🥇Threat Hunting, или Как да се защитим от 5% от заплахите

95% от заплахите за информационната сигурност са известни и могат да бъдат предотвратени с традиционни средства като антивируси, защитни стени, IDS, WAF. Останалите 5% заплахи – неизвестни и най-опасни. Те съставляват 70% от риска за компанията, тъй като е много трудно да бъдат открити и, особено, да бъдат защитени. Примери «черни лебеди» са епидемиите на шифрователи WannaCry, NotPetya/ExPetr, криптомайнери, «кибероръжие» Stuxnet (поразило ядрени обекти в Иран) и множество други атаки (някой помни ли Kido/Conficker?), от които е трудно да се защити с класически средства за сигурност. За това как да се противопоставим на тези 5% заплахи с технологията Threat Hunting, искаме да поговорим.

Непрекъснатото развитие на кибератаки изисква постоянно откриване и противодействие, което в крайна сметка ни води до мисълта за безкрайна надпревара във въоръженията между злонамерените лица и защитниците. Класическите системи за защита вече не са в състояние да осигурят приемливо ниво на защита, при което рискът не влияе на ключовите показатели на компанията (икономически, политически, репутационни), без тяхната преработка за конкретна инфраструктура, но като цяло те покриват част от рисковете. В хода на внедряването и конфигурирането съвременни системи за защита се оказват в ролята на догонващи и трябва да отговорят на предизвикателствата на новото време.

Източник

Един от отговорите на предизвикателствата на съвременността за специалиста по ИБ може да бъде технологията Threat Hunting. Терминът Threat Hunting (по-нататък в текста – TH) се появи преди няколко години. Самата технология е доста интересна, но все още няма никакви общоприети стандарти и правила. Също така, разнородността на източниците на информация и малкото количество рускоезични източници по тази тема усложняват ситуацията. Поради това в «ЛАНИТ-Интеграции» решихме да напишем своеобразен обзор на тази технология.

Актуалност

Технологията TH се основава на процесите на мониторинг на инфраструктурата. Съществуват два основни сценария за вътрешно наблюдение – Alerting и Hunting. Alerting (напр. услуги MSSP) – традиционен метод, при който се търсят разработени преди сигнатури и признаци за атаки и се реагира на тях. Този сценарий успешно се изпълнява от традиционните сигнатурни средства за защита. Hunting (услуга от типа MDR) – метод на мониторинг, който отговаря на въпроса «Откъде идват сигнатурите и правилата?». Това е процес на създаване на правила за корелация чрез анализ на скрити или досега неизвестни индикатори и признаци на атака. Именно към този тип мониторинг принадлежи Threat Hunting.

Само комбинацията от двата типа мониторинг може да ни осигури защита, близка до идеалната, но винаги остава известен ниво на остатъчен риск.

Защита с използване на двата типа мониторинг

Ето защо TH (и хантингът като цяло!) ще става все по-актуален:

Заплахи, средства за защита, рискове. Източник

95% от всички заплахи са вече добре изучени. Те включват видове като спам, DDoS, вируси, руткити и други класически зловредни програми. Защитата срещу тези заплахи може да бъде осъществена със същите класически средства за защита.

В хода на изпълнението на всякакъв проект 20% от времето отнема извършването на 80% от работата, а останалите 20% работа отнемат 80% време. По аналогичен начин, в целия ландшафт на заплахите, 5% от новите заплахи ще съставляват 70% от риска за компанията. В компания, в която са организирани процеси за управление на информационната сигурност, можем да управляваме 30% от риска от известни заплахи по един или друг начин, избягвайки (като се откажем от безжичните мрежи принципно), приемайки (внедрявайки необходимите средства за защита) или прехвърляйки (например, на интегратора) този риск. Защитата от уязвимости с нулеви дни, APT-атаки, фишинг, атаки чрез веригата на доставки, кибершпионски и национални операции, както и от множество други атаки вече е много по-трудна. Последствията от тези 5% заплахи ще бъдат много по-сериозни (средната загуба за банката от групировката buhtrap – 143 милиона), отколкото последствията от спам или вируси, от които спасява антивирусният софтуер.

