থ্রেট হান্টিং, বা কিভাবে 5% হুমকি থেকে নিজেকে রক্ষা করবেন

95% তথ্য নিরাপত্তা হুমকি পরিচিত, এবং আপনি ঐতিহ্যগত উপায় যেমন অ্যান্টিভাইরাস, ফায়ারওয়াল, IDS, WAF ব্যবহার করে তাদের থেকে নিজেকে রক্ষা করতে পারেন। বাকি 5% হুমকি অজানা এবং সবচেয়ে বিপজ্জনক। তারা কোম্পানির জন্য ঝুঁকির 70% গঠন করে কারণ তাদের সনাক্ত করা খুব কঠিন এবং তাদের থেকে রক্ষা করা আরও বেশি। উদাহরণ "কালো রাজহাঁস" WannaCry, NotPetya/ExPetr ransomware, cryptominers, Stuxnet "সাইবার অস্ত্র" (যা ইরানের পারমাণবিক স্থাপনায় আঘাত করে) এবং অনেকগুলি (অন্য কেউ কি কিডো/কনফিকারের মনে আছে?) অন্যান্য আক্রমণের মহামারী যেগুলির বিরুদ্ধে ক্লাসিক্যাল প্রতিরক্ষা খুব ভাল নয়। আমরা থ্রেট হান্টিং প্রযুক্তি ব্যবহার করে এই 5% হুমকি মোকাবেলা করার বিষয়ে কথা বলতে চাই।

সাইবার আক্রমণের ক্রমাগত বিবর্তনের জন্য ধ্রুবক সনাক্তকরণ এবং পাল্টা ব্যবস্থার প্রয়োজন, যা শেষ পর্যন্ত আমাদের আক্রমণকারী এবং রক্ষকদের মধ্যে একটি অন্তহীন অস্ত্র প্রতিযোগিতার কথা ভাবতে বাধ্য করে। ক্লাসিক্যাল সিকিউরিটি সিস্টেমগুলি আর একটি গ্রহণযোগ্য স্তরের নিরাপত্তা প্রদান করতে সক্ষম হয় না, যেখানে ঝুঁকির স্তর কোম্পানির মূল সূচকগুলিকে (অর্থনৈতিক, রাজনৈতিক, খ্যাতি) কোনো নির্দিষ্ট পরিকাঠামোর পরিবর্তন ছাড়াই প্রভাবিত করে না, তবে সাধারণভাবে তারা এর কিছু অংশ কভার করে ঝুঁকি ইতিমধ্যেই বাস্তবায়ন এবং কনফিগারেশন প্রক্রিয়ার মধ্যে, আধুনিক সুরক্ষা ব্যবস্থাগুলি ধরার ভূমিকায় রয়েছে এবং নতুন সময়ের চ্যালেঞ্জগুলিতে অবশ্যই সাড়া দিতে হবে।

উৎস

থ্রেট হান্টিং প্রযুক্তি একজন তথ্য সুরক্ষা বিশেষজ্ঞের জন্য আমাদের সময়ের চ্যালেঞ্জগুলির একটি উত্তর হতে পারে। থ্রেট হান্টিং শব্দটি (এর পরে TH হিসাবে উল্লেখ করা হয়েছে) বেশ কয়েক বছর আগে আবির্ভূত হয়েছিল। প্রযুক্তি নিজেই বেশ আকর্ষণীয়, কিন্তু এখনও কোন সাধারণভাবে গৃহীত মান এবং নিয়ম নেই। এছাড়াও জটিল বিষয়গুলি হ'ল তথ্যের উত্সের ভিন্নতা এবং এই বিষয়ে রাশিয়ান-ভাষার তথ্যের অল্প সংখ্যক উত্স। এই বিষয়ে, আমরা LANIT-ইন্টিগ্রেশনে এই প্রযুক্তির একটি পর্যালোচনা লেখার সিদ্ধান্ত নিয়েছি।

প্রাসঙ্গিকতা

TH প্রযুক্তি অবকাঠামো পর্যবেক্ষণ প্রক্রিয়ার উপর নির্ভর করে। দুটি প্রধান অভ্যন্তরীণ পর্যবেক্ষণ পরিস্থিতি রয়েছে - সতর্কতা এবং শিকার. সতর্কতা (MSSP পরিষেবার ধরন অনুসারে) একটি ঐতিহ্যগত পদ্ধতি, পূর্বে বিকশিত স্বাক্ষর এবং আক্রমণের লক্ষণগুলি অনুসন্ধান করা এবং তাদের প্রতিক্রিয়া জানানো। এই দৃশ্যটি ঐতিহ্যগত স্বাক্ষর-ভিত্তিক সুরক্ষা সরঞ্জাম দ্বারা সফলভাবে সঞ্চালিত হয়। শিকার (MDR টাইপ পরিষেবা) হল একটি পর্যবেক্ষণ পদ্ধতি যা "স্বাক্ষর এবং নিয়মগুলি কোথা থেকে আসে?" প্রশ্নের উত্তর দেয়। এটি লুকানো বা পূর্বে অজানা সূচক এবং আক্রমণের লক্ষণগুলি বিশ্লেষণ করে পারস্পরিক সম্পর্ক বিধি তৈরি করার প্রক্রিয়া। এই ধরনের পর্যবেক্ষণের জন্যই থ্রেট হান্টিং অন্তর্ভুক্ত।

শুধুমাত্র উভয় ধরনের পর্যবেক্ষণকে একত্রিত করার মাধ্যমেই আমরা আদর্শ সুরক্ষার কাছাকাছি পৌঁছে যাই, কিন্তু সবসময়ই কিছু স্তরের অবশিষ্ট ঝুঁকি থাকে।

