Удалённый доступ как источник данных для ИБ: от сессии администратора до расследования инцидента
Для ИТ-поддержки удалённый доступ — рабочий инструмент: подключиться к компьютеру пользователя, разобраться, поправить настройки и отключиться. Сессия закрыта, заявка тоже.Для ИБ это выглядит несколько иначе.Каждое удалённое подключение потенциально оставляет набор событий: кто подключился, к какому устройству, когда началась сессия, какие права использовались, какие действия выполнялись, передавались ли файлы, какие изменения произошли после этого.Если эти события связать между собой, система удалённого доступа становится дополнительным источником телеметрии для расследования инцидентов.Разберём это на примере RuDesktop — от простого кейса с пропавшим файлом до корреляции событий в SIEM. Читать далее