95% küberturvalisuse ohtudest on teadaolevad ning neid saab endiselt kaitsta traditsiooniliste vahenditega nagu viirusetõrje, tulemüürid, IDS, WAF. Ülejäänud 5% ohtudest on tundmatud ja kõige ohtlikumad. Need moodustavad 70% ettevõtte riskist, kuna nende tuvastamine on äärmiselt keeruline ja kaitsmine veelgi enam. Näideteks on WannaCry, NotPetya/ExPetr - rünnakud, krüptomünte kasutavad ründajad ja "küberrelv" Stuxnet (mille tõttu olid mõjutatud Iraani tuumaobjektid), samuti palju (kas keegi veel mäletab Kido/Conficker?) teisi rünnakuid, mille eest klassikaliste kaitsevahenditega kaitsmine õnnestub halvasti. Kuidas nende 5% ohtudega tehnoloogia Threat Hunting abil toime tulla, on meie jaoks jututeema.
Küberrünnakute pidev areng nõuab pidevat avastamist ja vastupanu, mis viib meid lõpuks mõttele lõputust relvade võidujooksust kurjategijate ja kaitsjate vahel. Klassikalised kaitsesüsteemid ei suuda enam tagada vastuvõetavat kaitsetaset, kus riskitase ei mõjuta ettevõtte põhinäitajaid (majanduslikud, poliitilised, repuutatsioon) ilma nende kohandamata konkreetse infrastruktuuri jaoks, kuid tervikuna suudavad need katta osa riskidest. Juba rakendamise ja seadistamise protsessis osutuvad kaasaegsed kaitsesüsteemid järgijateks ning peavad vastama uue aja väljakutsetele.
Üks vastus tänapäeva väljakutsetele infotehnoloogia spetsialisti jaoks võib olla Threat Hunting tehnoloogia. Termin Threat Hunting (edaspidi TH) ilmus paar aastat tagasi. Tehnoloogia ise on üsna huvitav, kuid tal puuduvad veel üldiselt aktsepteeritud standardid ja reeglid. Probleemi süvendab ka teabeallikate mitmekesisus ja vene keeles teabe vähesus selle teema kohta. Seetõttu otsustasime „LANIT-Integratsioonis“ kirjutada ülevaate sellest tehnoloogiast.
Relevantsus
TH tehnoloogia tugineb infrastruktuuri monitooringu protsessidele.. Alerting (MSSP-type services) is a traditional method that searches for previously developed signatures and attack indicators and responds to them. This scenario is effectively handled by traditional signature-based protection. Hunting (MDR-type service) is a monitoring method that answers the question, 'Where do signatures and rules come from?'. It is the process of creating correlation rules by analyzing hidden or previously unknown indicators and signs of attack. This type of monitoring is precisely what Threat Hunting involves.
Only by combining both types of monitoring can we achieve nearly ideal protection, but there will always be some level of residual risk.
Protection using both types of monitoring
And here’s why TH (and hunting as a whole!) will become increasingly relevant:
Threats, protection, risks.
. These include types such as spam, DDoS, viruses, rootkits, and other classic malware. Protection against these threats can be achieved using traditional means.
During the implementation of any project, kuid ülejäänud 20% tööst võtab 80% ajast. Samamoodi nende kõigi ähvarduste maastikul 5% uut tüüpi ähvardustest moodustavad 70% riski ettevõtte jaoks. Ettevõttes, kus on korraldatud teabeohutuse juhtimise protsessid, saame 30% tuntud ähvardustest tulenevast riskist enam-vähem juhtida, kas vältides (näiteks loobudes täiesti traadita võrkudest), aktsepteerides (vajalike kaitsevahendite rakendamine) või üle kandes (näiteks integreerija kaela) seda riski. End kaitsta, APT-rünnakute, andmepüügirünnakute,, küberšnorkimisest ja riiklikest operatsioonidest ning ka paljude teiste rünnakute eest on juba palju keerulisem. Tagajärjed nendele 5% ähvardustele on palju tõsisemad (), kui tagajärjed rämpsposti või viirusest, millest kaitseb viirusetõrje tarkvara.