দুই ধরনের পর্যবেক্ষণ ব্যবহার করে সুরক্ষা

এবং এখানে কেন TH (এবং সাধারণভাবে শিকার!) আরও বেশি প্রাসঙ্গিক হয়ে উঠবে:

হুমকি, সুরক্ষার উপায়, ঝুঁকি। উৎস

সমস্ত হুমকির 95% ইতিমধ্যেই ভালভাবে বোঝা গেছে. এর মধ্যে স্প্যাম, DDoS, ভাইরাস, রুটকিট এবং অন্যান্য ক্লাসিক ম্যালওয়্যারের মতো প্রকারগুলি অন্তর্ভুক্ত রয়েছে৷ আপনি সুরক্ষার একই ক্লাসিক্যাল উপায়ে এই হুমকিগুলি থেকে নিজেকে রক্ষা করতে পারেন।

যে কোন প্রকল্পের সময় 20% কাজের জন্য 80% সময় ব্যয় হয়, এবং বাকি 20% কাজের 80% সময় লাগে। একইভাবে, পুরো হুমকির ল্যান্ডস্কেপ জুড়ে, নতুন ধরনের হুমকির 5% একটি কোম্পানির ঝুঁকির 70% প্রতিনিধিত্ব করবে। যে কোম্পানিতে তথ্য নিরাপত্তা ব্যবস্থাপনা প্রক্রিয়াগুলি সংগঠিত হয়, সেখানে আমরা পরিচিত হুমকির ঝুঁকির 30% কোনো না কোনো উপায়ে এড়িয়ে চলতে পারি (নীতিগতভাবে ওয়্যারলেস নেটওয়ার্ক প্রত্যাখ্যান করে), গ্রহণ (প্রয়োজনীয় নিরাপত্তা ব্যবস্থা বাস্তবায়ন) বা স্থানান্তর করে (উদাহরণস্বরূপ) , একজন ইন্টিগ্রেটরের কাঁধে) এই ঝুঁকি। থেকে নিজেকে রক্ষা করুন শূন্য দিনের দুর্বলতা, APT আক্রমণ, ফিশিং, সরবরাহ চেইন আক্রমণ, সাইবার-গুপ্তচরবৃত্তি এবং জাতীয় অপারেশন, সেইসাথে অন্যান্য হামলার একটি বড় সংখ্যা থেকে, ইতিমধ্যে অনেক কঠিন. এই 5% হুমকির পরিণতি হবে আরও গুরুতর (বুহট্র্যাপ গ্রুপিং থেকে ব্যাংক লোকসানের গড় পরিমাণ 143 মিলিয়ন) স্প্যাম বা ভাইরাসের পরিণতি যা থেকে অ্যান্টিভাইরাস সফ্টওয়্যার সংরক্ষণ করে।

প্রায় সবাইকে 5% হুমকি মোকাবেলা করতে হয়। সম্প্রতি, আমাদের একটি ওপেন-সোর্স সমাধান ইনস্টল করতে হয়েছিল যা PEAR (PHP এক্সটেনশন এবং অ্যাপ্লিকেশন রিপোজিটরি) সংগ্রহস্থল থেকে একটি অ্যাপ্লিকেশন ব্যবহার করে। নাশপাতি ইনস্টলের মাধ্যমে এই অ্যাপ্লিকেশনটি ইনস্টল করার একটি প্রচেষ্টা ব্যর্থ হয়েছে কারণ৷ ওয়েবসাইট অনুপলব্ধ ছিল (এখন এটি ইতিমধ্যে একটি স্টাব আছে), আমাকে এটি GitHub থেকে ইনস্টল করতে হয়েছিল। এবং সম্প্রতি দেখা গেল যে PEAR শিকার হয়ে উঠেছে সরবরাহ চেইন আক্রমণ.

এখনো কি মনে আছে CCleaner ব্যবহার করে আক্রমণ, ট্যাক্স রিপোর্টিং সফ্টওয়্যার আপডেট মডিউল মাধ্যমে NePetya ransomware মহামারী MEDoc. হুমকিগুলি আরও পরিশীলিত হয়ে উঠছে, এবং যৌক্তিক প্রশ্ন উঠছে - "আপনি কীভাবে এখনও এই 5% হুমকি মোকাবেলা করতে পারেন?"

থ্রেট হান্টিং এর সংজ্ঞা

সুতরাং, থ্রেট হান্টিং হল একটি সক্রিয় এবং পুনরাবৃত্তিমূলক অনুসন্ধান এবং উন্নত হুমকি সনাক্তকরণের একটি প্রক্রিয়া যা সুরক্ষার ঐতিহ্যগত উপায়ে সনাক্ত করা যায় না। উন্নত হুমকির মধ্যে রয়েছে, উদাহরণস্বরূপ, APT এর মতো আক্রমণ, 0-দিনের দুর্বলতার উপর আক্রমণ, ল্যান্ড অফ দ্য লিভিং, ইত্যাদি।

এটাও ব্যাখ্যা করা যেতে পারে যে TH হল হাইপোথিসিস পরীক্ষা করার প্রক্রিয়া। এটি অটোমেশনের উপাদানগুলির সাথে একটি প্রধানত ম্যানুয়াল প্রক্রিয়া, যেখানে বিশ্লেষক, তাদের জ্ঞান এবং দক্ষতার উপর নির্ভর করে, একটি নির্দিষ্ট হুমকির উপস্থিতি সম্পর্কে প্রাথমিকভাবে সংজ্ঞায়িত অনুমানের সাথে সামঞ্জস্যপূর্ণ সমঝোতার লক্ষণগুলির সন্ধানে প্রচুর পরিমাণে তথ্য অনুসন্ধান করে। এর একটি স্বতন্ত্র বৈশিষ্ট্য হল তথ্যের বিভিন্ন উৎস।

