Как системите за анализ на трафика откриват тактики на хакери според MITRE ATT&CK на примера на PT Network Attack Discovery

Според Verizon, повечето (87%) от инцидентите в сферата на информационната безопасност се случват за броени минути, а за тяхното откриване на 68% от компаниите им трябват месеци. Това е потвърдено и от изследването на Ponemon Institute, според което на повечето организации им отнема средно 206 дни за откриване на инцидент. От нашия опит, хакерите могат да контролират инфраструктурата на компанията с години, без да бъдат открити. Например, в една от организациите, където нашите експерти провеждаха разследване на инцидент в сферата на информационната безопасност, беше установено, че хакерите напълно са контролирали цялата инфраструктура на организацията и редовно са крали важна информация през последните осем години.

Да допуснем, че вече разполагате със SIEM, който събира логове и анализира събития, и антивируси са инсталирани на крайни точки. Въпреки това, не всичко може да бъде открито с помощта на SIEM, както и е невъзможно да бъдат внедрени системи EDR във всяка мрежа, така че „слепите“ зони не може да се избегнат. За справяне с тях помагат системите за анализ на мрежовия трафик (network traffic analysis, NTA). Тези решения откриват активността на злоумышлениците на най-ранните етапи на проникването в мрежата, а също и по време на опитите им да се закрепят и развият атаката вътре в мрежата.

NTA има два основни типа: едните работят с NetFlow, а другите анализират некомпресиран трафик. Предимството на вторите системи е, че могат да съхраняват записи на некомпресирания трафик. Благодарение на това, специалистът по информационна безопасност може да провери успешността на атаката, да локализира заплахата, да разбере как е настъпила атаката и как да предотврати подобна в бъдеще.

Ще покажем как с помощта на NTA може да се открият всички известни тактики на атаки, описани в базата знания MITRE ATT&CK. Ще разгледаме всяка от 12 тактики, ще анализираме техниките, които се откриват по трафика, и ще демонстрираме тяхното откритие с помощта на нашата NTA система.

За базата знания ATT&CK

MITRE ATT&CK — това е обществено достъпна база данни, разработена и поддържана от организацията MITRE на базата на анализа на реални APT нападения. Тя представлява структурирана колекция от тактики и техники, използвани от злоумышленици. Това позволява на специалистите по киберсигурност от целия свят да говорят на един и същ език. Базата постоянно се разширява и обновява с нови знания.

В базата се открояват 12 тактики, разделени по етапи на кибератака:

• първоначален достъп (initial access);
• изпълнение (execution);
• устойчивост (persistence);
• повишаване на привилегиите (privilege escalation);
• предотвратяване на откритията (defense evasion);
• достъп до данни за удостоверяване (credential access);
• разузнаване (discovery);
• странично движение (lateral movement);
• събиране на данни (collection);
• управление и контрол (command and control);
• ексфилтрация на данни (exfiltration);
• въздействие (impact).

За всяка тактика в базата с ATT&CK знания, е посочен списък с техники, които помогат на злоумышлениците да постигнат целта си на актуалния етап от атаката. Тъй като една и съща техника може да се прилага на различни етапи, тя може да се отнася до няколко тактики.

Описание на всяка техника включва:

• идентификатор;
• списък от тактики, в които се прилага;
• примери за използване от APT групи;
• мерки за намаляване на щетите от нейното използване;
• препоръки за откриване.

Специалистите по киберсигурност могат да използват знанията от базата, за да структурят информация за актуалните методи на атаки и на тази основа да изградят ефективна система за сигурност. Разбирането на действието на реалните APT групи може също така да послужи като източник на хипотези за проактивно търсене на заплахи в рамките на threat hunting.

За PT Network Attack Discovery

Идентифицирането на употребата на техники от матрицата ATT&CK ще бъде осъществено с помощта на системата PT Network Attack Discovery — NTA системата на Positive Technologies, предназначена за откриване на атаки на периметъра и вътре в мрежата. PT NAD покрива в различна степен всички 12 тактики от матрицата MITRE ATT&CK. Тя е най-силна в откритията на техники за първоначален достъп (initial access), странично движение (lateral movement) и управление и контрол (command and control). В тези области PT NAD покрива повече от половината известни техники, откривайки тяхното приложение по пряки или косвени признаци.

