{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Fenyeget\u00e9sek Nyomoz\u00e1sa, avagy Hogyan v\u00e9dj\u00fck meg magunkat az 5%-nyi fenyeget\u00e9st\u0151l","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Az informatikai biztons\u00e1g 95%-a ismert fenyeget\u00e9sekb\u0151l \u00e1ll, amelyekt\u0151l hagyom\u00e1nyos eszk\u00f6z\u00f6kkel, mint p\u00e9ld\u00e1ul v\u00edruskeres\u0151kkel, t\u0171zfalakkal, IDS-sel \u00e9s WAF-fal v\u00e9dekezhet\u00fcnk. A fennmarad\u00f3 5% fenyeget\u00e9s ismeretlen \u00e9s a legvesz\u00e9lyesebb. Ezek a v\u00e1llalatokra n\u00e9zve 70%-nyi kock\u00e1zatot jelentenek, mivel nagyon neh\u00e9z \u0151ket \u00e9szlelni, \u00e9s m\u00e9g nehezebb v\u00e9dekezni ellen\u00fck. P\u00e9ldak\u00e9nt a \u201efekete hatty\u00fak\u201d<\/a><\/noindex> p\u00e9ld\u00e1ul a WannaCry, NotPetya\/ExPetr ransomware-jai, kriptob\u00e1ny\u00e1szok, a Stuxnet \u201ekiberfegyver\u201d (amely Ir\u00e1n nukle\u00e1ris l\u00e9tes\u00edtm\u00e9nyeit s\u00fajtotta) \u00e9s m\u00e9g sok m\u00e1s t\u00e1mad\u00e1s (valaki eml\u00e9kszik a Kido\/Confickerre?) amelyekkel a klasszikus v\u00e9delmi eszk\u00f6z\u00f6kkel nem igaz\u00e1n tudunk v\u00e9dekezni. Arr\u00f3l fogunk besz\u00e9lni, hogy mik\u00e9nt n\u00e9zhet\u00fcnk szembe ezekkel az 5%-nyi fenyeget\u00e9ssel a Fenyeget\u00e9sek Nyomoz\u00e1s\u00e1nak (Threat Hunting) technol\u00f3gi\u00e1j\u00e1val.<\/p>\n

\"Fenyeget\u00e9sek<\/a><\/noindex>
\n A kiber-t\u00e1mad\u00e1sok folyamatos fejl\u0151d\u00e9se \u00e1lland\u00f3 \u00e9szlel\u00e9s \u00e9s v\u00e9dekez\u00e9s sz\u00fcks\u00e9gess\u00e9g\u00e9t vonja maga ut\u00e1n, ami v\u00e9gs\u0151 soron arra a gondolatra vezet benn\u00fcnket, hogy a b\u0171n\u00f6z\u0151k \u00e9s a v\u00e9delmez\u0151k k\u00f6z\u00f6tt v\u00e9gtelen fegyverkez\u00e9si verseny zajlik. A klasszikus v\u00e9delmi rendszerek m\u00e1r nem k\u00e9pesek olyan elfogadhat\u00f3 szint\u0171 v\u00e9delmet ny\u00fajtani, ahol a kock\u00e1zat szintje nem befoly\u00e1solja a v\u00e1llalat kulcsfontoss\u00e1g\u00fa teljes\u00edtm\u00e9nymutat\u00f3it (gazdas\u00e1gi, politikai, h\u00edrn\u00e9v) an\u00e9lk\u00fcl, hogy azokat a konkr\u00e9t infrastrukt\u00far\u00e1hoz igaz\u00edtan\u00e1nk, de \u00f6sszess\u00e9g\u00e9ben r\u00e9szben lez\u00e1rj\u00e1k a kock\u00e1zatokat. M\u00e1r bevezet\u00e9se \u00e9s konfigur\u00e1l\u00e1sa sor\u00e1n a modern v\u00e9delmi rendszerek a lemarad\u00f3k szerep\u00e9t t\u00f6ltik be, \u00e9s reag\u00e1lniuk kell az \u00faj id\u0151k kih\u00edv\u00e1saira.<\/p>\n

\"Fenyeget\u00e9sekForr\u00e1s<\/noindex><\/p>\n

A modern kih\u00edv\u00e1sokra adott v\u00e1laszok egyikek\u00e9nt a biztons\u00e1gi szakemberek sz\u00e1m\u00e1ra a Fenyeget\u00e9sek Nyomoz\u00e1s\u00e1nak (Threat Hunting, TH) technol\u00f3gi\u00e1ja szolg\u00e1lhat. A Fenyeget\u00e9sek Nyomoz\u00e1sa kifejez\u00e9s (a tov\u00e1bbiakban TH) n\u00e9h\u00e1ny \u00e9vvel ezel\u0151tt mer\u00fclt fel. Maga a technol\u00f3gia meglehet\u0151sen \u00e9rdekes, de m\u00e9g nincsenek elterjedt szabv\u00e1nyai \u00e9s szab\u00e1lyai. A helyzetet tov\u00e1bb bonyol\u00edtja az inform\u00e1ci\u00f3forr\u00e1sok sokf\u00e9les\u00e9ge \u00e9s a t\u00e9m\u00e1ban el\u00e9rhet\u0151 orosz nyelv\u0171 forr\u00e1sok kis sz\u00e1ma. Ez\u00e9rt a \u201eLANIT-Integr\u00e1ci\u00f3k\u201d d\u00f6nt\u00f6tt \u00fagy, hogy \u00edr egy \u00e1ttekint\u00e9st err\u0151l a technol\u00f3gi\u00e1r\u00f3l. <\/p>\n

Aktualit\u00e1s<\/h2>\n

\nA TH technol\u00f3gia az infrastrukt\u00fara monitoroz\u00e1si folyamataira t\u00e1maszkodik. K\u00e9t alapvet\u0151 forgat\u00f3k\u00f6nyv l\u00e9tezik a bels\u0151 monitoroz\u00e1sra \u2013 Riaszt\u00e1s \u00e9s Nyomoz\u00e1s<\/a><\/noindex>Az alerting (MSSP szolg\u00e1ltat\u00e1s t\u00edpusk\u00e9nt) egy hagyom\u00e1nyos m\u00f3dszer, amely a kor\u00e1bban kifejlesztett al\u00e1\u00edr\u00e1sok \u00e9s t\u00e1mad\u00e1si jelek keres\u00e9s\u00e9re \u00e9s azokra val\u00f3 reag\u00e1l\u00e1sra \u00f6sszpontos\u00edt. Ezt a forgat\u00f3k\u00f6nyvet sikeresen v\u00e9gzik a hagyom\u00e1nyos al\u00e1\u00edr\u00e1s-alap\u00fa v\u00e9delmi eszk\u00f6z\u00f6k. A hunting (MDR t\u00edpus\u00fa szolg\u00e1ltat\u00e1s) pedig egy olyan monitoroz\u00e1si m\u00f3dszer, amely a \"Honnan sz\u00e1rmaznak az al\u00e1\u00edr\u00e1sok \u00e9s szab\u00e1lyok?\" k\u00e9rd\u00e9sre v\u00e1laszol. Ez a szab\u00e1lyok korrel\u00e1ci\u00f3j\u00e1nak l\u00e9trehoz\u00e1s\u00e1nak folyamata a rejtett vagy kor\u00e1bban ismeretlen t\u00e1mad\u00e1si indik\u00e1torok \u00e9s jelek elemz\u00e9s\u00e9vel. Pontosan ez a t\u00edpus\u00fa monitoroz\u00e1s kapcsol\u00f3dik a Threat Huntinghoz.<\/p>\n

