацию - Ввели, но если её Как правило не используют, то требуется провести изменения в uVS ?

В основном дело в ZOO.

Даже если есть известная Сигнатура - то всё равно Карантин должен быть АВТОМАТИЧЕСКИМ для всех.

Если, где опять Накосячил в написании Псевдонаучной статьи Эх !

Пойду печку топить :)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
не будет противодействия со стороны зловредов? ибо увидят свое имя в скрипте smile.gif))

маловероятно, если будут такие случаи то можно сделать это дело опциональным, впрочем всегда можно и скрипт подправить перед сохранением.

так надо знать по какому алгоритму вычисляется сигнатура

это еще более маловероятно, да и сигнатура шифруется :)

происходит резная смена экрана

Да, можно считать это постобработкой образа, польза от нее реальная и чем больше будет расти база проверенных тем оно будет полезней :) Скажем я в подконтрольных мне сегментах сети внес в базу весь рабочий софт и теперь лечение любого свежего трояна занимает секунды.

Единой догмы по применению и написанию Скриптов в uVS всё равно нет.

Нет, однако delref/delall постепенно переползают в средства зачистки от нежелательного софта и поэтому автоматизация Zoo тут не совсем уместна, сигнатурный метод мне (в данный момент) кажется более удобным, просто потому что требует меньших телодвижений и самое главное уничтожение зловредов происходит массово и в сжатый временной интервал, что имеет несомненные плюсы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
PR55.RP55
Не будет противодействия со стороны зловредов? ибо увидят свое имя в скрипте

delall \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

Или так, для профилактики.

delall \\?\C:\WINDOWS\SYSTEM32\AGITLERSSA.EXE

Авто добавление Символов при создании и Авто их удаление при выполнении.

Только вот, запретить выполнение Скрипта на предыдущих версиях uVS !

Да, вот так Правильно :)

( Скажем Цепная команда при добавлении SHA1 или по MD5 ....) ( Запрет на Запуск и Автоматическая комбинация... )

bl 79F493F5105560C0F0CC003C753443AF 44544

zoo \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

???...

И скажем delall при комбинации с Клавишей, скажем Delete !

delall \\?\C:\WINDOWS\SYSTEM32\GITLERSS.EXE

Demkd ...

*Дело не в скорости и экономии времени ( Если Сигнатура ), а в получении нового Образца для изучения

Есть ли смысл ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Поэтому и есть необходимость даже при авто. добавлении сигнатуры в скрипт помещать копию файла в ZOO.

Что касается "Убить файл по "прямому пути"?

А если сигнатура не сработает? Да пусть даже и сработает...

Что с вами делать RP55, я не знаю, поскольку вы пишите так же быстро как и думаете. :). А и не хочется флейма сверх меры добавлять, но хочется заметить, что в настоящее время автоскрипт так и работает: addsgn+zoo.

Пока не было случаев, чтобы убиение по сигнатуре не сработало (в нормальном режиме или в безопасном) или удалило что-то другое вместо вредоносного файла.

ZloyDi убивает по "прямому пути" и тоже весьма эффективно.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
Дело не в скорости и экономии времени ( Если Сигнатура ), а в получении нового Образца для изучения

Если есть сигнатура то есть и образец... поскольку zoo уже автоматизирован при добавлении сигнатуры :)

Другое дело что сигнатурный поиск может захватить и новые модификации определенного трояна, но тут уже видно по статусу полное совпадение сигнатуры или минимально необходимое и добавить образец в zoo ручками не проблема, поскольку это одно единственное действие этими самыми ручками. В случае же удаления по пути действий будет заметно больше даже если ввести его автоматизацию, что в принципе можно сделать в качестве отключаемой опции. Да и полноценный антивирус должен хватать и рвать все моды трояна по сигнатуре одного его образца, раз уж примитивный сигнатурный движок uVS смог распознать сходство.

Еще один минус удаления по пути - это возможное присутствие запасного тельца трояна под другим именем которое пропустил оператор или автоматическая смена имени основного тела зловреда в автозапуске при каждом перезапуске системы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Если есть сигнатура то есть и образец... поскольку zoo уже автоматизирован при добавлении сигнатуры :)

Отчасти, PR55 прав в том, что сигнатура и реальный зверь на разных концах находятся в случае лечения по образу автозапуска. Сигнатура из образа попадает в базу хелпера на одном конце, а на другом - ZOO не всегда юзер отправляет в вирлаб. Как только поднимается и обновляется антивирус - юзер зачастую исчезает с форума.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
Как только поднимается и обновляется антивирус - юзер зачастую исчезает с форума.

А с этим уже ничего не сделаешь :)

Разве что кто-то (не я) напишет отдельную утилитку для принудительной отправки всех архивов с зловредами... куда-надо, а вызывать ее можно exec-ом из скрипта, соотв. можно раздавать архив с такой утилиткой в комплекте.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd

Что касается автоматизации delall в след. версии будут введены доп. настройки доступные только в settings.ini:

(интерфейсных настроек НЕ будет)

[settings]

; при добавлении сигнатуры добавлять в скрипт полный путь до файла в виде комментария

bAddComment = 0 (1 по умолчанию)

; Автоматически копировать в zoo файл, удаляемый с помощью команды delall (кроме сетевого режима)

bAutoZooOnDelAll = 1 (0 по умолчанию)

; Автоматически блокировать запуск файла по MD5, удаляемого с помощью команды delall или

; при добавлении сигнатуры файла в _базу_

bAutoBL = 1 (0 по умолчанию)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy

Может, имеет смысл сделать более универсальным режим сверки образов автозапуска?

