{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Hogyan fedezik fel a forgalomelemz\u0151 rendszerek a hackerek MITRE ATT&amp;CK strat\u00e9gi\u00e1it a PT Network Attack Discovery p\u00e9ld\u00e1j\u00e1n kereszt\u00fcl","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/pt\/blog\/493082\/\"><img decoding=\"async\" alt=\"How traffic analysis systems detect hacker tactics according to MITRE ATT&amp;CK using PT Network Attack Discovery as an example\" src=\"\/wp-content\/uploads\/2020\/03\/75b6c4846867a15776529105f9657ffb.jpg\" style=\"display:block;margin: 0 auto;\" \/><\/a><\/noindex><\/p>\n<p><noindex><a rel=\"nofollow\" href=\"https:\/\/www.verizonenterprise.com\/resources\/reports\/rp_DBIR_2018_Report_execsummary_en_xg.pdf\">A Verizon szerint<\/a><\/noindex>, a biztons\u00e1gi incidensek t\u00falnyom\u00f3 t\u00f6bbs\u00e9ge (87%) n\u00e9h\u00e1ny percen bel\u00fcl bek\u00f6vetkezik, mik\u00f6zben 68% c\u00e9gn\u00e9l h\u00f3napokba telik a felfedez\u00e9s\u00fck. Ezt meger\u0151s\u00edti a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.ibm.com\/security\/data-breach\">Ponemon Int\u00e9zet kutat\u00e1sa<\/a><\/noindex>, amely szerint a legt\u00f6bb szervezetnek \u00e1tlagosan 206 napra van sz\u00fcks\u00e9ge egy incidens \u00e9szlel\u00e9s\u00e9re. Tapasztalataink szerint a hackerek \u00e9vekig k\u00e9pesek ir\u00e1ny\u00edtani egy v\u00e1llalat infrastrukt\u00far\u00e1j\u00e1t an\u00e9lk\u00fcl, hogy \u00e9szleln\u00e9k \u0151ket. P\u00e9ld\u00e1ul egy olyan szervezetn\u00e9l, ahol szak\u00e9rt\u0151ink biztons\u00e1gi incidens vizsg\u00e1latot folytattak, kider\u00fclt, hogy a hackerek teljes m\u00e9rt\u00e9kben ellen\u0151rizt\u00e9k a szervezet teljes infrastrukt\u00far\u00e1j\u00e1t, \u00e9s rendszeresen szereztek el fontos adatokat <noindex><a rel=\"nofollow\" href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/analytics\/operation-taskmasters-2019\/?sphrase_id=71910\">nyolc \u00e9ven kereszt\u00fcl<\/a><\/noindex>.<\/p>\n<p>Tegy\u00fck fel, hogy m\u00e1r m\u0171k\u00f6dik egy SIEM, amely napl\u00f3kat gy\u0171jt \u00e9s esem\u00e9nyeket elemez, \u00e9s antiv\u00edrus programok vannak telep\u00edtve a v\u00e9gk\u00e9sz\u00fcl\u00e9keken. Mindazon\u00e1ltal <noindex><a rel=\"nofollow\" href=\"https:\/\/safe.cnews.ru\/articles\/2019-10-15_pochemu_hakery_legko_vzlamyvayut_nasa\">nem minden \u00e9szlelhet\u0151 SIEM seg\u00edts\u00e9g\u00e9vel<\/a><\/noindex>, ahogyan nem lehets\u00e9ges az eg\u00e9sz h\u00e1l\u00f3zatra EDR rendszert bevezetni, ez\u00e9rt elker\u00fclhetetlenek az \u201evak\u201d z\u00f3n\u00e1k. Ezen z\u00f3n\u00e1k kezel\u00e9s\u00e9re seg\u00edtenek a h\u00e1l\u00f3zati forgalomelemz\u0151 rendszerek (network traffic analysis, NTA). Ezek a megold\u00e1sok a t\u00e1mad\u00f3k tev\u00e9kenys\u00e9g\u00e9t m\u00e9g a behatol\u00e1s legkor\u00e1bbi szakaszaiban \u00e9szlelik, valamint a h\u00e1l\u00f3zatra val\u00f3 beilleszked\u00e9s \u00e9s a t\u00e1mad\u00e1s bels\u0151 terjed\u00e9s\u00e9nek k\u00eds\u00e9rlete sor\u00e1n. <\/p>\n<p>Az NTA rendszerek k\u00e9t t\u00edpus\u00faak: az egyik a NetFlow-val, a m\u00e1sik pedig a nyers forgalmat elemzi. Az ut\u00f3bbi rendszerek el\u0151nye, hogy k\u00e9pesek t\u00e1rolni a nyers forgalom feljegyz\u00e9seit. Ennek k\u00f6sz\u00f6nhet\u0151en a biztons\u00e1gi szakember ellen\u0151rizheti a t\u00e1mad\u00e1s sikeress\u00e9g\u00e9t, lokaliz\u00e1lhatja a fenyeget\u00e9st, meg\u00e9rtheti, hogyan t\u00f6rt\u00e9nt a t\u00e1mad\u00e1s, \u00e9s hogyan lehet azt a j\u00f6v\u0151ben megel\u0151zni.<\/p>\n<p>Megmutatjuk, hogyan lehet az NTA seg\u00edts\u00e9g\u00e9vel k\u00f6zvetlen vagy k\u00f6zvetett jelek alapj\u00e1n felfedni az \u00f6sszes ismert t\u00e1mad\u00e1si taktik\u00e1t, amelyeket a tud\u00e1sb\u00e1zisban \u00edrtak le <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/\">MITRE ATT&amp;CK<\/a><\/noindex>. Besz\u00e1molunk a 12 taktik\u00e1r\u00f3l, r\u00e9szletezz\u00fck azokat a technik\u00e1kat, amelyek a forgalmon kereszt\u00fcl \u00e9szlelhet\u0151k, \u00e9s bemutatjuk ezek felfedez\u00e9s\u00e9t a mi NTA rendszer\u00fcnkkel. <noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>A tud\u00e1sb\u00e1zisr\u00f3l ATT&amp;CK<\/h2>\n<p>\nA MITRE ATT&amp;CK egy nyilv\u00e1nos tud\u00e1sb\u00e1zis, amelyet a MITRE Corporation fejlesztett ki \u00e9s tart fenn val\u00f3s APT elemz\u00e9sek alapj\u00e1n. Ez egy struktur\u00e1lt k\u00e9szlet a t\u00e1mad\u00f3k \u00e1ltal haszn\u00e1lt taktik\u00e1kr\u00f3l \u00e9s technik\u00e1kr\u00f3l. Lehet\u0151v\u00e9 teszi a vil\u00e1g minden t\u00e1j\u00e1n dolgoz\u00f3 inform\u00e1ci\u00f3biztons\u00e1gi szakemberek sz\u00e1m\u00e1ra, hogy egy nyelvet besz\u00e9ljenek. Az adatb\u00e1zis folyamatosan b\u0151v\u00fcl \u00e9s \u00faj ismeretekkel gazdagodik.