{"id":96242,"date":"2020-10-09T19:42:33","date_gmt":"2020-10-09T17:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza"},"modified":"2020-10-09T19:42:33","modified_gmt":"2020-10-09T17:42:33","slug":"dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","title":{"rendered":"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>(Danke f\u00fcr die Idee des Titels, Sergey G. Brester) <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/users\/sebres\/\" class=\"user_link\">sebres<\/a><\/noindex>)<\/p>\n<p>Kollegen, das Ziel dieses Artikels ist es, Erfahrungen aus einem Jahr Testbetrieb einer neuen Klasse von IDS-L\u00f6sungen auf Basis von Deception-Technologien zu teilen. <\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/f641b6735cf846d12a0081c7709662e7.png\" style=\"display:block;margin: 0 auto;\" \/><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<p>Um die logische Koh\u00e4renz der Darstellung zu wahren, halte ich es f\u00fcr notwendig, mit den Voraussetzungen zu beginnen. Also, das Problembewusstsein:<\/p>\n<ol>\n<li>Gezielte Angriffe sind die gef\u00e4hrlichste Art von Angriffen, obwohl ihr Anteil an der Gesamtanzahl der Bedrohungen relativ gering ist. <\/li>\n<li>Es gibt noch kein garantiert effektives Mittel zum Schutz des Perimeters (oder einen Komplex solcher Mittel). <\/li>\n<li>In der Regel verlaufen gezielte Angriffe in mehreren Phasen. Das \u00dcberwinden des Perimeters ist nur eine der Anfangsphasen, die (werfen Sie mir Steine, wenn Sie wollen) nicht viel Schaden f\u00fcr das 'Opfer' anrichtet, es sei denn, es handelt sich um DEoS-Angriffe (Destruction of Service) (Ransomware usw.). Der wirkliche 'Schmerz' beginnt sp\u00e4ter, wenn die erbeuteten Ressourcen f\u00fcr das Pivoting und die vertiefte Entwicklung des Angriffs genutzt werden und wir das nicht bemerken. <\/li>\n<li>Da wir echte Verluste erst erleiden, wenn die Angreifer tats\u00e4chlich ihre Angriffsziel erreichen (Anwendungsserver, Datenbanken, Datenspeicher, Repositories, Elemente der kritischen Infrastruktur), ist es logisch, dass eine der Aufgaben des Sicherheitsdienstes darin besteht, Angriffe vor diesem tragischen Ereignis zu unterbrechen. Aber um etwas zu unterbrechen, muss man zuerst davon wissen. Und je fr\u00fcher \u2013 desto besser. <\/li>\n<li>Daher ist es entscheidend f\u00fcr ein erfolgreiches Risikomanagement (also die Minderung von Verlusten aus gezielten Angriffen), \u00fcber Werkzeuge zu verf\u00fcgen, die eine minimale TTD (time to detect \u2013 Zeit vom Eindringen bis zur Entdeckung des Angriffs) gew\u00e4hrleisten. Je nach Branche und Region betr\u00e4gt dieser Zeitraum im Durchschnitt 99 Tage in den USA, 106 Tage in der EMEA-Region, 172 Tage in der APAC-Region (M-Trends 2017, A View From the Front Lines, Mandiant). <\/li>\n<li>Was bietet der Markt?\n<ul>\n<li>\u201eSandk\u00e4sten\u201c. Eine weitere pr\u00e4ventive Ma\u00dfnahme, die weit von der Idealvorstellung entfernt ist. Es gibt zahlreiche effektive Techniken, um Sandk\u00e4sten oder Whitelisting-L\u00f6sungen zu entdecken und zu umgehen. Die Leute von der \u201edunklen Seite\u201c sind hier bisher einen Schritt voraus. \n<\/li>\n<li>UEBA (Verhaltensprofilierung und Abweichungserkennungssysteme) kann theoretisch sehr effektiv sein. Aber meiner Meinung nach ist das etwas, das in ferner Zukunft liegen wird. In der Praxis ist es derzeit sehr teuer, unzuverl\u00e4ssig und erfordert eine reife und stabile IT- und Sicherheitsinfrastruktur, in der bereits alle Werkzeuge vorhanden sind, die Daten f\u00fcr die Verhaltensanalyse generieren.