{"id":96242,"date":"2020-10-09T19:42:33","date_gmt":"2020-10-09T17:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza"},"modified":"2020-10-09T19:42:33","modified_gmt":"2020-10-09T17:42:33","slug":"dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","title":{"rendered":"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT \"p\u00e5 krogen\"","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>(tak til Sergey G. Brester for id\u00e9en til overskriften <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/users\/sebres\/\" class=\"user_link\">sebres<\/a><\/noindex>)<\/p>\n<p>Kollegaer, form\u00e5let med denne artikel er at dele erfaringerne fra et \u00e5rs testdrift af en ny klasse IDS-l\u00f8sninger baseret p\u00e5 Deception-teknologier. <\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/f641b6735cf846d12a0081c7709662e7.png\" style=\"display:block;margin: 0 auto;\" \/><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<p>For at bevare den logiske sammenh\u00e6ng i materialet mener jeg, det er n\u00f8dvendigt at starte med foruds\u00e6tningerne. S\u00e5 problematikken:<\/p>\n<ol>\n<li>Rettede angreb er den mest farlige type angreb, selvom deres andel i det samlede antal trusler er relativt lille. <\/li>\n<li>Der er endnu ikke opfundet noget garanteret effektivt middel til perimeterbeskyttelse (eller en r\u00e6kke s\u00e5danne midler). <\/li>\n<li>Som regel foreg\u00e5r rettede angreb i flere faser. At overkomme perimteren er kun en af de indledende faser, der (I m\u00e5 gerne kaste mig med sten) i virkeligheden ikke p\u00e5f\u00f8rer \"offeret\" stor skade, medmindre det selvf\u00f8lgelig er DEoS (Destruction of service) angreb (ransomware osv.). F\u00f8rst n\u00e5r de fangede aktiver begynder at blive brugt til pivotering og videreudvikling af angrebet \"i dybden\", bliver det virkelig \"smertefuldt\", og vi l\u00e6gger ikke m\u00e6rke til det. <\/li>\n<li>Da vi f\u00f8rst begynder at lide reelle tab, n\u00e5r angriberne faktisk n\u00e5r angrebsm\u00e5lene (applikationsservere, databaseh\u00e5ndteringssystemer, datalagre, repositories, elementer af kritisk infrastruktur), er det logisk, at en af opgaverne for informationssikkerhedsafdelingen er at afbryde angrebene inden denne triste h\u00e6ndelse. Men for at afbryde noget, skal man f\u00f8rst vide om det. Jo tidligere \u2013 jo bedre. <\/li>\n<li>Derfor er det kritisk for effektiv risikostyring (dvs. reduktion af skader fra rettede angreb) at have v\u00e6rkt\u00f8jer, der sikrer minimal TTD (time to detect \u2013 tiden fra indbrud til opdagelse af angrebet). Afh\u00e6ngigt af branche og region er denne periode i gennemsnit 99 dage i USA, 106 dage i EMEA-regionen, 172 dage i APAC-regionen (M-Trends 2017, A View From the Front Lines, Mandiant). <\/li>\n<li>Hvad tilbyder markedet?\n<ul>\n<li>\"Sandkasser\". Endnu en forebyggende kontrol, der er langt fra ideel. Der er mange effektive teknikker til at opdage og omg\u00e5 sandkasser eller whitelisting-l\u00f8sninger. Drengene fra \"den m\u00f8rke side\" er her stadig et skridt foran. \n<\/li>\n<li>UEBA (brugeradf\u00e6rdsprofilering og anomali-detektion) kan i teorien v\u00e6re meget effektivt. Men efter min mening er det noget, der ligger langt ude i fremtiden. I praksis er det stadig meget dyrt, usikkert og kr\u00e6ver en meget moden og stabil IT- og informationssikkerhedsinfrastruktur, hvor alle de n\u00f8dvendige v\u00e6rkt\u00f8jer allerede eksisterer for at generere data til adf\u00e6rdsanalyse.