95% der Bedrohungen für die Informationssicherheit sind bekannt und können mit traditionellen Mitteln wie Antivirenprogrammen, Firewalls, IDS und WAFs abgewehrt werden. Die verbleibenden 5% der Bedrohungen sind unbekannt und die gefährlichsten. Sie machen 70% des Risikos für ein Unternehmen aus, da es sehr schwierig ist, sie zu entdecken und erst recht, sich gegen sie zu schützen. Beispiele dafür sind Epidemien von Ransomware wie WannaCry, NotPetya/ExPetr, Krypto-Miner, „Cyberwaffen“ wie Stuxnet (das iranische Nuklearanlagen getroffen hat) und viele andere Angriffe (erinnert sich noch jemand an Kido/Conficker?), gegen die es mit klassischen Schutzmaßnahmen nicht gut gelingt, sich zu schützen. Wie man diesen 5% Bedrohungen mit der Technologie des Threat Hunting begegnen kann, möchten wir besprechen.
Die kontinuierliche Entwicklung von Cyberangriffen erfordert ständige Entdeckung und Abwehr, was uns letztendlich zu dem Gedanken einer endlosen Rüstungsrallye zwischen Angreifern und Verteidigern führt. Klassische Schutzsysteme sind nicht mehr in der Lage, ein akzeptables Schutzniveau zu bieten, bei dem das Risiko keinen Einfluss auf die KPIs des Unternehmens (wirtschaftlich, politisch, reputationsbezogen) hat, ohne sie an die spezifische Infrastruktur anzupassen, aber insgesamt schließen sie einen Teil der Risiken aus. Bereits bei der Implementierung und Konfiguration geraten moderne Schutzsysteme in die Rolle des Nachfolgers und müssen auf die Herausforderungen der neuen Zeit reagieren.
Eine der Antworten auf die Herausforderungen der Gegenwart für einen IT-Sicherheitsspezialisten könnte die Technologie des Threat Hunting sein. Der Begriff Threat Hunting (im Folgenden TH) entstand vor einigen Jahren. Die Technologie selbst ist ziemlich interessant, hat aber noch keine allgemein anerkannten Standards und Regeln. Die Vielfalt der Informationsquellen und die geringe Anzahl an russischsprachigen Informationsquellen zu diesem Thema komplizieren die Sache zusätzlich. Aus diesem Grund haben wir bei „LANIT-Integration“ beschlossen, einen Überblick über diese Technologie zu schreiben.
Relevanz
Die TH-Technologie basiert auf Prozessen der Infrastrukturüberwachung.. Alerting (im MSSP-Diensttyp) – traditionelle Methode, Suche nach zuvor entwickelten Signaturen und Anzeichen von Angriffen sowie Reaktion darauf. Dieses Szenario wird erfolgreich von traditionellen signaturbasierten Schutzmaßnahmen durchgeführt. Hunting (MDR-Diensttyp) – eine Überwachungsmethode, die die Frage beantwortet: „Woher kommen die Signaturen und Regeln?“. Es ist der Prozess der Regelkorrelationserstellung durch Analyse versteckter oder zuvor unbekannter Indikatoren und Anzeichen von Angriffen. Diese Art der Überwachung bezieht sich auf Threat Hunting.
Nur durch die Kombination beider Überwachungsarten erhalten wir einen nahezu idealen Schutz, doch es bleibt immer ein gewisses Maß an Rest-Risiko.
Schutz durch den Einsatz von zwei Überwachungsarten
Und hier ist, warum TH (und Hunting im Allgemeinen!) zunehmend relevant sein wird:
Bedrohungen, Schutzmittel, Risiken.
. Dazu gehören Arten wie Spam, DDoS, Viren, Rootkits und andere klassische Schadprogramme. Man kann sich gegen diese Bedrohungen mit denselben klassischen Schutzmaßnahmen verteidigen.
Im Verlauf jedes Projekts, während die verbleibenden 20% der Arbeit 80% der Zeit in Anspruch nehmen. In ähnlicher Weise werden von der gesamten Bedrohungslandschaft 5% neuer Bedrohungen 70% des Risikos für das Unternehmen darstellen. In einem Unternehmen, in dem Prozesse für das Management der Informationssicherheit organisiert sind, können wir 30% des Risikos für bekannte Bedrohungen in irgendeiner Weise managen, indem wir vermeiden (der Verzicht auf drahtlose Netzwerke als Prinzip), annehmen (die notwendigen Schutzmaßnahmen implementieren) oder dieses Risiko auf andere übertragen (zum Beispiel auf den Integrator). Sich jedoch gegen, APT-Angriffe, Phishing,, Cyber-Spionage und nationale Operationen sowie gegen eine Vielzahl anderer Angriffe zu schützen, ist bereits deutlich schwieriger. Die Folgen dieser 5% Bedrohungen sind weitaus schwerwiegender (), als die Folgen von Spam oder Viren, gegen die Antiviren-Software schützt.
Fast jeder hat mit 5% der Bedrohungen zu kämpfen. Kürzlich mussten wir eine Open-Source-Lösung installieren, die eine Anwendung aus dem PEAR-Repository (PHP Extension and Application Repository) verwendet. Der Versuch, diese Anwendung über pear install zu installieren, schlug fehl, da war nicht verfügbar (jetzt läuft bereits eine Stoppseite darauf), ich musste es von GitHub installieren. Vor Kurzem stellte sich heraus, dass PEAR zum Opfer wurde.
Man kann auch an, die Epidemie des Ransomware NePetya über das Update-Modul der Steuersoftware. Die Bedrohungen werden immer raffinierter, und die logische Frage entsteht – „Wie kann man diesen 5 % Bedrohungen entgegenwirken?“
Definition von Threat Hunting
Also, Threat Hunting ist der Prozess der proaktiven und iterativen Suche und Entdeckung fortgeschrittener Bedrohungen, die mit traditionellen Schutzmaßnahmen nicht erkannt werden können. Zu den fortgeschrittenen Bedrohungen gehören zum Beispiel Angriffe wie APT, Angriffe auf 0-Day-Schwachstellen, Living off the Land und so weiter.
Man kann auch umformulieren, dass TH der Prozess der Überprüfung von Hypothesen ist. Es handelt sich hauptsächlich um einen manuellen Prozess mit Automatisierungselementen, bei dem der Analyst, gestützt auf sein Wissen und seine Qualifikationen, große Datenmengen durchsucht, um Anzeichen für eine Kompromittierung zu finden, die der ursprünglich definierten Hypothese über das Vorhandensein einer bestimmten Bedrohung entsprechen. Ein besonderes Merkmal davon ist die Vielfalt der Informationsquellen.
Es ist zu beachten, dass Threat Hunting kein software- oder hardwarebasierter Produkt ist. Es sind keine Alarme, die man in einer bestimmten Lösung sehen kann. Es ist nicht der Prozess der Suche nach IOC (Indicators of Compromise). Und es ist keine passive Aktivität, die ohne die Beteiligung von Cybersicherheit-Analysten abläuft. Threat Hunting ist vor allem ein Prozess.
Bestandteile des Threat Huntings
Drei Hauptbestandteile des Threat Huntings: Daten, Technologien, Menschen.
Daten (was?), einschließlich Big Data. Verschiedene Verkehrsströme, Informationen über zuvor durchgeführte APT, Analysen, Daten zur Benutzeraktivität, Netzwerkdaten, Informationen von Mitarbeitern, Informationen im Darknet und vieles mehr.
Technologien (wie?) zur Verarbeitung dieser Daten – alle möglichen Methoden zur Verarbeitung dieser Daten, einschließlich Machine Learning.
Menschen (wer?) – diejenigen, die über umfangreiche Erfahrung in der Analyse verschiedener Angriffe, ausgeprägte Intuition und die Fähigkeit zur Entdeckung von Angriffen verfügen. In der Regel handelt es sich um Analysten der Informationssicherheit, die in der Lage sein müssen, Hypothesen zu generieren und diese zu bestätigen. Sie sind das zentrale Element des Prozesses.
Modell PARIS
Adam Beitman das PARIS-Modell für den idealen TH-Prozess. Der Name deutet auf eine bekannte Sehenswürdigkeit in Frankreich hin. Dieses Modell kann in zwei Richtungen betrachtet werden – von oben nach unten.
Im Prozess der Bedrohungsjagd, während wir dem Modell von unten nach oben folgen, werden wir mit zahlreichen Beweisen für schädliche Aktivitäten konfrontiert. Jedes Beweisstück hat einen Grad des Vertrauens – ein Merkmal, das das Gewicht dieses Beweises widerspiegelt. Es gibt 'harsche', direkte Beweise für schädliche Aktivitäten, anhand derer wir sofort die Spitze der Pyramide erreichen und eine tatsächliche Warnung über eine eindeutig nachgewiesene Infektion erstellen können. Und es gibt indirekte Beweise, deren Summe uns ebenfalls zur Spitze der Pyramide führen kann. Wie immer gibt es viel mehr indirekte Beweise als direkte, was bedeutet, dass sie sortiert und analysiert werden müssen, zusätzliche Untersuchungen erfordern und idealerweise automatisiert werden sollten.
Modell PARIS.
Der obere Teil des Modells (1 und 2) basiert auf Automatisierungstechnologien und vielfältiger Analyse, während der untere Teil (3 und 4) auf Personen mit bestimmten Qualifikationen beruht, die den Prozess steuern. Man kann das Modell von oben nach unten betrachten, wobei wir im oberen blauen Bereich Warnungen von traditionellen Schutzmitteln (Antivirus, EDR, Firewalls, Signaturen) mit hohem Maß an Vertrauen und Zuverlässigkeit haben, während darunter Indikatoren (IOC, URL, MD5 und andere) stehen, die ein geringeres Maß an Vertrauen haben und einer weiteren Untersuchung bedürfen. Und die unterste und dickste Ebene (4) – Hypothesengenerierung, Erstellung neuer Szenarien für die Arbeit traditioneller Schutzmittel. Diese Ebene ist nicht nur auf die angegebene Quelle von Hypothesen beschränkt. Je niedriger die Ebene, desto höhere Anforderungen werden an die Qualifikation des Analysts gestellt.
Es ist sehr wichtig, dass Analysten nicht nur einen festen Satz vorher festgelegter Hypothesen überprüfen, sondern ständig daran arbeiten, neue Hypothesen und deren Überprüfungsvarianten zu generieren.
Modell der Nutzungsmaturität von TH
In einer idealen Welt ist TH ein kontinuierlicher Prozess. Da es jedoch keine ideale Welt gibt, analysieren wir und Methoden im Hinblick auf Menschen, Prozesse und verwendete Technologien. Betrachten wir das Modell des idealen sphärischen TH. Es gibt 5 Stufen der Nutzung dieser Technologie. Lassen Sie uns diese am Beispiel der Evolution eines bestimmten Analystenteams betrachten.
Maturitätsstufen
Menschen
Prozesse
Technologien
Stufe 0
SOC-Analysten
24/7
Traditionelle Werkzeuge:
Traditionell
Set von Alerts
Passives Monitoring
IDS, AV, Sandboxing,
Ohne TH
Arbeiten mit Alerts
Signaturanalyse-Tools, Daten aus der Threat Intelligence.
Ebene 1
SOC-Analysten
Einmaliges TH
EDR
Experimentell
Grundkenntnisse der Forensik
Suche nach IOC
Teildeckung der Daten von Netzwerkgeräten
Experimente mit TH
Gute Kenntnisse über Netzwerke und Anwendungen
Teilweise Anwendung
Level 2
Vorübergehende Beschäftigung
Sprints
EDR
Periodisch
Durchschnittliche Kenntnisse der Forensik
Eine Woche im Monat
Vollständige Anwendung
Vorübergehendes TH
Exzellente Kenntnisse über Netzwerke und Anwendungen
Regelmäßiges TH
Vollautomatisierung der Nutzung von EDR-Daten
Teilweise Nutzung erweiteter EDR-Funktionen
Level 3
Dediziertes TH-Team
24/7
Teilweise Fähigkeit, TH-Hypothesen zu prüfen
Präventiv
Exzellente Kenntnisse der Forensik und Malware
Präventives TH
Vollständige Nutzung der erweiterten EDR-Funktionen
Einzelfälle von TH
Exzellente Kenntnisse der Angreiferseite
Einzelfälle von TH
Vollständige Deckung der Daten von Netzwerkgeräten
Konfiguration nach Bedarf
Stufe 4
Dediziertes TH-Team
24/7
Vollständige Fähigkeit, TH-Hypothesen zu prüfen
Führend
Exzellente Kenntnisse der Forensik und Malware
Präventives TH
Stufe 3, plus:
Nutzung von TH
Exzellente Kenntnisse der Angreiferseite
Überprüfung, Automatisierung und Verifizierung von TH-Hypothesen
enge Integration von Datenquellen;
Forschungsfähigkeit
Entwicklung nach Bedarf und nicht standardmäßige Nutzung von APIs.
Maturitätsstufen von TH im Hinblick auf Menschen, Prozesse und Technologien
Stufe 0: traditionell, ohne Nutzung von TH. Gewöhnliche Analysten arbeiten mit einem Standardsatz von Alerts im passiven Monitoring unter Verwendung standardmäßiger Werkzeuge und Technologien: IDS, AV, Sandbox, Signaturanalyse-Tools.
Stufe 1: experimentell, unter Verwendung von TH. Die gleichen Analysten mit Grundkenntnissen in Forensik und gutem Wissen über Netzwerke und praktische Aspekte können eine einmalige Bedrohungssuche durch das Suchen nach Indikatoren für Kompromittierung durchführen. Es werden EDR-Tools hinzugefügt, die teilweise Daten von Netzwerkinfrastrukturen abdecken. Die Werkzeuge werden teilweise eingesetzt.
Stufe 2: periodische, temporäre TH. Den gleichen Analysten, die ihr Wissen in Forensik, Netzwerken und praktischen Aspekten verbessert haben, wird die regelmäßige Durchführung von Threat Hunting in Form von Sprint, sagen wir, einmal pro Monat, auferlegt. Es werden vollständige Datenanalysen von Netzwerkinfrastrukturen hinzugefügt, Automatisierung der Datenanalyse von EDR und teilweise Nutzung der erweiterten Funktionen von EDR.
Stufe 3: präventiv, häufige Fälle von TH. Unsere Analysten haben sich in einem dedizierten Team organisiert, besitzen hervorragende Kenntnisse in Forensik und Malware sowie Wissen über die Methoden und Taktiken der Angreifer. Der Prozess erfolgt bereits im 24/7-Betrieb. Das Team ist in der Lage, Hypothesen zur Bedrohungssuche teilweise zu überprüfen, indem es die erweiterten Funktionen von EDR vollständig nutzt und vollständige Daten von Netzwerken erfasst. Analysten können die Werkzeuge auch nach ihren Bedürfnissen konfigurieren.
Stufe 4: führend, Nutzung von TH. Das gleiche Team hat die Fähigkeit zur Forschung erworben, Kenntnisse zur Generierung und Automatisierung des Prüfprozesses von Hypothesen für TH. Jetzt wird eine enge Integration von Datenquellen, Softwareentwicklung nach Bedürfnissen und die unkonventionelle Nutzung von APIs hinzugefügt.
Techniken des Threat Hunting
Grundlegende Techniken des Threat Hunting
Zu TH gehören in der Reihenfolge der Reife der eingesetzten Technologie: grundlegende Suche, statistische Analyse, Visualisierungstechniken, einfache Aggregationen, maschinelles Lernen und bayessche Methoden.
Die einfachste Methode – die grundlegende Suche – wird verwendet, um den Forschungsbereich mithilfe bestimmter Anfragen einzugrenzen. Statistische Analysen werden beispielsweise zur Erstellung typischer Benutzer- oder Netzwerkaktivitäten in Form von statistischen Modellen eingesetzt. Visualisierungstechniken werden verwendet, um Datenanalysen durch Grafiken und Diagramme anschaulicher zu machen, indem Muster in den Daten leichter erkennbar werden. Die Technik einfacher Aggregationen nach Schlüsselbereichen wird zur Optimierung von Suche und Analyse eingesetzt. Je höher das Reifegradniveau des TH-Prozesses in der Organisation, desto relevanter wird der Einsatz von Machine-Learning-Algorithmen. Diese werden auch häufig verwendet, insbesondere bei der Spamfilterung, der Erkennung von schädlichem Datenverkehr und der Aufdeckung betrügerischer Aktivitäten. Eine fortgeschrittenere Art von Machine-Learning-Algorithmen sind bayessche Methoden, die Klassifikation, Dimensionsreduktion und thematische Modellierung ermöglichen.
Das Diamantmodell und TH-Strategien
Sergio Kaltagirone, Andrew Pendergast und Christopher Betz zeigen in ihrer Arbeit „“ die grundlegenden Schlüsselelemente jeglicher bösartiger Aktivitäten und die grundlegenden Zusammenhänge zwischen ihnen auf.
Das Diamantmodell für bösartige Aktivitäten
Gemäß diesem Modell gibt es 4 Strategien für Threat Hunting, die sich auf die entsprechenden Schlüsselelemente stützen.
1. Opferorientierte Strategie. Wir gehen davon aus, dass die Opfer Gegner haben, und dass sie "Möglichkeiten" über E-Mail bereitstellen. Wir suchen nach Feinddaten in den E-Mails. Wir suchen nach Links, Anhängen usw. Wir suchen innerhalb eines bestimmten Zeitrahmens (einen Monat, zwei Wochen) nach Bestätigungen dieser Hypothese. Wenn wir nichts finden, hat die Hypothese nicht funktioniert.
2. Infrastrukturorientierte Strategie. Es gibt mehrere Methoden zur Anwendung dieser Strategie. Je nach Zugang und Sichtbarkeit sind einige von ihnen einfacher als andere. Beispielsweise überwachen wir Domain-Server, die für bösartige Domains bekannt sind. Oder wir führen einen Prozess zur Nachverfolgung aller neuen Domainregistrierungen durch, um nach bekannten Mustern zu suchen, die vom Gegner verwendet werden.
3. Möglichkeitorientierte Strategie. Neben der opferorientierten Strategie, die von den meisten Netzwerkverteidigern verwendet wird, gibt es eine möglichkeitsorientierte Strategie. Sie ist die zweithäufigste und konzentriert sich darauf, Chancen des Gegners, insbesondere "Schadsoftware", sowie die Möglichkeit der Nutzung solcher legitimen Werkzeuge durch den Gegner wie psexec, powershell, certutil und andere zu erkennen.
4. Gegnerorientierte Strategie. Der gegnerorientierte Ansatz konzentriert sich auf den Gegner selbst. Dazu gehört die Nutzung öffentlich zugänglicher Informationen aus Open-Source-Intelligenz (OSINT), die Datensammlung über den Gegner, seine Techniken und Methoden (TTP), die Analyse vergangener Vorfälle, Daten aus der Bedrohungsintelligenz usw.
Informationsquellen und Hypothesen in TH
Einige Informationsquellen für das Threat Hunting
Es können sehr viele Informationsquellen existieren. Ein idealer Analyst sollte in der Lage sein, Informationen aus allem zu gewinnen, was ihn umgibt. Typische Quellen in fast jeder Infrastruktur sind Daten aus Schutzmaßnahmen: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Auch verschiedene Indikatoren für Kompromittierungen, Dienste der Bedrohungsintelligenz, CERT-Daten und OSINT werden typische Informationsquellen sein. Zusätzlich kann Informationen aus dem Darknet verwendet werden (z. B. gibt es plötzlich eine Anfrage zum Hacken des E-Mail-Postfachs eines Unternehmensleiters, oder ein Kandidat für die Position eines Netzwerkingenieurs hat durch seine Aktivitäten auf sich aufmerksam gemacht), Informationen, die von der Personalabteilung erhalten wurden (Bewertungen über den Kandidaten aus früheren Arbeitsstellen), und Informationen von der Sicherheitsabteilung (z. B. die Ergebnisse der Überprüfung eines Geschäftspartners).
Bevor jedoch alle verfügbaren Quellen genutzt werden, ist es notwendig, zumindest eine Hypothese zu formulieren.
Um Hypothesen zu überprüfen, müssen sie zunächst aufgestellt werden. Und um viele qualitativ hochwertige Hypothesen aufzustellen, ist ein systematischer Ansatz erforderlich. Der Prozess der Hypothesengenerierung wird ausführlicher beschrieben in, als Grundlage für den Prozess der Hypothesenformulierung eignet sich dieses Schema sehr gut.
Die Hauptquelle für Hypothesen wird sein die ATT&CK-Matrix (Adversarial Tactics, Techniques and Common Knowledge). Im Grunde genommen ist es eine Wissensdatenbank und ein Modell zur Bewertung des Verhaltens von Angreifern, die ihre Aktivitäten in den letzten Phasen eines Angriffs ausführen, die normalerweise durch das Konzept der Kill Chain beschrieben werden. Das heißt, in den Phasen nach dem Eindringen eines Angreifers in das interne Netzwerk eines Unternehmens oder auf ein mobiles Gerät. Ursprünglich umfasste die Wissensdatenbank eine Beschreibung von 121 Taktiken und Techniken, die bei einem Angriff verwendet werden, von denen jede detailliert im Wiki-Format beschrieben ist. Eine Vielzahl von Bedrohungsanalysen eignet sich gut als Quelle zur Generierung von Hypothesen. Besonders hervorzuheben sind die Ergebnisse der Analyse von Infrastruktur und Penetrationstests – dies sind die wertvollsten Daten, die uns solide Hypothesen liefern können, da sie sich auf konkrete Infrastrukturen mit ihren spezifischen Schwächen stützen.
Der Prozess der Hypothesenprüfung
Sergey Soldatov brachte mit einer detaillierten Beschreibung des Prozesses, das den Prozess der Hypothesenprüfung in einem bestimmten System veranschaulicht. Ich werde die wichtigsten Schritte mit einer kurzen Beschreibung angeben.
Schritt 1: TI Farm
In diesem Schritt ist es notwendig, Objekte (indem sie gemeinsam mit allen Bedrohungsdaten analysiert werden) zu выделить, wobei ihnen ihre Charakteristika zugeordnet werden. Dies kann eine Datei, eine URL, MD5, ein Prozess, ein Dienstprogramm oder ein Ereignis sein. Wenn sie durch die Threat Intelligence Systeme geführt werden, müssen Labels angehängt werden. Das heißt, diese Website wurde in CNC in einem bestimmten Jahr gesehen, diese MD5 war mit einer bestimmten Malware verbunden, diese MD5 wurde von einer Website heruntergeladen, die Malware verteilt hat.
Schritt 2: Fälle
Im zweiten Schritt betrachten wir die Interaktionen zwischen diesen Objekten und identifizieren die Beziehungen zwischen all diesen Objekten. Wir erhalten markierte Systeme, die etwas Böswilliges tun.
Schritt 3: Analyst
Im dritten Schritt wird die Angelegenheit an einen erfahrenen Analysten übergeben, der über umfangreiche Erfahrung in der Analyse verfügt, und dieser fällt das Urteil. Er zerlegt bis auf die Bytes, was, woher, wie, warum und weshalb dieser Code macht. Diese Datei war bösartig, dieser Computer war infiziert. Er legt die Verbindungen zwischen den Objekten offen und überprüft die Ergebnisse des Testlaufs durch die Sandbox.
Die Ergebnisse der Arbeit des Analytikers werden weitergegeben. Digital Forensics untersucht die Images, Malware-Analyse untersucht gefundene "Körper", während das Incident-Response-Team vor Ort gehen und dort etwas untersuchen kann. Das Ergebnis wird eine bestätigte Hypothese, die identifizierte Attacke und Wege zu ihrer Bekämpfung sein.
Ergebnisse
Threat Hunting ist eine relativ junge Technologie, die in der Lage ist, effektiv gegen maßgeschneiderte, neue und unkonventionelle Bedrohungen anzutreten, und die angesichts des Wachstums solcher Bedrohungen und der Komplexität der Unternehmensinfrastruktur große Perspektiven hat. Sie erfordert drei Komponenten – Daten, Werkzeuge und Analysten. Der Nutzen von Threat Hunting beschränkt sich nicht nur auf die Vorbeugung von Bedrohungen. Man sollte nicht vergessen, dass wir im Zuge der Suche in unsere Infrastruktur und deren Schwachstellen durch die Augen eines Sicherheitsanalysten eintauchen und diese Stellen zusätzlich stärken können.
Die ersten Schritte, die unserer Meinung nach unternommen werden müssen, um den Prozess des TH in Ihrer Organisation zu starten.
- Sorgen Sie für den Schutz der Endpunkte und der Netzwerkinfrastruktur. Sorgen Sie für Sichtbarkeit (NetFlow) und Kontrolle (Firewall, IDS, IPS, DLP) aller Prozesse in Ihrem Netzwerk. Kennen Sie Ihr Netz vom Grenzrouter bis zum letzten Host.
- Untersuchen.
- Führen Sie regelmäßige Penetrationstests zumindest für die wichtigsten externen Ressourcen durch, analysieren Sie die Ergebnisse, identifizieren Sie die Hauptziele für Angriffe und schließen Sie deren Schwachstellen.
- Implementieren Sie ein Threat-Intelligence-System mit offenem Quellcode (zum Beispiel MISP, Yeti) und führen Sie gemeinsam Analysen der Protokolle durch.
- Setzen Sie eine Plattform für Vorfallreaktionen (IRP) ein: R-Vision IRP, The Hive, Sandbox zur Analyse verdächtiger Dateien (FortiSandbox, Cuckoo).
- Automatisieren Sie routinemäßige Prozesse. Protokollanalyse, Erstellung von Vorfällen, Informierung des Personals – hier gibt es großes Automatisierungspotenzial.
- Lernen Sie, effektiv mit Ingenieuren, Entwicklern und dem technischen Support zusammenzuarbeiten, um gemeinsam an Vorfällen zu arbeiten.
- Dokumentieren Sie den gesamten Prozess, die wesentlichen Punkte und die erzielten Ergebnisse, um später darauf zurückzukommen oder die Daten mit Kollegen zu teilen.
- Denken Sie an die soziale Seite: Seien Sie sich bewusst, was mit Ihren Mitarbeitern geschieht, wen Sie einstellen und wem Sie Zugang zu den Informationsressourcen des Unternehmens gewähren.
- Über Trends im Bereich neuer Bedrohungen und Abwehrmaßnahmen informiert zu sein, das eigene technische Verständnis zu steigern (einschließlich der Arbeit mit IT-Diensten und -Subsystemen), Konferenzen zu besuchen und sich mit Kollegen auszutauschen.
Ich bin bereit, den Prozess TH in den Kommentaren zu besprechen.
Oder kommen Sie zu uns und arbeiten Sie mit!
Quellen und Materialien zum Lernen
Quelle: habr.com
