{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Lov na prijetnje, ili Kako se za\u0161tititi od 5% prijetnji","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

95% prijetnji informati\u010dkoj sigurnosti su poznate, i za\u0161tita od njih mo\u017ee se posti\u0107i tradicionalnim sredstvima poput antivirusnih programa, vatrozida, IDS-a i WAF-a. Preostalih 5% prijetnji su nepoznate i najopasnije. One \u010dine 70% rizika za tvrtku jer ih je vrlo te\u0161ko otkriti, a jo\u0161 te\u017ee za\u0161tititi se od njih. Primjeri \u00abcrnih labudova\u00bb<\/a><\/noindex> su epidemije ransomwarea WannaCry, NotPetya\/ExPetr, kriptovaluti miner-i, \u00abkiberneti\u010dko oru\u017eje\u00bb Stuxnet (koji je napao nuklearne objekte u Iranu) i mno\u0161tvo (sje\u0107a li se netko Kido\/Conficker?) drugih napada, od kojih se klasi\u010dnim sredstvima za\u0161tite ne mo\u017ee lako obraniti. O tome kako se suprotstaviti ovih 5% prijetnji pomo\u0107u tehnologije Threat Hunting, \u017eelimo razgovarati.<\/p>\n

\"Lov<\/a><\/noindex>
\n Neprekidni razvoj kiberneti\u010dkih napada zahtijeva stalno otkrivanje i protivmjere, \u0161to nas u kona\u010dnici navodi na razmi\u0161ljanje o beskona\u010dnoj utrci naoru\u017eanja izme\u0111u napada\u010da i branitelja. Klasi\u010dni sustavi za\u0161tite vi\u0161e nisu sposobni osigurati prihvatljivu razinu sigurnosti, gdje razina rizika ne utje\u010de na klju\u010dne pokazatelje tvrtke (ekonomske, politi\u010dke, reputacijske) bez dodatne prilagodbe specifi\u010dnoj infrastrukturi, ali u cjelini pokrivaju dio rizika. Tijekom implementacije i konfiguracije moderna za\u0161titna rje\u0161enja \u010desto se nalaze u poziciji da susti\u017eu i moraju odgovoriti na izazove novog doba.<\/p>\n

\"LovIzvor<\/noindex><\/p>\n

Jedan od odgovora na izazove suvremenosti za stru\u010dnjaka za informati\u010dku sigurnost mo\u017ee biti tehnologija Threat Hunting. Termin Threat Hunting (u daljnjem tekstu \u2014 TH) pojavio se prije nekoliko godina. Sama tehnologija je vrlo zanimljiva, ali jo\u0161 uvijek nema nikakve op\u0107eprihva\u0107ene standarde i pravila. Tako\u0111er, situaciju ote\u017eava raznolikost izvora informacija i mali broj izvorakoji su na ruskom jeziku na ovu temu. Stoga smo u \u00abLANIT-Integracijama\u00bb odlu\u010dili napisati pregled ove tehnologije. <\/p>\n

Relevancija<\/h2>\n

\nTehnologija TH oslanja se na procese pra\u0107enja infrastrukture. Postoje dva osnovna scenarija unutarnjeg pra\u0107enja \u2013 Alerting i Hunting<\/a><\/noindex>. Alerting (MSSP type service) is a traditional method that involves searching for previously developed signatures and signs of attacks and responding to them. This scenario is successfully handled by traditional signature-based protection tools. Hunting (MDR type service) is a monitoring method that addresses the question, 'Where do signatures and rules come from?'. It is the process of creating correlation rules by analyzing hidden or previously unknown indicators and signs of attack. Threat Hunting falls into this category of monitoring.<\/p>\n

\"Lov
\nOnly by combining both types of monitoring can we achieve protection that is close to ideal, yet there always remains a certain level of residual risk.<\/p>\n

\"LovProtection using two types of monitoring<\/i><\/p>\n

And here's why TH (and hunting as a whole!) will become increasingly relevant:<\/p>\n

