Как системите за анализ на трафика откриват тактики на хакерите според MITRE ATT&CK с примера PT Network Attack Discovery

Според Verizon, повечето (87%) инциденти в киберсигурността се случват за броени минути, докато на откритие на инцидент отнема на 68% от компаниите месеци. Това се потвърджа и от изследването на Ponemon Institute, според което на повечето организации средно им отнема 206 дни за откриване на инцидент. От опита на нашите разследвания, хакерите могат години наред да контролират инфраструктурата на една компания, без да бъдат открити. Например, в една от организациите, където нашите експерти провеждаха разследване на инцидент в киберсигурността, беше установено, че хакерите напълно контролирали цялата инфраструктура на организацията и редовно крадяли важни данни в течение на осем години.

Да предположим, че вече имате работещ SIEM, който събира логове и анализира събития, и антивируси на крайни точки. Въпреки това, не всичко може да бъде открито с помощта на SIEM, както и е невъзможно да бъдат внедрени EDR системи в цялата мрежа, което означава, че „слепи“ зони не могат да бъдат избегнати. За да се справите с тях, помагат системите за анализ на мрежовия трафик (network traffic analysis, NTA). Тези решения откриват активността на злонамерени лица на най-ранните етапи на проникването в мрежата, както и по време на опити за утвърдяване и развитие на атака вътре в мрежата.

NTA има два вида: едни работят с NetFlow, а други анализират суров трафик. Предимството на вторите системи е, че те могат да съхраняват записи от суровия трафик. Благодарение на това, специалистът по киберсигурност може да провери успешността на атаката, да локализира заплахата, да разбере как е настъпила атаката и как да предотврати подобна в бъдеще.

Ще покажем как с помощта на NTA може да се идентифицират всички известни тактики на атаки, описани в базата знания MITRE ATT&CK. Ще разкажем за всяка от 12 тактики, ще разгледаме техниките, които могат да бъдат детектирани по трафика, и ще демонстрираме тяхното откритие с помощта на нашата NTA система.

За базата знания ATT&CK

MITRE ATT&CK е обществено достъпен набор от знания, разработен и поддържан от корпорацията MITRE, базиран на анализ на реални APT. Това е структурирана колекция от тактики и техники, използвани от злонамерени актьори. Тя позволява на специалистите по информационна сигурност от цял свят да говорят на един и същ език. Базата данни постоянно се разширява и допълва с нови знания.

В базата данни са идентифицирани 12 тактики, разделени по етапите на кибератаката:

• първоначален достъп (initial access);
• изпълнение (execution);
• поддържане (persistence);
• повишаване на привилегиите (privilege escalation);
• предотвратяване на открития (defense evasion);
• достъп до удостоверения (credential access);
• разузнаване (discovery);
• действия вътре в периметъра (lateral movement);
• събиране на данни (collection);
• управление и контрол (command and control);
• експлозия на данни (exfiltration);
• въздействие (impact).

За всяка тактика в базата данни ATT&CK е посочен списък с техники, които помагат на злонамерените актьори да постигнат целите си на текущия етап от атаката. Поради факта, че една и съща техника може да се използва на различни етапи, тя може да принадлежи на няколко тактики.

Описание на всяка техника включва:

• идентификатор;
• списък с тактики, в които се прилага;
• примери за употреба от APT-групи;
• мерки за намаляване на щетите от нейната употреба;
• препоръки за детектиране.

Специалистите по информационна сигурност могат да използват знанията от базата, за да структурират информация за актуалните методи на атаки и на тази база да изградят ефективна система за сигурност. Разбирането на начина, по който действат реалните APT-групи, също може да бъде източник на хипотези за проактивно търсене на заплахи в рамките на threat hunting.

За PT Network Attack Discovery

Ще идентифицираме използването на техники от матрицата ATT&CK чрез системата PT Network Attack Discovery — NTA-система на Positive Technologies, предназначена за откриване на атаки на периметъра и вътре в мрежата. PT NAD покрива в различна степен всички 12 тактики на матрицата MITRE ATT&CK. Тя е най-силна в идентифицирането на техники за първоначален достъп (initial access), действия вътре в периметъра (lateral movement) и управление и контрол (command and control). В тях PT NAD покрива повече от половината известни техники, откривайки тяхното приложение по пряк или косвен признак.

