Множество неудачных попыток входа в Jira
Описание
Множество неудачных попыток входа может свидетельствовать о попытках подбора пароля или брутфорс-атаки, направленной на компрометацию учетных записей. Такое поведение указывает на возможное вмешательство атакующего, который пытается получить несанкционированный доступ к системе Jira. Если доступ будет получен, это может привести к утечке конфиденциальной информации, изменению настроек системы, удалению или изменению задач, а также другим действиям, нарушающим работу системы. Постоянные неудачные попытки входа также могут перегрузить систему или привести к временной блокировке учетных записей.
Разбор
Для реализации данной активности необходимо совершить множество ошибок при вводе данных УЗ.
Интерфейс входа в Jira
При создании активности генерируется лог с полем device_action равным user login failed или не удалось выполнить вход.
Пример нормализованного события в SIEM
В данном событии следует обратить внимание на следующие ключевые поля:
dst_user_name- имя пользователя, выполнившего действие.device_hostname- имя хоста, на котором было выполнено действие.dst_user_type- статус пользователя. В данном примере он не существует.src_ip- IP-адрес, с которого была инициирована активность.
Ссылки на дополнительные материалы
Вывод
Это правило помогает обнаруживать попытки взлома учетных записей, что критично для предотвращения несанкционированного доступа и утечек данных. Ложноположительные срабатывания могут возникать в ситуациях, когда пользователи забывают свои пароли или вводят их неправильно, особенно после изменения пароля или сбоя в работе системы аутентификации.
Возможный способ обнаружения
Правило детектирования основано на анализе событий от Jira Atlassian, где в поле device_action установлено значение user login failed или не удалось выполнить вход. За 60 секунд необходимо неудачно войти более пяти раз.
Правила
Множество неудачных попыток входа в Jira
id: RV-D-1195
rid: 42bfa963-f18f-4ff2-9eb6-74869a0d8c7a
name: Множество неудачных попыток входа в Jira
Тестирование
- Atlassian Jira Project Management Software (v9.16.0)
False Positive
- Легитимная активность сотрудников в рамках создания резервных копий Jira