{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Caza de amenazas, o c\u00f3mo protegerse del 5% de las amenazas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

El 95% de las amenazas a la seguridad de la informaci\u00f3n son conocidas, y se pueden proteger contra ellas con medios tradicionales como antivirus, firewalls, IDS y WAF. El restante 5% de las amenazas son desconocidas y las m\u00e1s peligrosas. Representan el 70% del riesgo para la empresa debido a que son muy dif\u00edciles de detectar y, mucho menos, de protegerse de ellas. Ejemplos de \"cisnes negros\"<\/a><\/noindex> incluyen epidemias de ransomware como WannaCry, NotPetya\/ExPetr, cripto-mineros, y el \"arma cibern\u00e9tica\" Stuxnet (que afect\u00f3 a las instalaciones nucleares de Ir\u00e1n), as\u00ed como muchas otras (\u00bfalguien m\u00e1s recuerda Kido\/Conficker?) ataques de los que no es muy f\u00e1cil protegerse con los m\u00e9todos de defensa cl\u00e1sicos. Sobre c\u00f3mo enfrentar estas amenazas del 5% mediante la tecnolog\u00eda de Threat Hunting, es de lo que queremos hablar.<\/p>\n

\"Caza<\/a><\/noindex>
\n El continuo desarrollo de ataques cibern\u00e9ticos requiere una detecci\u00f3n y respuesta constantes, lo que nos lleva a la conclusi\u00f3n de una carrera armamentista infinita entre los atacantes y los defensores. Los sistemas de defensa cl\u00e1sicos ya no son capaces de proporcionar un nivel aceptable de seguridad, donde el nivel de riesgo no influya en los indicadores clave de la empresa (econ\u00f3micos, pol\u00edticos, de reputaci\u00f3n) sin una adaptaci\u00f3n a la infraestructura espec\u00edfica, pero en general cubren parte de los riesgos. Ya en el proceso de implementaci\u00f3n y configuraci\u00f3n, los sistemas de defensa modernos se convierten en perseguidores y deben responder a los desaf\u00edos de los nuevos tiempos.<\/p>\n

\"CazaFuente<\/noindex><\/p>\n

Una respuesta a los desaf\u00edos modernos para un especialista en ciberseguridad puede ser la tecnolog\u00eda de Threat Hunting. El t\u00e9rmino Threat Hunting (en adelante, TH) apareci\u00f3 hace unos a\u00f1os. La tecnolog\u00eda en s\u00ed es bastante interesante, pero a\u00fan no tiene est\u00e1ndares y reglas com\u00fanmente aceptados. Adem\u00e1s, la heterogeneidad de las fuentes de informaci\u00f3n y la escasez de fuentes en ruso sobre este tema complican las cosas. Debido a esto, en 'LANIT-Integraciones' decidimos escribir un resumen sobre esta tecnolog\u00eda. <\/p>\n

Relevancia<\/h2>\n

\nLa tecnolog\u00eda TH se basa en procesos de monitoreo de la infraestructura. Existen dos escenarios principales de monitoreo interno: Alerting y Hunting<\/a><\/noindex>Alerting (in the style of MSSP services) \u2013 a traditional method that involves searching for previously developed signatures and indicators of attacks and responding to them. This scenario is successfully executed by traditional signature-based protection measures. Hunting (MDR-type service) \u2013 a monitoring method that answers the question, \"Where do signatures and rules come from?\" This is the process of creating correlation rules by analyzing hidden or previously unknown indicators and signs of attacks. This type of monitoring is what Threat Hunting refers to.<\/p>\n

\"Caza
\nOnly by combining both types of monitoring do we achieve near-ideal protection, yet there always remains a certain level of residual risk.<\/p>\n

\"CazaProtection using two types of monitoring<\/i><\/p>\n

And here\u2019s why TH (and hunting as a whole!) will become increasingly relevant:<\/p>\n