С 5% от заплахите се сблъсква почти всеки. Наскоро ни се налагаше да инсталираме едно open-source решение, което използва приложение от хранилището PEAR (PHP Extension and Application Repository). Опитът за инсталиране на това приложение чрез pear install завърши неуспешно, тъй като сайт беше недостъпен (вече има заглушка на него), наложи се да го инсталирам от GitHub. А съвсем наскоро стана ясно, че PEAR стана жертва на атака чрез верига за доставки.

Може да се спомене и атака с използване на CCleaner, епидемията от шифровчик NePetya чрез модула за обновления на софтуера за данъчна отчетност M.E.Doc. У threat-овете стават все по-изтънчени и логичният въпрос е – "Как да се противопоставим на тези 5% от заплахите?"

Определение за Threat Hunting

Така че, Threat Hunting е процес на проактивно и итеративно търсене и откриване на напреднали заплахи, които не могат да бъдат открити с традиционните защитни средства. Напредналите заплахи включват, например, атаки като APT, атаки на 0-day уязвимости, Living off the Land и др.

Може да се формулира и по друг начин, че TH е процес на проверка на хипотези. Това е предимно ръчен процес с елементи на автоматизация, в който анализаторът, основавайки се на знанията и квалификацията си, преглежда големи обеми информация в търсене на признаци на компрометиране, съответстващи на първоначално определената хипотеза за присъствието на определена заплаха. Отличителна черта е разнообразието от източници на информация.

Трябва да се отбележи, че Threat Hunting не е някакъв софтуерен или хардуерен продукт. Не е алармите, които можете да видите в някакво решение. Това не е процес на търсене на IOC (идентификатори на компрометираност). И това не е някаква пасивна активност, която се случва без участието на ИБ анализатори. Threat Hunting – това е преди всичко процес.

Компоненти на Threat Hunting

Три основни компонента на Threat Hunting: данни, технологии, хора.

Данни (какви?), включително и Big Data. Всевъзможни потоци трафик, информация за предишни APT, аналитика, данни за активността на потребителите, мрежови данни, информация от служители, информация в тъмен мрежа и много друго.

Технологии (как?) за обработка на тези данни – всички възможни методи за обработка на тези данни, включително машинно обучение.

Хора (谁?) – тези, които притежават дълбок опит в анализа на различни атаки, развита интуиция и способност да откриват атаки. Обикновено това са анализатори по информационна сигурност, които трябва да могат да генерират хипотези и да намират потвърждение за тях. Те са основната връзка в процеса.

Модел PARIS

Адам Бейтман описва модел PARIS за идеалния процес TH. Името явно намеква за известната забележителност във Франция. Този модел може да се разглежда в две посоки – отгоре надолу и отдолу нагоре.

В процеса на лов за заплахи, движейки се по модела отдолу нагоре, ще се сблъскаме с много доказателства за злонамерена активност. Всяко доказателство има мярка, известна като увереност – характеристика, която отразява теглото на това доказателство. Има „железни“, прости доказателства за злонамерена активност, по които веднага можем да достигнем върха на пирамидата и да създадем фактическо известие за точно известна инфекция. Има и косвени доказателства, сумата от които също може да ни отведе до върха на пирамидата. Както винаги, косвените доказателства са многократно повече от пряките, следователно те трябва да се сортират и анализират, да се провеждат допълнителни изследвания и е желателно това да бъде автоматизирано.

Модел PARIS. Източник

Горната част на модела (1 и 2) е базирана на технологии за автоматизация и разнообразна аналитика, а долната част (3 и 4) на хора с определени квалификации, които управляват процеса. Моделът може да се разглежда, движейки се отгоре надолу, където в горната част, маркирана в синьо, имаме известия от традиционните средства за защита (антивируси, EDR, защитни стени, сигнатури) с висока степен на увереност и доверие, а по-долу показателите (IOC, URL, MD5 и други), които имат по-ниска степен на увереност и изискват допълнително проучване. И най-долният и най-дебел слой (4) – генериране на хипотези, създаване на нови сценарии за работа на традиционните средства за защита. Този слой не е ограничен само до указаните източници на хипотези. Колкото по-нисък е слой, толкова повече изисквания се поставят към квалификацията на анализатора.

Много е важно анализаторите не само да проверяват окончателния набор от предварително определени хипотези, а постоянно да работят, за да генерират нови хипотези и варианти за тяхната проверка.

