{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Wie Traffic-Analyse-Systeme die Taktiken von Hackern gem\u00e4\u00df MITRE ATT&CK am Beispiel von PT Network Attack Discovery erkennen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wie<\/a><\/noindex><\/p>\n

Laut Verizon<\/a><\/noindex>, treten die meisten (87%) Sicherheitsvorf\u00e4lle in wenigen Minuten auf, w\u00e4hrend die Erkennung bei 68% der Unternehmen Monate dauert. Dies wird auch durch eine Studie des Ponemon Institute<\/a><\/noindex>, die zeigt, dass die meisten Organisationen im Durchschnitt 206 Tage f\u00fcr die Erkennung eines Vorfalls ben\u00f6tigen. Unsere Untersuchungen zeigen, dass Hacker jahrelang die Infrastruktur eines Unternehmens kontrollieren k\u00f6nnen, ohne entdeckt zu werden. In einer der Organisationen, in der unsere Experten einen Sicherheitsvorfall untersuchten, wurde festgestellt, dass Hacker die gesamte Infrastruktur der Organisation vollst\u00e4ndig kontrollierten und regelm\u00e4\u00dfig wichtige Informationen stahlen \u00fcber einen Zeitraum von acht Jahren.<\/a><\/noindex>.<\/p>\n

Angenommen, Sie haben bereits ein SIEM implementiert, das Protokolle sammelt und Ereignisse analysiert, und es sind Antivirenprogramme auf den Endpunkten installiert. Dennoch lassen sich nicht alle Vorf\u00e4lle mit einem SIEM erkennen<\/a><\/noindex>, ebenso ist es unm\u00f6glich, EDR-Systeme in das gesamte Netzwerk zu integrieren, wodurch \u201eblinde\u201c Zonen unvermeidlich sind. Diese werden durch Netzwerkverkehrsanalyse-Systeme (NTA) unterst\u00fctzt. Diese L\u00f6sungen erkennen die Aktivit\u00e4ten von Angreifern in den fr\u00fchesten Phasen des Eindringens in das Netzwerk sowie w\u00e4hrend der Versuche, sich festzusetzen und den Angriff im Netzwerk weiterzuentwickeln. <\/p>\n

NTA gibt es in zwei Formen: Die einen arbeiten mit NetFlow, die anderen analysieren den Rohverkehr. Der Vorteil der zweiten Systemart besteht darin, dass sie Rohverkehrsprotokolle speichern k\u00f6nnen. Dadurch kann ein IT-Sicherheitsspezialist die Erfolgsquote eines Angriffs \u00fcberpr\u00fcfen, Bedrohungen lokalisieren, verstehen, wie der Angriff stattgefunden hat und wie \u00e4hnliche Vorf\u00e4lle in der Zukunft verhindert werden k\u00f6nnen.<\/p>\n

Wir werden zeigen, wie man mithilfe von NTA alle bekannten Angriffstaktiken, die in der Wissensdatenbank beschrieben sind, anhand direkter oder indirekter Indikatoren erkennen kann. MITRE ATT&CK<\/a><\/noindex>Wir werden jede der 12 Taktiken erl\u00e4utern, die Techniken analysieren, die anhand des Verkehrs erkannt werden, und deren Erkennung durch unser NTA-System demonstrieren. <\/a><\/noindex><\/p>\n

\u00dcber die ATT&CK-Wissensdatenbank<\/h2>\n

\nMITRE ATT&CK ist eine \u00f6ffentliche Wissensdatenbank, die von der MITRE Corporation auf der Grundlage der Analyse realer APTs entwickelt und gepflegt wird. Sie stellt eine strukturierte Sammlung von Taktiken und Techniken dar, die von Angreifern verwendet werden. Dies erm\u00f6glicht es IT-Sicherheitsspezialisten auf der ganzen Welt, dieselbe Sprache zu sprechen. Die Datenbank wird st\u00e4ndig erweitert und um neue Erkenntnisse erg\u00e4nzt.<\/p>\n

In der Datenbank werden 12 Taktiken hervorgehoben, die nach den Phasen eines Cyberangriffs unterteilt sind: <\/p>\n