ધમકીનો શિકાર, અથવા 5% ધમકીઓથી તમારી જાતને કેવી રીતે સુરક્ષિત કરવી

95% માહિતી સુરક્ષા જોખમો જાણીતા છે, અને તમે પરંપરાગત માધ્યમો જેમ કે એન્ટીવાયરસ, ફાયરવોલ, IDS, WAF નો ઉપયોગ કરીને તમારી જાતને તેનાથી સુરક્ષિત કરી શકો છો. બાકીના 5% ધમકીઓ અજ્ઞાત અને સૌથી ખતરનાક છે. તેઓ કંપની માટે 70% જોખમ ધરાવે છે કારણ કે તેમને શોધવું ખૂબ જ મુશ્કેલ છે, તેમની સામે રક્ષણ ખૂબ ઓછું છે. ઉદાહરણો "કાળા હંસ" WannaCry રેન્સમવેર રોગચાળો, NotPetya/ExPetr, ક્રિપ્ટોમાઇનર્સ, "સાયબર વેપન" Stuxnet (જે ઈરાનની પરમાણુ સુવિધાઓને ફટકારે છે) અને ઘણા (બીજા કોઈને કીડો/કોન્ફિકર યાદ છે?) અન્ય હુમલાઓ કે જે શાસ્ત્રીય સુરક્ષા પગલાં સાથે ખૂબ સારી રીતે સુરક્ષિત નથી. અમે થ્રેટ હન્ટિંગ ટેક્નોલોજીનો ઉપયોગ કરીને આ 5% ધમકીઓનો સામનો કેવી રીતે કરવો તે વિશે વાત કરવા માંગીએ છીએ.

સાયબર હુમલાના સતત વિકાસ માટે સતત શોધ અને પ્રતિક્રમણની જરૂર પડે છે, જે આખરે આપણને હુમલાખોરો અને બચાવકર્તાઓ વચ્ચે અનંત શસ્ત્ર સ્પર્ધા વિશે વિચારવા તરફ દોરી જાય છે. ક્લાસિક સુરક્ષા પ્રણાલીઓ હવે સ્વીકાર્ય સ્તરની સુરક્ષા પ્રદાન કરવામાં સક્ષમ નથી, જેના પર જોખમનું સ્તર કંપનીના મુખ્ય સૂચકાંકો (આર્થિક, રાજકીય, પ્રતિષ્ઠા) પર કોઈ ચોક્કસ ઈન્ફ્રાસ્ટ્રક્ચર માટે ફેરફાર કર્યા વિના અસર કરતું નથી, પરંતુ સામાન્ય રીતે તેઓ કેટલાકને આવરી લે છે. જોખમો. પહેલેથી જ અમલીકરણ અને ગોઠવણીની પ્રક્રિયામાં, આધુનિક સુરક્ષા પ્રણાલીઓ પોતાને પકડવાની ભૂમિકામાં શોધે છે અને નવા સમયના પડકારોનો જવાબ આપવો જ જોઇએ.

સોર્સ

માહિતી સુરક્ષા નિષ્ણાત માટે થ્રેટ હન્ટિંગ ટેક્નોલોજી એ આપણા સમયના પડકારોનો એક જવાબ હોઈ શકે છે. ધમકીનો શિકાર શબ્દ (ત્યારબાદ TH તરીકે ઓળખવામાં આવે છે) ઘણા વર્ષો પહેલા દેખાયો. ટેક્નોલોજી પોતે જ એકદમ રસપ્રદ છે, પરંતુ હજુ સુધી તેમાં સામાન્ય રીતે સ્વીકૃત ધોરણો અને નિયમો નથી. આ બાબત માહિતીના સ્ત્રોતોની વિજાતીયતા અને આ વિષય પરની માહિતીના રશિયન-ભાષાના સ્ત્રોતોની ઓછી સંખ્યાને કારણે પણ જટિલ છે. આ સંદર્ભે, અમે LANIT-Integration પર આ ટેકનોલોજીની સમીક્ષા લખવાનું નક્કી કર્યું છે.

સંબંધિતતા

TH ટેકનોલોજી ઇન્ફ્રાસ્ટ્રક્ચર મોનિટરિંગ પ્રક્રિયાઓ પર આધાર રાખે છે. આંતરિક દેખરેખ માટે બે મુખ્ય દૃશ્યો છે - ચેતવણી અને શિકાર. ચેતવણી આપવી (MSSP સેવાઓ જેવી જ) એ અગાઉ વિકસિત હસ્તાક્ષરો અને હુમલાના સંકેતો શોધવા અને તેનો જવાબ આપવાની પરંપરાગત પદ્ધતિ છે. પરંપરાગત હસ્તાક્ષર-આધારિત સંરક્ષણ સાધનો દ્વારા આ દૃશ્ય સફળતાપૂર્વક કરવામાં આવે છે. શિકાર (MDR પ્રકારની સેવા) એ મોનિટરિંગ પદ્ધતિ છે જે "સહી અને નિયમો ક્યાંથી આવે છે?" પ્રશ્નનો જવાબ આપે છે. તે છુપાયેલા અથવા અગાઉ અજાણ્યા સંકેતો અને હુમલાના સંકેતોનું વિશ્લેષણ કરીને સહસંબંધ નિયમો બનાવવાની પ્રક્રિયા છે. થ્રેટ હન્ટિંગ આ પ્રકારના મોનિટરિંગનો સંદર્ભ આપે છે.

માત્ર બંને પ્રકારના મોનિટરિંગને સંયોજિત કરીને જ આપણને રક્ષણ મળે છે જે આદર્શની નજીક હોય છે, પરંતુ ત્યાં હંમેશા ચોક્કસ સ્તરનું શેષ જોખમ હોય છે.

