{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Threat Hunting, eller hvordan man beskytter sig mod 5% trusler","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

95% af truslerne mod informationssikkerhed er kendte, og man kan beskytte sig mod dem med traditionelle midler som antivirussoftware, firewall, IDS, WAF. De resterende 5% er ukendte og de mest farlige. De udg\u00f8r 70% af risiciene for virksomheder, da det er meget vanskeligt at opdage dem, og endnu sv\u00e6rere at beskytte sig imod dem. Eksempler p\u00e5 \u00absorte svaner\u00bb<\/a><\/noindex> er WannaCry og NotPetya\/ExPetr ransomwareepidemier, kryptovaluta-minere, \u00abcyberv\u00e5ben\u00bb Stuxnet (som ramte Irans nukle\u00e6re anl\u00e6g) og mange (er der nogen, der husker Kido\/Conficker?) andre angreb, hvor det er sv\u00e6rt at beskytte sig med klassiske sikkerhedsmidler. Om hvordan man kan modst\u00e5 disse 5% trusler ved hj\u00e6lp af Threat Hunting-teknologi, vil vi gerne tale.<\/p>\n

\"Threat<\/a><\/noindex>
\n Den kontinuerlige udvikling af cyberangreb kr\u00e6ver konstant opdagelse og modstand, hvilket i sidste ende f\u00f8rer os til tanken om et endel\u00f8st v\u00e5benkapl\u00f8b mellem angribere og forsvarere. Klassiske beskyttelsessystemer kan ikke l\u00e6ngere sikre et acceptabelt beskyttelsesniveau, hvor risikoniveauet ikke p\u00e5virker virksomhedens n\u00f8gletal (\u00f8konomiske, politiske, omd\u00f8mme) uden tilpasning af systemerne til den specifikke infrastruktur, men generelt set d\u00e6kker de en del af risiciene. Allerede under implementeringen og konfigurationen bliver moderne beskyttelsessystemer til en eftersl\u00e6bende akt\u00f8r og skal reagere p\u00e5 tidens udfordringer.<\/p>\n

\"ThreatKilde<\/noindex><\/p>\n

En af svarene p\u00e5 nutidens udfordringer for en informationssikkerhedsspecialist kan v\u00e6re Threat Hunting-teknologi. Begrebet Threat Hunting (herefter TH) dukkede op for nogle \u00e5r siden. Selve teknologien er ret interessant, men har endnu ikke nogen anerkendte standarder og regler. Derudover kompliceres situationen af en forskelligartet informationskilde og det lille antal russisk-sprogede kilder om dette emne. Derfor har vi i \u00ab\u041b\u0410\u041d\u0418\u0422-\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f\u00bb besluttet at skrive en slags oversigt over denne teknologi. <\/p>\n

Relevans<\/h2>\n

\nTH-teknologien bygger p\u00e5 processer til overv\u00e5gning af infrastrukturen. Der findes to hovedscenarier for intern overv\u00e5gning \u2013 Alerting og Hunting<\/a><\/noindex>. Alerting (MSSP type service) \u2013 a traditional method involving the search for previously developed signatures and signs of attacks and responding to them. This scenario is effectively executed by traditional signature-based protection tools. Hunting (MDR type service) \u2013 a monitoring method that answers the question, 'Where do signatures and rules come from?'. This is the process of creating correlation rules by analyzing hidden or previously unknown indicators and signs of attack. This type of monitoring is what Threat Hunting refers to.<\/p>\n

\"Threat
\nOnly by combining both types of monitoring can we achieve near-ideal protection, yet a certain level of residual risk always remains.<\/p>\n

\"ThreatProtection using two types of monitoring<\/i><\/p>\n

Here\u2019s why TH (and hunting as a whole!) will become increasingly relevant:<\/p>\n

\"ThreatThreats, protection measures, risks.<\/i> Kilde<\/a><\/noindex><\/p>\n

95% of all threats are already well understood<\/a><\/noindex>. These include types such as spam, DDoS, viruses, rootkits, and other classic malware. Protection against these threats can be achieved using conventional protective measures.<\/p>\n

