, la maggior parte (87%) degli incidenti di sicurezza informatica si verifica in pochi minuti, mentre il 68% delle aziende impiega mesi per rilevarli. Questo è confermato anche da , secondo la quale la maggior parte delle organizzazioni impiega in media 206 giorni per rilevare un incidente. Dall'esperienza delle nostre indagini, gli hacker possono controllare l'infrastruttura di un'azienda per anni senza essere scoperti. Ad esempio, in una delle organizzazioni in cui i nostri esperti hanno condotto un'indagine su un incidente di sicurezza informatica, è emerso che gli hacker avevano completamente controllato l'intera infrastruttura dell'organizzazione e rubavano regolarmente informazioni importanti .
Supponiamo che abbiate già in funzione un SIEM che raccoglie i log e analizza gli eventi, e che siano installati antivirus sui terminali. Tuttavia, , così come non è possibile implementare sistemi EDR su tutta la rete, quindi le zone «cieche» non possono essere evitate. A gestirle aiutano i sistemi di analisi del traffico di rete (network traffic analysis, NTA). Queste soluzioni rilevano l'attività degli aggressori nelle fasi più precoci di infiltrazione nella rete, così come durante i tentativi di consolidarsi e sviluppare un attacco all'interno della rete.
Esistono due tipologie di NTA: alcuni lavorano con NetFlow, altri analizzano il traffico grezzo. Il vantaggio di questi ultimi sistemi è che possono conservare le registrazioni del traffico grezzo. Grazie a ciò, uno specialista in sicurezza informatica può verificare l'efficacia dell'attacco, localizzare la minaccia, capire come è avvenuto l'attacco e come prevenirne uno simile in futuro.
Mostreremo come con l'uso delle NTA sia possibile identificare, attraverso indizi diretti o indiretti, tutte le tattiche di attacco conosciute, descritte nella base di conoscenze . Parleremo di ciascuna delle 12 tattiche, analizzeremo le tecniche rilevabili dal traffico e dimostreremo la loro rilevazione tramite il nostro sistema NTA.
Sulla base di conoscenze ATT&CK
MITRE ATT&CK — è una base di conoscenze pubblica, sviluppata e mantenuta da MITRE, basata sull'analisi di reali minacce APT. Si tratta di un insieme strutturato di tattiche e tecniche utilizzate dagli aggressori. Questo consente agli esperti di sicurezza informatica di tutto il mondo di comunicare in modo uniforme. La base viene costantemente ampliata e arricchita con nuove informazioni.
Nella base sono identificate 12 tattiche, suddivise per fasi di attacco informatico:
- accesso iniziale (initial access);
- esecuzione (execution);
- persistenza (persistence);
- elevazione dei privilegi (privilege escalation);
- evitare la rilevazione (defense evasion);
- accesso alle credenziali (credential access);
- scoperta (discovery);
- movimento laterale (lateral movement);
- raccolta dati (collection);
- comando e controllo (command and control);
- esfiltrazione dei dati (exfiltration);
- impatto (impact).
Per ciascuna tattica nella base di conoscenze ATT&CK è presente un elenco di tecniche che aiutano gli aggressori a raggiungere i loro obiettivi in ciascuna fase dell'attacco. Poiché una stessa tecnica può essere utilizzata in fasi diverse, può riferirsi a più tattiche.
La descrizione di ogni tecnica include:
- identificativo;
- elenco delle tattiche in cui viene applicata;
- esempi di utilizzo da parte dei gruppi APT;
- misure per ridurre i danni derivanti dal suo utilizzo;
- raccomandazioni per la rilevazione.
Gli esperti di sicurezza informatica possono utilizzare le conoscenze della base per organizzare le informazioni sui metodi di attacco attuali e, tenendo conto di questo, costruire un sistema di sicurezza efficace. Comprendere come operano i veri gruppi APT può anche fornire ipotesi per la ricerca proattiva di minacce nel contesto di .
Riguardo a PT Network Attack Discovery
Identificheremo l'uso delle tecniche della matrice ATT&CK attraverso il sistema — il sistema NTA di Positive Technologies, progettato per rilevare attacchi al perimetro e all'interno della rete. PT NAD copre in diversa misura tutte le 12 tattiche della matrice MITRE ATT&CK. È particolarmente efficace nel rilevare tecniche di accesso iniziale (initial access), movimento laterale (lateral movement) e comando e controllo (command and control). In questi ambiti, PT NAD copre oltre la metà delle tecniche conosciute, individuando il loro utilizzo attraverso segnali diretti o indiretti.