બે પ્રકારના મોનિટરિંગનો ઉપયોગ કરીને રક્ષણ

અને અહીં શા માટે TH (અને તેની સંપૂર્ણતામાં શિકાર!) વધુને વધુ સુસંગત બનશે:

ધમકીઓ, ઉપાયો, જોખમો. સોર્સ

તમામ ધમકીઓમાંથી 95% પહેલેથી જ સારી રીતે અભ્યાસ કરવામાં આવી છે. આમાં સ્પામ, DDoS, વાયરસ, રૂટકિટ્સ અને અન્ય ક્લાસિક માલવેર જેવા પ્રકારોનો સમાવેશ થાય છે. તમે સમાન ક્લાસિક સુરક્ષા પગલાંનો ઉપયોગ કરીને આ જોખમોથી તમારી જાતને સુરક્ષિત કરી શકો છો.

કોઈપણ પ્રોજેક્ટના અમલીકરણ દરમિયાન 20% કામ પૂર્ણ થવામાં 80% સમય લે છે, અને બાકીના 20% કામમાં 80% સમય લાગે છે. તેવી જ રીતે, સમગ્ર ખતરાના લેન્ડસ્કેપમાં, 5% નવી ધમકીઓ કંપની માટેના 70% જોખમ માટે જવાબદાર હશે. એવી કંપનીમાં જ્યાં માહિતી સુરક્ષા વ્યવસ્થાપન પ્રક્રિયાઓ ગોઠવવામાં આવે છે, અમે એક અથવા બીજી રીતે જાણીતા જોખમોના અમલીકરણના 30% જોખમને ટાળીને (સૈદ્ધાંતિક રીતે વાયરલેસ નેટવર્કનો ઇનકાર), સ્વીકારીને (જરૂરી સુરક્ષા પગલાં અમલમાં મૂકીને) અથવા સ્થળાંતર કરીને સંચાલિત કરી શકીએ છીએ. (ઉદાહરણ તરીકે, ઇન્ટિગ્રેટરના ખભા પર) આ જોખમ. થી પોતાને બચાવો શૂન્ય-દિવસની નબળાઈઓ, APT હુમલા, ફિશીંગ, સપ્લાય ચેઇન હુમલા, સાયબર જાસૂસી અને રાષ્ટ્રીય કામગીરી, તેમજ મોટી સંખ્યામાં અન્ય હુમલાઓ પહેલાથી જ વધુ મુશ્કેલ છે. આ 5% ધમકીઓના પરિણામો વધુ ગંભીર હશે (બુહટ્રેપ જૂથની બેંક ખોટની સરેરાશ રકમ 143 મિલિયન છે) સ્પામ અથવા વાયરસના પરિણામો કરતાં, જેમાંથી એન્ટિવાયરસ સૉફ્ટવેર બચાવે છે.

લગભગ દરેક વ્યક્તિને 5% ધમકીઓનો સામનો કરવો પડે છે. અમારે તાજેતરમાં એક ઓપન-સોર્સ સોલ્યુશન ઇન્સ્ટોલ કરવું પડ્યું હતું જે PEAR (PHP એક્સ્ટેંશન અને એપ્લિકેશન રિપોઝીટરી) રીપોઝીટરીમાંથી એપ્લિકેશનનો ઉપયોગ કરે છે. પિઅર ઇન્સ્ટોલ દ્વારા આ એપ્લિકેશન ઇન્સ્ટોલ કરવાનો પ્રયાસ નિષ્ફળ ગયો કારણ કે વેબસાઇટ અનુપલબ્ધ હતું (હવે તેના પર એક સ્ટબ છે), મારે તેને GitHub માંથી ઇન્સ્ટોલ કરવું પડ્યું. અને તાજેતરમાં જ તે બહાર આવ્યું છે કે PEAR શિકાર બન્યો છે સપ્લાય ચેઇન હુમલા.

તમે હજુ પણ યાદ કરી શકો છો CCleaner નો ઉપયોગ કરીને હુમલો, ટેક્સ રિપોર્ટિંગ પ્રોગ્રામ માટે અપડેટ મોડ્યુલ દ્વારા NePetya રેન્સમવેરનો રોગચાળો MEDoc. ધમકીઓ વધુ ને વધુ અત્યાધુનિક બની રહી છે, અને તાર્કિક પ્રશ્ન ઊભો થાય છે - "આપણે આ 5% ધમકીઓનો સામનો કેવી રીતે કરી શકીએ?"

ધમકી શિકારની વ્યાખ્યા

તેથી, થ્રેટ હન્ટિંગ એ અદ્યતન જોખમોની સક્રિય અને પુનરાવર્તિત શોધ અને શોધની પ્રક્રિયા છે જે પરંપરાગત સુરક્ષા સાધનો દ્વારા શોધી શકાતી નથી. અદ્યતન ધમકીઓમાં, ઉદાહરણ તરીકે, APT જેવા હુમલાઓ, 0-દિવસની નબળાઈઓ પરના હુમલા, જમીનની બહાર જીવવું વગેરેનો સમાવેશ થાય છે.

આપણે એ પણ ફરીથી કહી શકીએ કે TH એ પૂર્વધારણાઓનું પરીક્ષણ કરવાની પ્રક્રિયા છે. આ મુખ્યત્વે ઓટોમેશનના તત્વો સાથેની મેન્યુઅલ પ્રક્રિયા છે, જેમાં વિશ્લેષક, તેના જ્ઞાન અને કૌશલ્યો પર આધાર રાખીને, સમાધાનના સંકેતોની શોધમાં માહિતીના મોટા જથ્થામાંથી શોધે છે જે ચોક્કસ ખતરા વિશેની શરૂઆતમાં નિર્ધારિત પૂર્વધારણાને અનુરૂપ છે. તેની વિશિષ્ટ વિશેષતા માહિતી સ્ત્રોતોની વિવિધતા છે.