In the course of any project 20% of the time is spent on 80% of the work<\/a><\/noindex>, while the remaining 20% of the work takes 80% of the time. Similarly, among the entire threat landscape, 5% of new type threats will constitute 70% of the risk for the company. In a company with established information security management processes, we can manage 30% of the risk from known threats in one way or another, avoiding (rejecting wireless networks altogether), accepting (implementing necessary protection measures), or transferring (for example, to the integrator) this risk. However, protecting against zero-day vulnerabilities<\/a><\/noindex>, APT attacks, phishing, supply chain attacks<\/a><\/noindex>, cyber espionage, and national operations, as well as a large number of other attacks, is significantly more complex. The consequences of these 5% of threats will be much more serious (the average loss for a bank from the buhtrap group is 143 million<\/a><\/noindex>), than the consequences of spam or viruses, which antivirus software protects against.<\/p>\n

Almost everyone encounters 5% of threats. Recently, we had to install an open-source solution that uses an application from the PEAR (PHP Extension and Application Repository) repository. The attempt to install this application via pear install was unsuccessful, as siden<\/a><\/noindex> var ikke tilg\u00e6ngelig (nu har den allerede en placeholder), s\u00e5 jeg var n\u00f8dt til at installere den fra GitHub. Og for nylig blev det klart, at PEAR er blevet et offer for angreb via forsyningsk\u00e6den<\/a><\/noindex>.<\/p>\n

\"Threat<\/p>\n

Man kan ogs\u00e5 huske angrebet ved hj\u00e6lp af CCleaner<\/a><\/noindex>, epidemien af ransomware NePetya gennem opdateringsmodulet til skatteindberetningsprogrammet M.E.Doc<\/a><\/noindex>. Truslerne bliver stadig mere sofistikerede, og et logisk sp\u00f8rgsm\u00e5l opst\u00e5r \u2013 \"Hvordan kan man egentlig modst\u00e5 disse 5% trusler?\"<\/p>\n

Definition af Threat Hunting<\/h2>\n

\nS\u00e5, Threat Hunting er en proces med proaktiv og iterativ s\u00f8gning og opdagelse af avancerede trusler, der ikke kan opdages af traditionelle beskyttelsesmidler. Avancerede trusler inkluderer for eksempel angreb som APT, angreb mod 0-day s\u00e5rbarheder, Living off the Land osv.<\/p>\n

Man kan ogs\u00e5 omformulere, at TH \u2013 det er en proces til at teste hypoteser. Det er hovedsageligt en manuel proces med elementer af automatisering, hvor analytikeren, baseret p\u00e5 sin viden og kvalifikationer, filtrerer store m\u00e6ngder information for at finde tegn p\u00e5 kompromittering, der stemmer overens med den oprindeligt definerede hypotese om tilstedev\u00e6relsen af en bestemt trussel. Dens fremtr\u00e6dende tr\u00e6k er mangfoldigheden af informationskilder.<\/p>\n

Det skal bem\u00e6rkes, at Threat Hunting ikke er et software- eller hardwareprodukt. Det er ikke alarmer, som man kan se i en l\u00f8sning. Det er ikke en proces til at s\u00f8ge efter IOC (indikatorer for kompromittering). Og det er ikke en passiv aktivitet, der foreg\u00e5r uden deltagelse af informationssikkerhedsanalyse. Threat Hunting er f\u00f8rst og fremmest en proces.<\/p>\n

Komponenter af Threat Hunting<\/h2>\n

\n\"Threat
\nTre grundl\u00e6ggende komponenter i Threat Hunting: data, teknologi, mennesker.<\/p>\n

Data (hvad?)<\/b>, herunder Big Data. Alle mulige trafikstr\u00f8mme, information om tidligere gennemf\u00f8rte APT, analyser, data om brugeraktivitet, netv\u00e6rksdata, information fra ansatte, information p\u00e5 dark web og meget mere.<\/p>\n

Teknologi (hvordan?)<\/b> behandling af disse data \u2013 alle mulige metoder til at behandle disse data, herunder Machine Learning.<\/p>\n

Mennesker (hvem?)<\/b> De, der har stor erfaring med at analysere forskellige angreb, har en udviklet intuition og evnen til at opdage angreb. Dette er typisk informationssikkerhedsanalytikere, der skal have evnen til at generere hypoteser og finde bekr\u00e6ftelse for dem. De er den centrale del af processen.<\/p>\n

