95% küberohtudest on tuntud, ja neist kaitsmine on võimalik traditsiooniliste vahenditega nagu viirusetõrjetarkvara, tulemüürid, IDS, WAF. Ülejäänud 5% ohud on teadmata ja kõige ohtlikumad. Need moodustavad 70% riski ettevõtte jaoks, kuna nende tuvastamine ja nendest kaitsmine on väga keeruline. Näiteks on WannaCry, NotPetya/ExPetr ransomware'ide epideemiad, krüptoraha kaevandajad, „küberrelvad“ Stuxnet (millel oli mõju Iraani tuumaobjektidele) ja palju teisi rünnakuid (kas keegi mäletab Kido/Conficker?) , mille vastu klassikaliste kaitsevahenditega kaitsmine ei õnnestu. Kuidas nendele 5% ohtudele vastata, kasutades Threat Hunting tehnoloogiat, on see, millest tahame rääkida.
Pidev küberrünnakute areng nõuab pidevat avastamist ja vastu seismist, mis viib meid lõpuks mõtte juurde, et tegemist on lõputu relvastusesse mineku võidujooksuga ründajate ja kaitsjate vahel. Klassikalised kaitsesüsteemid ei suuda enam tagada vastuvõetavat kaitsetaset, kus riskitase ei mõjuta ettevõtte võtmeindikaatoreid (majanduslikud, poliitilised, maine) ilma nende kohandamiseta konkreetse infrastruktuuri jaoks, kuid üldiselt katab need osa riskidest. Juba rakendamise ja konfigureerimise käigus satuvad kaasaegsed kaitsesüsteemid jälitajate rolli ja peavad vastama uue aja väljakutsetele.
Üks vastus kaasaegsete väljakutsetele infoturbe spetsialistile võib olla Threat Hunting tehnoloogia. Threat Hunting (edaspidi TH) mõiste ilmus mõned aastat tagasi. See tehnoloogia on üsna huvitav, kuid tal ei ole veel üldiselt tunnustatud standardeid ja reegleid. Samuti raskendab asja andmeallikate mitmekesisus ja venekeelsete allikate vähesus selle teema osas. Seetõttu otsustasime „LANIT-Integratsioonides“ koostada selle tehnoloogia ülevaate.
Tähtsus
TH tehnoloogia toetub infrastruktuuri jälgimise protsessidele.Aleriteering (in the style of MSSP services) is a traditional method that involves searching for previously developed signatures and signs of attacks and responding to them. This scenario is successfully executed by traditional signature-based protection tools. Hunting (an MDR-type service) is a monitoring method that addresses the question, "Where do signatures and rules come from?" It is the process of creating correlation rules by analyzing hidden or previously unknown indicators and signs of attack. This type of monitoring is what Threat Hunting pertains to.
Only by combining both types of monitoring do we achieve protection that approaches perfection, but there will always remain a certain level of residual risk.
Protection using two types of monitoring
Here is why TH (and hunting as a whole!) will become increasingly relevant:
Threats, protection methods, risks.
. These include types such as spam, DDoS, viruses, rootkits, and other classic malware. You can protect yourself from these threats with the same classic protective measures.
During the execution of any project, and the remaining 20% of the work takes 80% of the time. Similarly, among the entire threat landscape, 5% of new-type threats will account for 70% of the company's risk. In a company where information security management processes are organized, we can manage 30% of the risk from known threats in one way or another, avoiding (completely foregoing wireless networks), accepting (implementing necessary protective measures), or transferring (for example, to the shoulders of the integrator) this risk. Protecting against, APT attacks, phishing,, cyber espionage and national operations, as well as a multitude of other attacks, is already much more complicated. The consequences of these 5% threats are much more serious (), than the consequences from spam or viruses, which antivirus software saves you from.
