ДК #4: Перевод FAQ
21 January 2022
ДК #4: Перевод FAQ converted a basic group to this supergroup «@attack_community_dc_4»
23 January 2022
Д
07:37
ДК #4: Перевод FAQ
Статус: Дискуссия активна и открыта для новых участников.

Принять участие: Для получения возможности отправлять сообщения необходимо пройти верификацию.

Проблема: Официальный FAQ MITRE ATT&CK оказался крайне нераспространенным документом в русскоязычной среде, при всей его познавательной ценности для сообщества как в перспективе, так и для текущей работы по созданию единого перевода названий тактик.

Цель: Совместно разработать перевод официального FAQ MITRE ATT&CK. Опубликовать перевод на сайте сообщества и в блоге сообщества на Хабр.

Организация совместной работы:

1. Черновик перевода доступен в Google Docs, спорные формулировки выделены в столбце в "Комментарий"
1. Спорные формулировки обсуждаются и совместно обосновываются в данной группе. Совместное решение отражается в черновике
3. После того как спорные вопросы будут разрешены, изменения из Google Docs будут добавлены в ветку faq репозитория сайта сообщества на GitHub
4. GitHub Pull Request в master ветку сайта будет принят и изменения вступят в силу (веб-сайт будет обновлен)
07:38
Хронология:

28.01.2022: Разработан первый черновик перевода. Опубликован в Google Docs для совместной работы и на сайте сообщества (без упоминаний и ссылок с других страниц) с целью общего ознакомления.
07:38
TODO:

1️⃣✅ adversary -> злоумышленник (обсуждение, итог)
2️⃣✅ adversary behavior/behaviors -> поведение (ед.ч) и действия (мн.ч) (обсуждение, итог)
3️⃣✅ taxonomy -> система классификаций (обсуждение, итог)
4️⃣✅ sub-techniques -> подтехники (обсуждение, итог)
5️⃣✅ adversarial actions across their lifecycle -> действия злоумышленников, предпринимаемые ими в ходе кибератак (обсуждение, итог)
6️⃣✅ advanced persistent threats -> злоумышленники (проводящие) целенаправленные кибератаки (обсуждение, итог)
7️⃣✅ post-compromise -> после получения доступа (обсуждение, итог)
8️⃣✅ threat intelligence -> исследование киберугроз (обсуждение, итог)
--
✅ Часть про ICS разработана совместно с Антоном Шипулиным (@Anton_Shipulin), основателем @RUSCADASEC
❌ Часть про Cloud разработана совместно с представителями отрасли
29 January 2022
y
21:03
yugoslavskiy Даниил Югославский
Привет @Anton_Shipulin! Спасибо что решил поучаствовать (:

Среди перевода встречается несколько упоминаний ATT&CK for ICS и соответсвующих описаний.
Будет круто если прокомментируешь:

1. В вопросе “Что такое АТТ&СК?”:


ATT&CK описывает вредоносные поведения направленные против нескольких видов инфраструктур:
[…]
- ATT&CK for ICS — промышленные сети, автоматизированные системы управления;


собственно, я решил высокоуровнево описать что это АСУ, не АСУ ТП/SCADA/АСКУЭ, без конкретики, максимально обще.

2. в вопросе “К каким технологиям применим ATT&CK?”:


промышленные сети, автоматизированные системы управления (АСУ ТП);


тут также написал АСУ и в скобках АСУ ТП. Я не упоминаю вендоров или какие-то конкретные системы потому что по сути это импровизация — в официальном FAQ по какой-то причине нет упоминаний об ATT&CK for ICS. А для Enterprise и Mobile довольно подробно описаны технологии и перечислены операционные системы. Я подумал, будеть правильно также подробно описать и домен ATT&CK for ICS, но для того чтобы перечислить какую-то конкретику нужно в этом хорошо разбираться. Поэтому я решил обратиться к тебе (:

Мы еще будем уточнять у команды ATT&CK насколько это корректный ход в целом, но я думаю что препятствий мы не встретим с их стороны.
1 February 2022
AS
17:57
Anton Shipulin Антон Шипулин
Всем привет!

1. Про термины это вечно неоднозначный вопрос. Например, в российских документах встречается такие аналоги ICS

a. Автоматизированные системы управления (ист. ФСТЭК 239)
b. Автоматизированные системы управления производственными и технологическими процессами (ист. ФСТЭК 31)
c. Системы промышленной автоматики и контроля (ист. ГОСТ Р МЭК 62443-2-1-2015)

Мне например нравится универсальный вариант "Системы промышленной автоматизации". Я бы использовал его
AS
18:12
Anton Shipulin Антон Шипулин
Над вторым вопросом думаю
y
21:30
yugoslavskiy Даниил Югославский
In reply to this message
спасибо большое! сейчас заменю в черновике 🙏🏻
AS
22:45
Anton Shipulin Антон Шипулин
In reply to this message
2. По аналогии с MITRE ATT&CK Enterprise, тут должна быть смысловая структуризация объектов, техники на которых описаны в матрице.

Enterprise IT systems covering Windows, macOS, Linux, Network infrastructure devices (Network), and Container technologies (Containers); cloud systems covering Infrastructure-as-a-Service (IaaS), Software-as-a-Service (SaaS), Office 365, Azure Active Directory (Azure AD), and Google Workspace; mobile devices covering Android and iOS.

В матрице ICS они не описаны детально по вендорам, операционным системам, протоколам. Но описаны категории активов, которым релевантны техники. Поэтому я бы предложил использовать в FAQ их
https://collaborate.mitre.org/attackics/index.php/All_Assets

Перевод:
Серверы управления, серверы архивных данных, инженерные рабочие станции, полевые контроллеры/RTU/PLC/IED, человеко-машинные интерфейсы (HMI), серверы ввода/вывода, системы противоаварийной защиты (SIS), терминалы релейной защиты и автоматики

И еще в списке явно нет, но я бы добавил: …, устройства промышленных сетей
22:52
@yugoslavskiy еще чем то могу помочь? Запутался в организации процесса немного? Доступ к Google docs?
y
22:59
yugoslavskiy Даниил Югославский
In reply to this message
я не надеялся что ты так быстро вольешься в процесс и на все вопросы ответишь :D

поэтому мы тут пока вдвоем, объявление я еще не делал (надеюсь сделать сегодня).

если тебе интересно поучаствовать в дальнейших обсуждениях по это у топику или проверить/откомментить другие части FAQ - я буду очень благодарен 🙏🏻

тогда да, мне нужна будет твоя гугловая почта чтобы уже по тексту комментить в гугл документе.

если нет - то считай все, уже очень помог (: то что ты посоветовал я внесу сам.

разве что я бы еще уточнил как можно сократить эту часть с ассетами, все что перечислено наверное не стоит упоминать (будет несоразмерно больше инфы в сравнении с Enterprise в этом пункте). Хотя может оно и норм? 🤔
AS
23:04
Anton Shipulin Антон Шипулин
In reply to this message
Я бы все таки не стал сокращать часть с асетами, т.к. это то что пишет сама MITRE. И это логично
y
23:05
yugoslavskiy Даниил Югославский
In reply to this message
разумно. меня это смутило исключительно на контрасте. сделаем как ты предлагаешь 👍
AS
23:06
Anton Shipulin Антон Шипулин
In reply to this message
Ну вроде как раз нет контраста про Enterprise как раз детально в FAQ написано
23:07
Enterprise IT systems covering Windows, macOS, Linux, Network infrastructure devices (Network), and Container technologies (Containers); cloud systems covering Infrastructure-as-a-Service (IaaS), Software-as-a-Service (SaaS), Office 365, Azure Active Directory (Azure AD), and Google Workspace; mobile devices covering Android and iOS.
9 February 2022
y
00:07
yugoslavskiy Даниил Югославский
Обновил черновик 👌
00:08
Спасибо тебе 🙏🏻
AS
00:28
Anton Shipulin Антон Шипулин
👍
JZ
10:09
J ZDLN Евгений Зудилин
Привет.
Пробежался по диагонали по [FAQ на русском](https://attack.community/faq_draft_v1.html).
Нашел одну ошибку в пункте Как часто ATT&CK обновляется?: Вместо "Раз в два года." должно быть "Дважды в год (два раза в год)".
y
10:10
yugoslavskiy Даниил Югославский
In reply to this message
Спасибо! Поправлю в черновике 🙏🏻
10 February 2022
y
23:48
yugoslavskiy Даниил Югославский
Необходима валидация/помощь коллег из сообщества DevSecOps:

В официальном FAQ есть два вопроса, в ответах на которые упоминаются облачные технологии и контейнеры:

1. Что такое АТТ&СК? (What is ATT&CK?)

- "ATT&CK for Enterprise, which covers behavior against enterprise IT networks and cloud"
=>
- "ATT&CK for Enterprise — корпоративные сети и облачные вычисления"

2. К каким технологиям применим ATT&CK? (What technologies does ATT&CK apply to?)

- Enterprise IT systems covering Windows, macOS, Linux, Network infrastructure devices (Network), and Container technologies (Containers); cloud systems covering Infrastructure-as-a-Service (IaaS), Software-as-a-Service (SaaS), Office 365, Azure Active Directory (Azure AD), and Google Workspace;
=>
- Корпоративные инфраструктуры под управлением Windows, macOS и Linux; сетевые устройства и технологии контейнерной виртуализации; облачные вычисления, такие как Инфраструктура как услуга (IaaS), Программное обеспечение как услуга (SaaS), Office 365, Azure Active Directory (Azure AD) и Google Workspace.
11 February 2022
JZ
13:43
J ZDLN Евгений Зудилин
In reply to this message
Предлагаю свой вариант перевода этих двух пунктов:
- Что такое ATT&CK?
- ATT&CK представляет собой базу знаний о поведении злоумышленников и таксономии их действий в ходе кибератак. ATT&CK состоит из двух частей: Корпоративные ATT&CK, описывающие атаки на корпоративные сети и облачные инфраструктуры, и Мобильные ATT&CK, описывающие атаки на мобильные устройства.