એ નોંધવું જોઈએ કે થ્રેટ હન્ટિંગ એ કોઈ પ્રકારનું સોફ્ટવેર અથવા હાર્ડવેર ઉત્પાદન નથી. આ ચેતવણીઓ નથી જે અમુક ઉકેલમાં જોઈ શકાય છે. આ IOC (આઇડેન્ટિફાયર ઓફ કોમ્પ્રોમાઇઝ) શોધ પ્રક્રિયા નથી. અને આ કોઈ પ્રકારની નિષ્ક્રિય પ્રવૃત્તિ નથી જે માહિતી સુરક્ષા વિશ્લેષકોની ભાગીદારી વિના થાય છે. ધમકીનો શિકાર એ પ્રથમ અને અગ્રણી પ્રક્રિયા છે.

ધમકી શિકારના ઘટકો

થ્રેટ હન્ટીંગના ત્રણ મુખ્ય ઘટકો: ડેટા, ટેકનોલોજી, લોકો.

ડેટા (શું?), બિગ ડેટા સહિત. તમામ પ્રકારના ટ્રાફિક ફ્લો, અગાઉના APT વિશેની માહિતી, એનાલિટિક્સ, વપરાશકર્તાની પ્રવૃત્તિ પરનો ડેટા, નેટવર્ક ડેટા, કર્મચારીઓની માહિતી, ડાર્કનેટ પરની માહિતી અને ઘણું બધું.

ટેક્નોલોજી (કેવી રીતે?) આ ડેટાની પ્રક્રિયા કરવી - મશીન લર્નિંગ સહિત આ ડેટાની પ્રક્રિયા કરવાની તમામ સંભવિત રીતો.

જે લોકો?) - જેઓ વિવિધ હુમલાઓનું પૃથ્થકરણ કરવાનો બહોળો અનુભવ ધરાવે છે, વિકસીત અંતર્જ્ઞાન અને હુમલાને શોધી કાઢવાની ક્ષમતા ધરાવે છે. સામાન્ય રીતે આ માહિતી સુરક્ષા વિશ્લેષકો છે જેમની પાસે પૂર્વધારણાઓ જનરેટ કરવાની અને તેમના માટે પુષ્ટિ શોધવાની ક્ષમતા હોવી આવશ્યક છે. તેઓ પ્રક્રિયામાં મુખ્ય કડી છે.

મોડેલ પેરિસ

એડમ બેટમેન વર્ણવે છે આદર્શ TH પ્રક્રિયા માટે PARIS મોડેલ. આ નામ ફ્રાન્સના પ્રખ્યાત સીમાચિહ્નને દર્શાવે છે. આ મોડેલ બે દિશામાં જોઈ શકાય છે - ઉપરથી અને નીચેથી.

જેમ જેમ અમે નીચેથી ઉપર સુધી મોડેલ દ્વારા અમારી રીતે કાર્ય કરીએ છીએ, તેમ તેમ અમને દૂષિત પ્રવૃત્તિના ઘણા બધા પુરાવા મળશે. પુરાવાના દરેક ભાગમાં આત્મવિશ્વાસ નામનું માપ હોય છે - એક લાક્ષણિકતા જે આ પુરાવાના વજનને પ્રતિબિંબિત કરે છે. ત્યાં "આયર્ન" છે, દૂષિત પ્રવૃત્તિનો સીધો પુરાવો, જે મુજબ આપણે તરત જ પિરામિડની ટોચ પર પહોંચી શકીએ છીએ અને ચોક્કસ રીતે જાણીતા ચેપ વિશે વાસ્તવિક ચેતવણી બનાવી શકીએ છીએ. અને ત્યાં પરોક્ષ પુરાવા છે, જેનો સરવાળો પણ આપણને પિરામિડની ટોચ પર લઈ જઈ શકે છે. હંમેશની જેમ, પ્રત્યક્ષ પુરાવા કરતાં વધુ પરોક્ષ પુરાવા છે, જેનો અર્થ છે કે તેમને સૉર્ટ અને વિશ્લેષણ કરવાની જરૂર છે, વધારાના સંશોધન હાથ ધરવા જોઈએ, અને આને સ્વચાલિત કરવાની સલાહ આપવામાં આવે છે.

મોડેલ પેરિસ. સોર્સ

મોડલનો ઉપરનો ભાગ (1 અને 2) ઓટોમેશન ટેક્નોલોજી અને વિવિધ એનાલિટિક્સ પર આધારિત છે અને નીચેનો ભાગ (3 અને 4) અમુક ચોક્કસ લાયકાત ધરાવતા લોકો પર આધારિત છે જેઓ પ્રક્રિયાનું સંચાલન કરે છે. તમે ઉપરથી નીચે તરફ જતા મોડેલને ધ્યાનમાં લઈ શકો છો, જ્યાં વાદળી રંગના ઉપરના ભાગમાં અમારી પાસે પરંપરાગત સુરક્ષા સાધનો (એન્ટીવાયરસ, EDR, ફાયરવોલ, હસ્તાક્ષર) તરફથી ઉચ્ચ આત્મવિશ્વાસ અને વિશ્વાસ સાથે ચેતવણીઓ છે અને નીચે સૂચકાંકો છે ( IOC, URL, MD5 અને અન્ય), જેમાં નિશ્ચિતતાની ઓછી ડિગ્રી છે અને વધારાના અભ્યાસની જરૂર છે. અને સૌથી નીચું અને સૌથી જાડું સ્તર (4) એ પૂર્વધારણાઓની પેઢી છે, સંરક્ષણના પરંપરાગત માધ્યમોના સંચાલન માટે નવા દૃશ્યોની રચના. આ સ્તર માત્ર પૂર્વધારણાના ઉલ્લેખિત સ્ત્રોતો પૂરતું મર્યાદિત નથી. સ્તર જેટલું નીચું છે, વિશ્લેષકની લાયકાત પર વધુ જરૂરિયાતો મૂકવામાં આવે છે.