Модел на зрялост на използване на TH

В идеалния свят TH е непрекъснат процес. Но, тъй като идеален свят не съществува, нека анализираме модел на зрялост и методите в контекста на хора, процеси и използвани технологии. Нека разгледаме модела на идеалния сферичен TH. Има 5 нива на използване на тази технология. Да ги разгледаме на примера на еволюцията на конкретен екип от анализатори.

Нива на зрялост
Хора
Процеси
Технологии

Ниво 0
Анализатори SOC
24/7
Традиционни инструменти:

Традиционен
Набор от алерти
Пасивно мониторинг
IDS, AV, Пясъчници,

Без TH
Работа с алерти

инструменти за сигнатурен анализ, данни за Threat Intelligence.

Ниво 1
Анализатори SOC
Еднократен TH
EDR

Експериментален
Основни познания по форензика
Търсене на IOC
Частично покритие на данни от мрежови устройства

Експерименти с TH
Добри познания по мрежи и приложение

Частично приложение

Ниво 2
Временно занимание
Спринтове
EDR

Периодично
Средни познания по форензика
Седмица в месеца
Пълно приложение

Временен TH
Отлични познания по мрежи и приложение
Редовен TH
Пълна автоматизация на използването на данни EDR

Частично използване на разширените възможности на EDR

Ниво 3
Посочен екип TH
24/7
Частична способност за проверка на хипотези TH

Превантивен
Отлични познания по форензика и зловреден софтуер
Превантивен TH
Пълно използване на разширените възможности на EDR

Частни случаи TH
Отлични познания за атакуващата страна
Частни случаи TH
Пълно покритие на данни от мрежови устройства

Конфигурация спрямо нуждите

Ниво 4
Посочен екип TH
24/7
Пълна способност за проверка на хипотези TH

Водещ
Отлични познания по форензика и зловреден софтуер
Превантивен TH
Ниво 3, плюс:

Използване на TH
Отлични познания за атакуващата страна
Проверка, автоматизация и верификация на хипотези TH
тясна интеграция на източници на данни;

Способност за проучвания

разработка спрямо нуждите и нестандартно използване на API.

Нива на зрялост на TH в контекста на хора, процеси и технологии

Ниво 0: традиционен, без използване на TH. Обречените анализатори работят със стандартен набор от алерти в режим на пасивно мониторинг, използвайки стандартни инструменти и технологии: IDS, AV, пясъчници, инструменти за сигнатурен анализ.

Ниво 1: експериментален, с използване на TH. Същите анализатори с основни знания по форензика и добро познаване на мрежи и приложната част могат да извършат еднократно Threat Hunting чрез търсене на индикатори за компрометиране. Инструментите включват EDR с частично покритие на данните от мрежовите устройства. Инструментите се прилагат частично.

Ниво 2: периодичен, времеви TH. На същите анализатори, които вече са подобрили своите знания по форензика, мрежи и приложна част, им се възлага редовно занимание (спринт) с Threat Hunting, например, седмица на месец. Инструментите включват пълно изследване на данните от мрежовите устройства, автоматизация на анализа на данните от EDR и частично използване на разширени възможности на EDR.

Ниво 3: превентивен, чести случаи на TH. Нашите анализатори са организирани в специален екип, придобили са отлични знания по форензика и злонамерен софтуер, както и познания по методите и тактиките на атакуващата страна. Процесът вече се осъществява в режим 24/7. Екипът е способен частично да проверява хипотези за TH, напълно използвайки разширените възможности на EDR с пълно покритие на данните от мрежовите устройства. Също така анализаторите могат да конфигурират инструментите според своите нужди.

Ниво 4: лидерски, използване на TH. Същият екип е придобил способността да провежда изследвания, умение за генериране и автоматизиране на процеса на проверка на хипотези за TH. Сега инструментите включват тясна интеграция на източниците на данни, разработка на софтуер според нуждите и нестандартна употреба на API.

Техники на Threat Hunting

Основни техники на Threat Hunting

К техниките TH по реда на зрялост на използваната технология включват: основно търсене, статистически анализ, техники за визуализация, прости агрегирания, машинно обучение и байесови методи.