\n<\/li>\n<li>SIEM ist ein gutes Werkzeug f\u00fcr Untersuchungen, aber es ist nicht in der Lage, etwas Neues, Originelles rechtzeitig zu erkennen und anzuzeigen, weil die Korrelationsregeln dieselben Signaturen sind. <\/li>\n<\/ul>\n<p>\n <\/li>\n<li>Daher besteht die Notwendigkeit f\u00fcr ein solches Werkzeug, das:\n<ul>\n<li>unter Bedingungen eines bereits kompromittierten Perimeters erfolgreich arbeitet,\n<\/li>\n<li>erfolgreiche Angriffe in nahezu Echtzeit entdeckt, unabh\u00e4ngig von den verwendeten Werkzeugen und Schwachstellen,<\/li>\n<li>nicht von Signaturen\/Regeln\/Szenarien\/Politiken\/Profilen und anderen statischen Dingen abh\u00e4ngt,<\/li>\n<li>keine gro\u00dfen Datenmengen und ihre Quellen f\u00fcr die Analyse ben\u00f6tigt,<\/li>\n<li>Angriffe nicht als eine Art Risiko-Scoring infolge der Arbeit einer \"weltbesten, patentierten und daher gesch\u00fctzten Mathematik\" definiert, die zus\u00e4tzliche Untersuchungen erfordert, sondern praktisch als bin\u00e4res Ereignis \u2013 \"Ja, wir werden angegriffen\" oder \"Nein, alles ist in Ordnung\",<\/li>\n<li>universell ist, effektiv skalierbar und in jeder heterogenen Umgebung wirklich implementierbar, unabh\u00e4ngig von der verwendeten physischen und logischen Netzwerktopologie.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>\nAuf die Rolle eines solchen Werkzeugs bewerben sich derzeit die sogenannten Deception-L\u00f6sungen. Das sind L\u00f6sungen, die auf dem alten, bew\u00e4hrten Konzept von Honeypots basieren, jedoch mit einem v\u00f6llig anderen Umsetzungsgrad. Dieses Thema ist derzeit eindeutig im Aufschwung.<\/p>\n<p>Laut den Ergebnissen <noindex><a rel=\"nofollow\" href=\"https:\/\/www.gartner.com\/newsroom\/id\/3744917\">Gartner Security &amp; Risk Management Summit 2017<\/a><\/noindex> Deception-L\u00f6sungen geh\u00f6ren zu den Top 3 Strategien und Werkzeugen, die empfohlen werden. <\/p>\n<p>Laut dem Bericht <noindex><a rel=\"nofollow\" href=\"https:\/\/www.tag-cyber.com\/Annual\/2017\/\">TAG Cybersecurity Annual 2017<\/a><\/noindex> ist Deception eines der Hauptentwicklungsrichtungen f\u00fcr IDS (Intrusion Detection Systems).<\/p>\n<p>Eine gesamte Sektion des neuesten <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/security-reports.html\">Berichts von Cisco zur IT-Sicherheit<\/a><\/noindex>, die SCADA gewidmet ist, basiert auf den Daten eines der Marktf\u00fchrer, TrapX Security (Israel), deren L\u00f6sung bereits seit einem Jahr in unserer Testumgebung l\u00e4uft. <\/p>\n<p>TrapX Deception Grid erm\u00f6glicht den zentralen Aufbau und Betrieb massierter, verteilter IDS, ohne die Lizenzbelastung und Hardwareanforderungen zu erh\u00f6hen. Tats\u00e4chlich ist TrapX ein Baukastensystem, das es erm\u00f6glicht, aus Bausteinen der bestehenden IT-Infrastruktur einen gro\u00dfen Mechanismus zur Erkennung von Angriffen auf Unternehmensebene zu schaffen, eine Art verteilte Netzwerksignalisierung. <\/p>\n<h3>L\u00f6sungstruktur<\/h3>\n<p>\nIn unserem Labor untersuchen und testen wir st\u00e4ndig verschiedene Neuheiten im Bereich IT-Sicherheit. Aktuell sind hier etwa 50 unterschiedliche virtuelle Server eingerichtet, einschlie\u00dflich der Komponenten von TrapX Deception Grid.<\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/9c9c21101020c1005edc938a3a7ca393.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAlso, von oben nach unten:<\/p>\n<ol>\n<li>TSOC (TrapX Security Operation Console) \u2013 das Gehirn des Systems. Dies ist das zentrale Management-Panel, \u00fcber das die Konfiguration, Bereitstellung der L\u00f6sung und die gesamte t\u00e4gliche Arbeit erfolgt. Da es sich um einen Webservice handelt, kann es \u00fcberall eingerichtet werden \u2013 an der Peripherie, in der Cloud oder bei einem MSSP-Anbieter. <\/li>\n<li>TrapX Appliance (TSA) \u2013 ein virtueller Server, an den wir \u00fcber einen Trunk-Port die Subnetze anschlie\u00dfen, die wir \u00fcberwachen m\u00f6chten. Hier ''leben'' auch alle unsere Netzsensoren.