\"LovThreats, protection tools, risks.<\/i> Izvor<\/a><\/noindex><\/p>\n

95% of all threats are already well-understood<\/a><\/noindex>. These include types such as spam, DDoS, viruses, rootkits, and other classic malware. Protection against these threats can be achieved with the same classic protection tools.<\/p>\n

In any project execution 20% of the time is spent on 80% of the work<\/a><\/noindex>, while the remaining 20% of the work takes 80% of the time. Similarly, among all threats, 5% of new type threats will account for 70% of the company's risk. In a company where information security management processes are organized, we can manage 30% of the risk from known threats by either avoiding (disabling wireless networks altogether), accepting (implementing necessary protection tools), or transferring (for example, to the integrator) that risk. Protecting against zero-day vulnerabilities<\/a><\/noindex>, APT attacks, phishing, supply chain attacks<\/a><\/noindex>, cyber espionage, and national operations, as well as a large number of other attacks is already much more complex. The consequences of these 5% threats will be far more serious (the average loss amount for a bank from the buhtrap group is 143 million<\/a><\/noindex>), than the consequences of spam or viruses, which antivirus software protects against.<\/p>\n

Almost everyone has to deal with 5% of threats. Recently, we had to install an open-source solution that uses an application from the PEAR (PHP Extension and Application Repository) repository. The attempt to install this application via pear install failed because web stranicu<\/a><\/noindex> bio je nedostupan (sada je ve\u0107 na njemu postavljena zamjenska stranica), morao sam ga instalirati s GitHuba. A nedavno se otkrilo da je PEAR postao \u017ertva napada putem lanca opskrbe<\/a><\/noindex>.<\/p>\n

\"Lov<\/p>\n

Mo\u017ee se jo\u0161 spomenuti napad kori\u0161tenjem CCleaner-a<\/a><\/noindex>, epidemija ransomware-a NePetya putem modula za a\u017euriranje programa za vo\u0111enje poreznih izvje\u0161taja M.E.Doc<\/a><\/noindex>. Opasnosti postaju sve sofisticiranije, i postavlja se logi\u010dno pitanje \u2013 \u00abKako se uop\u0107e suprotstaviti ovih 5% prijetnji?\u00bb<\/p>\n

Definicija Threat Hunting-a<\/h2>\n

\nDakle, Threat Hunting je proces proaktivnog i iterativnog tra\u017eenja i otkrivanja naprednih prijetnji koje nije mogu\u0107e otkriti tradicionalnim za\u0161titnim sredstvima. Napredne prijetnje uklju\u010duju, primjerice, napade poput APT, napade na 0-day ranjivosti, Living off the Land i sli\u010dno.<\/p>\n

Tako\u0111er se mo\u017ee preformulirati da je TH proces provjere hipoteza. To je prete\u017eno ru\u010dni proces s elementima automatizacije, unutar kojeg analiti\u010dar, oslanjaju\u0107i se na svoja znanja i kvalifikacije, pretra\u017euje velike koli\u010dine informacija u potrazi za znakovima kompromitacije, koji odgovaraju prvotno navedenoj hipotezi o prisutnosti odre\u0111ene prijetnje. Njegova karakteristi\u010dna osobina je raznolikost izvora informacija.<\/p>\n

Va\u017eno je napomenuti da Threat Hunting nije neki softverski ili hardverski proizvod. To nisu upozorenja koja mo\u017eete vidjeti u nekom rje\u0161enju. To nije proces tra\u017eenja IOC (identifikatori kompromitacije). I to nije neka pasivna aktivnost koja se odvija bez sudjelovanja analiti\u010dara IT sigurnosti. Threat Hunting \u2013 prije svega, proces.<\/p>\n

Sastavnice Threat Hunting-a<\/h2>\n

\n\"Lov
\nTri glavne sastavnice Threat Hunting-a: podaci, tehnologije, ljudi.<\/p>\n