Il sistema rileva attacchi utilizzando tecniche ATT&CK attraverso regole di rilevamento create dal team (PT ESC), machine learning, indicatori di compromissione, analisi approfondita e analisi retrospettiva. L'analisi del traffico in tempo reale combinata con la retrospettiva permette di identificare l'attività malevola attuale e monitorare gli vettori di sviluppo e la cronologia degli attacchi.
mappatura completa di PT NAD sulla matrice MITRE ATT&CK. Il quadro è ampio, quindi vi proponiamo di esaminarlo in una finestra separata.
Accesso iniziale (initial access)
La tattica per ottenere l'accesso iniziale include tecniche per infiltrarsi nella rete aziendale. L'obiettivo degli attaccanti in questa fase è consegnare codice malevolo nel sistema bersaglio e garantire la possibilità del suo ulteriore esecuzione.
L'analisi del traffico con PT NAD consente di identificare sette tecniche per ottenere l'accesso iniziale:
1. : compromesso drive-by
Tecnica in cui la vittima apre un sito web utilizzato dagli attaccanti per sfruttare il browser, ottenendo token di accesso all'applicazione.
Cosa fa PT NAD: se il traffico web non è criptato, PT NAD ispeziona il contenuto delle risposte dei server HTTP. È proprio in queste risposte che si trovano gli exploit che consentono agli attaccanti di eseguire codice arbitrario all'interno del browser. PT NAD rileva automaticamente tali exploit utilizzando le regole di rilevamento.
Inoltre, PT NAD rileva la minaccia nella fase precedente. Le regole e gli indicatori di compromissione scattano se l'utente ha visitato un sito che lo ha reindirizzato a un sito contenente un insieme di exploit.
2. : exploit di applicazioni esposte al pubblico
Sfruttamento delle vulnerabilità nei servizi accessibili tramite internet.
Cosa fa PT NAD: esegue un'ispezione profonda del contenuto dei pacchetti di rete, rilevando segni di attività anomala. In particolare, ci sono regole che permettono di rilevare attacchi contro i principali sistemi di gestione dei contenuti (CMS), interfacce web di dispositivi di rete, attacchi ai server di posta e FTP.
3. : servizi remoti esterni
Utilizzo da parte degli attaccanti di servizi di accesso remoto per connettersi alle risorse della rete interna dall'esterno.
Cosa fa PT NAD: poiché il sistema riconosce i protocolli non tramite i numeri di porta, ma analizzando il contenuto dei pacchetti, gli utenti possono filtrare il traffico per trovare tutte le sessioni dei protocolli di accesso remoto e verificarne la legittimità.
4. : allegato di spearphishing
Si tratta dei famigerati invii di allegati di phishing.
Cosa fa PT NAD: estrae automaticamente i file dal traffico e li verifica tramite indicatori di compromissione. I file eseguibili negli allegati vengono identificati da regole che analizzano il contenuto del traffico email. In un ambiente aziendale, tale allegato è considerato anomalo.
5. : link di spearphishing
Utilizzo di link di phishing. La tecnica prevede che i malintenzionati inviino un'email di phishing con un link, cliccando sul quale si scarica un malware. Di solito, il link è accompagnato da un testo scritto secondo le regole dell'ingegneria sociale.
Cosa fa PT NAD: identifica i link di phishing utilizzando indicatori di compromissione. Ad esempio, nell'interfaccia di PT NAD vediamo una sessione in cui è stata stabilita una connessione HTTP tramite un link presente nell'elenco degli indirizzi di phishing (phishing-urls).
Connessione tramite link dalla lista degli indicatori di compromissione phishing-urls
6. : relazione di fiducia
Accesso alla rete della vittima tramite terze parti con cui la vittima ha stabilito relazioni di fiducia. Gli aggressori possono compromettere un'organizzazione fidata e connettersi tramite essa alla rete target. Per questo utilizzano connessioni VPN o relazioni di fiducia tra domini, che possono essere rilevate tramite l'analisi del traffico.
Cosa fa PT NAD: analizza protocolli applicativi e memorizza i campi analizzati in un database, consentendo all'analista di sicurezza informatica di trovare nel database tutte le connessioni VPN sospette o le connessioni cross-domain utilizzando filtri.
7. : account validi
Utilizzo di credenziali standard, locali o di dominio per l'autenticazione su servizi esterni e interni.
Cosa fa PT NAD: estrae automaticamente le credenziali dai protocolli HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos. In generale, si tratta di login, password e segnale di successo dell'autenticazione. Se sono state utilizzate, vengono visualizzate nella rispettiva scheda di sessione.