\n<\/li>\n<li>SIEM er et godt v\u00e6rkt\u00f8j til efterforskninger, men det kan ikke se eller vise nye, originale ting i tide, fordi korrelationsreglerne i bund og grund er de samme signaturer. <\/li>\n<\/ul>\n<p>\n <\/li>\n<li>Som f\u00f8lge heraf er der et behov for et s\u00e5dant v\u00e6rkt\u00f8j, der:\n<ul>\n<li>arbejder effektivt under betingelser med allerede kompromitteret perimeter,\n<\/li>\n<li>opdager succesfulde angreb n\u00e6sten i realtid uanset det anvendte v\u00e6rkt\u00f8j og de s\u00e5rbarheder, der benyttes,<\/li>\n<li>ikke er afh\u00e6ngig af signaturer\/regler\/scenarier\/politikker\/profiler og andre statiske elementer,<\/li>\n<li>ikke kr\u00e6ver store datam\u00e6ngder og deres kilder til analyse,<\/li>\n<li>g\u00f8r det muligt at identificere angreb ikke som en form for risikovurdering som f\u00f8lge af 'verdens bedste, patenterede og derfor lukkede matematik', som kr\u00e6ver yderligere unders\u00f8gelse, men n\u00e6sten som en bin\u00e6r h\u00e6ndelse \u2013 'Ja, vi bliver angrebet' eller 'Nej, alt er OK',<\/li>\n<li>er universelt, effektivt skalerbart, og faktisk kan implementeres i enhver heterogen milj\u00f8, uanset den fysiske og logiske netv\u00e6rks topologi, der anvendes.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>\nDe s\u00e5kaldte deception-l\u00f8sninger anses nu for at v\u00e6re det v\u00e6rkt\u00f8j. Det vil sige l\u00f8sninger, der er baseret p\u00e5 den velkendte honeypot-koncept, men med et helt andet implementeringsniveau. Dette emne er uden tvivl i v\u00e6kst lige nu.<\/p>\n<p>I f\u00f8lge resultaterne <noindex><a rel=\"nofollow\" href=\"https:\/\/www.gartner.com\/newsroom\/id\/3744917\">Gartner Security &amp; Risk Management Summit 2017<\/a><\/noindex> Deception-l\u00f8sninger er blandt de tre bedste strategier og v\u00e6rkt\u00f8jer, der anbefales at anvende. <\/p>\n<p>If\u00f8lge rapporten <noindex><a rel=\"nofollow\" href=\"https:\/\/www.tag-cyber.com\/Annual\/2017\/\">TAG Cybersecurity Annual 2017<\/a><\/noindex> Deception er et af de centrale udviklingsomr\u00e5der for IDS (Intrusion Detection Systems) l\u00f8sninger.<\/p>\n<p>Hele sektionen i den seneste <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/security-reports.html\">rapport fra Cisco om IT-sikkerhed<\/a><\/noindex>, der er dedikeret til SCADA, er baseret p\u00e5 data fra en af de f\u00f8rende p\u00e5 dette marked, TrapX Security (Israel), hvis l\u00f8sning allerede har fungeret i vores testzone i et \u00e5r. <\/p>\n<p>TrapX Deception Grid g\u00f8r det muligt at opbygge og vedligeholde omfattende distribuerede IDS systemer centralt, uden at \u00f8ge licensbyrden og kravene til hardware ressourcer. Faktisk fungerer TrapX som en bygges\u00e6t, der g\u00f8r det muligt at skabe et stort angrebsopdagelsessystem ud fra elementer i den eksisterende IT-infrastruktur, en slags distribueret netv\u00e6rkssignalering. <\/p>\n<h3>Struktur af L\u00f8sningen<\/h3>\n<p>\nI vores laboratorium unders\u00f8ger og tester vi l\u00f8bende forskellige nyheder inden for IT-sikkerhed. I \u00f8jeblikket er der omkring 50 forskellige virtuelle servere, herunder komponenter fra TrapX Deception Grid.<\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/9c9c21101020c1005edc938a3a7ca393.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nS\u00e5, fra toppen og ned:<\/p>\n<ol>\n<li>TSOC (TrapX Security Operation Console) \u2013 systemets hjerne. Dette er den centrale kontrolkonsol, hvormed konfiguration, implementering af l\u00f8sningen og al daglig drift udf\u00f8res. Da dette er en webtjeneste, kan den implementeres hvor som helst \u2013 i perimeteren, i skyen eller hos en MSSP-udbyder. <\/li>\n<li>TrapX Appliance (TSA) \u2013 en virtuel server, hvor vi via trunk-porten tilslutter de netv\u00e6rkssegmenter, vi \u00f8nsker at overv\u00e5ge. Her leverer vi faktisk alle vores netv\u00e6rkssensorer.