- К каким технологиям можно применить ATT&CK?
- Корпоративные ИТ-системы, включающие в себя системы под управлением Windows, macOS и Linux, а также устройства сетевой инфраструктуры (сеть) и технологии контейнеризации (контейнеры); облачные системы, включающие в себя инфраструктуру как услугу (IaaS), программное обеспечение как услугу (SaaS), Office 365, Azure Active Directory (Azure AD) и Google Workspace; мобильные устройства под управлением Android и iOS.
y
17:53
yugoslavskiy Даниил Югославский
In reply to this message
Посмотри пожалуйста в гугл док, там объяснения некоторых пунктов и мотивации изменений
12 February 2022
y
20:14
yugoslavskiy Даниил Югославский
In reply to this message
Я попробую разбить твою версию на отдельные пункты. Давай их обсудим безотносительно облачных штук, потому что по ним очень хотелось бы ответ получить именно от сообщества DevSecOps.
20:16
1️⃣✅ ”cyber adversary”

- злоумышленники

Итог обсуждения: https://t.me/attack_community_dc_4/93

20:16
2️⃣✅ behavior/behaviors

> ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle.
> ATT&CK has two parts: ATT&CK for Enterprise, which covers behavior against enterprise IT networks and cloud, and ATT&CK for Mobile, which focuses on behavior against mobile devices.
> It was created out of a need to document adversary behaviors for use within a MITRE research project called FMX.
> We have documented several use cases where ATT&CK can be used to provide granular detail on adversary behavior.
> ATT&CK documents detailed adversary behavior while the Diamond Model is helpful if you're trying to cluster intrusions.
> ATT&CK sits at a lower level of definition to describe adversary behavior than the Cyber Kill Chain.
> MITRE ATT&CK® is a curated knowledge base and model for cyber adversary behavior.
> ATT&CK is useful for understanding security risk against known adversary behavior

- «поведение» в единственном числе
- «действия» во множественном числе

Итог обсуждения: https://t.me/attack_community_dc_4/239

20:18
3️⃣✅ “taxonomy”

> ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle.

— система классификаций

Итог обсуждения: https://t.me/attack_community_dc_4/225

20:18
> ATT&CK состоит из двух частей:

вот тут я модицифировал оригинал, включив информацию по ATT&CK for ICS
20:19
далее тоже текст модифицирован, там часть про облака которую хотелось бы прояснить с коллегами кто ближе к облакам, и часть про ICS мы уже прояснили с Антоном
JZ
20:23
J ZDLN Евгений Зудилин
In reply to this message
🆗
y
20:28
yugoslavskiy Даниил Югославский
In reply to this message
по этому поводу я оч долго думал.

ребята из ATT&CK придерживаются позиции без оценок мотивации или действий — у них все оч отстраненно, мол есть противник и все. хакер, злоумышленник, преступник — это все они как-то опускают. я верю что нам тоже стоит такого подхода придерживаться. и я нашел нейтральную альтернативу опять таки у американцев — в их законодательстве есть формулировка “компьютерный нарушитель” — “computer trespasser”. Оно кажется наиболее близким к cyber adversary, при этом может использоваться на русском. т.е. кибер противник — это вообще мимо, а то как-то худо бедно подходит. у нас в законодательстве тоже эта формулировка (нарушитель) используется, насколько можно судить.

но все это спорно, конечно. я не уверен в этой формулировке, поэтому буду рад услышать твои доводы в пользу той или иной версии.
20:33
In reply to this message
тут я тоже изначально оч сильно завис. кажется, что то предмет этой области это все же “поведение”. если гуглить и искать другие классификации поведений, то будут находиться только классификации поведения (т.е. в единственном числе). и оно звучит разумно и правильно, что еще за поведения.

но если присмотреться к выступлениям, документации, даже самому FAQ, мы увидимо что используется формулировка behaviors, т.е. все же поведения. эта формулировка (во множественном числе) используется как некое атомарное поведение, в том смысле, что не индикатор компрометации, а именно паттерн некого действия, более высокоуровневый, который может реализовываться разными способами.

оно может не оч по родному звучит, но кажется что корректнее отражает суть. т.е. речь тут именно про поведения как про отдельные функциональные возможности. (в мультитран встречается такое значение, и мне кажется оно наиболее близким, но применять его я не стал). я буду рад узнать твои доводы в пользу поведения в ед. числе в данном пункте
20:36
In reply to this message
это суперсложный пункт.

в отечественном ИБ под таксономией понимают что угодно, но не то что подразумеватеся в данном документе.
в FAQ под таксономией подразумеватеся нечто более сложное чем классификация. классификация + другие виды связей, систематазация знаний по всякому разному.

у нас под “таксономией” обычно подразумевается названия полей в модели данных, но не то что тут. поэтому я в качестве альтернативы рассматривал упрощение в пользу “классификация”, но оставил “таксономия” со ссылкой на википедию, где дается именно корректнное определение:

> Математически таксономией является древообразная структура классификаций определённого набора объектов.

но оно тоже расплывчатое и супер неочевидное/непонятное. кажется, если оставить “классификация поведений“ — будет супергут.

буд рад услышать доводы в пользу того или иного варианта
20:42
>> ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions

> собой базу знаний о поведении злоумышленников и таксономии

тут говорится именно о том что это две вещи:

1. база знаний
2. таксономия/классификация
20:48
4️⃣✅ sub-technique


- подтехника

Итог обсуждения: https://t.me/attack_community_dc_4/88
20:51
In reply to this message
насколько можно судить, technique, в правильном корректном переводе, должен был стать “методом”, а “sub-technique” — соответственно, подметодом (тогда все было бы четко).
но сообщество выбрало калькирование для слова technique (я не говорю что это плохо, просто констатирую).

возможно, нам стоит протянуть кальку и на уровень “подтехники”, выбрав “суб-технику”, потому что подтедхника уж сильно неблагозвучно. но я не знаю на что опираться при выборе, и чем его можно обосновать.
JZ
20:52
J ZDLN Евгений Зудилин
In reply to this message
Нет. Что это база знаний, в которой описываются различные поведения злоумышленников (предполагаю, что это тактики) и описываются наборы типичных действий злоумышленников (предполагаю, что это техники и подтехники).
y
20:53
yugoslavskiy Даниил Югославский
In reply to this message
в этом я уверен на все 100. база знаний и фреймворк — это две разные сущности, которые подаются отдельно.
одно — вики для аналитиков чтобы учиться (отчеты, контент), другое — закрепленная структура взаимосязей (одна из версий перевода слова “фреймворк”), все что относится к классификации, связи объектов, что на каком уровне абстракции находится, что есть и в каких отношениях между собой находится.
JZ
20:53
J ZDLN Евгений Зудилин
In reply to this message
Обосновать можно аналогией с пунктами и подпунктами
y
20:55
yugoslavskiy Даниил Югославский
In reply to this message
да, в классификации также указано что сущности делятся на классы, подклассы, подмножества и тд.
с позиции русского языка корректно использовать приставку “под-”, а не “суб-”:

- под: “в безударной позиции при добавлении к существительным образует существительные со значением части более крупного объекта”
- суб: “при добавлении к разным частям речи образует слова со значением расположение под чем-либо, ниже чего-либо или около чего-либо”

но “подтехника” неблагозвучно ведь. или тебе ок?
20:56
In reply to this message
в этом смысле RE&CT — фреймворк, но не база знаний (потому что контент еще не подвезли, только структура есть)
JZ
21:08
J ZDLN Евгений Зудилин
In reply to this message
Мне кажется база знаний на русском и английском не совсем одинаково воспринимается. У нас, как я понимаю, база знаний - это по большей части тексты на вики, а на англ - это скорее некий репозиторий любой информации по определенной теме. Может стоит создать некий глоссарий, в котором будут даны описания используемых терминов, чтобы не было ни у кого двоякого восприятия какого-то определения. Например: злоумышленник - это лицо, пытающееся получить несанкционированный доступ к инфраструктуре организации, используя законные (поиск инфы на общедоступных ресурсах) и незаконные (кража учетки) методы.
y
21:09
yugoslavskiy Даниил Югославский
по поводу глоссария в рамках FAQ я тоже не раз задумывался. хороший поинт, давай займемся сразу как запилим FAQ)
21:11
прям возьмем все термины которые могут быть не понятны сходу неподготовленной публике, и в самом начале в табличку какую-нибудь. ну или придумаем как. разберемся
JZ
21:17
J ZDLN Евгений Зудилин
In reply to this message
Не только непонятные, но и которые могут двояко трактоваться. Например, уязвимость. Это можно расссматривать как слабую парольную политику и как некорректное поведение приложения, т. е. в первом случае это может быть фичей, а во втором - ошибкой в коде. Ну, как-то так приблизительно
13 February 2022
y
13:08
yugoslavskiy Даниил Югославский
In reply to this message
я имел в виду что не знаю чем обосновать выбор между:

- калькой (суб/саб-)
- и переводом по правилам (под-)

сомнения подкрепляются тем, что «техника» - это калька
15 February 2022
JZ
10:28
J ZDLN Евгений Зудилин
In reply to this message
"Злоумышленник" - это, на мой взгляд, как раз наиболее нейтральное и точное слово.
Вот определение:
ЗЛОУМЫ́ШЛЕННИК, злоумышленника, муж. (книжн. офиц. устар.). Человек, совершивший преступление с заранее обдуманным намерением; замысливший какой-нибудь дурной, преступный поступок.
В нашем случае это как раз кто-то что-то замышляющий. Не факт, что у него что-то получится, но из контекста понятно, что всё это делается с какими-то корыстными целями.
Нарушитель - какое-то не совсем корректное слово, ибо никакого нарушения в поиске информации в открытых источниках нет, а вот злоумышленник может это делать с каким-то злым умыслом, т.е. использовать полученную информацию для дальнейших атак на предполагаемую "жертву".
10:40
In reply to this message
Во-первых, в русском языке у слова поведение нет множественного числа. Во-вторых, я исходил из оригинального текста, т.е. выбрал наиболее подходящее для нашего контекста значение слова behavior.
На самом деле, behavior можно перевести как "типичные действия" (звучит, правда, как-то не очень). Можно еще перевести как "типичный порядок действий злоумышленников" (тоже не очень и длинно).
Я бы, наверное, рассмотрел еще вариант "тактики злоумышленников" (хотя это и пересекается с понятием "Tactics").
10:52
In reply to this message
Да, таксономия мне тоже не очень нравится. "Классификация" нравится больше.
Но я бы вообще отказался от слов "таксономия" и "классификация" в пользу "систематизации": ATT&CK представляет собой базу знаний, описывающую поведение злоумышленников и систематизирующую их действия в ходе подготовки и проведения атак.
11:03
In reply to this message
Никаких доказательств, наверное, не предоставлю, но делаю предположение, что приставки суб- и под- являются эквивалентами, т.е. имеют одинаковый смысл, но их использование основывается, если так можно сказать, на благозвучности, т.е. субкультура, но подпункт.
В нашем случае слово "техника" начинается с глухой согласной, поэтому и "б" из приставки "суб" будет приглушаться при произношении, таким образом мы будем слышать "суПтехника". Кто-то может не расслышать или не знать о чем идет речь, поэтому может подумать, что речь идет о каких-то супах (т.е. гастрономических блюдах). Поэтому, мне кажется, лучше остановиться на "подтехниках".
17 February 2022
y
02:15
yugoslavskiy Даниил Югославский
In reply to this message
Я бы еще не отказывался от сАбтехники и вариаций написания через дефис. Но касательно дефиса я совершенно не в теме и исхожу исключительно из того что оно есть в оригинале. Если у тебя есть доводы против дефисов — опиши пожалуйста. Так срежем скоуп в два раза.

Однако ключевым выводом из твоего сообщения я вижу следующий:

Твердого обоснования для выбора в пользу того или иного варианта у нас нет.

Если все так, я не вижу причин по которым мы не должны воспользоваться голосованием, как это прописано в принципах ДК:

> Голосование используется [...] в случаях, где обоснование [...] не представляется возможным.