Не только при сверке образа пассивной и активной системы при обнаружении руткитов, а вообще сравнить два любых образа (снимка) одной системы, которые сделаны в разное время.

Скажем, создаю ЭТАЛОННЫЙ образ автозапуска заведомо чистой системы, сохраняю его в отдельную или текущую папку.

Далее, через некоторое время запускаю uVS, получаю НОВЫЙ список объектов автозапуска,

и хочу обнаружить, какие изменения произошли в данном списке.

Здесь можно добавить несколько фильтров просмотра результирующего списка:

НОВЫЕ - те что пришли в образ автозапуска за текущий период;

УДАЛЕНЫ - те, что исчезли из образа автозапуск за текущий период;

ИЗМЕНЕНЫ - те что были изменены за текущий период.

Из программ анализа автозапуска по изменениям, реализовано это, насколько знаю, лишь в Eset Sysinspector, но там довольно сложно разобраться - общий список объектов с кучей мелких (визуально неразличимых) иконок, которые что-то означают, и отследить изменения в автозапуске, имхо, нетривиально.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Что касается автоматизации delall в след. версии будут введены доп. настройки доступные только в settings.ini:

это полезные будут настройки - иногда не хочется перегружать скрипт лишними закомментированными строками.

видимо, соглашусь с PR55 по поводу возможности сохранения текстового лога (что вызывается по ALT+L) - например, командой скрипта,

перед RESTART,

при необходимости, можно будет запросить сохраненный лог для анализа выполнения скрипта.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
demkd
Может, имеет смысл сделать более универсальным режим сверки образов автозапуска?

Идея может и хорошая, но я не вижу реального применения этому режиму.

То что добавилось или изменилось/обновилось легко обнаружить с помощью файла сверки, если только добавилось то можно ткнуть в фильтр по дате и выбрать весь автозапуск - тут даже сохранять ничего не нужно.

при необходимости, можно будет запросить сохраненный лог для анализа выполнения скрипта.

Ладно, может сделаю скриптовую команду для сохранения лога в Zoo или скорее переложу эту бесполезную фичу на czoo.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
santy
Идея может и хорошая, но я не вижу реального применения этому режиму.

То что добавилось или изменилось/обновилось легко обнаружить с помощью файла сверки, если только добавилось то можно ткнуть в фильтр по дате и выбрать весь автозапуск - тут даже сохранять ничего не нужно.

А режим сверки в uVS работает только из под НЕАКТИВНОЙ системы. Может, открыть эту функцию и для АКТИВНОЙ системы? тогда - это то , что надо. (как дополнительный сервис). Сверка списков автозапуска может пригодиться для изучения проблемных ситуаций на машине. Допустим так: делаем образ автозапуска системы (сохраняем файл) - но с проблемой не получается разобраться. Или удаляем что-то из системы с целью скорректировать работу системы. Наблюдаем за проблемой. Возможно какие то файлы будут восстанавливаться или изменяться по той или иной причине. Из-за существующей и не решенной проблемы. Делаем новый образ и сравниваем с предыдущим из под активной системы. Анализируем - почему. т.е. руткиты мы таким способом не обнаружим, но для разбора других проблем системы может пригодиться.

т.е. функция сверки из под НЕАКТИВНОЙ системы - это радикальный метод. И он (для рабочей станции) в локальной сети, например, требует определенных телодвижений. Сверка из под АКТИВНОЙ системы более ПОВЕРХНОСТНА, конечно. НО БОЛЕЕ УДОБНА в сети. И возможно в ряде случаев ее будет достаточно чтобы разобраться с проблемой.

Ладно, может сделаю скриптовую команду для сохранения лога в Zoo или скорее переложу эту бесполезную фичу на czoo.