Everyone has to face 5% of threats. Recently, we had to install an open-source solution that uses an application from the PEAR repository (PHP Extension and Application Repository). The attempt to install this application via pear install failed because oli kättesaamatu (praegu on sellel juba katkestus), tuli see paigaldada GitHubist. Ja just hiljuti selgus, et PEAR on saanud ohvriks.
Võib veel meenutada, NePetya lunavara epideemiat maksuaruande tarkvara uuenduse mooduli kaudu. Ohud muutuvad üha keerukamaks ning tekib loogiline küsimus – „Kuidas me siis saame vastu seista nendele 5% ohtudele?”
Threat Hunting määratlemine
Seega, Threat Hunting on protsess proaktiivse ja iteratiivse otsimise ja avastamise jaoks edasijõudnud ohtudele, mida traditsiooniliste kaitsemeetoditega tuvastada ei suuda. Edasijõudnud ohtude alla kuuluvad näiteks sellised rünnakud nagu APT, 0-päeva haavatavuste rünnakud, Living off the Land jne.
Seda võib ka teistmoodi sõnastada, et TH – see on hüpoteeside kontrollimise protsess. See on enamasti käsitsi protsess automaatika elementidega, mille käigus analüütik, tuginedes oma teadmistele ja kvalifikatsioonile, filtreerib suuri andmemahtusid kompromiteerimise märkide leidmiseks, mis vastavad algselt kindlaks määratud hüpoteesile teatud ohu olemasolu kohta. Selle eripära on teabeallikate mitmekesisus.
Tuleb märkida, et Threat Hunting ei ole mingi tarkvara või riistvara toode. Need ei ole hoiatused, mida saab näha mingis lahenduses. See ei ole IOC (kompromiteerimise identifikaatorite) otsimise protsess. See ei ole mingi passiivne tegevus, mis toimub ilma infoturbeanalüütikute osaluseta. Threat Hunting – enne kõike protsess.
Threat Hunting komponendid
Kolm peamist Threat Hunting komponenti: andmed, tehnoloogiad, inimesed.
Andmed (mida?), sealhulgas Big Data. Kõiksugused liiklusvoolud, teave varem toimunud APT-de kohta, analüüs, kasutajate tegevuse andmed, võrguandmed, töötajatelt saadud teave, teave pimedast veebist ja palju muud.
Tehnoloogiad (kuidas?) neid andmeid töötlemiseks – kõikvõimalikud meetodid nende andmete töötlemiseks, sealhulgas masinõpe.
Inimesed (kes?) – need those who have extensive experience in analyzing various attacks, developed intuition, and the ability to detect an attack. Usually, these are information security analysts who must have the ability to generate hypotheses and find supporting evidence. They are a key link in the process.
PARIS Model
Adam Beitman the PARIS model for the ideal TH process. The name hints at a well-known landmark in France. This model can be viewed in two directions – from the top and from the bottom.
In the threat hunting process, moving from the bottom up, we will deal with numerous pieces of evidence of malicious activity. Each piece of evidence has a measure called confidence – a characteristic that reflects the weight of this evidence. There are 'hard', direct evidences of malicious activity, based on which we can immediately reach the top of the pyramid and create an actual alert about a confirmed infection. And there is circumstantial evidence, the sum of which can also lead us to the top of the pyramid. As always, there is much more circumstantial evidence than direct evidence, which means they need to be sorted, analyzed, research should be conducted, and ideally, this should be automated.
PARIS Model.
The upper part of the model (1 and 2) is based on automation technologies and diverse analytics, while the lower part (3 and 4) focuses on people with specific qualifications who manage the process. The model can be viewed from top to bottom, where in the upper blue section, we have alerts from traditional protection tools (antivirus, EDR, firewall, signatures) with a high level of confidence and trust, while below are indicators (IOC, URL, MD5, etc.) that have a lower level of confidence and require additional investigation. And the very bottom and thickest level (4) – hypothesis generation, creating new scenarios for traditional protection tools. This level is not limited only to the mentioned hypothesis sources. The lower the level, the higher the requirements for the analyst's qualifications.