Системата идентифицира атаки, извършени с техники ATT&CK, чрез правила за откриване, създадени от екипа. PT Expert Security Center (PT ESC), машинно обучение, индикатори за компрометиране, дълбочинна аналитика и ретроспективен анализ. Анализът на трафика в реално време, комбиниран с ретроспекция, позволява откриването на текуща скрита зловредна активност и проследяване на векторите на развитие и хронологията на атаките.

Тук е пълен мапинг на PT NAD към матрицата MITRE ATT&CK. Снимката е голяма, затова предлагаме да я разгледате в отделен прозорец.

Първоначален достъп (initial access)

Тактиката за получаване на първоначален достъп включва техники за проникване в мрежата на компанията. Целта на нападателите на този етап е да доставят зловреден код в атакуваната система и да осигурят възможност за неговото последващо изпълнение.

Анализът на трафика с PT NAD позволява откритие на седем техники за получаване на първоначален достъп:

1. T1189: drive-by compromise

Техника, при която жертвата отваря уебсайт, използван от нападателите за експлоатиране на уеб браузъра и получаване на токени за достъп до приложението.

Какво прави PT NAD: ако уеб трафикът не е шифрован, PT NAD инспектира съдържанието на отговорите от HTTP сървърите. Именно в тези отговори се намират експлойти, които позволяват на нападателите да изпълняват произволен код в браузъра. PT NAD автоматично открива такива експлойти чрез правила за откритие.

Допълнително, PT NAD открива заплаха на предходния етап. Правилата и индикаторите за компрометиране сработват, ако потребителят е посетил сайт, който го е пренасочило към сайт със серия от експлойти.

2. T1190: exploit public-facing application

Експлоатация на уязвимости в услуги, които са достъпни от интернет.

Какво прави PT NAD: извършва дълбочинна инспекция на съдържанието на мрежови пакети, откривайки признаци на аномална активност. В частност, има правила, които позволяват откриването на атаки срещу основни системи за управление на съдържание (content management system, CMS), уеб интерфейси на мрежово оборудване, атаки на пощенски и FTP сървъри.

3. T1133: external remote services

Използване от нападателите на услуги за отдалечен достъп за свързване с ресурси от вътрешната мрежа отвън.

Какво прави PT NAD: тъй като системата разпознава протоколите не по номера на портовете, а по съдържанието на пакетите, потребителите на системата могат да филтрират трафика, за да намерят всички сесии на протоколите за отдалечен достъп и да проверят тяхната легитимност.

4. T1193: фишинг вложение

Става въпрос за прословутите изпращания на фишинг вложения.

Какво прави PT NAD: автоматично извлича файлове от трафика и проверява тях по индикаторите за компрометиране. Изпълними файлове в приложенията се идентифицират чрез правила, които анализират съдържанието на имейл трафика. В корпоративна среда такова вложение се счита за аномално.

5. T1192: фишинг линк

Използване на фишинг линкове. Техниката включва изпращането на фишинг имейл от злоумышленици с линк, при кликване на който се сваля злонамерен софтуер. Обикновено линкът е придружен от текст, съставен съгласно правилата на социалното инженерство.

Какво прави PT NAD: идентифицира фишинг линкове с помощта на индикатори за компрометиране. Например, в интерфейса на PT NAD виждаме сесия, при която е имало HTTP съединение по линк, попадащ в списъка на фишинг адресите (phishing-urls).

Съединение по линк от списъка на индикаторите за компрометиране phishing-urls

6. T1199: надеждни взаимоотношения

Достъп до мрежата на жертвата чрез трети лица, с които жертвата има установени доверителни отношения. Злоумышлениците могат да хакнат надеждна организация и да се свържат чрез нея с целевата мрежа. За това те използват VPN съединения или доверието между домейни, което може да се идентифицира чрез анализ на трафика.

Какво прави PT NAD: анализира приложните протоколи и съхранява анализираните полета в база данни, благодарение на което ИБ-аналитик с помощта на филтри може да намери в базата данни всички подозрителни VPN съединения или междудомейнни връзки.

7. T1078: валидни акаунти

Използване на стандартни, локални или домейн акаунти за авторизация на външни и вътрешни услуги.

Какво прави PT NAD: автоматично извлича данни за удостоверяване от протоколите HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos. Обикновено това са логин, парола и признак за успешност на удостоверяването. Ако са били използвани, те се показват в съответната карта на сесията.