તે ખૂબ જ મહત્વપૂર્ણ છે કે વિશ્લેષકો ફક્ત પૂર્વનિર્ધારિત પૂર્વધારણાઓના મર્યાદિત સમૂહનું પરીક્ષણ કરતા નથી, પરંતુ સતત નવી પૂર્વધારણાઓ અને તેમને ચકાસવા માટેના વિકલ્પો બનાવવા માટે કામ કરે છે.

TH વપરાશ પરિપક્વતા મોડલ

આદર્શ વિશ્વમાં, TH એ એક ચાલુ પ્રક્રિયા છે. પરંતુ, કોઈ આદર્શ વિશ્વ ન હોવાથી, ચાલો વિશ્લેષણ કરીએ પરિપક્વતા મોડેલ અને લોકો, પ્રક્રિયાઓ અને તકનીકીઓના સંદર્ભમાં પદ્ધતિઓ. ચાલો આદર્શ ગોળાકાર TH ના મોડેલને ધ્યાનમાં લઈએ. આ ટેકનોલોજીનો ઉપયોગ કરવાના 5 સ્તર છે. ચાલો વિશ્લેષકોની એક ટીમના ઉત્ક્રાંતિના ઉદાહરણનો ઉપયોગ કરીને તેમને જોઈએ.

પરિપક્વતાના સ્તરો
લોકો
પ્રક્રિયાઓ
ટેકનોલોજી

0 સ્તર
SOC વિશ્લેષકો
24/7
પરંપરાગત સાધનો:

પરંપરાગત
ચેતવણીઓનો સમૂહ
નિષ્ક્રિય દેખરેખ
IDS, AV, સેન્ડબોક્સિંગ,

TH વગર
ચેતવણીઓ સાથે કામ

હસ્તાક્ષર વિશ્લેષણ સાધનો, થ્રેટ ઇન્ટેલિજન્સ ડેટા.

1 સ્તર
SOC વિશ્લેષકો
વન-ટાઇમ TH
ઇડીઆર

પ્રાયોગિક
ફોરેન્સિક્સનું મૂળભૂત જ્ઞાન
IOC શોધ
નેટવર્ક ઉપકરણોમાંથી ડેટાનું આંશિક કવરેજ

TH સાથે પ્રયોગો
નેટવર્ક્સ અને એપ્લિકેશન્સનું સારું જ્ઞાન

આંશિક એપ્લિકેશન

2 સ્તર
કામચલાઉ વ્યવસાય
સ્પ્રિન્ટ્સ
ઇડીઆર

સામયિક
ફોરેન્સિક્સનું સરેરાશ જ્ઞાન
અઠવાડિયાથી મહિને
સંપૂર્ણ એપ્લિકેશન

કામચલાઉ TH
નેટવર્ક્સ અને એપ્લિકેશન્સનું ઉત્તમ જ્ઞાન
નિયમિત TH
EDR ડેટા વપરાશનું સંપૂર્ણ ઓટોમેશન

અદ્યતન EDR ક્ષમતાઓનો આંશિક ઉપયોગ

3 સ્તર
સમર્પિત TH આદેશ
24/7
પૂર્વધારણાઓ TH ને ચકાસવાની આંશિક ક્ષમતા

નિવારક
ફોરેન્સિક્સ અને માલવેરનું ઉત્તમ જ્ઞાન
નિવારક TH
અદ્યતન EDR ક્ષમતાઓનો સંપૂર્ણ ઉપયોગ

ખાસ કેસો TH
હુમલાખોર બાજુનું ઉત્તમ જ્ઞાન
ખાસ કેસો TH
નેટવર્ક ઉપકરણોમાંથી ડેટાનું સંપૂર્ણ કવરેજ

તમારી જરૂરિયાતોને અનુરૂપ રૂપરેખાંકન

4 સ્તર
સમર્પિત TH આદેશ
24/7
TH પૂર્વધારણાઓનું પરીક્ષણ કરવાની સંપૂર્ણ ક્ષમતા

અગ્રણી
ફોરેન્સિક્સ અને માલવેરનું ઉત્તમ જ્ઞાન
નિવારક TH
સ્તર 3, વત્તા:

TH નો ઉપયોગ કરીને
હુમલાખોર બાજુનું ઉત્તમ જ્ઞાન
પૂર્વધારણાઓનું પરીક્ષણ, ઓટોમેશન અને ચકાસણી TH
ડેટા સ્ત્રોતોનું ચુસ્ત એકીકરણ;

સંશોધન ક્ષમતા

જરૂરિયાતો અનુસાર વિકાસ અને API નો બિન-માનક ઉપયોગ.

લોકો, પ્રક્રિયાઓ અને તકનીકો દ્વારા TH પરિપક્વતા સ્તર

સ્તર 0: પરંપરાગત, TH નો ઉપયોગ કર્યા વિના. નિયમિત વિશ્લેષકો પ્રમાણભૂત સાધનો અને તકનીકોનો ઉપયોગ કરીને નિષ્ક્રિય મોનિટરિંગ મોડમાં ચેતવણીઓના પ્રમાણભૂત સમૂહ સાથે કામ કરે છે: IDS, AV, સેન્ડબોક્સ, હસ્તાક્ષર વિશ્લેષણ સાધનો.

સ્તર 1: પ્રાયોગિક, TH નો ઉપયોગ કરીને. ફોરેન્સિક્સનું મૂળભૂત જ્ઞાન અને નેટવર્ક અને એપ્લિકેશનનું સારું જ્ઞાન ધરાવતા સમાન વિશ્લેષકો સમાધાનના સૂચકાંકો શોધીને વન-ટાઇમ થ્રેટ હન્ટિંગ કરી શકે છે. નેટવર્ક ઉપકરણોમાંથી ડેટાના આંશિક કવરેજ સાથે સાધનોમાં EDRs ઉમેરવામાં આવે છે. સાધનોનો આંશિક ઉપયોગ થાય છે.

