tag:blogger.com,1999:blog-7672604585980488566Mon, 07 Sep 2026 15:46:11 +0000Enterprise SecuritySOCMalwareFunMonitoringRussiaAuditAPTMicrosoftWebSecurityManagementOutsourcingLog AnalysisProject ManagementSoftwareElasticsearchSocietyIDSOpensourceTrendsOperationsClient securityKibanaNewsEnhancementsProgrammingSupportTechnologyIDMLogstashCryptographyHow-ToOfftopicOperating SystemsPsychologyRisk AnalysisSecurity IncidentsAppleArchitectureCloudsComplianceDLP and DRM/IRMHRHTBIncident responsePKIStandardsToolsVirtualizationBOISSIoNAMITREMiscellaneousMobile DevicesPhysical SecuritySAPSecurity EngineeringSocial EngineeringSpambusiness ideaBig DataCiscoFingerprintingHITB confLinuxMetricsPHDaysRootkitsTIWirelessREPLY-TO-ALL is a double language blog (English/Russian) run by three information security practitioners. Want to discuss information security problems? This is the place.http://reply-to-all.blogspot.com/noreply@blogger.com (Amiran Alavidze)Blogger333125tag:blogger.com,1999:blog-7672604585980488566.post-3408693133082401273Fri, 16 Dec 2022 12:36:00 +00002024-07-07T18:08:28.471+03:00Добро пожаловать на мой Дзен!Буду стараться, чтобы мои заметки на новом месте будут во всех отношениях не хуже прежних.Увидимся на Дзене!Ну, а если вам удобнее использовать Telegram, я там тоже есть - подписывайтесь.http://reply-to-all.blogspot.com/2022/12/blog-post_16.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-5100077902856668550Sat, 03 Dec 2022 18:09:00 +00002022-12-03T21:09:40.821+03:00SOCTechnologyВ прошлой&nbsp;заметке я примерно рассказал как выглядит расследование инцидента. Технически, для аналитика SOC это выражается в необходимость на базе имеющейся информации строить запрос к используемому data lake из данных (событий систем, EDR-like и NTA-like телеметрии, Netflow и т.п., что там у кого еще есть...). Запрос возвращает новые, связанные по observables, события, в которых есть новые http://reply-to-all.blogspot.com/2022/12/blog-post.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-2535579911967682656Sat, 19 Nov 2022 11:04:00 +00002022-11-19T14:04:13.439+03:00ManagementOperationsSOCРотация - важнейший инструмент борьбы с выгоранием, чем неизбежно страдает любой SOC. Многие психологические исследования, да и мой личный опыт, подтверждают, что мы отдыхаем от смены вида деятельности ( а безделье, напротив, зачастую утомляет), поэтому нам нужно обеспечить смену деятельности.Из общения с различными менеджерами SOC, да и процессе собеседований с потенциальными коллегами на http://reply-to-all.blogspot.com/2022/11/blog-post_19.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-5187101552708883362Wed, 16 Nov 2022 19:34:00 +00002022-11-16T23:31:00.914+03:00ManagementMetricsSOC&nbsp;Во второй день SOC Forum выступал с докладом в секции аналитических отчетов. Выкладываю презентацию. Остановлюсь тезисно на основных вещах, которые хотелось донести.1. Лаборатория Касперского (да и все другие поставщики услуг) достаточно публикуют отчетности и записывают вебинары, где подробно рассказывают, как интерпретировать обнаруженные зависимости, поэтому данная презентация не об http://reply-to-all.blogspot.com/2022/11/blog-post_16.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-8594104089596230689Wed, 16 Nov 2022 19:03:00 +00002022-11-16T23:31:42.652+03:00APTSOC15.11 выступал на мероприятии с более-менее техническим докладом, выкладываю презентацию.В докладе были рассмотрены два сценария эскалации - SOC-&gt;DFIR и DFIR-&gt;SOC, на примере двух реальных инцидентов. Для инцидентов приведены техники и тактики атакующих, а также применяемые методы обнаружения. От мониторинга к форенсике и обратно from Sergey Soldatov Приятного просмотра! http://reply-to-all.blogspot.com/2022/11/blog-post.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-9040306016745246229Sun, 12 Dec 2021 04:29:00 +00002021-12-12T07:29:14.337+03:00ManagementSOCУдаленка - отличный способ оценки зрелости ваших процессов!