Изпълнение

В тактиката на Изпълнението се включват техники, които злоумышлениците използват за изпълнение на код в компрометирани системи. Пускането на злонамерен код помага на атакуващите да закрепят присъствието си (тактика за устойчивост) и да разширят достъпа си до отдалечени системи в мрежата, премествайки се вътре в периметъра.

PT NAD позволява да се идентифицира прилагането на 14 техники, използвани от злонамерени лица за изпълнение на злонамерен код.

1. T1191: CMSTP (Инсталатор на профили на Microsoft Connection Manager)

Тактиката, при която злонамерени лица подготвят специален злонамерен инсталационен INF файл за вградената в Windows утилита CMSTP.exe (инсталатор на профили за свързване). CMSTP.exe приема файла като параметър и инсталира профил на услугата за отдалечено свързване. В резултат на това CMSTP.exe може да бъде използван за зареждане и изпълнение на динамично свързани библиотеки (*.dll) или скриптлети (*.sct) от отдалечени сървъри.

Какво прави PT NAD: автоматично открива в HTTP движението предаване на INF файлове от специален тип. В допълнение към това, той открива предаване по протокола HTTP на злонамерени скриптлети и динамично свързани библиотеки от отдалечен сървър.

2. T1059: интерфейс на командния ред

Взаимодействие с интерфейса на командния ред. Можете да взаимодействате с интерфейса на командния ред локално или отдалечено, например с помощта на инструменти за отдалечен достъп.

Какво прави PT NAD: автоматично алармира за наличието на шеллове по отговорите на команди от различни инструменти за команден ред, като ping, ifconfig.

3. T1175: компонентен обектен модел и разпределен COM

Използване на технологии COM или DCOM за изпълнение на код на локални или отдалечени системи при напредване в мрежата.

Какво прави PT NAD: открива подозрителни DCOM повиквания, които злонамерените лица обикновено използват за стартиране на програми.

4. T1203: експлоатация за клиентско изпълнение

Експлоатация на уязвимости за изпълнение на произволен код на работната станция. Най-полезните експлойти за атакуващите са тези, които позволяват изпълнение на код в отдалечената система, тъй като с тяхна помощ злонамерените лица могат да получат достъп до такава система. Техниката може да се реализира чрез следните методи: злонамерено електронно разпращане, уебсайт с експлойти за браузъри и отдалечена експлоатация на уязвимости на приложения.

Какво прави PT NAD: по време на анализа на пощенския трафик PT NAD проверява за наличието на изпълними файлове в прикачените файлове. Автоматично извлича офис документи от имейли, в които могат да бъдат експлойти. Опити за експлоатация на уязвимости се виждат в трафика и PT NAD ги открива автоматично.

5. T1170: mshta

Използване на утилитата mshta.exe, която изпълнява Microsoft HTML приложения (HTA) с разширение .hta. Тъй като mshta обработва файлове заобикаляйки настройките за сигурност на браузъра, атакуващите могат да използват mshta.exe за изпълнение на злонамерени файлове HTA, JavaScript или VBScript.

Какво прави PT NAD: файлове .hta за изпълнение чрез mshta се предават също и по мрежата — това се вижда в трафика. PT NAD открива предаването на такива злонамерени файлове автоматично. Той улавя файловете, а информация за тях може да бъде видяна в картата на сесията.

6. T1086: PowerShell

Използването на PowerShell за търсене на информация и изпълнение на злонамерен код.

Какво прави PT NAD: когато PowerShell се прилага от атакуващи отдалечено, PT NAD го детектирa с помощта на правила. Той открива ключови думи на езика PowerShell, които най-често се използват в злонамерени скриптове, и предаването на PowerShell-скриптове по протокол SMB.

7. T1053: планирана задача
Използване на планирача за задачи на Windows и други утилити за автоматично стартиране на програми или скриптове в определено време.

Какво прави PT NAD: атакуващите обикновено създават такива задачи отдалечено, което значи, че такива сесии се виждат в трафика. PT NAD автоматично открива съмнителни операции по създаване и промяна на задачи, използвайки RPC интерфейсите ATSVC и ITaskSchedulerService.

8. T1064: скриптиране

Изпълнение на скриптове за автоматизиране на различни действия на атакуващите.

Какво прави PT NAD: открива факти за предаване на скриптове по мрежата, тоест още преди да бъдат стартирани. Той открива съдържанието на скриптовете в суровия трафик и детектира предаването по мрежата на файлове с разширения, съответстващи на популярни скриптови езици.