Podaci (\u0161ta?)<\/b>, uklju\u010duju\u0107i i Big Data. Razli\u010diti tokovi prometa, informacije o ranijim APT-ima, analitika, podaci o korisni\u010dkoj aktivnosti, mre\u017eni podaci, informacije od zaposlenika, informacije iz dark web-a i mnogo toga drugog.<\/p>\n

Tehnologije (kako?)<\/b> obra\u0111ivanja tih podataka \u2013 svi mogu\u0107i na\u010dini obrade tih podataka, uklju\u010duju\u0107i Strojno U\u010denje.<\/p>\n

Ljudi (ko?)<\/b> \u2013 oni koji imaju veliko iskustvo u analizi raznih napada, razvijenu intuiciju i sposobnost otkrivanja napada. Obi\u010dno su to analiti\u010dari informacijske sigurnosti koji moraju imati sposobnost generiranja hipoteza i pronala\u017eenja dokaza za njih. Oni su osnovna karika u procesu.<\/p>\n

PARIS model<\/h2>\n

\nAdam Bateman opisuje<\/a><\/noindex> PARIS model za idealni TH proces. Ime neizravno sugerira poznatu znamenitost Francuske. Ovaj model se mo\u017ee promatrati iz dva smjera \u2013 odozgo i odozdo.<\/p>\n

U procesu lova na prijetnje, kre\u0107u\u0107i se prema gore iz modela, susrest \u0107emo se s brojnim dokazima zlonamjernih aktivnosti. Svaki dokaz ima svoju mjeru, kao \u0161to je sigurnost \u2013 karakteristika koja odra\u017eava va\u017enost tog dokaza. Postoje '\u010dvrsti', direktni dokazi zlonamjernih aktivnosti, na temelju kojih mo\u017eemo odmah do\u0107i do vrha piramide i stvoriti konkretno upozorenje o to\u010dno poznatoj infekciji. A tu su i neizravni dokazi, \u010diji zbroj tako\u0111er mo\u017ee dovesti do vrha piramide. Kao i uvijek, neizravnih dokaza je mnogo vi\u0161e od direktnih, \u0161to zna\u010di da ih treba razvrstati i analizirati, provoditi dodatna istra\u017eivanja i po\u017eeljno je automatizirati taj proces.<\/p>\n

\"LovPARIS model.<\/i> Izvor<\/a><\/noindex><\/p>\n

Gornji dio modela (1 i 2) temelji se na tehnologijama automatizacije i raznolikoj analitici, dok se donji dio (3 i 4) oslanja na ljude s odre\u0111enim kvalifikacijama koji upravljaju procesom. Model se mo\u017ee razmatrati kre\u0107u\u0107i se odozgo prema dolje, gdje u gornjem plavom dijelu imamo upozorenja od tradicionalnih za\u0161titnih sredstava (antivirus, EDR, vatrozid, potpisi) s visokim stupnjem sigurnosti i povjerenja, dok su ispod njih indikatori (IOC, URL, MD5 i drugi) koji imaju manji stupanj sigurnosti i zahtijevaju dodatno istra\u017eivanje. I najdonji i najdeblji nivo (4) \u2013 generiranje hipoteza, stvaranje novih scenarija rada tradicionalnih za\u0161titnih sredstava. Ova razina nije ograni\u010dena samo na navedene izvore hipoteza. \u0160to je nivo ni\u017ei, to su ve\u0107i zahtjevi za kvalifikaciju analiti\u010dara.<\/p>\n

Vrlo je va\u017eno da analiti\u010dari ne provjeravaju samo kona\u010dni set unaprijed definiranih hipoteza, ve\u0107 kontinuirano rade na generiranju novih hipoteza i mogu\u0107nostima njihove provjere.<\/p>\n