સ્તર 2: સામયિક, અસ્થાયી TH. એ જ વિશ્લેષકો કે જેમણે ફોરેન્સિક, નેટવર્ક અને એપ્લિકેશન પાર્ટમાં તેમના જ્ઞાનને પહેલેથી જ અપગ્રેડ કર્યું છે, તેઓને મહિનામાં એક અઠવાડિયે નિયમિતપણે થ્રેટ હન્ટિંગ (સ્પ્રીન્ટ)માં જોડાવું જરૂરી છે. આ સાધનો નેટવર્ક ઉપકરણોમાંથી ડેટાનું સંપૂર્ણ સંશોધન, EDR માંથી ડેટા વિશ્લેષણનું ઓટોમેશન અને અદ્યતન EDR ક્ષમતાઓનો આંશિક ઉપયોગ ઉમેરે છે.

સ્તર 3: નિવારક, TH ના વારંવારના કેસો. અમારા વિશ્લેષકોએ પોતાની જાતને એક સમર્પિત ટીમમાં સંગઠિત કરી અને ફોરેન્સિક્સ અને માલવેરનું ઉત્તમ જ્ઞાન તેમજ હુમલો કરનાર પક્ષની પદ્ધતિઓ અને યુક્તિઓનું જ્ઞાન મેળવવાનું શરૂ કર્યું. પ્રક્રિયા પહેલાથી જ 24/7 હાથ ધરવામાં આવે છે. નેટવર્ક ઉપકરણોમાંથી ડેટાના સંપૂર્ણ કવરેજ સાથે EDR ની અદ્યતન ક્ષમતાઓનો સંપૂર્ણ લાભ લેતી વખતે ટીમ આંશિક રીતે TH પૂર્વધારણાઓનું પરીક્ષણ કરવામાં સક્ષમ છે. વિશ્લેષકો તેમની જરૂરિયાતોને અનુરૂપ સાધનોને ગોઠવવામાં પણ સક્ષમ છે.

સ્તર 4: હાઇ-એન્ડ, TH નો ઉપયોગ કરો. આ જ ટીમે સંશોધન કરવાની ક્ષમતા, TH પૂર્વધારણાઓનું પરીક્ષણ કરવાની પ્રક્રિયાને જનરેટ કરવાની અને સ્વચાલિત કરવાની ક્ષમતા મેળવી. હવે સાધનોને ડેટા સ્ત્રોતોના નજીકના એકીકરણ, જરૂરિયાતોને પહોંચી વળવા માટે સોફ્ટવેર ડેવલપમેન્ટ અને API નો બિન-માનક ઉપયોગ દ્વારા પૂરક બનાવવામાં આવ્યા છે.

ધમકી શિકાર તકનીકો

મૂળભૂત ધમકી શિકાર તકનીકો

К ટેકનિશિયન્સ TH, વપરાયેલી ટેક્નોલૉજીની પરિપક્વતાના ક્રમમાં, આ છે: મૂળભૂત શોધ, આંકડાકીય વિશ્લેષણ, વિઝ્યુલાઇઝેશન તકનીકો, સરળ એકત્રીકરણ, મશીન લર્નિંગ અને બેયેશિયન પદ્ધતિઓ.

સૌથી સરળ પદ્ધતિ, મૂળભૂત શોધનો ઉપયોગ વિશિષ્ટ પ્રશ્નોનો ઉપયોગ કરીને સંશોધનના વિસ્તારને સંકુચિત કરવા માટે થાય છે. આંકડાકીય વિશ્લેષણનો ઉપયોગ થાય છે, ઉદાહરણ તરીકે, આંકડાકીય મોડેલના સ્વરૂપમાં લાક્ષણિક વપરાશકર્તા અથવા નેટવર્ક પ્રવૃત્તિનું નિર્માણ કરવા માટે. વિઝ્યુલાઇઝેશન તકનીકોનો ઉપયોગ ગ્રાફ અને ચાર્ટના સ્વરૂપમાં ડેટાના વિશ્લેષણને દૃષ્ટિની રીતે પ્રદર્શિત કરવા અને સરળ બનાવવા માટે થાય છે, જે નમૂનામાં પેટર્નને પારખવાનું ખૂબ સરળ બનાવે છે. મુખ્ય ક્ષેત્રો દ્વારા સરળ એકત્રીકરણની તકનીકનો ઉપયોગ શોધ અને વિશ્લેષણને ઑપ્ટિમાઇઝ કરવા માટે થાય છે. સંસ્થાની TH પ્રક્રિયા જેટલી પરિપક્વ થાય છે, મશીન લર્નિંગ અલ્ગોરિધમનો ઉપયોગ તેટલો વધુ સુસંગત બને છે. તેઓ સ્પામ ફિલ્ટર કરવા, દૂષિત ટ્રાફિકને શોધવા અને કપટપૂર્ણ પ્રવૃત્તિઓ શોધવામાં પણ વ્યાપકપણે ઉપયોગમાં લેવાય છે. મશીન લર્નિંગ એલ્ગોરિધમનો વધુ અદ્યતન પ્રકાર બેયેશિયન પદ્ધતિઓ છે, જે વર્ગીકરણ, નમૂનાના કદમાં ઘટાડો અને વિષય મોડેલિંગ માટે પરવાનગી આપે છે.

