Косвенные улики

Описание раздела

Раздел Косвенные улики предназначен для сбора и анализа потенциально значимых данных о взаимодействии с базами данных, которые могут указывать на инциденты безопасности или несанкционированный доступ. Модуль автоматически собирает информацию о подключениях, запросах и операциях с базами данных, создавая единую картину активности для последующего расследования.

Основная цель модуля — предоставить аналитикам безопасности полный набор косвенных доказательств (следов активности) для реконструкции событий, выявления аномалий и проведения форензик-анализа инцидентов информационной безопасности.

Аналитические графики

Количество строк с данными

Временной график отображает динамику объема собранных данных (строк с уликами) за выбранный период.

Параметры отображения:

• Ось Y: Количество строк
• Ось X: Временная шкала с датами
• Визуализация: Синий градиент с заливкой под линией

Интерпретация: График показывает резкий рост количества собранных улик в определенный период. Пиковые значения могут указывать на:

• Периоды повышенной активности в системе
• Возможные инциденты или атаки
• Массовые операции с данными
• Изменения в конфигурации сбора данных

Количество по информационным системам

Столбчатый график показывает распределение улик по различным информационным системам.

Распределение по экземплярам БД

Круговая диаграмма визуализирует распределение косвенных улик по различным экземплярам баз данных.

Система фильтрации

Мощная система фильтрации позволяет точно настроить поиск косвенных улик для расследования.

Основные фильтры

Фильтры по инфраструктуре

Фильтры по пользователям и приложениям

Фильтры по контексту

Временной фильтр

Период: Детальная настройка временного диапазона с точностью до секунды:

• Дата начала (ДД.ММ.ГГГГ)
• Время начала (ЧЧ:ММ:СС)
• Разделитель (-)
• Дата окончания (ДД.ММ.ГГГГ)
• Время окончания (ЧЧ:ММ:СС)

Пример: 05.11.2025 00:00:00 - 05.11.2025 23:59:59

Управление фильтрами

• Очистить — сброс всех примененных фильтров
• Применить — активация установленных критериев фильтрации

Таблица косвенных улик

Основная таблица содержит детальную информацию о каждой косвенной улике.

Структура таблицы

Примеры улик в таблице

Системная активность:

Сервер: 78.24.181.140 | БД: laba | Пользователь: Lector
Приложение: /home/airflow/.local/bin/python
Улика: —
SQL: —

Запросы к данным:

Сервер: 37.9.13.199 | БД: unknown | Пользователь: unknown
Объект: Db_users
SQL: Select username pu_db.username, ...

Сервер: 37.9.13.199 | БД: unknown | Пользователь: unknown
Объект: All_tab_comments
SQL: Select comments from all_tab_comm...

Операции с метаданными:

Объект: All_ind_columns
SQL: Select a.index_name, a.column_na...

Объект: All_constraints
SQL: Select ac.constraint_name, ac.constr...

Управление таблицей

Экспорт данных:

• CSV — экспорт в формате CSV для анализа в Excel или других инструментах
• PDF — экспорт в PDF для включения в отчеты и документацию

Настройки отображения:

• Количество строк — выбор числа записей на странице

Пагинация:

• Навигация по страницам для просмотра большого объема улик

Сценарии использования

Расследование инцидента утечки данных

Задача: Выявить, кто и когда получил доступ к конфиденциальным данным клиентов.

Действия:

1. Установить временной фильтр на период инцидента
2. Применить фильтр по объекту БД (например, "CUSTOMERS")
3. Проанализировать записи в таблице:
   • Кто выполнял запросы (Пользователь БД, Пользователь ОС)
   • Откуда (Рабочая станция)
   • Что извлекалось (SQL текст)
4. Экспортировать результаты в PDF для отчета

Выявление аномальной активности

Задача: Обнаружить подозрительные паттерны использования БД.