Системата открива атаки, използвайки техниките ATT&CK, чрез правила за откритие, създадени от екипа PT Expert Security Center (PT ESC), машинно обучение, индикатори за компрометиране, дълбочинна аналитика и ретроспективен анализ. Анализът на трафика в реално време, съчетан с ретроспективния подход, позволява откриването на текуща скрита злонамерена активност и проследяване на векторите на развитие и хронологията на атаките.

Тук може да намерите пълното картографиране на PT NAD върху матрицата MITRE ATT&CK. Образът е голям, така че ви предлагаме да го разгледате в отделен прозорец.

Първоначален достъп (initial access)

Тактиката за получаване на първоначален достъп включва техники за проникване в мрежата на компанията. Целта на нападателите на този етап е да доставят злонамерен код в атакуваната система и да осигурят възможност за неговото по-нататъшно изпълнение.

Анализът на трафика с PT NAD позволява откриването на седем техники за получаване на първоначален достъп:

1. T1189: компрометиране чрез посетение на сайт

Техника, при която жертвата посещава уебсайт, използван от нападатели за експлоатация на уеб браузъра и получаване на токени за достъп до приложението.

Какво прави PT NAD: ако уеб трафикът не е криптиран, PT NAD инспектира съдържанието на отговорите на HTTP сървърите. Именно в тези отговори се съдържат експлойти, които позволяват на нападателите да изпълнят произволен код в браузъра. PT NAD автоматично открива такива експлойти чрез правила за откритие.

Допълнително PT NAD открива заплахата на предходната стъпка. Правилата и индикаторите за компрометиране се задействат, ако потребителят посети сайт, който го пренасочва към сайт с верига от експлойти.

2. T1190: експлоатиране на приложение с публичен достъп

Експлоатация на уязвимости в услуги, които са достъпни в интернет.

Какво прави PT NAD: извършва дълбока инспекция на съдържанието на мрежовите пакети, откривайки в него признаци на аномална активност. В частност, съществуват правила, позволяващи откритие на атаки върху основните системи за управление на съдържанието (CMS), уеб интерфейси на мрежово оборудване, атаки върху пощенски и FTP сървъри.

3. T1133: външни отдалечени услуги

Използване от нападателите на услуги за отдалечен достъп за свързване с ресурси във вътрешната мрежа отвън.

Какво прави PT NAD: Тъй като системата разпознава протоколите не по номера на портовете, а по съдържанието на пакетите, потребителите на системата могат да филтрират трафика, за да намерят всички сесии на протоколи за отдалечен достъп и да проверят тяхната легитимност.

4. T1193: spearphishing attachment

Става въпрос за така наречените фишинг прикачени файлове.

Какво прави PT NAD: автоматично извлича файлове от трафика и ги проверява по индикатори за компрометираност. Изпълняемите файлове в прикачените файлове се идентифицират чрез правила, които анализират съдържанието на пощенския трафик. В корпоративна среда такова прикачено изделие се счита за аномалия.

5. T1192: spearphishing link

Използване на фишингови връзки. Техниката включва изпращане от злонамерени лица на фишингово имейл съобщение с връзка, при кликване на която се изтегля зловреден софтуер. Често връзката се придружава от текст, съставен по всички правила на социалната инженерия.

Какво прави PT NAD: идентифицира фишингови линкове чрез индикатори за компрометираност. Например, в интерфейса на PT NAD виждаме сесия, в която е имало HTTP свързване по линка, включен в списъка с фишингови адреси (phishing-urls).

Свързване по линка от списъка с индикатори за компрометираност phishing-urls

6. T1199: trusted relationship

Достъп до мрежата на жертвата чрез трети лица, с които жертвата има установени доверителни отношения. Злоумышленици могат да нахлуят в доверителна организация и да се свържат чрез нея с целевата мрежа. За това те използват VPN свързвания или доверителни отношения между домейни, което може да се идентифицира чрез анализ на трафика.

Какво прави PT NAD: анализира приложените протоколи и запазва разобраните полета в база данни, благодарение на което ИБ анализатор може с помощта на филтри да намери в базата данни всички подозрителни VPN свързвания или крос-домейнови връзки.

7. T1078: valid accounts

Използване на стандартни, локални или домейн акаунти за авторизация на външни и вътрешни услуги.

Какво прави PT NAD: автоматично извлича идентификационни данни от протоколите HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos. Обикновено това е потребителско име, парола и индикатор за успешност на удостоверяването. Ако са били използвани, те се показват в съответната карта на сесията.

