Поведінковий аналіз — підхід до безпеки, за якого загрози виявляють, спостерігаючи за тим, що насправді роблять програми, користувачі й системи, а не лише порівнюючи файли з відомими шкідливими зразками.
Як працює поведінковий аналіз
Замість запитання «чи відомий цей файл як шкідливий?» поведінковий аналіз ставить запитання «чи типова ця активність для атаки?». Засоби захисту збирають телеметрію — запуск процесів, зміни файлів і реєстру, мережеві підключення, операції з пам’яттю — і порівнюють її з шаблонами шкідливої поведінки. Приклади підозрілої активності:
- процес, що швидко шифрує або перейменовує безліч файлів, — типова ознака програми-вимагача;
- документ Word, який запускає PowerShell, що завантажує файл;
- програма, що читає пам’ять lsass.exe, аби здампити облікові дані;
- видалення тіньових копій або вимкнення засобів захисту.
Той самий принцип використовується в пісочниці, яка запускає підозрілий файл в ізольованому середовищі й записує його дії, і в мережевому моніторингу, що виявляє періодичні звернення (beaconing) до командних серверів. Поведінку користувачів і облікових записів аналізують системи UEBA.
Чому це важливо
Зловмисники можуть нескінченно змінювати зовнішній вигляд свого коду, але для досягнення цілей їм однаково доводиться виконувати ті самі дії. Тому поведінкове виявлення ловить нове шкідливе ПЗ, безфайлові атаки та зловживання легітимними інструментами, які пропускає сигнатурне сканування. Це ключова можливість EDR і сучасних антивірусів, і вона природно накладається на техніки MITRE ATT&CK.
Обмеження підходу — шум і час реакції: легітимні інструменти адміністрування можуть поводитися як зловмисники, а деякі шкідливі дії виявляються лише після того, як уже почалися.
Як застосовують поведінковий аналіз
- Увімкнути поведінковий моніторинг і автоматичне блокування на кінцевих точках.
- Налаштувати правила з урахуванням відомої активності адміністраторів, щоб скоротити хибні спрацьовування.
- Передавати виявлення в SOC і корелювати їх із мережевими даними й даними про облікові записи.