\"Fenyeget\u00e9sek
\nCsak a k\u00e9tf\u00e9le monitoroz\u00e1s \u00f6tv\u00f6z\u00e9s\u00e9vel \u00e9rhetj\u00fck el a k\u00f6zel t\u00f6k\u00e9letes v\u00e9delmet, de mindig marad egy bizonyos szint\u0171 fennmarad\u00f3 kock\u00e1zat.<\/p>\n

\"Fenyeget\u00e9sekA v\u00e9delem a k\u00e9tf\u00e9le monitoroz\u00e1s alkalmaz\u00e1s\u00e1val<\/i><\/p>\n

Ez\u00e9rt lesz a TH (\u00e9s a hunting \u00f6sszess\u00e9g\u00e9ben!) egyre aktu\u00e1lisabb:<\/p>\n

\"Fenyeget\u00e9sekFenyeget\u00e9sek, v\u00e9delmi eszk\u00f6z\u00f6k, kock\u00e1zatok.<\/i> Forr\u00e1s<\/a><\/noindex><\/p>\n

A fenyeget\u00e9sek 95%-a m\u00e1r j\u00f3l dokument\u00e1lt<\/a><\/noindex>. Ide tartoznak p\u00e9ld\u00e1ul a spam, DDoS, v\u00edrusok, rootkitek \u00e9s m\u00e1s klasszikus rosszindulat\u00fa programok. Ezek ellen a fenyeget\u00e9sek ellen klasszikus v\u00e9delmi eszk\u00f6z\u00f6kkel lehet v\u00e9dekezni.<\/p>\n

B\u00e1rmely projekt v\u00e9grehajt\u00e1sa sor\u00e1n az id\u0151 20%-a az 80%-os munka elv\u00e9gz\u00e9s\u00e9re megy el<\/a><\/noindex>, m\u00edg a fennmarad\u00f3 20% munka 80% id\u0151t vesz ig\u00e9nybe. Hasonl\u00f3an az \u00f6sszes fenyeget\u00e9s k\u00f6z\u00f6tt az \u00faj t\u00edpus\u00fa fenyeget\u00e9sek 5%-a a v\u00e1llalat kock\u00e1zat\u00e1nak 70%-\u00e1t adja. Olyan c\u00e9gekn\u00e9l, ahol az inform\u00e1ci\u00f3biztons\u00e1gi menedzsment folyamatai megszervezettek, a m\u00e1r ismert fenyeget\u00e9sekb\u0151l sz\u00e1rmaz\u00f3 kock\u00e1zatok 30%-\u00e1t kezelhetj\u00fck valahogy, elker\u00fclve (a vezet\u00e9k n\u00e9lk\u00fcli h\u00e1l\u00f3zatokt\u00f3l val\u00f3 egy\u00e9rtelm\u0171 elz\u00e1rk\u00f3z\u00e1ssal), elfogadva (a sz\u00fcks\u00e9ges v\u00e9delmi eszk\u00f6z\u00f6k bevezet\u00e9s\u00e9vel) vagy \u00e1th\u00e1r\u00edtva (p\u00e9ld\u00e1ul az integr\u00e1tor terh\u00e9re). A nulladik napi sebezhet\u0151s\u00e9gek<\/a><\/noindex>, APT-t\u00e1mad\u00e1sok, phishing, ell\u00e1t\u00e1si l\u00e1ncon kereszt\u00fcli t\u00e1mad\u00e1sok<\/a><\/noindex>, kiberk\u00e9mked\u00e9s \u00e9s nemzeti m\u0171veletek, valamint sz\u00e1mos m\u00e1s t\u00e1mad\u00e1s elh\u00e1r\u00edt\u00e1sa m\u00e1r sokkal bonyolultabb. Az ezekb\u0151l az 5%-os fenyeget\u00e9sekb\u0151l sz\u00e1rmaz\u00f3 k\u00f6vetkezm\u00e9nyek sokkal s\u00falyosabbak lesznek (a buhtrap csoport \u00e1tlagos vesztes\u00e9ge bankonk\u00e9nt 143 milli\u00f3<\/a><\/noindex>), mint a spam vagy v\u00edrusok k\u00f6vetkezm\u00e9nyei, amelyekt\u0151l az antiv\u00edrus szoftver v\u00e9di meg az embereket.<\/p>\n

Az 5%-os fenyeget\u00e9sekkel gyakorlatilag mindenkinek szembe kell n\u00e9znie. Nemr\u00e9giben egy open-source megold\u00e1st kellett telep\u00edten\u00fcnk, amely a PEAR (PHP Extension and Application Repository) t\u00e1rol\u00f3b\u00f3l sz\u00e1rmaz\u00f3 alkalmaz\u00e1st haszn\u00e1l. Az alkalmaz\u00e1s pear install parancs let\u00f6lt\u00e9se sikertelen volt, mivel weboldal<\/a><\/noindex> el\u00e9rhetetlenn\u00e9 v\u00e1lt (jelenleg egy weboldal van rajta), ez\u00e9rt a GitHub-r\u00f3l kellett telep\u00edteni. Nemr\u00e9g kider\u00fclt, hogy a PEAR \u00e1ldozatul esett a besz\u00e1ll\u00edt\u00f3i l\u00e1ncon kereszt\u00fcl ind\u00edtott t\u00e1mad\u00e1soknak<\/a><\/noindex>.<\/p>\n

\"Fenyeget\u00e9sek<\/p>\n

Esetleg megeml\u00edthetj\u00fck m\u00e9g a CCleaner haszn\u00e1lat\u00e1val ind\u00edtott t\u00e1mad\u00e1st<\/a><\/noindex>, a NePetya zsarol\u00f3 v\u00edrus j\u00e1rv\u00e1ny\u00e1t, amely a k\u00f6nyvel\u0151 szoftver friss\u00edt\u0151 modulj\u00e1ra \u00e9p\u00fclt M.E.Doc<\/a><\/noindex>. A fenyeget\u00e9sek egyre kifinomultabb\u00e1 v\u00e1lnak, \u00e9s felmer\u00fcl a logikus k\u00e9rd\u00e9s \u2013 \"Hogyan is \u00e1llhatunk ellen ezeknek az 5%-os fenyeget\u00e9seknek?\"<\/p>\n

A Threat Hunting meghat\u00e1roz\u00e1sa<\/h2>\n

\nTeh\u00e1t a Threat Hunting egy proakt\u00edv \u00e9s iterat\u00edv folyamat fejlett fenyeget\u00e9sek keres\u00e9s\u00e9re \u00e9s felfedez\u00e9s\u00e9re, amelyeket a hagyom\u00e1nyos v\u00e9delmi eszk\u00f6z\u00f6k nem k\u00e9pesek \u00e9szlelni. A fejlett fenyeget\u00e9sek k\u00f6z\u00e9 tartoznak p\u00e9ld\u00e1ul az APT t\u00e1mad\u00e1sok, a 0-day sebezhet\u0151s\u00e9gekre ir\u00e1nyul\u00f3 t\u00e1mad\u00e1sok, a Living off the Land, \u00e9s \u00edgy tov\u00e1bb.<\/p>\n