এটি লক্ষ করা উচিত যে থ্রেট হান্টিং কোন ধরণের সফ্টওয়্যার বা হার্ডওয়্যার পণ্য নয়। এগুলি এমন সতর্কতা নয় যা কিছু সমাধানে দেখা যায়। এটি আইওসি (আপোষের আইডেন্টিফায়ার) খোঁজার প্রক্রিয়া নয়। এবং এটি কোনও ধরণের নিষ্ক্রিয় কার্যকলাপ নয় যা তথ্য সুরক্ষা বিশ্লেষকদের অংশগ্রহণ ছাড়াই চলে। হুমকি শিকার প্রথম এবং সর্বাগ্রে একটি প্রক্রিয়া.

থ্রেট হান্টিং এর উপাদান

থ্রেট হান্টিংয়ের তিনটি প্রধান উপাদান: ডেটা, প্রযুক্তি, মানুষ।

ডেটা (কি?)বিগ ডেটা সহ। সমস্ত ধরণের ট্র্যাফিক প্রবাহ, অতীতের APT সম্পর্কে তথ্য, বিশ্লেষণ, ব্যবহারকারীর কার্যকলাপ ডেটা, নেটওয়ার্ক ডেটা, কর্মীদের কাছ থেকে তথ্য, ডার্ক ওয়েবের তথ্য এবং আরও অনেক কিছু।

প্রযুক্তি (কিভাবে?) এই ডেটা প্রক্রিয়াকরণ - মেশিন লার্নিং সহ এই ডেটা প্রক্রিয়াকরণের সমস্ত সম্ভাব্য উপায়।

মানুষ (কে?) - যাদের বিভিন্ন আক্রমণ বিশ্লেষণ করার ব্যাপক অভিজ্ঞতা রয়েছে, তাদের অন্তর্দৃষ্টি এবং আক্রমণ সনাক্ত করার ক্ষমতা রয়েছে। সাধারণত এইগুলি তথ্য নিরাপত্তা বিশ্লেষক যারা অনুমান তৈরি করতে এবং তাদের নিশ্চিতকরণ খুঁজে পেতে সক্ষম হতে হবে। তারা প্রক্রিয়ার মূল.

মডেল প্যারিস

অ্যাডাম বেটম্যান বর্ণনা করে আদর্শ TH প্রক্রিয়ার জন্য প্যারিস মডেল। নামটি, যেমনটি ছিল, ফ্রান্সের বিখ্যাত ল্যান্ডমার্কের ইঙ্গিত দেয়। এই মডেলটি দুটি দিক থেকে দেখা যেতে পারে - উপরে এবং নীচে।

হুমকির জন্য শিকারের প্রক্রিয়াতে, মডেলটি উপরে নিয়ে যাওয়া, আমরা দূষিত কার্যকলাপের অনেক প্রমাণের সাথে মোকাবিলা করব। প্রমাণের প্রতিটি অংশের একটি পরিমাপ রয়েছে যাকে বলা হয় নিশ্চিততা, একটি বৈশিষ্ট্য যা প্রমাণের সেই অংশের ওজনকে প্রতিফলিত করে। "লোহা", দূষিত কার্যকলাপের প্রত্যক্ষ প্রমাণ আছে, যা অনুসারে আমরা অবিলম্বে পিরামিডের শীর্ষে পৌঁছাতে পারি এবং একটি সুপরিচিত সংক্রমণ সম্পর্কে একটি প্রকৃত সতর্কতা তৈরি করতে পারি। এবং পরোক্ষ প্রমাণ রয়েছে, যার যোগফল আমাদের পিরামিডের শীর্ষে নিয়ে যেতে পারে। বরাবরের মতো, প্রত্যক্ষ প্রমাণের চেয়ে অনেক বেশি পরোক্ষ প্রমাণ রয়েছে, যার অর্থ তাদের সাজানো এবং বিশ্লেষণ করা দরকার, অতিরিক্ত গবেষণা করা উচিত এবং এটি স্বয়ংক্রিয় করা বাঞ্ছনীয়।

প্যারিস মডেল। উৎস

মডেলের উপরের অংশটি (1 এবং 2) অটোমেশন প্রযুক্তি এবং বিভিন্ন ধরণের বিশ্লেষণের উপর ভিত্তি করে এবং নীচের অংশটি (3 এবং 4) নির্দিষ্ট যোগ্যতার লোকেদের উপর ভিত্তি করে যারা প্রক্রিয়াটি পরিচালনা করে। আপনি উপরের থেকে নীচের দিকে সরানো মডেলটি দেখতে পারেন, যেখানে নীল রঙের শীর্ষে আমাদের কাছে প্রথাগত সুরক্ষা সরঞ্জাম (অ্যান্টিভাইরাস, ইডিআর, ফায়ারওয়াল, স্বাক্ষর) থেকে উচ্চ মাত্রার আত্মবিশ্বাস এবং বিশ্বাসের সাথে সতর্কতা রয়েছে এবং সূচকগুলির নীচে ( আইওসি, ইউআরএল, এমডি 5 এবং অন্যান্য), যার নিশ্চিততা কম এবং আরও অধ্যয়নের প্রয়োজন। এবং সর্বনিম্ন এবং পুরু স্তর (4) হল অনুমানের প্রজন্ম, সুরক্ষার ঐতিহ্যগত উপায়গুলির অপারেশনের জন্য নতুন পরিস্থিতি তৈরি করা। এই স্তরটি অনুমানগুলির নির্দেশিত উত্সগুলিতে সীমাবদ্ধ নয়। নিম্ন স্তর, আরো প্রয়োজনীয়তা একটি বিশ্লেষক যোগ্যতা উপর স্থাপন করা হয়.

