, treten die meisten (87%) Sicherheitsvorfälle in wenigen Minuten auf, während die Erkennung bei 68% der Unternehmen Monate dauert. Dies wird auch durch , die zeigt, dass die meisten Organisationen im Durchschnitt 206 Tage für die Erkennung eines Vorfalls benötigen. Unsere Untersuchungen zeigen, dass Hacker jahrelang die Infrastruktur eines Unternehmens kontrollieren können, ohne entdeckt zu werden. In einer der Organisationen, in der unsere Experten einen Sicherheitsvorfall untersuchten, wurde festgestellt, dass Hacker die gesamte Infrastruktur der Organisation vollständig kontrollierten und regelmäßig wichtige Informationen stahlen .
Angenommen, Sie haben bereits ein SIEM implementiert, das Protokolle sammelt und Ereignisse analysiert, und es sind Antivirenprogramme auf den Endpunkten installiert. Dennoch , ebenso ist es unmöglich, EDR-Systeme in das gesamte Netzwerk zu integrieren, wodurch „blinde“ Zonen unvermeidlich sind. Diese werden durch Netzwerkverkehrsanalyse-Systeme (NTA) unterstützt. Diese Lösungen erkennen die Aktivitäten von Angreifern in den frühesten Phasen des Eindringens in das Netzwerk sowie während der Versuche, sich festzusetzen und den Angriff im Netzwerk weiterzuentwickeln.
NTA gibt es in zwei Formen: Die einen arbeiten mit NetFlow, die anderen analysieren den Rohverkehr. Der Vorteil der zweiten Systemart besteht darin, dass sie Rohverkehrsprotokolle speichern können. Dadurch kann ein IT-Sicherheitsspezialist die Erfolgsquote eines Angriffs überprüfen, Bedrohungen lokalisieren, verstehen, wie der Angriff stattgefunden hat und wie ähnliche Vorfälle in der Zukunft verhindert werden können.
Wir werden zeigen, wie man mithilfe von NTA alle bekannten Angriffstaktiken, die in der Wissensdatenbank beschrieben sind, anhand direkter oder indirekter Indikatoren erkennen kann. Wir werden jede der 12 Taktiken erläutern, die Techniken analysieren, die anhand des Verkehrs erkannt werden, und deren Erkennung durch unser NTA-System demonstrieren.
Über die ATT&CK-Wissensdatenbank
MITRE ATT&CK ist eine öffentliche Wissensdatenbank, die von der MITRE Corporation auf der Grundlage der Analyse realer APTs entwickelt und gepflegt wird. Sie stellt eine strukturierte Sammlung von Taktiken und Techniken dar, die von Angreifern verwendet werden. Dies ermöglicht es IT-Sicherheitsspezialisten auf der ganzen Welt, dieselbe Sprache zu sprechen. Die Datenbank wird ständig erweitert und um neue Erkenntnisse ergänzt.
In der Datenbank werden 12 Taktiken hervorgehoben, die nach den Phasen eines Cyberangriffs unterteilt sind:
- erster Zugriff (initial access);
- Ausführung (execution);
- Persistenz (persistence);
- Rechteerweiterung (privilege escalation);
- Vermeidung von Entdeckung (defense evasion);
- Zugriff auf Anmeldedaten (credential access);
- Erkundung (discovery);
- laterale Bewegung (lateral movement);
- Datensammlung (collection);
- Befehls- und Kontrollsystem (command and control);
- Datenexfiltration (exfiltration);
- Auswirkungen (impact).
Für jede Taktik in der ATT&CK-Wissensdatenbank ist eine Liste von Techniken aufgeführt, die Angreifern helfen, ihr Ziel in der aktuellen Phase des Angriffs zu erreichen. Da dieselbe Technik in verschiedenen Phasen verwendet werden kann, kann sie mehreren Taktiken zugeordnet werden.
Die Beschreibung jeder Technik umfasst:
- Identifikator;
- Liste der Taktiken, in denen sie angewendet wird;
- Beispiele für die Verwendung durch APT-Gruppen;
- Maßnahmen zur Schadensreduzierung bei ihrer Anwendung;
- Empfehlungen zur Erkennung.
IT-Sicherheitsexperten können die Kenntnisse aus der Datenbank nutzen, um Informationen über aktuelle Angriffsmethoden zu strukturieren und auf dieser Grundlage ein effektives Sicherheitssystem aufzubauen. Das Verständnis, wie echte APT-Gruppen agieren, kann auch eine Quelle von Hypothesen für die proaktive Bedrohungserkennung im Rahmen von .