Peaaegu igaühel tuleb silmitsi seista 5% ohtudest. Hiljuti pidime seadma üles ühe avatud lähtekoodiga lahenduse, mis kasutab rakendust PEAR (PHP Extension and Application Repository) hoidlast. Üritus rakenduse installimiseks pear install ebaõnnestus, kuna see oli kättesaamatud (praegu on seal juba vahetusleht), pidime selle installima GitHubist. Ja just hiljuti selgus, et PEAR on langenud.
Võib veel meenutada, krüpteerija NePetya epideemiat maksuaruande tarkvara uuendusmoduli kaudu. Ohud muutuvad üha keerukamaks, ning tekib loogiline küsimus – "Kuidas siis ikkagi nende 5% ohtudega toime tulla?"
Threat Huntingi määratlemine
Seega on Threat Hunting – proaktiivne ja iteratiivne protsess edasijõudnud ohtude otsimise ja avastamise, mida traditsioonilised kaitsevahendid ei suuda tuvastada. Edasijõudnud ohtud hõlmavad näiteks selliseid rünnakuid nagu APT, nullpäeva haavatavuste rünnakud, Living off the Land ja nii edasi.
Samuti võib öelda, et TH on hüpoteeside kontrollimise protsess. See on enamasti käsitsi protsess, millel on automatiseerimise elemendid, mille käigus analüütik, tuginedes oma teadmistele ja kvalifikatsioonile, läbib suuri andmemassiive, otsides märke kompromiteerimisest, mis vastavad esialgu määratud hüpoteesile teatud ohu olemasolu kohta. Selle eripära on teabeallikate mitmekesisus.
Oluline on märkida, et Threat Hunting ei ole mingi tarkvara või riistvara toode. See ei ole häireid, mida saab näha mingis lahenduses. See ei ole IOC-de (kompromiteerimise identifikaatorite) otsimise protsess. Ja see ei ole mingi passiivne tegevus, mis toimub ilma infotehnoloogia analüütikute osaluseta. Threat Hunting on eelkõige protsess.
Threat Hunting koostisosad
Kolm peamist Threat Hunting koostisosad: andmed, tehnoloogiad, inimesed.
Andmed (mida?), sealhulgas Big Data. Kõikvõimalikud liiklusvood, teave varasemate APT-de kohta, analüüs, kasutajate aktiivsuse andmed, võrgudata, teave töötajatelt, teave pimedas võrgus ja palju muud.
Tehnoloogiad (kuidas?) andmete töötlemine – kõik võimalikud meetodid nende andmete töötlemiseks, sealhulgas masinõpe.
Inimesed (kes?) on need, kellel on suur kogemus erinevate rünnakute analüüsimisel, arenenud intuitsioon ja võime rünnakut tuvastada. Tüüpiliselt on need infosüsteemide analüütikud, kellel on võime genereerida hüpoteese ja leida neile kinnitust. Nad on protsessi peamine lüli.
PARIS mudel
Adam Beitman PARIS mudelit ideaalse TH protsessi jaoks. Nimi viitab tuntud Prantsusmaa tähelepanekule. Seda mudelit võib vaadata kahest suunast – üles ja alla.
Ohtude jahtimisel, liikudes alt üles, peame tegelema paljude pahatahtliku tegevuse tõenditega. Iga tõend on mõõdetav kindluse määraga – näitaja, mis kajastab selle tõendi kaalu. On „raudne”, otsene tõendusmaterjal pahatahtliku tegevuse kohta, mille alusel saame kiiresti jõuda piramidi tippu ja luua faktiline teavitus kindlalt tuvastatud nakatumisest. Samuti on olemas kaudseid tõendeid, mille hulk võib samuti viia meid piramidi tippu. Nagu alati, on kaudseid tõendeid oluliselt rohkem kui otseseid, seetõttu tuleb neid sorteerida ja analüüsida, teha täiendavaid uuringuid ja soovitavalt automatiseerida.
PARIS mudel.