В период пандемии многие предприятия были вынуждены уйти на удаленную работу. Поставщики услуг мониторинга - не исключение, при этом их не остановил запрет лицензии ФСТЭК на ТЗКИ, что в очередной раз подтвердило адекватность требований реальности, и, что самое печальное, важность их исполнения. Но в этой заметке мы не будем разводить http://reply-to-all.blogspot.com/2021/12/soc.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-1552764095168605773Tue, 01 Dec 2020 18:00:00 +00002020-12-01T21:00:03.374+03:00SOCВкалывают роботы,&nbsp;А не человек!"До чего дошёл прогресс" Крылатов. ЭнтинСегодня на SOC forum рассказывал о машинном обучении для целей триажа алертов.Выкладываю презентацию. Роботы среди нас! from Sergey Soldatov Было всего 15 минут, поэтому есть риск, что не успел донести даже то, что планировал. Попробую поправить ситуацию в этой заметке, написав текстом примерно то, что хотел http://reply-to-all.blogspot.com/2020/12/soc-forum-2020-live.htmlnoreply@blogger.com (Sergey Soldatov)1tag:blogger.com,1999:blog-7672604585980488566.post-8034485602811937229Fri, 09 Oct 2020 22:52:00 +00002020-10-10T01:52:11.965+03:00ElasticsearchВ статье расскажу как быстро развернуть инфраструктуру для Threat hunting-а, бесплатно.А здесь уже рассказано, как этим можно пользоваться.1. Ставим ELK2. Обязательно Security и SSL (уже в бесплатной версии):&nbsp;3. Обязательно Security и SSL в Kibana (раз, два)4. Сертификаты для SSL Elastic и Kibana – использовал OpenSSL. Лучше не самоподписанный.4.1. Делаем УЦ на OpenSSL (статей полно в http://reply-to-all.blogspot.com/2020/10/elastic-endpoint-siem-threat-hunting.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-4220440230334762782Fri, 09 Oct 2020 22:03:00 +00002020-10-10T01:53:37.377+03:00ElasticsearchMonitoringSOCСтандартом де-факто для самодельного MDR долгое время был sysmon и даже MITRE публикует детекты для него. Есть куча в прошлом SOC-ов, продвинувшихся в сторону MDR, как раз добавив события от sysmon.&nbsp;Но, с появлением EPP от Elastic ситуация может поменяться! Сегодня рассмотрим его поподробнее, используемая инсталляция описана здесь.Для экспериментов я подготовил несложную Windows10-машинку, http://reply-to-all.blogspot.com/2020/10/mdr-elastic-siem-elastic-endpoint.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-3836410251627387440Wed, 07 Oct 2020 20:30:00 +00002020-10-09T10:52:46.508+03:00SOC"Хорошо известно, что на одной карте невозможно показать всю земную поверхность без искажений. Обычная проекция Меркатора, используемая для карт мира, сильно искажает площади, преувеличивая их изображение на карте по мере приближения к Северному и Южному полюсам, а сами полюса картой в этой проекции вовсе не покрываются. Чтобы правильно показать на карте всю Землю целиком, нужно использовать http://reply-to-all.blogspot.com/2020/10/cloud-native.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-7691634798263541685Fri, 11 Sep 2020 20:07:00 +00002020-09-11T23:07:48.518+03:00SOCTI&nbsp;Не путайте 'IoC hunting' и 'Threat hunting', так как первое всегда находит известные угрозы, а второе - неизвестные.Из Твиттера.Из общения с различными кандидатами на роль работников SOC - аналитики операционных линий, методологи и даже потенциальные менеджеры SOC - сложилось мнение о некоторой недооценке значимости Threat Intelligence Platform (TIP) для аналитиков SOC, а также непонимании http://reply-to-all.blogspot.com/2020/09/ioc-hunting-pivoting.