এটা খুবই গুরুত্বপূর্ণ যে বিশ্লেষকরা শুধুমাত্র পূর্বনির্ধারিত অনুমানের একটি সীমিত সেট পরীক্ষা করে না, বরং নতুন অনুমান এবং তাদের পরীক্ষার জন্য বিকল্পগুলি তৈরি করার জন্য ক্রমাগত কাজ করে।

TH ব্যবহারের পরিপক্কতা মডেল

একটি আদর্শ বিশ্বে, TH একটি ধারাবাহিক প্রক্রিয়া। কিন্তু, যেহেতু কোন আদর্শ বিশ্ব নেই, আসুন বিশ্লেষণ করা যাক পরিপক্কতা মডেল এবং ব্যবহার করা মানুষ, প্রক্রিয়া এবং প্রযুক্তির পরিপ্রেক্ষিতে পদ্ধতি। একটি আদর্শ গোলাকার TH এর মডেলটি বিবেচনা করুন। এই প্রযুক্তি ব্যবহারের 5টি স্তর রয়েছে। বিশ্লেষকদের একটি একক দলের বিবর্তনের উদাহরণে তাদের বিবেচনা করুন।

পরিপক্কতার মাত্রা
সম্প্রদায়
প্রসেস
প্রযুক্তির

শ্রেনী 0
SOC বিশ্লেষক
24/7
ঐতিহ্যবাহী যন্ত্র:

ঐতিহ্যগত
সতর্কতা সেট
প্যাসিভ মনিটরিং
আইডিএস, এভি, স্যান্ডবক্সিং,

TH ছাড়া
সতর্কতা নিয়ে কাজ করা

স্বাক্ষর বিশ্লেষণ সরঞ্জাম, হুমকি বুদ্ধিমত্তা তথ্য.

শ্রেনী 1
SOC বিশ্লেষক
এককালীন TH
EDR

পরীক্ষামূলক
ফরেনসিক সম্পর্কে প্রাথমিক জ্ঞান
আইওসি অনুসন্ধান
নেটওয়ার্ক ডিভাইস থেকে ডেটার আংশিক কভারেজ

TH নিয়ে পরীক্ষা-নিরীক্ষা
নেটওয়ার্ক এবং অ্যাপ্লিকেশন সম্পর্কে ভাল জ্ঞান

আংশিক আবেদন

শ্রেনী 2
অস্থায়ী পেশা
স্প্রিন্ট
EDR

পর্যায়ক্রমিক
ফরেনসিকের মধ্যবর্তী জ্ঞান
প্রতি মাসে সপ্তাহ
সম্পূর্ণ আবেদন

অস্থায়ী TH
নেটওয়ার্ক এবং অ্যাপ্লিকেশনের চমৎকার জ্ঞান
নিয়মিত TH
EDR ডেটা ব্যবহারের সম্পূর্ণ অটোমেশন

উন্নত EDR বৈশিষ্ট্যের আংশিক ব্যবহার

শ্রেনী 3
ডেডিকেটেড TH কমান্ড
24/7
TH অনুমান পরীক্ষা করার আংশিক ক্ষমতা

প্রতিরোধমূলক
ফরেনসিক এবং ম্যালওয়ারের চমৎকার জ্ঞান
প্রতিরোধমূলক TH
উন্নত EDR বৈশিষ্ট্যের সম্পূর্ণ ব্যবহার

বিশেষ ক্ষেত্রে TH
আক্রমণকারী পক্ষের চমৎকার জ্ঞান
বিশেষ ক্ষেত্রে TH
নেটওয়ার্ক ডিভাইস থেকে ডেটার সম্পূর্ণ কভারেজ

কাস্টম কনফিগারেশন

শ্রেনী 4
ডেডিকেটেড TH কমান্ড
24/7
TH অনুমান পরীক্ষা করার সম্পূর্ণ ক্ষমতা

নেতৃস্থানীয়
ফরেনসিক এবং ম্যালওয়ারের চমৎকার জ্ঞান
প্রতিরোধমূলক TH
লেভেল 3 প্লাস:

TH ব্যবহার
আক্রমণকারী পক্ষের চমৎকার জ্ঞান
যাচাইকরণ, অটোমেশন এবং TH অনুমানের যাচাইকরণ
ডেটা উত্সগুলির কঠোর সংহতকরণ;

গবেষণা ক্ষমতা

API এর প্রয়োজন এবং অ-মানক ব্যবহারের জন্য বিকাশ।

মানুষ, প্রক্রিয়া এবং প্রযুক্তি দ্বারা TH পরিপক্কতার মাত্রা

স্তর 0: ঐতিহ্যগত, TH ব্যবহার না করে। সাধারণ বিশ্লেষকরা স্ট্যান্ডার্ড সরঞ্জাম এবং প্রযুক্তি ব্যবহার করে প্যাসিভ মনিটরিং মোডে সতর্কতার একটি স্ট্যান্ডার্ড সেটের সাথে কাজ করে: IDS, AV, স্যান্ডবক্স, স্বাক্ষর বিশ্লেষণ সরঞ্জাম।