Über PT Network Attack Discovery
Wir werden die Anwendung von Techniken aus der ATT&CK-Matrix durch das System erkennen, — das NTA-System von Positive Technologies, das zur Erkennung von Angriffen an der Perimeter und im Inneren des Netzwerks konzipiert ist. PT NAD deckt in unterschiedlichem Maße alle 12 Taktiken der MITRE ATT&CK-Matrix ab. Es ist besonders stark in der Erkennung von Techniken für den ersten Zugriff (initial access), laterale Bewegung (lateral movement) und Befehls- und Kontrolle (command and control). In diesen Bereichen deckt PT NAD mehr als die Hälfte der bekannten Techniken ab und erkennt deren Anwendung anhand direkter oder indirekter Anzeichen.
Das System erkennt Angriffe unter Verwendung von Techniken aus der ATT&CK-Matrix mithilfe von Erkennungsregeln, die von dem Team erstellt werden, (PT ESC), maschinellem Lernen, Indikatoren für Kompromittierungen, tiefgreifenden Analysen und retrospektiver Analyse. Die Echtzeit-Verkehrsanalyse in Kombination mit retrospektiven Analysen ermöglicht es, aktuelle versteckte bösartige Aktivitäten zu identifizieren und die Entwicklungspflichten sowie die Chronologie von Angriffen zu verfolgen.
vollständige Zuordnung von PT NAD zur MITRE ATT&CK-Matrix. Das Bild ist groß, daher schlagen wir vor, es in einem separaten Fenster zu betrachten.
erster Zugriff (initial access)
Die Taktik, um initialen Zugang zu erhalten, umfasst Techniken zum Eindringen in das Unternehmensnetzwerk. Das Ziel der Angreifer in diesem Stadium besteht darin, schädlichen Code in das angegriffene System zu bringen und dessen weitere Ausführung zu ermöglichen.
Die Analyse des Verkehrs mit PT NAD ermöglicht die Identifizierung von sieben Techniken für den initialen Zugang:
1. : Drive-by-Kompromittierung
Eine Technik, bei der das Opfer eine Website besucht, die von Angreifern genutzt wird, um den Webbrowser auszunutzen und Zugriffstoken auf die Anwendung zu erhalten.
Was PT NAD macht: Wenn der Webverkehr nicht verschlüsselt ist, inspiziert PT NAD den Inhalt der Antworten der HTTP-Server. In diesen Antworten befinden sich Exploits, die es Angreifern ermöglichen, beliebigen Code innerhalb des Browsers auszuführen. PT NAD erkennt automatisch solche Exploits mithilfe von Erkennungsregeln.
Zusätzlich erkennt PT NAD Bedrohungen in einem vorherigen Schritt. Regeln und Indikatoren für Kompromittierung werden ausgelöst, wenn der Benutzer eine Website besucht, die ihn auf eine Seite mit einer Exploit-Bündelung umgeleitet hat.
2. : Ausnutzung öffentlicher Anwendungen
Ausnutzung von Schwachstellen in Diensten, die über das Internet zugänglich sind.
Was PT NAD macht: Führt eine gründliche Inspektion des Inhalts von Netzwerkpaketen durch und identifiziert Anzeichen abnormaler Aktivitäten. Insbesondere gibt es Regeln, die Angriffe auf zentrale Content-Management-Systeme (CMS), Web-Interfaces von Netzwerkgeräten und Angriffe auf Mail- und FTP-Server erkennen.
3. : Externe Remote-Dienste
Einsatz von Remote-Access-Diensten durch Angreifer, um von außen auf die Ressourcen des internen Netzwerks zuzugreifen.
Was PT NAD macht: Da das System Protokolle nicht nach Portnummern, sondern nach dem Inhalt der Pakete erkennt, können Benutzer des Systems den Verkehr so filtern, dass sie alle Sitzungen der Remote-Access-Protokolle finden und deren Legitimität überprüfen.
4. : Spearphishing-Anhang
Es handelt sich um die berüchtigten Phishing-Attachments.
Was PT NAD macht: Extrahiert automatisch Dateien aus dem Verkehr und überprüft sie anhand von Indikatoren für Kompromittierung. Ausführbare Dateien in Anhängen werden durch Regeln identifiziert, die den Inhalt des E-Mail-Verkehrs analysieren. In einem Unternehmensumfeld gilt ein solches Attachment als anomal.