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-4914406954792370434Sun, 16 Aug 2020 10:23:00 +00002020-08-16T13:23:45.524+03:00MonitoringSOCС 16-ого года мы по-русски&nbsp;говорим о Threat hunting-е, как о ручном поиске угроз и его отличии от классического alerting-а. Тем не менее, некоторой степени TH можно свести к алертингу, создав нотификации на проверяемые гипотезы (действительно, зачем их проверять вручную, когда можно автоматизировать?!). Справочник техник давно есть и, вроде, понятно что делать: берем технику, эмулируем в http://reply-to-all.blogspot.com/2020/08/blog-post.htmlnoreply@blogger.com (Sergey Soldatov)1tag:blogger.com,1999:blog-7672604585980488566.post-2721714553378254386Fri, 24 Apr 2020 08:30:00 +00002020-04-24T11:42:59.903+03:00MITRESOC Самый объективный способ проверить эффективность вашего SOC (blue team) - скрытая симуляция действий реальных злоумышленников (red teaming) (Личный опыт) Несмотря на наличие прекрасных инструментов анализа от самой MITRE и замечательных публикаций&nbsp;от участников, хочется продолжить серию статей о тесте, где я сравниваю решения по примитивной методике с коэффициентами за категории детектовhttp://reply-to-all.blogspot.com/2020/04/mitre-edr-mdr.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-4587526860275803288Sat, 18 Apr 2020 08:35:00 +00002020-04-18T11:35:54.269+03:00OperationsSOC Производитель продукта заинтересован делать качественные решения. Одной из важнейших характеристик "качественного" решения является низкая операционная стоимость (TCO), т.е. с учетом всех проявлений закона сохранения&nbsp; такое решение дешево поддерживать и пользователю и производителю. Производителю очень важно иметь низкую стоимость поддержки, так как, в противном случае, с бесконечным ростомhttp://reply-to-all.blogspot.com/2020/04/blog-post.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-1852794875958008150Fri, 10 Jan 2020 09:33:00 +00002020-01-10T12:33:34.753+03:00HRManagement Одним из критериев глупости является выполнение одних и тех же действий&nbsp; с одновременным ожиданием разных результатов Соотношение прибыли и убытков (P&amp;L) - важнейшая операционная метрика проекта. На ее основе можно приоритезировать проекты и соответственно планировать ресурсы: прибыльные (или перспективные, но о стратегии поговорим в другой раз) надо развивать, убыточные можно http://reply-to-all.blogspot.com/2020/01/blog-post.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-1763497904308348148Fri, 03 Jan 2020 23:14:00 +00002020-01-04T02:17:15.099+03:00HTB Бывают странные люди, запускающие стек Apache-MySQL-PHP на Windows (т.е. LAMP --&gt; WAMP). В таких случаях стандартный реверсивный PHP shell не подойдет, а использовать этот страшно, так как во-первых, он, скорее всего, без изменений не будет работать - в вызове system надо указать полный путь, а, во-вторых, меня беспокоит что там автор закодировал в $payload... Поэтому, проще все сделать http://reply-to-all.blogspot.com/2020/01/windows-php-reverse-shell.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-6735123145550965718Sun, 03 Nov 2019 22:55:00 +00002019-11-04T19:27:17.945+03:00MonitoringSOC Threat hunting is the use case for EDR (Nate Fick, CEO Endgame.) Более чем 3 года назад, в 2016, мы впервые заговорили о Threat hunting на русском языке, позже появились и другие публикации, сейчас об этом говорят уже все, а прошлые SOC-и называют поставщиками сервисов MDR. Уже ни для кого не новость MITRE ATT&amp;CK и многие производители, пытающиеся систематически подходить к тому самому http://reply-to-all.blogspot.com/2019/11/nft.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-271917066360209960Mon, 28 Oct 2019 22:37:00 +00002019-10-29T01:37:37.462+03:00BOHTB Продолжая серию своих черновых заметок&nbsp;о бинарщине, расскажу о переполнении буфера в машинке Safe все на том же HTB. Интересно здесь может быть то, что необходимый "стандартный" гаджет "pop rdi; ret" здесь не находится, поэтому использовать pwntools полностью автоматизированно, как мы это сделали в Ellinson, не получится. <!--?xml version="1.0" encoding="UTF-8"?--> <!--?xml version=http://reply-to-all.blogspot.com/2019/10/myapp-safe-101010147htb-bo-dep-rop.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-3894205325812010854Tue, 22 Oct 2019 21:07:00 +00002019-10-23T00:07:05.375+03:00MITRE Несмотря на то, что уже проходит второй раунд тестирования, по-прежнему продолжают появляться оценки по первому сценарию. Во втором раунде многое изменилось и об этом я еще как-нибудь обязательно напишу по-подробнее, и может даже и изложу собственный опыт участия в тестировании. Сегодня заметил, что опубликовались тесты F-Secure и McAfee, чьи результаты крайне интересны, так как эти http://reply-to-all.blogspot.com/2019/10/mitre-edr-epp.