Изпълнение (execution)

В тактиката "Изпълнение" влизат техники, които злоумышлениците използват, за да изпълняват код в компрометирани системи. Стартирането на злонамерен код помага на атакуващите да укрепят присъствието си (тактика "persistent") и да разширят достъпа си до отдалечени системи в мрежата, като се движат вътре в периметъра.

PT NAD позволява да се идентифицират 14 техники, използвани от злоумышлениците за изпълнение на злонамерен код.

1. T1191: CMSTP (Инсталатор на профили на Microsoft Connection Manager)

Тактиката, при която злоумышлениците подготвят специален злонамерен инсталационен INF файл за вградената в Windows утилита CMSTP.exe (инсталатор на профили на диспетчера на връзки). CMSTP.exe приема файла като параметър и инсталира профил на услугата за отдалечено свързване. В резултат на това CMSTP.exe може да бъде използван за зареждане и изпълнение на динамично свързани библиотеки (*.dll) или скриптове (*.sct) от отдалечени сървъри.

Какво прави PT NAD: автоматично открива в HTTP трафика предаване на INF файлове от специален вид. В допълнение, той открива предаване по HTTP протокол на злонамерени скриптове и динамично свързани библиотеки от отдалечен сървър.

2. T1059: интерфейс на командния ред

Взаимодействие с интерфейса на командния ред. Може да се взаимодейства с интерфейса на командния ред локално или отдалечено, например с помощта на утилити за отдалечен достъп.

Какво прави PT NAD: автоматично детектира наличието на шеллове по отговори на команди, инициирани от различни утилити на командния ред, като ping, ifconfig.

3. T1175: компонентен обектен модел и разпределен COM

Използването на технологии COM или DCOM за изпълнение на код на локални или отдалечени системи при преминаване през мрежата.

Какво прави PT NAD: детектира подозрителни DCOM извиквания, които злоумышлениците обикновено използват, за да стартират програми.

4. T1203: експлоатация за изпълнение от клиент

Експлоатацията на уязвимости за изпълнение на произволен код на работна станция. Най-полезните за атакуващите експлойти са тези, които позволяват изпълнение на код в отдалечена система, тъй като чрез тях злоумышлениците могат да получат достъп до такава система. Техниката може да бъде реализирана чрез следните методи: злонамерено имейл разпространение, уебсайт с експлойти за браузъри и отдалечена експлоатация на уязвимости в приложения.

Какво прави PT NAD: при анализа на пощенски трафик PT NAD проверява за наличието на изпълними файлове в прикачените документи. Автоматично извлича офисни документи от писма, които могат да съдържат експлойти. Опити за експлоатация на уязвимости са видими в трафика, което PT NAD автоматично идентифицира.

5. T1170: mshta

Използването на утилитата mshta.exe, която изпълнява Microsoft HTML приложения (HTA) с разширение .hta. Тъй като mshta обработва файлове, заобикаляйки настройки за сигурност на браузъра, атакуващите могат да използват mshta.exe за изпълнение на злонамерени HTA файлове, JavaScript или VBScript.

Какво прави PT NAD: .hta файлове за изпълнение чрез mshta се предават вкл. и по мрежата — това е видно в трафика. PT NAD автоматично идентифицира предаването на такива злонамерени файлове. Той улавя файловете, а информацията за тях може да бъде видяна в картата на сесията.

6. T1086: PowerShell

Използването на PowerShell за намиране на информация и изпълнение на злонамерен код.

Какво прави PT NAD: когато PowerShell се прилага от атакуващите дистанционно, PT NAD открива това с помощта на правила. Той открива ключови думи на PowerShell, които най-често се използват в злонамерени скриптове, и предаването на PowerShell скриптове по протокола SMB.

7. T1053: планирана задача
Използването на планирача на задачи на Windows и други утилити за автоматично стартиране на програми или скриптове в определено време.

Какво прави PT NAD: атакуващите обикновено създават такива задачи дистанционно, което значи, че тези сесии са видими в трафика. PT NAD автоматично идентифицира подозрителни операции по създаване и модифициране на задачи с помощта на RPC интерфейси ATSVC и ITaskSchedulerService.

8. T1064: скриптиране

Изпълнението на скриптове за автоматизация на различни действия на атакуващите.

Какво прави PT NAD: идентифицира факти за предаване на скриптове по мрежата, тоест още преди тяхното изпълнение. Той открива съдържанието на скриптовете в суровия трафик и открива предаването по мрежата на файлове с разширения, отговарящи на популярни скриптови езици.

