, la maggior parte (87%) degli incidenti di sicurezza informatica si verifica in pochi minuti, mentre il 68% delle aziende impiega mesi per rilevarli. Questo è confermato anche da , secondo il quale la maggior parte delle organizzazioni impiega in media 206 giorni per rilevare un incidente. Dalla nostra esperienza nelle indagini, gli hacker possono controllare l'infrastruttura di un'azienda per anni senza essere scoperti. Ad esempio, in una delle organizzazioni in cui i nostri esperti hanno condotto un'indagine su un incidente di sicurezza informatica, è emerso che gli hacker controllavano completamente l'intera infrastruttura dell'organizzazione e rubavano regolarmente informazioni importanti .
Supponiamo che disponiate già di un SIEM che raccoglie i log e analizza gli eventi, e che siano installati antivirus sui terminali. Tuttavia, , così come non è possibile implementare sistemi EDR in tutta la rete, il che significa che le "zone cieche" sono inevitabili. A gestirle aiutano i sistemi di analisi del traffico di rete (network traffic analysis, NTA). Queste soluzioni rivelano l'attività degli aggressori nelle fasi più precoci di infiltrazione nella rete, nonché durante i tentativi di stabilirsi e sviluppare un attacco all'interno della rete.
Le NTA sono di due tipi: alcune lavorano con NetFlow, altre analizzano il traffico grezzo. Il vantaggio di questi ultimi sistemi è che possono memorizzare le registrazioni del traffico grezzo. Grazie a ciò, un esperto di sicurezza informatica può controllare il successo di un attacco, localizzare la minaccia, capire come è avvenuto l'attacco e come prevenirne uno simile in futuro.
Mostreremo come, grazie alle NTA, si possano identificare tutte le tecniche di attacco note, descritte nella base di conoscenze . Parleremo di ciascuna delle 12 tecniche, analizzeremo le tecniche che possono essere rilevate dal traffico e mostreremo la loro identificazione tramite il nostro sistema NTA.
Sulla base di conoscenze ATT&CK
MITRE ATT&CK è una base di conoscenze pubblica, sviluppata e mantenuta da MITRE, basata sull'analisi di APT reali. Rappresenta un insieme strutturato di tattiche e tecniche utilizzate da attaccanti. Ciò consente agli esperti di sicurezza informatica di tutto il mondo di comunicare in modo uniforme. La base viene costantemente ampliata e arricchita con nuove informazioni.
Nella base sono evidenziate 12 tattiche, suddivise in fasi di attacco informatico:
- accesso iniziale (initial access);
- esecuzione (execution);
- persistenza (persistence);
- elevazione dei privilegi (privilege escalation);
- prevenzione della rilevazione (defense evasion);
- accesso alle credenziali (credential access);
- scoperta (discovery);
- movimento laterale (lateral movement);
- raccolta dati (collection);
- comando e controllo (command and control);
- esfiltrazione dei dati (exfiltration);
- impatto (impact).
Per ogni tattica nella base di conoscenza ATT&CK è presente un elenco di tecniche che aiutano gli aggressori a raggiungere il loro obiettivo nella fase corrente dell'attacco. Poiché la stessa tecnica può essere utilizzata in diverse fasi, essa può riferirsi a più tattiche.
La descrizione di ciascuna tecnica comprende:
- identificatore;
- elenco di tattiche in cui viene applicata;
- esempi di utilizzo da parte di gruppi APT;
- misure per ridurre i danni derivanti dal suo utilizzo;
- raccomandazioni per la rilevazione.
Gli esperti di sicurezza informatica possono utilizzare le conoscenze della base per strutturare informazioni sui metodi di attacco attuali e costruire un sistema di sicurezza efficace in base a questo. Comprendere come operano i veri gruppi APT può anche fornire ipotesi per la ricerca proattiva delle minacce nelle attività di .
Scoperta degli attacchi alla rete PT
Identificheremo l'applicazione delle tecniche dalla matrice ATT&CK attraverso il sistema — il sistema NTA di Positive Technologies, progettato per rilevare attacchi al perimetro e all'interno della rete. PT NAD copre in modo diverso tutte le 12 tattiche della matrice MITRE ATT&CK. È particolarmente efficace nell'identificazione delle tecniche di accesso iniziale (initial access), movimento laterale (lateral movement) e comando e controllo (command and control). In queste aree, PT NAD copre oltre la metà delle tecniche note, rilevando la loro applicazione attraverso indicatori diretti o indiretti.