\n<p>In unserem Labor ist ein TSA (mwsapp1) bereitgestellt, aber tats\u00e4chlich kann es davon viele geben. Dies kann in gro\u00dfen Netzwerken notwendig sein, in denen zwischen den Segmenten keine L2-Konnektivit\u00e4t existiert (typisches Beispiel \u2013 ''Holding und Tochterunternehmen'' oder ''Hauptsitz einer Bank und Filialen'') oder wenn es in Netzwerken isolierte Segmente gibt, beispielsweise in der industriellen Automatisierung. In jedem solchen Standort\/Segment kann ein eigener TSA bereitgestellt und mit dem zentralen TSOC verbunden werden, auf dem alle Informationen zentral verarbeitet werden. Diese Architektur erm\u00f6glicht den Aufbau verteilter \u00dcberwachungssysteme, ohne dass eine grundlegende Umstrukturierung des Netzwerks oder eine St\u00f6rung der bestehenden Segmentierung erforderlich ist.<\/p>\n<p>Au\u00dferdem k\u00f6nnen wir an der TSA eine Kopie des ausgehenden Datenverkehrs \u00fcber TAP\/SPAN einspeisen. Im Falle von Verbindungen zu bekannten Botnets, Command-and-Control-Servern oder TOR-Sitzungen erhalten wir auch Ergebnisse in der Konsole. Daf\u00fcr ist der Network Intelligence Sensor (NIS) verantwortlich. In unserer Umgebung wird diese Funktionalit\u00e4t an der Firewall realisiert, daher haben wir sie hier nicht verwendet. <\/li>\n<li>Anwendungstraps (Full OS) \u2013 traditionelle Honeypots auf Basis von Windows-Servern. Es sind nicht viele erforderlich, da die Hauptaufgabe dieser Server darin besteht, IT-Dienste an die n\u00e4chste Ebene von Sensoren bereitzustellen oder Angriffe auf Business-Anwendungen zu erkennen, die in einer Windows-Umgebung ausgerollt werden k\u00f6nnen. In unserem Labor haben wir einen solchen Server installiert (FOS01).\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/8de44215efff4a49f3b773da10185a73.png\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<li>Emulierte Traps \u2013 der Hauptbestandteil der L\u00f6sung, der es uns erm\u00f6glicht, mit nur einer einzigen virtuellen Maschine ein sehr dichtes \u201eminesweeper\u201c-Feld f\u00fcr Angreifer zu schaffen und das Unternehmensnetzwerk, einschlie\u00dflich aller seiner VLANs, mit unseren Sensoren zu saturieren. Ein Angreifer sieht einen solchen Sensor oder phantomhaften Host als echten Windows-PC oder -Server, Linux-Server oder ein anderes Ger\u00e4t, das wir ihm zeigen m\u00f6chten.\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/306c21046c5baadd591b66cdfe153ec2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nZur besseren Veranschaulichung und aus Neugier haben wir f\u00fcr jede Art von Ger\u00e4t eine Reihe bereitgestellt \u2013 Windows-PCs und Server verschiedener Versionen, Linux-Server, einen Geldautomaten mit Windows Embedded, SWIFT Web Access, einen Netzwerkdrucker, einen Cisco-Switch, eine Axis-IP-Kamera, ein MacBook, ein PLC-Ger\u00e4t und sogar eine smarte Gl\u00fchbirne. Insgesamt sind das 13 Hosts. Generell empfiehlt der Anbieter, solche Sensoren in einer Anzahl von mindestens 10% der Anzahl der realen Hosts zu implementieren. Die obere Grenze ist der verf\u00fcgbare Adressraum. <\/p>\n<p>Ein sehr wichtiger Punkt ist, dass jeder solcher Hosts keine vollwertige virtuelle Maschine ist, die Ressourcen und Lizenzen ben\u00f6tigt. Es handelt sich um einen \u201eFake\u201c, eine Emulation, einen Prozess auf TSA, der eine Reihe von Parametern und eine IP-Adresse hat. Daher k\u00f6nnen wir selbst mit einem einzigen TSA das Netzwerk mit Hunderten solcher phantomhaften Hosts versorgen, die als Sensoren in einem Alarmsystem fungieren. Diese Technologie erm\u00f6glicht es, das Konzept der \u201eHoneypots\u201c wirtschaftlich effizient im Ma\u00dfstab jedes gro\u00dfen verteilten Unternehmens zu skalieren. <\/p>\n<p>Diese Hosts sind aus der Perspektive von Angreifern attraktiv, da sie Schwachstellen enthalten und relativ leichte Ziele darstellen. Ein Angreifer sieht Dienste auf diesen Hosts und kann mit ihnen interagieren, sie angreifen, indem er Standardwerkzeuge und -protokolle (smb\/wmi\/ssh\/telnet\/web\/dnp\/bonjour\/Modbus usw.) verwendet. Es ist jedoch nicht m\u00f6glich, diese Hosts zur Angriffsentwicklung oder zum Ausf\u00fchren eigenen Codes zu nutzen.\n<\/li>\n<li>Die Kombination dieser beiden Technologien (FullOS und emulierte Fallen) erm\u00f6glicht eine hohe statistische Wahrscheinlichkeit, dass ein Angreifer fr\u00fcher oder sp\u00e4ter auf ein Element unseres Signalsystems st\u00f6\u00dft. Aber wie kann man sicherstellen, dass diese Wahrscheinlichkeit nahe bei 100 % liegt?