\u00c1tfogalmazhat\u00f3 \u00fagy is, hogy a TH egy hipot\u00e9zis ellen\u0151rz\u00e9si folyamat. Ez egy f\u0151k\u00e9nt manu\u00e1lis folyamat automatiz\u00e1l\u00e1ssal kieg\u00e9sz\u00edtve, amely sor\u00e1n az elemz\u0151 saj\u00e1t tud\u00e1s\u00e1ra \u00e9s k\u00e9pess\u00e9geire t\u00e1maszkodva hatalmas mennyis\u00e9g\u0171 inform\u00e1ci\u00f3t sz\u0171r keresve a kompromitt\u00e1l\u00f3d\u00e1s jeleit, amely megfelel az eredetileg meghat\u00e1rozott hipot\u00e9zisnek egy adott fenyeget\u00e9s jelenl\u00e9t\u00e9r\u0151l. A folyamat jellemz\u0151je a k\u00fcl\u00f6nb\u00f6z\u0151 forr\u00e1sok soksz\u00edn\u0171s\u00e9ge.<\/p>\n

Meg kell jegyezni, hogy a Threat Hunting nem egy szoftveres vagy hardveres term\u00e9k. Nem olyan riaszt\u00e1sok, amelyeket valamilyen megold\u00e1sban l\u00e1thatunk. Ez nem az IOC (kompromitt\u00e1l\u00e1sra utal\u00f3 azonos\u00edt\u00f3k) keres\u00e9s\u00e9nek folyamata. \u00c9s ez nem passz\u00edv tev\u00e9kenys\u00e9g, amely az IB elemz\u0151k r\u00e9szv\u00e9tele n\u00e9lk\u00fcl t\u00f6rt\u00e9nik. A Threat Hunting els\u0151sorban egy folyamat.<\/p>\n

A Threat Hunting \u00f6sszetev\u0151i<\/h2>\n

\n\"Fenyeget\u00e9sek
\nA Threat Hunting h\u00e1rom f\u0151 \u00f6sszetev\u0151je: adatok, technol\u00f3gi\u00e1k, emberek.<\/p>\n

Adatok (mi?)<\/b>, bele\u00e9rtve a Big Data-t is. Mindenf\u00e9le forgalmi \u00e1raml\u00e1s, el\u0151z\u0151leg v\u00e9grehajtott APT-k inform\u00e1ci\u00f3i, analitika, felhaszn\u00e1l\u00f3i aktivit\u00e1s adatai, h\u00e1l\u00f3zati adatok, munkat\u00e1rsakt\u00f3l sz\u00e1rmaz\u00f3 inform\u00e1ci\u00f3k, dark web inform\u00e1ci\u00f3k \u00e9s m\u00e9g sok m\u00e1s.<\/p>\n

Technol\u00f3gi\u00e1k (hogyan?)<\/b> az adatok feldolgoz\u00e1s\u00e1ra \u2013 mindenf\u00e9le m\u00f3dszer ezeknek az adatoknak a feldolgoz\u00e1s\u00e1ra, bele\u00e9rtve a g\u00e9pi tanul\u00e1st.<\/p>\n

Emberek (ki?)<\/b> \u2013 azok, akik tapasztalattal rendelkeznek a k\u00fcl\u00f6nb\u00f6z\u0151 t\u00e1mad\u00e1sok elemz\u00e9s\u00e9ben, j\u00f3l fejlett intu\u00edci\u00f3val b\u00edrnak \u00e9s k\u00e9pesek a t\u00e1mad\u00e1sok \u00e9szlel\u00e9s\u00e9re. \u00c1ltal\u00e1ban informatikai biztons\u00e1gi elemz\u0151k, akiknek k\u00e9pesnek kell lenni\u00fck hipot\u00e9zisek gener\u00e1l\u00e1s\u00e1ra \u00e9s azok meger\u0151s\u00edt\u00e9s\u00e9re. \u0150k k\u00e9pezik a folyamat alapvet\u0151 r\u00e9sz\u00e9t.<\/p>\n

PARIS modell<\/h2>\n

\nAdam Baitman le\u00edrja<\/a><\/noindex> a PARIS modellt a TH ide\u00e1lis folyamat\u00e1hoz. A n\u00e9v egy h\u00edres francia l\u00e1tv\u00e1nyoss\u00e1gra utal. Ezt a modellt k\u00e9t ir\u00e1nyb\u00f3l is meg lehet k\u00f6zel\u00edteni \u2013 fel\u00fclr\u0151l \u00e9s alulr\u00f3l.<\/p>\n

A fenyeget\u00e9sek vad\u00e1szata sor\u00e1n, ha az alulr\u00f3l felfel\u00e9 haladunk a modellen, sok bizony\u00edt\u00e9kkal tal\u00e1lkozunk a rosszindulat\u00fa tev\u00e9kenys\u00e9gr\u0151l. Minden bizony\u00edt\u00e9knak van egy m\u00e9rt\u00e9ke, a megb\u00edzhat\u00f3s\u00e1g \u2013 ez a tulajdons\u00e1g t\u00fckr\u00f6zi a bizony\u00edt\u00e9k s\u00faly\u00e1t. Vannak 'vas', k\u00f6zvetlen bizony\u00edt\u00e9kok a rosszindulat\u00fa tev\u00e9kenys\u00e9gr\u0151l, amelyeken kereszt\u00fcl azonnal el\u00e9rhetj\u00fck a piramis cs\u00facs\u00e1t, \u00e9s t\u00e9nyleges riaszt\u00e1st gener\u00e1lhatunk a pontosan ismert fert\u0151z\u00e9sr\u0151l. Vannak k\u00f6zvetett bizony\u00edt\u00e9kok is, amelyek \u00f6sszess\u00e9ge szint\u00e9n eljuttathat minket a piramis cs\u00facs\u00e1ra. Mint mindig, a k\u00f6zvetett bizony\u00edt\u00e9kok sz\u00e1ma j\u00f3val t\u00f6bb, mint a k\u00f6zvetlen\u00e9, \u00edgy ezeket rendezni \u00e9s elemezni kell, tov\u00e1bbi kutat\u00e1sokat kell v\u00e9gezni, \u00e9s lehet\u0151s\u00e9g szerint automatiz\u00e1lni kell.<\/p>\n

\"Fenyeget\u00e9sekPARIS modell.<\/i> Forr\u00e1s<\/a><\/noindex><\/p>\n

A modell fels\u0151 r\u00e9sze (1 \u00e9s 2) az automatiz\u00e1l\u00e1si technol\u00f3gi\u00e1kra \u00e9s a k\u00fcl\u00f6nb\u00f6z\u0151 elemz\u00e9sekre \u00e9p\u00fcl, m\u00edg az als\u00f3 r\u00e9sze (3 \u00e9s 4) olyan embereken alapul, akik specifikus k\u00e9pes\u00edt\u00e9ssel rendelkeznek \u00e9s ir\u00e1ny\u00edtj\u00e1k a folyamatot. A modellt meg lehet k\u00f6zel\u00edteni fel\u00fclr\u0151l lefel\u00e9 is, ahol a k\u00e9k fels\u0151 r\u00e9szben hagyom\u00e1nyos v\u00e9delmi eszk\u00f6z\u00f6k ( v\u00edruskeres\u0151, EDR, t\u0171zfal, al\u00e1\u00edr\u00e1sok) riaszt\u00e1sai tal\u00e1lhat\u00f3k, magas megb\u00edzhat\u00f3s\u00e1ggal \u00e9s bizalommal, alatta pedig olyan mutat\u00f3k (IOC, URL, MD5 \u00e9s m\u00e1sok) tal\u00e1lhat\u00f3ak, amelyeknek alacsonyabb a megb\u00edzhat\u00f3s\u00e1guk \u00e9s tov\u00e1bbi vizsg\u00e1latot ig\u00e9nyelnek. A legalacsonyabb \u00e9s legvastagabb szint (4) \u2013 hipot\u00e9zisek gener\u00e1l\u00e1sa, \u00faj munkam\u00f3dszerek kidolgoz\u00e1sa hagyom\u00e1nyos v\u00e9delmi eszk\u00f6z\u00f6kh\u00f6z. Ez a szint nem korl\u00e1toz\u00f3dik csup\u00e1n a megadott hipot\u00e9zisforr\u00e1sokra. Min\u00e9l alacsonyabb a szint, ann\u00e1l nagyobb k\u00f6vetelm\u00e9nyeket t\u00e1masztanak az elemz\u0151k k\u00e9pes\u00edt\u00e9seivel szemben.<\/p>\n