PARIS-modellen<\/h2>\n

\nAdam Bateman beskriver<\/a><\/noindex> PARIS-modellen for den ideelle TH-proces. Navnet henviser til en ber\u00f8mt sev\u00e6rdighed i Frankrig. Denne model kan ses fra to perspektiver \u2013 oppefra og nedefra.<\/p>\n

I trusseljagtsprocessen, n\u00e5r vi bev\u00e6ger os op fra bunden, vil vi komme i kontakt med mange beviser for ondsindet aktivitet. Hvert bevis har en vis grad af tillid \u2013 en karakteristik, der afspejler v\u00e6gten af dette bevis. Der er \"jernfaste\", direkte beviser p\u00e5 ondsindet aktivitet, som straks kan f\u00f8re os til toppen af pyramiden og skabe en faktisk advarsel om en pr\u00e6cist identificeret infektion. Og der er indirekte beviser, hvis samlede v\u00e6gt ogs\u00e5 kan f\u00f8re os til toppen af pyramiden. Som altid er der meget flere indirekte beviser end direkte, hvilket betyder, at de skal sorteres og analyseres, og der skal udf\u00f8res yderligere unders\u00f8gelser, hvilket helst skal automatiseres.<\/p>\n

\"ThreatPARIS-modellen.<\/i> Kilde<\/a><\/noindex><\/p>\n

Den \u00f8verste del af modellen (1 og 2) er baseret p\u00e5 automatiseringsteknologier og forskellige analytiske metoder, mens den nederste del (3 og 4) er baseret p\u00e5 mennesker med specifikke kvalifikationer, der styrer processen. Man kan betragte modellen som en top-ned tilgang, hvor i den bl\u00e5 \u00f8verste del har vi advarsler fra traditionelle beskyttelsesmidler (antivirus, EDR, firewall, signaturer) med en h\u00f8j grad af tillid og sikkerhed, mens nedenunder er indikatorer (IOC, URL, MD5 og andre), som har en lavere grad af tillid og kr\u00e6ver yderligere unders\u00f8gelse. Det nederste og tykkeste niveau (4) handler om generering af hypoteser og skabelse af nye scenarier for hvordan traditionelle sikkerhedsforanstaltninger fungerer. Dette niveau er ikke kun begr\u00e6nset til de n\u00e6vnte kilder til hypoteser. Jo lavere niveauet er, jo st\u00f8rre krav stilles der til analytikerens kvalifikationer.<\/p>\n

Det er meget vigtigt, at analytikerne ikke blot tjekker en endelig samling af foruddefinerede hypoteser, men konstant arbejder p\u00e5 at generere nye hypoteser og testvarianter.<\/p>\n

Brugsmodellen for brug af TH<\/h2>\n

\nI en ideel verden er TH en kontinuerlig proces. Men da der ikke findes en ideel verden, lad os analysere brugsmodellen<\/a><\/noindex> og metoderne i forhold til mennesker, processer og anvendte teknologier. Lad os overveje modellen for det ideelle, sf\u00e6riske TH. Der er 5 niveauer for brugen af denne teknologi. Vi vil se p\u00e5 dem gennem evolutionen af et enkelt analytikerteam.<\/p>\n

Modenhedsniveauer<\/b>
\nMennesker<\/b>
\nProcesser<\/b>
\nTeknologier<\/b><\/p>\n

Niveau 0<\/b>
\nSOC-analytiikere
\n24\/7
\nTraditionelle v\u00e6rkt\u00f8jer:<\/p>\n

Traditionel
\nS\u00e6t af alarmer
\nPassiv overv\u00e5gning
\nIDS, AV, sandkasser,<\/p>\n

Uden TH<\/i>
\nH\u00e5ndtering af alarmer<\/p>\n

v\u00e6rkt\u00f8jer til signaturanalyse, data fra trussel-intelligens.<\/p>\n

Niveau 1<\/b>
\nSOC-analytiikere
\nEngangs TH
\nEDR<\/p>\n

Eksperimentel
\nGrundl\u00e6ggende kendskab til retsmedicin
\nS\u00f8gning efter IOC
\nDelvis d\u00e6kning af data fra netv\u00e6rksenheder<\/p>\n

Eksperimenter med TH<\/i>
\nGodt kendskab til netv\u00e6rk og applikationsdelen<\/p>\n