Modela zrelosti kori\u0161tenja TH<\/h2>\n

\nU idealnom svijetu TH je neprekidan proces. No, budu\u0107i da idealni svijet ne postoji, analizirajmo model zrelosti<\/a><\/noindex> i metode kroz prizmu ljudi, procesa i kori\u0161tenih tehnologija. Razmotrit \u0107emo model idealnog sfernog TH. Postoji 5 razina kori\u0161tenja ove tehnologije. Prou\u010dimo ih na primjeru evolucije odre\u0111ene analiti\u010dke ekipe.<\/p>\n

Razine zrelosti<\/b>
\nLjudi<\/b>
\nProcesi<\/b>
\nTehnologije<\/b><\/p>\n

Razina 0<\/b>
\nSOC analiti\u010dari
\n24\/7
\nTradicionalni alati:<\/p>\n

Tradicionalni
\nSkup alerata
\nPasivno pra\u0107enje
\nIDS, AV, Sandboxing,<\/p>\n

Bez TH<\/i>
\nRad s alertima<\/p>\n

sredstva za analizu potpisa, podaci o prijetnjama.<\/p>\n

Razina 1<\/b>
\nSOC analiti\u010dari
\nJednokratni TH
\nEDR<\/p>\n

Eksperimentalni
\nOsnovna forenzi\u010dna znanja
\nTra\u017eenje IOC-a
\nDjelomi\u010dno pokrivena podaci sa mre\u017enih ure\u0111aja<\/p>\n

Eksperimenti s TH<\/i>
\nDobro poznavanje mre\u017ea i aplikativnog dijela<\/p>\n

Djelomi\u010dna primjena<\/p>\n

Razina 2<\/b>
\nPrivremena zanimacija
\nSprintovi
\nEDR<\/p>\n

Periodi\u010dno
\nSrednja forenzi\u010dna znanja
\nTjedan u mjesecu
\nPotpuna primjena<\/p>\n

Privremeni TH<\/i>
\nOdli\u010dno poznavanje mre\u017ea i aplikativnog dijela
\nRedovni TH
\nPotpuna automatizacija kori\u0161tenja EDR podataka<\/p>\n

Djelomi\u010dna upotreba naprednih mogu\u0107nosti EDR-a<\/p>\n

Razina 3<\/b>
\nPosve\u0107eni tim za TH
\n24\/7
\nDjelomi\u010dna mogu\u0107nost provjere hipoteza TH<\/p>\n

Preventivni
\nOdli\u010dna forenzi\u010dna znanja i poznavanje malicioznog softvera
\nPreventivni TH
\nPotpuna upotreba naprednih mogu\u0107nosti EDR-a<\/p>\n

Privatni slu\u010dajevi TH<\/i>
\nOdli\u010dna znanja o napada\u010du
\nPrivatni slu\u010dajevi TH
\nPotpuna pokrivenost podacima sa mre\u017enih ure\u0111aja<\/p>\n

Konfiguracija prema potrebama<\/p>\n

Razina 4<\/b>
\nPosve\u0107eni tim za TH
\n24\/7
\nPotpuna mogu\u0107nost provjere hipoteza TH<\/p>\n

Lider
\nOdli\u010dna forenzi\u010dna znanja i poznavanje malicioznog softvera
\nPreventivni TH
\nRazina 3, plus:<\/p>\n

Kori\u0161tenje TH<\/i>
\nOdli\u010dna znanja o napada\u010du
\nProvjera, automatizacija i verifikacija hipoteza TH
\nuska integracija izvora podataka;<\/p>\n

Sposobnost za istra\u017eivanja<\/p>\n

razvoj prema potrebama i nestandardna upotreba API-a.<\/p>\n

Razine zrelosti TH kroz prizmu ljudi, procesa i tehnologija<\/i><\/p>\n

Razina 0:<\/b> tradicionalni, bez kori\u0161tenja TH. Uobi\u010dajeni analiti\u010dari rade sa standardnim skupom alerata u re\u017eimu pasivnog pra\u0107enja koriste\u0107i standardne alate i tehnologije: IDS, AV, sandbox, sredstva za analizu potpisa.<\/p>\n