Может и имя ему давать такое же, как формируется имя архива при выполнении czoo.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • kolobok
      Волшебные слоты казино  https://casinofaraon-sloty.com можно играть с помощью смартфонов или мобильных телефонов. Казино очень дружелюбно к мобильным телефонам. Вам не нужно загружать клиент к вашей системе, потому что вы можете наслаждаться игрой азартного бесплатно или на реальные деньги с помощью своих мобильных телефонов.
    • AM_Bot
      R-Vision Incident Response Platform – решение для автоматизации реагирования на инциденты информационной безопасности, разработанное российской компанией R-Vision. Платформа R-Vision IRP, как и любой SOAR-продукт, нацелена на то, чтобы стать единой точкой, в которой для работы аналитика SOC аккумулируются данные обо всех инцидентах ИБ и обеспечивается координация работы команды.   ВведениеИнтеграция с внешними системами в R-Vision IRP 4.22.1. Интеграция с SIEM2.2. Интеграция со средствами защиты информации2.3. Универсальная интеграцияУправление инцидентами в R-Vision IRP 4.23.1. Карточка инцидента3.2. Жизненный цикл инцидента3.3. Работа со списком инцидентов3.4. Возможности совместной работы3.5. Управление задачамиАвтоматизация в R-Vision IRP 4.24.1. Коннекторы4.2. Сценарии реагирования4.3. Применение автоматизацииУчет активов и управление уязвимостями в R-Vision IRP 4.25.1. Ресурсно-сервисная модель5.2. Управление уязвимостямиОтчетность и визуализация в R-Vision IRP 4.26.1. Графики и контрольные панели6.2. Геокарта и карты сетей6.3. Отчетность и экспортMulti-Tenancy в R-Vision IRP 4.2Выводы ВведениеИнцидент безопасности, будь то фишинговое письмо, вирусное заражение или попытка взлома сайта, попадает к сотруднику служб ИБ, как правило, в виде первичной информации от средств защиты — совокупности событий. Далее работают три фактора. Во-первых, для того, чтобы расследовать инцидент, нужен контекст — та информация, которая позволит его правильно интерпретировать: имена учетных записей должны стать именами живых людей, «свои» IP-адреса — превратиться в серверы и рабочие станции, узлы, с которых производится предполагаемая атака, — обрасти данными о регистрации доменов, рейтингами на основе результатов киберразведки и т.п. Во-вторых, в отношении инцидента необходимо принять меры — как технические (завершить вредоносный процесс, заблокировать учетную запись пользователя, остановить трафик на сетевом экране, удалить вредоносное письмо), так и организационные (оповестить пользователя, подключить к расследованию узкого специалиста, выдать задачу в службы ИТ). Наконец, третий и основной фактор — время. Сколь угодно качественное расследование инцидента будет лишено смысла, если не отреагировать вовремя.Системы класса SOAR, к которым относится и R-Vision IRP, нацелены на автоматизацию обработки инцидентов — как с точки зрения взаимодействия с внешними системами (принятие мер, обогащение), так и с позиций алгоритмизации процесса реагирования, когда создаются сценарии отклика на инциденты (англ. playbook). Высшая цель этого класса решений — сделать так, чтобы система в зависимости от типа инцидента шаг за шагом направляла пользователя по соответствующему алгоритму реагирования, оставляя за человеком определяющие решения и автоматизируя всю оставшуюся рутину.Ранее мы публиковали обзор R-Vision IRP 3.1, где подробно описали процесс инсталляции и первичной настройки продукта, архитектуру, схему лицензирования и другие технические детали. Поскольку в новых выпусках никаких глобальных изменений с этой точки зрения не произошло, перейдем сразу к самому интересному — возможностям обработки инцидентов и реагирования; здесь производитель как раз хорошо и плодотворно поработал.В последних релизах активно развиваются инструменты для командной работы и конструктора статусной модели инцидента, функциональность автоматизации реагирования. В частности, были добавлены следующие возможности:конструктор запросов для взаимодействия с внешними системами,графический редактор сценариев реагирования,нелинейные циклы обработки инцидентов,автоматическое распределение инцидентов между пользователями,универсальная интеграция с базами данных,конструктор графиков,поддержка корпоративных инсталляций в режиме Multi-Tenancy. Рисунок 1. Раздел «Инциденты» в системе R-Vision IRP Интеграция с внешними системами в R-Vision IRP 4.2Инцидент в R-Vision IRP может быть создан не только вручную, но и автоматически, на основе данных, полученных из внешних систем. На практике, если зрелость процессов и объемы происшествий в организации позволяют принять решение о внедрении SOAR, то основным случаем использования становится, как правило, именно автоматизированное создание инцидентов.Интеграция с SIEMВ оптимальном случае основным «поставщиком» инцидентов в SOAR являются SIEM-системы. Для разработок основных игроков рынка (ArcSight, QRadar, MP SIEM и ряда других) в R-Vision реализованы двусторонние интеграции, позволяющие как получить данные извне, так и синхронизировать статус инцидента между системой SIEM и SOAR. Рисунок 2. Список вариантов интеграции для получения инцидентов из внешних систем По умолчанию R-Vision IRP предполагает обработку уже скоррелированных инцидентов с нормализованными полями. Однако работа с «сырыми» событиями также возможна — для интеграции с SIEM предусмотрена возможность запроса событий с их отображением непосредственно в интерфейсе R-Vision.Интеграция со средствами защиты информацииВ системе представлены варианты интеграции с решениями таких вендоров, как Kaspersky, InfoWatch, Symantec, Positive Technologies, «Код Безопасности», Tenable, McAfee и ряда иных. Некоторые из этих сценариев направлены на обогащение ресурсно-сервисной модели, другие — на импорт инцидентов.