It is very important for analysts not to just check a finite set of predefined hypotheses but to continuously work on generating new hypotheses and ways to verify them.
TH kasutamise küpsusmudel
Ideaalmaailmas on TH pidev protsess. Kuid kuna ideaalset maailma ei ole, analüüsime ja meetodeid inimeste, protsesside ja kasutatavate tehnoloogiate kaudu. Vaadakem ideaalset ümmargust TH mudelit. TH kasutamisel on 5 taset. Vaatame neid näiteks üksiku analüütikute meeskonna evolutsiooni kontekstis.
Küpsuse tasemed
Inimesed
Protsessid
Tehnoloogiad
Tase 0
SOC analüütikud
24/7
Traditsioonilised tööriistad:
Traditsiooniline
Hoiatuste komplekt
Passiivne jälgimine
IDS, AV, liivakast,
Ilma TH-ta
Töötamine häiretega
signatuurianalüüsi tööriistad, Threat Intelligence andmed.
Tase 1
SOC analüütikud
Ühekordne TH
EDR
Katsetuslik
Põhiteadmised forensiikast
IOC otsing
Osaline andmete katvus võrgu seadmetelt
Eksperimendid TH-ga
Hea arusaam võrkudest ja rakendustest
Osaline rakendamine
Tase 2
Ajutine tegevus
Sprintid
EDR
Perioodiline
Keskmised teadmised forensiikast
Nädal kuus
Täielik rakendamine
Ajutine TH
Suurepärane arusaam võrkudest ja rakendustest
Regulaarne TH
Andmete EDR täielik automatiseerimine
Osaline kasutamine EDR laiendatud võimalustest
Tase 3
Pühendunud TH meeskond
24/7
Osaline võime kontrollida TH hüpoteese
Ennetav
Suurepärased teadmised forensiikast ja pahavarast
Ennetav TH
Täielik EDR laiendatud võimaluste rakendamine
Erilised TH juhtumid
Suurepärased teadmised ründaja poolelt
Erilised TH juhtumid
Täielik andmete katvus võrgu seadmetelt
Konfigureerimine vastavalt vajadustele
Tase 4
Pühendunud TH meeskond
24/7
Täielik võime kontrollida TH hüpoteese
Juhtiv
Suurepärased teadmised forensiikast ja pahavarast
Ennetav TH
Tase 3, pluss:
TH kasutamine
Suurepärased teadmised ründaja poolelt
Hüpoteeside kontrollimine, automatiseerimine ja verifitseerimine
tihe andmeallikate integreerimine;
Otsingu võimekus
arendus vastavalt vajadustele ja kohandatud API kasutamine.
TH küpsuse tasemed inimeste, protsesside ja tehnoloogiate kontekstis
Tase 0: traditsiooniline, TH kasutamata. Tavalised analüütikud töötavad tavapäraste hoiatuste komplektiga passiivse jälgimise režiimis standardsete tööriistade ja tehnoloogiate abil: IDS, AV, liivakastid, signatuurianalüüsi tööriistad.
Tase 1: eksperimentaalne, TH kasutades. Samad analüütikud, kellel on põhiteadmised forensic'ist ja hea arusaam võrkudest ning rakenduslikust osast, saavad läbi viia ühekordse Threat Hunting'u, otsides kompromiteerimise indikaatoreid. Tööriistadele lisanduvad EDR, millel on osaline andmete katvus võrguseadmest. Tööriistu rakendatakse osaliselt.
Tase 2: perioodiline, ajutine TH. Samadele analüütikutele, kes on already oma tehnikateadmisi forensic's, võrkudest ja rakenduslikust osast täiustanud, antakse kohustus regulaarselt tegeleda (sprint) Threat Hunting'iga, ütleme, nädal kuus. Tööriistadele lisandub täielik andmete uurimine võrguseadmest, andmete analüüsi automatiseerimine EDR-st ja osaline laiendatud EDR võimaluste kasutamine.