5. : Spearphishing-Link
Verwendung von Phishing-Links. Diese Technik beinhaltet das Versenden von Phishing-E-Mails durch Angreifer, die einen Link enthalten, dessen Klick zu einem Download von Schadsoftware führt. In der Regel wird der Link von Text begleitet, der nach allen Regeln der sozialen Ingenieurwissenschaften verfasst wurde.
Was PT NAD macht: erkennt Phishing-Links mithilfe von Kompromittierungsindikatoren. Beispielsweise sehen wir im PT NAD-Interface eine Sitzung, in der eine HTTP-Verbindung über einen Link hergestellt wurde, der auf der Liste der Phishing-Adressen (phishing-urls) steht.
Verbindung über einen Link aus der Liste der Kompromittierungsindikatoren phishing-urls
6. : vertrauensvolle Beziehung
Zugriff auf das Netzwerk des Opfers über Dritte, mit denen das Opfer vertrauensvolle Beziehungen hat. Angreifer können eine vertrauenswürdige Organisation hacken und sich über diese mit dem Zielnetzwerk verbinden. Dazu nutzen sie VPN-Verbindungen oder domänenvertrauensverhältnisse, die durch Verkehrsanalyse identifiziert werden können.
Was PT NAD macht: analysiert Anwendungsprotokolle und speichert die analysierten Felder in einer Datenbank, sodass ein Sicherheitsanalyst mithilfe von Filtern in der Datenbank alle verdächtigen VPN-Verbindungen oder zwischen-domain Verbindungen finden kann.
7. : gültige Konten
Verwendung von Standard-, lokalen oder Domänenanmeldeinformationen zur Authentifizierung bei externen und internen Services.
Was PT NAD macht: extrahiert automatisch Anmeldeinformationen aus HTTP-, FTP-, SMTP-, POP3-, IMAP-, SMB-, DCE/RPC-, SOCKS5-, LDAP-, Kerberos-Protokollen. Generell handelt es sich um Benutzername, Passwort und ein Zeichen für den Erfolg der Authentifizierung. Wenn sie verwendet wurden, werden sie in der entsprechenden Sitzungskarte angezeigt.
Ausführung (execution)
In die Taktik Ausführung fallen Techniken, die Angreifer anwenden, um Code in kompromittierten Systemen auszuführen. Das Ausführen von Schadsoftware hilft den Angreifern, ihre Präsenz zu festigen (Taktik persistency) und den Zugriff auf entfernte Systeme im Netzwerk zu erweitern, während sie sich innerhalb des Perimeters bewegen.
PT NAD ermöglicht die Identifizierung von 14 Techniken, die von Angreifern zur Ausführung von Schadsoftware verwendet werden.
1. : CMSTP (Microsoft Connection Manager Profile Installer)
Eine Taktik, bei der Angreifer eine spezielle schadhafte INF-Datei für das in Windows integrierte Tool CMSTP.exe (Installationsprogramm für Verbindungsmanager-Profile) vorbereiten. CMSTP.exe akzeptiert die Datei als Parameter und installiert das Dienstprofil für die Remote-Verbindung. Dadurch kann CMSTP.exe verwendet werden, um dynamisch geladene Bibliotheken (*.dll) oder Skripte (*.sct) von entfernten Servern herunterzuladen und auszuführen.
Was PT NAD macht: erkennt automatisch im HTTP-Verkehr die Übertragung spezieller INF-Dateien. Darüber hinaus erkennt es die Übertragung schadhafter Skripte und dynamisch geladener Bibliotheken über das HTTP-Protokoll von einem entfernten Server.
2. : Befehlszeilen-Schnittstelle
Interaktion mit der Befehlszeilen-Schnittstelle. Mit der Befehlszeilen-Schnittstelle kann lokal oder remote interagiert werden, beispielsweise mithilfe von Remote-Access-Tools.
Was PT NAD macht: erkennt automatisch das Vorhandensein von Shells durch die Antworten auf die Startbefehle verschiedener Befehlszeilen-Utilities wie ping, ifconfig.
3. : Component Object Model und Distributed COM
Verwendung von COM- oder DCOM-Technologien zur Ausführung von Code auf lokalen oder entfernten Systemen beim Vorankommen im Netzwerk.
