Il 95% delle minacce alla sicurezza informatica è noto, e si può proteggere da esse utilizzando mezzi tradizionali come antivirus, firewall, IDS, WAF. Il restante 5% delle minacce è sconosciuto e molto pericoloso. Queste rappresentano il 70% del rischio per un'azienda, dato che è estremamente difficile rilevarle e, tanto meno, proteggersi da esse. Esempi sono le epidemie di ransomware WannaCry, NotPetya/ExPetr, i cryptominer, l'"arma informatica" Stuxnet (che ha colpito gli impianti nucleari in Iran) e molte altre (qualcuno ricorda Kido/Conficker?) attacchi dai quali è difficile proteggersi con i mezzi di protezione classici. Di come affrontare queste minacce del 5% attraverso la tecnologia Threat Hunting, vogliamo parlare.
Il continuo sviluppo degli attacchi informatici richiede un costante rilevamento e contrasto, portandoci infine a riflettere su una sorta di corsa agli armamenti tra aggressori e difensori. I tradizionali sistemi di protezione non sono più in grado di garantire un livello adeguato di sicurezza, in cui il rischio non incida sui principali indicatori aziendali (economici, politici, reputazione), senza essere adattati a specifiche infrastrutture; tuttavia, offrono comunque una protezione parziale contro i rischi. Già durante il processo di implementazione e configurazione, i moderni sistemi di protezione si trovano a dover recuperare e rispondere alle sfide del nuovo contesto.
Una delle risposte alle sfide moderne per gli specialisti della sicurezza informatica può essere la tecnologia Threat Hunting. Il termine Threat Hunting (di seguito TH) è emerso alcuni anni fa. La tecnologia stessa è piuttosto interessante, ma non ha ancora standard e regole comunemente accettati. Inoltre, la varietà delle fonti di informazione e la scarsità di fonti in lingua russa su questo argomento complicano ulteriormente la situazione. Pertanto, noi di "ЛАНИТ-Интеграции" abbiamo deciso di scrivere una sorta di panoramica su questa tecnologia.
Rilevanza
La tecnologia TH si basa sui processi di monitoraggio delle infrastrutture.. L'alerting (tipologia di servizi MSSP) è un metodo tradizionale che ricerca firme e segni di attacchi già sviluppati, rispondendo ad essi. Questo scenario viene gestito con successo da strumenti di protezione basati su firme tradizionali. Il hunting (servizio di tipo MDR) è un metodo di monitoraggio che risponde alla domanda «Da dove provengono le firme e le regole?». Si tratta di un processo di creazione di regole di correlazione mediante l'analisi di indicatori nascosti o precedentemente sconosciuti e segni di attacco. Questo tipo di monitoraggio è ciò che si intende per Threat Hunting.
Solo combinando entrambi i tipi di monitoraggio otteniamo una protezione prossima all'ideale, ma resta sempre un certo livello di rischio residuo.
Protezione attraverso l'uso di due tipi di monitoraggio
Ecco perché il TH (e il hunting in generale!) diventerà sempre più rilevante:
Minacce, strumenti di protezione, rischi.
. Queste comprendono tipologie come spam, DDoS, virus, rootkit e altri malware classici. È possibile proteggersi da queste minacce utilizzando gli stessi strumenti di protezione classici.
Durante l'esecuzione di qualsiasi progetto, mentre il restante 20% del lavoro occupa l'80% del tempo. In modo simile, tra tutto il panorama delle minacce, il 5% delle minacce nuove rappresenterà il 70% del rischio per l'azienda. In una società in cui sono organizzati i processi di gestione della sicurezza informatica, possiamo gestire in vari modi il 30% del rischio associato a minacce note, evitando (rinunciando completamente alle reti senza fili), accettando (implementando le necessarie misure di protezione) o trasferendo (ad esempio, al fornitore d'integrazione) questo rischio. Difendersi da, attacchi APT, phishing,, operazioni di cyberspionaggio e nazionali, così come da un gran numero di altre minacce, è già molto più complesso. Le conseguenze di queste minacce del 5% saranno decisamente più gravi (), rispetto alle conseguenze di spam o virus, da cui ci protegge il software antivirus.
Il 5% delle minacce è qualcosa con cui praticamente tutti devono confrontarsi. Recentemente ci è capitato di dover installare una soluzione open-source che utilizza un'applicazione dal repository PEAR (PHP Extension and Application Repository). L'installazione di questa applicazione tramite pear install è fallita poiché non era disponibile (ora ha una pagina di errore), quindi abbiamo dovuto installarla da GitHub. Poco tempo fa, è emerso che PEAR è diventato vittima di.