Tase 3: eelnev, sagedased TH. Meie analüütikud on organiseeritud eraldi meeskonda, omandavad suurepärased teadmised forensic's ja pahavara osas, samuti teadmised ründajate meetoditest ja taktikast. Protsess toimub juba 24/7 režiimis. Meeskond suudab osaliselt kontrollida TH hüpoteese, kasutades täielikult EDR-i laiendatud võimalusi koos täieliku andmete katvusega võrguseadmest. Analüütikud suudavad ka tööriistu oma vajadustele kohandada.
Tase 4: juhtiv, TH kasutamine. Sama meeskond on omandanud oskuse uurida, genereerida ja automatiseerida TH hüpoteeside kontrollimise protsessi. Nüüd on tööriistadele lisandunud tihe andmeallikate integreerimine, tarkvara arendamine vajaduste kohaselt ja mittestandardne API kasutamine.
Threat Hunting'i tehnikad
Baastehnikad Threat Hunting'uks
K TH puhul, sõltuvalt kasutatava tehnoloogia küpsusest, kuuluvad: basearch, statistiline analüüs, visualiseerimistehnikad, lihtsad agregatsioonid, masinõpe ja Bayesi meetodid.
Lihtsaim meetod on põhiotsing, mida kasutatakse teatud päringute abil uurimisala kitsendamiseks. Statistilist analüüsi rakendatakse näiteks tüüpilise kasutaja või võrguaktiivsuse statistilise mudeli loomiseks. Visualiseerimise tehnikaid kasutatakse andmete visuaalse esitamise ja analüüsi lihtsustamiseks graafikute ja diagrammide kujul, millel on palju lihtsam märgata mustreid valimis. Lihtsate agregatsioonitehnikaid peamiste valdkondade järgi kasutatakse otsingu ja analüüsi optimeerimiseks. Mida kõrgemast küpsusastmest jõuab TH-protsess organisatsioonis, seda asjakohasemaks muutuvad masinõppe algoritmide kasutamine. Need on laialdaselt kasutusel ka rämpsposti filtreerimisel, pahatahtliku liikluse tuvastamisel ja pettuste avastamisel. Edasijõudnum tüüp masinõppe algoritme on Bayesi meetodid, mis võimaldavad klassifitseerimist, proovide mõõtmete vähendamist ja teema mudelimist.
Teemandi mudel ja TH strateegiad
Sergio Kaltagiron, Andrew Pendegast ja Christopher Betz oma töös „“ näitasid igasuguse pahatahtliku tegevuse peamisi komponente ja nende vahelist baasühendust.
Teemandi mudel pahatahtliku tegevuse jaoks
Selle mudeli kohaselt on olemas 4 Threat Hunting strateegiat, mis põhinevad vastavatel peamistel koostisosadel.
1. Ohvrile suunatud strateegia. Eeldame, et ohvril on vaenlased ja need toovad "võimalusi" läbi e-kirjade. Otsime vaenlase andmeid postkastist. Otsime linke, manuseid jne. Otsime kinnitusi sellele hüpoteesile teatud aja jooksul (kuu, kaks nädalat), kui ei leia, siis hüpotees ei töötanud.
2. Infrastruktuurile suunatud strateegia. Selle strateegia kasutamiseks on mitmeid meetodeid. Sõltuvalt juurdepääsust ja nähtavusest on mõned neist kergemad kui teised. Näiteks jälgime domeeninimede servereid, mis on tuntud pahatahtlike domeenide majutamiseks. Või viime läbi kõikide uute domeeninimede registreerimiste jälgimise, et leida teadaolevat mustrit, mida vaenlane kasutab.