\"CazaThreats, protection measures, risks.<\/i> Fuente<\/a><\/noindex><\/p>\n

95% of all threats are already well studied<\/a><\/noindex>. These include types such as spam, DDoS, viruses, rootkits, and other classic malware. Protection against these threats can be achieved with the same classic protective measures.<\/p>\n

In the course of any project 20% of the time is spent completing 80% of the work<\/a><\/noindex>, while the remaining 20% of the work takes 80% of the time. Similarly, among the entire threat landscape, 5% of new-type threats will account for 70% of the company's risk. In a company where information security management processes are organized, we can manage 30% of the risk from known threats by avoiding (discontinuing the use of wireless networks altogether), accepting (implementing necessary protective measures), or transferring (for example, to the integrator) this risk. However, protecting against zero-day vulnerabilities<\/a><\/noindex>, APT attacks, phishing, supply chain attacks<\/a><\/noindex>, cyber espionage, and national operations, as well as from a large number of other attacks, is already much more complicated. The consequences of these 5% of threats will be much more severe (the average loss per bank from the buhtrap group is 143 million<\/a><\/noindex>), compared to the consequences of spam or viruses, against which antivirus software protects.<\/p>\n

All enterprises face 5% of threats. Recently, we had to set up an open-source solution that uses an application from the PEAR repository (PHP Extension and Application Repository). The attempt to install this application via pear install was unsuccessful, as el sitio web<\/a><\/noindex> estaba fuera de servicio (ahora ya tiene una p\u00e1gina de mantenimiento), tuvimos que instalarlo desde GitHub. Y hace poco se descubri\u00f3 que PEAR se convirti\u00f3 en v\u00edctima de un ataque a trav\u00e9s de la cadena de suministro<\/a><\/noindex>.<\/p>\n

\"Caza<\/p>\n

Tambi\u00e9n se puede recordar el ataque utilizando CCleaner<\/a><\/noindex>, la epidemia del ransomware NePetya a trav\u00e9s del m\u00f3dulo de actualizaci\u00f3n del programa de contabilidad fiscal M.E.Doc<\/a><\/noindex>. Las amenazas se est\u00e1n volviendo cada vez m\u00e1s sofisticadas, y surge la pregunta l\u00f3gica: \"\u00bfC\u00f3mo podemos hacer frente a estas amenazas del 5%?\"<\/p>\n

Definici\u00f3n de Threat Hunting<\/h2>\n

\nEntonces, Threat Hunting es el proceso proactivo e iterativo de b\u00fasqueda y detecci\u00f3n de amenazas avanzadas que no pueden ser detectadas por los medios de protecci\u00f3n tradicionales. Las amenazas avanzadas incluyen, por ejemplo, ataques APT, ataques a vulnerabilidades de 0-day, Living off the Land y m\u00e1s.<\/p>\n

Tambi\u00e9n se puede reformular que TH es el proceso de verificaci\u00f3n de hip\u00f3tesis. Este es principalmente un proceso manual con elementos de automatizaci\u00f3n, en el cual el analista, bas\u00e1ndose en sus conocimientos y calificaciones, examina grandes vol\u00famenes de informaci\u00f3n en busca de signos de compromiso que corresponden a una hip\u00f3tesis previamente definida sobre la presencia de una amenaza espec\u00edfica. Su caracter\u00edstica distintiva es la diversidad de fuentes de informaci\u00f3n.<\/p>\n

Es importante se\u00f1alar que Threat Hunting no es un producto de software o hardware. No son alertas que se pueden ver en alguna soluci\u00f3n. No es un proceso de b\u00fasqueda de IOC (indicadores de compromiso). Y no es una actividad pasiva que se lleva a cabo sin la participaci\u00f3n de analistas de ciberseguridad. Threat Hunting es, ante todo, un proceso.<\/p>\n