Быть может, этот вопрос стоит задать специалистам-терминологам? Или можно запускать голосовалку на все сообщество?

Если идея с голосованием тебя устраивает, я предлагаю описать в одном сообщении всю подноготную (на которое будем ссылаться из голосования для тех кто захочет изучить вопрос досконально) и предложить сообществу след варианты:

- подтехника
- под-техника
- субтехника
- суб-техника
- сабтехника
- саб-техника

(либо, если у тебя есть претензии к дефисной форме или приставке сАб, давай их проясним и все ненужное удалим)
JZ
08:40
J ZDLN Евгений Зудилин
In reply to this message
Довод против дефисов == правило русского языка:
Пишутся слитно:
1. Все сложносокращенные слова, например: колхоз, эсминец, профсоюз, автотракторный.
2. Слова с приставками (включая вне-, nосле-, сверх-, а-, анти-, архи-, инфра-, контр-, ультра- и др.), а также с начальными составными частями пан-, квази-, псевдо- и др., например: довоенный, внеплановый, подотдел, аморальный, сверхприбыль, архинелепый, инфракрасный, контрудар, ультрафиолетовый, междуведомственный, панамериканизм, квазиученый, псевдоклассический.

В примерах есть слово подотдел.
OM
17:58
Olga Mosk Ольга Моск
Поддерживаю: точно должно быть слитно, а не через дефис.

По поводу выбора самого префикса или приставки. Как ни странно, не нашла в словаре ни "субтехники", ни "подтехники". Ни "сабтехники". Можно порассуждать. Я бы посмотрела со стороны распространенности приставки (префикса).

Префикс саб- кажется наименее распространенным. Слов с ним немного, мне разве что "сабвуфер" вспомнился. Есть наверняка новые заимствованные слова на саб-, но мне сходу не нагуглились.

Суб- более распространена. Слова с этим префиксом могут быть заимствованы целиком, в некоторых словах его даже не выделить как приставку: субмарина, субстанция, субстрат. Это не похоже на наш случай.

Но есть и другие слова, в которых суб- спокойно отделяется и означает под-:
стратосфера — субстратосфера,
тропики — субтропики,
аренда — субаренда.
Сюда можно было бы отнести пару "техника — субтехника".

Под- наиболее распространена как приставка, ее можно прикрутить к разным словам и она будет понятна: что-то подчиненное, часть чего-то, что-то внизу или направленное снизу или вниз: подкомитет, подземелье, подводный, подкожный, подпрыгнуть. То есть понятная на русский слух приставка.

В нашем случае она мне кажется более подходящей еще потому, что есть близкие понятия с такой же приставкой: подгруппа, подвид, подмножество, подпункт, подкатегория.
11 March 2022
y
04:20
yugoslavskiy Даниил Югославский
@JZDLN @olchmosk спасибо большое! Доводы против дефисов серьезные, вопрос можно закрыть, в список аргументов я его внесу.

Ваши примеры (подотдел, подгруппа, подвид, подмножество, подпункт, подкатегория) не оставляют сомнений в том что выбор в пользу "под-" является наиболее очевидным. Голосование в текущих условиях заводить не стоит, у большинства людей сейчас есть заботы покруче. Поэтому предлагаю на том обсуждение о префиксе и завершить, остановившись на "подтехнике".
04:23
In reply to this message
систематизация, на мой взгляд, какже как и таксономия, обладает тем же недостатком: она не проясняет что за этим стоит. классификация в этом смысле выигрывает, но сужает объем понятия.
может остановимся на "системе классификаций" или "структуре классификаций"? это корректные формулировки со стороны значения.
04:28
In reply to this message
В результате калькирования этого слова, порожденного необходимостью переводить англоязычные материалы, оно приобрело множественное значение в русском языке. В том смысле, что множество людей из нашей сферы упоминало слово "поведение" во множественном числе. Это можно легко проверить, и я могу это на себя взять если в этом есть необходимость. Дай знать, @JZDLN

Мне кажется от "поведений" будет сложно уйти. Но если ты видишь в этом серьезную необходимость, я предложил бы одну из версий предлагаемых в мультитране — "фукнциональные возможности". Оно тоже корректно отражает суть, кмк:
04:28
04:29
Давай проясним основания для отказа от "поведений" (мн.ч.). Мы уже прояснили что оно все же является частью русского языка по смыслу "находится в употреблении".
y
04:44
yugoslavskiy Даниил Югославский
In reply to this message
> Нарушитель - какое-то не совсем корректное слово, ибо никакого нарушения в поиске информации в открытых источниках нет, а вот злоумышленник может это делать с каким-то злым умыслом, т.е. использовать полученную информацию для дальнейших атак на предполагаемую "жертву".

Ты прав. Нарушитель не подходит.

К "злоумышленнику" у меня претензия только в разрезе моральной оценки ("зло") в корне слова. Но в целом за отсутствием альтернатив, он кажется оптимальным. Давай тогда на нем и остановимся, я поправлю черновики.
y
23:42
yugoslavskiy Даниил Югославский
In reply to this message
Поправил черновик в Google Docs, использовал "злоумышленник" и "атакующий" в части описания фреймворка.
12 March 2022
Д
04:10
ДК #4: Перевод FAQ
In reply to this message
создан обновляемый список задач (TODO)
14 March 2022
JZ
12:17
J ZDLN Евгений Зудилин
In reply to this message
У данного слова просто нет множественного числа в русском языке (по крайней мере пока).
12:17
12:23
In reply to this message
если уж и выбирать из этого списка, то лучше остановиться на "варианты поведения", кмк
12:24
16 March 2022
y
02:29
yugoslavskiy Даниил Югославский
In reply to this message
привет! у слова “техника” тоже нет множественного числа.
02:32
то с чем мы имеем дело — это калька. от того что множественного числа нет согласно нашим словарям, это ведь не означает что в языке этого слова нет, если оно находится в употреблении?

или как это работает? %)

когда ты говоришь что “в русском языке такого нет” — означает ли это что мы с предлагаемой вариацией не можем работать? или ты просто констатируешь факт, развивая какую-то иную мысль?
02:33
давай добьем вопрос множественного числа и перейдем к альтернативным вариантам (“варианты поведения”, "фукнциональные возможности" и пр) 🙏🏻
JZ
09:41
J ZDLN Евгений Зудилин
In reply to this message
Мне на это прям нечего возразить. Снимаю аргумент. Видимо для меня слово "техники" уже достаточно распространено во всех сферах языка (собственно, как и слово "настройки", у которого тоже нет мн. ч.), а вот слово "поведения" как-то непривычно звучит (возможно только для меня). Поэтому я бы предложил выбрать "варианты поведения".
17 March 2022
y
03:03
yugoslavskiy Даниил Югославский
In reply to this message
спасибо 🙏

принимать иную точку зрения, как показывает текущая обстановка — высшая благодетель, на которую готовы очень немногие.

> слово "поведения" как-то непривычно звучит (возможно только для меня)

не только для тебя) я в начале завис на нем. но потом к нему же вернулся, обосновывая это тем что калька уже прижилась, и кажется ничего особо не нарушает.

на мой взгляд, этот случай еще раз подчеркивает необходимость создания глоссария. Ты предложил сделать это 12 февраля, больше месяца назад. Мы договорились вернуться к этому после завершения работы по переводу FAQ. После этого со мной связался один из админов крупных ИБ групп ровно с такой же задачей — ему нужен был глоссарий по ИБ. Мы договорились объединить усилия и базовый ИБ глоссарий составить на сайте нашего сообщества. Эта штука взлетит. Так вот, слово "поведение", как и "техника", обязательно должны быть указаны в глоссарии как кальки, с корректными версиями перевода.

чтобы продвинуться дальше, нам нужно обосновать отказ или принятие "поведений", т.е. мн числа. таким образом читатель сможет увидеть список аргументов на основе которых мы принимали решение. давай добьем текущие тезисы:

1. Против: Поведения (мн ч) нет в языке, что явно указано в неком словаре (не понятно насколько это блокирующий фактор, и является ли он таковым вообще)
2. Против: Поведения (мн ч) — плохо звучит. Я субьективно согласен о чем писал в первом сообщении. Однако не вижу это решающим фактором
3. За: Поведения (мн ч) — прижилось, находится в употреблении и не подвержено изменениям (в отличие от названий тактик), поскольку это фундаментальная сущность фреймворка
OM
23:43
Olga Mosk Ольга Моск
По поводу отметки "нет мн. ч." в словаре: со временем, если слово употребляется во множественном числе в речи, оно может появиться в этой форме и в словаре.
В словаре Ушакова есть такая пометка для слов "техника" и "поведение". Но этот словарь издан в 30—40-х годах, терминов и значений, которые сейчас используются, там может не быть. Есть еще словарь Ожегова, он чуть более поздний и переиздавался 2000-х.
Наиболее современный сейчас это Большой толковый словарь под редакцией Кузнецова 2014 г.
В словаре Кузнецова пометки про мн. ч. для слов "техника" и "поведение" уже нет.
23:43
23:43
23:44
"Техники" во мн. ч. не вызывают вопросов, кажется. В этой форме слово прижилось и употребляются и в речи, и специальной литературе.
С поведением сложнее. "Поведения", "поведений" во мн. ч. для меня звучит непривычно. Хотя примеры употребления есть:
23:44
23:44
23:45
Но при этом есть еще рекомендация на Грамоте как раз в ответ на вопрос перевода behaviors:
23:45
23:45
In reply to this message
Из предложенных в Мультитране "варианты поведения" кажется привычнее и передает суть. "Функциональные возможности" не так очевидно связано с behavior, и больше похоже на перевод, который подошел в определенном контексте.
Еще так, скорее, можно сказать про предмет, а "функциональные возможности" в нашем контексте может не подойти: "функциональные возможности злоумышленника" не очень понятно.
21 March 2022
y
06:53
yugoslavskiy Даниил Югославский
In reply to this message
это однозначно в избранное (: спасибо!
06:56
In reply to this message
таким образом, доводов в пользу отказа от поведений (мн. ч.) у нас нет, помимо непривычности?
07:00
кстати, в вопросе из которого началась эта дискуссию "behavior" используется в единственном числе:

"ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle."

Множественное число используется в FAQ в двух других вопросах:

- Why did MITRE develop ATT&CK?
- What are the differences between sub-techniques and procedures?

Может в данном случае остановимся на поведении в ед. ч.? Т.е. будет:

это база знаний о <поведении компьютерных злоумышленников>...
07:01
а в других двух вопросах используем "варианты поведения" или "поведения" во мн. ч. (как решим сейчас)
25 March 2022
y
08:43
yugoslavskiy Даниил Югославский
я опубликовал текущую версию черновика на хабр, статья ожидает модерации.

попробуем привлечь больше участников.

