ОБХІД EDR У ПОЄДНАННІ З SIEM : АНАЛІЗ МЕТОДІВ ПРИХОВУВАННЯ АТАК У ЛОГАХ - ДОСЛІДЖЕННЯ ТАКТИК, ЩО ВИКОРИСТОВУЮТЬ ЗЛОВМИСНИКИ ДЛЯ УНИКНЕННЯ ДЕТЕКЦІЇ

Анотація

У статті розглядається актуальна проблема — методи обходу систем виявлення та реагування на кінцевих точках (EDR) у поєднанні з платформами управління інформацією та подіями безпеки (SIEM), які є основними компонентами сучасної кіберзахисної інфраструктури. Попри постійне вдосконалення цих технологій, зловмисники також розвивають тактики, що дозволяють уникати виявлення та зберігати присутність у скомпрометованих системах. У статті здійснено класифікацію методів уникнення виявлення, зокрема таких як маніпуляція логами, підробка подій, вимкнення сервісів журналювання та використання малочастотних атак, які не потрапляють у пороги спрацювання систем попередження.

Особлива увага приділена методам, які базуються на концепції «Living-off-the-Land» — використання вбудованих інструментів операційної системи (PowerShell, WMIC, CertUtil) для виконання шкідливого коду з мінімальними індикаторами активності. Також проаналізовано техніки обфускації, включаючи інжекцію зайвого коду, шифрування, перекомпіляцію та застосування кастомних завантажувачів, які дозволяють уникати виявлення як сигнатурними, так і евристичними аналізаторами.

У роботі детально описано й методи атаки на рівні ядра операційної системи, зокрема DKOM (пряма маніпуляція об’єктами ядра), unhooking бібліотек DLL та атаки на рівні UEFI/BIOS, які дозволяють обійти системи моніторингу завдяки роботі поза межами контрольованого середовища ОС. Окремо розглянуто методи уникнення контролю з боку SIEM-систем: очищення логів, підробка часових міток, перевантаження сенсорів та генерація надмірної кількості подій, що ускладнює роботу аналітиків та знижує ефективність реагування.

У роботі наведено приклади із застосуванням популярних рішень, таких як Elastic, Splunk, CrowdStrike та SentinelOne. У підсумку автори роблять висновок про необхідність впровадження поведінкового аналізу, довготривалої кореляції, міжплатформенної телеметрії та моделей машинного навчання як ключових засобів протидії складним технікам уникнення та забезпечення видимості кіберзагроз у сучасному гібридному ІТ-середовищі.