Вполне ожидаемо, что система от R-Vision поддерживает работу и с недавно представленной на рынке собственной платформой киберразведки (R-Vision TIP).Универсальная интеграцияДля получения данных из произвольных систем в R-Vision IRP заложено несколько универсальных механизмов. Это:REST API, посредством которого в системе можно создавать и изменять инциденты;почтовая интеграция, в рамках которой текст посылаемого в систему сообщения электронной почты интерпретируется как описание инцидента, в том числе с возможностью распознавания значений полей по тегам;появившаяся в версии 4.2 интеграция с базами данных, позволяющая извлекать информацию о происшествиях с настройкой соответствия между полями БД и полями карточки инцидента (т.н. «маппинг»). Рисунок 3. Настройка интеграции с внешней базой данных  Для «раскладывания» данных, поступающих извне, по полям карточки инцидента используются регулярные выражения, которые могут быть заданы для каждого поля в системе. Управление инцидентами в R-Vision IRP 4.2Учет инцидентов — базовая функциональность для систем класса SOAR. Данные о происшествии надо структурировать для удобного вывода и поиска; кроме того, нужно дать команде реагирования возможность совместной работы над инцидентом. Посмотрим, что предлагает в этом отношении продукт от R-Vision.Карточка инцидентаИнциденты в системе R-Vision IRP классифицируются по категориям и типам. При этом перечень категорий и входящих в них типов является полностью настраиваемым. Например, можно создать категорию инцидента «Вредоносное программное обеспечение» и включить в нее типы «Попытка доставки» и «Заражение». Рисунок 4. Настройка категорий и типов инцидентов  Карточка инцидента в системе R-Vision IRP представляет собой набор полей, который настраивается также в привязке к категории и типу. Поддерживаются следующие типы полей:текстовые;числовые (включая денежные);список с привязанным справочником;дата / время;флажок («чекбокс»);выбор пользователя. Рисунок 5. Создание нового поля в системе  Для примера, показанного выше, мы можем:создать текстовое поле «Классификация ВПО» и привязать его к категории «Вредоносное программное обеспечение»;создать поле «Способ доставки» с привязанным к нему справочником для типа «Попытка доставки»;включить в тип «Заражение» поле «Способ выявления». Рисунок 6. Настройка состава полей для типа  Приведенный пример, разумеется, является вырожденным, но он демонстрирует конструктор карточки инцидента в действии.Помимо набора полей к инциденту привязаны:«свидетельства» (файлы);«активы» (оборудование, пользователи и другие сущности из ресурсно-сервисной модели);«действия» (механизм реагирования, запуск которого инициирован для инцидента либо вручную, либо в рамках автоматического сценария). Рисунок 7. Примеры разделов карточки инцидента Жизненный цикл инцидентаОдним из нововведений, представленных в версии 4.2, стал нелинейный цикл обработки инцидента. Цикл обработки представляет собой совокупность статусов, которые может принимать происшествие, и правил перехода между этими статусами. Для разных категорий инцидентов могут быть назначены разные циклы обработки.Продолжая развивать наш пример (см. выше), к категории «Вредоносное программное обеспечение» можно привязать цикл обработки, как показано на рисунке 8. Рисунок 8. Пример схемы нелинейного цикла обработки инцидента  В этом примере можно разрешить закрывать инцидент, например, только группе пользователей «Старшие аналитики». Настройка такого ограничения будет выглядеть в системе следующим образом (рис. 9). Рисунок 9. Настройка переходов по рабочему процессу (workflow) инцидента Работа со списком инцидентовОсновной рабочий экран системы SOAR — список текущих инцидентов. В системе от R-Vision он представляет собой таблицу, в колонках которой выводится содержимое соответствующих полей. Рисунок 10. Список инцидентов  Несмотря на несколько перегруженный вид таблицы, ее можно настроить под собственные нужды — состав и порядок колонок может быть легко переопределен пользователем. Рисунок 11. Настройка списка инцидентов  По поводу фильтрации инцидентов следует заметить, что найти ее в интерфейсе трудно: опция спрятана в настройки колонок (впрочем, разработчики обещают исправить эту ситуацию в ближайших релизах). Функционально, тем не менее, она позволяет задать произвольный фильтр, который может быть закреплен в интерфейсе как отдельная вкладка, и это — довольно удобно. Рисунок 12. Настройка фильтра  Так, например, применив фильтр по статусу инцидента, мы можем создать отдельные вкладки для вывода необработанных инцидентов (статус «Создан») и инцидентов в работе (все остальные статусы, кроме «Закрыт»). Рисунок 13. Вкладка из сохраненного фильтра  Интересной опцией является возможность тиражирования интерфейса: после настройки для одного пользователя (выводимые поля инцидентов, фильтр по полям, вкладки) можно распространить его и на других операторов системы, назначив интерфейсом по умолчанию для той или иной группы. Рисунок 14. Распространение настроек интерфейса  Карточка инцидента выводится в системе в двух вариантах — в виде боковой панели и в качестве отдельной вкладки с выводом данных во всю ширину окна браузера. Таким образом, возможны и быстрый просмотр инцидентов при переходе между записями в таблице, и работа с выбранным инцидентом с максимальной концентрацией на его содержимом. Недочетом можно назвать различие в поведении системы при работе с «маленькой» и «большой» карточкой инцидента: в первом случае изменения, вносимые в инцидент, сохраняются «на лету», во втором — только по нажатию кнопки «Сохранить». Рисунок 15. Боковая панель инцидента  Рисунок 16. Полная карточка инцидента в новой вкладке  Помимо собственно полей с данными в карточке инцидента доступны другие разделы (прикрепленные файлы, чат по инциденту, связанные активы и др.), функциональность которых рассмотрена в этом обзоре отдельно.