Mudeli ülemine osa (1 ja 2) põhineb automatiseerimise ja erinevatel analüüsidel, samas kui alumine osa (3 ja 4) tugineb teatud kvalifikatsiooniga inimeste tööle, kes protsessi juhivad. Mudelit võib vaadelda ülalt alla, kus ülemisel sinisel alal on teadete järjestikune kaitsesüsteemide (antiviirus, EDR, tulemüür, allkirjad) kõrge usaldusväärsusega teave, ja allpool on näitajad (IOC, URL, MD5 jne), mille usaldusväärsus on madalam ning mis vajavad täiendavat uurimist. Ja kõige alumine, paks kiht (4) – hüpoteeside genereerimine, traditsiooniliste kaitsesüsteemide uute tööstsenaariumide loomine. See kiht ei piirdu ainult nimetatud hüpoteeside allikatega. Mida madalam on kiht, seda rohkem nõudeid esitatakse analüütiku kvalifikatsioonile.
On ülioluline, et analüütikud ei piirduks lihtsalt lõpliku etteantud hüpoteeside kogumi kontrollimisega, vaid töötaksid pidevalt uute hüpoteeside genereerimise ja nende kontrollimise võimaluste kallal.
TH kasutamise küpsuse mudel
Idealmaailmas on TH pidev protsess. Kuid kuna ideaalset maailma ei ole, analüüsime ja meetodeid inimeste, protsesside ja kasutatavate tehnoloogiate osas. Vaadake ideaalset sfäärilist TH mudelit. Selle tehnoloogia kasutamiseks on 5 taset. Käsitleme neid konkreetse analüütikute meeskonna evolutsiooni näitel.
Küpsuse tasemed
Inimesed
Protsessid
Tehnoloogiad
Tase 0
SOC analüütikud
24/7
Traditsioonilised tööriistad:
Traditsiooniline
Alerte kogum
Passiivne jälgimine
IDS, AV, Sandboximine,
Ilma TH
Alerte töötlemine
signatuuranalüüsi vahendid, Threat Intelligence andmed.
Tase 1
SOC analüütikud
Ühekordne TH
EDR
Eksperimentaalne
Põhilised teadlikkus forensikast
IOC otsing
Osaline andmekattenetöödelt
Eksperimendid TH
Hea teadlikkus võrkudest ja rakendustest
Osaline rakendamine
Tase 2
Ajutine tegevus
Sprintide
EDR
Perioodiline
Keskmine teadlikkus forensikast
Nädal kuus
Täielik rakendamine
Ajutine TH
Suurepärane teadlikkus võrkudest ja rakendustest
Regulaarne TH
Täielik automatiseerimine EDR andmete kasutamisel
Osaline EDR täiustatud funktsioonide kasutamine
Tase 3
Pühendatud TH meeskond
24/7
Osaline võime testida TH hüpoteese
Ennetus
Oivaldatud teadmised kohtuekspertiisist ja kahjulikust tarkvarast
Ennetus TH
Täielik juurdepääs täiustatud EDR võimalustele
Spetsiifilised juhtumid TH
Oivaldatud teadmised ründajate poolest
Spetsiifilised juhtumid TH
Täielik andmete katvus võrgu seadmetelt
Konfiguratsioon vastavalt vajadustele
Tase 4
Pühendatud TH meeskond
24/7
Täielik võimalikus hüpoteeside kontrollimine TH
Juhtiv
Oivaldatud teadmised kohtuekspertiisist ja kahjulikust tarkvarast
Ennetus TH
Tase 3, pluss:
Kasutamine TH
Oivaldatud teadmised ründajate poolest
Hüpoteeside kontrollimine, automatiseerimine ja valideerimine TH
tihe andmeallikate integreerimine;
Uurimisvõimekus
arendus vastavalt vajadustele ja mittestandardne API kasutamine.
Zuretaseme TH tasemed inimeste, protsesside ja tehnoloogiate lõikes
Tase 0: traditsiooniline, ilma TH kasutamiseta. Tavalised analüütikud töötavad tavaliste hoiatuste komplektiga passiivse jälgimise režiimis standardsete tööriistade ja tehnoloogiate abil: IDS, AV, liivakastid, allkirja analüüsi vahendid.