Nagyon fontos, hogy az elemz\u0151k ne csup\u00e1n egy el\u0151re meghat\u00e1rozott hipot\u00e9zis k\u00e9szletet ellen\u0151rizzenek, hanem folyamatosan \u00faj hipot\u00e9zisek \u00e9s vizsg\u00e1lati lehet\u0151s\u00e9gek gener\u00e1l\u00e1s\u00e1n dolgozzanak.<\/p>\n

A TH felhaszn\u00e1l\u00e1s \u00e9retts\u00e9gi modellje<\/h2>\n

\nIde\u00e1lis vil\u00e1gban a TH egy folyamatos folyamat. Mivel azonban nincs t\u00f6k\u00e9letes vil\u00e1g, vizsg\u00e1ljuk meg az \u00e9retts\u00e9gi modellt<\/a><\/noindex> \u00e9s a m\u00f3dszereket az emberek, folyamatok \u00e9s felhaszn\u00e1lt technol\u00f3gi\u00e1k szempontj\u00e1b\u00f3l. Tekints\u00fck \u00e1t az ide\u00e1lis g\u00f6mb\u00f6ly\u0171 TH modellt. Az e technol\u00f3gia haszn\u00e1lat\u00e1nak 5 szintje van. N\u00e9zz\u00fck meg ezeket egy adott elemz\u0151 csapat fejl\u0151d\u00e9s\u00e9n kereszt\u00fcl.<\/p>\n

\u00c9retts\u00e9gi szintek<\/b>
\nEmber<\/b>
\nFolyamatok<\/b>
\nTechnol\u00f3gi\u00e1k<\/b><\/p>\n

0. szint<\/b>
\nSOC elemz\u0151k
\n24\/7
\nHagyom\u00e1nyos eszk\u00f6z\u00f6k:<\/p>\n

Hagyom\u00e1nyos
\nRiaszt\u00e1sok k\u00e9szlete
\nPassz\u00edv monitoroz\u00e1s
\nIDS, AV, Sandbox,<\/p>\n

TH n\u00e9lk\u00fcl<\/i>
\nA riaszt\u00e1sok kezel\u00e9se<\/p>\n

al\u00e1\u00edr\u00e1s-elemz\u0151 eszk\u00f6z\u00f6kkel, Threat Intelligence adatokkal.<\/p>\n

1. szint<\/b>
\nSOC elemz\u0151k
\nEgyszeri TH
\nEDR<\/p>\n

K\u00eds\u00e9rleti
\nAlapvet\u0151 forenzikai ismeretek
\nIOC keres\u00e9se
\nR\u00e9szleges adathozz\u00e1f\u00e9r\u00e9s h\u00e1l\u00f3zati eszk\u00f6z\u00f6kr\u0151l<\/p>\n

K\u00eds\u00e9rletek a TH-val<\/i>
\nJ\u00f3 ismeretek a h\u00e1l\u00f3zatokr\u00f3l \u00e9s az alkalmaz\u00e1sokr\u00f3l<\/p>\n

R\u00e9szleges alkalmaz\u00e1s<\/p>\n

2. szint<\/b>
\nId\u0151szakos foglalkoz\u00e1s
\nSprintel\u00e9s
\nEDR<\/p>\n

Id\u0151szakonk\u00e9nt
\nK\u00f6zepes forenzikai ismeretek
\nH\u00e9t havonta
\nTeljes alkalmaz\u00e1s<\/p>\n

Ideiglenes TH<\/i>
\nKiv\u00e1l\u00f3 ismeretek a h\u00e1l\u00f3zatokr\u00f3l \u00e9s az alkalmaz\u00e1sokr\u00f3l
\nRendszeres TH
\nTeljes automatiz\u00e1l\u00e1sa az EDR adatainak felhaszn\u00e1l\u00e1s\u00e1nak<\/p>\n

R\u00e9szleges kihaszn\u00e1l\u00e1s az EDR kiterjesztett funkci\u00f3ib\u00f3l<\/p>\n

3. szint<\/b>
\nK\u00fcl\u00f6n csapat TH
\n24\/7
\nR\u00e9szleges k\u00e9pess\u00e9g a TH hipot\u00e9zisek ellen\u0151rz\u00e9s\u00e9re<\/p>\n

Prevenci\u00f3s
\nKiv\u00e1l\u00f3 forenzikai \u00e9s rosszindulat\u00fa program ismeretek
\nPrevenci\u00f3s TH
\nTeljes kihaszn\u00e1l\u00e1s az EDR kiterjesztett funkci\u00f3ib\u00f3l<\/p>\n

TH egyedi esetek<\/i>
\nKiv\u00e1l\u00f3 ismeretek a t\u00e1mad\u00f3 oldalr\u00f3l
\nTH egyedi esetek
\nTeljes adathozz\u00e1f\u00e9r\u00e9s h\u00e1l\u00f3zati eszk\u00f6z\u00f6kr\u0151l<\/p>\n

Ig\u00e9nyekhez igaz\u00edtott konfigur\u00e1ci\u00f3<\/p>\n

4. szint<\/b>
\nK\u00fcl\u00f6n csapat TH
\n24\/7
\nTeljes hipot\u00e9zis-ellen\u0151rz\u00e9si lehet\u0151s\u00e9g TH<\/p>\n

Vezet\u0151
\nKiv\u00e1l\u00f3 forenzikai \u00e9s rosszindulat\u00fa program ismeretek
\nPrevenci\u00f3s TH
\n3. szint, plusz:<\/p>\n

TH haszn\u00e1lata<\/i>
\nKiv\u00e1l\u00f3 ismeretek a t\u00e1mad\u00f3 oldalr\u00f3l
\nHipot\u00e9zisek TH ellen\u0151rz\u00e9se, automatiz\u00e1l\u00e1sa \u00e9s verifik\u00e1l\u00e1sa
\nszoros adatforr\u00e1s-integr\u00e1ci\u00f3;<\/p>\n

Kutat\u00e1si k\u00e9pess\u00e9g<\/p>\n

ig\u00e9nyekhez k\u00e9sz\u00edtett fejleszt\u00e9sek \u00e9s egyedi API haszn\u00e1lat.<\/p>\n

A TH \u00e9retts\u00e9gi szintjei az emberek, folyamatok \u00e9s technol\u00f3gi\u00e1k szempontj\u00e1b\u00f3l<\/i><\/p>\n