Най-простият метод - базовото търсене, се използва за стесняване на изследователската област с помощта на определени заявки. Статистическият анализ, например, се прилага за изграждане на типична потребителска или мрежова активност под формата на статистически модел. Техниките за визуализация се използват за визуално представяне и опростяване на анализа на данни под формата на графики и диаграми, на които е много по-лесно да се уловят закономерности в извадката. Техниката за простите агрегирания по ключови полета се използва за оптимизиране на търсенето и анализа. Колкото по-високо ниво на зрялост достига в организацията процесът на TH, толкова по-актуално става използването на алгоритми за машинно обучение. Те също така се използват широко, включително при филтриране на спам, откриване на злонамерен трафик и идентифициране на измамни действия. По-напредналият тип алгоритми за машинно обучение - байесовите методи - позволява провеждане на класификация, намаляване на размерността на извадката и темatically модериране.

Моделът на диаманта и стратегиите за TH

Серджио Калтагирон, Андрю Пендегаст и Кристофър Бетц в своята работа "The Diamond Model of Intrusion Analysis" показаха основните ключови съставки на всяка злонамерена активност и основната връзка между тях.

Моделът на диаманта за злонамерена активност

Съгласно този модел има 4 стратегии за лов на заплахи, които се основават на съответните ключови компоненти.

1. Стратегия, ориентирана към жертвата. Предполагаме, че жертвата има противници, които ще предоставят "възможности" чрез електронната поща. Търсим данни за враговете в пощата. Търсим линкове, прикачени файлове и т.н. Търсим потвърдение на тази хипотеза в определен срок (месец, две седмици), ако не намерим, то хипотезата не се е осъществила.

2. Стратегия, ориентирана към инфраструктурата. Има няколко метода за използване на тази стратегия. В зависимост от достъпа и видимостта, някои от тях са по-лесни от други. Например, следим домейн сървъри, известни за хостване на злонамерени домейни. Или провеждаме процес на проследяване на всички нови регистрации на домейни с цел известен шаблон, използван от противника.

3. Стратегия, ориентирана към възможностите. Освен стратегията, ориентирана към жертвата, която се използва от повечето мрежови защитници, съществува и стратегия, ориентирана към възможностите. Тя е втората по популярност и се фокусира върху откритията на възможности от противника, а именно „вредоносни програми“ и възможността за използване от страна на противника на легитимни инструменти като psexec, powershell, certutil и други.

4. Стратегия, ориентирана към противника. Подходът, ориентиран към противника, се фокусира върху самия него. Това включва използването на открита информация от публични източници (OSINT), събиране на данни за противника, неговите техники и методи (TTP), анализ на предишни инциденти, данни от Threat Intelligence и др.

Източници на информация и хипотези в TH

Някои източници на информация за Threat Hunting

Източниците на информация могат да бъдат много. Идеалният аналитик трябва да може да извлича информация от всичко, което го заобикаля. Типични източници в почти всяка инфраструктура ще бъдат данни от защитни средства: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Освен това, типични източници на информация ще бъдат различни индикатори за компрометиране, услуги на Threat Intelligence, данни от CERT и OSINT. Допълнително може да се използва информация от тъмен интернет (например, изведнъж има поръчка за хакване на имейл на ръководителя на организацията, или кандидат за позицията мрежови инженер е засечен с активността си), информация, получена отHR (отзиви за кандидата от предишното му работно място), информация от службата за безопасност (например, резултати от проверка на контрагента).

Но преди да се използват всички налични източници, е необходимо да се има поне една хипотеза.

Източник

За да проверявате хипотезите, първо трябва да ги формулирате. А за да формулирате много качествени хипотези, е необходимо да се прилага системен подход. По-подробно процесът на генериране на хипотези е описан в статии, за основа на процеса на формулиране на хипотези е много удобно да се вземе тази схема.

Основният източник на хипотези ще бъде матрицата ATT&CK (Adversarial Tactics, Techniques and Common Knowledge). В сути, това е база данни на знания и модел за оценка поведението на злонамерените лица, осъществяващи своите дейности на последните етапи на нападение, обикновено описани чрез концепцията Kill Chain. Тоест, на етапите след проникването на злонамереното лице в вътрешната мрежа на предприемаческата организация или на мобилното устройство. Първоначално базата данни съдържаше описание на 121 тактики и техники, използвани при нападение, всяка от които е подробно описана във формат Wiki. Разнообразната аналитика Threat Intelligence е подходяща като източник за генериране на хипотези. Особено впечатляващи са резултатите от анализа на инфраструктурата и тестовете за проникване – това са най-ценните данни, които могат да предоставят надеждни хипотези, тъй като те се основават на конкретна инфраструктура с нейните конкретни недостатъци.