Componentes de Threat Hunting<\/h2>\n

\n\"Caza
\nTres componentes principales de Threat Hunting: datos, tecnolog\u00edas, personas.<\/p>\n

Datos (\u00bfqu\u00e9?)<\/b>, incluyendo Big Data. Todos los flujos de tr\u00e1fico posibles, informaci\u00f3n sobre APTs previos, an\u00e1lisis, datos de actividad del usuario, datos de red, informaci\u00f3n de empleados, informaci\u00f3n de la dark web y mucho m\u00e1s.<\/p>\n

Tecnolog\u00edas (\u00bfc\u00f3mo?)<\/b> de procesamiento de estos datos \u2013 todos los m\u00e9todos posibles para procesar estos datos, incluyendo Machine Learning.<\/p>\n

Personas (\u00bfqui\u00e9n?)<\/b> \u2013 aquellos que poseen una gran experiencia en el an\u00e1lisis de diversos ataques, un instinto desarrollado y la capacidad de detectar un ataque. Normalmente son analistas de seguridad inform\u00e1tica, quienes deben tener la habilidad de generar hip\u00f3tesis y encontrar su confirmaci\u00f3n. Ellos son el eslab\u00f3n principal del proceso.<\/p>\n

Modelo PARIS<\/h2>\n

\nAdam Beitman describe<\/a><\/noindex> el modelo PARIS para el proceso ideal TH. El nombre insin\u00faa una famosa atracci\u00f3n tur\u00edstica de Francia. Este modelo puede ser visto desde dos direcciones: de arriba hacia abajo y de abajo hacia arriba.<\/p>\n

En el proceso de caza de amenazas, movi\u00e9ndonos por el modelo de abajo hacia arriba, nos encontraremos con muchas evidencias de actividad maliciosa. Cada evidencia tiene una medida, denominada confianza, que refleja el peso de esta evidencia. Existen evidencias \"f\u00e9rreas\", directas de actividad maliciosa, por las cuales podemos llegar inmediatamente a la cima de la pir\u00e1mide y generar una alerta de infecci\u00f3n conocida. Y hay evidencias indirectas, cuya suma tambi\u00e9n puede llevarnos a la cima de la pir\u00e1mide. Como siempre, hay muchas m\u00e1s evidencias indirectas que directas, lo que significa que deben ser clasificadas y analizadas, realizar investigaciones adicionales y, si es posible, automatizarlas.<\/p>\n

\"CazaModelo PARIS.<\/i> Fuente<\/a><\/noindex><\/p>\n

La parte superior del modelo (1 y 2) se basa en tecnolog\u00edas de automatizaci\u00f3n y diversas anal\u00edticas, mientras que la parte inferior (3 y 4) se enfoca en personas con ciertas calificaciones que gestionan el proceso. Se puede considerar el modelo movi\u00e9ndose de arriba hacia abajo, donde en la parte superior de color azul tenemos alertas de herramientas de protecci\u00f3n tradicionales (antivirus, EDR, firewall, firmas) con un alto grado de confianza y credibilidad, y m\u00e1s abajo indicadores (IOC, URL, MD5 y otros) que tienen un menor grado de confianza y requieren un estudio adicional. Y el nivel m\u00e1s bajo y m\u00e1s grueso (4) \u2013 la generaci\u00f3n de hip\u00f3tesis, la creaci\u00f3n de nuevos escenarios para las herramientas de protecci\u00f3n tradicionales. Este nivel no se limita solo a las fuentes de hip\u00f3tesis mencionadas. Cuanto m\u00e1s bajo sea el nivel, mayores ser\u00e1n los requisitos impuestos a la calificaci\u00f3n del analista.<\/p>\n

Es muy importante que los analistas no solo verifiquen un conjunto final de hip\u00f3tesis predefinidas, sino que trabajen constantemente en generar nuevas hip\u00f3tesis y variantes de verificaci\u00f3n.<\/p>\n