Tase 1: eksperimentaalne, kasutades TH. Samad analüütikud, kellel on põhilised teadlikkused forensikast ja head teadmised võrkudest ning praktilisest osast, saavad teostada ühekordset Threat Hunting, otsides kompromiteerimise näitajaid. Tööriistadesse lisanduvad EDR, millel on osaline andmete katvus võrgu seadmetest. Tööriistad rakendatakse osaliselt.
Tase 2: perioodiline, ajutine TH. Samade analüütikute, kes on juba täiendanud oma teadmisi forensikas, võrkudes ja praktilistes osades, ülesanne on regulaarselt tegeleda (sprint) Threat Hunting’iga, ütleme, nädal kuus. Tööriistadesse lisanduvad täielik andmete uurimine võrgu seadmetest, andmete analüüsi automatiseerimine EDR-st ja osaline kasutamine EDR-i laiendatud võimalustest.
Tase 3: ennet tegevused, sagedased TH juhtumid. Meie analüütikud on organiseerunud spetsiaalsesse meeskonda, omandades suurepärased teadlikkuse teadmiseks ja pahavara kohta, samuti teadmised ründajate meetoditest ja taktikast. Protsess toimub juba 24/7 režiimis. Meeskond suudab osaliselt kontrollida TH hüpoteese, kasutades täielikult EDR-i laiendatud võimalusi, mis katavad andmeid võrgu seadmetelt. Samuti saavad analüütikud kohandada tööriistu vastavalt oma vajadustele.
Tase 4: juhtiv, TH kasutamine. Sama meeskond on omandanud uurimisvõimekuse, oskuse genereerida ja automatiseerida TH hüpoteeside kontrollimise protsessi. Nüüd on tööriistadele lisandunud tihe andmeallikate integraatsioon, tarkvara arendamine vastavalt vajadustele ja ebatavaline API kasutamine.
Threat Hunting tehnikad
Baastehnikad Threat Hunting
K TH tehnoloogiate kasutamise küpsuse kohaselt kuuluvad: põhitegevus, statistiline analüüs, visualiseerimistaktikad, lihtsad agregatsioonid, masinõpe ja Bayesi meetodid.
Lihtsaim meetod on põhivaatlus, mida kasutatakse teadusuuringute fookuse kitsendamiseks teatud päringute abil. Statistilist analüüsi rakendatakse näiteks tüüpilise kasutaja- või võrguaktiivsuse kujundamiseks statistilise mudelina. Visualiseerimistööd kasutatakse, et andmete analüüsi lihtsustada ja selgeks teha, kasutades graafikuid ja diagramme, kus mustrite tabamine proovivõtul on palju lihtsam. Peamiste väljade lihtsa agregatsiooni tehnikaid rakendatakse otsingute ja analüüside optimeerimiseks. Mida kõrgemale küpsusastmele organisatsioonis TH protsess jõuab, seda asjakohasemaks muutub masinõppe algoritmide kasutamine. Neid kasutatakse laialdaselt ka rämpsposti filtreerimisel, kahjuliku liikluse avastamisel ja petuskeemide tuvastamisel. Edasiarendatud tüüp masinõppe algoritmidest on bayes'i meetodid, mis võimaldavad klassifitseerimist, valimi mõõtmete vähendamist ja teema modelleerimist.
Teemantmudel ja TH strateegiad
Sergio Kaltagirone, Andrew Pendergast ja Christopher Betz oma töös "" näitasid mistahes kahjuliku tegevuse peamisi koostisosade ja nende vahelisi põhiseoseid.
Kahjuliku tegevuse teemantmudel
Selle mudeli kohaselt on 4 ohtude jahtimise strateegiat, mis toetuvad vastavatele põhikoostisosadele.
1. Ohvrile suunatud strateegia. Eeldame, et ohvril on vastased, kes toovad "võimalusi" läbi e-posti. Otsime vaenlase andmeid postkastist. Otsime linke, manuseid jne. Kontrollime selle hüpoteesi kehtivust teatud aja jooksul (kuu, kaks nädalat), ja kui ei leia, siis hüpotees ei toimi.