Was PT NAD macht: erkennt verdächtige DCOM-Aufrufe, die Angreifer typischerweise verwenden, um Programme zu starten.
4. : Ausnutzung zur Clientausführung
Ausnutzung von Schwachstellen zur Ausführung beliebigen Codes auf der Arbeitsstation. Die für Angreifer nützlichsten Exploits sind diejenigen, die die Ausführung von Code auf einem Remote-System ermöglichen, da Angreifer so auf ein solches System zugreifen können. Diese Technik kann durch folgende Methoden umgesetzt werden: schadhafte E-Mail-Verteilung, Website mit Exploits für Browser und Remote-Ausnutzung von Anwendungsanfälligkeiten.
Was PT NAD macht: Bei der Analyse des E-Mail-Verkehrs prüft PT NAD auf das Vorhandensein ausführbarer Dateien im Anhang. Es extrahiert automatisch Office-Dokumente aus E-Mails, die Exploits enthalten könnten. Versuche zur Ausnutzung von Schwachstellen sind im Verkehr sichtbar, was PT NAD automatisch erkennt.
5. : mshta
Die Verwendung des Tools mshta.exe, das Microsoft HTML-Anwendungen (HTA) mit der Erweiterung .hta ausführt. Da mshta Dateien außerhalb der Sicherheitsrichtlinien des Browsers verarbeitet, können Angreifer mshta.exe verwenden, um schädliche HTA-Dateien, JavaScript oder VBScript auszuführen.
Was PT NAD macht: .hta-Dateien zur Ausführung über mshta werden unter anderem auch über das Netzwerk übertragen – dies zeigt sich im Datenverkehr. PT NAD erkennt automatisch die Übertragung solcher schädlichen Dateien. Diese Dateien werden erfasst, und die Informationen darüber sind in der Sitzungskarte einsehbar.
6. : PowerShell
Die Verwendung von PowerShell zur Informationsbeschaffung und zur Ausführung von schädlichem Code.
Was PT NAD macht: Wenn PowerShell von Angreifern remote angewendet wird, erkennt PT NAD dies durch Regeln. Es erkennt Schlüsselwörter der PowerShell-Sprache, die häufig in schädlichen Skripten verwendet werden, und die Übertragung von PowerShell-Skripten über das SMB-Protokoll.
7. : geplanter Task
Die Verwendung des Windows Aufgabenplaners und anderer Tools zum automatischen Start von Programmen oder Skripten zu bestimmten Zeiten.
Was PT NAD macht: Angreifer erstellen in der Regel solche Aufgaben remote, was bedeutet, dass solche Sitzungen im Datenverkehr sichtbar sind. PT NAD erkennt automatisch verdächtige Vorgänge zur Erstellung und Änderung von Aufgaben unter Verwendung der RPC-Schnittstellen ATSVC und ITaskSchedulerService.
8. : Skripting
Das Ausführen von Skripten zur Automatisierung verschiedener Aktionen von Angreifern.
Was PT NAD macht: erkennt die Übertragung von Skripten über das Netzwerk, also noch bevor sie ausgeführt werden. Es erkennt den Inhalt von Skripten im rohen Datenverkehr und erkennt die Übertragung von Dateien mit Erweiterungen, die mit gängigen Skriptsprachen übereinstimmen.
9. : Dienstausführung
Das Starten einer ausführbaren Datei, von Befehlen der Befehlszeilenschnittstelle oder von Skripten durch Interaktion mit Windows-Diensten, wie z. B. mit dem Dienststeuerungsmanager (Service Control Manager, SCM).
Was PT NAD macht: inspiziert den SMB-Datenverkehr und erkennt den Zugriff auf SCM mit Regeln zur Erstellung, Änderung und Ausführung von Diensten.
Die Technik zum Starten von Diensten kann durch ein Tool zur Remote-Ausführung von Befehlen, PSExec, realisiert werden. PT NAD analysiert das SMB-Protokoll und erkennt den Einsatz von PSExec, wenn es die Datei PSEXESVC.exe oder den Standarddienstnamen PSEXECSVC verwendet, um Code auf einem Remote-Computer auszuführen. Der Benutzer muss die Liste der ausgeführten Befehle und die Legitimität der Remote-Ausführung von Befehlen vom Knoten überprüfen.
