Поведенческий анализ — подход к безопасности, при котором угрозы выявляют, наблюдая за тем, что реально делают программы, пользователи и системы, а не только сравнивая файлы с известными вредоносными образцами.
Как работает поведенческий анализ
Вместо вопроса «известен ли этот файл как вредоносный?» поведенческий анализ задаёт вопрос «типична ли эта активность для атаки?». Средства защиты собирают телеметрию — запуск процессов, изменения файлов и реестра, сетевые подключения, операции с памятью — и сравнивают её с шаблонами вредоносного поведения. Примеры подозрительной активности:
- процесс, быстро шифрующий или переименовывающий множество файлов, — типичный признак программы-вымогателя;
- документ Word, запускающий PowerShell, который скачивает файл;
- программа, читающая память lsass.exe, чтобы сдампить учётные данные;
- удаление теневых копий или отключение средств защиты.
Тот же принцип используется в песочнице, которая запускает подозрительный файл в изолированной среде и записывает его действия, и в сетевом мониторинге, выявляющем периодические обращения (beaconing) к командным серверам. Поведение пользователей и учётных записей анализируют системы UEBA.
Почему это важно
Атакующие могут бесконечно менять внешний вид своего кода, но для достижения целей им всё равно приходится выполнять одни и те же действия. Поэтому поведенческое обнаружение ловит новое вредоносное ПО, бесфайловые атаки и злоупотребление легитимными инструментами, которые пропускает сигнатурное сканирование. Это ключевая возможность EDR и современных антивирусов, и она естественно ложится на техники MITRE ATT&CK.
Ограничения подхода — шум и время реакции: легитимные инструменты администрирования могут вести себя как атакующие, а некоторые вредоносные действия обнаруживаются только после того, как уже начались.
Как применяется поведенческий анализ
- Включить поведенческий мониторинг и автоматическую блокировку на конечных точках.
- Настроить правила с учётом известной активности администраторов, чтобы сократить ложные срабатывания.
- Передавать обнаружения в SOC и коррелировать их с сетевыми данными и данными об учётных записях.
