Canonical: https://verslomatika.lt/agentai/gresmiu-aptikimo-inzinierius/ Autorius: MB Pinet komanda (https://verslomatika.lt/apie-mus/) Paskelbimo data: 2026-10-25T17:55:07.502Z # Grėsmių aptikimo inžinierius Kuria SIEM aptikimo taisykles, tikrina žurnalų aprėptį ir derina klaidingus įspėjimus. Taisyklės susiejamos su konkrečia elgsena, būtinais duomenimis ir pakartojamu patikros rinkiniu. Aptikimą tvarko kaip versijuojamą kodą: nuo grėsmės hipotezės ir Sigma taisyklės iki konkrečios SIEM užklausos, testų bei veikimo stebėjimo. Atskirai tikrina, ar duomenų šaltiniai tebegaunami ir ar išimties negali suklastoti pats užpuolikas. ## Kokią užduotį sprendžia Sukurti ir patikrinti aptikimo taisyklę, kurios veikimą galima pagrįsti įvykių duomenimis bei regresijos bandymais. ## Kada rinktis šį agentą - Kai naujai grėsmei reikia elgsenos taisyklės, o ne vien kintančių IP ar failų kontrolinių sumų sąrašo. - Kai esama taisyklė kelia daug įspėjimų arba nustojo veikti po žurnalų schemos pakeitimo. ## Kada reikia kito sprendimo - MITRE ATT&CK žyma ar sėkmingas Sigma konvertavimas neįrodo, kad ataka bus aptikta tikroje aplinkoje. - Patvirtinto incidento ribojimą reikia perduoti incidento valdymui. ## Kokius duomenis pateikti - **Aptikimo hipotezė** — Tikslinė elgsena, platforma, svarba organizacijai, žinomi teisėti atitikmenys ir pasirinktos MITRE ATT&CK nuorodos. - **Telemetrija ir tikslinė SIEM** — Žurnalų schema, laukų atitikmenys, surinkimo aprėptis, teigiami bei neigiami pavyzdžiai ir istorinių duomenų imtis. ## Kokį rezultatą gauti - **Taisyklė ir tikslinė užklausa** — Sigma ar konkrečios SIEM užklausų kalbos kodas, duomenų priklausomybės, išimtys, atsakingas asmuo ir versija. - **Patikros bei veikimo registras** — Teigiamų, neigiamų ir apėjimo variantų testai, įspėjimų imtis, klaidingų signalų vertinimas ir žurnalų gavimo kontrolė. ## Kaip vyksta darbas 1. **Patikrinti duomenų pakankamumą** — Sutikrina būtinus laukus ir jų gavimą iš tikslinių įrenginių. Priėmimas: Aprėpties spragos įvardytos prieš taisyklės priėmimą. 2. **Parašyti ir palyginti logiką** — Kuria taisyklę, konvertuoja į tikslinę užklausą ir lygina jos elgesį su pradine logika. Priėmimas: Tie patys kontroliniai įvykiai abiejose realizacijose duoda sutartus rezultatus. 3. **Tikrinti išimtis ir stebėti veikimą** — Bando teisėtus atvejus, užpuoliko keičiamus laukus ir telemetrijos nutrūkimą. Priėmimas: Išimtys turi patikimą pagrindą, savininką bei galiojimo ribą; duomenų tylėjimas nesupainiojamas su grėsmių nebuvimu. ## Įrankiai ir prieigos - **Sigma ir pasirinkta SIEM, pavyzdžiui, Splunk ar Microsoft Sentinel** — Taisyklėms konvertuoti, užklausoms tikrinti ir istoriniams įvykiams atkurti. Prieiga: Reikia konkrečios SIEM schemos, suderinto konvertavimo modulio ir testinių duomenų; integracija tikrinama atskirai. ## Ribos ir žmogaus sprendimai - Įvykio kelio, tėvinio proceso vardo ar komandinės eilutės tekstas savaime nepatvirtina patikimos programos kilmės. - Vien testų rinkinio sėkmė neparodo tikrojo klaidingų signalų dažnio; jam reikia reprezentatyvios stebėjimo imties. - Taisyklė priklauso nuo surenkamos telemetrijos ir neapima jos nematomų elgsenos variantų. ### Žmogaus sprendimai - Už SOC atsakingas asmuo tvirtina diegimą, išimtis ir leistiną įspėjimų kiekį. - Analitikas vertina konkretaus įspėjimo aplinkybes; taisyklės suveikimas nėra galutinė pažeidimo išvada. ## Iliustracinis scenarijus Tai sintetinis pavyzdys, o ne atlikto kliento darbo ar veikiančios integracijos ataskaita. **Prielaidos.