3. Võimalustele suunatud strateegia. Lisaks ohvritele suunatud strateegiale, mida kasutavad enamik võrgu kaitsjatest, on olemas ka võimalustele suunatud strateegia. See on teisel kohal populaarsuses ja keskendub vastase võimaluste avastamisele, nimelt "kahjulikule tarkvarale" ning vastase võimalusele kasutada selliseid legitiimseid tööriistu nagu psexec, powershell, certutil ja teised.
4. Vastasele suunatud strateegia. Vastasele suunatud lähenemine keskendub otse vastasele. See hõlmab avatud teabe kasutamist avalikest allikatest (OSINT), teabe kogumist vastase kohta, tema tehnikad ja meetodid (TTP), varasemate juhtumite analüüsi, Threat Intelligence'i andmeid jne.
Teabe ja hüpoteeside allikad THs
Mõned teabeallikad Threat Huntinguks
Teabeallikaid võib olla palju. Ideaalne analüütik peaks oskama kaevata teavet kõikjal, mis teda ümbritseb. Tüüpilised allikad peaaegu igas infrastruktuuris on kaitsesüsteemide andmed: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Samuti on tüüpilised teabeallikad erinevad kompromisside indikaatorid, Threat Intelligence'i teenused, CERT'i andmed ja OSINT. Täiendavalt võib kasutada teavet sügavast veebist (näiteks on äkki tellitud organisatsiooni juhataja e-posti häkkimine või oma aktiivsusega on silma jäänud võrguinseneri kandidaadi), teavet, mida on saadud HR-ilt (kandidaadi tagasiside eelmise töökoha kohta), teavet turvateenistusest (näiteks partneri kontrollimise tulemused).
Kuid enne, kui kasutada kõiki olemasolevaid allikaid, on vajalik vähemalt üks hüpotees.
Hüpoteeside kontrollimiseks tuleb need esmalt esitada. Kvaliteetsete hüpoteeside esitamiseks on vajalik süsteemne lähenemine. Hüpoteeside genereerimise protsess on põhjalikumalt kirjeldatud, hüpoteeside esitamise protsessi aluseks on väga mugav kasutada seda skeemi.
Hüpoteeside peamiseks allikaks on ATT&CK matriks (Adversarial Tactics, Techniques and Common Knowledge). See on teadmistebaas ja mudel, mis aitab hinnata kurjategijate käitumist, kes viivad oma tegevusi läbi rünnaku viimastes etappides, mida tavaliselt kirjeldatakse mõiste Kill Chain kaudu. See tähendab etappe pärast kurjategija sisenemist ettevõtte sisevõrku või mobiilseadmesse. Alguses sisaldas teadmistebaas 121 taktikat ja tehnikat, mida rünnakute jaoks kasutatakse, millest igaüht on üksikasjalikult kirjeldatud Wiki formaadis. Hüpoteeside genereerimiseks sobib hästi mitmekesine Threat Intelligence analüüs. Eriti tuleks rõhutada infrastruktuuri analüüsi ja juurdepääsu testide tulemusi – need on kõige väärtuslikumad andmed, mis võivad anda meile kindlaid hüpoteese, sest need tuginemad konkreetsele infrastruktuurile koos selle spetsiifiliste puudustega.
Hüpoteeside kontrollimise protsess
Sergei Soldatov tõi välja koos protsessi üksikasjaliku kirjeldusega, see illustreerib hüpoteeside TH kontrollimise protsessi kindlas süsteemis. Toome välja peamised etapid koos lühikese kirjeldustega.
Etapp 1: TI Farm
Sellel etapil on vajalik eraldada objektid (analüüsides neid koos kõigi ohtudega seotud andmetega) ning määrata neile nende omadustele vastavad sildid. Need võivad olla fail, URL, MD5, protsess, utiliit või sündmus. Läbi Threat Intelligence süsteemide tuleb neile sildid manustada. See tähendab, et see veebisait märgati CNC-s sellisel aastal, see MD5 oli seotud sellise pahavaraga, see MD5 laaditi alla saidilt, mis levitas pahavara.