Modelo de madurez en el uso de TH<\/h2>\n

\nEn un mundo ideal, TH es un proceso continuo. Pero, dado que no existe un mundo ideal, analicemos el modelo de madurez<\/a><\/noindex> y los m\u00e9todos en el contexto de personas, procesos y tecnolog\u00edas utilizadas. Consideremos el modelo ideal de TH. Hay 5 niveles de uso de esta tecnolog\u00eda. Vamos a analizarlos a trav\u00e9s de la evoluci\u00f3n de un equipo de analistas en particular.<\/p>\n

Niveles de madurez<\/b>
\nPersonas<\/b>
\nProcesos<\/b>
\nTecnolog\u00edas<\/b><\/p>\n

Nivel 0<\/b>
\nAnalistas SOC
\n24\/7
\nHerramientas tradicionales:<\/p>\n

Tradicional
\nConjunto de alertas
\nMonitoreo pasivo
\nIDS, AV, Sandboxing,<\/p>\n

Sin TH<\/i>
\nTrabajo con alertas<\/p>\n

herramientas de an\u00e1lisis de firmas, datos de Threat Intelligence.<\/p>\n

Nivel 1<\/b>
\nAnalistas SOC
\nTH puntual
\nEDR<\/p>\n

Experimental
\nConocimientos b\u00e1sicos de forense
\nB\u00fasqueda de IOC
\nCobertura parcial de datos de dispositivos de red<\/p>\n

Experimentos con TH<\/i>
\nBuen conocimiento de redes y aplicaciones<\/p>\n

Aplicaci\u00f3n parcial<\/p>\n

Nivel 2<\/b>
\nActividad temporal
\nSprints
\nEDR<\/p>\n

Peri\u00f3dico
\nConocimientos intermedios de forense
\nUna semana al mes
\nAplicaci\u00f3n completa<\/p>\n

TH temporal<\/i>
\nExcelente conocimiento de redes y aplicaciones
\nTH regular
\nAutomatizaci\u00f3n completa del uso de datos EDR<\/p>\n

Uso parcial de las capacidades avanzadas de EDR<\/p>\n

Nivel 3<\/b>
\nEquipo dedicado de TH
\n24\/7
\nCapacidad parcial para verificar hip\u00f3tesis de TH<\/p>\n

Preventivo
\nExcelentes conocimientos de forense y malware
\nTH preventivo
\nUso completo de las capacidades avanzadas de EDR<\/p>\n

Casos pr\u00e1cticos de TH<\/i>
\nExcelentes conocimientos del lado atacante
\nCasos pr\u00e1cticos de TH
\nCobertura completa de datos de dispositivos de red<\/p>\n

Configuraci\u00f3n seg\u00fan necesidades<\/p>\n

Nivel 4<\/b>
\nEquipo dedicado de TH
\n24\/7
\nCapacidad total para verificar hip\u00f3tesis de TH<\/p>\n

Liderando
\nExcelentes conocimientos de forense y malware
\nTH preventivo
\nNivel 3, m\u00e1s:<\/p>\n

Uso de TH<\/i>
\nExcelentes conocimientos del lado atacante
\nVerificaci\u00f3n, automatizaci\u00f3n y validaci\u00f3n de hip\u00f3tesis de TH
\nintegraci\u00f3n estrecha de fuentes de datos;<\/p>\n

Capacidad de investigaci\u00f3n<\/p>\n

desarrollo seg\u00fan necesidades y uso no est\u00e1ndar de API.<\/p>\n

Niveles de madurez de TH en el contexto de personas, procesos y tecnolog\u00edas<\/i><\/p>\n

Nivel 0:<\/b> tradicional, sin uso de TH. Los analistas convencionales trabajan con un conjunto est\u00e1ndar de alertas en modo de monitoreo pasivo usando herramientas y tecnolog\u00edas est\u00e1ndar: IDS, AV, sandboxing, herramientas de an\u00e1lisis de firmas.<\/p>\n

