Методика обнаружения LOTL-атак при помощи SIEM-системы WAZUH

Abstract

Статья посвящена исследованию методов обнаружения атак класса Living off the Land (LotL) с использованием SIEM системы Wazuh. Рассмотрена техника эксплуатации легитимной утилиты mshta.exe в контексте тактики Defense Evasion согласно классификации MITRE ATT&CK. Экспериментально установлено, что штатные механизмы Wazuh не обеспечивают обнаружение данной угрозы без разработки специализированных правил корреляции. Предложена методика составления XML-правил, подтверждённая практической апробацией. Полученные результаты свидетельствуют о необходимости регулярного расширения базы правил корреляции как обязательного условия обеспечения киберустойчивости информационных систем.