Etapp 2: Asjaolud
Teisel etapil vaatame nende objektidevahelist suhtlust ja tuvastame sidemed nende kõigi objektide vahel. Saame märgistatud süsteemid, mis teevad midagi kahtlast.
Etapp 3: Analüütik
Kolmandal etapil edastatakse juhtum kogenud analüütikule, kellel on tohutu analüüsi kogemus, ja tema teeb otsuse. Ta analüüsib bititaolisi andmeid, mis, kust, kuidas, miks see kood toimib. See oli pahavara, see arvuti oli nakatunud. Ta avab seosed objektide vahel, kontrollides tulemusi liivakastis.
Analüütiku töö tulemused edastatakse edasi. Digitaalne forensika uurib pildifaile, Malware Analysis uurib leitud „kehasid“ ning ründetegevuse meeskond võib kohapeale minna ning seal midagi uurida. Töö tulemuseks on kinnitatud hüpotees, tuvastatud rünnak ja meetodid selle vastu võitlemiseks.
Summary
Threat Hunting on piisavalt noor tehnoloogia, mis suudab tõhusalt vastu seista kohandatud, uutele ja ebatavalistele ohtudele, millel on suured väljavaated arvestades selliste ohtude arvu kasvu ja ettevõtte infrastruktuuri keerukuse suurendamist. Selle jaoks on vajalikud kolm komponenti – andmed, tööriistad ja analüütikud. Threat Huntingu kasulikkus ei piirdu ainult ohtude ennetamisega. Ei tohi unustada, et otsinguprotsessi käigus süüvime oma infrastruktuuri ja selle nõrkadesse kohtadesse turvaeksperdi vaatenurgast ning saame neid kohti täiendavalt tugevdada.
Esimesed sammud, mida me arvame, et tuleks astuda, et alustada TH protsessi oma organisatsioonis.
- Hoolitseda lõpp-punktide ja võrguinfrastruktuuri kaitse eest. Hoolitseda nähtavuse (NetFlow) ja kontrolli (firewall, IDS, IPS, DLP) eest kõikides teie võrgus toimuvates protsessides. Tunda oma võrgusisest struktuuri alates piiri maršrutijast kuni viimase hostini.
- Uurida.
- Viia läbi regulaarselt väikseimalt põhiväliste ressursside pentest, analüüsida selle tulemusi, tuvastada peamised rünnaku eesmärgid ja eemaldada nende haavatavused.
- Rakendada avatud lähtekoodiga Threat Intelligence süsteem (näiteks MISP, Yeti) ja analüüsida logisid koos sellega.
- Rakendada intsidendi reageerimise platvormi (IRP): R-Vision IRP, The Hive, kahtlaste failide analüüsimiseks mõeldud liivakasti (FortiSandbox, Cuckoo).
- Automatiseerida rutiinseid protsesse. Logide analüüs, intsidendi registreerimine, personali teavitamine – tohutu automatiseerimisvõimaluste valdkond.
- Õppida tõhusalt suhtlema inseneride, arendajate ja tehnilise toe meeskonnaga intsidendi lahendamiseks.
- Dokumenteerida kogu protsess, peamised punktid, saavutatud tulemused, et hiljem nende juurde tagasi pöörduda või neid andmeid kolleegidega jagada;
- Mäleta sotsiaalset külge: pea meeles, mis teie töötajatega toimub, keda te palkate ja kellele annate juurdepääsu organisatsiooni teaberessurssidele.
- Ole kursis uusimate ohtude ja kaitsemeetoditega, tõsta oma tehnilist kirjaoskust (sh IT-teenuste ja süsteemide puhul), osale konverentsidel ja suhtle kolleegidega.
Olen valmis arutama TH-protsessi kommentaarides.
Või tule tööle meie juurde!
Õppematerjalid ja allikad
Allikas: habr.com
