Розмір шрифта: 

У роботі досліджується проблема критичного перевантаження центрів моніторингу безпеки (SOC) хибними спрацюваннями (False Positives), що виникають під час спроб виявлення атак типу «Living off the Land» (LotL). Оскільки зловмисники використовують легітимні системні інструменти (PowerShell, WMI, PsExec), класичні сигнатурні правила SIEM-систем не здатні відрізнити шкідливу активність від рутинної роботи системних адміністраторів. Це призводить до явища «втоми від тривог» (Alert Fatigue) та пропуску реальних інцидентів. Для вирішення цієї проблеми запропоновано метод контекстного збагачення даних безпеки, який інтегрує технічні події з організаційними метаданими (роль користувача, профіль поведінки, критичність активу). Застосування методу дозволяє автоматизувати фільтрацію легітимної активності та суттєво знизити рівень інформаційного шуму.

A method for reducing false positives when monitoring Living off the Land techniques in corporate networks

Abstract
The paper investigates the critical problem of Security Operations Centers (SOC) being overloaded with false positives during attempts to detect "Living off the Land" (LotL) attacks. Since attackers utilize legitimate system tools (PowerShell, WMI, PsExec), classic signature-based SIEM rules cannot distinguish malicious activity from the routine work of system administrators. This leads to the phenomenon of "alert fatigue" and the missing of actual incidents. To address this issue, a method of contextual security data enrichment is proposed, which integrates technical events with organizational metadata (user role, behavioral profile, asset criticality). The application of this method automates the filtering of legitimate activity and significantly reduces the level of information noise.

False Positives, Living off the Land (LotL), SIEM, SOC, Alert Fatigue, контекстно-орієнтований аналіз, інформаційна безпека.