статью по итогу отредактируем (ограничений по времени нет), и докинем материал на сайт.
31 March 2022
y
05:21
yugoslavskiy Даниил Югославский
🎉✨🥳

https://habr.com/ru/post/658293/
9 April 2022
y
07:34
yugoslavskiy Даниил Югославский
перевод FAQ круто разлетелся: за 10 дней 9,5к просмотров у поста в канале и 5к у статьи на хабр
07:34
07:42
давайте добьем оставшиеся формулировки и зальем FAQ на сайт 🙌🏻
07:44
@olchmosk @JZDLN ребят, вы еще с нами?
07:45
для тех кто с нами недавно — если хотите принять участие, напишите мне в лс для верификации аккаунта 🙏🏻
07:52
у нас выше некоторые топики уже публиковались отдельными сообщениями.
если кликнуть “view replies” то можно провалиться в обсуждение конкретного топика.
07:52
08:02
In reply to this message
по ходу ATT&CKCon несколько раз слышал формулировку “ATT&CK is a classification system”.
в то же время слово “таксономия” не заметил ни разу, хотя могу ошибаться.

@JZDLN как ты смотишь на вариант “система классификации” (ед. ч.)?

у нас сейчас на этом месте слово “таксономия” со ссылкой на русскоязычную статью.
я думаю что нашу альтернативную версию мы можем поместить в скобки сразу за “таксономией”, вот так:

“ATT&CK — это база знаний о поведениях компьютерных злоумышленников и таксономия (система классификации) действий…”
y
08:56
yugoslavskiy Даниил Югославский
In reply to this message
саммари по behavior/behaviors. тезисы:

1. Используем “поведения” (мн.ч.) поскольку оно прижилось и активно используется
2. Используем альтернативный вариант ("варианты поведения”, "типичные действия”, "типичный порядок действий”, "функциональные возможности") поскольку мн.ч. не подходит по каким-то причинам (приведены ниже)

против множественного числа (первого тезиса) были озвучены следующие доводы:

- звучит непривычно
- не рекомендуется справочно-информационным порталом ГРАМОТА.РУ

в пользу множественного числа были озвучены следующие доводы:

- в современных словарях нет пометки об отсутствии мн.ч., хотя таковая была в старых версиях (до конца не ясно насколько словари решают при таких вопросах)
- есть примеры использования как в нашей профессиональной среде так и за ее пределами

@olchmosk можно ли считать рекомендацию портала “Грамота” решающим фактором в данном вопросе?

если да, то можно переходить к выбору альтернативного варианта.
если нет, то давайте остановимся на мн.ч. и закроем этот вопрос.

поинт про непривычность мне не кажется решающим, поэтому его я не упоминаю.
возможно, зря. дайте знать что думаете 🙏🏻
y
09:13
yugoslavskiy Даниил Югославский
5️⃣✅ adversarial actions across their lifecycle

встречается только один раз:

> “ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle”

из ДК #2: Методология перевода:

> Понятие, которое делят тактики (согласно FAQ), называется "adversarial actions across their lifecycle", т.е. вредоносные действия всего цикла атаки, или еще проще — все вредоносные поведения (для определенных платформ).

Выбранный эквивалент:

> ATT&CK представляет собой базу знаний и систему классификаций действий злоумышленников, предпринимаемых ими в ходе кибератак.


применяемых ими в ходе кибератак
09:21
6️⃣✅ advanced persistent threats

> MITRE started ATT&CK in 2013 to document common tactics, techniques, and procedures (TTPs) that advanced persistent threats use against Windows enterprise networks.

текущая версия:

> MITRE разработала ATT&CK в 2013 году для документирования Тактик, Техник и Процедур (ТТП), > ...которые злоумышленники использовали для целенаправленных кибератак на корпоративные инфраструктуры под управлением ОС Windows.

Итог обсуждения: https://t.me/attack_community_dc_4/272
09:23
7️⃣✅ post-compromise

> The objective of FMX was to investigate use of endpoint telemetry data and analytics to improve post-compromise detection of adversaries operating within enterprise networks.

Выбранный эквивалент:

> Целью FMX было исследование возможности использования аналитики и телеметрии операционных систем для обнаружения злоумышленников после получения ими доступа к корпоративным сетям.

09:29
8️⃣✅ threat intelligence

> ATT&CK can be used in several ways to help security operations, threat intelligence, and security architecture.
> Publicly available threat intelligence and incident reporting is the main source of data in ATT&CK.

Выбранный эквивалент:

> ATT&CK можно использовать для поддержки различных процессов обеспечения защищенности, развития архитектуры безопасности, исследования киберугроз и так далее. Главными источниками данных в ATT&CK являются публично доступные отчеты об инцидентах и исследованиях киберугроз.


если претензий нет, оставляем как есть.
11 April 2022
OM
21:03
Olga Mosk Ольга Моск
In reply to this message
Привет! Я думаю, стоит учитывать все: и данные словаря, и комментарий Грамоты, и то, что непривычно звучит, и то, что распространено 😊 И выбрать подходящий вариант.
21:03
In reply to this message
Мне ближе следовать комментарию Грамоты. А примеры со мн. ч. из корпуса мне кажутся больше связанными с психологией.
Поэтому я бы использовала слово "поведение" в ед. ч. И при необходимости "варианты поведения"
12 April 2022
JZ
09:52
J ZDLN Евгений Зудилин
In reply to this message
Раз уж речь зашла о системе классификации, то я бы предложил отойти от дословного перевода и написать для ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle. следующее: ATT&CK представляет собой систему классификации поведения и действий злоумышленников на протяжении всего жизненного цикла кибератак.

Примечания:
1) Я бы не использовал тире, где это возможно, потому что этот символ не всегда удобно набирать и идентифицировать.
2) Я бы отказался от слова "компьютерный" применительно к злоумышленнику. Его предлагаю компенсировать словом "кибер". В данном случае это будет "кибератака".
09:55
In reply to this message
Как вариант: действия злоумышленников на протяжении всего жизненного цикла кибератак
10:00
In reply to this message
> MITRE разработала ATT&CK в 2013 году для документирования Тактик, Техник и Процедур (ТТП), которые преступные группировки использовали для кибератак на корпоративные инфраструктуры под управлением ОС Windows.

Я бы добавил слово "целенаправленный" == ...которые преступные группировки использовали для целенаправленных кибератак...
10:11
In reply to this message
Как вариант: Целью FMX было исследование возможности применения аналитики и телеметрии операционных систем для улучшения методов обнаружения злоумышленников, действующих в корпоративных сетях после их компрометации.
16 April 2022
y
09:15
yugoslavskiy Даниил Югославский
In reply to this message
Привет!

Я абсолютно согласен в том, что учитывать нужно все 🙌🏻

В то же время, итоговый выбор должен быть явно и понятно обоснован для читателей, будущих пользователей этих формулировок и тд.

Наш с вами случай осложнен тем, что в “дикой природе” уже существутет и распространяется одна из упомянутых версий.

Так, если новая версия будет отличаться от используемой, тому должны быть описаны причины, по которым человек (в т.ч. уже использующий существующую версию) должен принять наши корректировки. Такими причинами могут быть (насколько я могу судить. поправьте/дополните пожалуйста):

1. используемая версия обладает критическим изъяном, который вынуждает нас выбрать предлагаемую версию
2. предлагаемая версия обладает значительными преимуществами перед используемой
3. либо совокупность

Пока остается не ясным насколько критичен для нашего случая изъян, обозначенный на в ответе №283358 Грамота.ру. Дело в том, что он не запрещает использовать мн.ч. В нем сказано “как правило (т.е. обычно) не используется”. В других вопросах про мн.ч, в случаях где оно запрещено, в ответах так и пишут — “использовать форму множественного числа неверно”.

Я понимаю его как рекомендацию, не препятствующую использованию существующей версии. @olchmosk, как вы думаете, правильно ли я интерпретирую этот поинт?

Если я все правильно понял, то можно заключить что критических изъянов в слове “поведения” (мн.ч.) нет, и переключиться к выявлению значительных (или иных, которые в последствии будем сравнивать с выявленным не критичным изъяном) преимуществ среди предлагаемых альтернатив 🙌🏻
09:19
In reply to this message
@olchmosk я заметил что одно из ваших сообщений не попало в дискуссию. Вероятно, чтобы оно всегда попадало, нужно отвечать из дискуссии (т.е. провалившись в нее), или реплаить на первое сообщение в треде. давайте попробуем эту фичу поюзать, может приживется. пока кажется супер удобной вещью (:
y
09:47
yugoslavskiy Даниил Югославский
In reply to this message
> 1) Я бы не использовал тире, где это возможно, потому что этот символ не всегда удобно набирать и идентифицировать.
> 2) Я бы отказался от слова "компьютерный" применительно к злоумышленнику. Его предлагаю компенсировать словом "кибер". В данном случае это будет "кибератака".

Согласен с тобой 🙌🏻

> ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle.

я уже упоминал выше что в этом предложении идет речь о том, что ATT&CK это две вещи:

1. база знаний
2. таксономия

В этом предложении “cyber adversary behavior” и “adversarial actions across their lifecycle” являются равными по смыслу %)

В био своего твиттер аккаунта они написали:

> MITRE ATT&CK® - A knowledge base for describing behavior of adversaries across their lifecycle

Они решили поступить наоборот — опустили часть про таксономию. Но в FAQ ее указывают, потому я убежден что нужно упомянуть и то и другое.

Как насчет:

> ATT&CK представляет собой базу знаний вредоносных действий и систему классификации поведения злоумышленников на протяжении всего жизненного цикла кибератак.

(ссылка за “систему классификации” ведет на страничку “таксономия” на вики. так можно сохранить полный смысловой синк с оригиналом, избавившись от дополнения в скобоках)
y
10:22
yugoslavskiy Даниил Югославский
In reply to this message
Согласен, супер валидные правки. Внесу в черновик. 👍🏻 Спасибо!
24 April 2022
y
05:09
yugoslavskiy Даниил Югославский
In reply to this message
Или даже:

> ATT&CK представляет собой базу знаний и систему классификации поведения злоумышленников на протяжении всего жизненного цикла кибератак.

(вроде ничего не поменялось 🤔 все также понятно и полно отражено)
25 April 2022
JZ
13:50
J ZDLN Евгений Зудилин
In reply to this message
Нет, там речь идет не о двух вещах, а об одной == knowledge base, потому что в случае, когда это были бы две вещи, перед "and" стояла бы запятая (так вот они в англ отделяют "разные вещи"). Поэтому в предложении ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle. и таксономия и поведение относятся к базе знаний, т.е. это база знаний, которая содержит в себе информацию о поведении и таксономии.
y
14:27
yugoslavskiy Даниил Югославский
In reply to this message
Прокомментируй пожалуйста предлагаемую версию 🙏🏻
JZ
15:17
J ZDLN Евгений Зудилин
In reply to this message
В версии ATT&CK представляет собой базу знаний и систему классификации поведения злоумышленников на протяжении всего жизненного цикла кибератак. с точки зрения русского языка получается, что это база знаний чего-то и система классификации поведения злоумышленников. Возникает вопрос: база знаний чего? Если это некие варианты поведения злоумышленников, которые описаны в базе знаний и как-то классифицированы, то словосочетание "база знаний" полностью "закрывает" оба значения и нет смысла писать лишние слова. Поэтому я все также предлагаю следующий вариант: ATT&CK представляет собой систему классификации поведения и действий злоумышленников на протяжении всего жизненного цикла кибератак.
Можно еще такой вариант рассмотреть: ATT&CK представляет собой базу знаний, содержащую информацию о вариантах (шаблонах) поведения и действий злоумышленников на протяжении всего жизненного цикла кибератак.
В любом случае, акцент делается на то, что это некий набор знаний (информации, данных) о типичном поведении и действиях злоумышленников. Можно даже, кмк, назвать это подобием справочника по шаблонным действиям злоумышленников в ходе атак.
27 April 2022
y
21:59
yugoslavskiy Даниил Югославский
In reply to this message
Я согласен с тем, что база знаний в широком смысле включает в себя таксономию, и является ее воплощением.