\n<p>I vores laboratorium er der implementeret \u00e9n TSA (mwsapp1), men der kan faktisk v\u00e6re mange. Dette kan v\u00e6re n\u00f8dvendigt i store netv\u00e6rk, hvor der ikke er L2-kontakt mellem segmenter (et typisk eksempel er 'Holding og datterselskaber' eller 'Hovedkontor og filialer i en bank') eller hvis der er isolerede segmenter i netv\u00e6rket, f.eks. SCADA-systemer. I hver s\u00e5dan filial\/segment kan man implementere sin egen TSA og tilslutte den til en central TSOC, hvor al information vil blive behandlet centralt. Denne arkitektur muligg\u00f8r opbygningen af distribuerede overv\u00e5gningssystemer uden behov for en radikal omstrukturering af netv\u00e6rket eller forstyrrelse af den eksisterende segmentering.<\/p>\n<p>Desuden kan vi p\u00e5 TSA sende en kopi af udg\u00e5ende trafik via TAP\/SPAN. I tilf\u00e6lde af opdagelse af forbindelser til kendte botnet, kommandocentre, TOR-sessioner, vil vi ogs\u00e5 f\u00e5 resultaterne i konsollen. Dette h\u00e5ndteres af Network Intelligence Sensor (NIS). I vores milj\u00f8 er denne funktionalitet implementeret p\u00e5 firewallen, s\u00e5 vi har ikke brugt den her. <\/li>\n<li>Applikationstraps (Fulde OS) \u2013 traditionelle honeypots baseret p\u00e5 Windows-servere. Der er ikke behov for mange, da den prim\u00e6re opgave for disse servere er at levere IT-tjenester til det n\u00e6ste niveau af sensorer eller at identificere angreb p\u00e5 forretningsapplikationer, der kan implementeres i et Windows-milj\u00f8. I vores laboratorium har vi opsat en s\u00e5dan server (FOS01)\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/8de44215efff4a49f3b773da10185a73.png\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<li>Emulerede traps \u2013 den prim\u00e6re komponent i l\u00f8sningen, som g\u00f8r det muligt for os at skabe et meget t\u00e6t \"minefelt\" for angribere ved hj\u00e6lp af en enkelt virtuel maskine og fylde virksomhedens netv\u00e6rk, alle dens VLAN'er, med vores sensorer. Angriberen ser en s\u00e5dan sensor, eller en phantom host, som en \u00e6gte Windows-PC eller server, Linux-server eller en anden enhed, som vi v\u00e6lger at vise ham.\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/306c21046c5baadd591b66cdfe153ec2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nFor nyttes skyld og nysgerrighedens skyld har vi rullet ud \"to af hver art\" \u2013 Windows-PC'er og servere fra forskellige versioner, Linux-servere, en bankautomat med Windows embedded, SWIFT Web Access, en netv\u00e6rksprinter, Cisco-switch, IP-kamera fra Axis, en MacBook, PLC-enhed og endda en smart p\u00e6re. I alt \u2013 13 v\u00e6rter. Generelt anbefaler leverand\u00f8ren at implementere s\u00e5danne sensorer i et minimum p\u00e5 10% af det faktiske antal v\u00e6rter. Den \u00f8verste gr\u00e6nse er det tilg\u00e6ngelige adresseomr\u00e5de. <\/p>\n<p>Et meget vigtigt punkt er, at hver s\u00e5dan v\u00e6rt ikke er en fuldgyldig virtuel maskine, der kr\u00e6ver ressourcer og licenser. Det er en \"bedrag\", en emulering, en enkelt proces p\u00e5 TSA, som har et s\u00e6t parametre og en IP-adresse. Derfor kan vi med blot \u00e9n TSA m\u00e6tte netv\u00e6rket med hundredvis af s\u00e5danne phantom hosts, der vil fungere som sensorer i alarmsystemet. Netop denne teknologi muligg\u00f8r en omkostningseffektiv skalering af \"honeypot\"-konceptet p\u00e5 tv\u00e6rs af enhver stor distribueret virksomhed. <\/p>\n<p>Disse v\u00e6rter er set fra angriberens side attraktive, da de indeholder s\u00e5rbarheder og fremst\u00e5r som relativt lette m\u00e5l. Angriberen ser tjenester p\u00e5 disse v\u00e6rter og kan interagere med dem, angribe dem ved at bruge standardv\u00e6rkt\u00f8jer og protokoller (smb\/wmi\/ssh\/telnet\/web\/dnp\/bonjour\/Modbus osv.). Men det er umuligt at bruge disse v\u00e6rter til at udvikle angreb eller k\u00f8re sin egen kode.