2. Infrastruktuurile suunatud strateegia. Selle strateegia rakendamiseks on mitu meetodit. Olenevalt juurdepääsust ja nähtavusest on mõned neist kergemini teostatavad kui teised. Näiteks jälgime domeeniservereid, mis on tuntud kahjulike domeenide majutamiseks. Või jälgime uusi domeeniregistreid, otsides tuntud mustreid, mida vaenlane kasutatakse.
3. Võimalustele suunatud strateegia. Peale strateegia, mis on suunatud ohvrile ja mida kasutavad enamik võrgu kaitsjatest, on olemas ka võimalustele suunatud strateegia. See on teise populaarsuse astme pealt ja keskendub võimaluste tuvastamisele vaenlase, nimelt "kahjulike programmide" mõttes, samuti vaenlase tõsiseltvõetavate tööriistade, nagu psexec, powershell, certutil ja teiste kasutamise võimalustele.
4. Vaenlasele suunatud strateegia. Vaenlasele suunatud lähenemine keskendub vaenlasele endale. Siia kuulub avatud teabe kasutamine avalikest allikatest (OSINT), andmete kogumine vaenlase, tema tehnikate ja meetodite (TTP) kohta, varem toimunud sündmuste, Threat Intelligence andmete analüüs jne.
Teabe ja hüpoteeside allikad TH-s
Mõned teabe allikad Threat Hunting'iks
Teabeallikad võivad olla väga erinevad. Täiuslik analüütik peab oskama teavet ammutada kõigest, mis teda ümbritseb. Tüüpilised allikad praktiliselt igas infrastruktuuris on andmed kaitsesüsteemidelt: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Samuti on tüüpilised teabeallikad erinevad kompromiteerimise näitajad, Threat Intelligence teenused, CERT ja OSINT andmed. Täiendavalt võib kasutada teavet sügaval veebis (näiteks ootamatult on tellimus organisatsiooni juhtkonna e-posti häkkimise kohta või oma tegevusega on silma jäänud kandidaat võrgutehniku ametikohale), teavet, mis on saadud personaliosakonnast (kandidaadi tagasiside endiselt töökohalt), teavet turvateenistusest (näiteks partnerite kontrollimise tulemused).
Kuid enne, kui kasutada kõiki olemasolevaid allikaid, on vaja omada vähemalt ühte hüpoteesi.
Kuna hüpoteese tuleb kontrollida, tuleb need esmalt välja pakkuda. Kvaliteetsete hüpoteeside väljakujundamiseks on vajalik rakendada süsteemset lähenemist. Hüpoteeside genereerimise protsessi on põhjalikumalt kirjeldatud, võimalik võtta selle protsessi hüpoteeside esitlemiseks aluseks see skeem.
Hüpoteeside peamine allikas tuleb olema ATT&CK maatriks (Adversarial Tactics, Techniques and Common Knowledge). See on põhimõtteliselt teadmiste baas ja mudel rünnaku lõpupoolsete tegevuste hindamiseks, mida nii-öelda teostavad kurjategijad, kes on sisenenud sihtmärgi organisatsiooni sisemisse võrku või mobiilseadmesse. Algul sisaldas teadmiste baas 121 rünnaku taktikat ja tehnikat, millest igaüks on üksikasjalikult kirjeldatud Wiki formaadis. Hüpoteeside genereerimise allikana sobib hästi mitmekesine Threat Intelligence analüüs. Erakordselt tähtsad on infrastruktuuri analüüsi ja sissetungimiskatsete tulemused – need on kõige väärtuslikumad andmed, mis võivad anda meile kindlad hüpoteesid, kuna need põhinevad konkreetsel infrastruktuuril, millel on oma konkreetsed puudujäägid.
Hüpoteeside kontrollimise protsess
Sergei Soldatov esitas protsessist põhjaliku kirjeldusega illustreerib see hüpoteeside TH kontrollimise protsessi eraldi süsteemis. Esitan peamised etapid koos lühikeste kirjeldustega.
Etapp 1: TI Farm
Sellel etapil on vaja eristada objekte (analüüsides neid koos kõigi ähvarduste andmetega) ja määrata neile nende omadustele vastavad sildid. See võib olla fail, URL, MD5, protsess, utiliit või sündmus. Läbi Threat Intelligence süsteemide läbiviimisega tuleb rakendada sildid. See tähendab, et see sait oli CNC-s märgatud teatud aastal, see MD5 oli seotud teatud pahavaraga, see MD5 laaditi alla saidilt, mis levitas pahavara.