\n<p>Es kommen so genannte Tokens (Deception tokens) ins Spiel. Dank ihnen k\u00f6nnen wir alle verf\u00fcgbaren PCs und Server des Unternehmens in unser verteiltes IDS integrieren. Die Tokens werden auf echten PCs der Benutzer platziert. Es ist wichtig zu verstehen, dass Tokens keine Agenten sind, die Ressourcen verbrauchen und Konflikte verursachen k\u00f6nnen. Tokens sind passive Informationselemente, eine Art \u201eBrotkrumen\u201c f\u00fcr die angreifende Seite, die sie in eine Falle f\u00fchren. Zum Beispiel verbundene Netzlaufwerke, Links zu gef\u00e4lschten Web-Admin-Oberfl\u00e4chen im Browser und gespeicherte Passw\u00f6rter zu diesen, gespeicherte ssh\/rdp\/winscp-Sitzungen, unsere Fallen mit Kommentaren in Hosts-Dateien, in den Speichern gespeicherte Passw\u00f6rter und Anmeldeinformationen f\u00fcr nicht existierende Benutzer, B\u00fcrodokumente, deren \u00d6ffnung die Ausl\u00f6sung des Systems hervorrufen w\u00fcrde, und vieles mehr. So versetzen wir den Angreifer in eine verzerrte Umgebung, ges\u00e4ttigt mit den Angriffsvektoren, die f\u00fcr uns tats\u00e4chlich keine Bedrohung darstellen, sondern eher das Gegenteil. Er hat keine M\u00f6glichkeit zu erkennen, wo die wahre Information liegt und wo die falsche. Auf diese Weise sichern wir nicht nur eine schnelle Erkennung eines Angriffs, sondern verlangsamen auch dessen Verlauf erheblich. <\/li>\n<\/ol>\n<p>\n<img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/812409dca0c8bc991c7e9812f16d77cf.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Beispiel f\u00fcr die Erstellung einer Netzwerkfalle und die Konfiguration von Tokens. Benutzerfreundliche Oberfl\u00e4che und keinerlei manuelle Anpassung von Konfigurationen, Skripten usw.<\/i><\/p>\n<p>In unserer Umgebung haben wir eine Reihe solcher Tokens auf FOS01 unter Windows Server 2012R2 und einem Test-PC unter Windows 7 konfiguriert und platziert. Auf diesen Maschinen l\u00e4uft RDP, und wir \u201eh\u00e4ngen\u201c sie regelm\u00e4\u00dfig in die DMZ, wo auch mehrere unserer Sensoren (emulierte Fallen) platziert sind. Auf diese Weise erhalten wir einen konstanten Fluss von Vorf\u00e4llen, sozusagen auf nat\u00fcrliche Weise. <\/p>\n<p>Hier also eine kurze Statistik f\u00fcr das Jahr:<\/p>\n<p>56 208 \u2013 Vorf\u00e4lle wurden registriert,<br \/>\n2 912 \u2013 Quellenhosts von Angriffen wurden entdeckt. <\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/0b2404084a997ba5fe4ad33303501612.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Interaktive, klickbare Karte der Angriffe.<\/i><\/p>\n<p>Dabei erzeugt die L\u00f6sung kein Mega-Log oder eine Ereignisliste, die schwer zu durchschauen ist. Stattdessen klassifiziert die L\u00f6sung die Ereignisse selbst nach ihren Typen und erm\u00f6glicht es dem Sicherheitsteam, sich zun\u00e4chst auf die gef\u00e4hrlichsten zu konzentrieren \u2013 wenn der Angreifer versucht, Steuerungs\u00adsitzungen zu initiieren (Interaction) oder wenn wir in unserem Verkehr bin\u00e4re Payloads (Infection) feststellen. <\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/d0ad109bae7dc0fb80182d43be713d4e.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAlle Informationen \u00fcber Ereignisse sind lesbar und werden, meiner Meinung nach, in einer leicht verst\u00e4ndlichen Form pr\u00e4sentiert, selbst f\u00fcr einen Benutzer mit grundlegenden Kenntnissen in der Informationssicherheit. <\/p>\n<p>Die meisten der erfassten Vorf\u00e4lle sind Versuche, unsere Hosts oder einzelne Verbindungen zu scannen. <\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/ea87b3592b2d3727815050b9fd1f708e.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nOder Versuche, Passw\u00f6rter f\u00fcr RDP zu knacken.