Nivel 1:<\/b> experimental, utilizando TH. Los mismos analistas con conocimientos b\u00e1sicos en forensia y un buen entendimiento de redes y aspectos aplicados pueden llevar a cabo una b\u00fasqueda \u00fanica de Threat Hunting buscando indicadores de compromiso. Se agregan EDR con cobertura parcial de datos de dispositivos de red. Las herramientas se utilizan parcialmente.<\/p>\n

Nivel 2:<\/b> peri\u00f3dico, temporal TH. A los mismos analistas que ya han desarrollado sus conocimientos en forens\u00eda, redes y aspectos aplicados se les encomienda la tarea de participar regularmente (sprint) en Threat Hunting, digamos, una semana al mes. A las herramientas se les a\u00f1ade una investigaci\u00f3n completa de datos de dispositivos de red, automatizaci\u00f3n del an\u00e1lisis de datos de EDR y un uso parcial de las capacidades avanzadas de EDR.<\/p>\n

Nivel 3:<\/b> preventivo, casos frecuentes de TH. Nuestros analistas se organizaron en un equipo dedicado, adquiriendo excelentes conocimientos en forensia y malware, as\u00ed como conocimientos sobre los m\u00e9todos y t\u00e1cticas del lado atacante. El proceso ya se lleva a cabo en modo 24\/7. El equipo puede verificar parcialmente las hip\u00f3tesis de TH, utilizando completamente las capacidades avanzadas de EDR con cobertura completa de datos de dispositivos de red. Tambi\u00e9n los analistas pueden configurar herramientas seg\u00fan sus necesidades.<\/p>\n

Nivel 4:<\/b> l\u00edder, uso de TH. El mismo equipo ha adquirido la capacidad de investigar, generando y automatizando el proceso de verificaci\u00f3n de hip\u00f3tesis de TH. Ahora se ha agregado a las herramientas una integraci\u00f3n estrecha de fuentes de datos, desarrollo de software seg\u00fan necesidades y uso no est\u00e1ndar de API.<\/p>\n

T\u00e9cnicas de Threat Hunting<\/h2>\n

\n\"CazaT\u00e9cnicas b\u00e1sicas de Threat Hunting<\/i><\/p>\n

A las t\u00e9cnicas<\/a><\/noindex> TH en orden de madurez de la tecnolog\u00eda utilizada incluyen: b\u00fasqueda b\u00e1sica, an\u00e1lisis estad\u00edstico, t\u00e9cnicas de visualizaci\u00f3n, agregaciones simples, aprendizaje autom\u00e1tico y m\u00e9todos bayesianos. <\/p>\n

El m\u00e9todo m\u00e1s simple es la b\u00fasqueda b\u00e1sica, utilizado para delimitar el \u00e1rea de investigaci\u00f3n mediante consultas espec\u00edficas. El an\u00e1lisis estad\u00edstico se aplica, por ejemplo, para construir un modelo estad\u00edstico del comportamiento t\u00edpico del usuario o de la red. Las t\u00e9cnicas de visualizaci\u00f3n se utilizan para representar gr\u00e1ficamente y simplificar el an\u00e1lisis de datos en forma de gr\u00e1ficos y diagramas, donde es mucho m\u00e1s f\u00e1cil identificar patrones en la muestra. La t\u00e9cnica de agregaciones simples por campos clave se utiliza para optimizar la b\u00fasqueda y el an\u00e1lisis. Cuanto mayor es el nivel de madurez que alcanza el proceso de TH en la organizaci\u00f3n, m\u00e1s relevante se vuelve el uso de algoritmos de aprendizaje autom\u00e1tico. Tambi\u00e9n se utilizan ampliamente en la filtraci\u00f3n de spam, detecci\u00f3n de tr\u00e1fico malicioso y detecci\u00f3n de actividades fraudulentas. Un tipo m\u00e1s avanzado de algoritmos de aprendizaje autom\u00e1tico son los m\u00e9todos bayesianos, que permiten realizar clasificaci\u00f3n, reducci\u00f3n de la dimensionalidad de la muestra y modelado tem\u00e1tico.<\/p>\n