Razina 1:<\/b> eksperimentalno, koriste\u0107i TH. Iste analiti\u010dare s osnovnim poznavanjem forenzike i dobrim poznavanjem mre\u017ea i aplikativne strane mogu provesti jednokratno Threat Hunting kroz pretra\u017eivanje indikatora kompromitacije. Alatima se dodaje EDR s djelomi\u010dnim obuhvatom podataka iz mre\u017enih ure\u0111aja. Alati se primjenjuju djelomi\u010dno.<\/p>\n

Razina 2:<\/b> Periodi\u010dna, privremena TH. Tim istim analiti\u010darima, koji su ve\u0107 unaprijedili svoje znanje o forenzici, mre\u017eama i prakti\u010dnom dijelu, postavlja se obaveza redovitog bavljenja (sprint) Threat Huntingom, recimo, tjedan u mjesecu. Alatima se dodaje potpuno istra\u017eivanje podataka s mre\u017enih ure\u0111aja, automatizacija analize podataka s EDR-a i djelomi\u010dna upotreba naprednih mogu\u0107nosti EDR-a.<\/p>\n

Razina 3:<\/b> preventivni, \u010desti slu\u010dajevi TH. Na\u0161i analiti\u010dari su se organizirali u posebnu ekipu, stekli izvrsna znanja o forenzici i zlo\u0107udnom softveru, kao i o metodama i taktikama rada napada\u010dke strane. Proces se ve\u0107 provodi u re\u017eimu 24\/7. Tim mo\u017ee djelomi\u010dno provjeravati hipoteze TH, potpuno koriste\u0107i napredne mogu\u0107nosti EDR-a s potpunim obuhvatom podataka iz mre\u017enih ure\u0111aja. Tako\u0111er, analiti\u010dari mogu konfigurirati alate prema svojim potrebama.<\/p>\n

Razina 4:<\/b> vo\u0111enje, kori\u0161tenje TH. Isti tim je stekao sposobnost istra\u017eivanja, umije\u0107e generiranja i automatizacije procesa provjere hipoteza TH. Sada su alatima dodana bliska integracija izvora podataka, razvoj softvera prema potrebama i nekonvencionalna upotreba API-a.<\/p>\n

Tehnike Threat Huntinga<\/h2>\n

\n\"LovOsnovne tehnike Threat Huntinga<\/i><\/p>\n

K tehnikama<\/a><\/noindex> TH prema zrelosti kori\u0161tene tehnologije pripadaju: osnovno pretra\u017eivanje, statisti\u010dka analiza, tehnike vizualizacije, jednostavne agregacije, strojno u\u010denje i bayesove metode. <\/p>\n

Najjednostavnija metoda je osnovno pretra\u017eivanje, koje se koristi za su\u017eavanje podru\u010dja istra\u017eivanja putem odre\u0111enih upita. Statisti\u010dka analiza se primjenjuje, na primjer, za izradu tipi\u010dne korisni\u010dke ili mre\u017ene aktivnosti u obliku statisti\u010dkog modela. Tehnike vizualizacije koriste se za vizualno prikazivanje i pojednostavljenje analize podataka u obliku grafova i dijagrama, na kojima je lak\u0161e primijetiti obrasce u uzorku. Tehnika jednostavnih agregacija prema klju\u010dnim poljima koristi se za optimizaciju pretra\u017eivanja i analize. \u0160to vi\u0161a razina zrelosti proces TH dostigne unutar organizacije, to relevantnije postaje kori\u0161tenje algoritama strojnog u\u010denja. Oni se tako\u0111er \u0161iroko koriste, uklju\u010duju\u0107i i filtriranje ne\u017eeljene po\u0161te, otkrivanje zlonamjernog prometa i detekciju prevarantskih aktivnosti. Napredniji tip algoritama strojnog u\u010denja su bayesovski metode, koje omogu\u0107uju klasifikaciju, smanjenje dimenzionalnosti uzorka i tematsko modeliranje.<\/p>\n