<\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/645b5984d1ffaf31758fb23e9a23c9eb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEs gab jedoch auch interessantere F\u00e4lle, insbesondere als es den Angreifern 'gelang', ein Passwort f\u00fcr RDP zu erraten und Zugang zum lokalen Netzwerk zu erhalten. <\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/3cde5beadaa306d32c382f66bd67ec33.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDer Angreifer versucht, Code mit psexec auszuf\u00fchren.<\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/1356ef44f3581b37c3163ce454fecf14.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDer Angreifer fand eine gespeicherte Sitzung, die ihn in eine Falle in Form eines Linux-Servers f\u00fchrte. Sofort nach der Verbindung mit einem vorbereiteten Befehlssatz versuchte er, alle Protokolldateien und die entsprechenden Systemvariablen zu l\u00f6schen.<\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/6d8994cd3bb2268e45540e5bbcdc74a4.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDer Angreifer versucht, eine SQL-Injection auf einer Falle durchzuf\u00fchren, die den SWIFT Web Access emuliert.<\/p>\n<p>Neben solchen 'nat\u00fcrlichen' Angriffen haben wir auch einige eigene Tests durchgef\u00fchrt. Einer der aussagekr\u00e4ftigsten ist der Test zur Erkennung von Netzwerkw\u00fcrmern im Netzwerk. Daf\u00fcr haben wir das Tool von GuardiCore verwendet, das hei\u00dft <noindex><a rel=\"nofollow\" href=\"http:\/\/www.guardicore.com\/infectionmonkey\/\">Infection Monkey<\/a><\/noindex>. Es ist ein Netzwerkwurm, der Windows und Linux infizieren kann, jedoch ohne eine 'n\u00fctzliche' Payload. <br \/>\nWir haben ein lokales Kommandozentrum eingerichtet, auf einem der Maschinen den ersten Wurm-Exemplar gestartet und erhielten die erste Benachrichtigung in der TrapX-Konsole innerhalb von anderthalb Minuten. TTD 90 Sekunden im Vergleich zu durchschnittlich 106 Tagen \u2026 <\/p>\n<p>Dank der M\u00f6glichkeit zur Integration mit anderen L\u00f6sungsklassen k\u00f6nnen wir nicht nur von schneller Bedrohungserkennung zu automatischer Reaktion \u00fcbergehen. <\/p>\n<p>So wird zum Beispiel die Integration mit NAC (Network Access Control)-Systemen oder mit CarbonBlack es erm\u00f6glichen, kompromittierte PCs automatisch vom Netzwerk zu trennen. <\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/4364d6374b57e5741e33f8981b4cb0ad.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDie Integration mit Sandboxes erm\u00f6glicht es, Dateien, die an Angriffen beteiligt sind, automatisch zur Analyse zu \u00fcbermitteln. <\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/c66b8051d0dbd31c1215329d1b55930b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>Integration mit McAfee<\/h3>\n<p>\nAuch die L\u00f6sung verf\u00fcgt \u00fcber ein integriertes System zur Ereigniskorrelation.<\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/d4030212690f3ee1f1a641c49bc90960.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAber wir waren mit ihren M\u00f6glichkeiten nicht zufrieden, daher haben wir sie mit HP ArcSight integriert.<\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/f08d607c5b4abf8dc354f65ed2591ebc.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDas integrierte Ticket-System hilft uns, mit den entdeckten Bedrohungen \"gemeinsam\" umzugehen.<\/p>\n<p><img decoding=\"async\" alt=\"Ein Loch als Sicherheitsinstrument \u2013 2, oder wie man APT \u00abauf den K\u00f6der\u00bb f\u00e4ngt\" src=\"\/wp-content\/uploads\/2020\/10\/0e78fa59b2f2b114fa9bdf572f37ea96.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nDa die L\u00f6sung von Anfang an f\u00fcr die Bed\u00fcrfnisse von staatlichen Stellen und gro\u00dfen Unternehmenssegmenten entwickelt wurde, verf\u00fcgt sie nat\u00fcrlich \u00fcber ein Rollenzugriffsmodell, Integration mit AD, ein ausgekl\u00fcgeltes Berichtswesen und Trigger (Ereignisbenachrichtigungen), sowie eine Orchestrierung f\u00fcr gro\u00dfe Holdingstrukturen oder MSSP-Anbieter. <\/p>\n<h3>Statt eines Lebenslaufs<\/h3>\n<p>\nWenn es ein solches \u00dcberwachungssystem gibt, das, bildlich gesprochen, unseren R\u00fccken deckt, dann f\u00e4ngt die Kompromittierung des Perimeters erst an. Das Wichtigste ist, dass wir die echte M\u00f6glichkeit haben, gegen IKT-Incidents zu k\u00e4mpfen, anstatt nur die Folgen zu beseitigen.