Возможности совместной работыДля обеспечения возможности командной работы с потоком инцидентов система предлагает внушительный набор функций. Помимо назначения на инцидент ответственного лица, R-Vision предлагает формировать рабочую группу по инциденту, привлекая к разбирательству необходимых специалистов. Рисунок 17. Управление рабочей группой по инциденту  И назначение ответственного лица, и включение участников в рабочую группу можно производить как вручную, так и в рамках автоматических действий в зависимости от заданных критериев. Например, к разбирательствам по инцидентам, которые происходят на узлах из группы «Рабочие станции», можно автоматически подключить администраторов инфраструктуры Microsoft. Рисунок 18. Автоназначение рабочей группы в зависимости от критериев  Еще одна очень интересная опция спрятана в автоматическом действии «Назначение». Начиная с версии 4.2, ответственного за инцидент можно назначить из заданной группы. При этом внутри такой группы события будут динамически распределяться исходя из загрузки ее участников: новый инцидент будет назначен тому пользователю, которому в текущий момент вменено меньше всего происшествий. Распределять инциденты таким способом можно как между всеми участниками группы, так и только между теми, кто находится в статусе «онлайн». Рисунок 19. Настройка динамического распределения инцидентов  Таким, возможно, не совсем очевидным образом в системе реализован механизм распределения нагрузки, который крайне полезен при организации работы SOC в несколько линий, да и в целом при работе команды.Еще один инструмент взаимодействия — чат по инцидентам. Среди разделов карточки инцидента он скрывается под названием «Комментарии». Начиная с версии 4.2, в чате стала возможной отправка сообщений с упоминаниями пользователей; также был переработан интерфейс, который в итоге стал больше напоминать то, что мы привыкли видеть в мессенджерах. Рисунок 20. Чат по инциденту Управление задачамиПоследний функциональный пласт, сопряженный с процессом управления инцидентами, который нам хотелось бы осветить, — это «Задачи». Он аналогичен тому, что в базовом виде предоставляют автономные диспетчеры: дает возможность вести список задач и распределять их между сотрудниками. Рисунок 21. Раздел «Задачи»  При этом задачи могут формироваться как вручную, так и (что действительно важно) автоматически из других функциональных блоков системы. Например, при обнаружении вредоносного программного обеспечения можно автоматически поставить задачу по ретроспективному поиску выявленных для него индикаторов компрометации. Рисунок 22. Создание задачи из инцидента  Для задач, созданных из инцидента, возможно управление их статусами непосредственно из диаграммы действий по инциденту. Рисунок 23. Управление задачей из плейбука по инциденту  Работа с задачами может оказаться довольно полезной для сложных систем и больших организаций, потому как позволяет полноценно упорядочить работу исполнителей.Поддерживаются экспорт задач и их синхронизация с системой HP SM. Автоматизация в R-Vision IRP 4.2Одна из ключевых задач систем класса SOAR — автоматизация тех рутинных процессов, которые сопряжены с обработкой инцидента, будь то обогащение в процессе расследования или принятие мер, инициируемое по его результатам. Посмотрим поближе на ту функциональность, которую продукт R-Vision предлагает в этой части.КоннекторыОсновная «боевая единица», обеспечивающая решение задач по взаимодействию SOAR с внешними системами, в случае R-Vision называется коннектором. Коннектор — это заранее настроенный скрипт, запуск которого может быть инициирован в процессе обработки происшествий как вручную, так и автоматически в рамках сценария реагирования. Например, коннекторы могут использоваться для:обогащения инцидента информацией из внутренних (CMDB, AD и т.п.) и внешних (TI, RIPE и т.п.) систем;выполнения действий по ликвидации инцидента на оконечных узлах (блокировка пользователя, завершение процесса, удаление файла и др.);принятия мер на сетевом оборудовании (добавление правила по запрещению прохождения трафика, блокировка устройства на порту коммутатора и т.п.). Рисунок 24. Раздел настроек, посвященный настройке коннекторов  Поддерживается создание коннекторов для CMD, PowerShell, REST, SOAP, LDAP, SNMP, SSH (с полезной нагрузкой на Shell, Java, JS, Python), СУБД (Oracle, MS SQL, PostgreSQL, MySQL). Если говорить об их функциональном наполнении, то оно ограничено лишь фантазией пользователя.Запускаемый в рамках реагирования коннектор может работать с карточкой инцидента — отправлять вовне содержимое заданных полей или записывать результат в указанное поле. Например, коннектор для получения вердикта VirusTotal по хешу из карточки будет выглядеть так (рис. 25): Рисунок 25. Пример коннектора для обогащения из сервиса VirusTotal  Для постобработки данных, возвращаемых коннектором, может быть применено регулярное выражение. В случае коннекторов к командным оболочкам (SSH, CMD) эта функциональность, возможно, является не самой актуальной — удобнее обработать информацию собственным скриптом, — но при получении сведений по HTTP (REST) или из баз данных это может пригодиться.