Esecuzione
La tattica di Esecuzione comprende le tecniche che gli aggressori utilizzano per eseguire codice in sistemi compromessi. L'esecuzione di codice malevolo consente agli attaccanti di stabilire una presenza (tattica della persistenza) e di espandere l'accesso a sistemi remoti in rete, muovendosi all'interno del perimetro.
PT NAD consente di identificare l'uso da parte degli aggressori di 14 tecniche impiegate per l'esecuzione di codice malevolo.
1. : CMSTP (Microsoft Connection Manager Profile Installer)
Una tattica in cui gli aggressori preparano un file INF di installazione malevolo specifico per l'utilità integrata di Windows CMSTP.exe (installatore di profili del gestore delle connessioni). CMSTP.exe accetta il file come parametro e installa un profilo di servizio per la connessione remota. Di conseguenza, CMSTP.exe può essere utilizzato per caricare ed eseguire librerie collegate dinamicamente (*.dll) o scriptlet (*.sct) da server remoti.
Cosa fa PT NAD: rileva automaticamente nel traffico HTTP la trasmissione di file INF di tipo speciale. Oltre a ciò, rileva la trasmissione tramite il protocollo HTTP di scriptlet malevoli e librerie collegate dinamicamente da un server remoto.
2. : interfaccia a riga di comando
Interazione con l'interfaccia a riga di comando. È possibile interagire con l'interfaccia a riga di comando localmente o da remoto, ad esempio tramite strumenti di accesso remoto.
Cosa fa PT NAD: rileva automaticamente la presenza di shell in base alle risposte ai comandi di avvio di vari strumenti da riga di comando, come ping, ifconfig.
3. : modello a oggetti componenti e COM distribuito
Utilizzo delle tecnologie COM o DCOM per eseguire codice su sistemi locali o remoti durante la propagazione nella rete.
Cosa fa PT NAD: rileva chiamate DCOM sospette, comunemente utilizzate dai malintenzionati per avviare programmi.
4. : sfruttamento per l'esecuzione client
Sfruttamento delle vulnerabilità per eseguire codice arbitrario su una workstation. Gli exploit più utili per gli attaccanti sono quelli che consentono di eseguire codice in un sistema remoto, poiché consentono ai malintenzionati di accedere a tale sistema. Questa tecnica può essere implementata attraverso i seguenti metodi: invii di posta dannosi, siti web con exploit per browser e sfruttamento remoto delle vulnerabilità delle applicazioni.
Cosa fa PT NAD: durante l'analisi del traffico di posta, il PT NAD verifica la presenza di file eseguibili negli allegati. Estrae automaticamente documenti Office da email che possono contenere exploit. I tentativi di sfruttamento delle vulnerabilità sono visibili nel traffico, che il PT NAD rileva automaticamente.
5. : mshta
Uso dell'utilità mshta.exe, che esegue applicazioni Microsoft HTML (HTA) con estensione .hta. Poiché mshta elabora i file bypassando le impostazioni di sicurezza del browser, gli attaccanti possono utilizzare mshta.exe per eseguire file HTA, JavaScript o VBScript dannosi.
Cosa fa PT NAD: i file .hta destinati all'esecuzione tramite mshta vengono trasmessi anche attraverso la rete, come evidenziato nel traffico. Il PT NAD rileva automaticamente la trasmissione di tali file dannosi. I file vengono catturati, e le informazioni su di essi sono disponibili nella scheda di sessione.
6. : PowerShell
Uso di PowerShell per cercare informazioni ed eseguire codice dannoso.
Cosa fa PT NAD: quando PowerShell è utilizzato dagli attaccanti in remoto, il PT NAD lo rileva mediante regole. Rileva parole chiave del linguaggio PowerShell che vengono comunemente utilizzate negli script dannosi e la trasmissione di script PowerShell tramite il protocollo SMB.
7. : attività pianificata
Utilizzo dello scheduler di Windows e altre utility per l'avvio automatico di programmi o script a un'ora prestabilita.
Cosa fa PT NAD: gli attaccanti creano tali attività, di solito in remoto, il che significa che tali sessioni sono visibili nel traffico. PT NAD rileva automaticamente operazioni sospette di creazione e modifica di attività utilizzando le interfacce RPC ATSVC e ITaskSchedulerService.
8. : scripting
Esecuzione di script per automatizzare varie azioni degli attaccanti.
Cosa fa PT NAD: rileva il trasferimento di script attraverso la rete, ovvero prima della loro esecuzione. Identifica il contenuto degli script nel traffico grezzo e rileva la trasmissione di file con estensioni corrispondenti ai linguaggi di scripting popolari.
