أكاديميا.security.krd

← المختبرات

أربعون إنذارًا في اليوم

متوسط · 20 نقاط

# skrd{RULE-000}

أسبوع من عدد الإنذارات لأربع قواعد كشف، مع ما تبيّن أن كل واحدة منها كانت عليه بعد المراجعة.

واحدة من هذه القواعد ضارة فعلاً: هي تعلّم من يكون في المناوبة أن يغلق قائمة الإنذارات من دون قراءتها. المسألة ليست فقط أنها القاعدة الأكثر إطلاقاً للإنذار — فقد تكون القاعدة كثيرة العمل ومع ذلك تستحق مكانها.

حدّد القاعدة التي يجب ضبطها بالاستبعاد، وقدّم رقمها كإجابة: skrd{RULE-000}.

اسأل عن كل قاعدة: من بين كل ما أطلقت الإنذار بسببه، كم منه كان يستحق انتباه إنسان؟

المادة

rule      fired  confirmed  benign cause
--------  -----  ---------  ---------------------------------------------
RULE-014     11         9   remote service creation by non-admin accounts
RULE-027    283         0   backup agent reading every share nightly
RULE-031     46        12   password sprays against the mail gateway
RULE-052      3         3   new local admin created outside change window
تلميح

مئتان وثلاثة وثمانون إنذارًا، ولا شيء مؤكد، وسبب واحد معروف. استثنِ ذلك الحساب على ذلك المضيف لذلك الإجراء — لا تحذف القاعدة.