От шести сигналов до автоматической блокировки

Контекст

Речь идёт о веб-приложении WordPress в среде общего хостинга под защитой Aegis. Клиент и точный домен анонимизированы — все цифры, техники и хронология в этом разборе взяты напрямую из записи инцидента (WORM-журнал), без прикрас.

Атака была не одним «громким» событием, а чередой на первый взгляд не связанных сигналов, разбросанных по WAF, SIEM и сетевому слою. По отдельности каждый легко теряется в шуме. Ценность SOC именно в том, чтобы связать их в одну историю — и отреагировать, пока атака ещё идёт.

Что произошло

Менее чем за десять минут один и тот же источник (31.45.239.xxx) последовательно прошёл пять фаз:

• 1 · Сканирование веб-приложения T1595 · Active Scanning

  Автоматический сканер составляет карту структуры сайта, ищет известные пути и открытые файлы. Первый, тихий сигнал — сам по себе не атака, но прелюдия.

• 2 · Зондирование админ-панели T1190 · Exploit Public-Facing App

  Целевые запросы к /wp-admin и путям входа — атакующий проверяет, открыт ли интерфейс.

• 3 · Попытка эксплойта WordPress (WAF) T1190

  WAF перехватывает попытку эксплуатации известной уязвимости WordPress — полезная нагрузка блокируется на прикладном уровне, но атакующий не сдаётся.

• 4 · Шквал входов (credential stuffing) T1110.003 · Password Spraying

  Серия POST-запросов на вход — попытка взломать пароль большим числом комбинаций за короткое время.

• 5 · Истощение L7 (slowloris) T1499 · Endpoint DoS

  Когда прямой прорыв не удаётся, атакующий переходит к истощению ресурсов — медленно удерживая соединения открытыми, чтобы задушить сервер.

Как отреагировал Aegis

Каждая из этих фаз подняла свою тревогу — всего шесть, из трёх разных слоёв защиты (WAF, SIEM аутентификации, сетевое обнаружение). Решающим моментом стала не отдельная детекция, а корреляция:

• Корреляционный движок Aegis распознал, что все шесть тревог имеют один IP-источник и выстраиваются в атакующую последовательность — от разведки к активному прорыву.
• Сочетание техник перешло порог уверенности: это уже не «сканер, блуждающий по интернету», а целенаправленная многоэтапная атака на конкретную цель.
• Aegis автоматически отдал команду заблокировать источник на периметре — не дожидаясь аналитика.

Доказательный след

Автоматическая реакция — не конец истории: каждое решение оставляет след, который можно проверить:

• Шесть исходных тревог и их корреляция зафиксированы в неизменяемой (WORM) записи инцидента.
• Каждый из 188 вредоносных запросов привязан к технике и метке времени.
• Сама блокировка — кто её выдал (автоматика), на каком основании и когда — часть того же доказательного пакета.

В этом разница между «система что-то заблокировала» и «мы можем точно показать, что произошло, почему и в каком порядке» — будь то для внутреннего аудита или отчётности NIS2.