Полный текст
Инсайдеры? Нет, спасибо. Как ML ловит не ярлыки, а злоумышленниковМаркетинг вокруг «инсайдерских рисков» скрывает простую истину. Инфраструктуре неважно, кто действует: сотрудник или хакер. Внутри системы ярлыки бесполезны, ведь риск определяют действия - запуск процессов, сетевые соединения, нетипичные логины и так далее. Нужно анализировать паттерны поведения, а не искать виноватых по ролям.SOC тонут в телеметрии, злоумышленникам легко обойти репутационные списки хешей, IP-адресов, имитируя поведение обычных пользователей. Поведенческий анализ выявляет аномалии там, где традиционные инструменты видят лишь привычный фон. Даже легитимный шаг в необычном контексте помогает остановить атаку до ущерба.Алексей Потапов из экспертного центра безопасности Positive Technologies (PT ESC) в статье на Securitylab привел практические сценарии того, как преднамеренные действия инсайдера проявляются внутри инфраструктуры и каким образом они фиксируются средствами мониторинга.@SecLabNews