<\/p>\n<p>Az adatb\u00e1zisban 12 taktik\u00e1t k\u00fcl\u00f6nb\u00f6ztet\u00fcnk meg, amelyeket a kibert\u00e1mad\u00e1s szakaszai szerint csoportos\u00edtanak: <\/p>\n<ul>\n<li>kezdeti hozz\u00e1f\u00e9r\u00e9s (initial access);<\/li>\n<li>v\u00e9grehajt\u00e1s (execution);<\/li>\n<li>megmarad\u00e1s (persistence);<\/li>\n<li>jogosults\u00e1gok emel\u00e9se (privilege escalation);<\/li>\n<li>\u00e9szlel\u00e9s elker\u00fcl\u00e9se (defense evasion);<\/li>\n<li>hiteles\u00edt\u0151 adatok megszerz\u00e9se (credential access);<\/li>\n<li>felfedez\u00e9s (discovery);<\/li>\n<li>lateral mozg\u00e1s (lateral movement);<\/li>\n<li>adatgy\u0171jt\u00e9s (collection);<\/li>\n<li>vez\u00e9rl\u00e9s \u00e9s ir\u00e1ny\u00edt\u00e1s (command and control);<\/li>\n<li>adatok exfiltr\u00e1l\u00e1sa (exfiltration);<\/li>\n<li>hat\u00e1s (impact).<\/li>\n<\/ul>\n<p>\nMinden egyes taktik\u00e1hoz az ATT&amp;CK tud\u00e1sb\u00e1zisban tal\u00e1lhat\u00f3 egy lista a technik\u00e1kr\u00f3l, amelyek seg\u00edtik a t\u00e1mad\u00f3kat a c\u00e9ljaik el\u00e9r\u00e9s\u00e9ben a t\u00e1mad\u00e1s adott szakasz\u00e1ban. Mivel ugyanaz a technika t\u00f6bb k\u00fcl\u00f6nb\u00f6z\u0151 szakaszban is haszn\u00e1lhat\u00f3, \u00edgy t\u00f6bb taktik\u00e1hoz is tartozhat. <\/p>\n<p>Minden egyes technika le\u00edr\u00e1sa tartalmazza:<\/p>\n<ul>\n<li>azonos\u00edt\u00f3t;<\/li>\n<li>a technik\u00e1ban alkalmazott taktik\u00e1k list\u00e1j\u00e1t;<\/li>\n<li>APT-csoportok \u00e1ltali felhaszn\u00e1l\u00e1si p\u00e9ld\u00e1k;<\/li>\n<li>cs\u00f6kkent\u00e9si int\u00e9zked\u00e9sek alkalmaz\u00e1s\u00e1nak k\u00e1ros hat\u00e1saival kapcsolatban;<\/li>\n<li>\u00e9szlel\u00e9si aj\u00e1nl\u00e1sokat. <\/li>\n<\/ul>\n<p>\nAz inform\u00e1ci\u00f3biztons\u00e1gi szakemberek felhaszn\u00e1lhatj\u00e1k az adatb\u00e1zis ismereteit, hogy struktur\u00e1lj\u00e1k az aktu\u00e1lis t\u00e1mad\u00e1si m\u00f3dszerekr\u0151l szerzett inform\u00e1ci\u00f3kat, \u00e9s ennek alapj\u00e1n hat\u00e9kony biztons\u00e1gi rendszert \u00e9p\u00edtsenek ki. Az igaz\u00e1n m\u0171k\u00f6d\u0151 APT-csoportok m\u0171k\u00f6d\u00e9s\u00e9nek meg\u00e9rt\u00e9se forr\u00e1st jelenthet a proakt\u00edv fenyeget\u00e9skeres\u00e9shez a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.ptsecurity.com\/ru-ru\/research\/webinar\/302112\/\">threat hunting<\/a><\/noindex>. <\/p>\n<h3>A PT Network Attack Discovery-r\u0151l<\/h3>\n<p>\nAz ATT&amp;CK m\u00e1trixb\u00f3l sz\u00e1rmaz\u00f3 technik\u00e1k alkalmaz\u00e1s\u00e1nak \u00e9szlel\u00e9s\u00e9re a <noindex><a rel=\"nofollow\" href=\"https:\/\/www.ptsecurity.com\/ru-ru\/products\/network-attack-discovery\/?utm_source=press_release&amp;utm_medium=press_release&amp;utm_campaign=new_nad\">PT Network Attack Discovery <\/a><\/noindex>\u2014 a Positive Technologies NTA rendszere, amely a perem- \u00e9s bels\u0151 h\u00e1l\u00f3zaton t\u00f6rt\u00e9n\u0151 t\u00e1mad\u00e1sok \u00e9szlel\u00e9s\u00e9re szolg\u00e1l. A PT NAD k\u00fcl\u00f6nb\u00f6z\u0151 m\u00e9rt\u00e9kben lefedi a MITRE ATT&amp;CK m\u00e1trix 12 taktik\u00e1j\u00e1t. Legink\u00e1bb a kezdeti hozz\u00e1f\u00e9r\u00e9s (initial access), a lateral mozg\u00e1s (lateral movement) \u00e9s a vez\u00e9rl\u00e9s \u00e9s ir\u00e1ny\u00edt\u00e1s (command and control) technik\u00e1k \u00e9szlel\u00e9s\u00e9n\u00e9l hat\u00e9kony, ezekb\u0151l a PT NAD t\u00f6bb mint fel\u00e9t is \u00e9szleli az ismert technik\u00e1knak, az alkalmaz\u00e1sukat k\u00f6zvetlen vagy k\u00f6zvetett jelek alapj\u00e1n \u00e9szlelve. <\/p>\n<p>A rendszer az ATT&amp;CK technik\u00e1k alkalmaz\u00e1s\u00e1val v\u00e9gzett t\u00e1mad\u00e1sokat az \u00e9szlel\u00e9si szab\u00e1lyok seg\u00edts\u00e9g\u00e9vel azonos\u00edtja, amelyeket a csapat k\u00e9sz\u00edtett. <noindex><a rel=\"nofollow\" href=\"https:\/\/www.ptsecurity.com\/ru-ru\/products\/network-attack-discovery\/?utm_source=press_release&amp;utm_medium=press_release&amp;utm_campaign=new_nad\">PT Expert Security Center<\/a><\/noindex> (PT ESC), g\u00e9pi tanul\u00e1s, kompromitt\u00e1l\u00f3d\u00e1sra utal\u00f3 jelek, m\u00e9lyelemz\u00e9s \u00e9s visszatekint\u0151 elemz\u00e9s. Az aktu\u00e1lis forgalom elemz\u00e9se a visszatekint\u00e9s mellett lehet\u0151v\u00e9 teszi a jelenlegi rejtett rosszindulat\u00fa tev\u00e9kenys\u00e9g azonos\u00edt\u00e1s\u00e1t, valamint a t\u00e1mad\u00e1sok fejl\u0151d\u00e9si vektorainak \u00e9s kr\u00f3nol\u00f3gi\u00e1j\u00e1nak nyomon k\u00f6vet\u00e9s\u00e9t.