В то же время, я считаю что отдельное упоминания таксономии заслуживает свое место в FAQ, и было внесено туда не случайно.

Я долго думал как нам поступить с обсуждением в этом треде, о противоречии которое возникло. Мне кажется наиболее оптимальным будет узнать у команды ATT&CK что они думают по поводу необходимости упоминания таксономии, базы знаний, а также поведений и действий в одном предложении.

У нас с ними будет созвон на этой неделе (по другому поводу), я могу попробовать этот вопрос с ними проговорить. Также, можем вместе здесь составить письмо и закинуть его в группу в Slack. Я думаю нам быстро ответят, вопрос решится.

Что скажешь?
28 April 2022
JZ
12:08
J ZDLN Евгений Зудилин
In reply to this message
Если это будут не русскоговорящие люди, то смысла особого в этом нет, поскольку в нашем случае речь идет исключительно о выборе слов для русского языка. Единственное что, кмк, можно уточнить - это что именно имелось ввиду в рассматриваемом предложении и какие аспекты они хотели подчеркнуть (выделить), используя слово "таксономия".
На мой взгляд здесь просто делается акцент на том, каким образом действуют злоумышленники (удаленно, скрытно, растянуто во времени == а-ля APT) и какова последовательность их действий == таксономия/классификация.
1 May 2022
I
23:26
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Предлагаю где это возможно использовать единственное число, поскольку, пусть множественное число и не запрещено использовать, но мы все-таки, наверное, должны переводить на более благозвучный язык и стараться не вводить новые формулировки, которые, как многие тут уже заметили, звучат неестественно. Как мне кажется, наша задача как раз избежать калькирования.

Мне кажется, что есть разница - то, что уже прижилось (техники, тактики, процедуры, калькирование, вот это вот все.), а другое дело, где устоявшихся оборотов еще нет. Согласитесь, было бы странно переводить на английский язык newses - поскольку в русском языке можно сказать новость можно использовать во множественном числе.


Поэтому, здесь, на мой взгляд, лучше использовать другие формулировки.

ATT&CK описывает варианты вредоносного поведения направленные против нескольких видов инфраструктур.

Звучит естественно, не вызывает когнитивного диссонанса.




> ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle.

это база знаний о поведении компьютерных нарушителей

Или как выше писал Евгений

ATT&CK представляет собой систему классификации поведения и действий злоумышленников на протяжении всего жизненного цикла кибератак.

> It was created out of a need to document adversary behaviors for use within a MITRE research project called FMX.

ATT&CK был создан из-за необходимости документировать варианты поведения злоумышленников в рамках другого исследовательского проекта MITRE под названием FMX.


> We have documented several use cases where ATT&CK can be used to provide granular detail on adversary behavior.

Среди описанных вариантов использования, ATT&CK применяется для детального описания вариантов поведения злоумышленников

> ATT&CK documents detailed adversary behavior while the Diamond Model is helpful if you're trying to cluster intrusions.

ATT&CK полезен для описания вариантов поведения злоумышленника, а Diamond Model — для группировки нескольких инцидентов.


> ATT&CK sits at a lower level of definition to describe adversary behavior than the Cyber Kill Chain.

ATT&CK детально описывает поведение злоумышленников, в то время как Cyber Kill Chain предлагает высокоуровневое описание их целей

> MITRE ATT&CK® is a curated knowledge base and model for cyber adversary behavior.

Пример первого упоминания: MITRE ATT&CK® — это курируемая база знаний и модель поведения компьютерных злоумышленников…


> ATT&CK is useful for understanding security risk against known adversary behavior

ATT&CK полезен для понимания рисков безопасности, связанных с известными вариантами поведения компьютерных злоумышленников…


ничего от себя не вставлял, взял готовый перевод,(спасибо вам за труд) просто убрал множественное число. Суть передается. Поведения не вводим.
I
23:43
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
кажется не получится в лоб перевести это предложение.

мне нравится вариант Евгения -

ATT&CK представляет собой базу знаний, содержащую информацию о вариантах (шаблонах) поведения и действий злоумышленников на протяжении всего жизненного цикла кибератак.

Или вот так

ATT&CK представляет собой базу знаний о вариантах (шаблонах) поведения компьютерных ннарушителей и классификацию их действий на протяжении всего жизненного цикла кибератак.
2 May 2022
I
00:22
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
претензий нет. За исключением поведений, но это к предыдущему топику.
00:22
In reply to this message
претензий нет
I
00:39
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Я попробовал перефразировать, чтобы легче читалось. Также не уверен по поводу телеметрии операционных систем. Вроде бы там не такого ограничения, основной посыл, что телеметрия с хостов (не знаю используется ли у нас словосочетание "конечные точки" или лучше использовать эндпоинты)

Задачей FMX было исследование возможности использования аналитики и телеметрии с конечных точек (эндпоинтов) для повышения эффективности обнаружения злоумышленников в скомпрометированных ими корпоративных сетях.
00:43
In reply to this message
кибербезопасности?

> Главными источниками данных в ATT&CK являются публично доступные исследования об угрозах и отчеты об инцидентах кибербезопасности.

В остальном ок.
00:43
Помидоры принимаются.
8 May 2022
y
01:51
yugoslavskiy Даниил Югославский
In reply to this message
> Если это будут не русскоговорящие люди, то смысла особого в этом нет, поскольку в нашем случае речь идет исключительно о выборе слов для русского языка.

Наше противоречение в исходном значении, а не в выборе слов для русского языка.

Ты утверждаешь что отсутствие запятой является достаточным основанием полагать что таксономию можно опускать как часть базы знаний. Иными словами, в твоем представлении, у этого предложения иное значение, которое определяется запятой.

Я же американцам в плане запятых не очень доверяю, и изначально видел здесь перечисление двух описаний с разных сторон, между собой не согласованных. Мой довод о био твиттера ATT&CK не убедил тебя.

Я озвучил вопрос на звонке, мне пообещали ответить позже, после уточнения значения у коллег. Буду держать вас в курсе 🙌🏻

Оффтопом сказали что можно использовать разные значения, напр “модель”, “таксономия” и тп, до тех пор пока это не онтология. Занятно, оказывается есть люди которые упарываются значительно серьезнее нас.
01:53
In reply to this message
сейчас очевидно что итоговые версии лучше не обсуждать до того как утряслись отдельные слова.

давайте держаться в фокусе и двигаться последовательно. тут добиваем таксономию 🙏🏻
y
02:28
yugoslavskiy Даниил Югославский
In reply to this message
> Вроде бы там не такого ограничения, основной посыл, что телеметрия с хостов

Подразумевается ограничение понятием “Операционная система”?

> основной посыл, что телеметрия с хостов

Все верно. Но я не вижу в чем наше противоречие %)

> с конечных точек (хостов / эндпоинтов)

“операционные системы” — это способ уйти от конечных точек и эндпоинтов, поскольку они менее распространены, не понятны широкой аудитории.

“операционные системы” абсолютно корректны с позиции значения в данном контексте — FMX был про телеметрию Windows. Первое время и ATT&CK целиком был только про Windows, и другие системы добавились позже. Что-то кроме операционных систем добавилось еще позже, но то не относится к FMX.
02:40
In reply to this message
> скомпрометированных ими корпоративных сетях.

> скомпрометированных

Это отличное и оч точное слово, которое супер подходит по смыслу. Но оно очень сложное для произношения, написания и прочтения. В наших версиях оно имеет более развернутую (но при этом понятную) форму:

- в корпоративных инфраструктурах после их компрометации
- в корпоративных сетях после их компрометации

Не знаю как @JZDLN, но я это сделал как раз потому что “скомпрометированных” посчитал сложным.

@EVILYA подскажи пожалуйста, в чем на твой взгляд преимущество этой версии?
02:46
In reply to this message
оч круто! спасибо 👍🏻
y
03:48
yugoslavskiy Даниил Югославский
In reply to this message
Спасибо за раскрытый комментарий 🙏🏻

Ты по ходу рассуждения опираешься на то, что мн.ч. не прижилось. Ранее (с самого начала) мои рассуждения строились на обратном. Давай синхронизируемся в этом плане, иначе обсуждения у нас не выйдет (:

Я уже ранее предлагал привести подтверждения своим словам, но мне казалось это излишним. Сейчас, если я все правильно понял, пришло время это сделать.

Или может суть была в чем-то другом?

> база знаний о поведении
> систему классификации поведения

Эти версии супер валидные. Но они не объясняют почему в иных случаях (где нужно отразить мн мн.ч.) нельзя использовать “поведения” или “поведений” без доп слов (“варианты").

Все дело в том, что приживается и реально входит в речь обычно что-то простое. Сейчас наблюдается активное использование мн.ч. в одно слово. Нам нужно объяснить почему вместо одного привычного слова нужно будет использовать два. Описать чем обоснована эта необходимость. Пока вот что мне удалось найти:

- “мы должны переводить на более благозвучный язык” - я в этом с тобой полностью согласен

- “мы должны стараться не вводить новые формулировки которые звучат неестественно” - тут я тоже по большей части согласен. однако реальность показывает что неестественные формулировки — это оценка, которая от человека к человеку отличается. нам с вами резануло, кому-то меньше, кому-то больше, а в живой и письменной речи люди используют. это, на мой взгляд, доказывает жизнеспособность этой формулировки. если бы она была совсем уж неестественна для всех, она бы не прижилась. значит, этот критерий все же устраивает людей.

при этом, я напомню, что с позиции корректности все окич во всех случаях. мы с вами рубимся за окончания.

> наша задача как раз избежать калькирования

хм. калька, конечно же, является известным источником ошибок. но это все же инструмент, он не обладает по умолчанию какими-то плохими свойствами. вот тут хорошие примеры калькирования можно найти.

короче, кальку надо рассматривать отдельно в каждом случае. за и против описаны вот тут 🙌🏻
9 May 2022
I
22:06
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
> “операционные системы” абсолютно корректны с позиции значения в данном контексте — FMX был про телеметрию Windows. Первое время и ATT&CK целиком был только про Windows, и другие системы добавились позже. Что-то кроме операционных систем добавилось еще позже, но то не относится к FMX.