<br \/>\n<br \/>Quelle: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/softline\/blog\/413893\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G. Brester sebres) \u041a\u043e\u043b\u043b\u0435\u0433\u0438, \u0446\u0435\u043b\u044c\u044e \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0436\u0435\u043b\u0430\u043d\u0438\u0435 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u043e\u043f\u044b\u0442\u043e\u043c \u0433\u043e\u0434\u0438\u0447\u043d\u043e\u0439 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430 IDS-\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 Deception-\u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0439. \u0427\u0442\u043e\u0431\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0441\u0432\u044f\u0437\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430, \u0441\u0447\u0438\u0442\u0430\u044e \u043d\u0443\u0436\u043d\u044b\u043c \u043d\u0430\u0447\u0430\u0442\u044c \u0441 \u043f\u0440\u0435\u0434\u043f\u043e\u0441\u044b\u043b\u043e\u043a. \u0418\u0442\u0430\u043a, \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0442\u0438\u043a\u0430: \u041d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0430\u0442\u0430\u043a\u0438 \u2013 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u043e\u043f\u0430\u0441\u043d\u044b\u0439 \u0432\u0438\u0434 \u0430\u0442\u0430\u043a, \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0432 \u043e\u0431\u0449\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0435 \u0443\u0433\u0440\u043e\u0437 \u0438\u0445 \u0443\u0434\u0435\u043b\u044c\u043d\u044b\u0439 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":96243,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-96242","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.1.1 - aioseo.com -->\n\t<meta name=\"description\" content=\"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza\" \/>\n\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.1.1\" \/>\n\t\t<meta property=\"og:locale\" content=\"de_DE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0414\u044b\u0440\u0430 \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u2013 2, \u0438\u043b\u0438 \u043a\u0430\u043a \u043b\u043e\u0432\u0438\u0442\u044c APT \u00ab\u043d\u0430 \u0436\u0438\u0432\u0446\u0430\u00bb | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-10-09T17:42:33+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-10-09T17:42:33+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Die L\u00fccke als Sicherheitsinstrument \u2013 2, oder wie man APT \"live\" f\u00e4ngt | ProHoster","description":"(Danke an Sergey G. f\u00fcr die Idee des Titels.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u044b\u0440\u0430 \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u2013 2, \u0438\u043b\u0438 \u043a\u0430\u043a \u043b\u043e\u0432\u0438\u0442\u044c APT \u00ab\u043d\u0430 \u0436\u0438\u0432\u0446\u0430\u00bb | ProHoster","og:description":"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-10-09T17:42:33+00:00","article:modified_time":"2020-10-09T17:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"96242","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:47:24","updated":"2022-10-03 07:10:06","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/96242","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=96242"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/96242\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/96243"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=96242"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=96242"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=96242"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}