Il sistema rileva attacchi utilizzando tecniche ATT&CK grazie a regole di rilevazione sviluppate dal team (PT ESC), apprendimento automatico, indicatori di compromissione, analisi approfondita e analisi retrospettiva. L'analisi del traffico in tempo reale, combinata con l'analisi retrospettiva, consente di identificare la corrente attività malevola nascosta e monitorare i vettori di sviluppo e la cronologia degli attacchi.
la mappatura completa di PT NAD sulla matrice MITRE ATT&CK. La panoramica è ampia, quindi ti invitiamo a esaminarla in una finestra separata.
Accesso iniziale (initial access)
La tattica per ottenere accesso iniziale comprende tecniche per infiltrarsi nella rete aziendale. L'obiettivo degli aggressori in questa fase è quello di introdurre codice dannoso nel sistema attaccato e garantire la sua esecuzione successiva.
L'analisi del traffico con PT NAD consente di identificare sette tecniche per ottenere accesso iniziale:
1. : compromissione drive-by
Tecnica in cui la vittima apre un sito web utilizzato dagli aggressori per compromettere il browser, ottenendo token di accesso all'applicazione.
Cosa fa PT NAD: se il traffico web non è crittografato, PT NAD ispeziona il contenuto delle risposte dei server HTTP. È in queste risposte che si trovano gli exploit che consentono agli aggressori di eseguire codice arbitrario all'interno del browser. PT NAD identifica automaticamente tali exploit utilizzando regole di rilevamento.
Inoltre, PT NAD rileva la minaccia nella fase precedente. Le regole e gli indicatori di compromissione scattano se l'utente visita un sito che lo reindirizza a un sito con un insieme di exploit.
2. : exploit di applicazioni esposte al pubblico
Sfruttamento delle vulnerabilità nei servizi accessibili da Internet.
Cosa fa PT NAD: esegue un'ispezione approfondita del contenuto dei pacchetti di rete, identificando segni di attività anomala. In particolare, ci sono regole che permettono di rilevare attacchi ai principali sistemi di gestione dei contenuti (content management system, CMS), interfacce web di attrezzature di rete, attacchi a server di posta e FTP.
3. : servizi remoti esterni
Utilizzo da parte degli aggressori di servizi di accesso remoto per connettersi alle risorse della rete interna dall'esterno.
Cosa fa PT NAD: poiché il sistema riconosce i protocolli non in base ai numeri di porta ma al contenuto dei pacchetti, gli utenti del sistema possono filtrare il traffico in modo da trovare tutte le sessioni dei protocolli di accesso remoto e verificarne la legittimità.
4. : allegato di spearphishing
Si tratta dei famosi invii di allegati di phishing.
Cosa fa PT NAD: estrae automaticamente file dal traffico e li verifica in base agli indicatori di compromissione. I file eseguibili negli allegati vengono identificati da regole che analizzano il contenuto del traffico email. In un ambiente aziendale, tale allegato è considerato anomalo.
5. : link di spearphishing
Utilizzo di link di phishing. La tecnica implica l'invio da parte di malintenzionati di una email di phishing con un link, su cui cliccando si scarica un programma dannoso. Di solito, il link è accompagnato da un testo redatto secondo tutte le regole della social engineering.
Cosa fa PT NAD: identifica i link di phishing tramite indicatori di compromissione. Ad esempio, nell'interfaccia PT NAD vediamo una sessione in cui c'era una connessione HTTP attraverso un link inserito nella lista degli indirizzi di phishing (phishing-urls).
Connessione tramite link della lista di indicatori di compromissione phishing-urls
6. : relazione di fiducia
Accesso alla rete della vittima tramite terze parti con cui la vittima ha rapporti fiduciari. I malintenzionati possono hackerare un'organizzazione fidata e connettersi attraverso di essa alla rete target. Per questo usano connessioni VPN o relazioni di fiducia tra domini, che possono essere individuate mediante l'analisi del traffico.
Cosa fa PT NAD: analizza i protocolli applicativi e conserva i campi analizzati in un database, grazie al quale l'analista di sicurezza informatica può trovare nel database tutte le connessioni VPN sospette o le connessioni cross-domain utilizzando filtri.
7. : account validi
Utilizzo di credenziali standard, locali o di dominio per l'autenticazione su servizi esterni e interni.
Cosa fa PT NAD: estrae automaticamente le credenziali dai protocolli HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos. In generale, queste sono username, password e indicazione di successo dell'autenticazione. Se sono state utilizzate, verranno visualizzate nella scheda della sessione corrispondente.