ડાયમંડ મોડલ અને TH વ્યૂહરચના

સેર્ગીયો કાલટાગીરોન, એન્ડ્રુ પેન્ડેગાસ્ટ અને ક્રિસ્ટોફર બેટ્ઝ તેમના કામમાં "ઇન્ટ્રુઝન એનાલિસિસનું ડાયમંડ મોડલ» કોઈપણ દૂષિત પ્રવૃત્તિના મુખ્ય મુખ્ય ઘટકો અને તેમની વચ્ચેનું મૂળભૂત જોડાણ બતાવ્યું.

દૂષિત પ્રવૃત્તિ માટે ડાયમંડ મોડેલ

આ મોડેલ અનુસાર, 4 થ્રેટ હન્ટિંગ વ્યૂહરચના છે, જે સંબંધિત મુખ્ય ઘટકો પર આધારિત છે.

1. પીડિત લક્ષી વ્યૂહરચના. અમે ધારીએ છીએ કે પીડિતના વિરોધીઓ છે અને તેઓ ઈમેલ દ્વારા "તકો" પહોંચાડશે. અમે મેલમાં દુશ્મનનો ડેટા શોધી રહ્યા છીએ. લિંક્સ, જોડાણો વગેરે માટે શોધો. અમે ચોક્કસ સમયગાળા (એક મહિના, બે અઠવાડિયા) માટે આ પૂર્વધારણાની પુષ્ટિ શોધી રહ્યા છીએ; જો અમને તે ન મળે, તો પૂર્વધારણા કામ કરતી નથી.

2. ઈન્ફ્રાસ્ટ્રક્ચર લક્ષી વ્યૂહરચના. આ વ્યૂહરચનાનો ઉપયોગ કરવા માટે ઘણી પદ્ધતિઓ છે. ઍક્સેસ અને દૃશ્યતા પર આધાર રાખીને, કેટલાક અન્ય કરતાં વધુ સરળ છે. ઉદાહરણ તરીકે, અમે દૂષિત ડોમેન્સ હોસ્ટ કરવા માટે જાણીતા ડોમેન નામ સર્વર્સનું નિરીક્ષણ કરીએ છીએ. અથવા અમે વિરોધી દ્વારા ઉપયોગમાં લેવાતી જાણીતી પેટર્ન માટે તમામ નવા ડોમેન નામ નોંધણીઓનું નિરીક્ષણ કરવાની પ્રક્રિયામાંથી પસાર થઈએ છીએ.

3. ક્ષમતા આધારિત વ્યૂહરચના. મોટાભાગના નેટવર્ક ડિફેન્ડર્સ દ્વારા ઉપયોગમાં લેવાતી પીડિત-કેન્દ્રિત વ્યૂહરચના ઉપરાંત, તક-કેન્દ્રિત વ્યૂહરચના છે. તે બીજા નંબરનું સૌથી લોકપ્રિય છે અને પ્રતિસ્પર્ધીની ક્ષમતાઓ શોધવા પર ધ્યાન કેન્દ્રિત કરે છે, એટલે કે "માલવેર" અને પ્રતિસ્પર્ધીની કાયદેસર સાધનો જેમ કે psexec, પાવરશેલ, સર્ટુટીલ અને અન્યનો ઉપયોગ કરવાની ક્ષમતા.

4. દુશ્મન લક્ષી વ્યૂહરચના. વિરોધી-કેન્દ્રિત અભિગમ પ્રતિસ્પર્ધી પર જ ધ્યાન કેન્દ્રિત કરે છે. આમાં સાર્વજનિક રીતે ઉપલબ્ધ સ્ત્રોતો (OSINT), દુશ્મન વિશેના ડેટાનો સંગ્રહ, તેની તકનીકો અને પદ્ધતિઓ (TTP), અગાઉની ઘટનાઓનું વિશ્લેષણ, થ્રેટ ઇન્ટેલિજન્સ ડેટા વગેરેનો સમાવેશ થાય છે.

TH માં માહિતી અને પૂર્વધારણાના સ્ત્રોત

થ્રેટ હન્ટિંગ માટેની માહિતીના કેટલાક સ્ત્રોત

માહિતીના ઘણા સ્ત્રોત હોઈ શકે છે. એક આદર્શ વિશ્લેષક આસપાસની દરેક વસ્તુમાંથી માહિતી મેળવવા માટે સક્ષમ હોવા જોઈએ. લગભગ કોઈપણ ઈન્ફ્રાસ્ટ્રક્ચરમાં વિશિષ્ટ સ્ત્રોતો સુરક્ષા સાધનોનો ડેટા હશે: DLP, SIEM, IDS/IPS, WAF/FW, EDR. ઉપરાંત, માહિતીના વિશિષ્ટ સ્ત્રોતો સમાધાનના વિવિધ સૂચક, થ્રેટ ઇન્ટેલિજન્સ સેવાઓ, CERT અને OSINT ડેટા હશે. વધુમાં, તમે ડાર્કનેટમાંથી માહિતીનો ઉપયોગ કરી શકો છો (ઉદાહરણ તરીકે, અચાનક કોઈ સંસ્થાના વડાના મેઇલબોક્સને હેક કરવાનો ઓર્ડર આવ્યો છે, અથવા નેટવર્ક એન્જિનિયરના પદ માટેના ઉમેદવારને તેની પ્રવૃત્તિ માટે ખુલ્લી પાડવામાં આવી છે), તેમાંથી પ્રાપ્ત માહિતી એચઆર (કામના અગાઉના સ્થળના ઉમેદવારની સમીક્ષાઓ), સુરક્ષા સેવાની માહિતી (ઉદાહરણ તરીકે, પ્રતિપક્ષની ચકાસણીના પરિણામો).

પરંતુ તમામ ઉપલબ્ધ સ્ત્રોતોનો ઉપયોગ કરતા પહેલા, ઓછામાં ઓછી એક પૂર્વધારણા હોવી જરૂરી છે.