9. : esecuzione di servizi
Avvio di file eseguibili, istruzioni dell'interfaccia della riga di comando o script tramite l'interazione con i servizi di Windows, ad esempio con il gestore di controllo dei servizi (Service Control Manager, SCM).
Cosa fa PT NAD: ispeziona il traffico SMB e rileva l'accesso a SCM con regole per la creazione, modifica e avvio del servizio.
La tecnica per avviare i servizi può essere realizzata attraverso l'utilizzo dello strumento per l'esecuzione remota dei comandi PSExec. PT NAD analizza il protocollo SMB e rileva l'uso di PSExec quando impiega il file PSEXESVC.exe o il nome di servizio standard PSEXECSVC per eseguire codice su una macchina remota. L'utente deve controllare l'elenco dei comandi eseguiti e la legittimità dell'esecuzione remota dei comandi dall'host.
Nella scheda dell'attacco in PT NAD vengono visualizzati i dati sulle tattiche e tecniche utilizzate secondo la matrice ATT&CK, affinché l'utente possa comprendere a quale fase dell'attacco si trovano gli aggressori, quali obiettivi perseguono e quali contromisure adottare.
Attivazione della regola sull'uso dello strumento PSExec, che può indicare un tentativo di eseguire comandi su una macchina remota.
10. : software di terze parti
Tecnica in cui gli aggressori accedono a software per l'amministrazione remota o a sistemi aziendali per la distribuzione del software e utilizzano tali strumenti per lanciare codice dannoso. Esempi di questo tipo di software: SCCM, VNC, TeamViewer, HBSS, Altiris.
Tra l'altro, questa tecnologia è particolarmente rilevante a causa del massiccio passaggio al lavoro da remoto e, di conseguenza, della connessione di numerosi dispositivi domestici non protetti tramite canali di accesso remoto sospetti.
Cosa fa PT NAD: identifica automaticamente nella rete il funzionamento di tale software. Ad esempio, le regole si attivano nel caso di connessioni tramite il protocollo VNC e l'attività del trojan EvilVNC, che installa silenziosamente un server VNC sul computer della vittima e lo avvia automaticamente. Inoltre, PT NAD identifica automaticamente il protocollo TeamViewer, il che assiste l'analista nel trovare tutte queste sessioni tramite il filtro e verificarne la legittimità.
11. : esecuzione dell'utente
Tecnica in cui l'utente avvia file che possono portare all'esecuzione di codice. Questo può avvenire, ad esempio, aprendo un file eseguibile o avviando un documento di Office con macro.
Cosa fa PT NAD: rileva tali file già nella fase di trasferimento, prima che vengano avviati. Le informazioni su di essi possono essere esaminate nella scheda delle sessioni in cui sono stati trasferiti.
12. : Windows Management Instrumentation
L'uso dello strumento WMI consente l'accesso locale e remoto ai componenti di sistema Windows. Con WMI, gli attaccanti possono interagire con sistemi locali e remoti per eseguire diverse operazioni, come raccogliere informazioni per scopi di intelligence e avviare processi a distanza durante il movimento laterale.
Cosa fa PT NAD: poiché le interazioni con i sistemi remoti tramite WMI sono visibili nel traffico, PT NAD rileva automaticamente le richieste di rete per stabilire sessioni WMI e controlla il traffico per la trasmissione di script che utilizzano WMI.
13. : Windows Remote Management
Utilizzo di un servizio e protocollo Windows che consente agli utenti di interagire con sistemi remoti.
Cosa fa PT NAD: rileva le connessioni di rete stabilite tramite Windows Remote Management. Tali sessioni vengono automaticamente rilevate da regole.
14. : elaborazione di script XSL (Extensible Stylesheet Language)
Il linguaggio di markup degli stili XSL viene utilizzato per descrivere l'elaborazione e la visualizzazione dei dati nei file XML. Per supportare operazioni complesse, lo standard XSL include il supporto per script integrati in diversi linguaggi. Questi linguaggi consentono di eseguire codice arbitrario, portando a elusioni delle politiche di sicurezza basate su whitelist.
Cosa fa PT NADrileva i fatti di trasferimento di tali file sulla rete, ovvero prima della loro esecuzione. Scopre automaticamente il trasferimento di file XSL sulla rete e file con markup XSL anomalo.
Nei materiali seguenti, esploreremo come il sistema NTA PT Network Attack Discovery trova altre tattiche e tecniche degli aggressori secondo MITRE ATT&CK. Rimanete sintonizzati!
Autori:
- Anton Kutepev, esperto del centro sicurezza (PT Expert Security Center) di Positive Technologies
- Natalia Kazankova, marketing manager di prodotto di Positive Technologies
Fonte: habr.com