স্তর 1: পরীক্ষামূলক, TH ব্যবহার করে। ফরেনসিক্সের প্রাথমিক জ্ঞান এবং নেটওয়ার্ক এবং অ্যাপ্লিকেশনগুলির ভাল জ্ঞানের সাথে একই বিশ্লেষকরা সমঝোতার সূচকগুলি অনুসন্ধান করে এককালীন হুমকি শিকার করতে পারেন। নেটওয়ার্ক ডিভাইস থেকে ডেটার আংশিক কভারেজ সহ টুলগুলিতে EDR যোগ করা হয়। সরঞ্জামগুলি আংশিকভাবে প্রয়োগ করা হয়।

স্তর 2: পর্যায়ক্রমিক, অস্থায়ী TH. একই বিশ্লেষক যারা ইতিমধ্যে ফরেনসিক, নেটওয়ার্ক এবং প্রয়োগকৃত অংশ সম্পর্কে তাদের জ্ঞান আপগ্রেড করেছেন তাদের নিয়মিতভাবে (স্পিন্ট) থ্রেট হান্টিং-এ জড়িত থাকতে হবে, বলুন, মাসে এক সপ্তাহ। সরঞ্জামগুলি নেটওয়ার্ক ডিভাইসগুলি থেকে ডেটার সম্পূর্ণ অনুসন্ধান, EDR থেকে ডেটা বিশ্লেষণের স্বয়ংক্রিয়তা এবং উন্নত EDR ক্ষমতার আংশিক ব্যবহার দ্বারা পরিপূরক।

স্তর 3: প্রতিরোধমূলক, TH এর ঘন ঘন ক্ষেত্রে। আমাদের বিশ্লেষকরা নিজেদেরকে একটি নিবেদিত দলে সংগঠিত করেছেন, ফরেনসিক এবং ম্যালওয়্যার সম্পর্কে চমৎকার জ্ঞানের পাশাপাশি আক্রমণকারী পক্ষের পদ্ধতি এবং কৌশল সম্পর্কে জ্ঞান অর্জন করতে শুরু করেছেন। প্রক্রিয়া ইতিমধ্যে 24/7 চলমান. নেটওয়ার্ক ডিভাইসগুলি থেকে ডেটার সম্পূর্ণ কভারেজ সহ EDR-এর উন্নত ক্ষমতাগুলি সম্পূর্ণরূপে ব্যবহার করার সময় দলটি TH অনুমানগুলি আংশিকভাবে পরীক্ষা করতে সক্ষম। বিশ্লেষকরা তাদের প্রয়োজন অনুসারে সরঞ্জামগুলি কনফিগার করতে সক্ষম।

স্তর 4: উচ্চ শেষ, TH ব্যবহার. একই দল গবেষণা করার ক্ষমতা, হাইপোথিসিস টিএইচ পরীক্ষা করার প্রক্রিয়া তৈরি এবং স্বয়ংক্রিয় করার ক্ষমতা অর্জন করেছে। এখন, ডেটা উত্সগুলির কঠোর সংহতকরণ, প্রয়োজনের জন্য সফ্টওয়্যার বিকাশ এবং API-এর অ-মানক ব্যবহার সহ সরঞ্জামগুলি যুক্ত করা হয়েছে।

হুমকি শিকার কৌশল

বেসিক থ্রেট হান্টিং টেকনিক

К প্রযুক্তিবিদ প্রযুক্তির পরিপক্কতার ক্রমানুসারে THs হল: মৌলিক অনুসন্ধান, পরিসংখ্যান বিশ্লেষণ, ভিজ্যুয়ালাইজেশন কৌশল, সহজ সমষ্টি, মেশিন লার্নিং এবং বায়েসিয়ান পদ্ধতি।

সবচেয়ে সহজ পদ্ধতি, মৌলিক অনুসন্ধান, নির্দিষ্ট প্রশ্নের সাহায্যে অধ্যয়নের ক্ষেত্রকে সংকীর্ণ করতে ব্যবহৃত হয়। পরিসংখ্যান বিশ্লেষণ ব্যবহার করা হয়, উদাহরণস্বরূপ, একটি পরিসংখ্যানগত মডেলের আকারে একটি সাধারণ ব্যবহারকারী বা নেটওয়ার্ক কার্যকলাপ তৈরি করতে। ভিজ্যুয়ালাইজেশন কৌশলগুলি গ্রাফ এবং চার্টের আকারে ডেটা বিশ্লেষণকে দৃশ্যমানভাবে প্রদর্শন এবং সরল করার জন্য ব্যবহার করা হয়, যা নমুনায় নিদর্শনগুলিকে আরও সহজ করে তোলে। মূল ক্ষেত্র দ্বারা সরল একত্রীকরণের কৌশল অনুসন্ধান এবং বিশ্লেষণ অপ্টিমাইজ করতে ব্যবহৃত হয়। একটি প্রতিষ্ঠানে TH প্রক্রিয়া যত বেশি পরিপক্ক হয়, মেশিন লার্নিং অ্যালগরিদমের ব্যবহার তত বেশি প্রাসঙ্গিক হয়ে ওঠে। এগুলি স্প্যাম ফিল্টারিং, দূষিত ট্র্যাফিক সনাক্তকরণ এবং জালিয়াতি সনাক্তকরণেও ব্যাপকভাবে ব্যবহৃত হয়। একটি আরও উন্নত ধরনের মেশিন লার্নিং অ্যালগরিদম হল বায়েসিয়ান পদ্ধতি, যা শ্রেণীবিভাগ, নমুনার আকার হ্রাস এবং বিষয় মডেলিংয়ের অনুমতি দেয়।