સોર્સ

પૂર્વધારણાઓ ચકાસવા માટે, તેમને પહેલા આગળ મૂકવું આવશ્યક છે. અને ઘણી ઉચ્ચ-ગુણવત્તાની પૂર્વધારણાઓ આગળ મૂકવા માટે, વ્યવસ્થિત અભિગમ લાગુ કરવો જરૂરી છે. પૂર્વધારણાઓ ઉત્પન્ન કરવાની પ્રક્રિયામાં વધુ વિગતવાર વર્ણવેલ છે લેખ, આ યોજનાને પૂર્વધારણાઓ આગળ મૂકવાની પ્રક્રિયાના આધાર તરીકે લેવાનું ખૂબ અનુકૂળ છે.

પૂર્વધારણાઓનો મુખ્ય સ્ત્રોત હશે ATT&CK મેટ્રિક્સ (વિરોધી યુક્તિઓ, તકનીકો અને સામાન્ય જ્ઞાન). સારમાં, તે હુમલાખોરોની વર્તણૂકનું મૂલ્યાંકન કરવા માટેનો એક જ્ઞાન આધાર અને મોડેલ છે કે જેઓ હુમલાના છેલ્લા તબક્કામાં તેમની પ્રવૃત્તિઓ કરે છે, સામાન્ય રીતે કિલ ચેઇનના ખ્યાલનો ઉપયોગ કરીને વર્ણવવામાં આવે છે. એટલે કે, હુમલાખોર એન્ટરપ્રાઇઝના આંતરિક નેટવર્કમાં અથવા મોબાઇલ ઉપકરણ પર ઘૂસી ગયા પછીના તબક્કે. નોલેજ બેઝમાં મૂળ રીતે હુમલામાં વપરાતી 121 યુક્તિઓ અને તકનીકોના વર્ણનનો સમાવેશ થાય છે, જેમાંથી દરેકનું વિકિ ફોર્મેટમાં વિગતવાર વર્ણન કરવામાં આવ્યું છે. વિવિધ થ્રેટ ઇન્ટેલિજન્સ એનાલિટિક્સ પૂર્વધારણાઓ પેદા કરવા માટેના સ્ત્રોત તરીકે સારી રીતે અનુકૂળ છે. ખાસ નોંધ એ છે કે ઇન્ફ્રાસ્ટ્રક્ચર વિશ્લેષણ અને ઘૂંસપેંઠ પરીક્ષણોના પરિણામો - આ સૌથી મૂલ્યવાન ડેટા છે જે અમને આયર્નક્લેડ પૂર્વધારણાઓ આપી શકે છે કારણ કે તે તેની ચોક્કસ ખામીઓ સાથે ચોક્કસ માળખા પર આધારિત છે.

પૂર્વધારણા પરીક્ષણ પ્રક્રિયા

સેરગેઈ સોલ્ડટોવ લાવ્યા સારી આકૃતિ પ્રક્રિયાના વિગતવાર વર્ણન સાથે, તે એક સિસ્ટમમાં TH પૂર્વધારણાઓનું પરીક્ષણ કરવાની પ્રક્રિયાને સમજાવે છે. હું સંક્ષિપ્ત વર્ણન સાથે મુખ્ય તબક્કાઓ સૂચવીશ.

સોર્સ

સ્ટેજ 1: TI ફાર્મ

આ તબક્કે તે પ્રકાશિત કરવા માટે જરૂરી છે વસ્તુઓ (તમામ ધમકીના ડેટા સાથે તેમનું વિશ્લેષણ કરીને) અને તેમની લાક્ષણિકતાઓ માટે તેમને લેબલ સોંપીને. આ ફાઇલ, URL, MD5, પ્રક્રિયા, ઉપયોગિતા, ઇવેન્ટ છે. જ્યારે તેમને થ્રેટ ઇન્ટેલિજન્સ સિસ્ટમ્સમાંથી પસાર કરવામાં આવે છે, ત્યારે ટૅગ્સ જોડવા જરૂરી છે. એટલે કે, આ સાઈટ આવા અને આવા વર્ષમાં CNCમાં જોવા મળી હતી, આ MD5 આવા અને આવા માલવેર સાથે સંકળાયેલું હતું, આ MD5 માલવેરનું વિતરણ કરતી સાઇટ પરથી ડાઉનલોડ કરવામાં આવ્યું હતું.

સ્ટેજ 2: કેસો

બીજા તબક્કે, આપણે આ પદાર્થો વચ્ચેની ક્રિયાપ્રતિક્રિયા જોઈએ છીએ અને આ બધી વસ્તુઓ વચ્ચેના સંબંધોને ઓળખીએ છીએ. અમને ચિહ્નિત સિસ્ટમો મળે છે જે કંઈક ખરાબ કરે છે.

સ્ટેજ 3: વિશ્લેષક

ત્રીજા તબક્કે, કેસ અનુભવી વિશ્લેષકને સ્થાનાંતરિત કરવામાં આવે છે જેઓ વિશ્લેષણનો બહોળો અનુભવ ધરાવે છે, અને તે ચુકાદો આપે છે. આ કોડ શું, ક્યાં, કેવી રીતે, શા માટે અને શા માટે કરે છે તે બાઇટ્સનું વિશ્લેષણ કરે છે. આ શરીર માલવેર હતું, આ કમ્પ્યુટર ચેપગ્રસ્ત હતું. ઑબ્જેક્ટ્સ વચ્ચેના જોડાણો જાહેર કરે છે, સેન્ડબોક્સ દ્વારા ચલાવવાના પરિણામો તપાસે છે.

વિશ્લેષકના કાર્યના પરિણામો વધુ પ્રસારિત થાય છે. ડિજિટલ ફોરેન્સિક્સ ઈમેજોની તપાસ કરે છે, માલવેર એનાલિસિસ મળેલા "મૃતદેહો" ની તપાસ કરે છે, અને ઈન્સીડેન્ટ રિસ્પોન્સ ટીમ સાઈટ પર જઈને ત્યાં પહેલેથી જ કંઈક તપાસ કરી શકે છે. કાર્યનું પરિણામ પુષ્ટિ થયેલ પૂર્વધારણા, ઓળખાયેલ હુમલો અને તેનો સામનો કરવાની રીતો હશે.

