Содержание книги "Активное выявление угроз с Elastic Stack
:
построение надежного стека безопасности: предотвращение, обнаружение и оповещение"
Об авторе
О рецензентах
Предисловие
Для кого эта книга
Какие темы охватывает эта книга
Как получить максимальную отдачу от этой книги
Скачивание исходного кода примеров
Условные обозначения и соглашения, принятые в книге
Список опечаток
Нарушение авторских прав
ЧАСТЬ I. ВВЕДЕНИЕ В АКТИВНОЕ ВЫЯВЛЕНИЕ УГРОЗ, АНАЛИТИЧЕСКИЕ МОДЕЛИ И МЕТОДИКИ ПОИСКА
Глава 1. Введение в анализ киберугроз, аналитические модели и фреймворки
1.1. Что такое активное выявление угроз?
1.2. Оперативный конвейер
1.3. Cyber Kill Chain от компании Lockheed Martin
1.4. Матрицы ATT&CK MITRE
1.5. Алмазная модель
1.6. Стратегическая, оперативная и тактическая разведка
1.7. Заключение
1.8. Вопросы для самопроверки
1.9. Дополнительное чтение
Глава 2. Концепции, методы и приемы активного выявления угроз
2.1. Введение в активное выявление угроз
2.2. Пирамида боли
2.3. Профилирование данных
2.4. Ожидаемые данные
2.5. Недостающие данные
2.6. Продолжительность жизни данных
2.7. Индикаторы
2.8. Жизненный цикл данных
2.9. Заключение
2.10. Вопросы для самопроверки
2.11. Дополнительное чтение
ЧАСТЬ II. ИСПОЛЬЗОВАНИЕ ELASTIC STACK ДЛЯ СБОРА И АНАЛИЗА ДАННЫХ
Глава 3. Введение в Elastic Stack
3.1. Технические требования
3.2. Представляем Logstash
3.3. Сердце стека – Elasticsearch
3.4. Elastic Beats и Elastic Agent
3.5. Просмотр данных Elasticsearch с помощью Kibana
3.6. Решения Elastic
3.7. Заключение
3.8. Вопросы для самопроверки
3.9. Дополнительное чтение
Глава 4. Создание учебной лаборатории
4.1. Технические требования
4.2. Архитектура лаборатории
4.3. Создание Elastic-машины
4.4. Заключение
4.5. Вопросы для самопроверки
Глава 5. Создание учебной лаборатории (продолжение)
5.1. Технические требования
5.2. Установка и настройка Elasticsearch
5.3. Установка Elastic Agent
5.4. Установка и настройка Kibana
5.5. Включаем механизм обнаружения и Fleet
5.6. Создание машины-жертвы
5.7. Модуль Filebeat Threat Intel
5.8. Заключение
5.9. Вопросы для самопроверки
5.10. Дополнительное чтение
Глава 6. Сбор данных с помощью Beats и Elastic Agent
6.1. Технические требования
6.2. Поток данных
6.3. Настройка Winlogbeat и Packetbeat
6.4. Настройка Sysmon для сбора данных с конечных точек
6.5. Настройка Elastic Agent
6.6. Развертывание Elastic Agent
6.7. Заключение
6.8. Вопросы для самопроверки
6.9. Дополнительное чтение
Глава 7. Использование Kibana для изучения и визуализации данных
7.1. Технические требования
7.2. Приложение Discover
7.3. Языки запросов
7.4. Приложение Visualize
7.5. Приложение Dashboard
7.6. Заключение
7.7. Вопросы для самопроверки
7.8. Дополнительное чтение
Глава 8. Приложение Elastic Security
8.1. Технические требования
8.2. Обзор приложения Elastic Security
8.3. Механизм обнаружения
8.4. Раздел Hosts
8.5. Сеть
8.6. Шкалы времени
8.7. Кейсы
8.8. Администрирование
8.9. Заключение
8.10. Вопросы для самопроверки
8.11. Дополнительное чтение
ЧАСТЬ III. ВНЕДРЕНИЕ АКТИВНОГО ВЫЯВЛЕНИЯ УГРОЗ
Глава 9. Использование Kibana для анализа данных с целью поиска противников
9.1. Технические требования
9.2. Связывание событий с временной шкалой
9.3. Использование наблюдений для направленного отслеживания угроз
9.4. Создание индивидуальной логики обнаружения
9.5. Заключение
9.6. Вопросы для самопроверки
9.7. Дополнительное чтение
Глава 10. Активное выявление угроз в составе SecOps
10.1. Технические требования
10.2. Обзор реагирования на инциденты
10.3. Использование информации о выявлении угроз для содействия IR
10.4. Использование IR и выявления угроз для приоритизации мер безопасности
10.5. Использование внешней информации в активном выявлении угроз
10.6. Заключение
10.7. Вопросы для самопроверки
10.8. Дополнительное чтение
Глава 11. Обогащение данных для создания оперативной информации
11.1. Технические требования
11.2. Расширение возможностей анализа с помощью инструментов с открытым исходным кодом
11.3. Обогащение событий при помощи сторонних инструментов
11.4. Обогащение данных в Elastic
11.5. Заключение
11.6. Вопросы для самопроверки
11.7. Дополнительное чтение
Глава 12. Обмен информацией и анализ
12.1. Технические требования
12.2. Elastic Common Schema
12.3. Импорт и экспорт сохраненных объектов Kibana
12.4. Обнародование логики обнаружения в сообществе
12.5. Заключение
12.6. Вопросы для самопроверки
12.7. Дополнительное чтение
Ответы на вопросы для самопроверки
Предметный указатель