ডায়মন্ড মডেল এবং TH কৌশল

সার্জিও ক্যালটাগিরন, অ্যান্ড্রু পেন্ডেগাস্ট এবং ক্রিস্টোফার বেটজ তাদের কাজে "অনুপ্রবেশ বিশ্লেষণের ডায়মন্ড মডেল” যে কোনো দূষিত কার্যকলাপের প্রধান মূল উপাদান এবং তাদের মধ্যে মৌলিক সংযোগ দেখিয়েছে।

দূষিত কার্যকলাপের জন্য ডায়মন্ড মডেল

এই মডেল অনুসারে, 4টি থ্রেট হান্টিং কৌশল রয়েছে, যা সংশ্লিষ্ট মূল উপাদানগুলির উপর ভিত্তি করে।

1. শিকারের উপর দৃষ্টি নিবদ্ধ করা কৌশল। আমরা অনুমান করি যে শিকারের প্রতিপক্ষ রয়েছে এবং তারা ইমেলের মাধ্যমে "সুযোগ" প্রদান করবে। আমরা মেইলে শত্রুর তথ্য খুঁজছি। লিঙ্ক, সংযুক্তি, ইত্যাদি অনুসন্ধান করুন। আমরা একটি নির্দিষ্ট সময়ের জন্য (এক মাস, দুই সপ্তাহ) এই অনুমানের নিশ্চিতকরণ খুঁজছি, যদি না পাওয়া যায়, তাহলে অনুমানটি কাজ করেনি।

2. কৌশল অবকাঠামো উপর দৃষ্টি নিবদ্ধ করা. এই কৌশলটি ব্যবহার করার বিভিন্ন উপায় রয়েছে। অ্যাক্সেস এবং দৃশ্যমানতার উপর নির্ভর করে, কিছু অন্যদের চেয়ে সহজ। উদাহরণস্বরূপ, আমরা দূষিত ডোমেন হোস্ট করতে পরিচিত ডোমেন নাম সার্ভার নিরীক্ষণ করি। অথবা আমরা একটি বিরোধী দ্বারা ব্যবহৃত একটি পরিচিত প্যাটার্নের জন্য সমস্ত নতুন ডোমেন নাম নিবন্ধন ট্র্যাক করার একটি প্রক্রিয়া আছে৷

3. সুযোগ-চালিত কৌশল। বেশিরভাগ অনলাইন ডিফেন্ডারদের দ্বারা ব্যবহৃত শিকার-কেন্দ্রিক কৌশল ছাড়াও, একটি সক্ষমতা-কেন্দ্রিক কৌশল রয়েছে। এটি দ্বিতীয় সর্বাধিক জনপ্রিয় এবং প্রতিপক্ষের কাছ থেকে সুযোগগুলি সনাক্ত করার উপর ফোকাস করে, যথা "ম্যালওয়্যার" এবং psexec, পাওয়ারশেল, সার্টুটিল এবং অন্যান্যের মতো বৈধ সরঞ্জামগুলি ব্যবহার করে প্রতিপক্ষের সম্ভাবনা।

4. শত্রুর উপর দৃষ্টি নিবদ্ধ করা কৌশল। প্রতিপক্ষ-কেন্দ্রিক দৃষ্টিভঙ্গি প্রতিপক্ষকে কেন্দ্র করে। এর মধ্যে রয়েছে সর্বজনীনভাবে উপলব্ধ উত্স (ওএসআইএনটি) থেকে খোলা তথ্যের ব্যবহার, শত্রু সম্পর্কে তথ্য সংগ্রহ, তার কৌশল এবং পদ্ধতি (টিটিপি), পূর্বের ঘটনাগুলির বিশ্লেষণ, থ্রেট ইন্টেলিজেন্স ডেটা ইত্যাদি।

TH-এ তথ্য ও অনুমানের উৎস

থ্রেট হান্টিং এর তথ্যের কিছু উৎস

তথ্যের অনেক উৎস হতে পারে। আদর্শ বিশ্লেষককে চারপাশের সবকিছু থেকে তথ্য বের করতে সক্ষম হওয়া উচিত। প্রায় যেকোনো অবকাঠামোর সাধারণ উৎস হবে নিরাপত্তা সরঞ্জাম থেকে ডেটা: DLP, SIEM, IDS/IPS, WAF/FW, EDR। এছাড়াও, তথ্যের সাধারণ উত্সগুলি হবে সমঝোতার সমস্ত ধরণের সূচক, থ্রেট ইন্টেলিজেন্স পরিষেবা, CERT এবং OSINT ডেটা। অতিরিক্তভাবে, আপনি ডার্কনেট থেকে তথ্য ব্যবহার করতে পারেন (উদাহরণস্বরূপ, হঠাৎ করে সংস্থার প্রধানের মেলবক্স হ্যাক করার আদেশ এসেছে, বা নেটওয়ার্ক ইঞ্জিনিয়ারের পদের প্রার্থীকে তার কার্যকলাপ দ্বারা হাইলাইট করা হয়েছিল), এইচআর থেকে প্রাপ্ত তথ্য (পূর্ববর্তী চাকরির প্রার্থী সম্পর্কে পর্যালোচনা), নিরাপত্তা পরিষেবা থেকে তথ্য (উদাহরণস্বরূপ, কাউন্টারপার্টি চেকের ফলাফল)।