Esecuzione (execution)
Nella tattica di Esecuzione rientrano le tecniche che i malintenzionati utilizzano per eseguire codice nei sistemi compromessi. L'esecuzione di codice dannoso aiuta gli attaccanti a consolidare la presenza (tattica di persistenza) e ad ampliare l'accesso ai sistemi remoti nella rete, muovendosi all'interno del perimetro.
PT NAD consente di identificare l'applicazione da parte dei malintenzionati di 14 tecniche utilizzate per l'esecuzione di codice dannoso.
1. : CMSTP (Microsoft Connection Manager Profile Installer)
Una tattica in cui gli attaccanti preparano un file INF dannoso specifico per l'utilità CMSTP.exe integrata in Windows (installatore dei profili del gestore delle connessioni). CMSTP.exe accetta il file come parametro e installa il profilo del servizio per la connessione remota. Di conseguenza, CMSTP.exe può essere utilizzato per caricare ed eseguire librerie dinamicamente collegate (*.dll) o script (*.sct) da server remoti.
Cosa fa PT NAD: rileva automaticamente nel traffico HTTP la trasmissione di file INF di tipo speciale. In aggiunta a questo, rileva la trasmissione tramite protocollo HTTP di script dannosi e librerie dinamicamente collegate da un server remoto.
2. : interfaccia a riga di comando
Interazione con l'interfaccia a riga di comando. È possibile interagire con l'interfaccia a riga di comando localmente o da remoto, ad esempio utilizzando utilità di accesso remoto.
Cosa fa PT NAD: rileva automaticamente la presenza di shell in base alle risposte ai comandi di avvio di varie utilità a riga di comando, come ping, ifconfig.
3. : modello a oggetti componenti e COM distribuito
Utilizzo delle tecnologie COM o DCOM per eseguire codice su sistemi locali o remoti durante la progressione attraverso la rete.
Cosa fa PT NAD: rileva chiamate DCOM sospette che gli attaccanti di solito sfruttano per avviare programmi.
4. : sfruttamento per l'esecuzione del client
Sfruttamento delle vulnerabilità per l'esecuzione di codice arbitrario su una workstation. Gli exploit più utili per gli attaccanti sono quelli che consentono di eseguire codice su un sistema remoto, poiché in questo modo gli attaccanti possono accedere a quel sistema. La tecnica può essere realizzata tramite i seguenti metodi: invio di email dannose, sito web con exploit per browser e sfruttamento remoto delle vulnerabilità delle applicazioni.
Cosa fa PT NAD: durante l'analisi del traffico email, PT NAD verifica la presenza di file eseguibili negli allegati. Estrae automaticamente documenti di Office dalle email che possono contenere exploit. I tentativi di sfruttamento delle vulnerabilità sono visibili nel traffico, che PT NAD identifica automaticamente.
5. : mshta
Utilizzo dell'utilità mshta.exe, che esegue le applicazioni Microsoft HTML (HTA) con estensione .hta. Poiché mshta elabora i file bypassando le impostazioni di sicurezza del browser, gli attaccanti possono utilizzare mshta.exe per eseguire file HTA, JavaScript o VBScript dannosi.
Cosa fa PT NAD: i file .hta da eseguire tramite mshta vengono trasmessi anche sulla rete, come si può vedere nel traffico. PT NAD identifica automaticamente il trasferimento di tali file dannosi. Cattura i file e le informazioni su di essi possono essere visualizzate nella scheda di sessione.
6. : PowerShell
Utilizzo di PowerShell per cercare informazioni e eseguire codice dannoso.
Cosa fa PT NAD: quando PowerShell viene utilizzato dagli attaccanti da remoto, PT NAD lo rileva attraverso regole. Individua le parole chiave del linguaggio PowerShell più comunemente usate negli script dannosi e il trasferimento di script PowerShell tramite il protocollo SMB.
7. : attività pianificata
Utilizzo dello scheduler di Windows e di altre utility per avviare automaticamente programmi o script in orari specifici.
Cosa fa PT NAD: gli attaccanti creano tali attività generalmente da remoto, quindi tali sessioni sono visibili nel traffico. PT NAD identifica automaticamente operazioni sospette di creazione e modifica di attività utilizzando le interfacce RPC ATSVC e ITaskSchedulerService.
8. : scripting
Esecuzione di script per automatizzare varie azioni degli attaccanti.
Cosa fa PT NAD: identifica i fatti di trasferimento di script sulla rete, cioè ancor prima della loro esecuzione. Rileva il contenuto degli script nel traffico grezzo e identifica il trasferimento sulla rete di file con estensioni associate a linguaggi di scripting popolari.