Delvis anvendelse<\/p>\n

Niveau 2<\/b>
\nMidlertidig aktivitet
\nSprints
\nEDR<\/p>\n

Periodisk
\nGennemsnitligt kendskab til retsmedicin
\nUge om m\u00e5neden
\nFuld anvendelse<\/p>\n

Midlertidig TH<\/i>
\nFremragende kendskab til netv\u00e6rk og applikationsdelen
\nRegelm\u00e6ssig TH
\nFuld automatisering af brugen af EDR-data<\/p>\n

Delvis udnyttelse af avancerede muligheder i EDR<\/p>\n

Niveau 3<\/b>
\nDedikeret TH-team
\n24\/7
\nDelvis evne til at teste TH-hypoteser<\/p>\n

Pr\u00e6ventiv
\nFremragende kendskab til retsmedicin og malware
\nPr\u00e6ventiv TH
\nFuld udnyttelse af avancerede muligheder i EDR<\/p>\n

Specifikke tilf\u00e6lde af TH<\/i>
\nFremragende kendskab til angriberens side
\nSpecifikke tilf\u00e6lde af TH
\nFuldt datad\u00e6kning fra netv\u00e6rksenheder<\/p>\n

Konfiguration efter behov<\/p>\n

Niveau 4<\/b>
\nDedikeret TH-team
\n24\/7
\nFuld evne til at teste TH-hypoteser<\/p>\n

F\u00f8rende
\nFremragende kendskab til retsmedicin og malware
\nPr\u00e6ventiv TH
\nNiveau 3 plus:<\/p>\n

Brug af TH<\/i>
\nFremragende kendskab til angriberens side
\nTest, automatisering og validering af TH-hypoteser
\nt\u00e6t integration af datakilder;<\/p>\n

Evne til forskning<\/p>\n

udvikling efter behov og specialiseret brug af API.<\/p>\n

Modenhedsniveauer for TH i forhold til mennesker, processer og teknologier<\/i><\/p>\n

Niveau 0:<\/b> traditionel, uden brug af TH. Almindelige analytikere arbejder med et standard s\u00e6t alarmer i passiv overv\u00e5gning ved hj\u00e6lp af standardv\u00e6rkt\u00f8jer og teknologier: IDS, AV, sandkasser, v\u00e6rkt\u00f8jer til signaturanalyse.<\/p>\n

Niveau 1:<\/b> eksperimentel, ved brug af TH. De samme analytikere med grundl\u00e6ggende viden inden for forensik og et godt kendskab til netv\u00e6rk og anvendt del kan udf\u00f8re engangs Threat Hunting ved at s\u00f8ge efter indikatorer for kompromittering. V\u00e6rkt\u00f8jerne inkluderer EDR med delvis d\u00e6kning af data fra netv\u00e6rksenheder. V\u00e6rkt\u00f8jerne anvendes delvist.<\/p>\n

Niveau 2:<\/b> periodisk, midlertidig TH. De samme analytikere, der allerede har forbedret deres viden om forensics, netv\u00e6rk og anvendt teknik, p\u00e5l\u00e6gges at deltage regelm\u00e6ssigt (sprint) i Threat Hunting, lad os sige, en uge om m\u00e5neden. Til v\u00e6rkt\u00f8jerne tilf\u00f8jes en fuld unders\u00f8gelse af data fra netv\u00e6rksenheder, automatisering af dataanalyse fra EDR og delvist udnyttelse af de udvidede funktioner i EDR.<\/p>\n

Niveau 3:<\/b> pr\u00e6ventiv, hyppige tilf\u00e6lde af TH. Vore analytikere har organiseret sig i et dedikeret team, har f\u00e5et fremragende viden inden for forensik og malware, samt viden om metoder og taktikker anvendt af angriberen. Processen udf\u00f8res allerede i d\u00f8gnet rundt, syv dage om ugen. Teamet er i stand til delvist at teste TH-hypoteser ved fuldt ud at udnytte de udvidede muligheder i EDR med fuld d\u00e6kning af data fra netv\u00e6rksenheder. Analytikerne kan desuden konfigurere v\u00e6rkt\u00f8jerne efter deres behov.<\/p>\n

Niveau 4:<\/b> ledende, anvendelse af TH. Det samme team har opn\u00e5et evnen til forskning, ved at generere og automatisere processevalueringen af TH-hypoteser. Nu er v\u00e6rkt\u00f8jerne blevet udvidet med t\u00e6t integration af datakilder, udvikling af software til behov og ikke-standard anvendelse af API.<\/p>\n