Model dijamanta i strategije TH<\/h2>\n

\nSergio Kaltagirone, Andrew Pendergast i Christopher Betz u svom radu \"The Diamond Model of Intrusion Analysis<\/a><\/noindex>\" prikazali su osnovne klju\u010dne sastojke svake zlonamjerne aktivnosti i osnovne veze izme\u0111u njih.<\/p>\n

\"LovModel dijamanta za zlonamjerne aktivnosti<\/i><\/p>\n

Prema ovom modelu postoje 4 strategije Threat Hunta, koje se oslanjaju na odgovaraju\u0107e klju\u010dne sastojke.<\/p>\n

1. Strategija usmjerena na \u017ertvu. Pretpostavljamo da \u017ertva ima protivnike koji \u0107e dostavljati \"mogu\u0107nosti\" putem e-po\u0161te. Tra\u017eimo podatke neprijatelja u e-mailovima. Pretra\u017eujemo veze, privitke itd. Tra\u017eimo potvrdu ove hipoteze odre\u0111eno vrijeme (mjesec, dva tjedna); ako ne prona\u0111emo, hipoteza nije uspjela.<\/p>\n

2. Strategija usmjerena na infrastrukturu. Postoji nekoliko metoda kori\u0161tenja ove strategije. Ovisno o pristupu i vidljivosti, neki od njih su lak\u0161i od drugih. Na primjer, provodimo pra\u0107enje DNS poslu\u017eitelja poznatih za hosting zlonamjernih domena. Ili provodimo proces pra\u0107enja svih novih registracija domena u potrazi za poznatim obrascem koji koristi neprijatelj.<\/p>\n

3. Strategija orijentirana na mogu\u0107nosti. Osim strategije orijentirane na \u017ertvu, koju koriste ve\u0107ina mre\u017enih za\u0161titnika, postoji strategija orijentirana na mogu\u0107nosti. Ona je druga po popularnosti i fokusira se na otkrivanje prilika od strane protivnika, naime \u201ezlonamjernih programa\u201c i mogu\u0107nosti kori\u0161tenja od strane protivnika takvih legitimnih alata kao \u0161to su psexec, powershell, certutil i drugih.<\/p>\n

4. Strategija orijentirana na protivnika. Pristup orijentiran na protivnika fokusira se na samog protivnika. Ovo uklju\u010duje kori\u0161tenje otvorenih informacija iz javno dostupnih izvora (OSINT), prikupljanje podataka o protivniku, njegovim tehnikama i metodama (TTP), analizu prethodnih incidenata, podataka o prijetnjama i sli\u010dno.<\/p>\n

Izvori informacija i hipoteza u TH<\/h2>\n

\n\"LovNeki izvori informacija za Threat Hunting<\/i><\/p>\n

Izvora informacija mo\u017ee biti jako mnogo. Idealni analiti\u010dar treba biti sposoban prikupljati informacije iz svega \u0161to ga okru\u017euje. Tipi\u010dni izvori gotovo svake infrastrukture uklju\u010divat \u0107e podatke iz za\u0161titnih sredstava: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Tako\u0111er \u0107e tipi\u010dni izvori informacija biti razli\u010diti indikatori kompromitacije, servisi za prijetnje, podaci CERT i OSINT. Dodatno, mo\u017ee se koristiti informacija iz dark weba (npr. iznenada se naru\u010duje hakiranje e-po\u0161te rukovoditelja organizacije, ili se kandidati za posao mre\u017enog in\u017eenjera isti\u010du svojom aktivno\u0161\u0107u), informacija dobivena od HR (recenzije o kandidatu s prethodnog radnog mjesta), informacija iz slu\u017ebe sigurnosti (npr. rezultati provjere suradnika).<\/p>\n