Im Angriffsprotokoll in PT NAD werden Daten zu den verwendeten Taktiken und Techniken aus der ATT&CK-Matrix angezeigt, damit der Benutzer verstehen kann, in welcher Phase sich die Angreifer befinden, welche Ziele sie verfolgen und welche Gegenmaßnahmen ergriffen werden sollten.
Auslösung der Regel zur Verwendung des PSExec-Tools, was auf einen Versuch hinweisen könnte, Befehle auf einem Remote-Gerät auszuführen.
10. : Drittanbieter-Software
Eine Technik, bei der Angreifer Zugriff auf Remote-Administrationssoftware oder Unternehmenssoftware-Deployment-Systeme erhalten und mit deren Hilfe schädlichen Code ausführen. Beispiele für solche Software: SCCM, VNC, TeamViewer, HBSS, Altiris.
Übrigens ist diese Technik besonders relevant angesichts des massenhaften Übergangs zur Remote-Arbeit und der damit verbundenen Anbindung zahlreicher ungesicherter Heimgeräte über fragwürdige Remote-Zugangswege.
Was PT NAD macht: erkennt automatisch die Arbeit solcher Software im Netzwerk. Beispielsweise lösen Regeln aus, wenn es Verbindungen über das VNC-Protokoll gibt oder die Aktivität des Trojaners EvilVNC, der heimlich einen VNC-Server auf dem Zielhost installiert und diesen automatisch startet. Außerdem erkennt PT NAD automatisch das TeamViewer-Protokoll, was dem Analysten hilft, mit Filtern alle solchen Sitzungen zu finden und deren Legitimität zu überprüfen.
11. : Benutzerausführung
Eine Technik, bei der der Benutzer Dateien ausführt, die zur Ausführung von Code führen können. Dies kann beispielsweise der Fall sein, wenn er eine ausführbare Datei öffnet oder ein Office-Dokument mit einem Makro ausführt.
Was PT NAD macht: erkennt solche Dateien bereits während der Übertragung, bevor sie gestartet werden. Informationen darüber können im Protokoll der Sitzungen, in denen sie übertragen wurden, eingesehen werden.
12. : Windows Management Instrumentation
Der Einsatz des WMI-Tools, das den lokalen und Remote-Zugang zu Windows-Systemkomponenten ermöglicht. Mit WMI können Angreifer mit lokalen und Remote-Systemen interagieren und eine Vielzahl von Aufgaben ausführen, wie z. B. Informationen zu Sammeln für Aufklärungszwecke und Prozesse während der seitlichen Bewegung aus der Ferne zu starten.
Was PT NAD macht: Da Interaktionen mit Remote-Systemen über WMI im Datenverkehr sichtbar sind, erkennt PT NAD automatisch Netzwerk-Anfragen zur Einrichtung von WMI-Sitzungen und prüft den Datenverkehr auf das Vorhandensein von Skripten, die WMI nutzen.
13. : Windows Remote Management
Die Verwendung des Windows-Dienstes und -Protokolls, das es dem Benutzer ermöglicht, mit entfernten Systemen zu interagieren.
Was PT NAD macht: sieht Netzwerkverbindungen, die über die Windows-Remoteverwaltung hergestellt wurden. Solche Sitzungen werden automatisch durch Regeln erkannt.
14. : XSL (Extensible Stylesheet Language) Skriptverarbeitung
Die XSL-Stilsprache wird zur Beschreibung der Verarbeitung und Visualisierung von Daten in XML-Dateien verwendet. Um komplexe Operationen zu unterstützen, umfasst der XSL-Standard die Unterstützung integrierter Skripte in verschiedenen Sprachen. Diese Sprachen ermöglichen die Ausführung beliebigen Codes, was zu einer Umgehung von Sicherheitsrichtlinien auf Basis von Whitelists führt.
Was PT NAD macht: erkennt den Transfer solcher Dateien über das Netzwerk, also noch bevor sie ausgeführt werden. Es entdeckt automatisch den Transfer von XSL-Dateien über das Netzwerk und Dateien mit anormaler XSL-Auszeichnung.
In den folgenden Materialien werden wir erörtern, wie das NTA-System PT Network Attack Discovery andere Taktiken und Techniken von Angreifern gemäß MITRE ATT&CK findet. Bleiben Sie dran!
Autoren:
- Anton Kutepov, Fachmann des Expert Security Center (PT Expert Security Center) von Positive Technologies
- Natalia Kazankova, Product Marketer von Positive Technologies
Quelle: habr.com