Modelo de diamante y estrategias de TH<\/h2>\n

\nSergio Kaltagirone, Andrew Pendergast y Christopher Betz en su trabajo \"The Diamond Model of Intrusion Analysis<\/a><\/noindex>\" mostraron los principales componentes clave de cualquier actividad maliciosa y la conexi\u00f3n b\u00e1sica entre ellos.<\/p>\n

\"CazaModelo de diamante para actividades maliciosas<\/i><\/p>\n

De acuerdo con este modelo, hay 4 estrategias de Threat Hunting que se basan en los componentes clave correspondientes.<\/p>\n

1. Estrategia centrada en la v\u00edctima. Suponemos que la v\u00edctima tiene adversarios, y ellos proporcionar\u00e1n \"oportunidades\" a trav\u00e9s del correo electr\u00f3nico. Buscamos datos enemigos en el correo. Buscamos enlaces, archivos adjuntos, etc. Buscamos confirmaci\u00f3n de esta hip\u00f3tesis durante un per\u00edodo determinado (un mes, dos semanas); si no encontramos nada, la hip\u00f3tesis no se sostiene.<\/p>\n

2. Estrategia centrada en la infraestructura. Hay varios m\u00e9todos para utilizar esta estrategia. Seg\u00fan el acceso y la visibilidad, algunos de ellos son m\u00e1s f\u00e1ciles que otros. Por ejemplo, monitoreamos servidores de nombres de dominio conocidos por alojar dominios maliciosos. O llevamos a cabo un proceso de seguimiento de todos los nuevos registros de nombres de dominio en busca de patrones conocidos utilizados por el adversario.<\/p>\n

3. Estrategia orientada a las oportunidades. Aparte de la estrategia orientada a las v\u00edctimas, utilizada por la mayor\u00eda de los defensores cibern\u00e9ticos, existe una estrategia orientada a las oportunidades. Esta es la segunda m\u00e1s popular y se centra en detectar oportunidades del adversario, como 'malware' y la posibilidad de que el adversario utilice herramientas leg\u00edtimas como psexec, powershell, certutil y otras.<\/p>\n

4. Estrategia orientada al adversario. El enfoque orientado al adversario se centra en el propio adversario. Esto incluye el uso de informaci\u00f3n abierta de fuentes p\u00fablicas (OSINT), la recopilaci\u00f3n de datos sobre el adversario, sus t\u00e9cnicas y m\u00e9todos (TTP), el an\u00e1lisis de incidentes pasados, datos de Threat Intelligence, etc.<\/p>\n

Fuentes de informaci\u00f3n e hip\u00f3tesis en TH<\/h2>\n

\n\"CazaAlgunas fuentes de informaci\u00f3n para la cacer\u00eda de amenazas<\/i><\/p>\n

Las fuentes de informaci\u00f3n pueden ser muy numerosas. Un analista ideal debe ser capaz de extraer informaci\u00f3n de todo lo que le rodea. Las fuentes t\u00edpicas en casi cualquier infraestructura incluir\u00e1n datos de herramientas de seguridad: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Tambi\u00e9n, las diversas se\u00f1ales de compromiso, servicios de Threat Intelligence, datos de CERT y OSINT ser\u00e1n fuentes t\u00edpicas de informaci\u00f3n. Adicionalmente, se puede utilizar informaci\u00f3n de la dark web (por ejemplo, hay un pedido repentino para hackear la cuenta de correo del director de la organizaci\u00f3n, o que un candidato para el puesto de ingeniero de redes ha llamado la atenci\u00f3n), informaci\u00f3n obtenida de recursos humanos (opiniones sobre el candidato de su anterior empleo) y datos del departamento de seguridad (por ejemplo, los resultados de la verificaci\u00f3n de un contratista).<\/p>\n