Сценарии реагированияЕсли коннекторы представляют собой автоматизацию атомарных действий, то функция сценариев нацелена на то, чтобы выстроить алгоритм реагирования на инцидент, на каждом шаге которого выполняется то или иное действие — как из числа созданных в системе коннекторов, так и из набора стандартных операций. К последним относятся:уведомление по электронной почте с возможностью сформировать текст с подстановкой данных из полей инцидента;запрос информации через электронную почту (ответ на письмо-запрос будет прикреплен к инциденту);назначение пользователей, участвующих в обработке инцидента;модификация данных инцидента;постановка задачи пользователю;сканирование оборудования, связанного с инцидентом;запрос событий в SIEM (для ArcSight, QRadar);создание инцидента в HP SM.Сценарий реагирования (или плейбук, если пользоваться сложившейся на рынке терминологией) позволяет выстроить процесс реагирования с использованием базовых шаблонов программирования, но без написания кода. Пользователь работает с графическим редактором. Рисунок 26. Пример сценария для назначения ответственного лица и рабочей группы  Сценарий может представлять собой линейную последовательность действий или «ветвиться». В сравнении с версией 3.1, обзор которой ранее публиковался на Anti-Malware.ru, работа с графическим редактором стала комфортнее — добавление действий и изменение их последовательности производятся за счет манипуляций со стрелками, которые вытягиваются из блоков, как показано на рисунке. Рисунок 27. Пример сценария обогащения индикаторов в процессе редактирования  Ветки сценария могут выполняться параллельно либо запускаться в зависимости от заданного условия. Визуальный конструктор для условного оператора носит имя «Решение» и похож на используемую в программировании конструкцию «case». Присутствует возможность принять упомянутое решение автоматически (в зависимости от значений полей карточки инцидента или связанных активов) либо доверить его оператору системы. Рисунок 28. Пример сценария с ручным принятием решения  Коннекторы в сценарии могут быть запущены как единожды, так и циклично. В качестве критерия останова может выступать заданное число итераций цикла или условие, настроенное на значение какого-либо из полей карточки инцидента.Применение автоматизацииВся описанная выше автоматика может запускаться и вручную, и самостоятельно. В последнем случае настраиваются критерии запуска, роль которых могут играть значения полей и признаки связи заданного оборудования с инцидентом. Есть возможность сочетать критерии при помощи логических операторов. Например, для запуска одного из сценариев реагирования, приведенных в предыдущем разделе, назначены два условия: должны сработать первый и второй критерии одновременно или только третий (рис. 29). Рисунок 29. Пример настройки критериев запуска сценария реагирования  Автоматические действия, выполняемые для инцидента, отображаются в виде графической диаграммы, с которой в случае «ручных» переходов между операциями взаимодействует пользователь. Различными цветами на диаграмме отображаются  завершившиеся, выполняемые и ожидающие своей очереди действия. Рисунок 30. Отображение автоматики в процессе выполнения  Таким образом, средства автоматизации, предлагаемые в системе, располагают достойным инструментарием для «программирования без кода». В системе возможно создание собственных коннекторов с использованием хорошего набора протоколов, которым можно охватить большинство практических задач; сценарии реагирования обладают гибкостью, достаточной для построения сложных последовательностей действий.Если вспомнить версию 3.1, которая ранее тестировалась нами, то чувствуется, что новый продукт был «обточен» практикой: появилось много нововведений, нацеленных на то, чтобы сделать средства автоматизации внутри системы функционально полными (произвольные ветвления, сочетания критериев и т.д.). Как недостаток можно отметить не очень интуитивную процедуру настройки автоматики, что, по словам вендора, можно компенсировать обучением. Учет активов и управление уязвимостями в R-Vision IRP 4.2Существенным отличием платформы R-Vision от собратьев по классу SOAR является наличие функциональности по инвентаризации и учету активов, а также контролю уязвимостей.Ресурсно-сервисная модельCMDB в системе представлена в разделе «Активы». R-Vision предлагает сформировать ресурсно-сервисную модель и поддерживать ее актуальность за счет инвентаризации с использованием собственного сканера сетевых хостов и модуля безагентского сбора информации с оконечных узлов, а также путем импорта информации о хостах из множества внешних систем.R-Vision IRP поддерживает сложные иерархии объектов с поддержкой таких сущностей, как «Организация», «Подразделение», «Бизнес-процесс», «Группа ИТ-активов», «Сеть», «Оборудование» и «Персонал». Объекты CMDB можно связать также с характером обрабатываемой информации или помещением.Важное преимущество наличия в SOAR элементов CMDB заключается в том, что атрибуты информационных активов (например, степень важности, принадлежность к какой-либо системе или бизнес-процессу, контакты ответственного лица) доступны пользователю системы непосредственно после привязки оборудования к инциденту. В результате аналитик имеет дело не с «голыми» IP-адресами, а с узлами сети, у которых есть название, ответственный сотрудник, гриф обрабатываемой информации и иные атрибуты. Рисунок 31. Раздел «Активы»  Второй нюанс, на который хотелось бы обратить внимание, — возможность работы с конфигурацией узлов. Для каждого хоста при настройке инвентаризации и соответствующей интеграции с внешними системами доступна следующая информация:сведения о операционной системе;статус антивирусного программного обеспечения;статус автоматического обновления;статус USB-портов;статус межсетевого экрана;информация о программном обеспечении, установленном на хосте;технические характеристики хоста (мощности и использование процессора, ОЗУ, накопителей);информация о составе пользователей рабочей станции и времени последнего входа.