0. szint:<\/b> hagyom\u00e1nyos, TH haszn\u00e1lata n\u00e9lk\u00fcl. A hagyom\u00e1nyos elemz\u0151k passz\u00edv monitoroz\u00e1sra haszn\u00e1lnak egy standard riaszt\u00e1s-k\u00e9szletet standard eszk\u00f6z\u00f6kkel \u00e9s technol\u00f3gi\u00e1kkal: IDS, AV, sandboxok, al\u00e1\u00edr\u00e1s-elemz\u0151 eszk\u00f6z\u00f6k.<\/p>\n

1. szint:<\/b> k\u00eds\u00e9rleti, TH haszn\u00e1lat\u00e1val. Ugyanezek a szak\u00e9rt\u0151k, akik alapvet\u0151 forensic ismeretekkel rendelkeznek, \u00e9s j\u00f3l ismerik a h\u00e1l\u00f3zatokat \u00e9s az alkalmaz\u00e1sos r\u00e9sz\u00e9t, egyszeri Threat Hunting tev\u00e9kenys\u00e9get v\u00e9gezhetnek a kompromitt\u00e1l\u00f3d\u00e1s indik\u00e1torainak keres\u00e9s\u00e9vel. Az eszk\u00f6z\u00f6kh\u00f6z EDR t\u00e1rsul, amelyek r\u00e9szleges adatgy\u0171jt\u00e9ssel rendelkeznek a h\u00e1l\u00f3zati berendez\u00e9sekb\u0151l. Az eszk\u00f6z\u00f6k r\u00e9szben alkalmaz\u00e1sra ker\u00fclnek.<\/p>\n

2. szint:<\/b> id\u0151szakos, ideiglenes TH. Ugyanazoknak az elemz\u0151knek, akik m\u00e1r fejlesztett\u00e9k a tud\u00e1saikat a forenzik\u00e1ban, a h\u00e1l\u00f3zatokban \u00e9s a gyakorlati r\u00e9szlegben, k\u00f6telez\u0151 a rendszeres foglalkoz\u00e1s (sprint) a Threat Hunting-gal, p\u00e9ld\u00e1ul havonta egy h\u00e9t. Az eszk\u00f6z\u00f6kh\u00f6z teljes adatkutat\u00e1s a h\u00e1l\u00f3zati eszk\u00f6z\u00f6kt\u0151l, az EDR adatelemz\u00e9s\u00e9nek automatiz\u00e1l\u00e1sa \u00e9s az EDR kiterjesztett k\u00e9pess\u00e9geinek r\u00e9szleges haszn\u00e1lata is hozz\u00e1ad\u00f3dik.<\/p>\n

3. szint:<\/b> prevent\u00edv, gyakori TH esetek. Elemz\u0151ink egy dedik\u00e1lt csapatt\u00e1 alakultak, kiv\u00e1l\u00f3 forenzikai \u00e9s k\u00e1rt\u00e9kony szoftver ismeretekkel rendelkeznek, valamint ismerik a t\u00e1mad\u00f3 oldal m\u00f3dszereit \u00e9s taktik\u00e1it. A folyamat m\u00e1r 24\/7 \u00fczemm\u00f3dban zajlik. A csapat r\u00e9szben k\u00e9pes ellen\u0151rizni a TH hipot\u00e9ziseket, teljes m\u00e9rt\u00e9kben kihaszn\u00e1lva az EDR kib\u0151v\u00edtett funkci\u00f3it \u00e9s a h\u00e1l\u00f3zati eszk\u00f6z\u00f6kt\u0151l sz\u00e1rmaz\u00f3 teljes adatgy\u0171jt\u00e9st. Elemz\u0151ink k\u00e9pesek az eszk\u00f6z\u00f6ket a saj\u00e1t ig\u00e9nyeikhez igaz\u00edtani.<\/p>\n

4. szint:<\/b> vezet\u0151, TH haszn\u00e1lat. Ugyanez a csapat k\u00e9pess\u00e9 v\u00e1lt a kutat\u00e1sra, \u00e9s tudja gener\u00e1lni, valamint automatiz\u00e1lni a TH hipot\u00e9zisek ellen\u0151rz\u00e9s\u00e9nek folyamat\u00e1t. Mostant\u00f3l az eszk\u00f6z\u00f6kh\u00f6z szoros adatforr\u00e1s-integr\u00e1ci\u00f3, szoftverfejleszt\u00e9s a sz\u00fcks\u00e9gletekhez \u00e9s nem szokv\u00e1nyos API-haszn\u00e1lat is t\u00e1rsul.<\/p>\n

Threat Hunting technik\u00e1k<\/h2>\n

\n\"Fenyeget\u00e9sekAlapvet\u0151 Threat Hunting technik\u00e1k<\/i><\/p>\n

A technik\u00e1k<\/a><\/noindex> a TH tekintet\u00e9ben, a haszn\u00e1lt technol\u00f3gia \u00e9retts\u00e9g\u00e9nek sorrendj\u00e9ben: alapkeres\u00e9s, statisztikai elemz\u00e9s, vizualiz\u00e1ci\u00f3s technik\u00e1k, egyszer\u0171 aggreg\u00e1ci\u00f3k, g\u00e9pi tanul\u00e1s \u00e9s Bayesi m\u00f3dszerek. <\/p>\n

A legegyszer\u0171bb m\u00f3dszer az alap keres\u00e9s, amelyet arra haszn\u00e1lnak, hogy meghat\u00e1rozott lek\u00e9rdez\u00e9sek seg\u00edts\u00e9g\u00e9vel sz\u0171k\u00edts\u00e9k a kutat\u00e1s ter\u00fclet\u00e9t. A statisztikai elemz\u00e9seket alkalmazz\u00e1k p\u00e9ld\u00e1ul a tipikus felhaszn\u00e1l\u00f3i vagy h\u00e1l\u00f3zati tev\u00e9kenys\u00e9g statisztikai modellk\u00e9nt t\u00f6rt\u00e9n\u0151 fel\u00e9p\u00edt\u00e9s\u00e9re. A vizu\u00e1lis megjelen\u00edt\u00e9si technik\u00e1k seg\u00edts\u00e9g\u00e9vel az adatok grafikonokon \u00e9s diagramokon val\u00f3 szeml\u00e9ltet\u00e9s\u00e9re \u00e9s egyszer\u0171s\u00edt\u00e9s\u00e9re haszn\u00e1lj\u00e1k, ahol sokkal k\u00f6nnyebb \u00e9szlelni a mint\u00e1zatokat a mint\u00e1ban. Az alap aggreg\u00e1ci\u00f3s technik\u00e1k kulcsfontoss\u00e1g\u00fa mez\u0151k alapj\u00e1n a keres\u00e9s \u00e9s az elemz\u00e9s optimaliz\u00e1l\u00e1s\u00e1ra szolg\u00e1lnak. Min\u00e9l \u00e9rettebb szintet \u00e9r el a TH folyamat szervezetben, ann\u00e1l relev\u00e1nsabb\u00e1 v\u00e1lik a g\u00e9pi tanul\u00e1si algoritmusok alkalmaz\u00e1sa. Ezeket sz\u00e9les k\u00f6rben haszn\u00e1lj\u00e1k t\u00f6bbek k\u00f6z\u00f6tt spam sz\u0171r\u00e9sre, rosszindulat\u00fa forgalom \u00e9s csal\u00e1sok \u00e9szlel\u00e9s\u00e9re is. A g\u00e9pi tanul\u00e1s fejlettebb t\u00edpusai a Bayes-m\u00f3dszerek, amelyek lehet\u0151v\u00e9 teszik a mint\u00e1k oszt\u00e1lyoz\u00e1s\u00e1t, dimenzi\u00f3cs\u00f6kkent\u00e9s\u00e9t \u00e9s t\u00e9mamodellez\u00e9s\u00e9t.<\/p>\n