\n<\/li>\n<li>Kombinationen af disse to teknologier (FullOS og emulerede f\u00e6lder) g\u00f8r det muligt at opn\u00e5 en h\u00f8j statistisk sandsynlighed for, at en angriber f\u00f8r eller senere vil st\u00f8de p\u00e5 et element i vores signalnetv\u00e6rk. Men hvordan sikrer vi, at denne sandsynlighed n\u00e6rmer sig 100%?\n<p>S\u00e5kaldte tokens (Deception tokens) tr\u00e6der i kraft. Takket v\u00e6re dem kan vi inkludere alle tilg\u00e6ngelige PC'er og servere i vores distribuerede IDS. Tokens placeres p\u00e5 brugernes reelle PC'er. Det er vigtigt at forst\u00e5, at tokens ikke er agenter, der forbruger ressourcer og kan for\u00e5rsage konflikter. Tokens er passive informationsenheder, en slags 'br\u00f8dkrummer' for angriberen, som leder dem i en f\u00e6lde. For eksempel tilsluttede netv\u00e6rksdrev, bogm\u00e6rker til falske webadministrationer i browseren og gemte adgangskoder til dem, gemte ssh\/rdp\/winscp sessioner, vores f\u00e6lder med kommentarer i hosts-filer, gemte adgangskoder i hukommelsen, legitimationsoplysninger for ikke-eksisterende brugere, kontor filer, hvis \u00e5bning vil aktivere systemet, og meget mere. Dermed placerer vi angriberen i et forvr\u00e6nget milj\u00f8 fyldt med de angrebsvektorer, som faktisk ikke udg\u00f8r en trussel for os, men derimod tv\u00e6rtimod. Og han har ikke mulighed for at afg\u00f8re, hvor den sande information er, og hvor den falske er. Dermed sikrer vi ikke kun hurtig identifikation af angreb, men ogs\u00e5 v\u00e6sentligt s\u00e6nker deres forl\u00f8b. <\/li>\n<\/ol>\n<p>\n<img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/812409dca0c8bc991c7e9812f16d77cf.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Eksempel p\u00e5 oprettelse af et netv\u00e6rksf\u00e6lde og ops\u00e6tning af tokens. Venlig gr\u00e6nseflade og ingen manuel redigering af konfigurationer, scripts osv.<\/i><\/p>\n<p>I vores milj\u00f8 har vi konfigureret og placeret en r\u00e6kke s\u00e5danne tokens p\u00e5 FOS01, der k\u00f8rer Windows Server 2012R2, og p\u00e5 en test-PC med Windows 7. P\u00e5 disse maskiner k\u00f8rer RDP, og vi 'oph\u00e6nger' dem periodisk i DMZ, hvor ogs\u00e5 en r\u00e6kke af vores sensorer (emulerede f\u00e6lder) er placeret. Dermed f\u00e5r vi et konstant flow af h\u00e6ndelser, s\u00e5 at sige p\u00e5 en naturlig m\u00e5de. <\/p>\n<p>S\u00e5 her er en kort statistik for \u00e5ret:<\/p>\n<p>56.208 \u2013 h\u00e6ndelser registreret,<br \/>\n2.912 \u2013 angrebskilder opdager. <\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/0b2404084a997ba5fe4ad33303501612.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Interaktivt, klikbart angrebskort<\/i><\/p>\n<p>Dette solution genererer ikke et k\u00e6mpe log eller en h\u00e6ndelsesstr\u00f8m, som man skal bruge lang tid p\u00e5 at forst\u00e5. I stedet klassificerer l\u00f8sningen selv begivenhederne efter deres typer og giver sikkerhedsteamet mulighed for at fokusere prim\u00e6rt p\u00e5 de mest farlige \u2013 n\u00e5r angriberen fors\u00f8ger at etablere kontrolsessioner eller n\u00e5r vi ser bin\u00e6re payloads i trafikken. <\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/d0ad109bae7dc0fb80182d43be713d4e.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAl information om h\u00e6ndelserne er l\u00e6sbar og pr\u00e6senteres, efter min mening, i et let forst\u00e5eligt format, selv for brugere med grundl\u00e6ggende viden om sikkerhed. <\/p>\n<p>De fleste af de registrerede h\u00e6ndelser er fors\u00f8g p\u00e5 at scanne vores servere eller enkeltst\u00e5ende forbindelser. <\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/ea87b3592b2d3727815050b9fd1f708e.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEller fors\u00f8g p\u00e5 at g\u00e6tte adgangskoder til RDP.