9. T1035: изпълнение на услуга

Стартиране на изпълним файл, инструкции на командния интерфейс или скрипт чрез взаимодействие със службите на Windows, например с контролера за управление на услугите (Service Control Manager, SCM).

Какво прави PT NAD: инспектира SMB трафика и открива достъпа до SCM с правила за създаване, изменение и стартиране на услуги.

Техника за стартиране на услуги може да бъде реализирана с помощта на утилита за отдалечено изпълнение на команди PSExec. PT NAD анализира SMB протокола и открива използването на PSExec, когато използва файла PSEXESVC.exe или стандартното име на услугата PSEXECSVC за изпълнение на код на отдалеченото устройство. Потребителят трябва да провери списъка с изпълнени команди и легитимността на отдалеченото изпълнение на команди от хоста.

В картата на атаката в PT NAD се показват данни за използваните тактики и техники по матрицата ATT&CK, за да може потребителят да разбере на каква фаза на атаката се намират нападателите, какви цели следват и какви мерки за защита да предприеме.

Сработване на правило за използване на утилитата PSExec, което може да свидетелства за опит за изпълнение на команди на отдалеченото устройство.

10. T1072: софтуер от трети страни

Техника, при която нападателите получават достъп до софтуер за отдалечено администриране или корпоративна система за разполагане на софтуер и с тяхна помощ стартират злонамерен код. Примери за такъв софтуер: SCCM, VNC, TeamViewer, HBSS, Altiris.
Между другото, техниката е особено актуална във връзка с масовото преминаване към отдалечена работа и следователно свързването на многобройни домашни незабелязани устройства чрез съмнителни канали за отдалечен достъп.

Какво прави PT NAD: автоматично открива в мрежата работата на такъв софтуер. Например, правилата сработват на факти за свързване по протокол VNC и активността на троянеца EvilVNC, който тайно инсталира VNC-сървър на жертвения хост и автоматично го стартира. Освен това PT NAD автоматично определя протокола TeamViewer, което помага на анализатора чрез филтър да намери всички такива сесии и да провери тяхната легитимност.

11. T1204: изпълнение от потребителя

Техника, при която потребителят стартира файлове, които могат да доведат до изпълнение на код. Това може да бъде например, ако отвори изпълним файл или стартира офис документ с макро.

Какво прави PT NAD: вижда такива файлове още на етапа на предаване, преди тяхното стартиране. Информацията за тях може да бъде разгледана в картата на сесиите, в които са били предавани.

12. T1047: Windows Management Instrumentation

Използване на WMI инструмент, който предоставя локален и отдалечен достъп до системните компоненти на Windows. Чрез WMI атакуващите могат да взаимодействат с локални и отдалечени системи и да изпълняват многобройни задачи, например да събират информация с цел разузнаване и да стартират процеси отдалечено по време на хоризонтално движение.

Какво прави PT NAD: тъй като взаимодействията с отдалечени системи по WMI са видими в трафика, PT NAD автоматично открива мрежовите заявки за установяване на WMI сесии и проверява трафика за предаване на скриптове, които използват WMI.

13. T1028: Windows Remote Management

Използване на услуга и протокол на Windows, който позволява на потребителя да взаимодейства с отдалечени системи.

Какво прави PT NAD: вижда мрежовите връзки, установени чрез Windows Remote Management. Такива сесии се откриват автоматично чрез правила.

14. T1220: XSL (Extensible Stylesheet Language) обработка на скриптове

Езикът за описание на стилове XSL се използва за описване на обработката и визуализацията на данни в XML файлове. За поддръжка на сложни операции стандартът XSL включва поддръжка на вградени скриптове на различни езици. Тези езици позволяват изпълнението на произволен код, което води до заобикаляне на политики за сигурност, основани на бели списъци.

Какво прави PT NAD: открива факти за предаване на такива файлове по мрежата, тоест още преди техния запуск. Той автоматично открива факта за предаване на XSL файлове и файлове с аномална XSL размяна.

В следващите материали ще разгледаме как NTA системата PT Network Attack Discovery открива други тактики и техники за злоумышленици в съответствие с MITRE ATT&CK. Оставайте на линия!

Автори:

• Антон Кутепов, специалист от експертния център за сигурност (PT Expert Security Center) Positive Technologies
• Наталия Казанкова, продуктов маркетолог на Positive Technologies

Източник: habr.com