Pero antes de utilizar todas las fuentes disponibles, es necesario tener al menos una hip\u00f3tesis.<\/p>\n

\"CazaFuente<\/a><\/noindex><\/p>\n

Para probar hipotesis, estas deben ser planteadas primero. Y para formular muchas hip\u00f3tesis de calidad, es necesario aplicar un enfoque sistem\u00e1tico. El proceso de generaci\u00f3n de hip\u00f3tesis se describe con m\u00e1s detalle en el art\u00edculo<\/a><\/noindex>, es conveniente tomar esta esquema como base para el proceso de formulaci\u00f3n de hip\u00f3tesis.<\/p>\n

La principal fuente de hip\u00f3tesis ser\u00e1 la matriz ATT&CK<\/b> (T\u00e1cticas, T\u00e9cnicas y Conocimientos Comunes Adversariales). En esencia, es una base de conocimientos y un modelo para evaluar el comportamiento de los atacantes que realizan sus actividades en las etapas finales de un ataque, normalmente descrito mediante el concepto de Kill Chain. Es decir, en las etapas posteriores a la penetraci\u00f3n del atacante en la red interna de una empresa o en un dispositivo m\u00f3vil. Inicialmente, la base de conocimientos inclu\u00eda una descripci\u00f3n de 121 t\u00e1cticas y t\u00e9cnicas utilizadas en ataques, cada una detallada en formato Wiki. Para la generaci\u00f3n de hip\u00f3tesis, es adecuada una variedad de an\u00e1lisis de Threat Intelligence. Es especialmente importante se\u00f1alar los resultados del an\u00e1lisis de infraestructura y pruebas de penetraci\u00f3n \u2013 son los datos m\u00e1s valiosos que pueden proporcionarnos hip\u00f3tesis s\u00f3lidas, ya que se basan en una infraestructura concreta con sus vulnerabilidades espec\u00edficas.<\/p>\n

Proceso de verificaci\u00f3n de hip\u00f3tesis<\/h2>\n

\nSergu\u00e9i Sold\u00e1tov present\u00f3 un buen esquema<\/a><\/noindex> con una descripci\u00f3n detallada del proceso, ilustra el proceso de verificaci\u00f3n de hip\u00f3tesis TH en un sistema espec\u00edfico. Se\u00f1alar\u00e9 las etapas principales con una breve descripci\u00f3n.<\/p>\n

\"CazaFuente<\/a><\/noindex> <\/p>\n

Etapa 1: Granja de TI<\/b><\/p>\n

En esta etapa, es necesario seleccionar objetos<\/b> (analiz\u00e1ndolos junto con todos los datos de amenazas) asign\u00e1ndoles etiquetas que describen sus caracter\u00edsticas. Esto puede ser un archivo, URL, MD5, proceso, utilidad, evento. Al pasarlos por los sistemas de Threat Intelligence, es necesario etiquetarlos. Es decir, este sitio fue detectado en CNC en tal a\u00f1o, este MD5 estaba relacionado con tal malware, este MD5 fue descargado de un sitio que distribu\u00eda malware.<\/p>\n

Etapa 2: Casos<\/b><\/p>\n

En la segunda etapa, observamos la interacci\u00f3n entre estos objetos y detectamos las relaciones entre todos estos objetos. Obtenemos sistemas etiquetados que realizan acciones maliciosas.<\/p>\n

Etapa 3: Analista<\/b><\/p>\n

En la tercera etapa, el caso se entrega a un analista experimentado, quien tiene una vasta experiencia en an\u00e1lisis; \u00e9l emite el veredicto. Desglosa hasta el byte lo que, de d\u00f3nde, c\u00f3mo, por qu\u00e9 y para qu\u00e9 hace este c\u00f3digo. Este archivo era malicioso, esta computadora estaba infectada. Revela las conexiones entre los objetos y verifica los resultados de la ejecuci\u00f3n en sandbox.<\/p>\n