С таким уточнением все становится на месте и тогда я свой комментарий отзываю.
22:11
In reply to this message
С моей точки зрения компрометация тоже достаточно сложное, а в предложенной формулировке на слух слово "компрометации" можно отнести и к инфраструктурам и к злоумышленникам.
11 May 2022
JZ
11:18
J ZDLN Евгений Зудилин
In reply to this message
> Я же американцам в плане запятых не очень доверяю, и изначально видел здесь перечисление двух описаний с разных сторон, между собой не согласованных. Мой довод о био твиттера ATT&CK не убедил тебя.

Кмк, они не стали писать про таксономию в био именно потому, что это однородные определения "базы знаний" (т.е. два разных слова описывают состав базы знаний).

> Я озвучил вопрос на звонке, мне пообещали ответить позже, после уточнения значения у коллег.

👍
Было бы отлично, если бы они просто перефразировали предложение.
5 June 2022
O
13:18
Oleg Олег Скулкин
In reply to this message
На мой взгляд, наиболее приемлемыми являются варианты "поведение" и "действия". Поведения, хоть и используется, подходит скорее для разговорной речи. Я бы не акцентировал внимание на типичности, так как в контексте подразумевается их вариативность. Что до функциональных возможностей, данный термин скорее подходит для описания вредоносного ПО, но ATT&CK им не ограничивается.
O
13:43
Oleg Евгений Зудилин
In reply to this message
Хм, если захватить и предыдущие пункты, я бы перевел так: ATT&CK - это база знаний, описывающая поведение злоумышленников и их действия в рамках жизненного цикла кибератаки.
13:51
In reply to this message
В целом то, конечно, "сложные устойчивые угрозы" (хотя они развитые, конечно), но выражение устоявшееся. Как по мне, сам термин уже несколько потерял свою актуальность, так как сейчас уже не разберешь, где APT, а где сайберкрайм, которых попросили немного поAPT :) Поэтому считаю, можно без проблем пользоваться все тем же термином "злоумышленники".
O
14:07
Oleg Евгений Зудилин
In reply to this message
Эта часть интересная, и вопрос тут в том, как воспринимается термин "компрометация" - возможно многие его будут воспринимать так, что работа злоумышленников закончена. Тут же речь скорее о том, что атакующие могут иметь доступ к 0дэям, получить доступ к целевому хосту, но в рамках пост-эксплуатации использовать детектируемые техники. Поэтому, возможно, стоит переводить не дословно, а как-нибудь вроде "после получения доступа к корпоративным сетям".
O
15:00
Oleg Евгений Зудилин
In reply to this message
В целом, threat intelligence - это однозначно киберразведка, так как intelligence тут именно разведка. При этом мне не очень нравится словосочетание "публичные киберразведданные", в то же время, так как у данных зачастую есть контекст, в принципе, оно имеет право на жизнь. Так что можно перевести и как "исследования угроз".
2 August 2022
y
01:35
yugoslavskiy Даниил Югославский
In reply to this message
Привет! У меня отличные новости — ребята наконец ответили (:
01:44
In reply to this message
01:44
In reply to this message
01:45
In reply to this message
> so option #1 in my opinion, it is a knowledge base of behaviors
> but also a taxonomy/model for behaviors

таким образом:

@JZDLN:

> Нет, там речь идет не о двух вещах, а об одной == knowledge base, потому что в случае, когда это были бы две вещи, перед "and" стояла бы запятая (так вот они в англ отделяют "разные вещи").

Все же это два разных отпределения которые раскрывают ATT&CK с двух сторон.
01:49
In reply to this message
@JZDLN @EVILYA ребят, добьем?

вот последние версии перевода, которые базировались на корректном представлении о значении исходного предложения:

> ATT&CK представляет собой базу знаний вредоносных действий и систему классификации поведения злоумышленников на протяжении всего жизненного цикла кибератак.

> ATT&CK представляет собой базу знаний и систему классификации поведения злоумышленников на протяжении всего жизненного цикла кибератак.

Прокомментируйте пожалуйста 🙏🏻
JZ
10:23
J ZDLN Евгений Зудилин
In reply to this message
Исходя из ответа, я бы выбрал второй вариант: ATT&CK представляет собой базу знаний и систему классификации поведения злоумышленников на протяжении всего жизненного цикла киберактак.

BTW
Исходя из выше перечисленного предполагаю, что "база знаний" == сборник описаний, а "таксономия" == классификация/схема. Можно это учесть на будущее, если согласны с моими выводами.
y
16:56
yugoslavskiy Даниил Югославский
In reply to this message
> Исходя из ответа, я бы выбрал второй вариант

спасибо! @EVILYA @Ox0136 @olchmosk у вас будут комментарии по этому варианту?

> "база знаний" == сборник описаний

кмк проще всего понимать под этим «контент»

> "таксономия" == классификация/схема

а под этим — структуру, в которую этот контент ложится
JZ
17:01
J ZDLN Евгений Зудилин
In reply to this message
я бы еще дополнил, что "контент" и "структура" являются невзаимосвязанными, т.е. под одну структуру можно подложить разный контент (а-ля одинаковые техники/подтехники имеются в разных тактиках)

вот как-то так
y
17:04
yugoslavskiy Даниил Югославский
In reply to this message
все так. об этом уже писали в феврале:

https://t.me/attack_community_dc_4/74
3 August 2022
OM
15:59
Olga Mosk Ольга Моск
In reply to this message
Я согласна с @JZDLN
I
17:06
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Также полностью согласен с @JZDLN
Спасибо ему за работу)
y
17:42
yugoslavskiy Даниил Югославский
@Ox0136 Олег привет! Я только сейчас заметил что ты тред про таксономию не комментировал. Хочешь обсудить или этот пункт тебе не оч интересен? Осталось только с тобой утрясти, если ты в деле (:
O
17:43
Oleg Евгений Зудилин
In reply to this message
Привет! А я ж его прокомментировал совместно с другим, но в целом, я солидарен с ребятами в последней итерации
y
17:47
yugoslavskiy Даниил Югославский
In reply to this message
Огонь!!!

Пункт 3️⃣ taxonomy мы с вами закрываем 😁 С чем всех и поздравляю (:

Выбранный эквивалент — «система классификаций» со ссылкой на статью таксономиия на вики.
y
18:09
yugoslavskiy Даниил Югославский
In reply to this message
> На мой взгляд, наиболее приемлемыми являются варианты "поведение" и "действия".

В контексте фреймворка/faq это по смыслу синонимы. Как насчет варианта, в котором мы где это возможно и уместно употребляем «поведение» в единственном числе, а где нужно множественное число — используем «действия»? Грубый черновик чтобы передать мысль на основе сообщения @EVILYA:

***

> ATT&CK is a knowledge base of cyber adversary behavior and taxonomy for adversarial actions across their lifecycle.

тут уже договорились, будет «система классификации поведения»

***

> It was created out of a need to document adversary behaviors for use within a MITRE research project called FMX.

ATT&CK был создан из-за необходимости документировать действия злоумышленников в рамках другого исследовательского проекта MITRE под названием FMX.

***

> We have documented several use cases where ATT&CK can be used to provide granular detail on adversary behavior.

Среди описанных вариантов использования, ATT&CK применяется для детального описания действий злоумышленников

***

> ATT&CK documents detailed adversary behavior while the Diamond Model is helpful if you're trying to cluster intrusions.

ATT&CK полезен для описания действий злоумышленника, а Diamond Model — для группировки нескольких инцидентов.

***

> ATT&CK sits at a lower level of definition to describe adversary behavior than the Cyber Kill Chain.

ATT&CK детально описывает поведение злоумышленников, в то время как Cyber Kill Chain предлагает высокоуровневое описание их целей

***

> MITRE ATT&CK® is a curated knowledge base and model for cyber adversary behavior.

Пример первого упоминания: MITRE ATT&CK® — это курируемая база знаний и модель поведения компьютерных злоумышленников…

***

> ATT&CK is useful for understanding security risk against known adversary behavior

ATT&CK полезен для понимания рисков безопасности, связанных с известными действиями компьютерных злоумышленников…

***

@Ox0136 @JZDLN @olchmosk @EVILYA что скажете, ребят?
O
18:19
Oleg Евгений Зудилин
In reply to this message
А может убрать компьютерных, но добавить информационной/компьютерной безопасности?
y
18:49
yugoslavskiy Даниил Югославский
In reply to this message
это про компьютерных злоумышленников? согласно истории, мы остановились (но это не значит что это окончательное решение) на версии «злоумышленник», без дополненительных слов. возможно (но могу ошибаться) это просто копипаста старых вариантов
18:52
энивей, если это про злоумышленников, давай в том треде это обсудим, он отсюда растет
I
19:15
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Мне нравится в таком варианте. 👍 Читается легко, глаз не режет ничего
4 August 2022
JZ
11:54
J ZDLN Евгений Зудилин
In reply to this message
Вот мои мысли (варианты) по данному вопросу:
1) It was created out of a need to document adversary behaviors for use within a MITRE research project called FMX.
Было >>> ATT&CK был создан из-за необходимости документировать действия злоумышленников в рамках другого исследовательского проекта MITRE под названием FMX.
Альтернативный вариант >>> Он [проект] был создан с целью документирования действий злоумышленников для использования в исследовательском проекте MITRE под названием FMX.

2) We have documented several use cases where ATT&CK can be used to provide granular detail on adversary behavior.
Было >>> Среди описанных вариантов использования, ATT&CK применяется для детального описания действий злоумышленников.
Альтернативный вариант >>> Мы описали несколько сценариев, в которых ATT&CK может быть использован для получения подробной информации о действиях злоумышленников.

3) ATT&CK documents detailed adversary behavior while the Diamond Model is helpful if you're trying to cluster intrusions.
Было >>> ATT&CK полезен для описания действий злоумышленника, а Diamond Model — для группировки нескольких инцидентов.
Альтернативный вариант >>> ATT&CK подробно описывает поведение злоумышленников, тогда как [модель] Diamond Model может быть использована для объединения [группировки] нескольких инцидентов.

4) ATT&CK sits at a lower level of definition to describe adversary behavior than the Cyber Kill Chain.
Было >>> ATT&CK детально описывает поведение злоумышленников, в то время как Cyber Kill Chain предлагает высокоуровневое описание их целей
Альтернативный вариант >>> ATT&CK описывает действия злоумышленников на более общем [низком] уровне в отличии от Cyber Kill Chain. (Поясню: различие как раз в том, что килчейн подробно описывает весь процесс атаки от начала и до конца, а ATT&CK как бы дает только кусочки для посторения целостной картины атаки [килчейна], поэтому я бы назвал описания ATT&CK общими, а Cyber Kill Chain - частными, т.е более подробными)

5) Example of a first reference: MITRE ATT&CK® is a curated knowledge base and model for cyber adversary behavior...
Было >>> Пример первого упоминания: MITRE ATT&CK® — это курируемая база знаний и модель поведения компьютерных злоумышленников…
Альтернативный вариант >>> Пример первого упоминания: MITRE ATT&CK® представляет собой [официально] поддерживаемую базу знаний и модель поведения злоумышленников [киберпреступников]...

