Кореляційний аналіз подій безпеки (SIEM) для ви явлення етапу «Lateral Movement» на основі си нтезу технічних та організаційних даних

Abstract

У роботі досліджено специфіку виявлення етапу горизонтального переміщення (Lateral Movement) в умовах використання зловмисниками легітимних інструментів адміністрування (Living off the Land). Проаналізовано ключові недоліки класичних правил кореляції SIEM-систем порівняно з контекстно-орієнтованими підходами, зокрема нездатність розрізняти дії зловмисників та легітимних адміністраторів при використанні валідних облікових записів. Визначено проблему «контекстної сліпоти» та «втоми від тривог» (Alert Fatigue), що виникає через високий рівень помилкових спрацювань і ускладнює роботу центрів моніторингу безпеки (SOC). На основі аналізу технік MITRE ATT&CK запропоновано метод оптимізації правил кореляції, що базується на синтезі технічних подій із організаційним контекстом (роль користувача, критичність активу, часові рамки) та динамічній оцінці ризику.

The paper examines the specifics of detecting the Lateral Movement stage under conditions where attackers use legitimate administrative tools (Living off the Land). Key shortcomings of traditional SIEM correlation rules are analyzed in comparison with context-oriented approaches, particularly their inability to distinguish malicious activity from legitimate administrator actions when valid credentials are used. The study identifies the problems of “context blindness” and “alert fatigue,” which arise due to a high rate of false positives and significantly complicate the work of Security