Ali prije nego \u0161to se koriste svi dostupni izvori, potrebno je imati barem jednu hipotezu.<\/p>\n

\"LovIzvor<\/a><\/noindex><\/p>\n

Za provjeru hipoteza, najprije ih treba formulirati. A da bi se formuliralo mnogo kvalitetnih hipoteza, potrebno je primijeniti sustavni pristup. Detaljnije, proces generiranja hipoteza opisan je u \u010dlanku<\/a><\/noindex>, kao osnovu za proces formuliranja hipoteza vrlo je prikladno uzeti ovu shemu.<\/p>\n

Glavni izvor hipoteza bit \u0107e matrica ATT&CK<\/b> (Adversarial Tactics, Techniques and Common Knowledge). Ona je, zapravo, baza znanja i model za procjenu pona\u0161anja napada\u010da koji provode svoje aktivnosti u zavr\u0161nim fazama napada, obi\u010dno opisanim pojmom Kill Chain. To su dakle faze nakon \u0161to je napada\u010d u\u0161ao u unutarnju mre\u017eu poduze\u0107a ili na mobilni ure\u0111aj. Prvotno je u bazu znanja ulazilo opisivanje 121 taktike i tehnike kori\u0161tenih prilikom napada, od kojih je svaka detaljno opisana u formatu Wiki. Razli\u010dita analiza Threat Intelligence jako je pogodna kao izvor za generiranje hipoteza. Osobito valja istaknuti rezultate analize infrastrukture i testiranja penetracije \u2013 to su najvredniji podaci koji nam mogu dati \u010dvrste hipoteze jer se oslanjaju na konkretnu infrastrukturu s njenim specifi\u010dnim slabostima.<\/p>\n

Proces provjere hipoteza<\/h2>\n

\nSergiej Soldatov je predstavio dobar dijagram<\/a><\/noindex> s detaljnim opisom procesa, koji ilustrira proces provjere hipoteza TH u odabranom sustavu. Istaknut \u0107u glavne korake s kratkim opisom.<\/p>\n

\"LovIzvor<\/a><\/noindex> <\/p>\n

Korak 1: TI Farm<\/b><\/p>\n

U ovom koraku potrebno je izdvojiti objekte<\/b> (analizom zajedno sa svim podacima o prijetnjama) dodjeljuju\u0107i im oznake njihovih karakteristika. To mo\u017ee biti datoteka, URL, MD5, proces, alat, doga\u0111aj. Prolaze\u0107i kroz sustave Threat Intelligence, potrebno je dodijeliti oznake. Drugim rije\u010dima, ova stranica je primje\u0107ena u CNC u odre\u0111enoj godini, ovaj MD5 je bio povezan s odre\u0111enim zlo\u0107udnim softverom, ovaj MD5 je preuzet s stranice koja je distribuirala zlo\u0107udne programe.<\/p>\n

Korak 2: Slu\u010dajevi<\/b><\/p>\n

U drugom koraku gledamo na interakciju izme\u0111u ovih objekata i otkrivamo me\u0111usobne veze izme\u0111u svih ovih objekata. Dobivamo ozna\u010dene sustave koji \u010dine ne\u0161to lo\u0161e.<\/p>\n

Korak 3: Analiti\u010dar<\/b><\/p>\n

U tre\u0107em koraku slu\u010daj se predaje iskusnom analiti\u010daru koji ima ogromno iskustvo u analizi, on donosi presudu. Analizira do bajta \u0161to, odakle, kako, za\u0161to i zbog \u010dega taj kod radi. Ovaj predmet je bio zlo\u0107udan, ovaj ra\u010dunar je bio zara\u017een. Otkiva veze me\u0111u objektima, provjerava rezultate testiranja kroz sandbox.<\/p>\n