<\/p>\n<blockquote><p><noindex><a rel=\"nofollow\" href=\"https:\/\/habrastorage.org\/webt\/-l\/o8\/yc\/-lo8ycywq-rl1g_v1pt9-lmnj3y.png\">Itt tal\u00e1lhat\u00f3<\/a><\/noindex> a PT NAD teljes t\u00e9rk\u00e9pe a MITRE ATT&amp;CK m\u00e1trixon. A k\u00e9p nagy, ez\u00e9rt aj\u00e1nljuk, hogy k\u00fcl\u00f6n ablakban n\u00e9zze meg.<\/p><\/blockquote>\n<p><\/p>\n<h3>Kezdeti hozz\u00e1f\u00e9r\u00e9s (initial access)<\/h3>\n<p><img decoding=\"async\" alt=\"How traffic analysis systems detect hacker tactics according to MITRE ATT&amp;CK using PT Network Attack Discovery as an example\" src=\"\/wp-content\/uploads\/2020\/03\/93cc3669c7de3b5193897d685e63a72f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nA kezdeti hozz\u00e1f\u00e9r\u00e9s megszerz\u00e9s\u00e9nek taktik\u00e1ja mag\u00e1ban foglalja a technik\u00e1kat a v\u00e1llalati h\u00e1l\u00f3zatba val\u00f3 behatol\u00e1shoz. A t\u00e1mad\u00f3k c\u00e9lja ebben a szakaszban, hogy rosszindulat\u00fa k\u00f3dot juttassanak be a megt\u00e1madott rendszerbe, \u00e9s lehet\u0151s\u00e9get biztos\u00edtsanak annak tov\u00e1bbi v\u00e9grehajt\u00e1s\u00e1ra.<\/p>\n<p>A PT NAD forgalomelemz\u00e9se lehet\u0151v\u00e9 teszi h\u00e9t kezdeti hozz\u00e1f\u00e9r\u00e9si technika azonos\u00edt\u00e1s\u00e1t:<\/p>\n<h3>1. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1189\/\">T1189<\/a><\/noindex>: drive-by compromise<\/h3>\n<p>\nTechnika, amelyben az \u00e1ldozat egy olyan weboldalt nyit meg, amelyet a t\u00e1mad\u00f3k haszn\u00e1lnak a webb\u00f6ng\u00e9sz\u0151 kihaszn\u00e1l\u00e1s\u00e1ra, \u00e9s hozz\u00e1f\u00e9r\u00e9si tokenek megszerz\u00e9s\u00e9re az alkalmaz\u00e1sban. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: ha a webforgalom nem titkos\u00edtott, a PT NAD ellen\u0151rzi a HTTP-szerverek v\u00e1laszainak tartalm\u00e1t. Ezekben a v\u00e1laszokban tal\u00e1lhat\u00f3ak azok az exploitok, amelyek lehet\u0151v\u00e9 teszik a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra, hogy tetsz\u0151leges k\u00f3dot futtassanak a b\u00f6ng\u00e9sz\u0151ben. A PT NAD automatikusan azonos\u00edtja ezeket az exploitokat az \u00e9szlel\u00e9si szab\u00e1lyok seg\u00edts\u00e9g\u00e9vel. <\/p>\n<p>Tov\u00e1bb\u00e1 a PT NAD az el\u0151z\u0151 l\u00e9p\u00e9sben felfedezi a fenyeget\u00e9st. A szab\u00e1lyok \u00e9s a kompromitt\u00e1l\u00f3d\u00e1sra utal\u00f3 jelek aktiv\u00e1l\u00f3dnak, ha a felhaszn\u00e1l\u00f3 egy olyan weboldalra l\u00e1togatott, amely \u00e1tir\u00e1ny\u00edtotta egy exploitokkal teli weboldalra.<\/p>\n<h3>2. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1190\">T1190<\/a><\/noindex>: exploit public-facing application<\/h3>\n<p>\nAz interneten el\u00e9rhet\u0151 szolg\u00e1ltat\u00e1sok sebezhet\u0151s\u00e9geinek kihaszn\u00e1l\u00e1sa. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: m\u00e9ly ellen\u0151rz\u00e9st v\u00e9gez a h\u00e1l\u00f3zati csomagok tartalm\u00e1n, felt\u00e1rva azok anom\u00e1lis tev\u00e9kenys\u00e9gre utal\u00f3 jeleit. K\u00fcl\u00f6n\u00f6sen l\u00e9teznek szab\u00e1lyok, melyek lehet\u0151v\u00e9 teszik a tartalomkezel\u0151 rendszerek (CMS), a h\u00e1l\u00f3zati berendez\u00e9sek webes fel\u00fcletei, valamint a levelez\u0151 \u00e9s FTP-szerverek elleni t\u00e1mad\u00e1sok azonos\u00edt\u00e1s\u00e1t.<\/p>\n<h3>3. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1133\/\">T1133<\/a><\/noindex>: external remote services <\/h3>\n<p>\nA t\u00e1mad\u00f3k t\u00e1voli hozz\u00e1f\u00e9r\u00e9si szolg\u00e1ltat\u00e1sokat haszn\u00e1lnak a bels\u0151 h\u00e1l\u00f3zat er\u0151forr\u00e1saihoz val\u00f3 csatlakoz\u00e1shoz k\u00edv\u00fclr\u0151l. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: mivel a rendszer a protokollokat nem a portsz\u00e1mok alapj\u00e1n, hanem a csomagok tartalma alapj\u00e1n ismeri fel, a felhaszn\u00e1l\u00f3k ki tudj\u00e1k sz\u0171rni a forgalmat, hogy megtal\u00e1lj\u00e1k az \u00f6sszes t\u00e1voli hozz\u00e1f\u00e9r\u00e9si protokollt \u00e9s ellen\u0151rizz\u00e9k azok legitimit\u00e1s\u00e1t. <\/p>\n<h3>4. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1193\/\">T1193<\/a><\/noindex>: spearphishing mell\u00e9klet <\/h3>\n<p>\nA h\u00edrhedt adathal\u00e1szati mell\u00e9kletekr\u0151l van sz\u00f3.<\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: automatikusan kinyeri a f\u00e1jlokat a forgalomb\u00f3l \u00e9s ellen\u0151rzi \u0151ket a kompromitt\u00e1l\u00e1si indik\u00e1torok alapj\u00e1n. A mell\u00e9kletk\u00e9nt \u00e9rkez\u0151 v\u00e9grehajthat\u00f3 f\u00e1jlokat olyan szab\u00e1lyok fedezik fel, amelyek elemzik az e-mail forgalom tartalm\u00e1t. A v\u00e1llalati k\u00f6rnyezetben ilyen mell\u00e9kletet anom\u00e1li\u00e1nak tekintenek. <\/p>\n<h3>5. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1192\/\">T1192<\/a><\/noindex>: spearphishing link <\/h3>\n<p>\nAdathal\u00e1szati linkek haszn\u00e1lata. A technika azt jelenti, hogy a t\u00e1mad\u00f3k adathal\u00e1sz levelet k\u00fcldenek, amely egy linket tartalmaz, amelyre kattintva egy rosszindulat\u00fa program t\u00f6lt\u0151dik le. \u00c1ltal\u00e1ban a linket a t\u00e1rsadalmi manipul\u00e1ci\u00f3 minden szab\u00e1ly\u00e1nak megfelel\u0151 sz\u00f6veg k\u00eds\u00e9ri. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: az adathal\u00e1sz linkeket a kompromitt\u00e1l\u00e1si indik\u00e1torok seg\u00edts\u00e9g\u00e9vel \u00e9szleli. P\u00e9ld\u00e1ul a PT NAD fel\u00fclet\u00e9n egy olyan sessiont l\u00e1tunk, amelyn\u00e9l HTTP kapcsolat l\u00e9tes\u00fclt a phishing-urls list\u00e1j\u00e1ra felvett linkkel.<\/p>\n<p><img decoding=\"async\" alt=\"How traffic analysis systems detect hacker tactics according to MITRE ATT&amp;CK using PT Network Attack Discovery as an example\" src=\"\/wp-content\/uploads\/2020\/03\/f8b8f0ed7e64da6a9ceb2c3e8d3b3202.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>Kapcsolat a phishing-urls kompromitt\u00e1l\u00e1si indik\u00e1torainak list\u00e1j\u00e1b\u00f3l<\/i><\/p>\n<h3>6. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1199\">T1199<\/a><\/noindex>: megb\u00edzhat\u00f3 kapcsolat<\/h3>\n<p>\nA c\u00e9lzott h\u00e1l\u00f3zathoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s harmadik feleken kereszt\u00fcl, akikkel a c\u00e9lpontnak megb\u00edzhat\u00f3 kapcsolatai vannak. A t\u00e1mad\u00f3k meg tudj\u00e1k t\u00e1madni a megb\u00edzhat\u00f3 szervezetet, \u00e9s azon kereszt\u00fcl csatlakozni a c\u00e9lzott h\u00e1l\u00f3zathoz. Ehhez VPN kapcsolatokat vagy domain-megb\u00edzhat\u00f3s\u00e1gokat haszn\u00e1lnak, amit a forgalom elemz\u00e9s\u00e9vel lehet felfedni. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: elemezheti az alkalmaz\u00e1si protokollokat, \u00e9s a kib\u0151v\u00edtett mez\u0151ket adatb\u00e1zisba menti, lehet\u0151v\u00e9 t\u00e9ve az IT-biztons\u00e1gi elemz\u0151k sz\u00e1m\u00e1ra, hogy sz\u0171r\u0151k seg\u00edts\u00e9g\u00e9vel megtal\u00e1lj\u00e1k az \u00f6sszes gyan\u00fas VPN kapcsolatot vagy kereszt-domain csatlakoz\u00e1st az adatb\u00e1zisban.<\/p>\n<h3>7. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1078\/\">T1078<\/a><\/noindex>: \u00e9rv\u00e9nyes fi\u00f3kok<\/h3>\n<p>\nStandard, helyi vagy domain felhaszn\u00e1l\u00f3i adatok alkalmaz\u00e1sa k\u00fcls\u0151 \u00e9s bels\u0151 szolg\u00e1ltat\u00e1sokhoz val\u00f3 hiteles\u00edt\u00e9shez.<\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: automatikusan kinyeri a hiteles\u00edt\u0151 adatokat HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE\/RPC, SOCKS5, LDAP, Kerberos protokollokb\u00f3l. \u00c1ltal\u00e1ban ezek a bejelentkez\u00e9si n\u00e9v, jelsz\u00f3 \u00e9s a sikeres hiteles\u00edt\u00e9s jelz\u0151je. Ha haszn\u00e1latban voltak, azok a megfelel\u0151 session k\u00e1rty\u00e1n jelennek meg.<\/p>\n<h2>V\u00e9grehajt\u00e1s (execution)<\/h2>\n<p><img decoding=\"async\" alt=\"How traffic analysis systems detect hacker tactics according to MITRE ATT&amp;CK using PT Network Attack Discovery as an example\" src=\"\/wp-content\/uploads\/2020\/03\/54cfa8b924eb5061d7cc8bc93335c735.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\nA v\u00e9grehajt\u00e1si taktik\u00e1ba beletartoznak azon technik\u00e1k, amelyeket a t\u00e1mad\u00f3k a k\u00f3d v\u00e9grehajt\u00e1s\u00e1ra alkalmaznak a kompromitt\u00e1lt rendszerekben. A k\u00e1rtev\u0151k futtat\u00e1sa seg\u00edt a t\u00e1mad\u00f3knak megszil\u00e1rd\u00edtani a jelenl\u00e9t\u00fcket (taktika: tart\u00f3ss\u00e1g) \u00e9s b\u0151v\u00edteni a t\u00e1voli rendszerekhez val\u00f3 hozz\u00e1f\u00e9r\u00e9st a h\u00e1l\u00f3zaton bel\u00fcl, mozogva a perem\u00e9n. <\/p>\n<p>A PT NAD lehet\u0151v\u00e9 teszi a t\u00e1mad\u00f3k \u00e1ltal 14 technika azonos\u00edt\u00e1s\u00e1t, amelyeket a k\u00e1rtev\u0151 k\u00f3d v\u00e9grehajt\u00e1s\u00e1ra haszn\u00e1lnak. <\/p>\n<h3>1. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1191\/\">T1191<\/a><\/noindex>: CMSTP (Microsoft Connection Manager Profil Telep\u00edt\u0151)<\/h3>\n<p>\nOlyan taktika, ahol a t\u00e1mad\u00f3k egy speci\u00e1lis k\u00e1rtev\u0151 telep\u00edt\u0151 INF-f\u00e1jlt k\u00e9sz\u00edtenek a Windowsban be\u00e9p\u00edtett CMSTP.exe (kapcsolatkezel\u0151 profil telep\u00edt\u0151) seg\u00e9dprogramhoz. A CMSTP.exe f\u00e1jlt fogad param\u00e9terk\u00e9nt, \u00e9s telep\u00edti a szolg\u00e1ltat\u00e1si profilt a t\u00e1voli kapcsolatokhoz. Ennek k\u00f6vetkezt\u00e9ben a CMSTP.exe haszn\u00e1lhat\u00f3 dinamikusan bet\u00f6lt\u00f6tt k\u00f6nyvt\u00e1rak (*.dll) vagy szkriptek (*.sct) let\u00f6lt\u00e9s\u00e9re \u00e9s v\u00e9grehajt\u00e1s\u00e1ra t\u00e1voli szerverekr\u0151l. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: automatikusan \u00e9szleli a HTTP-forgalomban az ilyen t\u00edpus\u00fa INF-f\u00e1jlok tov\u00e1bb\u00edt\u00e1s\u00e1t. Ezen k\u00edv\u00fcl \u00e9szleli a k\u00e1rtev\u0151 szkriptek \u00e9s dinamikusan bet\u00f6lt\u00f6tt k\u00f6nyvt\u00e1rak tov\u00e1bb\u00edt\u00e1s\u00e1t HTTP protokollon kereszt\u00fcl t\u00e1voli szerverr\u0151l. <\/p>\n<h3>2. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1059\">T1059<\/a><\/noindex>: parancssori fel\u00fclet <\/h3>\n<p>\nInterakci\u00f3 a parancssori fel\u00fclettel. A parancssori fel\u00fclettel lok\u00e1lisan vagy t\u00e1volr\u00f3l is lehet k\u00f6lcs\u00f6nhat\u00e1sba l\u00e9pni, p\u00e9ld\u00e1ul t\u00e1voli hozz\u00e1f\u00e9r\u00e9si seg\u00e9dprogramok seg\u00edts\u00e9g\u00e9vel.<\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: automatikusan \u00e9rz\u00e9keli a shell-ek jelenl\u00e9t\u00e9t a k\u00fcl\u00f6nb\u00f6z\u0151 parancssori seg\u00e9dprogramok, p\u00e9ld\u00e1ul ping vagy ifconfig parancsainak ind\u00edt\u00e1s\u00e1ra adott v\u00e1laszok alapj\u00e1n.<\/p>\n<h3>3. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1175\/\">T1175<\/a><\/noindex>: komponens objektum modell \u00e9s elosztott COM <\/h3>\n<p>\nA COM vagy DCOM technol\u00f3gi\u00e1k haszn\u00e1lata k\u00f3d v\u00e9grehajt\u00e1s\u00e1ra helyi vagy t\u00e1voli rendszereken a h\u00e1l\u00f3zaton val\u00f3 el\u0151rehalad\u00e1s sor\u00e1n.<\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: \u00e9rz\u00e9keli a gyan\u00fas DCOM-h\u00edv\u00e1sokat, amelyeket a t\u00e1mad\u00f3k \u00e1ltal\u00e1ban programok ind\u00edt\u00e1s\u00e1hoz haszn\u00e1lnak. <\/p>\n<h3>4. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1203\/\">T1203<\/a><\/noindex>: kif exploit\u00e1l\u00e1s a kliens v\u00e9grehajt\u00e1s\u00e1hoz <\/h3>\n<p>\nSebezhet\u0151s\u00e9gek kihaszn\u00e1l\u00e1sa tetsz\u0151leges k\u00f3d v\u00e9grehajt\u00e1s\u00e1ra a munka\u00e1llom\u00e1sokon. A t\u00e1mad\u00f3k sz\u00e1m\u00e1ra a leg\u00e9rt\u00e9kesebb exploitok azok, amelyek lehet\u0151v\u00e9 teszik k\u00f3d v\u00e9grehajt\u00e1s\u00e1t a t\u00e1voli rendszerben, mivel ezeken kereszt\u00fcl a t\u00e1mad\u00f3k hozz\u00e1f\u00e9rhetnek az adott rendszerhez. Ez a technika a k\u00f6vetkez\u0151 m\u00f3dszerekkel val\u00f3s\u00edthat\u00f3 meg: k\u00e1rtev\u0151 e-mail k\u00fcld\u00e9s, b\u00f6ng\u00e9sz\u0151k sz\u00e1m\u00e1ra k\u00e9sz\u00fclt exploitokkal rendelkez\u0151 weboldal \u00e9s alkalmaz\u00e1ssebezhet\u0151s\u00e9gek t\u00e1voli kihaszn\u00e1l\u00e1sa. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: A posta forgalm\u00e1nak elemz\u00e9se sor\u00e1n a PT NAD ellen\u0151rzi a csatolt v\u00e9grehajthat\u00f3 f\u00e1jlok jelenl\u00e9t\u00e9t. Automatikusan kiemeli azokat az irodai dokumentumokat az e-mailekb\u0151l, amelyek potenci\u00e1lisan exploitokat tartalmaznak. A sebezhet\u0151s\u00e9gek kihaszn\u00e1l\u00e1s\u00e1ra tett k\u00eds\u00e9rletek l\u00e1that\u00f3ak a forgalomban, amelyeket a PT NAD automatikusan \u00e9szlel.<\/p>\n<h3>5. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1170\">T1170<\/a><\/noindex>: mshta<\/h3>\n<p>\nA mshta.exe seg\u00e9dprogram haszn\u00e1lata, amely Microsoft HTML alkalmaz\u00e1sokat (HTA) futtat .hta kiterjeszt\u00e9ssel. Mivel a mshta megker\u00fcli a b\u00f6ng\u00e9sz\u0151 biztons\u00e1gi be\u00e1ll\u00edt\u00e1sait, a t\u00e1mad\u00f3k felhaszn\u00e1lhatj\u00e1k a mshta.exe-t k\u00e1ros HTA, JavaScript vagy VBScript f\u00e1jlok v\u00e9grehajt\u00e1s\u00e1ra. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: .hta f\u00e1jlok mshta-n kereszt\u00fcli v\u00e9grehajt\u00e1s\u00e1ra a h\u00e1l\u00f3zaton kereszt\u00fcl is tov\u00e1bb\u00edt\u00f3dnak \u2014 ez a forgalomban l\u00e1that\u00f3. A PT NAD automatikusan \u00e9szleli az ilyen k\u00e1ros f\u00e1jlok tov\u00e1bb\u00edt\u00e1s\u00e1t. Ezeket a f\u00e1jlokat \u00e9s az inform\u00e1ci\u00f3ikat a munkamenet k\u00e1rty\u00e1j\u00e1n lehet megtekinteni.<\/p>\n<h3>6. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1086\">T1086<\/a><\/noindex>: PowerShell <\/h3>\n<p>\nPowerShell haszn\u00e1lata inform\u00e1ci\u00f3k keres\u00e9s\u00e9re \u00e9s k\u00e1ros k\u00f3d v\u00e9grehajt\u00e1s\u00e1ra. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: amikor a PowerShell-t a t\u00e1mad\u00f3k t\u00e1volr\u00f3l alkalmazz\u00e1k, a PT NAD ezt szab\u00e1lyok seg\u00edts\u00e9g\u00e9vel \u00e9szleli. A t\u00e1mad\u00f3k \u00e1ltal leggyakrabban haszn\u00e1lt PowerShell kulcsszavakat \u00e9szleli, valamint a PowerShell szkriptek SMB protokollon kereszt\u00fcli tov\u00e1bb\u00edt\u00e1s\u00e1t.<\/p>\n<p>7. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1053\">T1053<\/a><\/noindex>: \u00fctemezett feladat<br \/>\nA Windows feladat\u00fctemez\u0151 \u00e9s m\u00e1s seg\u00e9dprogramok alkalmaz\u00e1sa programok vagy szkriptek automatikus ind\u00edt\u00e1s\u00e1ra meghat\u00e1rozott id\u0151pontokban. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: a t\u00e1mad\u00f3k \u00e1ltal\u00e1ban t\u00e1volr\u00f3l hozz\u00e1k l\u00e9tre az ilyen feladatokat, \u00edgy ezek a munkamenetek l\u00e1that\u00f3ak a forgalomban. A PT NAD automatikusan \u00e9szleli a feladatok l\u00e9trehoz\u00e1s\u00e1val \u00e9s m\u00f3dos\u00edt\u00e1s\u00e1val kapcsolatos gyan\u00fas m\u0171veleteket az ATSVC \u00e9s az ITaskSchedulerService RPC interf\u00e9szek haszn\u00e1lat\u00e1val.<\/p>\n<h3>8. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1064\">T1064<\/a><\/noindex>: szkriptnyelv <\/h3>\n<p>\nSzkriptek v\u00e9grehajt\u00e1sa a t\u00e1mad\u00f3k k\u00fcl\u00f6nf\u00e9le tev\u00e9kenys\u00e9geinek automatiz\u00e1l\u00e1s\u00e1ra. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: a szkriptek h\u00e1l\u00f3zaton t\u00f6rt\u00e9n\u0151 tov\u00e1bb\u00edt\u00e1s\u00e1t \u00e9szleli, azaz m\u00e9g azok v\u00e9grehajt\u00e1sa el\u0151tt. A nyers forgalomban felfedezi a szkriptek tartalm\u00e1t, \u00e9s \u00e9szleli az olyan f\u00e1jlok h\u00e1l\u00f3zaton t\u00f6rt\u00e9n\u0151 tov\u00e1bb\u00edt\u00e1s\u00e1t, amelyek n\u00e9pszer\u0171 szkriptnyelvekhez tartoz\u00f3 kiterjeszt\u00e9ssel b\u00edrnak.<\/p>\n<h3>9. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1035\">T1035<\/a><\/noindex>: szolg\u00e1ltat\u00e1s v\u00e9grehajt\u00e1s<\/h3>\n<p>\nV\u00e9grehajthat\u00f3 f\u00e1jlok, parancssori utas\u00edt\u00e1sok vagy szkriptek ind\u00edt\u00e1sa a Windows szolg\u00e1ltat\u00e1sokkal val\u00f3 interakci\u00f3 r\u00e9v\u00e9n, p\u00e9ld\u00e1ul a Szolg\u00e1ltat\u00e1svez\u00e9rl\u0151- menedzser (Service Control Manager, SCM). <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: a SMB forgalmat ellen\u0151rzi, \u00e9s a szolg\u00e1ltat\u00e1sok l\u00e9trehoz\u00e1s\u00e1ra, m\u00f3dos\u00edt\u00e1s\u00e1ra \u00e9s ind\u00edt\u00e1s\u00e1ra vonatkoz\u00f3 szab\u00e1lyokkal \u00e9szleli a SCM-hez val\u00f3 hozz\u00e1f\u00e9r\u00e9st. <\/p>\n<p>A szolg\u00e1ltat\u00e1sok ind\u00edt\u00e1s\u00e1nak technik\u00e1ja megval\u00f3s\u00edthat\u00f3 a PSExec t\u00e1voli parancs- v\u00e9grehajt\u00f3 eszk\u00f6z seg\u00edts\u00e9g\u00e9vel. A PT NAD elemzi az SMB protokollt \u00e9s \u00e9szleli a PSExec alkalmaz\u00e1s\u00e1t, amikor a PSEXESVC.exe f\u00e1jlt vagy a PSEXECSVC szolg\u00e1ltat\u00e1s szabv\u00e1nyos nev\u00e9t haszn\u00e1lva k\u00f3dot futtat t\u00e1voli g\u00e9pen. A felhaszn\u00e1l\u00f3nak ellen\u0151riznie kell a v\u00e9grehajtott parancsok list\u00e1j\u00e1t \u00e9s a t\u00e1voli parancsok v\u00e9grehajt\u00e1s\u00e1nak \u00e9rv\u00e9nyess\u00e9g\u00e9t az eszk\u00f6z\u00f6n. <\/p>\n<blockquote><p>A PT NAD t\u00e1mad\u00e1si k\u00e1rty\u00e1j\u00e1n az ATT&amp;CK m\u00e1trix alapj\u00e1n az alkalmazott taktik\u00e1kr\u00f3l \u00e9s technik\u00e1kr\u00f3l sz\u00e1rmaz\u00f3 adatokat jelen\u00edtenek meg, hogy a felhaszn\u00e1l\u00f3 meg\u00e9rtse, a t\u00e1mad\u00f3k melyik f\u00e1zisban vannak, milyen c\u00e9lokat k\u00f6vetnek, \u00e9s milyen kompenz\u00e1l\u00f3 int\u00e9zked\u00e9seket tehet. <\/p><\/blockquote>\n<p>\n<img decoding=\"async\" alt=\"How traffic analysis systems detect hacker tactics according to MITRE ATT&amp;CK using PT Network Attack Discovery as an example\" src=\"\/wp-content\/uploads\/2020\/03\/cef63cd458947bf4b4a7735a44362f30.