💥 Привет, недавно я делал пост про странную логику Bloodhound-CE при работе с Owned и High Value пользователях.
Проблема была в кривом отображении UI и сбросе данных после перезагрузки при ручной пометке через Neo4j.

Я пошел смотреть исходники и обнаружил преинтереснейшую вещь — В отличии от предыдущего бладхаунда, тут, помимо приложухи и Neo4j в стек добавилась Postgres. Если раньше аутентификация проводилось только через bolt в Neo4j, то тут добавляется еще и аутентификация в саму GUI. Вот эта инфа, и другие настройки, типа Custom Queries хранятся в постгресе.

И (уже не первый раз) я удивился, когда увидел, что там в отдельной таблице хранятся данные об Owned и High-Value нодах.

bloodhound=# select * from asset_group_selectors;
---+------------------+------------------+---+----+-------------------------------+------------------------------
 1 | S-1-<SNIP>-17251 | S-1-<SNIP>-17251 | f |  1 | 2024-09-02 09:34:55.977957+00 | 2024-09-02 09:34:55.977957+00
 1 | S-1-<SNIP>-7261  | S-1-<SNIP>-7261  | f |  3 | 2024-09-02 10:51:05.968531+00 | 2024-09-02 10:51:05.968531+00
 1 | S-1-<SNIP>-13965 | S-1-<SNIP>-13965 | f |  4 | 2024-09-02 10:51:10.386376+00 | 2024-09-02 10:51:10.386376+00
 1 | S-1-<SNIP>-21856 | S-1-<SNIP>-21856 | f |  5 | 2024-09-02 11:29:49.443476+00 | 2024-09-02 11:29:49.443476+00
(4 rows)
bloodhound=# select * from asset_groups;
      name       |     tag      | system_group | id |          created_at           |          updated_at           
-----------------+--------------+--------------+----+-------------------------------+-------------------------------
 Owned           | owned        | t            |  1 |                               | 
 Admin Tier Zero | admin_tier_0 | t            |  2 | 2024-08-28 12:34:58.093203+00 | 2024-08-28 12:34:58.093203+00
(2 rows)

Из запроса можно увидеть 2 таблицы, одна из которых (нижняя) содержит теги и ID этих тегов, вторая (верхняя) совмещает SID объектов AD с этими ID. То-есть у меня в бладхаенде есть 4 пользака, помеченные как Owned.

И после перезагрузки все свойства system-tags, что было отмечено в Neo4J обнуляются и устанавливаются вот эти четыре.
Нет слов, одни эмоции, не знаю, зачем разработчики сделали такую логику. Наверное стоит завести Issue на гитхабе

#redteam

SOC на аутсорсе 💰 или in-house SOC 🧃
Что бы выбрали вы?
Мы как то рассказывали, что это такое и в чем отличия, поговорим теперь о работе в данных организациях с точки зрения сотрудника, понятно, то что есть в одной компании, будет отсутствовать в другой, но так как я поработал и там и там расскажу о тех моментах, с которыми мне пришлось столкнуться.

Начнем с SOC-а на аутсорсе.

Плюсы➕:

1. Четкое разграничение ответственности
Моя первая работа в качестве SOC аналитика началась именно там, поначалу безумно нравилось тем, что при заключении договора, есть четкая документация, в рамках которой ты работаешь, в целом все понятно и прозрачно, кому что писать, у кого что спрашивать;

2. Работодатель более охотно оплачивает курсы, платные митапы
Компания заинтересована в вашем развитии, т.к. вы тот актив, который приносит деньги, и от качества предоставляемой услуги, зависит удовлетворенность заказчика и следовательно продление\подписание новых контрактов;

3. Большая команда
Как правило именно тут команда SOC будет больше, т.к. такой SOC создается под несколько компаний, а следовательно больше людей - больше компетенций.

Минусы➖:

1. Не вовлеченность заказчика
Как и многие мои коллеги, я столкнулся с проблемой, что услуга SOC приобреталась с целью отчета перед регулятором о том, что инфраструктуру мониторят, а если это так, то у вас целый букет проблем
Запросы о предоставлении дополнительной информации, необходимой для расследования инцидента, могут висеть неделями, рекомендации об устранении инцидента могут игнорироваться, а сбор дополнительных событий будет расцениваться как попытка саботажа и отвергнута по причине излишней нагрузки на сеть;

2. Ощущение работы в пустую
Вытекает из предыдущего минуса, и начинаешь ощущать это тогда, когда хочешь сделать что то хорошо, тратишь на решение какой то проблемы время, но от твоих идей отказываются за ненадобностью;

3. Достаточно высокая нагрузка
Как правило на мониторинге находятся несколько компаний и периодически случается так, что иногда не хватает времени на то, что бы нормально поесть.

Итог:
На мой взгляд, это отличное место для старта карьеры, как правило, в таких SOC-ах, большая часть процессов выстроена и следовательно не нужно изобретать велосипед. Сотрудников больше чем в in-house, следовательно всегда есть человек, который может что-то подсказать. Но я там не смог долго проработать по ряду причин, одна из которых это ощущение работы в пустую.

Был ли у вас опыт работы в SOC-е на аутсорсе, и с какими нюансами работы сталкивались вы?

В следующей статье, расскажу про нюансы работы в in-house SOC-е
#SOC #blueteam #REDtalk

Я слишком долго вынашивал идею про особенности работы в 🏪In-house SOC т.к. тут все намного сложнее, чем в SOC-e на аутсорсе
Плюсы и минусы обратны тем, что я описывал тут.

А так, все очень сильно зависит от многих факторов🧮
🦾 Уровня зрелости SOC-a
💰Финансирования
📈Стратегий руководства

Это все можно понять, ответив на следующие вопросы📝
- Сколько людей в команде
- Какие есть направления
- Какие продукты используются в работе
- Какие задачи ставятся перед сотрудником/отделом
- Есть ли какие то проблемы в данный момент у отдела и как планируется их решать
- Как руководство относится к посещению различных мероприятий по ИБ
- Какой бэкграунд у лида, от этого будут зависеть качество поставленных задач и ваше дальнейшее развитие

По итогу, если вы найдете крутую кибербезную (или делает все, что бы ей стать👨‍💻) команду, вы можете столкнуться со следующими моментами:
- Многие проблемные вопросы решаются как правило проще и быстрее (проигнорированные запросы, недопонимание со стороны it)
- Идеи каждого члена команды могут быть услышаны и реализованы на практике, т.к. ваша деятельность не ограничена контрактом на предоставление конкретной услуги, вы, как подразделение, отвечаете за обеспечение безопасности компании

Вообще, цель моих статей, помочь начинающим специалистам чуть лучше понять, как устроен SOC и на что смотреть при выборе компаний.

Лично мой совет:
Прежде чем выходить на рынок труда, вам нужно определить, чем именно вы хотите заниматься и что для вас важно, а дальше из этого сформировать ваш список вопросов, которые необходимо задавать на собеседованиях, это, на мой взгляд, одна из самых важных его частей, потому что важно выяснить не только подходите ли вы компании, но и подходит ли данная компания вам, и вы не уволитесь через пару недель после трудоустройства, разочаровавшись в задачах, команде и подхода к работе.

#SOC #blueteam