:  
 


         .  CIO, CISO, SOC-. :   SIEM, UEBA, EDR/XDR, , OT/IoT.  :  , SOAR,  .:  ,  , ROI,  .   ,     .       .      .





:  



 



 ,2025



ISBN978-5-0067-7645-6

     Ridero




 

:  





 1:   :    


   ,    ,     ,   .          (),      -    .      ,       .   ?  .

  :    

       .   -.   ,  ,   .  ,   advanced persistent threats (apt),   ,  .    ,       ,   .

     (ransomware),           ,   .  zero-day 蠖   ,    , ,  .       ,   .

 :   

   ,       .    (soc)  .       .       (false positives)  ,   .          .      ,       - .

 : ,   

 -ࠖ   .    - (on-prem),     (aws, azure, gcp),     (iot)   ,      (ot/ics/scada) .         .         ,     蠖   .

 :   

     .  ,   gdpr , nis2 ,    hipaa ,      ,    .    ,     ,    .  ,       ,   ,   .

   :   

     ?      :

    (mean time todetect mttd):  ,        .    (, ibm  ponemon institute),         . ,     ,      !      ,  :  ,      ,   .

   (mean time torespond mttr):  ,    ,  ,    ,       (  ,   ,  ).         .    ,     .

?   .           (, , )    -  ,     .       gdpr   .       ,     .

   :   

    -軠   ,  ,    ࠖ  : ,      .   .  ,  :

  :   ,   .

   :     ,   .

 :       ,   .

 :       .

 ,      ,    ()   ,     (). Ƞ  堫  .   ,      ,           .      ,            .




 2:   /  :  


    ,      . ࠖ   ()   (). ,     soc,   ,   .     Ȼ  ?     ,    .   ,   ,     .

  (ml)   (dl):   

    soc.   ,     ,  .     .     : ,     .    .    .   ddos-.  -         .   (ml)       .          .

   ?

 ࠫ 蠫:    ml    . ,   ,  ,    , 堖  (  edr   ).

 :    ,  ,    ,      (,  , , ,  ,  ,  ).

 :       .       蠖 ,        .

  :     ,   ,    ,    (//),   (   )        .

  (deep learning dl)      ml,     ( ). Dl      ,  , :

   ():        ,    .

   :          (,   ,  ,   ).

 (      ).

 :        .    .    ddos      soc   . Ml-,    (     ddos-),  .    ,  :  (   vs.     ),   (   api vs.   , ),  .  ,    , ,   . Ƞ,    ddos,     ,       .

   (nlp): ,   

, ,  ,  ,  堖       .       .    (natural language processing nlp)   ,    ,     .

   ?

  : nlp    ,    (ip-, ,  ,  )       .    soc     .

 threat intelligence: nlp     ( )   : , , ,   .     ,  ,  ,   ,  ttp (,  ) ,    .

  :    (,      )      (siem)    ,    .

    : nlp         ( )  .

 :   (threat intelligence)    nlp-. ,    -,   .         ,    ,          . Nlp    ( ,  )     .   soc    (  ,   )    ,  .

  (ueba/nta):  ,  

, ,    /    ,  ,    .  :  ,      , ,       .       ,      ,        .

  ?

   (baseline):  ( ml)      (, ).  ,       (   ,   ,    /),   (  cpu,  ),     ( , ,  ).

 :  ml (   dl)       .     :

   3         .

,   ,       ip-.

       .

    ,    .

 :    !.    ( ?   ?  ?) Ƞ .       (, , , ).   soc  .

  :

Ueba (user and entity behavior analytics):    ()  ( , , ).  :     (credential theft),   (  ),     ().

Nta (network traffic analysis) :     ( /  ).  :      (c&c),   (data exfiltration),   ,    ,   .

 :    ueba-       .    : ,       ,  2:45      (    )      (     )  ,     -.    ,  ,    蠫         .  soc     .  ueba  , ,         .

: / , 

   :   ᠖   , ,    .    -,    ,         .  ࠖ :

   ,     .

 ,      .

   (,  ),     .

  ,  .

 :  堖   (garbage in, garbage out).  -      ,      (, ,  ).          ,  ,   .     ,          soc, ,   .




 3:  soc:     (detection)


    (soc)   .   ,  , .    ,  ,   ,      .  siem (security information and event management)  soc    .       ,  ,  siem 砫  ⠫ .  ,      soc   (detection).