Процес на проверка на хипотези

Сергей Солдатов представи добра схема с подробно описание на процеса, тя илюстрира процеса на проверка на хипотези TH в отделната система. Ще посоча основните етапи с кратко описание.

Източник

Етап 1: TI Farm

На този етап е необходимо да се идентифицират обекти (чрез анализ на данните за заплахи), с присвояване на етикети на техните характеристики. Това може да бъде файл, URL, MD5, процес, утилита, събитие. Преминавайки през системите Threat Intelligence, е необходимо да се добавят етикети. Тоест, този сайт е забелязан в CNC в определена година, този MD5 е свързан с определен зловреден софтуер, този MD5 е сваляна от сайт, разпространяващ зловреден софтуер.

Етап 2: Дела

На втория етап разглеждаме взаимодействието между тези обекти и определяме връзките между всички тях. Получаваме маркирани системи, които извършват нещо лошо.

Етап 3: Анализатор

На третия етап делото се предава на опитен анализатор, който има огромен опит в анализа, той и издава присъдата. Той разглежда до байтове какво, откъде, как, защо и за какво прави този код. Това тяло е зловредно, този компютър е инфектиран. Разкрива връзките между обектите, проверява резултатите от тестовете в пясъчника.

Резултатите от работата на анализатора се предават нататък. Digital Forensics изследва образите, Malware Analysis разглежда откритите „тела“, а екипът Incident Response може да се отправи на място и да проучи нещо там. Резултатът от работата ще бъде потвърдена хипотеза, установена атака и пътища за противодействие на нея.

Източник

Итог

Threat Hunting е сравнително нова технология, способна ефективно да се справя с персонализирани, нови и нестандартни заплахи, която има голям потенциал с нарастващия брой на тези заплахи и усложняването на корпоративната инфраструктура. За нея са нужни три съставки – данни, инструменти и анализатори. Ползата от Threat Hunting не е ограничена само до предотвратяване на заплахи. Не бива да забравяме, че в процеса на търсене ние навлизаме в нашата инфраструктура и слабите й места през очите на специалиста по сигурност, и можем да укрепим тези места допълнително.

Първите стъпки, които, по наше мнение, трябва да се направят, за да започне процесът на TH във вашата организация.

Да се погрижите за защитата на крайните точки и мрежовата инфраструктура. Да се погрижите за видимостта (NetFlow) и контрола (firewall, IDS, IPS, DLP) на всички процеси в мрежата ви. Да познавате мрежата си от граничния маршрутизатор до последния хост.
Да изследвате MITRE ATT&CK.
Да провеждате редовен пен тест поне на ключовите външни ресурси, да анализирате резултатите от него, да изведете основните цели за атака и да закриете уязвимостите им.
Да внедрите система за заплахи с отворен код (например, MISP, Yeti) и да провеждате анализ на логовете заедно с нея.
Да внедрите платформа за реагиране на инциденти (IRP): R-Vision IRP, The Hive, пясъчник за анализ на съмнителни файлове (FortiSandbox, Cuckoo).
Да автоматизирате рутинните процеси. Анализ на логовете, регистриране на инциденти, информиране на персонала – огромно поле за автоматизация.
Да се научите да взаимодействате ефективно с инженери, разработчици, техническа поддръжка за съвместна работа по инцидентите.
Да документирате целия процес, ключовите точки, постигнатите резултати, за да можете да се върнете към тях по-късно или да споделите тези данни с колеги;
Да помните за социалната страна: бъдете в течение на това, което се случва с вашите служители, кого наемате и на кого давате достъп до информационните ресурси на организацията.
Бъдете в крак с тенденциите в новите заплахи и методи за защита, увеличавайте своята техническа грамотност (включително и в работата с IT услуги и подсистеми), посещавайте конференции и общувайте с колеги.

Готов съм да обсъдим организацията на TH в коментарите.

Или елате да работите при нас!

Източници и материали за изучаване