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<i>A PSExec haszn\u00e1lat\u00e1val kapcsolatos szab\u00e1lykiv\u00e1lt\u00e1s, ami jelezheti a parancsok v\u00e9grehajt\u00e1s\u00e1nak k\u00eds\u00e9rlet\u00e9t t\u00e1voli g\u00e9pen.<\/i><\/p>\n<h3>10. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1072\/\">T1072<\/a><\/noindex>: harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 szoftver<\/h3>\n<p>\nAz a technika, amikor a t\u00e1mad\u00f3k hozz\u00e1f\u00e9r\u00e9st szereznek t\u00e1voli adminisztr\u00e1ci\u00f3s szoftverhez vagy v\u00e1llalati telep\u00edt\u00e9si rendszerhez \u00e9s ezek seg\u00edts\u00e9g\u00e9vel rosszindulat\u00fa k\u00f3dot ind\u00edtanak. Ilyen szoftver p\u00e9ld\u00e1ul: SCCM, VNC, TeamViewer, HBSS, Altiris. <br \/>\nB\u00e1r a technika k\u00fcl\u00f6n\u00f6sen aktu\u00e1lis a t\u00e1voli munkav\u00e9gz\u00e9s elterjed\u00e9s\u00e9vel, \u00e9s ennek k\u00f6vetkezt\u00e9ben sok milli\u00f3 otthoni v\u00e9dtelen eszk\u00f6z csatlakoz\u00e1sa k\u00e9tes t\u00e1voli hozz\u00e1f\u00e9r\u00e9si csatorn\u00e1kon.<\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: automatikusan \u00e9szleli az ilyen szoftver m\u0171k\u00f6d\u00e9s\u00e9t a h\u00e1l\u00f3zatban. P\u00e9ld\u00e1ul a szab\u00e1lyok aktiv\u00e1l\u00f3dnak a VNC protokollon kereszt\u00fcli kapcsol\u00f3d\u00e1sok \u00e9s az EvilVNC tr\u00f3jai aktivit\u00e1sa eset\u00e9n, amely diszkr\u00e9ten telep\u00edti a VNC-szervert az \u00e1ldozat g\u00e9p\u00e9re, \u00e9s automatikusan elind\u00edtja azt. A PT NAD automatikusan azonos\u00edtja a TeamViewer protokollt, ami seg\u00edti az elemz\u0151t, hogy a sz\u0171r\u0151 seg\u00edts\u00e9g\u00e9vel megtal\u00e1lja az \u00f6sszes ilyen munkamenetet \u00e9s ellen\u0151rizze azok \u00e9rv\u00e9nyess\u00e9g\u00e9t.<\/p>\n<h3>11. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1204\/\">T1204<\/a><\/noindex>: felhaszn\u00e1l\u00f3i v\u00e9grehajt\u00e1s<\/h3>\n<p>\nAz a technika, amikor a felhaszn\u00e1l\u00f3 olyan f\u00e1jlokat ind\u00edt el, amelyek k\u00f3d v\u00e9grehajt\u00e1s\u00e1hoz vezethetnek. P\u00e9ld\u00e1ul, ha megnyit egy v\u00e9grehajthat\u00f3 f\u00e1jlt, vagy futtat egy irodai dokumentumot makr\u00f3val.<\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: ezek a f\u00e1jlok m\u00e1r a tov\u00e1bb\u00edt\u00e1s sor\u00e1n l\u00e1that\u00f3k, m\u00e9g az ind\u00edt\u00e1suk el\u0151tt. Az inform\u00e1ci\u00f3kat a munkamenetek k\u00e1rty\u00e1j\u00e1n lehet megtekinteni, amelyekben ezek \u00e1tad\u00e1sra ker\u00fcltek.<\/p>\n<h3>12. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1047\">T1047<\/a><\/noindex>: Windows Management Instrumentation<\/h3>\n<p>\nA WMI tool is used to provide local and remote access to Windows system components. With WMI, attackers can interact with local and remote systems and perform various tasks, such as gathering information for reconnaissance and remotely launching processes during lateral movement.<\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: Since interactions with remote systems via WMI are visible in the traffic, PT NAD automatically detects network requests to establish WMI sessions and checks traffic for scripts that use WMI.<\/p>\n<h3>13. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1028\">T1028<\/a><\/noindex>: Windows Remote Management <\/h3>\n<p>\nUsing the Windows service and protocol that allows users to interact with remote systems. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: identifies network connections established via Windows Remote Management. Such sessions are detected automatically by rules. <\/p>\n<h3>14. <noindex><a rel=\"nofollow\" href=\"https:\/\/attack.mitre.org\/techniques\/T1220\/\">T1220<\/a><\/noindex>: XSL (Extensible Stylesheet Language) script processing<\/h3>\n<p>\nThe XSL markup language is used to describe the processing and visualization of data in XML files. To support complex operations, the standard XSL includes support for embedded scripts in various languages. These languages allow the execution of arbitrary code, which leads to bypassing security policies based on whitelists. <\/p>\n<p><b>Mit csin\u00e1l a PT NAD<\/b>: detects instances of transferring such files over the network, meaning even before they are executed. It automatically detects the fact of transferring XSL files and files with abnormal XSL markup over the network.