Отчёт кампании, взаимодействие и переход к улучшениям

Зачем это нужно

• Плохо оформленный результат кампании воспринимается как обвинение и не приводит к изменениям.
• Отчёт связывает действия, обнаружение и конкретные улучшения.
• Коммуникация с защитной командой определяет, будут ли внедрены меры.

Теория

Структура отчёта: цели кампании и согласованные критерии → краткая хронология этапов с указанием, что было видно защите → карта техник с тремя состояниями обнаружения → перечень обнаружений и время реакции → слепые зоны и необходимые данные → рекомендации по правилам, конфигурациям и процессам → приложения с разрешениями и перечнем изменений → подтверждение уборки. Важно избегать формулировок о вине конкретных людей: разбор ведётся по процессам и данным.

Подача результатов: сначала то, что сработало хорошо, затем то, что требует изменения, и только затем детали. Для каждой рекомендации указывают владельца, срок и критерий проверки. Отдельный раздел — «что изменилось бы, если бы правило существовало»: это делает выгоду конкретной. Если защитная сторона обнаружила действие самостоятельно, это фиксируют как положительный результат, даже если кампания достигла цели.

Продолжение работы: после отчёта проводят повторные фиолетовые циклы по устранённым слепым зонам, проверяют, что новые правила работают и не дают шума, обновляют карту покрытия, фиксируют изменения в системе учёта. Хорошая практика — планировать следующую кампанию с учётом того, что изменилось: цели должны сдвигаться в сторону тех техник, которые ранее оставались невидимыми.

Ключевые концепции

Хронология с обнаружением

Список этапов кампании с пометкой, был ли этап замечен защитой.

Карта техник кампании

Перечень использованных техник с состоянием обнаружения.

Рекомендация с владельцем

Действие, назначенный ответственный, срок и критерий проверки.

Разбор без поиска виноватых

Анализ причин на уровне процессов и данных, а не личности.

Повторный цикл

Проверка того, что новые правила действительно работают.

Сдвиг целей кампании

Планирование следующей кампании по ранее невидимым техникам.

Инструменты

• Шаблоны отчётов и системы учёта задач.
• Средства ведения карты покрытия и версий правил.
• Платформы для совместного разбора с защитной командой.
• Системы хранения отчётов с ограниченным доступом.
• Средства фиксации подтверждений уборки.

Практика в легальных лабораториях

• Оформите отчёт по учебной кампании по предложенной структуре.
• Для каждой рекомендации укажите владельца, срок и критерий проверки.
• Напишите раздел о том, что изменилось бы при наличии правила.
• Опишите план повторных фиолетовых циклов после устранения слепых зон.
• Сформулируйте цели следующей учебной кампании по невидимым ранее техникам.

Защита, детект и защитные меры

• Проводите совместный разбор сразу после кампании, пока детали свежи.
• Требуйте рекомендации с владельцами и сроками: иначе отчёт останется документом.
• Фиксируйте обнаружения как положительный результат, чтобы поощрять внимательность.
• Обновляйте карту покрытия после каждого цикла.

Правовая рамка и этика

• Отчёт содержит сведения о слабостях: распространяйте по согласованному списку.
• Детали техник не публикуйте вне организации: публикуйте защитные меры.
• Подтверждение уборки и удаления данных прикладывайте к отчёту.

Типичные ошибки

• Писать отчёт как хронику без выводов и задач.
• Искать виноватых вместо причин.
• Не фиксировать обнаружения защитной стороны.
• Не проверять работу новых правил после уточнения.

Чек-лист «умею»

• Оформляю отчёт со структурой: цели, хронология, обнаружение, слепые зоны, рекомендации.
• Указываю владельца, срок и критерий для каждой рекомендации.
• Провожу разбор без поиска виноватых.
• Планирую повторные циклы проверки.
• Обновляю цели следующей кампании.

Вопросы на интервью

• Как вы подадите результаты кампании, чтобы их приняли?
• Что делать, если защита обнаружила ваши действия?
• Как вы планируете следующую кампанию?

Источники и первоисточники

• PTES — отчётность
• ATT&CK Navigator