9. : esecuzione del servizio
Avvio di un file eseguibile, di istruzioni dell'interfaccia della riga di comando o di uno script tramite interazione con i servizi di Windows, ad esempio con il gestore di controllo dei servizi (Service Control Manager, SCM).
Cosa fa PT NAD: ispeziona il traffico SMB e rileva le richieste al SCM attraverso regole per la creazione, modifica e avvio di un servizio.
La tecnica di avvio dei servizi può essere realizzata tramite un'utility per l'esecuzione remota dei comandi PSExec. PT NAD analizza il protocollo SMB e identifica l'uso di PSExec quando utilizza il file PSEXESVC.exe o il nome del servizio standard PSEXECSVC per eseguire codice su una macchina remota. L'utente deve controllare l'elenco dei comandi eseguiti e la legittimità dell'esecuzione remota dei comandi dal nodo.
Nella scheda di attacco in PT NAD sono visualizzati i dati sulle tattiche e tecniche utilizzate secondo la matrice ATT&CK, in modo che l'utente possa comprendere a che punto dell'attacco si trovano gli aggressori, quali obiettivi perseguono e quali misure compensative adottare.
Attivazione della regola sull'utilizzo dell'utility PSExec, il che può indicare un tentativo di eseguire comandi su una macchina remota
10. : software di terze parti
Tecnica in cui gli aggressori accedono a software per l'amministrazione remota o a sistemi aziendali di distribuzione software e con questi avviano codice malevolo. Esempi di tale software: SCCM, VNC, TeamViewer, HBSS, Altiris.
Peraltro, questa tecnica è particolarmente rilevante a causa del massiccio passaggio al lavoro remoto e, di conseguenza, della connessione di numerosi dispositivi domestici non protetti tramite canali di accesso remoto discutibili.
Cosa fa PT NAD: rileva automaticamente in rete l'operatività di tale software. Ad esempio, le regole scattano sui fatti di connessione tramite il protocollo VNC e sull'attività del trojan EvilVNC, che installa silenziosamente un server VNC sull'host della vittima e lo avvia automaticamente. PT NAD rileva anche automaticamente il protocollo TeamViewer, il che aiuta l'analista, tramite il filtro, a trovare tutte le sessioni di questo tipo e a verificarne la legittimità.
11. : esecuzione da parte dell'utente
Tecnica in cui l'utente avvia file che possono portare all'esecuzione di codice. Ad esempio, potrebbe succedere se apre un file eseguibile o avvia un documento di office con macro.
Cosa fa PT NAD: visualizza tali file già nella fase di trasferimento, prima della loro esecuzione. Le informazioni su di essi possono essere esaminate nella scheda delle sessioni in cui sono stati trasferiti.
12. : Windows Management Instrumentation
Utilizzo dello strumento WMI, che consente l'accesso locale e remoto ai componenti di sistema di Windows. Con WMI, gli aggressori possono interagire con sistemi locali e remoti e svolgere molte operazioni, ad esempio raccogliere informazioni a fini di intelligence e avviare processi da remoto durante il movimento laterale.
Cosa fa PT NAD: poiché le interazioni con sistemi remoti tramite WMI sono visibili nel traffico, PT NAD rileva automaticamente le richieste di rete per stabilire sessioni WMI e controlla il traffico per la trasmissione di script che utilizzano WMI.
13. : Windows Remote Management
Utilizzo del servizio e del protocollo Windows, che consente all'utente di interagire con sistemi remoti.
Cosa fa PT NAD: visualizza le connessioni di rete stabilite tramite Windows Remote Management. Tali sessioni vengono rilevate automaticamente da regole.
14. : elaborazione di script XSL (Extensible Stylesheet Language)
Il linguaggio di markup degli stili XSL è utilizzato per descrivere l'elaborazione e la visualizzazione dei dati nei file XML. Per supportare operazioni complesse, lo standard XSL include supporto per script incorporati in vari linguaggi. Questi linguaggi consentono l'esecuzione di codice arbitrario, il che porta a eludere le politiche di sicurezza basate su whitelist.
Cosa fa PT NAD: rileva il trasferimento di tali file attraverso la rete, cioè prima della loro esecuzione. Rileva automaticamente il trasferimento attraverso la rete di file XSL e file con markup XSL anomalo.
Nei prossimi materiali, esamineremo come il sistema NTA PT Network Attack Discovery identifichi altre tattiche e tecniche degli attaccanti in base al MITRE ATT&CK. Restate sintonizzati!
Autori:
- Anton Kutepev, esperto del centro di sicurezza (PT Expert Security Center) di Positive Technologies
- Natalia Kazankova, marketing di prodotto di Positive Technologies
Fonte: habr.com