<\/p>\n<p>In the following materials, we will explore how the NTA system PT Network Attack Discovery identifies other tactics and techniques used by attackers according to MITRE ATT&amp;CK. Stay tuned!<\/p>\n<p><b>Authors<\/b>: <\/p>\n<ul>\n<li>Anton Kutepev, expert of the security center (PT Expert Security Center) Positive Technologies<\/li>\n<li>Natalia Kazankova, product marketer at Positive Technologies<\/li>\n<\/ul>\n<p>Forr\u00e1s: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/pt\/blog\/493082\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0421\u043e\u0433\u043b\u0430\u0441\u043d\u043e Verizon, \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u043e (87%) \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u043e\u0432 \u0418\u0411 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u044f\u0442 \u0437\u0430 \u0441\u0447\u0438\u0442\u0430\u043d\u043d\u044b\u0435 \u043c\u0438\u043d\u0443\u0442\u044b, \u0430 \u043d\u0430 \u0438\u0445 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0443 68% \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0439 \u0443\u0445\u043e\u0434\u044f\u0442 \u043c\u0435\u0441\u044f\u0446\u044b. \u042d\u0442\u043e \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435\u043c Ponemon Institute, \u0441\u043e\u0433\u043b\u0430\u0441\u043d\u043e \u043a\u043e\u0442\u043e\u0440\u043e\u043c\u0443 \u0443 \u0431\u043e\u043b\u044c\u0448\u0438\u043d\u0441\u0442\u0432\u0430 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0439 \u0443\u0445\u043e\u0434\u0438\u0442 \u0432 \u0441\u0440\u0435\u0434\u043d\u0435\u043c 206 \u0434\u043d\u0435\u0439 \u043d\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430. \u041f\u043e \u043e\u043f\u044b\u0442\u0443 \u043d\u0430\u0448\u0438\u0445 \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0439, \u0445\u0430\u043a\u0435\u0440\u044b \u043c\u043e\u0433\u0443\u0442 \u0433\u043e\u0434\u0430\u043c\u0438 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0443 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 \u0438 \u043d\u0435 \u0431\u044b\u0442\u044c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c\u0438. \u0422\u0430\u043a, \u0432 \u043e\u0434\u043d\u043e\u0439 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":76040,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-76039","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"hu_HU\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041a\u0430\u043a \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u044e\u0442 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0445\u0430\u043a\u0435\u0440\u043e\u0432 \u043f\u043e MITRE ATT&amp;CK \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 PT Network Attack Discovery | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-03-30T11:43:09+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-03-30T11:43:09+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47How traffic analysis systems detect hacker tactics according to MITRE ATT&amp;CK using PT Network Attack Discovery as an example | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0432\u0430\u044e\u0442 \u0442\u0430\u043a\u0442\u0438\u043a\u0438 \u0445\u0430\u043a\u0435\u0440\u043e\u0432 \u043f\u043e MITRE ATT&amp;CK \u043d\u0430 \u043f\u0440\u0438\u043c\u0435\u0440\u0435 PT Network Attack Discovery | ProHoster","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-03-30T11:43:09+00:00","article:modified_time":"2020-03-30T11:43:09+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"76039","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 17:44:27","updated":"2022-09-27 21:17:46","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/76039","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=76039"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/76039\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/76040"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=76039"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=76039"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=76039"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}