Techniques for Threat Hunting<\/h2>\n

\n\"ThreatGrundl\u00e6ggende teknikker for Threat Hunting<\/i><\/p>\n

Til teknikker<\/a><\/noindex> TH i r\u00e6kkef\u00f8lge efter modenhed af den anvendte teknologi h\u00f8rer: grundl\u00e6ggende s\u00f8gning, statistisk analyse, visualiseringsteknikker, enkle aggregeringer, maskinl\u00e6ring og bayesianske metoder. <\/p>\n

Den simpleste metode er grundl\u00e6ggende s\u00f8gning, som bruges til at indsn\u00e6vre forskningsomr\u00e5det ved hj\u00e6lp af bestemte foresp\u00f8rgsler. Statistisk analyse anvendes for eksempel til at opbygge typisk bruger- eller netv\u00e6rksaktivitet i form af en statistisk model. Visualiseringsteknikker bruges til at pr\u00e6sentere og forenkle dataanalyse i form af grafer og diagrammer, hvor m\u00f8nstre i stikpr\u00f8ven nemmere kan opfattes. Enkelte aggregeringsteknikker baseret p\u00e5 centrale felter bruges til at optimere s\u00f8gning og analyse. Jo h\u00f8jere modenhed organisationens TH-proces opn\u00e5r, desto mere relevant bliver brugen af maskinl\u00e6ringsalgoritmer. Disse anvendes ogs\u00e5 bredt til blandt andet spamfiltrering, opdagelse af ondsindet trafik og detektion af svigagtige handlinger. En mere avanceret type maskinl\u00e6ringsalgoritmer er Bayes' metoder, der muligg\u00f8r klassifikation, dimension reduktion af stikpr\u00f8ven og emnemodellering.<\/p>\n

Diamantmodellen og TH-strategier<\/h2>\n

\nSergio Caltagirone, Andrew Pendergast og Christopher Betz viser i deres arbejde \"The Diamond Model of Intrusion Analysis<\/a><\/noindex>de vigtigste n\u00f8glekomponenter i enhver ondsindet aktivitet og den grundl\u00e6ggende forbindelse mellem dem.<\/p>\n

\"ThreatDiamantmodellen for ondsindet aktivitet<\/i><\/p>\n

I henhold til denne model er der 4 strategier for Threat Hunting, som bygger p\u00e5 de tilsvarende n\u00f8glekomponenter.<\/p>\n

1. Offerorienteret strategi. Vi antager, at tilbuddet har modstandere, og de vil levere \"muligheder\" via e-mail. Vi s\u00f8ger efter fjendens data i e-mail. Vi leder efter links, vedh\u00e6ftede filer osv. Vi s\u00f8ger bekr\u00e6ftelse p\u00e5 denne hypotese i en bestemt periode (en m\u00e5ned, to uger); hvis ikke, s\u00e5 har hypotesen ikke holdt stik.<\/p>\n

2. Infrastrukturorienteret strategi. Der er flere metoder til at bruge denne strategi. Afh\u00e6ngigt af adgang og synlighed er nogle af dem lettere end andre. For eksempel overv\u00e5ger vi dom\u00e6nenavne, der er kendt for at v\u00e6re v\u00e6rt for ondsindede dom\u00e6ner. Eller vi f\u00f8lger processen for at registrere alle nye dom\u00e6nenavne for at tjekke for kendte m\u00f8nstre, der anvendes af modstanderen.<\/p>\n

3. Mulighedsorienteret strategi. Udover den offreorienterede strategi, der bruges af de fleste netv\u00e6rksbeskyttere, findes der en mulighedsorienteret strategi. Denne er den n\u00e6stmest popul\u00e6re og fokuserer p\u00e5 at opdage muligheder fra modstanderen, nemlig 'malware' og muligheden for, at modstanderen anvender legitime v\u00e6rkt\u00f8jer som psexec, powershell, certutil og andre.<\/p>\n

4. Modstanderorienteret strategi. Den modstanderorienterede tilgang fokuserer p\u00e5 selve modstanderen. Dette inkluderer brugen af offentlig information fra tilg\u00e6ngelige kilder (OSINT), indsamling af data om modstanderen, dens teknikker og metoder (TTP), analyse af tidligere h\u00e6ndelser, Threat Intelligence data mv.<\/p>\n

