SOC-аналитик и Blue Team: логи, SIEM, Sigma и реагированиеШаг 11 из 15 · 0% пройдено

1. Как учиться на этом курсе

Карта пониманияopen8м Что рисовать и фиксироватьopen8м Ритм практики и повторенияopen8м Проверка учебного маршрутаopen10м

2. Профессиональный практикум: кейс, модель и итоговый артефакт

Модель, кейс, артефактopen12м Рубрика качества10м

3. Атлас моделей: схема, пример, критерий и проект

Модель курсаopen12м

4. Как работает SOC

От события к решениюopen11м Практика: SOC-процессopen13м

5. Detection engineering

Sigma-правилоopen11м ATT&CK как язык поведенияopen10м Практика: Sigmaopen14м

6. Incident response

От alert к incident reportopen11м Метрики SOCopen9м Практика: реагированиеopen12м

Detection engineering

ATT&CK как язык поведения

Шаг 11 из 1510 минТеория

Цель

Понять основной механизм темы «ATT&CK как язык поведения» без заучивания отдельных терминов.

Как работать

Прочитайте блок один раз целиком, затем вернитесь к схеме или примеру и перескажите идею своими словами.

Критерий

Сформулированное правило, пример применения и одно ограничение метода.

Покрытие ATT&CK строится от наблюдаемого поведения, а не от красивой таблицы

Опорная идея

MITRE ATT&CK полезен как общий язык техник: execution, persistence, privilege escalation, defense evasion, credential access, discovery, lateral movement. Тег в правиле помогает понять, какую стадию атаки закрывает detection и где есть пробелы.

Важно не превращать ATT&CK в наклейку. Техника должна соответствовать поведению в логах, иначе карта покрытия будет обманчивой.

Обсуждение

Войдите, чтобы участвовать в обсуждении.

Пока нет сообщений.