Rezultati rada analiti\u010dara se dalje proslje\u0111uju. Digital Forensics istra\u017euje slike, Malware Analysis istra\u017euje prona\u0111ene \u201eentitete\u201c, a tim Incident Response mo\u017ee oti\u0107i na mjesto doga\u0111aja i istra\u017eiti ne\u0161to ve\u0107 tamo. Ishod rada bit \u0107e potvr\u0111ena hipoteza, otkriveni napad i na\u010dini za suprotstavljanje njemu.<\/p>\n

\"LovIzvor<\/a><\/noindex>
\n \u00a0<\/p>\n

Zaklju\u010dci<\/h2>\n

\nThreat Hunting je relativno mlada tehnologija koja u\u010dinkovito mo\u017ee odgovoriti na prilago\u0111ene, nove i neobi\u010dne prijetnje, a koja ima velike perspektive s obzirom na rast broja takvih prijetnji i slo\u017eenost korporativne infrastrukture. Za nju su potrebne tri komponente \u2013 podaci, alati i analiti\u010dari. Korist od Threat Hunting-a ne ograni\u010dava se samo na prevenciju prijetnji. Ne smijemo zaboraviti da se tijekom pretra\u017eivanja uranjamo u vlastitu infrastrukturu i njene slabosti kroz o\u010di analiti\u010dkog stru\u010dnjaka za sigurnost i dodatno mo\u017eemo oja\u010dati ta mjesta.<\/p>\n

Prvi koraci koje, po na\u0161em mi\u0161ljenju, treba poduzeti kako bi se zapo\u010deo proces TH u va\u0161oj organizaciji.<\/p>\n

    \n
  1. Pobrinite se za za\u0161titu krajnjih to\u010daka i mre\u017ene infrastrukture. Pobrinu se za vidljivost (NetFlow) i kontrolu (vatrozid, IDS, IPS, DLP) svih procesa u va\u0161oj mre\u017ei. Poznajte svoju mre\u017eu od rubnog usmjeriva\u010da do posljednjeg hosta.<\/li>\n
  2. Istra\u017eiti MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Provodite redovne penetracijske testove (pentest) barem klju\u010dnih vanjskih resursa, analizirajte njihove rezultate, istaknite glavne ciljeve napada i zatvorite njihove ranjivosti.<\/li>\n
  4. Implementirati sustav Threat Intelligence s otvorenim izvorom (npr. MISP, Yeti) i provoditi analizu logova zajedno s njom.<\/li>\n
  5. Implementirati platformu za odgovor na incidente (IRP): R-Vision IRP, The Hive, sandbox za analizu sumnjivih datoteka (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatizirati rutinske procese. Analiza logova, vo\u0111enje incidenata, obavje\u0161tavanje osoblja \u2013 ogromno polje za automatizaciju.<\/li>\n
  7. Nau\u010diti u\u010dinkovito sura\u0111ivati s in\u017eenjerima, programerima, tehni\u010dkom podr\u0161kom kako bi se radilo na incidentima.<\/li>\n
  8. Dokumentirati cijeli proces, klju\u010dne to\u010dke, postignute rezultate, kako bi se kasnije mogli vratiti na njih ili podijeliti s kolegama;<\/li>\n
  9. Zapamtite socijalnu stranu: budite u toku s onim \u0161to se doga\u0111a s va\u0161im zaposlenicima, koga zapo\u0161ljavate i kome dajete pristup informacijskim resursima organizacije.<\/li>\n
  10. Budite u toku s trendovima u podru\u010dju novih prijetnji i na\u010dina za\u0161tite, pove\u0107avajte svoju razinu tehni\u010dke pismenosti (uklju\u010duju\u0107i rad IT usluga i podsustava), sudjelujte na konferencijama i komunicirajte s kolegama.<\/li>\n<\/ol>\n

    \nSpreman sam razgovarati o organizaciji procesa TH u komentarima.<\/p>\n

    Ili nam se pridru\u017eite na radu!<\/b><\/p>\n