9. T1035: изпълнение на услуга

Стартиране на изпълним файл, инструкции на интерфейса на командния ред или скрипт чрез взаимодействие със службите на Windows, например с диспетчера за управление на услуги (Service Control Manager, SCM).

Какво прави PT NAD: инспектира SMB-трафика и открива достъп до SCM с правила за създаване, промяна и стартиране на услуги.

Техниката за стартиране на услуги може да бъде реализирана чрез инструмент за дистанционен достъп PSExec. PT NAD анализира протокола SMB и открива използването на PSExec, когато се използва файлът PSEXESVC.exe или стандартното име на услугата PSEXECSVC за изпълнение на код на отдалечена машина. Потребителят трябва да провери списъка с изпълнени команди и легитимността на отдалеченото изпълнение на команди от узла.

В картата на атаката в PT NAD се показват данни за използваните тактики и техники според матрицата ATT&CK, за да може потребителят да разбере на какъв етап на атаката са злонамерените лица, какви цели преследват и какви компенсаторни мерки да предприемат.

Сработване на правилото за използване на инструмента PSExec, което може да е признак за опит за изпълнение на команди на отдалечена машина

10. T1072: софтуер от трети лица

Техника, при която злонамерени лица получават достъп до софтуер за дистанционно администриране или корпоративна система за разгръщане на софтуер и с тяхна помощ стартират злонамерен код. Примери за такъв софтуер: SCCM, VNC, TeamViewer, HBSS, Altiris.
Между другото, техниката е особено актуална във връзка с масовото преминаване към дистанционна работа и, следователно, свързването на многобройни домашни незашифровани устройства чрез съмнителни канали за дистанционен достъп.

Какво прави PT NAD: автоматично открива в мрежата функционирането на такъв софтуер. Например, правилата сработват на факти за свързване по протокола VNC и активността на трояна EvilVNC, който дискретно инсталира VNC-сървър на хоста на жертвата и автоматично го стартира. Също така PT NAD автоматично определя протокола TeamViewer, което помага на аналитика с помощта на филтър да намери всички такива сесии и да провери тяхната легитимност.

11. T1204: изпълнение от потребител

Техника, при която потребителят стартира файлове, които могат да доведат до изпълнение на код. Например, ако потребителят отвори изпълним файл или стартира офисен документ с макрос.

Какво прави PT NAD: вижда такива файлове още на етапа на предаване, преди тяхното стартиране. Информацията за тях може да се проучи в картата на сесиите, в които са били предавани.

12. T1047: Windows Management Instrumentation

Използването на инструмента WMI, който осигурява възможност за локален и дистанционен достъп до системни компоненти на Windows. Чрез WMI нападателите могат да взаимодействат с локални и отдалечени системи и да извършват множество задачи, например да събират информация за разузнаване и дистанционно да стартират процеси по време на хоризонтално движение.

Какво прави PT NAD: тъй като взаимодействията с отдалечени системи чрез WMI са видими в трафика, PT NAD автоматично открива мрежови заявки за установяване на WMI-сесии и проверява трафика за предаване на скриптове, които използват WMI.

13. T1028: Windows Remote Management

Използването на услугата и протокола на Windows, който позволява на потребителя да взаимодейства с отдалечени системи.

Какво прави PT NAD: открива мрежови връзки, установени чрез Windows Remote Management. Такива сесии се откриват автоматично от правилата.

14. T1220: обработка на скриптове XSL (Extensible Stylesheet Language)

Езикът за описване на стилове XSL се използва за описване на обработката и визуализацията на данни в XML файлове. За поддръжка на сложни операции стандартът XSL включва подкрепа за вградени скриптове на различни езици. Тези езици позволяват изпълнение на произволен код, което води до заобикаляне на политики за сигурност, основани на бели списъци.

Какво прави PT NAD: открива факти за предаване на такива файлове в мрежата, тоест дори преди да бъдат изпълнени. Той автоматично открива факти за предаване на XSL файлове в мрежата и файлове с аномална XSL разметка.

В следващите материали ще разгледаме как NTA системата PT Network Attack Discovery намира други тактики и техники на злоумышлениците в съответствие с MITRE ATT&CK. Останете на линия!

Автори:

• Антон Кутепов, специалист от експертния център по сигурност (PT Expert Security Center) Positive Technologies
• Наталия Казанькова, продуктов маркетолог на Positive Technologies

Източник: habr.com