Если в Deception появляется инцидент, необходимо немедленно реагировать — вероятность ложных срабатываний невелика.
Следует отметить, что основная задача системы заключается в защите реальной сети путем отвлечения внимания злоумышленника на ложную инфраструктуру. Чем раньше выявляется присутствие злоумышленника, тем больше времени остается у специалистов по информационной безопасности для реагирования на инцидент.
Сама система Deception не блокирует злоумышленника, а только предоставляет важную информацию о его присутствии и всех его действиях.
Ключевым моментом в реализации системы «Гарда Deception» является то, что взаимодействие с ложной инфраструктурой не дает злоумышленнику никаких реальных возможностей для дальнейших действий и развития атаки. Эмуляция сервисов происходит в докер-контейнерах, и, попав внутрь, злоумышленник оказывается в ограниченной среде, где не может нанести вред сети компании. При этом в SIEM будут фиксироваться все «красные» события, отражающие действия злоумышленника в ловушках.
Deception может передавать собранную информацию не только в SIEM, но и в другие системы, такие как песочницы или EDR. Например, если с определенного рабочего хоста осуществляется подозрительное взаимодействие, система EDR может решить поместить этот хост в карантин для дальнейшего анализа.
Даже если злоумышленник поймет, что попался, и решит отключиться от всех корпоративных ресурсов, его присутствие будет замечено, и по нему начнется расследование со стороны службы безопасности. Будут проверены логи всех систем и сами системы на предмет присутствия вредоносного ПО, будут изменены пароли, закрыты доступы, а рабочую станцию, с которой злоумышленник использовал приманку, изолируют. Меры по контрдействию неизбежны.
Поделиться: