{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Threat Hunting \u2013 oder wie man sich vor 5% der Bedrohungen sch\u00fctzt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

95 % der Sicherheitsbedrohungen sind bekannt und k\u00f6nnen mit traditionellen Mitteln wie Antivirenprogrammen, Firewalls, IDS und WAF abgewehrt werden. Die restlichen 5 % der Bedrohungen sind unbekannt und \u00e4u\u00dferst gef\u00e4hrlich. Sie machen 70 % des Risikos f\u00fcr Unternehmen aus, da sie sehr schwer zu erkennen und noch schwieriger abzuwehren sind. Beispiele daf\u00fcr sind \u201eschwarze Schw\u00e4ne\u201c<\/a><\/noindex> wie die Ransomware-Epidemien WannaCry, NotPetya\/ExPetr, Krypto-Miner, das \u201eCyberwaffen\u201c-Programm Stuxnet (das iranische Nuklearanlagen traf) und zahlreiche andere Angriffe (wer erinnert sich noch an Kido\/Conficker?), gegen die sich mit klassischen Schutzma\u00dfnahmen nicht gut verteidigen l\u00e4sst. Dar\u00fcber, wie man diesen 5 % der Bedrohungen mit der Technologie des Threat Hunting begegnen kann, m\u00f6chten wir sprechen.<\/p>\n

\"Threat<\/a><\/noindex>
\n Die st\u00e4ndige Entwicklung von Cyberangriffen erfordert kontinuierliche Erkennung und Abwehr, was letztendlich zu der Erkenntnis f\u00fchrt, dass wir uns in einem endlosen Wettr\u00fcsten zwischen Angreifern und Verteidigern befinden. Klassische Schutzsysteme sind nicht mehr in der Lage, ein akzeptables Schutzniveau zu gew\u00e4hrleisten, bei dem das Risiko keine negativen Auswirkungen auf die zentralen Unternehmenskennzahlen (wirtschaftliche, politische, Reputation) hat, ohne dass sie f\u00fcr die jeweilige Infrastruktur angepasst werden. Insgesamt decken sie jedoch einen Teil der Risiken ab. Schon bei der Implementierung und Konfiguration \u00fcbernehmen moderne Schutzsysteme die Rolle des Nachz\u00fcgler und m\u00fcssen auf die Herausforderungen der neuen Zeit reagieren.<\/p>\n

\"ThreatQuelle<\/noindex><\/p>\n

Eine der Antworten auf die Herausforderungen der modernen Welt f\u00fcr Fachkr\u00e4fte im Bereich IT-Sicherheit k\u00f6nnte die Technologie des Threat Hunting sein. Der Begriff Threat Hunting (im Folgenden TH) ist vor einigen Jahren aufgekommen. Die Technologie selbst ist durchaus interessant, hat jedoch bisher keine allgemein anerkannten Standards oder Regeln entwickelt. Zudem erschweren die Vielfalt der Informationsquellen und die begrenzte Anzahl russischsprachiger Quellen zu diesem Thema die Situation. Aus diesem Grund haben wir bei \"LANIT-Integration\" beschlossen, eine \u00dcbersicht \u00fcber diese Technologie zu erstellen. <\/p>\n

Relevanz<\/h2>\n

\nDie Technologie TH basiert auf Prozessen zur \u00dcberwachung der Infrastruktur. Es gibt zwei Hauptszenarien f\u00fcr die interne \u00dcberwachung \u2013 Alerting und Hunting.<\/a><\/noindex>. Alerting (im Sinne von MSSP-Diensten) ist eine traditionelle Methode, bei der zuvor entwickelte Signaturen und Anzeichen von Angriffen identifiziert und darauf reagiert wird. Traditionelle signaturbasierte Sicherheitsl\u00f6sungen f\u00fchren dieses Szenario erfolgreich durch. Hunting (eine MDR-Dienstleistung) ist eine Monitoring-Methode, die die Frage beantwortet: \u201eWoher kommen die Signaturen und Regeln?\u201c. Es handelt sich um den Prozess der Erstellung von Korrelationsregeln durch die Analyse versteckter oder zuvor unbekannter Indikatoren und Angriffssymptome. Genau diese Art des Monitorings f\u00e4llt unter Threat Hunting.<\/p>\n

\"Threat
\nNur durch die Kombination beider \u00dcberwachungsarten erhalten wir einen nahezu idealen Schutz, jedoch bleibt immer ein gewisses Ma\u00df an Restrisiko bestehen.<\/p>\n

\"ThreatSchutz mit zwei Arten der \u00dcberwachung<\/i><\/p>\n

Und hier ist, warum TH (und Hunting insgesamt!) zunehmend an Bedeutung gewinnen wird:<\/p>\n

\"ThreatBedrohungen, Schutzmittel, Risiken.<\/i> Quelle<\/a><\/noindex><\/p>\n

95 % aller Bedrohungen sind bereits gut erforscht<\/a><\/noindex>. Dazu geh\u00f6ren Arten wie Spam, DDoS, Viren, Rootkits und andere klassische Malware. Gegen diese Bedrohungen kann man sich mit den gleichen klassischen Schutzma\u00dfnahmen sch\u00fctzen.<\/p>\n

Im Verlauf jedes Projekts nehmen 20 % der Zeit 80 % der Arbeit in Anspruch<\/a><\/noindex>, und die verbleibenden 20 % der Arbeit nehmen 80 % der Zeit in Anspruch. In \u00e4hnlicher Weise werden unter der gesamten Bedrohungslandschaft 5 % der neuen Bedrohungen 70 % des Risikos f\u00fcr das Unternehmen ausmachen. In einem Unternehmen, in dem Prozesse zur Informationssicherheit organisiert sind, k\u00f6nnen wir 30 % des Risikos bekannter Bedrohungen in irgendeiner Weise steuern, indem wir es vermeiden (z. B. durch den grunds\u00e4tzlichen Verzicht auf drahtlose Netzwerke), akzeptieren (indem wir die erforderlichen Schutzma\u00dfnahmen implementieren) oder auf andere (z. B. auf den Integrator) \u00fcbertragen. Sich vor Zero-Day-Schwachstellen<\/a><\/noindex>, APT-Angriffen, Phishing, Lieferkettenangriffen<\/a><\/noindex>, Cyber-Spionage und nationalen Operationen sowie vor einer Vielzahl anderer Angriffe zu sch\u00fctzen, ist bereits viel komplizierter. Die Auswirkungen dieser 5 % der Bedrohungen werden weitaus schwerwiegender sein (der durchschnittliche Verlust eines Unternehmens durch die Buhtrap-Gruppe liegt bei 143 Millionen<\/a><\/noindex>), als die Auswirkungen von Spam oder Viren, vor denen Antivirus-Software sch\u00fctzt.<\/p>\n

Fast allen Unternehmen begegnen 5% der Bedrohungen. K\u00fcrzlich mussten wir eine Open-Source-L\u00f6sung einrichten, die eine Anwendung aus dem PEAR-Repository (PHP Extension and Application Repository) verwendet. Der Versuch, diese Anwendung \u00fcber pear install zu installieren, war erfolglos, da Website<\/a><\/noindex> es nicht verf\u00fcgbar war (mittlerweile ist es gesperrt), sodass wir es von GitHub installieren mussten. Vor kurzem stellte sich heraus, dass PEAR das Opfer wurde einer Lieferkettenattacke.<\/a><\/noindex>.<\/p>\n

\"Threat<\/p>\n

Man kann auch an die CCleaner-Attacke erinnern<\/a><\/noindex>, die Ransomware-Epidemie NePetya \u00fcber das Update-Modul der Steuerberatungssoftware M.E.Doc<\/a><\/noindex>. Die Bedrohungen werden immer raffinierter, und die naheliegende Frage lautet: \"Wie kann man diesen 5% der Bedrohungen entgegenwirken?\"<\/p>\n

Definition von Threat Hunting.<\/h2>\n

\nThreat Hunting ist also der Prozess der proaktiven und iterativen Suche nach fortgeschrittenen Bedrohungen, die mit traditionellen Schutzma\u00dfnahmen nicht erkannt werden k\u00f6nnen. Zu den fortgeschrittenen Bedrohungen geh\u00f6ren beispielsweise Angriffe wie APT, Angriffe auf 0-Day-Schwachstellen, Living off the Land und so weiter.<\/p>\n

Man kann auch sagen, dass Threat Hunting ein Prozess zur \u00dcberpr\u00fcfung von Hypothesen ist. Dies ist haupts\u00e4chlich ein manueller Prozess mit Automatisierungselementen, bei dem der Analyst, gest\u00fctzt auf sein Wissen und seine Qualifikationen, gro\u00dfe Informationsmengen durchforstet, um Anzeichen von Kompromittierungen zu finden, die der urspr\u00fcnglich definierten Hypothese \u00fcber das Vorhandensein einer bestimmten Bedrohung entsprechen. Ein wesentliches Merkmal ist die Vielfalt der Informationsquellen.<\/p>\n

Es ist wichtig zu betonen, dass Threat Hunting kein Software- oder Hardwareprodukt ist. Es sind keine Alarme, die in einer bestimmten L\u00f6sung angezeigt werden. Es ist kein Prozess zur Suche nach IOC (Indicators of Compromise). Und es ist keine passive Aktivit\u00e4t, die ohne Beteiligung von IT-Sicherheitsexperten durchgef\u00fchrt wird. Threat Hunting ist in erster Linie ein Prozess.<\/p>\n

Die Bestandteile des Threat Huntings<\/h2>\n

\n\"Threat
\nDrei Hauptbestandteile des Threat Huntings: Daten, Technologien, Menschen.<\/p>\n

Daten (was?)<\/b>, einschlie\u00dflich Big Data. Alle Arten von Datenstr\u00f6men, Informationen \u00fcber fr\u00fchere APTs, Analysen, Daten zur Benutzeraktivit\u00e4t, Netzwerkdaten, Informationen von Mitarbeitern, Informationen aus dem Darknet und vieles mehr.<\/p>\n

Technologien (wie?)<\/b> die Verarbeitung dieser Daten \u2013 alle m\u00f6glichen Arten der Verarbeitung dieser Daten, einschlie\u00dflich Machine Learning.<\/p>\n

Menschen (wer?)<\/b> \u2013 diejenigen, die \u00fcber umfassende Erfahrung in der Analyse verschiedener Angriffe verf\u00fcgen, \u00fcber ausgepr\u00e4gte Intuition und die F\u00e4higkeit, Angriffe zu erkennen. In der Regel handelt es sich dabei um Analysten der Informationssicherheit, die die F\u00e4higkeit haben sollten, Hypothesen zu bilden und deren Best\u00e4tigung zu finden. Sie sind das zentrale Element des Prozesses.<\/p>\n

PARIS-Modell<\/h2>\n

\nAdam Bateman beschreibt<\/a><\/noindex> das PARIS-Modell f\u00fcr den idealen TH-Prozess. Der Name spielt gewisserma\u00dfen auf eine bekannte Sehensw\u00fcrdigkeit in Frankreich an. Dieses Modell kann aus zwei Blickwinkeln betrachtet werden \u2013 von oben und unten.<\/p>\n

Bei der Bedrohungsjagd, die einem Bottom-up-Modell folgt, begegnen wir zahlreichen Hinweisen auf sch\u00e4dliche Aktivit\u00e4ten. Jeder Hinweis hat ein Ma\u00df f\u00fcr das Vertrauen \u2013 eine Eigenschaft, die das Gewicht dieses Hinweises widerspiegelt. Es gibt \"eindeutige\" Beweise f\u00fcr sch\u00e4dliche Aktivit\u00e4ten, anhand derer wir sofort die Spitze der Pyramide erreichen und eine Benachrichtigung \u00fcber eine eindeutig bekannte Infektion erstellen k\u00f6nnen. Und es gibt indirekte Beweise, deren Summe uns ebenfalls an die Spitze der Pyramide f\u00fchren kann. Wie immer gibt es viel mehr indirekte Hinweise als direkte, weshalb wir diese sortieren und analysieren, zus\u00e4tzliche Untersuchungen durchf\u00fchren und dies idealerweise automatisieren sollten.<\/p>\n

\"ThreatDas PARIS-Modell.<\/i> Quelle<\/a><\/noindex><\/p>\n

Der obere Teil des Modells (1 und 2) basiert auf Automatisierungstechnologien und vielf\u00e4ltigen Analysen, w\u00e4hrend der untere Teil (3 und 4) auf qualifizierten Fachkr\u00e4ften beruht, die den Prozess steuern. Man kann das Modell von oben nach unten betrachten, wobei im oberen blauen Bereich die Warnmeldungen von traditionellen Schutzmitteln (Antivirus, EDR, Firewall, Signaturen) mit hoher Zuverl\u00e4ssigkeit und Vertrauen angezeigt werden, w\u00e4hrend darunter Indikatoren (IOC, URL, MD5 und andere) zu finden sind, die weniger Vertraulichkeit bieten und weiterer Untersuchung bed\u00fcrfen. Der unterste und dickste Level (4) befasst sich mit der Hypothesengenerierung und der Schaffung neuer Szenarien f\u00fcr die Arbeit traditioneller Schutzmittel. Dieser Level beschr\u00e4nkt sich nicht nur auf die genannten Quellen von Hypothesen. Je niedriger der Level, desto h\u00f6her sind die Anforderungen an die Qualifikation des Analysten.<\/p>\n

Es ist von entscheidender Bedeutung, dass Analysten nicht nur einen festen Satz von zuvor definierten Hypothesen \u00fcberpr\u00fcfen, sondern kontinuierlich daran arbeiten, neue Hypothesen und Pr\u00fcfungsvarianten zu generieren.<\/p>\n

TH-Nutzungsreife-Modell<\/h2>\n

\nIn einer idealen Welt ist TH ein kontinuierlicher Prozess. Da es jedoch keine ideale Welt gibt, lassen Sie uns analysieren das Reifegradmodell<\/a><\/noindex> und die Methoden im Hinblick auf Menschen, Prozesse und verwendete Technologien. Lassen Sie uns das Modell des idealen sph\u00e4rischen TH betrachten. Es gibt 5 Stufen der Nutzung dieser Technologie. Wir werden diese anhand der Evolution eines bestimmten Analystenteams untersuchen.<\/p>\n

Reifegradstufen<\/b>
\nMenschen<\/b>
\nProzesse<\/b>
\nTechnologien<\/b><\/p>\n

Stufe 0<\/b>
\nSOC-Analysten
\n24\/7
\nTraditionelle Werkzeuge:<\/p>\n

Traditionell
\nSet von Alarmen
\nPassives Monitoring
\nIDS, AV, Sandboxing,<\/p>\n

Ohne TH<\/i>
\nArbeiten mit Alarmen<\/p>\n

Signaturanalyse-Tools, Threat-Intelligence-Daten.<\/p>\n

Stufe 1<\/b>
\nSOC-Analysten
\nEinmaliges TH
\nEDR<\/p>\n

Experimentell
\nGrundkenntnisse der Forensik
\nIOC-Suche
\nTeilweise Datenerfassung von Netzwerkger\u00e4ten<\/p>\n

Experimente mit TH<\/i>
\nGutes Wissen \u00fcber Netzwerke und Anwendungen<\/p>\n

Teilweise Anwendung<\/p>\n

Stufe 2<\/b>
\nTempor\u00e4re Anstellung
\nSprints
\nEDR<\/p>\n

Periodisch
\nMittlere Kenntnisse der Forensik
\nEine Woche im Monat
\nVollst\u00e4ndige Anwendung<\/p>\n

Tempor\u00e4res TH<\/i>
\nExzellente Kenntnisse \u00fcber Netzwerke und Anwendungen
\nRegelm\u00e4\u00dfiges TH
\nVollautomatisierte Nutzung von EDR-Daten<\/p>\n

Teilweise Nutzung erweiterter EDR-Funktionen<\/p>\n

Stufe 3<\/b>
\nDediziertes TH-Team
\n24\/7
\nTeilweise M\u00f6glichkeit, Hypothesen zu \u00fcberpr\u00fcfen TH<\/p>\n

Pr\u00e4ventiv
\nHervorragende Kenntnisse in Forensik und Malware
\nPr\u00e4ventiv TH
\nVollst\u00e4ndige Nutzung der erweiterten EDR-Funktionen<\/p>\n

Einzelf\u00e4lle TH<\/i>
\nAusgezeichnetes Wissen \u00fcber Angreifer
\nEinzelf\u00e4lle TH
\nVollst\u00e4ndige Abdeckung von Daten aus Netzwerkger\u00e4ten<\/p>\n

Konfiguration nach Bedarf<\/p>\n

Level 4<\/b>
\nDediziertes TH-Team
\n24\/7
\nVollst\u00e4ndige M\u00f6glichkeit, Hypothesen zu \u00fcberpr\u00fcfen TH<\/p>\n

F\u00fchrend
\nHervorragende Kenntnisse in Forensik und Malware
\nPr\u00e4ventiv TH
\nLevel 3, plus:<\/p>\n

Nutzung von TH<\/i>
\nAusgezeichnetes Wissen \u00fcber Angreifer
\n\u00dcberpr\u00fcfung, Automatisierung und Validierung von Hypothesen TH
\nengere Integration von Datenquellen;<\/p>\n

F\u00e4higkeit zur Forschung<\/p>\n

Entwicklung nach Bed\u00fcrfnissen und ma\u00dfgeschneiderte Nutzung von APIs.<\/p>\n

Reifegrade von TH in Bezug auf Menschen, Prozesse und Technologien<\/i><\/p>\n

Level 0:<\/b> traditionell, ohne Nutzung von TH. \u00dcbliche Analysten arbeiten mit einem standardisierten Satz an Alarmen im passiven \u00dcberwachungsmodus unter Verwendung standardm\u00e4\u00dfiger Werkzeuge und Technologien: IDS, AV, Sandboxes, Signaturanalyse-Tools.<\/p>\n

Level 1:<\/b> experimentell, unter Verwendung von TH. Die gleichen Analysten mit grundlegenden Kenntnissen der Forensik sowie einem soliden Verst\u00e4ndnis von Netzwerken und deren praktischen Anwendungen k\u00f6nnen einmalige Threat-Hunting-Aktivit\u00e4ten durch die Suche nach Anzeichen von Kompromittierungen durchf\u00fchren. Die Tools umfassen EDR mit teilweise abgedeckten Daten von Netzwerkger\u00e4ten. Diese Werkzeuge werden teilweise eingesetzt.<\/p>\n

Stufe 2:<\/b> Regelm\u00e4\u00dfige, tempor\u00e4re TH. Den gleichen Analysten, die bereits ihre Kenntnisse in Forensik, Netzwerken und praktischen Aspekten vertieft haben, wird die regelm\u00e4\u00dfige Besch\u00e4ftigung mit Threat Hunting auferlegt, sagen wir, eine Woche pro Monat. Zu den Werkzeugen geh\u00f6ren umfassende Datenanalysen von Netzwerkinfrastrukturen, die Automatisierung der Datenanalyse von EDR und die teilweise Nutzung erweiterter Funktionen von EDR.<\/p>\n

Stufe 3:<\/b> pr\u00e4ventiv, h\u00e4ufige F\u00e4lle von TH. Unser Analytikteam hat sich in einer speziellen Gruppe organisiert und verf\u00fcgt \u00fcber umfassende Kenntnisse in Forensik und Malware sowie \u00fcber Kenntnisse der Methoden und Taktiken der Angreifer. Der Prozess wird bereits rund um die Uhr durchgef\u00fchrt. Das Team ist in der Lage, Hypothesen zu TH teilweise zu \u00fcberpr\u00fcfen, indem es die erweiterten M\u00f6glichkeiten von EDR mit vollst\u00e4ndiger Datenerfassung von Netzwerkinfrastrukturen nutzt. Zudem k\u00f6nnen die Analysten die Tools nach ihren Bed\u00fcrfnissen konfigurieren.<\/p>\n

Stufe 4:<\/b> f\u00fchrend, Nutzung von TH. Das gleiche Team hat die F\u00e4higkeit zu Forschungsarbeiten erlangt und ist in der Lage, den Prozess der Hypothesenpr\u00fcfung zu generieren und zu automatisieren. Zu den Tools kommt nun eine enge Integration der Datenquellen, die Entwicklung von Software entsprechend den Bed\u00fcrfnissen und eine unkonventionelle Nutzung von APIs hinzu.<\/p>\n

Techniken des Threat Hunting<\/h2>\n

\n\"ThreatGrundlegende Techniken des Threat Hunting<\/i><\/p>\n

Zu Techniken<\/a><\/noindex> des TH entsprechend dem Reifegrad der verwendeten Technologie geh\u00f6ren: grundlegende Suche, statistische Analyse, Visualisierungstechniken, einfache Aggregationen, maschinelles Lernen und bayesianische Methoden. <\/p>\n

Die einfachste Methode ist die grundlegende Suche, die verwendet wird, um durch spezifische Anfragen den Forschungsbereich einzugrenzen. Statistische Analysen werden beispielsweise genutzt, um ein typisches Benutzer- oder Netzwerkverhalten in Form eines statistischen Modells darzustellen. Visualisierungstechniken helfen, Daten klar darzustellen und die Analyse durch Grafiken und Diagramme zu erleichtern, in denen Muster in der Stichprobe viel einfacher zu erkennen sind. Die Technik einfacher Aggregationen nach Schl\u00fcsselbereichen wird verwendet, um die Suche und Analyse zu optimieren. Je reifer der TH-Prozess in einer Organisation wird, desto relevanter wird der Einsatz von Machine-Learning-Algorithmen. Diese werden auch vielfach zur Spamfilterung, zur Erkennung von sch\u00e4dlichem Traffic und zur Betrugserkennung eingesetzt. Eine fortgeschrittenere Art von Machine-Learning-Algorithmen sind die bayesischen Methoden, die Kategorisierungen, Dimensionsreduktionen von Stichproben und Themenmodellierungen erm\u00f6glichen.<\/p>\n

Das Diamantenmodell und TH-Strategien<\/h2>\n

\nSergio Kaltagirone, Andrew Pendergast und Christopher Betz haben in ihrer Arbeit \u201eDas Diamantenmodell der Eindringungsanalyse<\/a><\/noindex>\u201c die wesentlichen Schl\u00fcsselelemente b\u00f6sartiger Aktivit\u00e4ten und die grundlegenden Verbindungen zwischen ihnen aufgezeigt.<\/p>\n

\"ThreatDas Diamantenmodell f\u00fcr b\u00f6sartige Aktivit\u00e4ten<\/i><\/p>\n

Laut diesem Modell gibt es 4 Strategien f\u00fcr Threat Hunting, die sich auf die entsprechenden Schl\u00fcsselelemente st\u00fctzen.<\/p>\n

1. Opferorientierte Strategie. Wir nehmen an, dass das Opfer Feinde hat, die \u201eM\u00f6glichkeiten\u201c \u00fcber E-Mails verschicken. Wir suchen nach Informationen des Feindes in den E-Mails. Suche nach Links, Anh\u00e4ngen usw. Wir \u00fcberpr\u00fcfen diese Hypothese \u00fcber einen bestimmten Zeitraum (einen Monat, zwei Wochen); wenn wir nichts finden, hat die Hypothese nicht funktioniert.<\/p>\n

2. Infrastrukturorientierte Strategie. Es gibt mehrere Methoden zur Umsetzung dieser Strategie. Je nach Zugriff und Sichtbarkeit sind einige leichter als andere. Beispielsweise \u00fcberwachen wir Server von Domainnamen, die daf\u00fcr bekannt sind, b\u00f6sartige Domains zu hosten. Oder wir verfolgen alle neuen Domainregistrierungen auf bekannte Muster, die vom Gegner verwendet werden.<\/p>\n

3. Chancenorientierte Strategie. Neben der opportunistisch orientierten Strategie, die von den meisten Netzwerksch\u00fctzern verwendet wird, gibt es eine strategie, die auf M\u00f6glichkeiten fokussiert ist. Diese ist die zweith\u00e4ufigste und konzentriert sich auf die Erkennung von Gelegenheiten seitens des Gegners, insbesondere \u201eMalware\u201c und die M\u00f6glichkeit, dass der Gegner legitime Tools wie psexec, powershell, certutil und andere einsetzt.<\/p>\n

4. Gegnerorientierte Strategie. Der gegnerorientierte Ansatz konzentriert sich auf den Gegner selbst. Dazu geh\u00f6rt die Nutzung \u00f6ffentlicher Informationen aus allgemein zug\u00e4nglichen Quellen (OSINT), das Sammeln von Daten \u00fcber den Gegner, seine Techniken und Methoden (TTP), die Analyse fr\u00fcherer Vorf\u00e4lle, Threat Intelligence-Daten usw.<\/p>\n

Informationsquellen und Hypothesen im TH<\/h2>\n

\n\"ThreatEinige Informationsquellen f\u00fcr Threat Hunting<\/i><\/p>\n

Es gibt eine Vielzahl von Informationsquellen. Ein idealer Analyst sollte in der Lage sein, Informationen aus allem zu beschaffen, was ihn umgibt. Typische Quellen in nahezu jeder Infrastruktur sind Daten von Sicherheitsl\u00f6sungen: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Dazu kommen diverse Indikatoren f\u00fcr Kompromittierungen, Threat Intelligence-Dienste, Daten von CERT und OSINT. Zus\u00e4tzlich kann auch Informationen aus dem Darknet genutzt werden (zum Beispiel wenn pl\u00f6tzlich ein Auftrag zum Hacken des E-Mail-Postfachs des Gesch\u00e4ftsf\u00fchrers vorliegt, oder wenn ein Kandidat f\u00fcr die Position eines Netzwerkingenieurs auff\u00e4llt), Informationen von HR (Bewertungen \u00fcber den Kandidaten von fr\u00fcheren Arbeitsstellen) und Informationen von der Sicherheitsabteilung (zum Beispiel Ergebnisse einer \u00dcberpr\u00fcfung des Vertragspartners).<\/p>\n

Aber bevor man alle verf\u00fcgbaren Quellen nutzt, sollte man mindestens eine Hypothese aufstellen.<\/p>\n

\"ThreatQuelle<\/a><\/noindex><\/p>\n

Um Hypothesen zu \u00fcberpr\u00fcfen, m\u00fcssen sie zun\u00e4chst formuliert werden. Und um viele qualitativ hochwertige Hypothesen aufzustellen, ist ein systematischer Ansatz erforderlich. Der Prozess der Hypothesenbildung wird ausf\u00fchrlicher beschrieben in Artikel<\/a><\/noindex>, als Grundlage f\u00fcr den Hypothesenbildungsprozess ist es sehr praktisch, dieses Schema zu verwenden.<\/p>\n

Die Hauptquelle f\u00fcr Hypothesen wird sein die ATT&CK-Matrix<\/b> (Adversarial Tactics, Techniques and Common Knowledge). Sie ist im Wesentlichen eine Wissensdatenbank und ein Modell zur Bewertung des Verhaltens von Angreifern, die ihre Aktivit\u00e4ten in den letzten Phasen eines Angriffs durchf\u00fchren, typischerweise beschrieben durch das Konzept der Kill Chain. Das bedeutet, in den Phasen nach dem Eindringen des Angreifers in das interne Netzwerk eines Unternehmens oder auf ein mobiles Ger\u00e4t. Urspr\u00fcnglich umfasste die Wissensdatenbank die Beschreibung von 121 Taktiken und Techniken, die bei Angriffen verwendet werden, von denen jede detailliert im Wiki-Format beschrieben ist. Eine Vielzahl von Threat Intelligence-Analysen dient gut als Quelle zur Generierung von Hypothesen. Besonders hervorzuheben sind die Ergebnisse von Infrastruktur-Analysen und Penetrationstests \u2013 dies sind die wertvollsten Daten, die uns solide Hypothesen liefern k\u00f6nnen, da sie sich auf konkrete Infrastrukturen mit ihren spezifischen Schw\u00e4chen st\u00fctzen.<\/p>\n

Der Prozess der \u00dcberpr\u00fcfung von Hypothesen<\/h2>\n

\nSerguei Soldatov pr\u00e4sentierte ein gutes Schema<\/a><\/noindex> Mit einer detaillierten Beschreibung des Prozesses veranschaulicht sie die \u00dcberpr\u00fcfung von Hypothesen TH in einem bestimmten System. Ich werde die wichtigsten Schritte mit einer kurzen Beschreibung angeben.<\/p>\n

\"ThreatQuelle<\/a><\/noindex> <\/p>\n

Schritt 1: TI Farm<\/b><\/p>\n

In diesem Schritt m\u00fcssen Objekte<\/b> identifiziert werden (durch Analyse aller Bedrohungsdaten) und mit den entsprechenden Attributtags versehen werden. Dies k\u00f6nnen Dateien, URLs, MD5-Hashes, Prozesse, Tools oder Ereignisse sein. Sie sollten durch die Systeme der Bedrohungsanalyse geleitet und entsprechend markiert werden. Das bedeutet, dass diese Website in einem bestimmten Jahr in CNC beobachtet wurde, dieser MD5-Hash mit einer bestimmten Malware assoziiert war und dieser MD5-Hash von einer Website heruntergeladen wurde, die Malware verbreitete.<\/p>\n

Schritt 2: F\u00e4lle<\/b><\/p>\n

Im zweiten Schritt betrachten wir die Interaktionen zwischen diesen Objekten und identifizieren die Zusammenh\u00e4nge. Wir erhalten gekennzeichnete Systeme, die etwas Unerw\u00fcnschtes tun.<\/p>\n

Schritt 3: Analytiker<\/b><\/p>\n

Im dritten Schritt wird der Fall einem erfahrenen Analysten \u00fcbergeben, der \u00fcber umfangreiche Erfahrung in der Analyse verf\u00fcgt. Er wird die Situation bis ins kleinste Detail untersuchen: was, woher, wie, warum dieser Code agiert. Dieser K\u00f6rper war b\u00f6sartig, dieser Computer war infiziert. Er deckt die Verbindungen zwischen den Objekten auf und \u00fcberpr\u00fcft die Ergebnisse der Ausf\u00fchrung im Sandbox-Umfeld.<\/p>\n

Die Ergebnisse der Analystenarbeit werden weitergegeben. Digital Forensics untersucht die Images, Malware Analysis analysiert die gefundenen \"K\u00f6rper\", w\u00e4hrend das Incident Response-Team vor Ort entsendet werden kann, um bereits vorhandenere Elemente zu untersuchen. Das Ergebnis dieser Arbeit wird eine best\u00e4tigte Hypothese, eine identifizierte Bedrohung und Ma\u00dfnahmen zu deren Bek\u00e4mpfung sein.<\/p>\n

\"ThreatQuelle<\/a><\/noindex>
\n \u00a0<\/p>\n

Ergebnisse<\/h2>\n

\nThreat Hunting ist eine relativ neue Technologie, die effektiv gegen ma\u00dfgeschneiderte, neue und unkonventionelle Bedrohungen vorgehen kann. Angesichts des Anstiegs solcher Bedrohungen und der Komplexit\u00e4t von Unternehmensinfrastrukturen bietet sie gro\u00dfes Potenzial. Sie erfordert drei Komponenten \u2013 Daten, Werkzeuge und Analysten. Der Nutzen von Threat Hunting beschr\u00e4nkt sich nicht nur auf die Vorbeugung von Bedrohungen. Es ist wichtig zu beachten, dass wir im Suchprozess unsere Infrastruktur und deren Schwachstellen durch die Augen eines Sicherheitsexperten analysieren und dabei diese Schwachstellen zus\u00e4tzlich verst\u00e4rken k\u00f6nnen.<\/p>\n

Die ersten Schritte, die wir f\u00fcr notwendig halten, um den Prozess des Threat Hunting in Ihrer Organisation zu initiieren.<\/p>\n

    \n
  1. Sichern Sie die Endger\u00e4te und die Netzwerkinfrastruktur. Stellen Sie die Sichtbarkeit (NetFlow) und Kontrolle (Firewall, IDS, IPS, DLP) aller Prozesse in Ihrem Netzwerk sicher. Kennen Sie Ihr Netzwerk vom Grenzrouter bis zum letzten Host.<\/li>\n
  2. Erforschen MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. F\u00fchren Sie regelm\u00e4\u00dfige Penetrationstests mindestens f\u00fcr wichtige externe Ressourcen durch, analysieren Sie die Ergebnisse, identifizieren Sie die Hauptziele f\u00fcr Angriffe und schlie\u00dfen Sie deren Schwachstellen.<\/li>\n
  4. Implementieren Sie ein Open-Source-Threat-Intelligence-System (z. B. MISP, Yeti) und f\u00fchren Sie gemeinsam mit diesem eine Protokollanalyse durch.<\/li>\n
  5. Implementieren Sie eine Incident-Response-Plattform (IRP): R-Vision IRP, The Hive, eine Sandbox f\u00fcr die Analyse verd\u00e4chtiger Dateien (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatisieren Sie Routineprozesse. Protokollanalysen, Ereigniserfassung, Information des Personals \u2013 hier gibt es enormes Automatisierungspotenzial.<\/li>\n
  7. Lernen Sie, effektiv mit Ingenieuren, Entwicklern und dem technischen Support zusammenzuarbeiten, um gemeinsam an Vorf\u00e4llen zu arbeiten.<\/li>\n
  8. Dokumentieren Sie den gesamten Prozess, wichtige Punkte und erzielte Ergebnisse, um sp\u00e4ter darauf zur\u00fcckzugreifen oder diese Informationen mit Kollegen zu teilen.<\/li>\n
  9. Denken Sie an die soziale Dimension: Seien Sie sich bewusst, was mit Ihren Mitarbeitern passiert, wen Sie einstellen und wem Sie Zugang zu den Informationsressourcen der Organisation gew\u00e4hren.<\/li>\n
  10. Bleiben Sie \u00fcber Trends in Bezug auf neue Bedrohungen und Schutzma\u00dfnahmen informiert, erh\u00f6hen Sie Ihr technisches Wissen (einschlie\u00dflich \u00fcber IT-Services und Subsysteme), besuchen Sie Konferenzen und tauschen Sie sich mit Kollegen aus.<\/li>\n<\/ol>\n

    \nIch bin bereit, die Organisation des TH-Prozesses in den Kommentaren zu diskutieren.<\/p>\n

    Oder kommen Sie zu uns ins Team!<\/b><\/p>\n