Gy\u00e9m\u00e1ntmodell \u00e9s TH strat\u00e9gi\u00e1k<\/h2>\n

\nSergio Caltagirone, Andrew Pendergast \u00e9s Christopher Betz \"The Diamond Model of Intrusion Analysis<\/a><\/noindex>\" c\u00edm\u0171 munk\u00e1jukban bemutatt\u00e1k minden rosszindulat\u00fa tev\u00e9kenys\u00e9g f\u0151bb \u00f6sszetev\u0151it \u00e9s alapvet\u0151 \u00f6sszef\u00fcgg\u00e9s\u00fcket.<\/p>\n

\"Fenyeget\u00e9sekGy\u00e9m\u00e1ntmodell a rosszindulat\u00fa tev\u00e9kenys\u00e9ghez<\/i><\/p>\n

Ez a modell n\u00e9gy Threat Hunting strat\u00e9gi\u00e1t hat\u00e1roz meg, amelyek a megfelel\u0151 kulcs\u00f6sszetev\u0151kre t\u00e1maszkodnak.<\/p>\n

1. \u00c1ldozat-orient\u00e1lt strat\u00e9gia. Felt\u00e9telezz\u00fck, hogy az \u00e1ldozatnak ellens\u00e9gei vannak, akik \"lehet\u0151s\u00e9geket\" fognak biztos\u00edtani e-mailen kereszt\u00fcl. Az ellens\u00e9ges adatok keres\u00e9se az e-mailekben. Linkek, mell\u00e9kletek stb. keres\u00e9se. A hipot\u00e9zis meger\u0151s\u00edt\u00e9s\u00e9t keresve egy meghat\u00e1rozott id\u0151szak alatt (egy h\u00f3nap, k\u00e9t h\u00e9t), ha nem tal\u00e1lunk bizony\u00edt\u00e9kot, akkor a hipot\u00e9zis nem val\u00f3sult meg.<\/p>\n

2. Infrastrukt\u00fara-orient\u00e1lt strat\u00e9gia. Ennek a strat\u00e9gi\u00e1nak t\u00f6bb m\u00f3dszere l\u00e9tezik. Az hozz\u00e1f\u00e9r\u00e9st\u0151l \u00e9s l\u00e1that\u00f3s\u00e1gt\u00f3l f\u00fcgg\u0151en egyesek k\u00f6nnyebbek, mint m\u00e1sok. P\u00e9ld\u00e1ul figyelemmel k\u00eds\u00e9rj\u00fck a rosszindulat\u00fa domainek t\u00e1rol\u00e1s\u00e1ra ismeretes domain n\u00e9vszervereket. Vagy nyomon k\u00f6vetj\u00fck az \u00f6sszes \u00faj domain n\u00e9v regisztr\u00e1l\u00e1s\u00e1t a megt\u00e1mad\u00f3k \u00e1ltal haszn\u00e1lt ismert mint\u00e1zatok \u00e9szlel\u00e9s\u00e9re.<\/p>\n

3. Lehet\u0151s\u00e9gekre \u00f6sszpontos\u00edt\u00f3 strat\u00e9gia. A legt\u00f6bb h\u00e1l\u00f3zati v\u00e9delmi szak\u00e9rt\u0151 \u00e1ltal alkalmazott \u00e1ldozatra orient\u00e1lt strat\u00e9gia mellett l\u00e9tezik egy lehet\u0151s\u00e9gekre orient\u00e1lt strat\u00e9gia is, amely a m\u00e1sodik legn\u00e9pszer\u0171bb. Ez a strat\u00e9gia a t\u00e1mad\u00f3 \u00e1ltal haszn\u00e1lt \"rosszindulat\u00fa programok\" felfedez\u00e9s\u00e9re \u00f6sszpontos\u00edt, valamint a t\u00e1mad\u00f3 legitimit\u00e1s\u00e1val rendelkez\u0151 eszk\u00f6z\u00f6k, mint p\u00e9ld\u00e1ul a psexec, powershell, certutil stb. alkalmaz\u00e1s\u00e1nak lehet\u0151s\u00e9g\u00e9re.<\/p>\n

4. Ellens\u00e9g orient\u00e1lt strat\u00e9gia. Az ellens\u00e9gre orient\u00e1lt megk\u00f6zel\u00edt\u00e9s mag\u00e1ra a t\u00e1mad\u00f3ra \u00f6sszpontos\u00edt. Ide tartozik az ny\u00edlt forr\u00e1sb\u00f3l sz\u00e1rmaz\u00f3 inform\u00e1ci\u00f3k (OSINT) felhaszn\u00e1l\u00e1sa, a t\u00e1mad\u00f3val, annak technik\u00e1ival \u00e9s m\u00f3dszereivel (TTP) kapcsolatos adatok gy\u0171jt\u00e9se, kor\u00e1bbi incidensek elemz\u00e9se, Threat Intelligence adatok stb.<\/p>\n

Inform\u00e1ci\u00f3s forr\u00e1sok \u00e9s hipot\u00e9zisek a TH-ban<\/h2>\n

\n\"Fenyeget\u00e9sekN\u00e9h\u00e1ny inform\u00e1ci\u00f3s forr\u00e1s a Threat Hunting sz\u00e1m\u00e1ra<\/i><\/p>\n

Nagyon sok inform\u00e1ci\u00f3s forr\u00e1s l\u00e9tezik. Az ide\u00e1lis elemz\u0151nek k\u00e9pesnek kell lennie inform\u00e1ci\u00f3t kinyerni mindabb\u00f3l, ami k\u00f6r\u00fclveszi. A legt\u00f6bb infrastrukt\u00far\u00e1ban a tipikus forr\u00e1sok a v\u00e9delmi eszk\u00f6z\u00f6kb\u0151l sz\u00e1rmaznak: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Tov\u00e1bb\u00e1 tipikus inform\u00e1ci\u00f3s forr\u00e1sok lehetnek a k\u00fcl\u00f6nb\u00f6z\u0151 kompromitt\u00e1l\u00f3d\u00e1si indik\u00e1torok, Threat Intelligence szolg\u00e1ltat\u00e1sok, CERT adatok \u00e9s OSINT. Emellett a darkwebb\u0151l sz\u00e1rmaz\u00f3 inform\u00e1ci\u00f3kat is felhaszn\u00e1lhatunk (p\u00e9ld\u00e1ul ha hirtelen megjelent egy megrendel\u00e9s egy vezet\u0151 e-mail fi\u00f3kj\u00e1nak felt\u00f6r\u00e9s\u00e9re, vagy ha egy h\u00e1l\u00f3zati m\u00e9rn\u00f6k-jel\u00f6lt aktivit\u00e1sa kiemelkedik), HR-t\u0151l kapott inform\u00e1ci\u00f3kat (a jel\u00f6ltr\u0151l a kor\u00e1bbi munkahely\u00e9r\u0151l sz\u00f3l\u00f3 v\u00e9lem\u00e9nyek), \u00e9s az biztons\u00e1gi szolg\u00e1latt\u00f3l kapott inform\u00e1ci\u00f3t (p\u00e9ld\u00e1ul a partner ellen\u0151rz\u00e9s\u00e9nek eredm\u00e9nye).<\/p>\n