Informationskilder og hypoteser i TH<\/h2>\n

\n\"ThreatNogle informationskilder til Threat Hunting<\/i><\/p>\n

Der kan v\u00e6re mange informationskilder. Den ideelle analytiker skal kunne udvinde information fra alt, hvad der findes omkring dem. Typiske kilder i n\u00e6sten enhver infrastruktur vil v\u00e6re data fra beskyttelsesmidler: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Desuden vil forskellige indikationer p\u00e5 kompromittering, Threat Intelligence tjenester, CERT data og OSINT ogs\u00e5 fungere som typiske informationskilder. Yderligere kan man anvende information fra m\u00f8rket (for eksempel, hvis der pludselig er en ordre p\u00e5 at hacke en direkt\u00f8rs e-mailkonto, eller hvis en kandidat til en netv\u00e6rksingeni\u00f8rstilling har v\u00e6ret aktiv i s\u00e5danne fora), information indhentet fra HR (anmeldelser om kandidaten fra tidligere arbejdspladser), information fra sikkerhedstjenester (for eksempel resultaterne af en due diligence kontrol).<\/p>\n

Men f\u00f8r du bruger alle tilg\u00e6ngelige kilder, er det n\u00f8dvendigt at have mindst \u00e9n hypotese.<\/p>\n

\"ThreatKilde<\/a><\/noindex><\/p>\n

For at teste hypoteser skal de f\u00f8rst frems\u00e6ttes. Og for at kunne frems\u00e6tte mange kvalificerede hypoteser er det n\u00f8dvendigt at anvende en systematisk tilgang. Processen for hypotesegenerering er n\u00e6rmere beskrevet i artikel<\/a><\/noindex>, det er meget praktisk at tage dette diagram som udgangspunkt for hypotesefrems\u00e6ttelse.<\/p>\n

Den prim\u00e6re kilde til hypoteser vil v\u00e6re ATT&CK-matrixen<\/b> (Adversarial Tactics, Techniques and Common Knowledge). Den er i bund og grund en vidensbank og en model til vurdering af adf\u00e6rd hos angribere, der udf\u00f8rer deres aktiviteter p\u00e5 de sidste skridt af et angreb, ofte beskrevet ved hj\u00e6lp af begrebet Kill Chain. Dvs. p\u00e5 de faser, der f\u00f8lger efter, at angriberen er kommet ind i en virksomheders interne netv\u00e6rk eller p\u00e5 en mobil enhed. Oprindeligt indholdt vidensbasen en beskrivelse af 121 taktikker og teknikker, der bruges ved angreb, hver enkelt beskrevet detaljeret i Wiki-format. En god kilde til generering af hypoteser er forskelligartet Threat Intelligence-analyse. S\u00e6rligt v\u00e6rdifulde er resultaterne fra infrastruktur-analyser og penetrationstest \u2013 da disse giver os solide hypoteser, idet de baseres p\u00e5 en specifik infrastruktur med dens specifikke svagheder.<\/p>\n

Hypotese-kontrolprocessen<\/h2>\n

\nSergey Soldatov pr\u00e6senterede et godt diagram<\/a><\/noindex> med en detaljeret beskrivelse af processen, som illustrerer hypotese-kontrolprocessen i et givent system. Jeg vil angive de vigtigste faser med en kort beskrivelse.<\/p>\n

\"ThreatKilde<\/a><\/noindex> <\/p>\n

Fase 1: TI Farm<\/b><\/p>\n

I denne fase er det n\u00f8dvendigt at udpege objekter<\/b> (ved at analysere dem sammen med al trusselsdata) med tildeling af etiketter til deres egenskaber. Dette kan v\u00e6re en fil, URL, MD5, proces, v\u00e6rkt\u00f8j, begivenhed. Ved at k\u00f8re dem gennem Threat Intelligence-systemer er det n\u00f8dvendigt at tilf\u00f8je etiketter. Dvs. denne side blev observeret i CNC det \u00e5r, denne MD5 var relateret til en bestemt malware, denne MD5 blev downloadet fra en side, der distribuerede malware.<\/p>\n

Fase 2: Sager<\/b><\/p>\n

I den anden fase ser vi p\u00e5 interaktionen mellem disse objekter og identificerer forbindelserne mellem alle disse objekter. Vi f\u00e5r markerede systemer, der laver noget skidt.<\/p>\n