6) Example of subsequent reference: ATT&CK is useful for understanding security risk against known adversary behavior...
Было >>> ATT&CK полезен для понимания рисков безопасности, связанных с известными действиями компьютерных злоумышленников…
Альтернативный вариант >>> Пример последующих упоминаний: ATT&CK помогает понять риски, связанные с безопасностью и наиболее распространенными [хорошо известными] действиями злоумышленником [киберпреступников]...
y
14:49
yugoslavskiy Даниил Югославский
In reply to this message
спасибо 🙏🏻

можно коротко:

> В контексте фреймворка/faq это по смыслу синонимы. Как насчет варианта, в котором мы где это возможно и уместно употребляем «поведение» в единственном числе, а где нужно множественное число — используем «действия»?

Согласен с этим?

Ты сделал много предложений из другой оперы, давай последовательно вопросы закрывать 👌🏼
JZ
14:55
J ZDLN Евгений Зудилин
In reply to this message
согласен, что "поведение" и "действия" - это синонимы.
y
15:08
yugoslavskiy Даниил Югославский
In reply to this message
@olchmosk, только у вас осталось уточнить (:
OM
16:10
Olga Mosk Ольга Моск
In reply to this message
Да, отличный вариант
16:10
In reply to this message
☝🏻
y
21:26
yugoslavskiy Даниил Югославский
In reply to this message
Круто!

Пункт 2️⃣ «adversary behavior/behaviors» закрываем (:

Выбранные эквиваленты — «поведение» для единственного и «действия» для множественного числа.

Всем спасибо! 🙌🏻
y
22:01
yugoslavskiy Даниил Югославский
In reply to this message
Ранее в ветке 3️⃣ “taxonomy” мы приняли вот эту версию (в контексте перевода taxonomy):

> ATT&CK представляет собой базу знаний и систему классификации поведения злоумышленников на протяжении всего жизненного цикла киберактак.

Перевод «adversarial actions across their lifecycle» кажется вполне сносным. Изначально я предлагал более короткую версию, но сейчас не вижу особой причины для того чтобы за нее топить.

@Ox0136, твоя версия немного отличается («в рамках» вместо «на протяжении всего»). Будешь ее защищать?
I
22:49
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Хорошие замечания. 1 пункт кажется равнозначным, во втором убирается повторение "описанных - описания".
3 пункт тоже кажется близким, но альтернатива кажется чуть более благозвучной.
С четвертым пунктом тоже соглашусь, альтернатива кажется лучше доносит смысл.

С пятым затрудняюсь выбрать . Курируемая и поддерживаемая сложно осознаются.

6 пункт кажется варианты равнозначны
13 August 2022
y
03:29
yugoslavskiy Даниил Югославский
In reply to this message
думаю что общий стиль документа не противоречит. давай сделаем по-твоему (:
это еще позволяет избежать повторения с предыдущим предложением 👍🏻
03:29
In reply to this message
@EVILYA @olchmosk @JZDLN @Ox0136 дамы и господа, ставьте 👍 чтобы проголосовать «за» финальный вариант, либо давайте обсуждать:

ATT&CK можно использовать для поддержки различных процессов обеспечения защищенности, развития архитектуры безопасности, исследования угроз компьютерной безопасности и так далее. Главными источниками данных в ATT&CK являются публично доступные отчеты об инцидентах и исследованиях угроз кибербезопасности.
03:41
In reply to this message
я с тобой супер согласен. вообще тот факт что после получения доступа есть дофига всего — один из важнейших месседжей фреймворка. круто что ты это заметил, действительно лучше акцентировать внимание на этом.

«сетям» вместо «инфраструктурам» кажется уместным синонимом, поскольку смысл выправляется упоминанием Windows в первой части 🙌🏻
03:42
In reply to this message
@EVILYA @olchmosk @JZDLN @Ox0136 дамы и господа, ставьте 👍 чтобы проголосовать «за» финальный вариант, либо давайте обсуждать:

Целью FMX было исследование по использованию аналитики и телеметрии операционных систем для обнаружения злоумышленников после получения доступа к корпоративным сетям.
03:45
In reply to this message
make sense 👍🏻
03:56
In reply to this message
мне кажется круто снять нагрузку с части про «злоумышленников» и перенести ее на описание атак, как Евгений предлагает, т.е. как-то так:

которые злоумышленники использовали для целенаправленных кибератак на корпоративные инфраструктуры.

за словами "целенаправленных кибератак" можно прикрепить ссылку на русскоязычную статью Постоянная серьёзная угроза (киберпреступность).

единственное, я бы учел современные тренды такскзать, которые вносят в наш лексикон новые, супер релевантные эпитеты. среди них — избирательные атаки.

помимо этого я бы еще рассмотрел целевые и направленные. давайте проголосуем (возможно получится быстро), но если у кого-то есть супер доводы в пользу какого-то варианта, буду рад выслушать. я вообще за любой из вариантов.

UPD: гугланул, избирательные атаки все же не являются трендом. трендом являются неизбирательные, что, конечно, к нашему кейсу не подходит. со словом «избирательные» чаще встречаются «участки» и «комиссии» и «округа» (короче, все мимо)
03:59
In reply to this message
Какой атакой атакует APT?
Final results
- Целенаправленной 3 votes
- Избирательной
- Направленной
- Целевой 2 votes
5 votes
14 August 2022
I
09:23
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Честно говоря, мы уже так давно это обсуждали, что что-то забылось.
Сейчас я читаю формулировку и мне режет слух "исследование по использованию",

Может упростить до "исследование использования..."
09:27
In reply to this message
Тут в целом все нравится, хочется только уточнить все согласны на компьютерную безопасность?
15 August 2022
JZ
10:41
J ZDLN Евгений Зудилин
In reply to this message
Я бы тут отметил, что "целевой" используется в других, более широких контекстах, т.е. для описания атакуемой цели: целью (целевыми) могут быть государственные или нефтяные компании, а вот более конкретные цели, после, например, получения доступа, могут отличаться, т.е. в госучереждениях это может быть получение информации, а в нефтянке - нарушение работы предприятия. Поэтому я бы использовал слово "целенаправленные", поскольку в данном случае, кмк, упор делается на то, что есть более конкретные цели (направления) внутри атакуемого периметра.
10:47
In reply to this message
ну, тут, кмк, не хватает (с точки зрения русского языка) указания на того, кто получил доступ к сети, поэтому я бы предложил еще несколько вариантов:
1) ... после получения ими доступа к корпоративным сетям.
2) ... после их проникновения в корпоративную сеть.
10:49
In reply to this message
если упростить до "исследование использования", то получится, что уже есть какие-то кейсы использования, а тут, кмк, речь идет о "возможном использовании", поэтому и написано "исследование по использованию". Можно заменить на "исследование с целью использования" или "исследования, направленные на использование".
10:54
In reply to this message
Мне кажется, где это возможно, стоит заменять "угрозы компьютерной безопасности" на "киберугрозы" или "компьютерную безопасность" на "защиту от киберугроз" (но, конечно, всегда стоит учитывать контекст).
I
11:27
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Исследование возможности использования?
JZ
11:37
J ZDLN Евгений Зудилин
In reply to this message
Кмк, "исследование возможности использования" можно трактовать как "уже наличие чего-то, что является полезным", а тут исследуется "полезность" использования полученных данных для каких-то целей, т.е. имеются данные и исследуется их "полезность" для обнаружения злоумышленников.
В данном случае имеет место, кмк, исключительно вопрос русского языка, т.е. исключение, по возможности, неоднозначности высказывания. (но это чисто моё восприятие)
I
12:59
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Мне кажется, что как раз первая часть и подходит. Уже есть телеметрия ос. Мы исследуем возможность их использования для обнаружения злоумышленников. То есть до этого не использовали и непонятно, приемлемо или нет.

Но если больше никому глаз не режет, можно оставить так как есть. Кажется что суть передает корректно, придирка только про благозвучие. Субъективное.
JZ
13:05
J ZDLN Евгений Зудилин
In reply to this message
подтверждаю, что "про благозвучность и двусмысленность" - это моё субъективное восприятие
16 August 2022
y
06:56
yugoslavskiy Даниил Югославский
In reply to this message
в пользу твоей версии еще официальный перевод от Google

UPD: но я случайно наткнулся на это, возможно у других гигантов это называется иначе
07:00
In reply to this message
я пожалуй перейду на твою сторону 👍

действительно, "целевой" атакой довольно легко представить себе что-то вне нужного контекста. "целенаправленная" же, в свою очередь, характеризует действие "как ведомое конкретной целью".

"целевая", в свою очередь:

1. немного отдавает бюрократией: целевой бюджет, целевое расходование средств
2. может рассматриваться как "прицельная": что не соответствует, т.к. дело в движении согласно конкретному целеполаганию, а не в самом действии прицеливания
17 August 2022
y
16:47
yugoslavskiy Даниил Югославский
In reply to this message
@EVILYA @olchmosk @JZDLN @Ox0136 мне кажется что перевод этой формулировки для нас не представляет большого интереса, при этом все представленные версии можно считать корректными и используемыми (за исключением «избирательных» об этом отписал отдельно).

с целью экономии времени я бы выбрал простым большинством, не втягиваясь в дискуссию.

@JZDLN @Ox0136 ребят, оно того стоит? Может забьем для разнообразия? :D
O
16:48
Oleg Евгений Зудилин
In reply to this message
А давай забьем)
y
23:34
yugoslavskiy Даниил Югославский
In reply to this message
если вы против того чтобы слить обсуждение, мы все равно простым большинством придем к варианту Евгения ("целенаправленные"). Ну, если Ольга проголосует (⬆️) за него. Я думаю вы оба за этот вариант, так чаще всего было раньше
18 August 2022
JZ
09:21
J ZDLN Евгений Зудилин
In reply to this message
Давайте, на данном этапе, забьем. Всегда можно вернуться и обсудить при необходимости.
19 August 2022
OM
01:37
Olga Mosk Ольга Моск
Мне нравится целенаправленная, проголосовала за нее. А что значит "забить"? Пока отложить это обсуждение? Или забить и решить большинством голосов?
y
02:33
yugoslavskiy Даниил Югославский
In reply to this message
Да, в смысле просто отказаться от дискуссии и сэкономить время через голосование 🙌🏻
02:35
In reply to this message
Если вы не против такого подхода, то я закрою голосование и считаем этот вопрос решенным
21 August 2022
y
07:27
yugoslavskiy Даниил Югославский
In reply to this message
Пункт «6️⃣ advanced persistent threats» закрываем (:

Выбранный эквивалент:

> ...которые злоумышленники использовали для целенаправленных кибератак на корпоративные инфраструктуры под управлением ОС Windows.