<\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/645b5984d1ffaf31758fb23e9a23c9eb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMen der har ogs\u00e5 v\u00e6ret mere interessante sager, is\u00e6r n\u00e5r angriberne 'lykkedes' med at g\u00e6tte adgangskoden til RDP og f\u00e5 adgang til det lokale netv\u00e6rk. <\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/3cde5beadaa306d32c382f66bd67ec33.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAngriberen fors\u00f8ger at udf\u00f8re kode ved hj\u00e6lp af psexec.<\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/1356ef44f3581b37c3163ce454fecf14.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAngriberen fandt en gemt session, der f\u00f8rte ham til en fangst i form af en Linux-server. Umiddelbart efter tilslutning fors\u00f8gte han med et forberedt s\u00e6t kommandoer at destruere alle logfiler og de relevante systemvariable.<\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/6d8994cd3bb2268e45540e5bbcdc74a4.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAngriberen fors\u00f8ger at udf\u00f8re en SQL-injektion p\u00e5 en fangst, der imiterer SWIFT Web Access.<\/p>\n<p>Udover s\u00e5danne 'naturlige' angreb har vi ogs\u00e5 udf\u00f8rt nogle af vores egne tests. En af de mest illustrative er test af tid til opdagelse af et netv\u00e6rksorm i netv\u00e6rket. Til dette brugte vi et v\u00e6rkt\u00f8j fra GuardiCore, der hedder <noindex><a rel=\"nofollow\" href=\"http:\/\/www.guardicore.com\/infectionmonkey\/\">Infection Monkey<\/a><\/noindex>. Det er en netv\u00e6rksorm, der kan inficere Windows og Linux, men uden nogen 'nyttig' belastning. <br \/>\nVi opsatte et lokalt kommandocenter, startede den f\u00f8rste instans af ormen p\u00e5 en af maskinerne og modtog den f\u00f8rste besked i TrapX-konsollen p\u00e5 mindre end halvanden minut. TTD 90 sekunder mod 106 dage i gennemsnit\u2026 <\/p>\n<p>Takket v\u00e6re muligheden for integration med andre klasser af l\u00f8sninger kan vi g\u00e5 fra hurtig trusseldetektion til automatisk respons p\u00e5 dem. <\/p>\n<p>For eksempel kan integration med NAC (Network Access Control) systemer eller med CarbonBlack automatisk frakoble kompromitterede pc'er fra netv\u00e6rket. <\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/4364d6374b57e5741e33f8981b4cb0ad.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nIntegration med sandkasser muligg\u00f8r automatisk overf\u00f8rsel af filer, der er involveret i angrebet, til analyse. <\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/c66b8051d0dbd31c1215329d1b55930b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>Integration med McAfee<\/h3>\n<p>\nL\u00f8sningen har ogs\u00e5 sit eget indbyggede system til korrelation af h\u00e6ndelser.<\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/d4030212690f3ee1f1a641c49bc90960.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMen vi var ikke tilfredse med dens muligheder, s\u00e5 vi integrerede det med HP ArcSight.<\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/f08d607c5b4abf8dc354f65ed2591ebc.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAt h\u00e5ndtere de opdagede trusler \"i f\u00e6llesskab\" hj\u00e6lpes af det indbyggede ticketingsystem.<\/p>\n<p><img decoding=\"async\" alt=\"Hul som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT &quot;p\u00e5 krogen&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/0e78fa59b2f2b114fa9bdf572f37ea96.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDa l\u00f8sningen fra starten var udviklet til behovene hos statslige organer og store virksomheder, er der naturligvis implementeret en rollemodel for adgang, integration med AD, et avanceret rapporteringssystem samt triggere (h\u00e6ndelsesvarsler), orkestrering for store holdingselskaber eller MSSP-udbydere. <\/p>\n<h3>I stedet for et r\u00e9sum\u00e9<\/h3>\n<p>\nHvis der er et s\u00e5dant overv\u00e5gningssystem, der, billedligt talt, d\u00e6kker vores ryg, s\u00e5 er kompromitteringen af perimeteren kun starten. Det vigtigste er, at der er en reel mulighed for at bek\u00e6mpe IKT-h\u00e6ndelser i stedet for kun at h\u00e5ndtere konsekvenserne.