Fase 3: Analytiker<\/b><\/p>\n

I den tredje fase overg\u00e5r sagen til en erfaren analytiker med omfattende analyseerfaring, som afgiver dom. Han analyserer ned til byte, hvad, hvorfra, hvordan, hvorfor og hvad denne kode g\u00f8r. Dette objekt var ondsindet, denne computer var inficeret. Han afsl\u00f8rer forbindelserne mellem objekterne og kontrollerer resultaterne fra k\u00f8rsel i sandkassen.<\/p>\n

Resultaterne fra analytikeren videregives. Digital Forensics unders\u00f8ger billeder, Malware Analysis unders\u00f8ger de fundne 'kroppe', og Incident Response-teamet kan rykke ud til stedet og unders\u00f8ge noget der. Resultatet vil v\u00e6re en bekr\u00e6ftet hypotese, en identificeret angreb og metoder til at modvirke det.<\/p>\n

\"ThreatKilde<\/a><\/noindex>
\n \u00a0<\/p>\n

Resum\u00e9<\/h2>\n

\nThreat Hunting er en relativt ny teknologi, der effektivt kan modst\u00e5 skr\u00e6ddersyede, nye og atypiske trusler, som har store perspektiver i betragtning af den stigende m\u00e6ngde trusler og kompleksiteten i virksomhedens infrastruktur. Den kr\u00e6ver tre komponenter \u2013 data, v\u00e6rkt\u00f8jer og analytikere. Fordelen ved Threat Hunting begr\u00e6nser sig ikke til at forsinke trusselens realisering. Det er vigtigt at huske, at vi i s\u00f8geprocessen dykker ned i vores infrastruktur og dens svage punkter med en sikkerhedsanalytiker-specialists \u00f8jne, og vi kan yderligere styrke disse punkter.<\/p>\n

De f\u00f8rste skridt, som vi mener, b\u00f8r tages for at starte TH-processen i din organisation.<\/p>\n

    \n
  1. S\u00f8rg for at beskytte slutpunkter og netv\u00e6rksinfrastrukturen. S\u00f8rg for synlighed (NetFlow) og kontrol (firewall, IDS, IPS, DLP) af alle processer i dit netv\u00e6rk. Kend dit netv\u00e6rk fra gr\u00e6nsesrouteren til den allersidste v\u00e6rt.<\/li>\n
  2. Studer MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Udf\u00f8r regelm\u00e6ssige pentests af i det mindste de vigtigste eksterne ressourcer, analyser resultaterne, identificer hovedm\u00e5lene for angrebet og luk s\u00e5rbarhederne.<\/li>\n
  4. Implementer et Threat Intelligence-system med open source (for eksempel MISP, Yeti) og udf\u00f8r loganalyse sammen med det.<\/li>\n
  5. Implementer en platform til incident response (IRP): R-Vision IRP, The Hive, en sandbox til analyse af mist\u00e6nkelige filer (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatiser rutineprocesser. Loganalyse, oprettelse af h\u00e6ndelser, information til personale \u2013 der er et stort potentiale for automatisering.<\/li>\n
  7. L\u00e6r at interagere effektivt med ingeni\u00f8rer, udviklere og teknisk support for at samarbejde om h\u00e6ndelser.<\/li>\n
  8. Dokumenter hele processen, n\u00f8glepunkter, opn\u00e5ede resultater, s\u00e5 du kan vende tilbage til dem senere eller dele disse data med kolleger.<\/li>\n
  9. Husk den sociale side: v\u00e6r opm\u00e6rksom p\u00e5, hvad der sker med dine medarbejdere, hvem du ans\u00e6tter, og hvem du giver adgang til organisationens informationsressourcer.<\/li>\n
  10. V\u00e6r opm\u00e6rksom p\u00e5 tendenser inden for nye trusler og beskyttelsesmetoder, forbedre dit tekniske f\u00e6rdigheder (herunder anvendelse af IT-tjenester og systemer), deltage i konferencer og netv\u00e6rke med kolleger.<\/li>\n<\/ol>\n

    \nEr klar til at diskutere organiseringen af TH-processen i kommentarerne.<\/p>\n

    Eller kom og arbejd hos os!<\/b><\/p>\n