{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Kuidas liiklusanal\u00fc\u00fcsi s\u00fcsteemid tuvastavad h\u00e4kkerite taktikad MITRE ATT&CK kaudu PT Network Attack Discovery n\u00e4itel","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Kuidas<\/a><\/noindex><\/p>\n

Vastavalt Verizonile<\/a><\/noindex>, enamik (87%) k\u00fcberjulgeoleku juhtumeid juhtub minutitega, kuid nende tuvastamiseks kulub 68% ettev\u00f5tetest kuid. Seda kinnitab ka Ponemoni Instituudi uurimus<\/a><\/noindex>, mille kohaselt kulub enamikul organisatsioonidest keskmiselt 206 p\u00e4eva s\u00fcndmuse tuvastamiseks. Meie uurimuste kohaselt suudavad h\u00e4kkerid ettev\u00f5tte infrastruktuuri aastaid kontrollida, j\u00e4\u00e4des samal ajal avastamata. N\u00e4iteks \u00fches organisatsioonis, kus meie eksperdid viisid l\u00e4bi k\u00fcberjulgeoleku juhtumi uurimise, leiti, et h\u00e4kkerid kontrollisid t\u00e4ielikult kogu organisatsiooni infrastruktuuri ja varastasid regulaarselt olulist teavet kohekuue aasta jooksul<\/a><\/noindex>.<\/p>\n

Oletame, et teil on juba toimiv SIEM, mis kogub logisid ja anal\u00fc\u00fcsib s\u00fcndmusi, ja l\u00f5ppseadmetes on paigaldatud viiruset\u00f5rjeprogrammid. Sellegipoolest ei saa k\u00f5ike tuvastada SIEM-i abil<\/a><\/noindex>, samuti ei ole v\u00f5imalik k\u00f5igile v\u00f5rkudele rakendada EDR-s\u00fcsteeme, mist\u00f5ttu \u201epime ala\u201d on v\u00e4ltimatu. Nendega toimetulekut aitavad v\u00f5rgu liikluse anal\u00fc\u00fcsi s\u00fcsteemid (network traffic analysis, NTA). Need lahendused tuvastavad kurjategijate tegevuse varases etapis, kui nad p\u00fc\u00fcavad v\u00f5rku siseneda, samuti katsetes kindlaks j\u00e4\u00e4da ja r\u00fcnnakut v\u00f5rku arendada. <\/p>\n

NTA on kahte t\u00fc\u00fcpi: \u00fched t\u00f6\u00f6tavad NetFlow'ga, teised anal\u00fc\u00fcsivad toore liiklust. Teiste s\u00fcsteemide eelis on see, et nad saavad s\u00e4ilitada toore liikluse protokolle. T\u00e4nu sellele saab k\u00fcberjulgeoleku spetsialist kontrollida, kui edukas r\u00fcnnak oli, lokaliseerida ohu, m\u00f5ista, kuidas r\u00fcnnak toimus ja kuidas tulevikus sarnaseid v\u00e4ltida.<\/p>\n

Me n\u00e4itame, kuidas NTA abil saab otseselt v\u00f5i kaudselt tuvastada k\u00f5iki teadaolevaid r\u00fcndetehnikaid, mis on kirjeldatud teadmusbaasis MITRE ATT&CK<\/a><\/noindex>. R\u00e4\u00e4gime iga 12 taktikast, anal\u00fc\u00fcsime tehnikaid, mida liiklus tuvastab, ja demonstreerime nende tuvastamist meie NTA-s\u00fcsteemi abil. <\/a><\/noindex><\/p>\n

Teadmusbaas ATT&CK<\/h2>\n

\nMITRE ATT&CK on avatud teadmusbaas, mille on v\u00e4lja t\u00f6\u00f6tanud ja toetanud ettev\u00f5te MITRE, tuginedes reaalse APT anal\u00fc\u00fcsile. See on struktureeritud kogum taktikadest ja tehnikatest, mida kurjategijad kasutavad. See v\u00f5imaldab k\u00fcberjulgeoleku spetsialistidel \u00fcle kogu maailma sama keelt r\u00e4\u00e4kida. Andmebaas laienevad ja t\u00e4ienevad pidevalt uute teadmustega.<\/p>\n

Andmebaasis on v\u00e4lja toodud 12 taktikat, mis on jagatud k\u00fcberr\u00fcnnaku etappide kaupa: <\/p>\n