De miel\u0151tt minden el\u00e9rhet\u0151 forr\u00e1st haszn\u00e1ln\u00e1nk, legal\u00e1bb egy hipot\u00e9zist sz\u00fcks\u00e9ges fel\u00e1ll\u00edtani.<\/p>\n

\"Fenyeget\u00e9sekForr\u00e1s<\/a><\/noindex><\/p>\n

Ahhoz, hogy tesztelni tudjuk a hipot\u00e9ziseket, el\u0151sz\u00f6r is meg kell \u0151ket fogalmazni. Ahhoz pedig, hogy sok min\u0151s\u00e9gi hipot\u00e9zist tudjunk kidolgozni, rendszerszeml\u00e9letet kell alkalmaznunk. A hipot\u00e9zisek gener\u00e1l\u00e1s\u00e1nak folyamata r\u00e9szletesebben le van \u00edrva a a Spotify d\u00f6nt\u00e9shozatali m\u00f3dszertan\u00e1r\u00f3l. Egyre t\u00f6bb felhaszn\u00e1l\u00f3 prefer\u00e1lja a zenehallgat\u00e1st mobilon a streaming szolg\u00e1ltat\u00e1sban, de a c\u00e9gn\u00e9l t\u00falnyom\u00f3r\u00e9szt webprogramoz\u00f3k dolgoznak. A Spotify elemezte ezt a helyzetet, \u00e9s \u00fagy d\u00f6nt\u00f6tt, hogy t\u00f6bb mobilfejleszt\u0151t vesz fel, valamint \u00e1tnevezi a webes szakembereket \u00faj ir\u00e1nyba:<\/a><\/noindex>, a hipot\u00e9zis fel\u00e1ll\u00edt\u00e1si folyamat\u00e1nak alapj\u00e1ul ezt a s\u00e9m\u00e1t lehet nagyon k\u00e9nyelmesen haszn\u00e1lni.<\/p>\n

A hipot\u00e9zisek f\u0151 forr\u00e1sa a ATT&CK m\u00e1trix<\/b> (Adversarial Tactics, Techniques and Common Knowledge). A l\u00e9nyeg\u00e9ben egy tud\u00e1sb\u00e1zis \u00e9s egy modell a t\u00e1mad\u00f3k viselked\u00e9s\u00e9nek \u00e9rt\u00e9kel\u00e9s\u00e9re, akik a t\u00e1mad\u00e1s utols\u00f3 l\u00e9p\u00e9seit hajtj\u00e1k v\u00e9gre, amelyeket \u00e1ltal\u00e1ban a Kill Chain fogalm\u00e1val \u00edrnak le. Vagyis a v\u00e1llalat bels\u0151 h\u00e1l\u00f3zat\u00e1ba vagy egy mobil eszk\u00f6zre val\u00f3 behatol\u00e1s ut\u00e1ni szakaszokban. Eredetileg a tud\u00e1sb\u00e1zis 121 t\u00e1mad\u00e1si taktik\u00e1j\u00e1nak \u00e9s technik\u00e1j\u00e1nak le\u00edr\u00e1s\u00e1t tartalmazta, amelyek mindegyike r\u00e9szletesen ki van fejtve Wiki form\u00e1tumban. A hipot\u00e9zisek gener\u00e1l\u00e1s\u00e1ra a Threat Intelligence v\u00e1ltozatos elemz\u00e9sei j\u00f3l megfelelnek. K\u00fcl\u00f6n\u00f6sen fontosak a h\u00e1l\u00f3zati infrastrukt\u00fara \u00e9s a behatol\u00e1si tesztek elemz\u00e9s\u00e9nek eredm\u00e9nyei \u2013 ezek a leg\u00e9rt\u00e9kesebb adatok, amelyek biztos hipot\u00e9ziseket adhatnak, mivel konkr\u00e9t infrastrukt\u00far\u00e1kra \u00e9s azok saj\u00e1tos gyenges\u00e9geire \u00e9p\u00edtenek.<\/p>\n

A hipot\u00e9zisek ellen\u0151rz\u00e9si folyamata<\/h2>\n

\nSzergej Szoldatov bemutatott egy j\u00f3 s\u00e9m\u00e1t<\/a><\/noindex> a folyamat r\u00e9szletes le\u00edr\u00e1s\u00e1val, amely illusztr\u00e1lja a TH hipot\u00e9zisek ellen\u0151rz\u00e9si folyamat\u00e1t egy adott rendszerben. Felsorolom a f\u0151bb l\u00e9p\u00e9seket r\u00f6vid le\u00edr\u00e1ssal.<\/p>\n

\"Fenyeget\u00e9sekForr\u00e1s<\/a><\/noindex> <\/p>\n

1. l\u00e9p\u00e9s: TI Farm<\/b><\/p>\n

Ebben a l\u00e9p\u00e9sben az objektumok kiemel\u00e9s\u00e9re van sz\u00fcks\u00e9g (azok elemz\u00e9s\u00e9vel minden fenyeget\u00e9s adatokkal egy\u00fctt), jellemz\u0151ik c\u00edmk\u00e9z\u00e9se r\u00e9v\u00e9n. Ez lehet f\u00e1jl, URL, MD5, folyamat, seg\u00e9dprogram, esem\u00e9ny. Azokat a Threat Intelligence rendszereken \u00e1tfuttatva, c\u00edmk\u00e9ket kell elhelyezni. Vagyis ezt az oldalt \u00e9szlelt\u00e9k a CNC-ben egy adott \u00e9vben, ez az MD5 \u00f6sszef\u00fcgg\u00e9sben \u00e1llt egy adott k\u00e1rtev\u0151vel, ezt az MD5-t egy k\u00e1rtev\u0151ket terjeszt\u0151 oldalr\u00f3l t\u00f6lt\u00f6tt\u00e9k le.<\/b> 2. l\u00e9p\u00e9s: Esetek<\/p>\n

A m\u00e1sodik l\u00e9p\u00e9sben figyelj\u00fck az objektumok k\u00f6z\u00f6tti k\u00f6lcs\u00f6nhat\u00e1sokat \u00e9s felfedezz\u00fck a k\u00f6lcs\u00f6n\u00f6ss\u00e9geket e objektumok k\u00f6z\u00f6tt. Olyan c\u00edmk\u00e9zett rendszereket kapunk, amelyek valami rosszat tesznek.<\/b><\/p>\n

3. l\u00e9p\u00e9s: Elemz\u0151<\/p>\n

A harmadik l\u00e9p\u00e9sben az \u00fcgyet egy tapasztalt elemz\u0151nek adj\u00e1k \u00e1t, aki hatalmas elemz\u00e9si tapasztalattal rendelkezik, \u00e9s \u0151 hoz v\u00e9gs\u0151 d\u00f6nt\u00e9st. \u0150 byte szinten bontja le, hogy mi, honnan, hogyan, mi\u00e9rt \u00e9s mi\u00e9rt v\u00e9gzi ez a k\u00f3d. Ez a program rosszindulat\u00fa volt, ez a sz\u00e1m\u00edt\u00f3g\u00e9p fert\u0151z\u00f6tt volt. Felfedi az objektumok k\u00f6z\u00f6tti kapcsolatokat, \u00e9s ellen\u0151rzi az eredm\u00e9nyeket a homokoz\u00f3n val\u00f3 futtat\u00e1s sor\u00e1n.<\/b><\/p>\n