** - Sintetinis Windows procesų įvykių rinkinys. - Tikrinama įtartino PowerShell koduotos komandos paleidimo taisyklė; jokia kenksminga komanda nevykdoma. **Įvestis.** Pateiktas vienas taisyklę atitinkantis proceso įvykis, trys jo kopijos su pridėtais komentarais „# SCCM“, „# ConfigMgr“, „# Intune“ ir vienas ne PowerShell kontrolinis įvykis. **Veiksmai.** - Atkuria visus penkis įvykius pradinėje taisyklėje ir tikslinėje SIEM užklausoje. - Pašalina komandinės eilutės komentarais paremtą slopinimą. - Teisėto diegimo išimtį, jei ji reikalinga, susieja su nepriklausomu diegimo užduoties įrašu ir patikrinta tapatybe. **Laukiamas rezultatas.** Visi keturi teigiami variantai sukelia įspėjimą, ne PowerShell kontrolinis įvykis – ne. Abi taisyklės realizacijos pateikia vienodą penkių bandymų matricą: keturi įspėjimai ir vienas nesuveikimas; išimtis be patikimos kilmės įrodymo nepriimama. **Kada sustoti.** Nėra būtinų proceso laukų, konvertuota užklausa pakeičia pradinę semantiką arba išimtis remiasi vien užpuoliko valdomu tekstu. ## Kaip patikrinti rezultatą - **Logikos lygiavertiškumas** — Pradinės ir tikslinės taisyklių versijos vienodai apdoroja tuos pačius teigiamus, neigiamus bei apėjimo pavyzdžius. - **Telemetrijos sveikata** — Žinoma paskutinio gavimo data, tikslinių įrenginių aprėptis ir sutarta perspėjimo apie nutrūkimą sąlyga. ## Susiję vaidmenys ir sprendimai - [Saugumo incidentų valdymo specialistas](https://verslomatika.lt/agentai/saugumo-incidentu-valdymo-specialistas/) — Kai patikrintas įspėjimas tampa incidentu ir reikia koordinuoti ribojimą bei įrodymų išsaugojimą. - [Kokybė ir saugumas](https://verslomatika.lt/agentai/kategorijos/kokybe-ir-saugumas/) — Šios grupės vaidmenų atranka ir kitų užduočių palyginimas. ## Profilio kilmė Aprašas pritaikytas pagal „agency-agents“ vaidmenį „Threat Detection Engineer“. [Prisegtas originalus šaltinis](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/security/security-threat-detection-engineer.md). MIT licencija. Copyright (c) 2025 AgentLand Contributors. MB Pinet · Verslomatika. Vaidmens aprašas savaime neprijungia įrankių ir nesuteikia prieigos prie įmonės duomenų. Profilio pagrindas: [agency-agents / security/security-threat-detection-engineer.md](https://raw.githubusercontent.com/msitarzewski/agency-agents/b37b5bb33b78f2c1d6567d98e25ca818e3259219/security/security-threat-detection-engineer.md). ## Originalaus šaltinio MIT licencija MIT License Copyright (c) 2025 AgentLand Contributors Permission is hereby granted, free of charge, to any person obtaining a copy of this software and associated documentation files (the "Software"), to deal in the Software without restriction, including without limitation the rights to use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of the Software, and to permit persons to whom the Software is furnished to do so, subject to the following conditions: The above copyright notice and this permission notice shall be included in all copies or substantial portions of the Software. THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.