{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Kuidas liiklusanal\u00fc\u00fcsi s\u00fcsteemid tuvastavad MITRE ATT&CK h\u00e4kkerite taktikaid PT Network Attack Discovery n\u00e4itel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Kuidas<\/a><\/noindex><\/p>\n

Vastavalt Verizonile<\/a><\/noindex>, toimub enamus (87%) k\u00fcberjulgeoleku intsidente vaid minutitega, samas kui 68% ettev\u00f5tetest kulutab nende avastamiseks kuid. Seda kinnitab ka Ponemoni instituudi uuring<\/a><\/noindex>, mille kohaselt kulub enamikul organisatsioonidest keskmiselt 206 p\u00e4eva intsidenti avastamiseks. Meie uurimiste kogemused n\u00e4itavad, et h\u00e4kkerid saavad aastaid kontrollida ettev\u00f5tte infrastruktuuri, j\u00e4\u00e4des samas t\u00e4helepanuta. N\u00e4iteks \u00fches organisatsioonis, kus meie eksperdid viisid l\u00e4bi k\u00fcberjulgeoleku intsidiendi uurimist, selgus, et h\u00e4kkerid olid t\u00e4ielikult kontrollinud kogu organisatsiooni infrastruktuuri ja varastanud regulaarselt tundlikku teavet kaheksa aasta jooksul<\/a><\/noindex>.<\/p>\n

Oletame, et teil on juba t\u00f6\u00f6tab SIEM, mis kogub logisid ja anal\u00fc\u00fcsib s\u00fcndmusi, ning l\u00f5pp-punktides on paigaldatud viiruset\u00f5rje. Sellegipoolest, ei suuda k\u00f5ike avastada SIEM<\/a><\/noindex>, samuti ei ole v\u00f5imalik rakendada EDR-s\u00fcsteeme kogu v\u00f5rku, mist\u00f5ttu \u201epimedate\u201d tsoonide v\u00e4ltimine pole v\u00f5imalik. Nende probleemidega toimetulekul aitavad v\u00f5rguliikluse anal\u00fc\u00fcsi s\u00fcsteemid (network traffic analysis, NTA). Need lahendused tuvastavad kurjategijate tegevuse v\u00f5rku tungimise varjatud etappidel ning samuti katsetel oma positsiooni kindlustada ja r\u00fcnnakut v\u00f5rgu sees laiendada. <\/p>\n

NTA-s\u00fcsteemid jagunevad kaheks: m\u00f5ned t\u00f6\u00f6tavad NetFlow'ga, teised anal\u00fc\u00fcsivad tooret (raw) liiklust. Teiste s\u00fcsteemide eeliseks on see, et nad suudavad s\u00e4ilitada toore liikluse salvestusi. T\u00e4nu sellele suudab infoturbe spetsialist kontrollida r\u00fcnnaku \u00f5nnestumist, lokaliseerida ohu, m\u00f5ista, kuidas r\u00fcnnak toimus ja kuidas sarnaseid tulevikus v\u00e4ltida.<\/p>\n

K\u00fclastame, kuidas NTA abil saab otseselt v\u00f5i kaudselt tuvastada k\u00f5iki tuntud r\u00fcnnakutaktikaid, mis on kirjeldatud teadmusbaasis. MITRE ATT&CK<\/a><\/noindex>. R\u00e4\u00e4gime igast 12 taktikast, anal\u00fc\u00fcsime meetodeid, mis tuvastatakse liikluse kaudu, ja demonstreerime nende tuvastamist meie NTA-s\u00fcsteemiga. <\/a><\/noindex><\/p>\n

ATT&CK teadmistebaas<\/h2>\n

\nMITRE ATT&CK \u2014 avatud teadmiste baasi, mis on v\u00e4lja t\u00f6\u00f6tatud ja hooldatud MITRE'i poolt, tuginedes reaalse APT anal\u00fc\u00fcsile. See on struktureeritud komplekt taktikadest ja tehnikatest, mida kurjategijad kasutavad. See v\u00f5imaldab infotehnoloogia spetsialistidel kogu maailmas r\u00e4\u00e4kida \u00fchte keelt. Baas laieneb pidevalt ja t\u00e4ieneb uute teadmistena.<\/p>\n

Baasis eristatakse 12 taktikat, mis on jagatud k\u00fcberr\u00fcnnaku etappide j\u00e4rgi: <\/p>\n