Si può anche ricordare, l'epidemia del ransomware NePetya attraverso il modulo di aggiornamento del software per la contabilità fiscale. Le minacce stanno diventando sempre più sofisticate, e sorge una domanda logica: "Come possiamo affrontare questi 5% di minacce?"
Definizione di Threat Hunting
Quindi, il Threat Hunting è il processo proattivo e iterativo di ricerca e scoperta di minacce avanzate che non possono essere rilevate tramite strumenti di protezione tradizionali. Le minacce avanzate includono, ad esempio, attacchi come APT, attacchi a vulnerabilità 0-day, Living off the Land, e così via.
Si può anche riformulare dicendo che il Threat Hunting è un processo di verifica delle ipotesi. Si tratta principalmente di un processo manuale con elementi di automazione, nel quale l'analista, basandosi sulle proprie conoscenze e qualifiche, setaccia grandi volumi di informazioni alla ricerca di segnali di compromissione associati all'ipotesi inizialmente definita riguardo alla presenza di una determinata minaccia. Una caratteristica distintiva è la varietà delle fonti di informazione.
È importante notare che il Threat Hunting non è un prodotto software o hardware. Non si tratta di avvisi che possono essere visti in qualche soluzione. Non è un processo di ricerca degli IOC (Indicatori di Compromissione). E non è un'attività passiva che si svolge senza il coinvolgimento degli analisti di sicurezza. Il Threat Hunting è, prima di tutto, un processo.
Componenti del Threat Hunting
Tre componenti fondamentali del Threat Hunting: dati, tecnologie, persone.
Dati (cosa?), incluso anche Big Data. Variazioni nei flussi di traffico, informazioni su APT condotte in precedenza, analisi, dati sull'attività degli utenti, dati di rete, informazioni dai dipendenti, informazioni nel dark web e molto altro.
Tecnologie (come?) elaborazione di questi dati – tutti i possibili metodi per elaborare questi dati, incluso il Machine Learning.
Persone (chi?) – coloro che possiedono ampia esperienza nell'analisi di diversi attacchi, un'intuizione sviluppata e la capacità di rilevare un attacco. Di solito si tratta di analisti di sicurezza informatica, che devono avere l'abilità di generare ipotesi e trovare conferme. Essi sono il collegamento principale del processo.
Modello PARIS
Adam Bateman il modello PARIS per il processo TH ideale. Il nome suggerisce in qualche modo un noto punto di riferimento in Francia. Questo modello può essere considerato da due prospettive – dall'alto e dal basso.
Durante la caccia alle minacce, seguendo un modello dal basso verso l'alto, ci troveremo ad affrontare numerose evidenze di attività malevola. Ogni evidenza ha un certo grado di certezza, una caratteristica che riflette il peso di questa evidenza. Ci sono prove "di ferro", dirette, di attività malevola, per le quali possiamo immediatamente raggiungere la cima della piramide e creare un'allerta effettiva su un'infezione notoriamente nota. E ci sono prove indirette, la somma delle quali può anche portarci alla cima della piramide. Come sempre, ci sono molte più evidenze indirette che dirette, il che significa che devono essere ordinate e analizzate, condotte ulteriori ricerche e, se possibile, automatizzate.
Il modello PARIS.
La parte superiore del modello (1 e 2) si basa su tecnologie di automazione e analisi varia, mentre la parte inferiore (3 e 4) su persone con competenze specifiche che gestiscono il processo. Si può considerare il modello muovendosi dall'alto verso il basso, dove nella parte superiore blu abbiamo avvisi da strumenti di protezione tradizionali (antivirus, EDR, firewall, firme) con un alto grado di certezza e fiducia, e più in basso indicatori (IOC, URL, MD5 e altri) che hanno un grado di certezza inferiore e richiedono ulteriori indagini. E il livello più basso e più spesso (4) è la generazione di ipotesi, la creazione di nuovi scenari di funzionamento degli strumenti di protezione tradizionali. Questo livello non è limitato solo alle fonti di ipotesi indicate. Più basso è il livello, maggiori sono i requisiti per le competenze dell'analista.
È molto importante che gli analisti non si limitino a controllare un insieme finale di ipotesi predefinite, ma lavorino costantemente per generare nuove ipotesi e varianti di verifica.
Modello di maturità nell'uso di TH
In un mondo ideale, il TH è un processo continuo. Ma, poiché non esiste un mondo ideale, analizziamo e i metodi attraverso persone, processi e tecnologie utilizzate. Consideriamo il modello ideale di TH. Ci sono 5 livelli di utilizzo di questa tecnologia. Esaminiamoli attraverso l'evoluzione di un singolo team di analisti.
Livelli di maturità
Persone
Processi
Tecnologie
Livello 0
Analisti SOC
24/7
Strumenti tradizionali:
Tradizionale
Set di avvisi
Monitoraggio passivo
IDS, AV, Sandboxing,
Senza TH
Gestione degli avvisi
strumenti di analisi basati su firme, dati di Threat Intelligence.
Livello 1
Analisti SOC
TH occasionale
EDR
Sperimentale
Conoscenze di base sulla forensic
Ricerca di IOC
Copertura parziale dei dati dai dispositivi di rete
Sperimentazioni con il TH
Buona conoscenza delle reti e della parte applicativa
Applicazione parziale
Livello 2
Attività temporanea
Sprint
EDR
Periodico
Conoscenze medie sulla forensic
Una settimana al mese
Applicazione completa
TH temporaneo
Ottima conoscenza delle reti e della parte applicativa
TH regolare
Automazione completa nell'uso dei dati EDR
Uso parziale delle capacità avanzate di EDR
Livello 3
Team dedicato al TH
24/7
Possibilità parziale di verificare le ipotesi del TH
Preventivo
Ottime conoscenze di forense e malware
Preventivo TH
Massimo utilizzo delle capacità avanzate EDR
Casi specifici TH
Ottime conoscenze della parte attaccante
Casi specifici TH
Copertura completa dei dati provenienti da dispositivi di rete
Configurazione su misura
Livello 4
Team dedicato al TH
24/7
Piena capacità di verificare le ipotesi TH
Leader
Ottime conoscenze di forense e malware
Preventivo TH
Livello 3, più:
Utilizzo TH
Ottime conoscenze della parte attaccante
Verifica, automazione e validazione delle ipotesi TH
integrazione stretta delle fonti di dati;
Capacità di ricerca
sviluppo su misura e utilizzo non standard delle API.
Livelli di maturità TH in relazione a persone, processi e tecnologie
Livello 0: tradizionale, senza utilizzo di TH. Gli analisti comuni lavorano con un insieme standard di avvisi in modalità di monitoraggio passivo utilizzando strumenti e tecnologie standard: IDS, AV, sandbox, strumenti di analisi basata su firme.
Livello 1: sperimentale, utilizzando TH. Gli stessi analisti con conoscenze di base in forensic e una buona comprensione delle reti e della parte applicativa possono eseguire un Threat Hunting una tantum attraverso la ricerca di indicatori di compromissione. Gli strumenti includono EDR con copertura parziale dei dati provenienti dai dispositivi di rete. Gli strumenti sono applicati parzialmente.
Livello 2: periodico, temporaneo TH. Gli stessi analisti che hanno già potenziato le loro conoscenze in forensic, reti e parte applicativa sono tenuti a dedicarsi regolarmente (sprint) al Threat Hunting, diciamo, una settimana al mese. Gli strumenti includono un'analisi completa dei dati provenienti dai dispositivi di rete, automazione dell'analisi dei dati da EDR e un uso parziale delle funzionalità avanzate di EDR.
Livello 3: preventivo, frequenti casi di TH. I nostri analisti si sono organizzati in un team dedicato, acquisendo eccellenti conoscenze di forensic e malware, oltre a competenze sui metodi e le tattiche delle parti attaccanti. Il processo è già attivo 24/7. Il team è in grado di esaminare parzialmente le ipotesi di TH, utilizzando appieno le funzionalità avanzate dell'EDR con una copertura completa dei dati dai dispositivi di rete. Inoltre, gli analisti possono configurare gli strumenti secondo le loro necessità.
Livello 4: leader, utilizzo di TH. Lo stesso team ha acquisito la capacità di fare ricerche, generare e automatizzare il processo di verifica delle ipotesi di TH. Ora gli strumenti si sono arricchiti di una stretta integrazione delle fonti dati, sviluppo software su misura e utilizzo non convenzionale delle API.
Tecniche di Threat Hunting
Tecniche base di Threat Hunting
A Le tecniche di TH in base alla maturità della tecnologia utilizzata includono: ricerca di base, analisi statistica, tecniche di visualizzazione, aggregazioni semplici, apprendimento automatico e metodi bayesiani.
Il metodo più semplice è la ricerca di base, utilizzato per restringere l'area di studio attraverso specifiche query. L'analisi statistica, ad esempio, viene applicata per costruire modelli di attività utente o di rete in forma di modello statistico. Le tecniche di visualizzazione sono utilizzate per rappresentare graficamente e semplificare l'analisi dei dati mediante grafici e diagrammi, dove è molto più semplice cogliere schemi nel campione. La tecnica di aggregazione semplice su campi chiave è utilizzata per ottimizzare la ricerca e l'analisi. Maggiore è il livello di maturità raggiunto dall'organizzazione nel processo di TH, tanto più rilevante diventa l'uso di algoritmi di machine learning. Questi ultimi sono ampiamente utilizzati anche nella filtrazione della spam, nella rilevazione del traffico dannoso e nella rilevazione di frodi. Un tipo più avanzato di algoritmi di machine learning sono i metodi bayesiani, che consentono di svolgere attività di classificazione, riduzione della dimensionalità del campione e modellazione tematica.
Modello a diamante e strategie TH
Sergio Caltagiron, Andrew Pendegast e Christopher Betz nel loro lavoro «» hanno mostrato le principali componenti di ogni attività dannosa e la relazione fondamentale tra di esse.
Il Modello a Diamante per l'attività dannosa
Secondo questo modello, ci sono 4 strategie di Threat Hunting che si basano sulle relative componenti chiave.
1. Strategia incentrata sulla vittima. Si presume che la vittima abbia avversari, e questi forniranno "opportunità" tramite e-mail. Cerchiamo dati nemici nelle email. Esaminiamo link, allegati, ecc. Cerchiamo conferme a questa ipotesi per un certo periodo (un mese, due settimane), se non troviamo nulla, significa che l'ipotesi non ha funzionato.
2. Strategia incentrata sull'infrastruttura. Ci sono diversi metodi per utilizzare questa strategia. A seconda dell'accesso e della visibilità, alcuni di essi sono più facili di altri. Ad esempio, monitoriamo i server dei nomi di dominio noti per ospitare domini dannosi. Oppure seguiamo il processo di tracciamento di tutte le nuove registrazioni di nomi di dominio alla ricerca di schemi noti utilizzati dall'avversario.
3. Strategia orientata alle opportunità. Oltre alla strategia orientata alla vittima, utilizzata dalla maggior parte dei defender di rete, esiste una strategia orientata alle opportunità. Questa è la seconda più popolare e si concentra sulla rilevazione delle opportunità da parte dell'avversario, in particolare dei "malware" e sull'uso da parte dell'avversario di strumenti legittimi come psexec, powershell, certutil e altri.
4. Strategia orientata all'avversario. L'approccio orientato all'avversario si focalizza sull'avversario stesso. Include l'uso di informazioni aperte provenienti da fonti pubbliche (OSINT), la raccolta di dati sull'avversario, le sue tecniche e metodi (TTP), l'analisi di incidenti precedenti, dati di Threat Intelligence, e così via.
Fonti di informazioni e ipotesi nel TH
Alcune fonti di informazioni per il Threat Hunting
Le fonti di informazione possono essere numerose. Un analista ideale deve saper estrarre informazioni da tutto ciò che lo circonda. Le fonti tipiche in quasi ogni infrastruttura saranno i dati provenienti dagli strumenti di sicurezza: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Anche indicatori di compromissione, servizi di Threat Intelligence, dati CERT e OSINT saranno fonti informative comuni. Inoltre, è possibile utilizzare informazioni dal dark web (ad esempio, c'è una richiesta improvvisa per hackerare la casella di posta elettronica del dirigente dell'organizzazione, o un candidato per la posizione di ingegnere di rete è emerso per la sua attività), informazioni ricevute dalle risorse umane (feedback sul candidato dal suo precedente impiego) e informazioni dal servizio di sicurezza (ad esempio, i risultati della verifica dei partner commerciali).
Ma prima di utilizzare tutte le fonti disponibili, è necessario avere almeno un'ipotesi.
Per testare le ipotesi, è necessario prima formularle. E per formulare molte ipotesi di qualità, è fondamentale applicare un approccio sistematico. Maggiori dettagli sul processo di generazione delle ipotesi sono descritti in, è molto utile prendere come base per il processo di formulazione delle ipotesi questo schema.
La principale fonte di ipotesi sarà la matrice ATT&CK (Adversarial Tactics, Techniques and Common Knowledge). Essa rappresenta, di fatto, una base di conoscenze e un modello per valutare il comportamento degli aggressori che realizzano le loro attività nelle fasi finali di un attacco, solitamente descritto attraverso il concetto di Kill Chain. Cioè, nelle fasi dopo l'intrusione dell'aggressore nella rete interna dell'azienda o su un dispositivo mobile. Inizialmente, la base di conoscenze includeva la descrizione di 121 tattiche e tecniche utilizzate negli attacchi, ognuna delle quali è dettagliata in formato Wiki. Un'ottima fonte per la generazione di ipotesi è rappresentata da diverse analisi di Threat Intelligence. È particolarmente importante notare i risultati dell'analisi dell'infrastruttura e dei test di penetrazione: questi sono i dati più preziosi che possono fornirci ipotesi solide, poiché si basano su un'infrastruttura specifica con le sue particolari vulnerabilità.
Il processo di verifica delle ipotesi
Sergei Soldatov ha fornito con una descrizione dettagliata del processo, illustra il processo di verifica delle ipotesi TH in un sistema specifico. Indicherò le fasi principali con una breve descrizione.
Fase 1: TI Farm
In questa fase è necessario identificare oggetti (analizzandoli insieme a tutti i dati sulle minacce) assegnando loro etichette con le loro caratteristiche. Questo può essere un file, un URL, un MD5, un processo, un'utilità, un evento. Attraversando i sistemi di Threat Intelligence, è necessario applicare le etichette. Ovvero, questo sito è stato notato nel CNC in un determinato anno, questo MD5 è stato associato a un certo malware, questo MD5 è stato scaricato da un sito che distribuiva malware.
Fase 2: Casi
Nella seconda fase, osserviamo l'interazione tra questi oggetti e identifichiamo le relazioni tra di essi. Otteniamo sistemi etichettati che fanno qualcosa di male.
Fase 3: Analista
Nella terza fase, il caso viene passato a un analista esperto, con una vasta esperienza nell'analisi, che emette il verdetto. Analizza in dettaglio cosa, da dove, come, perché questo codice agisca. Questo corpo era malevolo, questo computer era infettato. Scopre le relazioni tra gli oggetti e verifica i risultati nel sandbox.
I risultati del lavoro dell'analista vengono trasferiti successivamente. La Digital Forensics esamina le immagini, Malware Analysis analizza i corpi trovati, mentre il team di Incident Response può recarsi sul posto per esaminare situazioni già in atto. Il risultato del lavoro sarà un'ipotesi confermata, un attacco identificato e modalità di contrasto.
Risultati
Il Threat Hunting è una tecnologia relativamente nuova, capace di contrastare efficacemente minacce personalizzate, nuove e atipiche, e presenta grandi prospettive considerando l'aumento di tali minacce e la complessità delle infrastrutture aziendali. Essa richiede tre elementi fondamentali: dati, strumenti e analisti. I benefici del Threat Hunting non si limitano solo alla prevenzione delle minacce. È importante ricordare che durante la ricerca ci immergiamo nella nostra infrastruttura, individuando le sue vulnerabilità attraverso gli occhi di un analista esperto in sicurezza, che possiamo poi rafforzare ulteriormente.
I primi passi che, a nostro avviso, dovrebbero essere intrapresi per avviare il processo di TH nella propria organizzazione.
- Occuparsi della protezione dei punti finali e dell'infrastruttura di rete. Garantire la visibilità (NetFlow) e il controllo (firewall, IDS, IPS, DLP) di tutti i processi nella tua rete. Conoscere la propria rete dal router di confine all'ultimo host.
- Esplora.
- Effettuare regolarmente penetration test su almeno le risorse esterne chiave, analizzare i risultati, identificare gli obiettivi principali per l'attacco e chiudere le loro vulnerabilità.
- Implementare un sistema di Threat Intelligence open source (ad esempio, MISP, Yeti) e condurre analisi dei log insieme ad esso.
- Implementare una piattaforma di risposta agli incidenti (IRP): R-Vision IRP, The Hive, sandbox per l'analisi di file sospetti (FortiSandbox, Cuckoo).
- Automatizzare i processi di routine. L'analisi dei log, la gestione degli incidenti, l'informazione del personale: un enorme campo per l'automazione.
- Imparare a interagire in modo efficace con ingegneri, sviluppatori e supporto tecnico per collaborare sulla gestione degli incidenti.
- Documentare l'intero processo, i punti chiave, i risultati raggiunti, per poterli rivedere in seguito o condividere queste informazioni con i colleghi;
- Ricorda l'aspetto sociale: sii consapevole di cosa sta accadendo con i tuoi dipendenti, chi assumi e a chi concedi accesso alle risorse informative dell'organizzazione.
- Rimanere aggiornati sulle tendenze relative alle nuove minacce e ai metodi di protezione, migliorando il proprio livello di competenza tecnica (incluso l'utilizzo dei servizi IT e dei sottosistemi), partecipare a conferenze e interagire con i colleghi.
Pronto a discutere l'organizzazione del processo TH nei commenti.
O vieni a lavorare con noi!
Fonti e materiali per lo studio
Fonte: habr.com