સોર્સ
 

પરિણામો

થ્રેટ હન્ટિંગ એ એકદમ યુવા ટેક્નોલોજી છે જે કસ્ટમાઇઝ્ડ, નવા અને બિન-માનક જોખમોનો અસરકારક રીતે સામનો કરી શકે છે, જે આવા જોખમોની વધતી સંખ્યા અને કોર્પોરેટ ઇન્ફ્રાસ્ટ્રક્ચરની વધતી જટિલતાને જોતાં મોટી સંભાવનાઓ ધરાવે છે. તેને ત્રણ ઘટકોની જરૂર છે - ડેટા, ટૂલ્સ અને વિશ્લેષકો. થ્રેટ હન્ટિંગના ફાયદા ધમકીઓના અમલીકરણને રોકવા સુધી મર્યાદિત નથી. ભૂલશો નહીં કે શોધ પ્રક્રિયા દરમિયાન અમે સુરક્ષા વિશ્લેષકની નજર દ્વારા અમારા ઇન્ફ્રાસ્ટ્રક્ચર અને તેના નબળા મુદ્દાઓમાં ડાઇવ કરીએ છીએ અને આ મુદ્દાઓને વધુ મજબૂત બનાવી શકીએ છીએ.

અમારા મતે, તમારી સંસ્થામાં TH પ્રક્રિયા શરૂ કરવા માટે પ્રથમ પગલાં લેવાની જરૂર છે.

1. એન્ડપોઈન્ટ અને નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચરને સુરક્ષિત રાખવાની કાળજી લો. તમારા નેટવર્ક પરની તમામ પ્રક્રિયાઓની દૃશ્યતા (NetFlow) અને નિયંત્રણ (ફાયરવોલ, IDS, IPS, DLP)ની કાળજી લો. એજ રાઉટરથી લઈને છેલ્લા હોસ્ટ સુધી તમારા નેટવર્કને જાણો.
2. અન્વેષણ કરો MITER AT&CK.
3. ઓછામાં ઓછા મુખ્ય બાહ્ય સંસાધનોની નિયમિત પેન્ટેસ્ટ્સ કરો, તેના પરિણામોનું વિશ્લેષણ કરો, હુમલા માટેના મુખ્ય લક્ષ્યોને ઓળખો અને તેમની નબળાઈઓને બંધ કરો.
4. ઓપન સોર્સ થ્રેટ ઇન્ટેલિજન્સ સિસ્ટમ (ઉદાહરણ તરીકે, MISP, Yeti) લાગુ કરો અને તેની સાથે જોડાણમાં લોગનું વિશ્લેષણ કરો.
5. એક ઘટના પ્રતિભાવ પ્લેટફોર્મ (IRP) લાગુ કરો: R-Vision IRP, The Hive, શંકાસ્પદ ફાઇલોનું વિશ્લેષણ કરવા માટે સેન્ડબોક્સ (FortiSandbox, Cuckoo).
6. નિયમિત પ્રક્રિયાઓને સ્વચાલિત કરો. લોગનું વિશ્લેષણ, ઘટનાઓનું રેકોર્ડિંગ, સ્ટાફને માહિતી આપવી એ ઓટોમેશન માટે એક વિશાળ ક્ષેત્ર છે.
7. ઘટનાઓ પર સહયોગ કરવા માટે એન્જિનિયરો, વિકાસકર્તાઓ અને તકનીકી સપોર્ટ સાથે અસરકારક રીતે સંપર્ક કરવાનું શીખો.
8. સમગ્ર પ્રક્રિયા, મુખ્ય મુદ્દાઓ, હાંસલ પરિણામોને પાછળથી પરત કરવા અથવા આ ડેટાને સહકર્મીઓ સાથે શેર કરવા માટે દસ્તાવેજીકરણ કરો;
9. સામાજિક બનો: તમારા કર્મચારીઓ સાથે શું ચાલી રહ્યું છે, તમે કોને નોકરી પર રાખો છો અને તમે સંસ્થાના માહિતી સંસાધનોની ઍક્સેસ કોને આપો છો તેનાથી વાકેફ રહો.
10. નવા જોખમો અને સંરક્ષણની પદ્ધતિઓના ક્ષેત્રમાં વલણોની નજીક રહો, તમારી તકનીકી સાક્ષરતાનું સ્તર વધારો (આઇટી સેવાઓ અને સબસિસ્ટમના સંચાલન સહિત), પરિષદોમાં હાજરી આપો અને સાથીદારો સાથે વાતચીત કરો.

ટિપ્પણીઓમાં TH પ્રક્રિયાના સંગઠનની ચર્ચા કરવા માટે તૈયાર.

અથવા અમારી સાથે કામ કરવા આવો!

• લીડ માહિતી સુરક્ષા સલાહકાર
• માહિતી સુરક્ષા માટે સિસ્ટમ આર્કિટેક્ટ
• લીડ નેટવર્ક સુરક્ષા ઇજનેર
• લીડ ઇન્ફોર્મેશન સિક્યુરિટી એન્જિનિયર (SIEM)
• માહિતી સુરક્ષા આર્કિટેક્ટ (એપ્લિકેશન)

અભ્યાસ માટે સ્ત્રોતો અને સામગ્રી

• ધમકી શિકારી.ગુરુ
• attack.mitre.org
• digital-forensics.sans.org
• સાધનો.infosecinst વિકલ્પ.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• બધાને જવાબ આપો.blogspot.com
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

સોર્સ: www.habr.com