Etapp 2: Juhtumid
Teisel etapil vaatleme nende objektide vahelisi seoseid ja tuvastame nende kõigi objektide koostöö. Saame silte kandvad süsteemid, mis teevad midagi halba.
Etapp 3: Analüütik
Kolmandal etapil antakse asi kogenud analüütikule, kes omab tohutut analüüsikogemust, ja tema teeb otsuse. Ta analüüsib kuni baitideni, mis, kust, kuidas, miks ja milleks see kood teeb. See keha oli pahavara, see arvuti oli nakatunud. Asetab seosed objektide vahel, kontrollib tulemusi liivakasti kaudu.
Analüütiku töö tulemused edastatakse edasi. Digitaalne kriminaalanalüüs uurib pildifailide sisu, pahavara analüüs uurib leitud „kehasid“ ning intsidentide lahendamise meeskond võib sündmuskohale välja sõita ja seal midagi uurida. Töö tulemuseks on kinnitatud hüpotees, tuvastatud rünnak ja viisid selle vastu võitlemiseks.
Kokkuvõte
Threat Hunting on suhteliselt uus tehnoloogia, mis suudab tõhusalt vastata kohandatud, uutele ja ebatavalistele ohtudele. Sellel on suured väljavaated, arvestades nende ohtude arvu kasvu ja ettevõtte infrastruktuuri keerukuse suurenemist. Selleks on vajalikud kolm komponenti: andmed, tööriistad ja analüütikud. Threat Huntingu kasu ei piirdu vaid ohtude realiseerumise ennetamisega. Tuleb meeles pidada, et otsimise protsessis süveneme oma infrastruktuuri ja selle nõrkadesse kohtadesse, vaadates neid turbeanalüütiku silmade läbi, ning saame neid kohti veelgi tugevdada.
Esimesed sammud, mida me arvame, et peaksime tegema, et alustada oma organisatsioonis TH protsessi.
- Kaitse lõpp-punkte ja võrgu infrastruktuuri. Tagage nähtavus (NetFlow) ja kontroll (firewall, IDS, IPS, DLP) kõigi teie võrgu protsesside üle. Tundke oma võrku piiriühendist kuni viimase hostini.
- Uurida.
- Tehke regulaarselt pahalaste testimine vähemalt võtme välistes ressurssides, analüüsige tulemusi, eraldage peamised ründamise eesmärgid ja kõrvaldage nende haavatavused.
- Rakendage avatud lähtekoodiga Threat Intelligence süsteem (nt MISP, Yeti) ja viige koos sellega läbi logianalüüsi.
- Rakendage intsidentide reageerimise platvorm (IRP): R-Vision IRP, The Hive, kahtlaste failide analüüsimiseks mõeldud liivakast (FortiSandbox, Cuckoo).
- Automatiseerige rutiinseid protsesse. Logide analüüs, intsidentide registreerimine, personali teavitamine – suur võimaluste valdkond automatiseerimiseks.
- Õppige tõhusalt suhtlema inseneride, arendajate ja tehnilise toe spetsialistidega, et kollektiivselt töötada intsidentide kallal.
- Dokumenteerige kogu protsess, võtmeetapid ja saavutatud tulemused, et saaksite nendeni tulevikus tagasi pöörduda või neid andmeid kolleegidega jagada;
- Pöörake tähelepanu sotsiaalsele küljele: olge teadlikud, mis toimub teie töötajatega, keda te palkate ja kellele anname ligipääsu organisatsiooni teabeallikatele.
- Olge teadlik uute ohtude ja kaitsmise suundumustest, parandage oma tehnilisi oskusi (sealhulgas IT-teenuste ja süsteemide osas), osalege konverentsidel ja suhelge kolleegidega.
Olen valmis arutama TH-protsessi korraldust kommentaarides.
Või tulge meile tööle!
Õppimise allikad ja materjalid
Allikas: habr.com