Всем спасибо! 🙌🏻
y
07:51
yugoslavskiy Даниил Югославский
In reply to this message
Соглашусь с @EVILYA , тут скоре "исследование возможности использования для того-то":

> The objective of FMX was to investigate use of endpoint telemetry data and analytics to improve post-compromise detection of adversaries operating within enterprise networks.

т.е. они пытались выяснить можно ли улучшить детекшн определенного вида вредоносной активности с помощью этих штук (телеметрии, данных и аналитики). я опустил факт "улучшения", потому что тогда это предложение стало бы супер перегруженным и сложным. Оставил более широкий смысл, просто "для обнаружения".

Учтем предложение по проявлению актора от @JZDLN (я думаю никто не будет против, крутое замечание 🙌), и получим следующего кандидата:

> Целью FMX было исследование возможности использования аналитики и телеметрии операционных систем для обнаружения злоумышленников после получения ими доступа к корпоративным сетям.

@JZDLN @Ox0136 @EVILYA ставьте 👍 если согласны, и пойдем добивать последние два пункта (а потом вернемся к твоим предложениям, @JZDLN )
08:02
In reply to this message
я думаю все собравшиеся поддерживают использование приставки "кибер" (:
итак, (надеюсь) финальный кандидат:

> ATT&CK можно использовать для поддержки различных процессов обеспечения защищенности, развития архитектуры безопасности, исследования киберугроз и так далее. Главными источниками данных в ATT&CK являются публично доступные отчеты об инцидентах и исследованиях киберугроз.

@EVILYA @olchmosk @JZDLN @Ox0136 ставьте 👍 чтобы проголосовать «за» финальный вариант, либо давайте обсуждать.
26 August 2022
O
08:53
Oleg Евгений Зудилин
In reply to this message
Да, вполне
27 August 2022
y
05:23
yugoslavskiy Даниил Югославский
In reply to this message
Пункт «8️⃣ threat intelligence» закрываем (:

Выбранный эквивалент:

> ATT&CK можно использовать для поддержки различных процессов обеспечения защищенности, развития архитектуры безопасности, исследования киберугроз и так далее. Главными источниками данных в ATT&CK являются публично доступные отчеты об инцидентах и исследованиях киберугроз.

Всем спасибо! 🙌🏻
JZ
09:38
J ZDLN Евгений Зудилин
In reply to this message
У меня возражений нет
y
09:43
yugoslavskiy Даниил Югославский
In reply to this message
Пункт «7️⃣ post-compromise» закрываем (:

Выбранный эквивалент:

> Целью FMX было исследование возможности использования аналитики и телеметрии операционных систем для обнаружения злоумышленников после получения ими доступа к корпоративным сетям.

Всем спасибо! 🙌🏻
y
10:24
yugoslavskiy Даниил Югославский
In reply to this message
@Ox0136 Олег привет! Ждем твой ответ 🙌🏻
O
18:02
Oleg Евгений Зудилин
In reply to this message
Привет! Вот такой вариант: ATT&CK — это база знаний о поведении компьютерных злоумышленников и таксономия действий, предпринимаемых ими в ходе кибератак.
30 August 2022
y
03:40
yugoslavskiy Даниил Югославский
In reply to this message
Привет!

Очень напоминает первую версию от 9 апреля. С тех пор мы прошли большой путь с тех пор, и успели утрясти несколько формулировок:

— "компьютерные злоумышленники":

Сошлись на том что будут просто "злоумышленники", без "компьютерных", по всему тексту. Кидай обоснование в тред "1️⃣ adversary", если хочешь это изменить 🙌

— "таксономия действий":

Пришли к тому что будет "система классификаций" со ссылкой на статью "таксономия" на вики. Кидай обоснование в тред 3️⃣“taxonomy” если хочешь это изменить 🙏

— "предпринимаемых ими в ходе кибератак":

Я на все 100% поддерживаю твою версию. Вот мое обоснование, которое показывает что значение сводится к тому что это просто "все действия", и то что есть некий цикл атак — это опциональное, не обязательное уточнение.

Разве что изначально предлагаемая версия немного короче (применяемых вместо предпринимаемых). Суть та же но короче, однако топить за это я не буду, не вижу большой разницы.

@Ox0136 дай знать если хочешь менять 1️⃣ cyber adversary и 3️⃣ taxonomy. Если тебя устраивают существующие решения — давай добивать последний пункт про "actions across their lifecycle".

@JZDLN @EVILYA ребят, ваше мнение по топику не изменилось?

BTW, это последний пункт (:
I
08:33
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
In reply to this message
Я перестал ещё раз предложение и теперь согласен с Ольгой по поводу "предпринимаемых действий", у меня не получилось найти примеры применения выражения "применять действия". В остальном уже все хорошо, кмк
O
08:45
Oleg Евгений Зудилин
In reply to this message
+1
y
08:48
yugoslavskiy Даниил Югославский
In reply to this message
и правда. спасибо 🙏🏻
I
08:53
I̵̢̧̨̺̲͉̔͆̏͌̒́l̸̞̃̎̇͑̓̕ Илья Енин
С Олегом, тысяча извинений
y
09:08
yugoslavskiy Даниил Югославский
In reply to this message
мы ранее пришли к тому, что "cyber adversary behavior" и "adversarial actions across their lifecycle" — это синонимы в данном случае (даж с ребятами из ATT&CK общались).

поэтому предыдущий кандидат получился вот таким:

> ATT&CK представляет собой [ базу знаний ] и [ систему классификаций ] поведения злоумышленников на протяжении всего жизненного цикла киберактак.

т.е. говорится что есть поведения/действия, а ATT&CK — это база знаний (о них) и их классификация.

Может откажемся от "поведений" в пользу "действий" в данной формулировке? Иначе оно не клеится без радикальных изменений предыдущего кандидата — нельзя сказать "предпринимаемых поведений".

Если учесть предложение Олега, и скрестить его с предыдущим кандидатом, получим:

> ATT&CK представляет собой базу знаний и систему классификаций действий злоумышленников, предпринимаемых ими в ходе кибератак.

Мне кажется супер понятно и корректно.
y
20:47
yugoslavskiy Даниил Югославский
In reply to this message
@JZDLN что скажешь?
10 September 2022
y
19:20
yugoslavskiy Даниил Югославский
In reply to this message
Пункт «5️⃣ adversarial actions across their lifecycle» закрываем (:

Выбранный эквивалент:

> ATT&CK представляет собой базу знаний и систему классификаций действий злоумышленников, предпринимаемых ими в ходе кибератак.

Всем спасибо за работу!
19:23
In reply to this message
Это был последний пункт TODO, так что можно считать что ключевые формулировки мы согласовали, с чем вас и поздравляю! 😁🥳🎉
14 September 2022
y
15:41
yugoslavskiy Даниил Югославский
In reply to this message
1) Согласен 👍 Стало понятнее и роднее.

2) Тоже отличная альтернатива.

3) Все круто, я бы только заменил "описывает поведение злоумышленников" на "описывает действия злоумышленников", так будет консистентно с другими формулировками и более понятно. Но рубиться не буду, у нас это синонимы, по итогу обоснования из TODO.

5) Все круто, думаю так будет понятнее 🙌

4) > что килчейн подробно описывает весь процесс атаки от начала и до конца

киллчейн описывает то, как из одной стадии атака переходила в другую. без данного уточнения фраза "подробное описание процесса атаки" звучит как действительно подробное описание того как атака происходила. разве это так?

> ATT&CK как бы дает только кусочки для посторения целостной картины атаки [килчейна]
> я бы назвал описания ATT&CK общими, а Cyber Kill Chain - частными, т.е более подробными

Да, этапы Kill Chain могут быть описаны через тактики и техники ATT&CK. Но едва ли эта возможность характеризует тактики и техники как "общие" в смысле противопоставления "подробным" стадиям KIll Chain.

ATT&CK детализирует Kill Chain, не наоборот. "Low level" из оригинала как раз об этом — оно означает "ближе к реальности", "ближе к технологиям", "на более глубоком (низком) уровне".

Может я чего-то не понимаю или не знаю?

6) "помогает понять" однозначно лучше чем "полезен для понимания" 👍🏻

но я бы связку "security risk" с "behavior" не сводил к просто "и". месседж в том, что ATT&CK дает понять чем угрожают вредоносные поведения, в чем заключается опасность, возможные последствия.

как насчет:

"[...] понять риски кибербезопасности, которые [несут] [стоят за] [вызывают] известные действия злоумышленников"

или вообще свести все к:

"[...] понять чем угрожают известные действия злоумышленников"

Что скажешь?

Я думаю тут можно обойтись без голосований, обсуждаем по сути косметику. Разве что в 4м пункте по смысловое противоречие
JZ
16:21
J ZDLN Евгений Зудилин
In reply to this message
> 3) Наверное, действительно стоит заменить "поведение" на "действия".

> 4) Да, наверное не очень хороший вариант у меня получился.
Новый вариант 4-го пункта: ATT&CK sits at a lower level of definition to describe adversary behavior than the Cyber Kill Chain.==ATT&CK описывает [отдельные] действия злоумышленников более детально, в отличии от Cyber Kill Chain.

> 6) Еще один вариант для Example of subsequent reference: ATT&CK is useful for understanding security risk against known adversary behavior...:
Пример последующих упоминаний: ATT&CK помогает понять какие угрозы [для безопасности] могут представлять наиболее распространенные [хорошо известные] действия злоумышленников [киберпреступников]...
y
17:16
yugoslavskiy Даниил Югославский
In reply to this message
3) да будет так 🙌

4) [отдельные] я бы опустил, оно избыточное, действия и так мн число. в остальном — круто 🙌

6) Немного изменил: "ATT&CK помогает понять какие угрозы кибербезопасности могут представлять известные действия злоумышленников"

- про "киберпреступников" — фразу "кибер" воткнул к "угрозам кибербезопасности", думаю будет ок если в этом месте оставим дефолтных (по пункту из TODO) "злоумышленников"

- про "наиболее распространенные" — об этом речи в оригинале нет ведь %) да и ATT&CK про разные методы повествует, не только про самые распространенные

- про "хорошо известные" — это наверное well-known, а в ATT&CK просто про то что они известные, не обязательно именно супер хорошо. В ATT&CK ведь попадают и мало изученные вещи. Критерий попадания в базу знаний ведь именно документированный пруф использования преступниками. Известность оно может приобретать позже, с распространением инфы (в чем ATT&CK как раз помогает).

Может оставим просто "известные"? тебя смущает то что "известные" стоит особняком, кажется избыточным без доп пояснений? (вроде и так понятно что говорим об известрных действиях, иначе не говорили бы). или почему ты предлагаешь поясненить тут?
JZ
17:35
J ZDLN Евгений Зудилин
In reply to this message
Можно просто "известные". Все остальное вроде 👌
y
17:37
yugoslavskiy Даниил Югославский
In reply to this message
огонь.

тогда буду финализировать, обновлять статьи и готовить отчетный пост. на днях добью все 🙌🏻

спасибо вам ребят!
еще одна победа сообщества (: