Il 95% delle minacce alla sicurezza informatica sono note e possono essere affrontate con mezzi tradizionali come antivirus, firewall, IDS, WAF. Il restante 5% delle minacce è sconosciuto e rappresenta la parte più pericolosa. Queste costituiscono il 70% del rischio per l'azienda, poiché è molto difficile rilevarle e, ancor di più, difendersi da esse. Esempi di "cigni neri" includono le epidemie di ransomware WannaCry, NotPetya/ExPetr, i cryptominer, l'"arma cibernetica" Stuxnet (che ha colpito le strutture nucleari iraniane) e molte (qualcuno si ricorda di Kido/Conficker?) altre attacchi, da cui non è semplice difendersi con le metodologie di protezione classiche. Vogliamo discutere su come opporsi a queste minacce del 5% utilizzando la tecnologia Threat Hunting.
Lo sviluppo continuo degli attacchi informatici richiede un costante rilevamento e contrasto, portandoci alla riflessione su una corsa infinita agli armamenti tra criminali informatici e difensori. I sistemi di protezione tradizionali non sono in grado di garantire un livello di sicurezza accettabile, in cui il rischio non influisce sui principali indicatori aziendali (economici, politici, reputazione), senza modifiche per adattarsi a specifiche infrastrutture, ma nel complesso coprono parte dei rischi. Già durante l'implementazione e la configurazione, i moderni sistemi di protezione si trovano in una posizione di rincorsa e devono rispondere alle sfide dei tempi attuali.
Una delle risposte alle sfide contemporanee per uno specialista della sicurezza informatica può essere la tecnologia Threat Hunting. Il termine Threat Hunting (di seguito TH) è emerso alcuni anni fa. La tecnologia è piuttosto interessante, ma non ha ancora standard e norme comuni riconosciute. Anche la varietà delle fonti di informazione e la scarsità di fonti di lingua russa su questo argomento complicano la situazione. Di conseguenza, in "Lanit-Integrazioni" abbiamo deciso di scrivere una panoramica su questa tecnologia.
Rilevanza
La tecnologia TH si basa sui processi di monitoraggio dell'infrastruttura.. Alerting (di tipo MSSP) – un metodo tradizionale, ricerca di firme e indicatori di attacco sviluppati in precedenza e risposta a essi. Questo scenario è eseguito con successo da strumenti di protezione tradizionali basati su firme. Hunting (servizio di tipo MDR) – un metodo di monitoraggio che risponde alla domanda «Da dove provengono le firme e le regole?». È un processo di creazione di regole di correlazione analizzando indicatori nascosti o precedentemente sconosciuti e segni di attacco. Questo tipo di monitoraggio si riferisce al Threat Hunting.
Solo combinando entrambi i tipi di monitoraggio, otteniamo una protezione vicina all'ideale, ma rimane sempre un certo livello di rischio residuo.
Protezione mediante l'uso di due tipi di monitoraggio
Ecco perché il TH (e il hunting in generale!) diventerà sempre più rilevante:
Minacce, strumenti di protezione, rischi.
. Questi includono tipi come spam, DDoS, virus, rootkit e altri malware classici. Proteggersi da queste minacce è possibile con gli stessi strumenti di protezione tradizionali.
Durante l'esecuzione di qualsiasi progetto, mentre il restante 20% del lavoro richiede l'80% del tempo. Analogamente, tra tutto il panorama delle minacce, il 5% delle minacce di nuova generazione costituirà il 70% del rischio per l'azienda. Nella gestione dei processi di sicurezza delle informazioni, possiamo gestire in un modo o nell'altro il 30% del rischio associato a minacce conosciute, evitando (rinunciando alle reti wireless in generale), accettando (implementando gli strumenti di protezione necessari) o trasferendo (ad esempio, sulle spalle dell'integratore) questo rischio. Tuttavia, proteggersio da, attacchi APT, phishing,, operazioni di cyber spionaggio e nazionali, così come da un gran numero di altri attacchi, è già molto più complesso. Le conseguenze di queste minacce del 5% saranno di gran lunga più gravi (), rispetto alle conseguenze di spam o virus, dai quali ci protegge il software antivirus.
Il 5% delle minacce è qualcosa con cui praticamente tutti devono fare i conti. Di recente siamo stati costretti a installare una soluzione open-source che utilizza un'applicazione dal repository PEAR (PHP Extension and Application Repository). Il tentativo di installare questa applicazione tramite pear install è fallito, poiché non era disponibile (ora ha già un messaggio di avviso), ho dovuto installarlo da GitHub. E poco tempo fa è emerso che PEAR è diventato vittima.
Si può ricordare anche, l'epidemia del ransomware NePetya attraverso il modulo di aggiornamento del software di contabilità fiscale. Le minacce diventano sempre più sofisticate, e sorge la domanda logica: "Come possiamo affrontare queste minacce del 5%?"
Definizione di Threat Hunting
Quindi, il Threat Hunting è il processo proattivo e iterativo di ricerca e identificazione di minacce avanzate che non possono essere rilevate con mezzi di protezione tradizionali. Le minacce avanzate includono, ad esempio, attacchi APT, attacchi a vulnerabilità 0-day, Living off the Land e così via.
Si può anche riformulare dicendo che TH è il processo di verifica delle ipotesi. Questo è principalmente un processo manuale con elementi di automazione, all'interno del quale un analista, basandosi sulle proprie conoscenze e qualifiche, setaccia grandi volumi di informazioni in cerca di segni di compromissione, in base a un'ipotesi inizialmente stabilita sulla presenza di una determinata minaccia. La sua caratteristica distintiva è la varietà delle fonti di informazione.
Va notato che il Threat Hunting non è un prodotto software o hardware. Non si tratta di allerta che possono essere viste in una qualche soluzione. Non è un processo di ricerca degli IOC (indicatori di compromissione). E non è un'attività passiva che si svolge senza il coinvolgimento degli analisti della sicurezza informatica. Il Threat Hunting è, prima di tutto, un processo.
Componenti del Threat Hunting
Tre componenti principali del Threat Hunting: dati, tecnologie, persone.
Dati (cosa?), compresi i Big Data. Tutti i tipi di flussi di traffico, informazioni su APT precedentemente condotti, analisi, dati sull'attività degli utenti, dati di rete, informazioni dai dipendenti, informazioni nel dark web e molto altro.
Tecnologie (come?) per elaborare questi dati - tutti i possibili modi per elaborare questi dati, compreso il Machine Learning.
Persone (chi?) – coloro che hanno una grande esperienza nell'analisi di attacchi diversi, un'intuizione sviluppata e la capacità di individuare un attacco. Di solito sono analisti di sicurezza informatica, che devono avere la capacità di generare ipotesi e trovare conferme per esse. Sono il collegamento principale del processo.
Modello PARIS
Adam Baitman il modello PARIS per il processo TH ideale. Il nome suggerisce in qualche modo un noto punto di riferimento in Francia. Questo modello può essere considerato da due direzioni: dall'alto verso il basso e dal basso verso l'alto.
Nel processo di caccia alle minacce, muovendosi secondo il modello dal basso verso l'alto, ci confrontiamo con molte prove di attività dannose. Ogni prova ha una misura di fiducia, una caratteristica che riflette il peso di quella prova. Ci sono prove "ferree", dirette di attività dannose, che ci permettono di raggiungere subito la cima della piramide e creare un alert effettivo su una contaminazione nota. E ci sono prove indirette, la cui somma potrebbe portarci anche alla cima della piramide. Come sempre, ci sono molte più prove indirette che dirette, il che significa che devono essere ordinate e analizzate, effettuate ulteriori ricerche e, preferibilmente, automatizzate.
Modello PARIS.
La parte superiore del modello (1 e 2) si basa su tecnologie di automazione e varie analisi, mentre la parte inferiore (3 e 4) su persone con specifiche qualifiche che gestiscono il processo. Si può considerare il modello muovendosi dall'alto verso il basso, dove nella parte superiore blu abbiamo alert dai tradizionali strumenti di protezione (antivirus, EDR, firewall, firme) con un alto grado di fiducia e sicurezza, mentre sotto ci sono indicatori (IOC, URL, MD5 e altri) che hanno un grado di fiducia inferiore e richiedono ulteriori approfondimenti. E il livello più basso e più spesso (4) – generazione di ipotesi, creazione di nuovi scenari di funzionamento degli strumenti di protezione tradizionali. Questo livello non si limita solo alle fonti di ipotesi indicate. Più si scende nel livello, maggiori sono i requisiti richiesti per la qualifica dell'analista.
È molto importante che gli analisti non si limitino a verificare un insieme finale di ipotesi predefinite, ma lavorino costantemente per generare nuove ipotesi e varianti di verifica.
Modello di maturità nell'uso di TH
In un mondo ideale, TH è un processo continuo. Ma, poiché il mondo ideale non esiste, analizziamo e i metodi in relazione a persone, processi e tecnologie utilizzate. Consideriamo il modello ideale sferico di TH. Ci sono 5 livelli di utilizzo di questa tecnologia. Esaminiamoli attraverso l'evoluzione di un singolo team di analisti.
Livelli di maturità
Le persone
Processi
Tecnologie
Livello 0
Analisti SOC
24/7
Strumenti tradizionali:
Tradizionale
Set di avvisi
Monitoraggio passivo
IDS, AV, sandboxing,
Senza TH
Gestione degli avvisi
strumenti di analisi delle firme, dati di Threat Intelligence.
Livello 1
Analisti SOC
TH occasionale
EDR
Sperimentale
Conoscenze di base forensi
Ricerca di IOC
Copertura parziale dei dati dai dispositivi di rete
Sperimentazioni con TH
Buona conoscenza delle reti e della parte applicativa
Applicazione parziale
Livello 2
Attività temporanea
Sprint
EDR
Periodico
Conoscenze moderate forensi
Settimana al mese
Applicazione completa
TH temporaneo
Eccellente conoscenza delle reti e della parte applicativa
TH regolare
Automazione completa dell'uso dei dati EDR
Utilizzo parziale delle funzionalità avanzate di EDR
Livello 3
Team dedicato a TH
24/7
Capacità parziale di verificare le ipotesi di TH
Preventivo
Eccellenti conoscenze forensi e di malware
TH preventivo
Utilizzo completo delle funzionalità avanzate di EDR
Casi specifici di TH
Eccellenti conoscenze degli attaccanti
Casi specifici di TH
Copertura completa dei dati dai dispositivi di rete
Configurazione in base alle esigenze
Livello 4
Team dedicato a TH
24/7
Piena capacità di verificare le ipotesi di TH
Leader
Eccellenti conoscenze forensi e di malware
TH preventivo
Livello 3, più:
Utilizzo di TH
Eccellenti conoscenze degli attaccanti
Verifica, automazione e verifica delle ipotesi di TH
integrazione stretta delle fonti di dati;
Capacità di ricerca
sviluppo personalizzato in base alle esigenze e utilizzo non standard delle API.
Livelli di maturità di TH in relazione a persone, processi e tecnologie
Livello 0: tradizionale, senza utilizzare TH. Gli analisti normali lavorano con un set standard di avvisi in modalità di monitoraggio passivo utilizzando strumenti e tecnologie standard: IDS, AV, sandbox, strumenti di analisi delle firme.
Livello 1: sperimentale, utilizzando TH. Gli stessi analisti con conoscenze di base di forensics e una buona comprensione delle reti e delle applicazioni possono effettuare una threat hunting occasionale cercando indicatori di compromissione. Gli strumenti includono EDR con una copertura parziale dei dati provenienti dai dispositivi di rete. Gli strumenti sono utilizzati in modo parziale.
Livello 2: periodico, temporaneo TH. Gli stessi analisti che hanno già migliorato le loro conoscenze in forensics, reti e applicazioni sono tenuti a dedicarsi regolarmente (sprint) alla threat hunting, diciamo, una settimana al mese. Gli strumenti includono un'analisi completa dei dati provenienti dai dispositivi di rete, automazione dell'analisi dei dati da EDR e un uso parziale delle funzionalità avanzate di EDR.
Livello 3: preventivo, casi frequenti di TH. I nostri analisti si sono organizzati in un team dedicato, acquisendo ottime conoscenze in forensics e malware, così come conoscenze sulle metodologie e le tattiche dell'attacco. Il processo è già attivato in modalità 24/7. Il team è in grado di testare parzialmente le ipotesi di TH, utilizzando completamente le funzionalità avanzate di EDR con copertura totale dei dati provenienti dai dispositivi di rete. Inoltre, gli analisti sono in grado di configurare gli strumenti secondo le proprie esigenze.
Livello 4: leader, utilizzo di TH. Lo stesso team ha acquisito la capacità di ricerca, abilità nel generare e automatizzare il processo di verifica delle ipotesi di TH. Ora gli strumenti includono un'integrazione stretta delle fonti di dati, sviluppo di software su misura per le esigenze e utilizzo non convenzionale delle API.
Tecniche di Threat Hunting
Tecniche di base di Threat Hunting
Alle di TH in base alla maturità della tecnologia utilizzata appartengono: ricerca di base, analisi statistica, tecniche di visualizzazione, aggregazioni semplici, apprendimento automatico e metodi bayesiani.
Il metodo più semplice è la ricerca di base, utilizzata per restringere l'ambito di indagine mediante richieste specifiche. L'analisi statistica è applicata, ad esempio, per costruire un modello statistico delle tipiche attività degli utenti o delle loro interazioni in rete. Le tecniche di visualizzazione vengono impiegate per rappresentare graficamente e semplificare l'analisi dei dati, rendendo più facile individuare schemi nei campioni. La tecnica delle semplici aggregazioni sui campi chiave è utilizzata per ottimizzare la ricerca e l'analisi. Maggiore è il livello di maturità che il processo di TH raggiunge all'interno dell'organizzazione, più rilevante diventa l'uso di algoritmi di machine learning. Questi ultimi sono ampiamente utilizzati, ad esempio, per la filtrazione di spam, la rilevazione di traffico malevolo e la scoperta di attività fraudolente. Un tipo più avanzato di algoritmi di machine learning sono i metodi bayesiani, che consentono di eseguire classificazioni, riduzione della dimensionalità del campione e modellazione tematica.
Modello del diamante e strategie TH
Sergio Caltagirone, Andrew Pendergast e Christopher Betz nella loro opera «» hanno mostrato i principali elementi chiave di qualsiasi attività malevola e il legame fondamentale tra di essi.
Modello del diamante per attività malevole
Secondo questo modello ci sono 4 strategie di Threat Hunting, che si basano sugli elementi chiave corrispondenti.
1. Strategia incentrata sulla vittima. Supponiamo che la vittima abbia dei nemici e che questi possano presentare "opportunità" via email. Cerchiamo dati avversari nella posta. Ricerca di link, allegati, ecc. Cerchiamo conferme di questa ipotesi per un certo periodo (un mese, due settimane); se non troviamo nulla, allora l'ipotesi non ha funzionato.
2. Strategia incentrata sull'infrastruttura. Esistono diversi metodi per utilizzare questa strategia. A seconda dell'accesso e della visibilità, alcuni di essi sono più facili di altri. Ad esempio, monitoriamo i server dei nomi di dominio noti per ospitare domini dannosi. Oppure, eseguiamo un processo di monitoraggio di tutte le nuove registrazioni di nomi di dominio per identificare schemi noti utilizzati dal nemico.
3. Strategia orientata alle opportunità. Oltre alla strategia orientata alla vittima, comunemente utilizzata dalla maggior parte dei difensori di rete, esiste una strategia orientata alle opportunità. Questa è la seconda più popolare e si concentra sull'individuazione delle opportunità da parte dell'avversario, ovvero i "malware" e la possibilità che l'avversario utilizzi strumenti legittimi come psexec, powershell, certutil e altri.
4. Strategia orientata all'avversario. L'approccio orientato all'avversario si concentra sull'avversario stesso. Questo include l'uso di informazioni open source da fonti pubbliche (OSINT), la raccolta di dati sull'avversario, le sue tecniche e metodi (TTP), l'analisi di incidenti precedenti, dati di Threat Intelligence e così via.
Fonti di informazioni e ipotesi in TH
Alcune fonti di informazioni per il Threat Hunting
Le fonti di informazione possono essere moltissime. Un analista ideale deve saper trarre informazioni da tutto ciò che lo circonda. Le fonti tipiche in quasi ogni infrastruttura provengono dai mezzi di protezione: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Inoltre, indicatori di compromissione, servizi di Threat Intelligence, dati CERT e OSINT saranno fonti di informazione comuni. È possibile utilizzare anche informazioni dal dark web (ad esempio, improvvisamente viene fatto un ordine per hackerare l'email del direttore dell'organizzazione, o un candidato per una posizione di ingegnere di rete è stato esposto dalla sua attività), informazioni fornite da HR (feedback sui candidati dal loro precedente lavoro) e dati dal servizio di sicurezza (ad esempio, risultati della verifica di un contraente).
Ma prima di utilizzare tutte le fonti disponibili, è necessario avere almeno un'ipotesi.
Per verificare le ipotesi, è necessario prima formularle. Per formulare molte ipotesi di qualità, è necessario applicare un approccio sistematico. Il processo di generazione delle ipotesi è descritto in modo più dettagliato in, questa schema è molto comoda come base per il processo di formulazione delle ipotesi.
La principale fonte di ipotesi sarà la matrice ATT&CK (Tattiche, Tecniche e Conoscenze Comuni). Essa rappresenta, in sostanza, una base di conoscenze e un modello per valutare il comportamento degli aggressori mentre realizzano le loro attività nelle fasi finali di un attacco, solitamente descritto attraverso il concetto di Kill Chain. Cioè, nelle fasi successive all'intrusione dell'aggressore nella rete interna di un'azienda o su un dispositivo mobile. Inizialmente, la base di conoscenze includeva la descrizione di 121 tattiche e tecniche utilizzate negli attacchi, ognuna delle quali è dettagliatamente descritta nel formato Wiki. L'analisi Threat Intelligence si presta bene come fonte per generare ipotesi. Vale la pena sottolineare i risultati dell'analisi dell'infrastruttura e dei test di penetrazione: questi sono i dati più preziosi, poiché ci forniscono ipotesi solide basate su un'infrastruttura concreta con i suoi specifici difetti.
Processo di verifica delle ipotesi
Sergei Soldatov ha presentato con una descrizione dettagliata del processo, essa illustra il processo di verifica delle ipotesi TH in un sistema specifico. Indico le fasi principali con una breve descrizione.
Fase 1: TI Farm
In questa fase è necessario identificare oggetti (analizzandoli insieme a tutti i dati sulle minacce) assegnando loro etichette rispetto alle loro caratteristiche. Questo può includere file, URL, MD5, processi, utility, eventi. Mentre li si fa passare attraverso i sistemi di Threat Intelligence, è necessario applicare le etichette. Cioè, questo sito è stato osservato in CNC in un certo anno, questo MD5 è stato collegato a un certo malware, questo MD5 è stato scaricato da un sito che distribuiva malware.
Fase 2: Casi
Nella seconda fase esaminiamo l'interazione tra questi oggetti e identifichiamo le relazioni tra di essi. Otteniamo sistemi etichettati che compiono attività malevole.
Fase 3: Analista
Nella terza fase, il compito viene trasferito a un analista esperto, con una vasta esperienza nell'analisi, il quale emette un verdetto. Egli esamina a livello di byte cosa, da dove, come, perché questo codice opera. Questo corpo era un malware, questo computer era infetto. Svela le relazioni tra gli oggetti e verifica i risultati dell'esecuzione attraverso un sandbox.
I risultati del lavoro dell'analista vengono trasmessi successivamente. Digital Forensics esamina le immagini, Malware Analysis analizza i "corpi" trovati, mentre il team di Incident Response può intervenire sul posto e indagare su qualcosa già presente. Il risultato del lavoro sarà un'ipotesi confermata, un attacco identificato e le strade per contrastarlo.
Conclusioni
Il Threat Hunting è una tecnologia piuttosto giovane, capace di opporsi in modo efficace a minacce personalizzate, nuove e non standard, che ha grandi prospettive considerando l'aumento del numero di tali minacce e la complessità delle infrastrutture aziendali. Essa richiede tre elementi: dati, strumenti e analisti. I benefici del Threat Hunting non si limitano alla preminente attuazione delle minacce. Non dobbiamo dimenticare che nel processo di ricerca ci immergiamo nella nostra infrastruttura e nei suoi punti deboli, attraverso gli occhi di un analista esperto in sicurezza, e possiamo rafforzare ulteriormente questi punti.
I primi passi che, a nostro avviso, devono essere compiuti per avviare il processo di Threat Hunting nella propria organizzazione.
- Occuparsi della protezione dei punti finali e dell'infrastruttura di rete. Assicurarsi di avere visibilità (NetFlow) e controllo (firewall, IDS, IPS, DLP) di tutti i processi nella propria rete. Conoscere la propria rete dal router di confine fino all'ultimo host.
- Studiare.
- Condurre regolari penetration test almeno delle risorse esterne chiave, analizzare i risultati, isolare i principali obiettivi per l'attacco e chiudere le loro vulnerabilità.
- Implementare un sistema di Threat Intelligence open source (ad esempio, MISP, Yeti) e condurre l'analisi dei log in combinazione con esso.
- Implementare una piattaforma di risposta agli incidenti (IRP): R-Vision IRP, The Hive, un sandbox per l'analisi dei file sospetti (FortiSandbox, Cuckoo).
- Automatizzare i processi di routine. L'analisi dei log, la gestione degli incidenti, l'informazione del personale: un ampio campo per l'automazione.
- Imparare a interagire efficacemente con ingegneri, sviluppatori e supporto tecnico per una collaborazione nella gestione degli incidenti.
- Documentare l'intero processo, i punti chiave, i risultati ottenuti, per poter tornare su di essi in seguito o condividere questi dati con i colleghi;
- Ricordare il lato sociale: essere a conoscenza di ciò che accade con i propri dipendenti, chi si assume e a chi si dà accesso alle risorse informative dell'organizzazione.
- Essere aggiornati sulle tendenze in materia di nuove minacce e modalità di protezione, migliorare il proprio livello di competenza tecnica (compreso il lavoro con i servizi IT e i sottosistemi), partecipare a conferenze e interagire con i colleghi.
Pronto a discutere l'organizzazione del processo TH nei commenti.
Oppure venite a lavorare con noi!
Fonti e materiali per lo studio
Fonte: habr.com
