Вердикты эвристик и расчёт итоговой зоны

Вердикты эвристик и расчёт итоговой зоны

---

При анализе индикаторов и файлов итоговая зона рассчитывается на основе вердиктов эвристик. Значения полей Зона и Вердикты в карточках индикаторов и файлов формируются с учётом правил, описанных ниже.

Эвристики делятся на три категории.

Категория	Назначение
Детектирующие	Определяют степень вредоносности индикатора. В зависимости от возвращаемого значения итоговая зона повышается либо на 1, либо до максимальной (MALICIOUS); такие индикаторы рекомендуются к блокировке на СЗИ.
Понижающие	Определяют степень безопасности индикатора. В зависимости от возвращаемого значения индикатор может считаться полностью безопасным (итоговая зона CLEAN) или итоговая зона понижается на 1 ступень.
Вспомогательные	Не влияют на итоговую зону. Дают дополнительный контекст аналитику.

Значения вердиктов эвристик

Значение	Описание
CRITICAL	Высокий риск. Индикатор имеет признак, на основании которого рекомендуется заблокировать индикатор на СЗИ.
MEDIUM	Пограничный риск. Индикатор имеет подозрительный признак, на основании которого рекомендуется поставить индикатор на мониторинг.
INCREASE	Повышает итоговую зону индикатора на 1 (кроме индикаторов с итоговой зоной CLEAN). Эвристика определила у индикатора признак нелегитимного поведения.
DECREASE	Понижает итоговую зону индикатора на 1. Эвристика определила у индикатора признак легитимного поведения.
SAFE	Безопасно. Индикатор находится в белых списках. Вердикт имеет приоритет над остальными вердиктами.
INFO	Информационный результат. Не влияет на итоговую зону.

CRITICAL

Эвристика выставляет данное значение в случае явного признака вредоносного использования индикатора. Такие индикаторы рекомендуются к блокировке на стороне заказчика. Примеры явных признаков:

• использование в качестве сервера управления C2;
• распространение ВПО;
• индикатор используется в инфраструктуре APT;
• индикатор упоминается в публичном отчёте, где описывается Threat Actor.

---

MEDIUM

Эвристика обнаружила подозрительный признак у индикатора, однако однозначно утверждать, что индикатор является вредоносным на основе данного признака, нельзя. Разумно такие индикаторы ставить на мониторинг. Примеры подозрительных признаков:

• подозрительная ASN у IP-адреса;
• WHOIS-запись домена содержит подозрительный контент.

---

INCREASE

Эвристика обнаружила признак нелегитимного поведения. Но этот признак является косвенным, поэтому итоговая зона повышается на 1 (усиление подозрения).

Пример:

• предположительно фишинговый домен резолвится в момент работы эвристики — усиливается подозрение, поскольку предположительно фишинговый домен является активным ресурсом.

---

DECREASE

Эвристика обнаружила у индикатора признак легитимного поведения, в результате чего итоговая зона понижается на 1 (уменьшение подозрения). Такой результат полезен в следующих случаях:

• для формирования итогового вердикта, что индикатор чистый (в случае если индикатор явно не находится в белых списках);
• для определения момента, когда вредоносный или подозрительный индикатор больше не используется злоумышленниками и начинает вести себя как легитимный.

Пример признака легитимного поведения:

• статистически чистая ASN.

---

SAFE

Эвристика считает индикатор безопасным. Вердикт SAFE имеет приоритет над остальными: если остальные эвристики считают индикатор вредоносным, то при наличии вердикта SAFE итоговая зона будет CLEAN.

Примеры безопасных индикаторов:

• индикатор находится в белых списках, степень доверия к которым и блокировка таких индикаторов даёт больше ложных срабатываний, чем реальной пользы.

---

INFO

Дополнительный контекст для аналитика, который не влияет на итоговую оценку. Информация может содержать пояснения, статистическую информацию по активности индикатора, дату регистрации домена и прочее.

---

Влияние вердиктов на итоговую зону

После выставления всех вердиктов рассчитывается итоговая зона, которая может принимать следующие значения.

Итоговая зона	Описание
MALICIOUS	Вредоносные индикаторы, рекомендуемые к блокировке.
SUSPICIOUS	Подозрительные индикаторы, которые рекомендуется поставить на мониторинг.
CLEAN	Безопасные индикаторы.
UNKNOWN	Не сработали эвристики, выставляющие итоговую зону (CRITICAL, MEDIUM, SAFE).

Таблица соответствия вердикта эвристики и итоговой зоны:

Вердикт эвристики	Итоговая зона	Примечание
CRITICAL	MALICIOUS
MEDIUM	SUSPICIOUS
INCREASE	SUSPICIOUS → MALICIOUS	Повышение ступени на 1 (кроме индикаторов с итоговой зоной CLEAN).
DECREASE	MALICIOUS → SUSPICIOUS; SUSPICIOUS → CLEAN	Понижение ступени на 1.
SAFE	CLEAN	Приоритет над остальными вердиктами.
INFO	Не влияет на итоговую зону	Дополнительный контекст.

Примеры расчёта итоговой зоны

Пример 1

Результаты эвристик:

CRITICAL DECREASE INFO

Итоговая зона: SUSPICIOUS.

Расчёт:

• эвристика CRITICAL выставляет зону MALICIOUS;
• эвристика DECREASE понижает зону на 1 до SUSPICIOUS;
• эвристика INFO не влияет на итоговую зону.

---

Пример 2

Результаты эвристик:

CRITICAL MEDIUM INCREASE SAFE INFO INFO

Итоговая зона: CLEAN.

Расчёт:

• эвристика CRITICAL выставляет зону MALICIOUS;
• эвристика MEDIUM не влияет на зону MALICIOUS, так как эвристика CRITICAL «сильнее» в категории детектирующих эвристик;
• эвристика INCREASE не влияет на зону MALICIOUS, так как эвристика CRITICAL «сильнее» в категории детектирующих эвристик;
• эвристика SAFE выставляет зону CLEAN, несмотря на то что детектирующие эвристики ведут к зоне MALICIOUS;
• две эвристики INFO не влияют на результат.

---

Пример 3

Результаты эвристик:

CRITICAL DECREASE SAFE INFO

Итоговая зона: CLEAN.

Расчёт:

• эвристика CRITICAL выставляет зону MALICIOUS;
• эвристика DECREASE понижает зону на 1 до SUSPICIOUS;
• эвристика SAFE выставляет зону CLEAN, несмотря на то что пониженная итоговая зона является SUSPICIOUS;
• эвристика INFO не влияет на итоговую зону.

---

Пример 4

Результаты эвристик:

DECREASE INFO

Итоговая зона: UNKNOWN.

Расчёт:

• эвристика DECREASE должна понизить зону на 1, однако неясно, относительно какой зоны нужно понижать, поэтому выставляется итоговая зона UNKNOWN;
• эвристика INFO не влияет на итоговую зону.

---