Таким образом, раздел «Активы» системы от R-Vision предоставляет (безотносительно к функциональности по обработке инцидентов) весьма богатые возможности, позволяющие выявлять и исправлять нежелательные конфигурации на оконечных узлах, вести статистику и проводить оперативную аналитическую работу.  Рисунок 32. Характеристики хоста, полученные из скриптов инвентаризации  В дополнение к автоматически собираемой информации присутствует и возможность запуска скриптов для сбора расширенных сведений. Например, при помощи поставляемых с системой скриптов можно получить список автозагрузки на Windows-хосте или информацию о запущенных процессах. Всего в комплект поставки входит несколько десятков скриптов. Рисунок 33. Скрипты автоматизации в карточке оборудования  Помимо собственных модулей инвентаризации, источником сведений для управления активами является интеграция с внешними системами, среди которых:CMDB-системы (Naumen, Micro Focus);средства защиты информации (Kaspersky, Symantec, InfoWatch, SecretNet);системы мониторинга и управления ИТ-инфраструктурой (Microsoft System Server Configuration Manager, Active Directory, Zabbix);другие, порой довольно специфичные системы (например, Atlassian Jira).Для  систем, не поддерживаемых напрямую, предусмотрена универсальная интеграция с базами данных.Сведения, полученные из внешних источников, соотносятся друг с другом при помощи алгоритма слияния, цель которого — исключить создание дублей. На уровне настроек можно также определить, какие внешние системы будут являться первоисточниками информации о тех или иных объектах (опция «не создавать новые узлы») и какими сведениями следует обогащать данные об оборудовании (блок настроек «Импорт дополнительных данных)».Управление уязвимостямиФункциональность по управлению уязвимостями, с одной стороны, неотделима от встроенной CMDB, а с другой — представляет собой автоматизацию совершенно самостоятельного процесса.Система R-Vision производит сбор данных от сканеров уязвимостей, в числе которых — MaxPatrol, XSpider, Nessus, Nexpose, Qualys, RedCheck. Также информацию об уязвимостях можно получить из интеграции с «Антивирусом Касперского». Дополнительным источником для обогащения сведений об уязвимости служит сервис Vulners.Работа пользователя с аккумулированной таким образом информацией возможна несколькими способами.Исходя из общего списка уязвимостей, где для каждой бреши доступен список оборудования, на котором она зафиксирована. Рисунок 34. Раздел «Уязвимости»  Исходя из списка оборудования, где для каждой единицы доступен список обнаруженных уязвимостей. Рисунок 35. Перечень уязвимостей в карточке оборудования  Исходя из списка бюллетеней безопасности Windows, где для каждого обновления от корпорации «Майкрософт» доступен список узлов, уязвимости которых будут закрыты при его установке. Рисунок 36. Перечень бюллетеней обновлений  Применительно к уязвимости, зафиксированной на том или ином хосте, возможны следующие действия:отметить уязвимость как ложное срабатывание;назначить ответственного сотрудника и сроки устранения бреши;создать инцидент из уязвимости.Таким образом, функции по управлению уязвимостями позволяют собрать воедино информацию об изъянах в программах и конфигурациях, предлагают различные варианты сортировок и отображения, облегчающие выбор первоочередных задач для реагирования в условиях ограниченности ресурсов, и обеспечивают назначение и контроль задач по устранению уязвимостей. Благодаря фильтрам и сортировкам можно выделить, к примеру, хосты с наибольшим числом критических брешей, особо опасные уязвимости, присутствующие на наибольшем количестве хостов, и патчи «Майкрософт», установка которых устранит критические ошибки безопасности на наибольшем количестве хостов. Отчетность и визуализация в R-Vision IRP 4.2Как и любая система класса SOAR, R-Vision IRP предлагает пользователю возможность генерировать различного рода отчеты и выводить статистическую информацию в виде графиков на контрольную панель («дашборд»). Рассмотрим эту функциональность немного подробнее.Графики и контрольные панелиРаздел с дашбордами в системе доступен по щелчку на логотипе вендора. Возможно создание множества панелей, навигация по которым производится путем переключения вкладок. Рисунок 37. Графики на дашборде  Процесс работы с графиками аналогичен тому, к которому привык любой пользователь популярных офисных пакетов. Первый путь добавления графика — выбор среди шаблонов, которые поставляются с системой и могут быть созданы оператором дополнительно. Рисунок 38. Мастер создания графика из шаблона  Второй путь — создать график самостоятельно с использованием конструктора. В этом случае схема стандартна: выбираются тип графика, отображаемая величина, критерии группировки и т.