NA
ого, а у них уже приличный список ВПО, так скоро и на malpedia ходить не надо будет.
Size: a a a
2021 April 30
AL
Его описание, правда, не всегда бьется с разными отчетами по TTP от разных вендоров. Но как точка отсчета вполне себе подходящий источник
2021 May 02
AN
👍
AN
2021 May 03
nк
Всем привет
2021 May 05
NA
Всем привет.
Поделитесь опытом, плиз.
- Есть фид с hash.
- Там для каждого файла есть md5, sha1, sha256.
Как вы в таком случаете загружаете фид в SIEM?
1. Одна таблица/active list с 3 колонками и потом в правиле корр ищите по нужной колонке
2. Одна таблица/active list с 1 колонкой под hash и колонкой в которой вписан тип хэша (col1:<hash>, col2:md5)
3. Отдельная таблица под каждый тип hash
Поделитесь опытом, плиз.
- Есть фид с hash.
- Там для каждого файла есть md5, sha1, sha256.
Как вы в таком случаете загружаете фид в SIEM?
1. Одна таблица/active list с 3 колонками и потом в правиле корр ищите по нужной колонке
2. Одна таблица/active list с 1 колонкой под hash и колонкой в которой вписан тип хэша (col1:<hash>, col2:md5)
3. Отдельная таблица под каждый тип hash
NA
У меня есть ответ на этот вопрос с точки зрения производительности для разных SIEM, но вот как делают чаще всего - хотелось бы узнать.
SR
А где варианты ответа с несколькими таблицами? )
NA
да, это тоже вариант, добавил, пасиб.
МЖ
одна таблица вообще на все. тип + значение. Но это ты и так знаешь :)
V
3. Но только нужно хранить разные типы хешей в разных field/property
NA
NA
А разве это не вариант 1?
В этом варианте под каждый тип хеша своя колонка
В этом варианте под каждый тип хеша своя колонка
V
В siem в котором я работаю это 2 разных сценария, с разным performance impact
МЖ
но вообще, если бы не mssp-схема... я бы наверное вообще перенес все это на уровень сбора событий.
NA
Скорее на уровень обогащения, после сбора и нормализации.
AL
4. Использовать только один вариант хэша и подбирать все средства обнаружения, поддерживающие только его ;-)
NA
А всех, кто не генерит этот тип хэша, под санкции
AL
Ну скоро в России заставят всех хеши считать только по ГОСТу и вопрос вообще отпадет сам собой
P
Зато какое поле для импортозамещения! Опять же нужны будут НИРы по пересчету из их неверных, в правильные по ГОСТу