কিন্তু সমস্ত উপলব্ধ উত্স ব্যবহার করার আগে, অন্তত একটি অনুমান থাকা প্রয়োজন।

উৎস

অনুমানগুলি পরীক্ষা করার জন্য, প্রথমে সেগুলিকে সামনে রাখতে হবে। এবং অনেক গুণগত অনুমান সামনে রাখার জন্য, একটি পদ্ধতিগত পদ্ধতি প্রয়োগ করা প্রয়োজন। অনুমান তৈরির প্রক্রিয়াটি আরও বিশদে বর্ণনা করা হয়েছে প্রবন্ধ, এই স্কিমটিকে হাইপোথিসিস সামনে রাখার প্রক্রিয়ার ভিত্তি হিসাবে গ্রহণ করা খুব সুবিধাজনক।

হাইপোথিসিসের মূল উৎস হবে ATT&CK ম্যাট্রিক্স (প্রতিপক্ষের কৌশল, কৌশল এবং সাধারণ জ্ঞান)। প্রকৃতপক্ষে, এটি একটি জ্ঞানের ভিত্তি এবং আক্রমণকারীদের আচরণের মূল্যায়ন করার জন্য একটি মডেল যারা আক্রমণের শেষ ধাপে তাদের কার্যকলাপ বাস্তবায়ন করে, সাধারণত কিল চেইন ধারণা ব্যবহার করে বর্ণনা করা হয়। অর্থাৎ, অনুপ্রবেশকারী এন্টারপ্রাইজের অভ্যন্তরীণ নেটওয়ার্ক বা মোবাইল ডিভাইসে প্রবেশ করার পর পর্যায়ে। প্রাথমিকভাবে, জ্ঞানের ভিত্তিটিতে আক্রমণে ব্যবহৃত 121টি কৌশল এবং কৌশলগুলির একটি বর্ণনা অন্তর্ভুক্ত ছিল, যার প্রতিটি উইকি বিন্যাসে বিশদভাবে বর্ণনা করা হয়েছে। বিভিন্ন ধরনের থ্রেট ইন্টেলিজেন্স অ্যানালিটিক্স হাইপোথিসিস তৈরির জন্য একটি উৎস হিসেবে উপযুক্ত। অবকাঠামো বিশ্লেষণ এবং অনুপ্রবেশ পরীক্ষার ফলাফলগুলি বিশেষভাবে উল্লেখ্য - এইগুলি হল সবচেয়ে মূল্যবান ডেটা যা আয়রন অনুমানগুলি আমাদের দিতে পারে কারণ তারা একটি নির্দিষ্ট অবকাঠামোতে তার নির্দিষ্ট ত্রুটিগুলির সাথে নির্ভর করে।

হাইপোথিসিস টেস্টিং প্রক্রিয়া

সের্গেই সোলদাটভ এনেছিলেন ভাল পরিকল্পনা প্রক্রিয়াটির বিশদ বিবরণ সহ, এটি একটি একক সিস্টেমে TH হাইপোথিসিস পরীক্ষার প্রক্রিয়াকে চিত্রিত করে। আমি একটি সংক্ষিপ্ত বিবরণ সহ মূল পর্যায়গুলি নির্দেশ করব।

উৎস

পর্যায় 1: টিআই ফার্ম

এই পর্যায়ে, এটি নির্বাচন করা প্রয়োজন বস্তু (সব হুমকির তথ্যের সাথে একত্রে বিশ্লেষণ করে) এবং তাদের বৈশিষ্ট্যগুলির সাথে লেবেল করে। এটি একটি ফাইল, URL, MD5, প্রক্রিয়া, ইউটিলিটি, ইভেন্ট। থ্রেট ইন্টেলিজেন্স সিস্টেমের মাধ্যমে তাদের পাস করার জন্য, আপনাকে লেবেল লাগাতে হবে। অর্থাৎ, এই সাইটটি অমুক বছরে সিএনসিতে দেখা গেছে, এই MD5 অমুক ম্যালওয়্যারের সাথে যুক্ত ছিল, এই MD5 এমন একটি সাইট থেকে ডাউনলোড করা হয়েছিল যা ম্যালওয়্যার বিতরণ করে।

পর্যায় 2: কেস

দ্বিতীয় পর্যায়ে, আমরা এই বস্তুর মধ্যে মিথস্ক্রিয়া দেখি এবং এই সমস্ত বস্তুর মধ্যে সম্পর্ক সনাক্ত করি। আমরা চিহ্নিত সিস্টেমগুলি পাই যা খারাপ কিছু করে।

পর্যায় 3: বিশ্লেষক

তৃতীয় পর্যায়ে, মামলাটি একজন অভিজ্ঞ বিশ্লেষকের কাছে স্থানান্তরিত হয় যার বিশ্লেষণে ব্যাপক অভিজ্ঞতা রয়েছে এবং তিনি একটি রায় দেন। এটা কি, কোথায়, কিভাবে, কেন এবং কেন এই কোড করে বাইটগুলি পার্স করে। এই শরীর ছিল ম্যালওয়্যার, এই কম্পিউটার সংক্রমিত ছিল. বস্তুর মধ্যে সম্পর্ক প্রকাশ করে, স্যান্ডবক্সের মধ্য দিয়ে চলার ফলাফল পরীক্ষা করে।

বিশ্লেষকের কাজের ফলাফল আরও প্রেরণ করা হয়। ডিজিটাল ফরেনসিক ছবিগুলি পরীক্ষা করে, ম্যালওয়্যার বিশ্লেষণ পাওয়া "শব" পরীক্ষা করে, এবং ঘটনা প্রতিক্রিয়া দল সাইটে যেতে পারে এবং ইতিমধ্যে সেখানে কিছু পরীক্ষা করতে পারে। কাজের ফলাফল একটি নিশ্চিত অনুমান, একটি চিহ্নিত আক্রমণ এবং এটি মোকাবেলার উপায় হবে।