Los resultados del trabajo del analista se transmiten a continuaci\u00f3n. Digital Forensics investiga las im\u00e1genes, Malware Analysis examina los \u2018cuerpos\u2019 encontrados, y el equipo de Incident Response puede desplazarse al lugar y investigar algo all\u00ed. El resultado del trabajo ser\u00e1 la hip\u00f3tesis confirmada, el ataque identificado y las formas de contrarrestarlo.<\/p>\n

\"CazaFuente<\/a><\/noindex>
\n \u00a0<\/p>\n

Resultados<\/h2>\n

\nThreat Hunting es una tecnolog\u00eda relativamente nueva que puede contrarrestar de manera efectiva amenazas personalizadas, nuevas y no est\u00e1ndar, y que tiene grandes perspectivas considerando el aumento de tales amenazas y la complejidad de la infraestructura corporativa. Para esto se requieren tres componentes: datos, herramientas y analistas. El beneficio del Threat Hunting no se limita a prevenir la materializaci\u00f3n de amenazas. No debemos olvidar que en el proceso de b\u00fasqueda nos adentramos en nuestra infraestructura y sus puntos d\u00e9biles desde la perspectiva de un analista de seguridad especializado y podemos reforzar esos lugares adicionalmente.<\/p>\n

Los primeros pasos que, en nuestra opini\u00f3n, se deben dar para iniciar el proceso de Threat Hunting en su organizaci\u00f3n.<\/p>\n

    \n
  1. Cuidar la protecci\u00f3n de los puntos finales y la infraestructura de red. Asegurarse de tener visibilidad (NetFlow) y control (firewall, IDS, IPS, DLP) de todos los procesos en su red. Conocer su red desde el enrutador perimetral hasta el \u00faltimo host.<\/li>\n
  2. Investigar MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Realizar pruebas de penetraci\u00f3n regularmente, al menos de los recursos externos clave, analizar sus resultados, identificar los principales objetivos de ataque y cerrar sus vulnerabilidades.<\/li>\n
  4. Implementar un sistema de Threat Intelligence de c\u00f3digo abierto (por ejemplo, MISP, Yeti) y realizar an\u00e1lisis de logs conjuntamente con \u00e9l.<\/li>\n
  5. Implementar una plataforma de respuesta a incidentes (IRP): R-Vision IRP, The Hive, un entorno seguro para analizar archivos sospechosos (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatizar procesos rutinarios. El an\u00e1lisis de logs, la creaci\u00f3n de incidentes, la notificaci\u00f3n al personal son un vasto campo para la automatizaci\u00f3n.<\/li>\n
  7. Aprender a interactuar de manera efectiva con ingenieros, desarrolladores y soporte t\u00e9cnico para trabajar conjuntamente en incidentes.<\/li>\n
  8. Documentar todo el proceso, los puntos clave, los resultados alcanzados, para poder regresar a ellos despu\u00e9s o compartir estos datos con colegas;<\/li>\n
  9. Recordar la parte social: mantenerse al tanto de lo que ocurre con sus empleados, a qui\u00e9nes contrata y a qui\u00e9nes se les da acceso a los recursos inform\u00e1ticos de la organizaci\u00f3n.<\/li>\n
  10. Mantente al tanto de las tendencias en nuevas amenazas y m\u00e9todos de protecci\u00f3n, mejora tu nivel de alfabetizaci\u00f3n t\u00e9cnica (incluyendo el trabajo con servicios y subsistemas de TI), asiste a conferencias y comunica con colegas.<\/li>\n<\/ol>\n

    \nEstoy listo para discutir la organizaci\u00f3n del proceso TH en los comentarios.<\/p>\n

    \u00a1O ven a trabajar con nosotros!<\/b><\/p>\n