Ezek a t\u00e9nyez\u0151k kombin\u00e1lt hat\u00e1ssal b\u00edrnak az elemz\u00e9s meg\u00e9rt\u00e9s\u00e9re \u00e9s a fenyeget\u00e9sek hat\u00e9konyabb kezel\u00e9s\u00e9re.<\/p>\n

Az elemz\u0151 munka eredm\u00e9nyei tov\u00e1bb\u00edt\u00e1sra ker\u00fclnek. A Digit\u00e1lis Nyomoz\u00e1s a k\u00e9peket vizsg\u00e1lja, a K\u00e1rtev\u0151 Elemz\u00e9s a tal\u00e1lt 't\u00f6rzsanyagot' vizsg\u00e1lja, m\u00edg az Incidens Reakci\u00f3s csapat a helysz\u00ednre utazhat, hogy ott valamit megvizsg\u00e1ljon. A munka v\u00e9gs\u0151 c\u00e9lja a meger\u0151s\u00edtett hipotezis, a felt\u00e1rt t\u00e1mad\u00e1s \u00e9s a lehets\u00e9ges ellenl\u00e9p\u00e9sek azonos\u00edt\u00e1sa.<\/p>\n

\"Fenyeget\u00e9sekForr\u00e1s<\/a><\/noindex>
\n \u00a0<\/p>\n

\u00d6sszegz\u00e9s<\/h2>\n

\nA Fenyeget\u00e9svad\u00e1szat egy viszonylag \u00faj technol\u00f3gia, amely hat\u00e9konyan k\u00e9pes fell\u00e9pni az egyedi, \u00faj \u00e9s szokatlan fenyeget\u00e9sekkel szemben, \u00e9s amely nagyszer\u0171 lehet\u0151s\u00e9geket ny\u00fajt a folyamatosan n\u00f6vekv\u0151 sz\u00e1m\u00fa fenyeget\u00e9s \u00e9s a v\u00e1llalati infrastrukt\u00fara bonyolults\u00e1ga figyelembev\u00e9tel\u00e9vel. H\u00e1rom \u00f6sszetev\u0151 sz\u00fcks\u00e9ges hozz\u00e1: adatok, eszk\u00f6z\u00f6k \u00e9s elemz\u0151k. A fenyeget\u00e9svad\u00e1szat el\u0151nyei nem korl\u00e1toz\u00f3dnak a fenyeget\u00e9sek megval\u00f3sul\u00e1s\u00e1nak megel\u0151z\u00e9s\u00e9re. Ne feledkezz\u00fcnk meg arr\u00f3l sem, hogy a keres\u00e9si folyamat sor\u00e1n m\u00e9lyebben megismerj\u00fck saj\u00e1t infrastrukt\u00far\u00e1nkat \u00e9s annak gyenge pontjait a biztons\u00e1gi szak\u00e9rt\u0151 szemsz\u00f6g\u00e9b\u0151l, \u00edgy ezeket a pontokat tov\u00e1bbi meger\u0151s\u00edt\u00e9sre is alkalmasak lehet\u00fcnk.<\/p>\n

Az els\u0151 l\u00e9p\u00e9sek, amelyeket v\u00e9lem\u00e9ny\u00fcnk szerint meg kell tenni a TH folyamat\u00e1nak elind\u00edt\u00e1s\u00e1hoz a szervezet\u00e9n bel\u00fcl.<\/p>\n

    \n
  1. Gondoskodjon a v\u00e9gpontok \u00e9s a h\u00e1l\u00f3zati infrastrukt\u00fara v\u00e9delm\u00e9r\u0151l. Gondoskodjon a l\u00e1that\u00f3s\u00e1gr\u00f3l (NetFlow) \u00e9s az ellen\u0151rz\u00e9sr\u0151l (t\u0171zfal, IDS, IPS, DLP) a h\u00e1l\u00f3zat\u00e1ban zajl\u00f3 \u00f6sszes folyamatr\u00f3l. Ismerje meg a h\u00e1l\u00f3zat\u00e1t a hat\u00e1rol\u00f3 routert\u0151l az utols\u00f3 hostig.<\/li>\n
  2. Tanulm\u00e1nyozza MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Rendszeresen v\u00e9gezzen penetr\u00e1ci\u00f3s tesztel\u00e9st legal\u00e1bb a legfontosabb k\u00fcls\u0151 forr\u00e1sok eset\u00e9ben, elemezze az eredm\u00e9nyeket, azonos\u00edtsa a t\u00e1mad\u00e1s f\u0151bb c\u00e9lpontjait \u00e9s z\u00e1rja le az azokkal kapcsolatos sebezhet\u0151s\u00e9geket.<\/li>\n
  4. Implement\u00e1ljon ny\u00edlt forr\u00e1sk\u00f3d\u00fa fenyeget\u00e9sinform\u00e1ci\u00f3s rendszert (p\u00e9ld\u00e1ul MISP, Yeti) \u00e9s v\u00e9gezzen napl\u00f3elemz\u00e9st egy\u00fctt vele.<\/li>\n
  5. Implement\u00e1ljon incidens v\u00e1laszplatformot (IRP): R-Vision IRP, The Hive, homokoz\u00f3t gyan\u00fas f\u00e1jlok elemz\u00e9s\u00e9re (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatiz\u00e1lja a rutin folyamatokat. A napl\u00f3elemz\u00e9s, incidensbejelent\u00e9s, a szem\u00e9lyzet inform\u00e1l\u00e1sa hatalmas automatiz\u00e1l\u00e1si lehet\u0151s\u00e9geket k\u00edn\u00e1l.<\/li>\n
  7. Tanuljon meg hat\u00e9konyan egy\u00fcttm\u0171k\u00f6dni m\u00e9rn\u00f6k\u00f6kkel, fejleszt\u0151kkel, m\u0171szaki t\u00e1mogat\u00e1ssal az incidensek k\u00f6z\u00f6s kezel\u00e9s\u00e9re.<\/li>\n
  8. Dokument\u00e1lja az \u00f6sszes folyamatot, kulcspontokat \u00e9s el\u00e9rt eredm\u00e9nyeket, hogy k\u00e9s\u0151bb visszat\u00e9rhessen hozz\u00e1juk, vagy megoszthassa ezeket az adatokat koll\u00e9g\u00e1ival;<\/li>\n
  9. Ne feledkezzen meg a t\u00e1rsadalmi oldalr\u00f3l: tartsa szemmel, mi t\u00f6rt\u00e9nik a munkav\u00e1llal\u00f3ival, kit foglalkoztat, \u00e9s kinek ad hozz\u00e1f\u00e9r\u00e9st a szervezet inform\u00e1ci\u00f3s forr\u00e1saihoz.<\/li>\n
  10. Legyen naprak\u00e9sz az \u00faj fenyeget\u00e9sek \u00e9s v\u00e9delmi m\u00f3dszerek ter\u00fclet\u00e9n, fejlessze technikai tud\u00e1s\u00e1t (bele\u00e9rtve az IT-szolg\u00e1ltat\u00e1sok \u00e9s alrendszerek m\u0171k\u00f6d\u00e9s\u00e9t), l\u00e1togasson el konferenci\u00e1kra, \u00e9s l\u00e9pjen kapcsolatba koll\u00e9g\u00e1ival.<\/li>\n<\/ol>\n

    \nK\u00e9szen \u00e1llok megvitatni a TH folyamat\u00e1nak megszervez\u00e9s\u00e9t a megjegyz\u00e9sekben.<\/p>\n

    Vagy gyere hozz\u00e1nk dolgozni!<\/b><\/p>\n