MaxPatrol SIEM научилась выявлять атаки на Linux FreeIPA

MaxPatrol SIEM научилась выявлять атаки на Linux FreeIPA

MaxPatrol SIEM научилась выявлять атаки на Linux FreeIPA

В MaxPatrol SIEM добавили пакет экспертизы для выявления атак на FreeIPA (альтернатива Active Directory). Новые правила корреляции позволят на ранних этапах обнаружить попытки получения несанкционированного доступа к Linux-системам в домене.

Доля Windows в России все еще высока и сейчас составляет 47,69% (а если из общего объема убрать мобильные ОС, то и того больше). Тем не менее вызванный курсом на импортозамещение переход на отечественные ОС на базе Linux уже заметен, и защита таких инфраструктур становится настоятельной необходимостью.

«Учитывая текущую миграцию корпоративных инфраструктур с Windows на Linux, которая влечет за собой переход с Active Directory на отечественные службы каталогов, большое число компаний может оказаться под угрозой, — отметил Вадим Пантелькин из отдела экспертных сервисов PT Expert Security Center. — В ходе расследований мы изучили, как атакуют FreeIPA, и разработали правила для обнаружения компрометации инфраструктуры».

Новые правила корреляции позволят MaxPatrol SIEM выявить следующую активность в FreeIPA и построенных на его основе решениях (ALD Pro и проч.):

  • разведку инфраструктуры с помощью таких инструментов, как kerbrute;
  • попытки брутфорса и применения метода password spray;
  • подозрительные действия пользователей (массовая блокировка учетных записей, изменение критически важных пользовательских данных и т. п.);
  • LDAP-запросы на получение конфиденциальных атрибутов в домене.

Чтобы воспользоваться новыми возможностями, придется обновить SIEM-систему разработки Positive Technologies до версии 7.0 или выше и лишь после этого установить правила из пакета экспертизы.

Подпишитесь на новости

Баны Claude связали с IP и платежами, но формула блокировок не доказана

На китайском форуме NodeSeek обсуждают причины блокировок аккаунтов Claude. Автор руководства утверждает, что пережил баны более двух десятков платных учётных записей и собрал наблюдения о работе защиты Anthropic. Главные факторы: репутация IP-адресов, окружение устройства и платёжные каналы.

Своими выводами пользователь поделился на форуме. По его предположению, проблемы могут возникать из-за адресов, ранее связанных со злоупотреблениями, следов заблокированных аккаунтов на устройстве и платёжных посредников с историей мошенничества или возвратов.

Но проверить, какой именно фактор вызвал конкретный бан, по этим наблюдениям нельзя.

При этом оригинал заметно отличается от разошедшегося пересказа. Автор не приводит единую систему баллов доверия и не доказывает штрафы за Linux, использование только браузера или работу с моделью Fable.

Высокую нагрузку он связывает преимущественно с ограничением частоты запросов, а не с автоматической блокировкой аккаунта.

Даже внутри обсуждения согласия нет: одни участники подтверждают отдельные наблюдения, другие называют выводы гаданием и приводят противоположный опыт.

Поэтому пока сообщество собирает гипотезы, но универсального рецепта от блокировки не обнаружило.

RSS: Новости на портале Anti-Malware.ru