Признаки аномалий:

• Unknown пользователи/приложения — неидентифицированные источники активности
• Нестандартное время активности — запросы в ночное время или выходные
• Массовое извлечение данных — большие объемы SELECT-запросов за короткий период
• Обращения к системным каталогам — изучение структуры БД перед атакой

Форензик-анализ

Задача: Реконструкция цепочки событий инцидента безопасности.

Подход:

1. Определить временные рамки инцидента по графику "Количество строк с данными"
2. Использовать фильтры для выделения подозрительной активности
3. Построить хронологическую последовательность действий
4. Идентифицировать затронутые данные и пользователей
5. Документировать доказательства для юридических целей

Интеграция с расследованиями

Косвенные улики используются как доказательная база для:

Создания инцидентов:

• Автоматическое формирование инцидента на основе обнаруженных аномалий
• Включение релевантных улик в материалы дела
• Связывание улик с событиями мониторинга

Аналитики:

• Выявление паттернов атак
• Определение векторов компрометации
• Оценка масштаба инцидента

Отчетности:

• Формирование отчетов о расследованиях
• Документирование доказательств
• Соответствие требованиям регуляторов

Рекомендации по работе

Регулярный мониторинг

Ежедневно:

• Проверяйте графики на предмет аномальных всплесков активности
• Обращайте внимание на unknown пользователей и приложения

Еженедельно:

• Анализируйте распределение активности по системам
• Выявляйте изменения в паттернах использования БД

Ежемесячно:

• Проводите анализ трендов за длительный период
• Оптимизируйте правила фильтрации на основе накопленного опыта

Оптимизация хранения

Архивирование:

• Старые улики следует архивировать для освобождения места
• Сохраняйте возможность доступа к архивным данным для расследований

Ротация данных:

• Настройте политики хранения в зависимости от требований:
  • Критические системы — не менее 1 года
  • Обычные системы — не менее 6 месяцев
  • Тестовые окружения — 1-3 месяца

Защита улик

Целостность данных:

• Используйте механизмы контроля целостности для предотвращения подделки улик
• Ограничьте доступ к разделу только авторизованным аналитикам

Конфиденциальность:

• Маскируйте чувствительные данные в SQL-запросах при необходимости
• Соблюдайте требования к хранению персональных данных

Практические примеры

Пример 1: Обнаружение несанкционированного доступа

Ситуация: В таблице обнаружены записи с unknown пользователем, выполняющим множественные запросы к таблице CLIENTS в нерабочее время.

SQL-запрос в улике:

Select username pu_db.username, user_id, password_hash, email, phone
From CLIENTS
Where registration_date > '2025-01-01'

Анализ:

• Неизвестный источник (unknown)
• Извлечение конфиденциальных данных (хеши паролей)
• Нестандартное время (02:00 ночи)
• Массовая выборка данных

Действия:

1. Зафиксировать улики (экспорт в PDF)
2. Создать инцидент безопасности
3. Заблокировать подозрительные подключения
4. Провести полное расследование

Пример 2: Выявление инсайдерской угрозы

Ситуация: Сотрудник отдела разработки (БД: dias, Приложение: Python) выполняет запросы к финансовым данным, к которым не должен иметь доступ.

Косвенные улики:

• Рабочая станция: 6d929131916d (идентифицирована как компьютер разработчика)
• Пользователь ОС: root (повышенные привилегии)
• Объект БД: FINANCIAL_TRANSACTIONS
• Время: 18:30 (конец рабочего дня)

SQL-запрос:

Select * from FINANCIAL_TRANSACTIONS
Where amount > 100000
And transaction_date > SYSDATE - 30

Выводы:

• Доступ к данным вне зоны ответственности
• Использование привилегированной учетной записи
• Подозрительное время (после окончания рабочего дня)
• Целенаправленный поиск крупных транзакций

Заключение

Раздел "Косвенные улики" является фундаментальным инструментом для:

• Проактивного выявления угроз безопасности
• Ретроспективного анализа инцидентов
• Форензик-исследований и сбора доказательств
• Соответствия требованиям регуляторов

Эффективное использование косвенных улик требует регулярного мониторинга, правильной настройки фильтров и системного подхода к анализу собранных данных.