উৎস
 

ফলাফল

থ্রেট হান্টিং হল একটি মোটামুটি তরুণ প্রযুক্তি যা কার্যকরভাবে কাস্টমাইজড, নতুন এবং অ-মানক হুমকি মোকাবেলা করতে পারে, এই ধরনের হুমকির সংখ্যা বৃদ্ধি এবং কর্পোরেট অবকাঠামোর জটিলতার কারণে এর দুর্দান্ত সম্ভাবনা রয়েছে। এটির জন্য তিনটি উপাদান প্রয়োজন - ডেটা, সরঞ্জাম এবং বিশ্লেষণ। থ্রেট হান্টিং এর সুবিধা শুধুমাত্র হুমকি প্রতিরোধে সীমাবদ্ধ নয়। ভুলে যাবেন না যে অনুসন্ধানের প্রক্রিয়ায়, আমরা একজন নিরাপত্তা বিশ্লেষকের দৃষ্টিতে আমাদের অবকাঠামো এবং এর দুর্বল দিকগুলিতে ডুব দিয়ে থাকি এবং আমরা এই জায়গাগুলিকে আরও শক্তিশালী করতে পারি।

আমাদের মতে, আমাদের প্রতিষ্ঠানে TH প্রক্রিয়া শুরু করার জন্য প্রথম পদক্ষেপগুলি গ্রহণ করা প্রয়োজন৷

1. এন্ডপয়েন্ট এবং নেটওয়ার্ক অবকাঠামো সুরক্ষার যত্ন নিন। আপনার নেটওয়ার্কের সমস্ত প্রক্রিয়ার দৃশ্যমানতা (নেটফ্লো) এবং নিয়ন্ত্রণ (ফায়ারওয়াল, আইডিএস, আইপিএস, ডিএলপি) যত্ন নিন। প্রান্ত রাউটার থেকে একেবারে শেষ হোস্ট আপনার নেটওয়ার্ক জানুন.
2. এক্সপ্লোর করুন মিটার এটিটি এবং সিকে.
3. কমপক্ষে মূল বাহ্যিক সংস্থানগুলির নিয়মিত অনুপ্রবেশ পরীক্ষা পরিচালনা করুন, এর ফলাফলগুলি বিশ্লেষণ করুন, আক্রমণের প্রধান লক্ষ্যগুলি চিহ্নিত করুন এবং তাদের দুর্বলতাগুলি বন্ধ করুন।
4. একটি ওপেন সোর্স থ্রেট ইন্টেলিজেন্স সিস্টেম প্রয়োগ করুন (উদাহরণস্বরূপ, এমআইএসপি, ইয়েতি) এবং এটির সাথে একসাথে লগ বিশ্লেষণ করুন।
5. ইমপ্লিমেন্ট ইনসিডেন্ট রেসপন্স প্ল্যাটফর্ম (IRP): R-Vision IRP, The Hive, সন্দেহজনক ফাইল বিশ্লেষণের জন্য স্যান্ডবক্স (FortiSandbox, Cuckoo)।
6. রুটিন প্রক্রিয়া স্বয়ংক্রিয়. লগ বিশ্লেষণ, ঘটনা তৈরি করা, কর্মীদের অবহিত করা অটোমেশনের জন্য একটি বিশাল ক্ষেত্র।
7. ইঞ্জিনীয়ার, ডেভেলপার, কারিগরি সহায়তার সাথে কীভাবে কার্যকরভাবে ইন্টারঅ্যাক্ট করতে হয় তা শিখুন ঘটনাগুলিতে একসাথে কাজ করার জন্য।
8. পুরো প্রক্রিয়া নথিভুক্ত করুন, মূল পয়েন্ট, অর্জিত ফলাফলগুলি পরে তাদের কাছে ফিরে আসার জন্য বা সহকর্মীদের সাথে এই ডেটা ভাগ করুন;
9. সামাজিক দিকটি মাথায় রাখুন: আপনার কর্মীদের সাথে কী ঘটছে, আপনি কাকে নিয়োগ দিচ্ছেন এবং আপনি কাকে সংস্থার তথ্য সংস্থানগুলিতে অ্যাক্সেস দিচ্ছেন সে সম্পর্কে সচেতন থাকুন।
10. নতুন হুমকি এবং সুরক্ষা পদ্ধতির ক্ষেত্রে প্রবণতাগুলির সাথে সামঞ্জস্য রাখুন, আপনার প্রযুক্তিগত সাক্ষরতার স্তর উন্নত করুন (আইটি পরিষেবা এবং সাবসিস্টেমগুলির পরিচালনা সহ), সম্মেলনে যোগ দিন এবং সহকর্মীদের সাথে যোগাযোগ করুন।

মন্তব্যে TH প্রক্রিয়ার সংগঠন নিয়ে আলোচনা করতে প্রস্তুত।

অথবা আমাদের সাথে কাজ করতে আসা!

• লিড আইএস কনসালটেন্ট
• তথ্য নিরাপত্তা ব্যবস্থার স্থপতি
• লিড নেটওয়ার্ক সিকিউরিটি ইঞ্জিনিয়ার
• লিড ইনফরমেশন সিকিউরিটি ইঞ্জিনিয়ার (SIEM)
• তথ্য নিরাপত্তা স্থপতি (প্রযুক্ত)

অধ্যয়নের জন্য উত্স এবং উপকরণ

• হুমকি.গুরু
• attack.mitre.org
• digital-forensics.sans.org
• resources.infosecinstitute.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• উত্তর-টু-all.blogspot.com
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

উত্স: www.habr.com