1. Siem :   -   

 siem   ()   :  , ,  , ,   .  ࠖ   ,    ,    . ?  ,  ,    ( 5   )    .      (false positives fp):     .   70%   !

   siem?

  :     (ml)    .   ,      ( +   +  + )      , 堖   .

   :     .    ,     頖   ,    (, , ,  ,  ).         .

 :        :  ip-  ?     ?    ?      ,      .

 ,   (apt):     ,   , .      ,      ip   ,    ,  .

  ( ):    siem    10000.   -   ,  ,    ,  300500.   ?    :           ip (: ,    ).      fp. -   , ,    24:    ip  ,      ;        ip;   threat intelligence  ,      .              . Soc  ,  ip    ,    .

2.   (ueba):    

     ,      ,    . Ueba (user and entity behavior analytics) Ƞ      .

   soc?

  :   ,     ( )   ,  , , .  , , ,     -    .

   :       . :

   (credential theft):          ,    ,    .         .

  (malicious insider):   (, )     ,    ,        .

   (negligent insider):        . Ueba      (  )    .

  :    !.   :  ,   ,  . 堖     (high/critical),   soc.

  ( ): ueba-         .          2: 1)   2:30 (   918); 2)   ,      (   ,      ); 3)     (2)  ; 4)         - (    +   ).            . Soc     hr. ,         .     .

3.    (nta) :  

    .      ,        . Nta (network traffic analysis) Ƞ      ,  ,     ids/ips.

   nta soc?

    (c&c):    (apt)       (, https, dns)     .     (, , , , )   (,  dns-    ),     ,   .

   (data exfiltration):         .    ,    .           ,        (, icmp,  tcp-),     ip/ (threat intelligence).

  :     .         /       .

   :        ?     dmz?           ,        .

  (): nta-         (),  .     ,     ip-,  ,   .   heartbeat  ,   .      ,   .     . Soc-   ot     . ,                   .   .

 :     ?

  soc (  siem, ueba  nta)    ,     .  堖  .

   :    ,     .        .   ໠    .

 :       (, , , ,  ,  ),     .     .

 threat intelligence:     (ioc  , ttp ,   )   (  ).        ip, ,        .

 : ,       .    ,  failed login cisco asa 蠫logon failure windows security log , ,  .

蠖   soc,   .     :   ,      ,        ( , ,  c&c,  ).   soc   mttd ( ),    ,      ,       .  soc,  ,          .     ,     ,  .




 4:   :   


    .   ,    ᠖  . ,    ,        ,    ?  .  ,       .         (detection)    (prediction)  . ,     -  ,  -  .

1.  ttp:    

,   (apt),  .    ,   (tactics, techniques, and procedures ttp).     -. ,     ,    ,  ,  ,  . ,      ( , ,    ,   mitre att&ck),    ttp .

   ?

  :     ,    ttp. ,     

  :  ,    ( ? R&d?),    ,      .

  :        ,       . :      ,  85%     crm-      48.

  :   .    :      crm;       72;            ;     .

:    ,     , soc     ,         (threat hunting)    .

2.   :   ?

 vulnerability management        ,     (cvss score).      ,    :

 :   ,   ? (  vs.  ).    ? (pii, ,  ).    ?

 :     (waf, ips),     ?       ?   ?

 :  ,       (exploited inthe wild)?   ?     ,    ?    (poc)?

 :            ?

     ?

 :     ,    (cmdb),    (threat intelligence),   ips,   .

 :  ml            .

  :    cvss,            (, , ).

 :       ,        (,   ).   soc        ,  .

:         -      -.

3.    /:  

    ,      ,      .   .

  ?

 :  , ,   蠖           .

  :   ,    (,    ),      .

  :    ,     (, pos- , scada , moveit  ).      .

  :  ,  ,        .

  ():    ()   ,  ,  .

  ?

 :  soc,  -   .  ,   ,     (irp).

 :      (   ,   砫 ),    ,     .

 :        -.

 : -            : 1)      ,  ,     ; 2)     (  !)  rce-  ; 3)        .       :   (75%)       model x   dd.mm  dd.mm   ransomware    .




  .


   .

   ,     (https://www.litres.ru/pages/biblio_book/?art=72327085)  .

      Visa, MasterCard, Maestro,    ,   ,     ,  PayPal, WebMoney, ., QIWI ,       .