<br \/>\n<br \/>Kilde: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/softline\/blog\/413893\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G. Brester sebres) \u041a\u043e\u043b\u043b\u0435\u0433\u0438, \u0446\u0435\u043b\u044c\u044e \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0436\u0435\u043b\u0430\u043d\u0438\u0435 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u043e\u043f\u044b\u0442\u043e\u043c \u0433\u043e\u0434\u0438\u0447\u043d\u043e\u0439 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430 IDS-\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 Deception-\u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0439. \u0427\u0442\u043e\u0431\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0441\u0432\u044f\u0437\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430, \u0441\u0447\u0438\u0442\u0430\u044e \u043d\u0443\u0436\u043d\u044b\u043c \u043d\u0430\u0447\u0430\u0442\u044c \u0441 \u043f\u0440\u0435\u0434\u043f\u043e\u0441\u044b\u043b\u043e\u043a. \u0418\u0442\u0430\u043a, \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0442\u0438\u043a\u0430: \u041d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0430\u0442\u0430\u043a\u0438 \u2013 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u043e\u043f\u0430\u0441\u043d\u044b\u0439 \u0432\u0438\u0434 \u0430\u0442\u0430\u043a, \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0432 \u043e\u0431\u0449\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0435 \u0443\u0433\u0440\u043e\u0437 \u0438\u0445 \u0443\u0434\u0435\u043b\u044c\u043d\u044b\u0439 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":96243,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-96242","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"da_DK\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0414\u044b\u0440\u0430 \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u2013 2, \u0438\u043b\u0438 \u043a\u0430\u043a \u043b\u043e\u0432\u0438\u0442\u044c APT \u00ab\u043d\u0430 \u0436\u0438\u0432\u0446\u0430\u00bb | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-10-09T17:42:33+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-10-09T17:42:33+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hullet som sikkerhedsv\u00e6rkt\u00f8j \u2013 2, eller hvordan man fanger APT \"live\" | ProHoster","description":"(tak til Sergey G. for id\u00e9en til overskriften)","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u044b\u0440\u0430 \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u2013 2, \u0438\u043b\u0438 \u043a\u0430\u043a \u043b\u043e\u0432\u0438\u0442\u044c APT \u00ab\u043d\u0430 \u0436\u0438\u0432\u0446\u0430\u00bb | ProHoster","og:description":"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-10-09T17:42:33+00:00","article:modified_time":"2020-10-09T17:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"96242","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:47:24","updated":"2022-10-03 07:10:06","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/96242","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=96242"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/96242\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/96243"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=96242"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=96242"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=96242"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}