{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Wie Traffic-Analysetools Hacker-Taktiken gem\u00e4\u00df MITRE ATT&CK erkennen, am Beispiel von PT Network Attack Discovery","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wie<\/a><\/noindex><\/p>\n

Laut Verizon<\/a><\/noindex>, kommen die meisten (87 %) IT-Sicherheitsvorf\u00e4lle innerhalb von Minuten vor, w\u00e4hrend es 68 % der Unternehmen Monate dauert, um sie zu entdecken. Dies wird auch durch eine Untersuchung des Ponemon Institute<\/a><\/noindex>best\u00e4tigt, wonach die meisten Organisationen im Durchschnitt 206 Tage ben\u00f6tigen, um einen Vorfall zu erkennen. Aus unseren Ermittlungen wissen wir, dass Hacker jahrelang die Infrastruktur eines Unternehmens kontrollieren k\u00f6nnen, ohne entdeckt zu werden. In einer Organisation, in der unsere Experten einen IT-Sicherheitsvorfall untersuchten, stellte sich heraus, dass Hacker die gesamte Infrastruktur der Organisation vollst\u00e4ndig kontrollierten und regelm\u00e4\u00dfig wichtige Daten \u00fcber einen Zeitraum von acht Jahren entwendeten.<\/a><\/noindex>.<\/p>\n

Angenommen, Sie haben bereits ein SIEM-System, das Protokolle sammelt und Ereignisse analysiert, und Antivirus-Programme auf den Endpunkten installiert. Dennoch k\u00f6nnen nicht alle Vorf\u00e4lle mit SIEM entdeckt werden.<\/a><\/noindex>, wie es unm\u00f6glich ist, ein EDR-System im gesamten Netzwerk zu implementieren, was bedeutet, dass \u201eblinde\u201c Zonen unvermeidlich sind. Damit umgehen zu k\u00f6nnen, helfen Systeme zur Netzwerkverkehrsanalyse (Network Traffic Analysis, NTA). Diese L\u00f6sungen erkennen die Aktivit\u00e4ten von Angreifern bereits in den fr\u00fchesten Phasen des Eindringens in das Netzwerk sowie w\u00e4hrend der Versuche, sich festzusetzen und den Angriff im Netzwerk auszubauen. <\/p>\n

Es gibt zwei Arten von NTA: Die einen arbeiten mit NetFlow, die anderen analysieren Rohdatenverkehr. Der Vorteil der zweiten Systeme besteht darin, dass sie Aufzeichnungen des Rohdatenverkehrs speichern k\u00f6nnen. Dadurch kann ein IT-Sicherheitsspezialist die Erfolgschancen eines Angriffs \u00fcberpr\u00fcfen, die Bedrohung lokalisieren, verstehen, wie der Angriff erfolgt ist, und wie man \u00e4hnliche Angriffe in der Zukunft verhindern kann.<\/p>\n

Wir zeigen, wie man mit Hilfe von NTA durch direkte oder indirekte Indikatoren alle bekannten Angriffstaktiken identifizieren kann, die in der Wissensdatenbank beschrieben sind. MITRE ATT&CK<\/a><\/noindex>Wir werden jede der 12 Taktiken erl\u00e4utern, die Techniken analysieren, die durch den Datenverkehr erkannt werden, und deren Erkennung mit unserem NTA-System demonstrieren. <\/a><\/noindex><\/p>\n

\u00dcber die Wissensdatenbank ATT&CK<\/h2>\n

\nMITRE ATT&CK ist eine \u00f6ffentliche Wissensdatenbank, die von der MITRE Corporation entwickelt und gepflegt wird. Sie basiert auf der Analyse realer APTs und stellt einen strukturierten Satz von Taktiken und Techniken bereit, die von Angreifern verwendet werden. Dies erm\u00f6glicht Sicherheitsexperten weltweit, auf einer gemeinsamen Grundlage zu kommunizieren. Die Datenbank wird st\u00e4ndig erweitert und mit neuem Wissen aktualisiert.<\/p>\n

Die Datenbank hebt 12 Taktiken hervor, die nach den Phasen eines Cyberangriffs unterteilt sind: <\/p>\n