д. Поддерживаются все основные виды визуализации — линейная, круговая, диаграмма с областями, вертикальная и горизонтальная гистограммы. Рисунок 39. Конструктор пользовательских графиков Геокарта и карты сетейОтдельного упоминания заслуживает отображение статистики по инцидентам и активам на карте. Придумать что-то новое в этой нише сложно, но реализация от R-Vision выглядит действительно неплохо — в темных цветах, с автоматическим масштабированием и плавной анимацией. Рисунок 40. Геокарта  Интересная особенность заключается в том, что карты в системе являются не только «красивой картинкой», но и вполне самостоятельным инструментом аналитики. Маркеры на карте отображают не только количество инцидентов, но и их распределение по уровню опасности. По щелчку на маркере непосредственно на карте появляются дополнительные окна с подробной информацией и ссылками для перехода в соответствующие разделы системы. Рисунок 41. Геокарта с расширенной информацией  Помимо информации об инцидентах на карту можно вывести статистику по активам и уязвимостям.В разделе «Карты и схемы» также представлена функциональность по выводу карт сетей и помещений. В этом случае карта строится автоматически на основании данных ресурсно-сервисной модели, описанной в разделе выше. Рисунок 42. Карта сети с выводом информации о выбранном устройстве Отчетность и экспортС системой поставляется более 20 шаблонов отчетов с возможностью их частичной модификации (без изменения структуры). В будущих выпусках разработчик обещает реализовать конструктор отчетов, но деталями с широкой общественностью не делится. Рисунок 43. Раздел «Отчеты» и список шаблонов отчетов  Для заказчиков из банковского сектора будет любопытным то обстоятельство, что  система поддерживает заполнение и отправку через API карточек инцидентов в формате ФинЦЕРТ, а также генерацию отчета 0403203. Рисунок 44. Форма инцидента для передачи в АСОИ ФинЦЕРТ  Экспорт и импорт списка инцидентов возможны в формате Excel.Multi-Tenancy в R-Vision IRP 4.2R-Vision IRP поддерживает режим Multi-Tenancy — возможность изолированной работы нескольких организаций в одном экземпляре системы. Эта опция востребована MSSP-провайдерами и группами компаний с централизованными процессами ИБ.Каждая организация в режиме МТ работает только со своими инцидентами, при этом сотрудникам сервис-провайдера может быть назначен доступ как ко всем организациям в инсталляции, так и к только заданным явно. Рисунок 45. Добавление пользователя с доступом к нескольким организациям  Режим Multi-Tenancy лицензируется отдельно и включается автоматически при добавлении двух и более организаций в систему.С точки зрения взаимодействия пользователя с системой (user experience) включение режима не привносит существенных изменений в интерфейс: объекты системы, которые используются раздельно, получают дополнительный атрибут «Организация», управлять которым можно только при наличии соответствующих прав. ВыводыСистема R-Vision IRP — интересный продукт на рынке автоматизации реагирования на инциденты ИБ. Поддерживая функциональность, которой обладают ключевые представители класса SOAR, система, возможно, и обладает некоторыми интерфейсными шероховатостями, но при этом предоставляет эксклюзивные инструменты, позволяющие выстроить ресурсно-сервисную модель и работать с автоматически обогащенной информацией о сетевых устройствах.Интеграционные возможности системы позволяют «вписать» ее в большое количество инфраструктур безопасности за счет хорошего покрытия рынка готовыми вариантами интеграции и возможностью использовать универсальные способы взаимодействия со сторонними решениями. Хорошо поддержаны как специфичные для российского рынка вендоры, так и основные игроки мирового рынка.В сравнении с версией 3.1 средства автоматизации, представленные в системе, существенно выросли в функциональной полноте. Придумать сценарии, при которых они не позволяли бы реализовать какой-то практический процесс, весьма сложно. На фоне зарубежных конкурентов не хватает, пожалуй, магазина готовых «коннекторов», хотя производитель уверен, что это нивелируется привносимой им экспертизой на этапе внедрения системы.Разработчикам, безусловно, есть над чем поработать, но в целом система оставляет приятное впечатление. Хорошей тенденцией для рынка становится то, что отечественная компания не предлагает надстройку над «джентльменским набором» программ с открытым кодом, а делает полноценный продукт, качественно покрывающий потребности современного SOC.Преимущества:широкий набор вариантов интеграции, в том числе с основными игроками отечественного рынка;конструктор жизненного цикла инцидента, позволяющий выстроить процесс реагирования согласно собственным потребностям эксплуатанта;функционально полный набор средств автоматизации, дающий возможность взаимодействовать в рамках процесса реагирования с фактически произвольными внешними системами и выстраивать сложные ветвления плейбуков;поддержка экспорта инцидентов для выполнения требований отечественных регуляторов;встроенный функционал управления активами и уязвимостями.Недостатки:сложность первоначальной настройки системы;нагруженность интерфейса;отсутствие «магазина» готовых коннекторов. Читать далее
    • Alushaa
      Порекомендую очень хороший сайт https://bubolab.ru/articles/gubnaya-garmoshka-uroki/ Пользуюсь им некоторое время и там можно легко подходящие курсы себе найти, причем даже со скидкой небольшой что очень и очень круто, но тут уж смотрите все сами и решайте тоже, я лично сайтом более чем остался доволен.
    • Pavelll
      Кто может порекомендовать хорошие курсы игры на губной гармошке. Заинтересовался, думаю научиться играть
    • Quinzy
      Новый телефончик не желаете приобрести для супруги ? Сейчас ожидается "Чёрная пятница" у Самсунга и товары можно будет приобрести со скидкой аж до 90%. Правда не думаю, что такая скидка будет на последние модели. Но на них тоже обещают существенное понижение цены. Почитайте тут https://bfday.ru/brendy/chernaya-pyatnica-v-samsung/ когда она проводится и какие ещё привилегии можно получить за участие в "Чёрной пятнице". А ваша любимая останется довольна на 100%. 
×