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-3954033881865297509Sat, 19 Oct 2019 17:07:00 +00002019-10-19T20:07:22.980+03:00BOHTB Очень немного в русскоязычной блогосфере материалов про реализацию переполнения буфера в условиях, максимально близких к реальным: x64 с включенными ASLR и DEP. Попробую ситуацию исправить поделившись своим небольшим опытом решения машинки Ellingson на HTB. На момент начала работы над Ellingson@HTB мои познания в реализации RCE через переполнение были сугубо теоретическими, однако по завершенииhttp://reply-to-all.blogspot.com/2019/10/aslrdep-ellingsonhtb.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-5935046837065442759Wed, 28 Aug 2019 06:16:00 +00002019-08-28T09:16:14.781+03:00SOC Вполне можно играть в шахматы самому с собой, но с другим соперником - несравненно лучше. (личный опыт) Уже сравнительно давно писал про продуктовую безопасность, о том, что полезно иметь своих кто пишет код, и кто этот код ломает, и вопреки первопрешедшему на ум SoD-кофлику, наличие своей продуктовой безопасности местами лучше, так как они обладают большей контекстной погруженностью. На базеhttp://reply-to-all.blogspot.com/2019/08/blog-post.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-5535904247099062120Sat, 23 Feb 2019 15:14:00 +00002019-10-23T00:13:13.815+03:00 Ранее мы уже&nbsp;пытались сравнивать возможности различных решений на базе&nbsp;теста MITRE, но намедни были опубликованы еще результаты от FireEye и Cybereason. Каждый из вендоров, конечно же, сразу после прохождения теста опубликовал (раз, два), что он самый лучший, что еще больше подстегнуло желание вернуться к теме. Как раньше отмечалось, баллами за виды детектов&nbsp;можно играться http://reply-to-all.blogspot.com/2019/02/mitre-edr.htmlnoreply@blogger.com (Sergey Soldatov)1tag:blogger.com,1999:blog-7672604585980488566.post-8152337314421838182Sat, 19 Jan 2019 23:30:00 +00002019-01-20T02:30:22.863+03:00Monitoring В предыдущей заметке рассказывал что база данных MITRE может быть использована для обоснования выбора тех или иных технических контролей и этапности их внедрения. Сейчас хочется коснуться темы эффективности сетевых СЗИ в сравнении с эндпоинтными. Сразу хочется оговориться, что являюсь сторонником многоуровневого подхода, что не раз отмечал. На встречах мне почему-то постоянно пытаются доказать http://reply-to-all.blogspot.com/2019/01/blog-post.htmlnoreply@blogger.com (Sergey Soldatov)2tag:blogger.com,1999:blog-7672604585980488566.post-1280395684792536564Sat, 19 Jan 2019 11:30:00 +00002019-01-19T14:30:19.424+03:00Enterprise SecurityMonitoring В предыдущей заметке отмечались варианты использования ATT&amp;CK&nbsp;для центров мониторинга. Но не стоит недооценивать ее значимость для целей планирования и развития корпоративных средств защиты. Совокупность мероприятий по обеспечению информационной безопасности должна быть адекватна актуальной модели нарушителя, но вечный вопрос CISO о том, сколько безопасности достаточно по-прежнему http://reply-to-all.blogspot.com/2019/01/mitre-att.htmlnoreply@blogger.com (Sergey Soldatov)0tag:blogger.com,1999:blog-7672604585980488566.post-629225176355652184Sat, 29 Dec 2018 21:54:00 +00002018-12-30T00:54:36.445+03:00Enterprise SecurityOperations В канун празднования Нового года принято делать прогнозы на будущий год. Я никогда этого не делал именно под Новый год, не люблю повторять. Но, если считать, что будущее - следствие настоящего, то успех предсказания можно считать метрикой адекватности свой оценки текущей ситуации, ну а если мы адекватно интерпретируем происходящее, значит мы разбираемся в своей работе и отрасли. В этой заметке http://reply-to-all.blogspot.com/2018/12/2018.htmlnoreply@blogger.com (Sergey Soldatov)1