{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Threat Hunting, o come difendersi dal 5% delle minacce.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Il 95% delle minacce alla sicurezza informatica \u00e8 noto, e si pu\u00f2 proteggere da esse utilizzando mezzi tradizionali come antivirus, firewall, IDS, WAF. Il restante 5% delle minacce \u00e8 sconosciuto e molto pericoloso. Queste rappresentano il 70% del rischio per un'azienda, dato che \u00e8 estremamente difficile rilevarle e, tanto meno, proteggersi da esse. Esempi di \"cigni neri\"<\/a><\/noindex> sono le epidemie di ransomware WannaCry, NotPetya\/ExPetr, i cryptominer, l'\"arma informatica\" Stuxnet (che ha colpito gli impianti nucleari in Iran) e molte altre (qualcuno ricorda Kido\/Conficker?) attacchi dai quali \u00e8 difficile proteggersi con i mezzi di protezione classici. Di come affrontare queste minacce del 5% attraverso la tecnologia Threat Hunting, vogliamo parlare.<\/p>\n

\"Threat<\/a><\/noindex>
\n Il continuo sviluppo degli attacchi informatici richiede un costante rilevamento e contrasto, portandoci infine a riflettere su una sorta di corsa agli armamenti tra aggressori e difensori. I tradizionali sistemi di protezione non sono pi\u00f9 in grado di garantire un livello adeguato di sicurezza, in cui il rischio non incida sui principali indicatori aziendali (economici, politici, reputazione), senza essere adattati a specifiche infrastrutture; tuttavia, offrono comunque una protezione parziale contro i rischi. Gi\u00e0 durante il processo di implementazione e configurazione, i moderni sistemi di protezione si trovano a dover recuperare e rispondere alle sfide del nuovo contesto.<\/p>\n

\"ThreatFonte<\/noindex><\/p>\n

Una delle risposte alle sfide moderne per gli specialisti della sicurezza informatica pu\u00f2 essere la tecnologia Threat Hunting. Il termine Threat Hunting (di seguito TH) \u00e8 emerso alcuni anni fa. La tecnologia stessa \u00e8 piuttosto interessante, ma non ha ancora standard e regole comunemente accettati. Inoltre, la variet\u00e0 delle fonti di informazione e la scarsit\u00e0 di fonti in lingua russa su questo argomento complicano ulteriormente la situazione. Pertanto, noi di \"\u041b\u0410\u041d\u0418\u0422-\u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u0438\" abbiamo deciso di scrivere una sorta di panoramica su questa tecnologia. <\/p>\n

Rilevanza<\/h2>\n

\nLa tecnologia TH si basa sui processi di monitoraggio delle infrastrutture. Esistono due scenari principali di monitoraggio interno: Alerting e Hunting.<\/a><\/noindex>. L'alerting (tipologia di servizi MSSP) \u00e8 un metodo tradizionale che ricerca firme e segni di attacchi gi\u00e0 sviluppati, rispondendo ad essi. Questo scenario viene gestito con successo da strumenti di protezione basati su firme tradizionali. Il hunting (servizio di tipo MDR) \u00e8 un metodo di monitoraggio che risponde alla domanda \u00abDa dove provengono le firme e le regole?\u00bb. Si tratta di un processo di creazione di regole di correlazione mediante l'analisi di indicatori nascosti o precedentemente sconosciuti e segni di attacco. Questo tipo di monitoraggio \u00e8 ci\u00f2 che si intende per Threat Hunting.<\/p>\n

\"Threat
\nSolo combinando entrambi i tipi di monitoraggio otteniamo una protezione prossima all'ideale, ma resta sempre un certo livello di rischio residuo.<\/p>\n

\"ThreatProtezione attraverso l'uso di due tipi di monitoraggio<\/i><\/p>\n

Ecco perch\u00e9 il TH (e il hunting in generale!) diventer\u00e0 sempre pi\u00f9 rilevante:<\/p>\n

\"ThreatMinacce, strumenti di protezione, rischi.<\/i> Fonte<\/a><\/noindex><\/p>\n

Il 95% di tutte le minacce \u00e8 gi\u00e0 ben noto<\/a><\/noindex>. Queste comprendono tipologie come spam, DDoS, virus, rootkit e altri malware classici. \u00c8 possibile proteggersi da queste minacce utilizzando gli stessi strumenti di protezione classici.<\/p>\n

Durante l'esecuzione di qualsiasi progetto Il 20% del tempo \u00e8 dedicato al completamento dell'80% del lavoro<\/a><\/noindex>, mentre il restante 20% del lavoro occupa l'80% del tempo. In modo simile, tra tutto il panorama delle minacce, il 5% delle minacce nuove rappresenter\u00e0 il 70% del rischio per l'azienda. In una societ\u00e0 in cui sono organizzati i processi di gestione della sicurezza informatica, possiamo gestire in vari modi il 30% del rischio associato a minacce note, evitando (rinunciando completamente alle reti senza fili), accettando (implementando le necessarie misure di protezione) o trasferendo (ad esempio, al fornitore d'integrazione) questo rischio. Difendersi da vulnerabilit\u00e0 zero-day<\/a><\/noindex>, attacchi APT, phishing, attacchi della catena di approvvigionamento<\/a><\/noindex>, operazioni di cyberspionaggio e nazionali, cos\u00ec come da un gran numero di altre minacce, \u00e8 gi\u00e0 molto pi\u00f9 complesso. Le conseguenze di queste minacce del 5% saranno decisamente pi\u00f9 gravi (l'importo medio delle perdite per la banca a causa del gruppo buhtrap \u00e8 di 143 milioni<\/a><\/noindex>), rispetto alle conseguenze di spam o virus, da cui ci protegge il software antivirus.<\/p>\n

Il 5% delle minacce \u00e8 qualcosa con cui praticamente tutti devono confrontarsi. Recentemente ci \u00e8 capitato di dover installare una soluzione open-source che utilizza un'applicazione dal repository PEAR (PHP Extension and Application Repository). L'installazione di questa applicazione tramite pear install \u00e8 fallita poich\u00e9 sito<\/a><\/noindex> non era disponibile (ora ha una pagina di errore), quindi abbiamo dovuto installarla da GitHub. Poco tempo fa, \u00e8 emerso che PEAR \u00e8 diventato vittima di un attacco alla catena di approvvigionamento<\/a><\/noindex>.<\/p>\n

\"Threat<\/p>\n

Si pu\u00f2 anche ricordare l'attacco con CCleaner<\/a><\/noindex>, l'epidemia del ransomware NePetya attraverso il modulo di aggiornamento del software per la contabilit\u00e0 fiscale M.E.Doc<\/a><\/noindex>. Le minacce stanno diventando sempre pi\u00f9 sofisticate, e sorge una domanda logica: \"Come possiamo affrontare questi 5% di minacce?\"<\/p>\n

Definizione di Threat Hunting<\/h2>\n

\nQuindi, il Threat Hunting \u00e8 il processo proattivo e iterativo di ricerca e scoperta di minacce avanzate che non possono essere rilevate tramite strumenti di protezione tradizionali. Le minacce avanzate includono, ad esempio, attacchi come APT, attacchi a vulnerabilit\u00e0 0-day, Living off the Land, e cos\u00ec via.<\/p>\n

Si pu\u00f2 anche riformulare dicendo che il Threat Hunting \u00e8 un processo di verifica delle ipotesi. Si tratta principalmente di un processo manuale con elementi di automazione, nel quale l'analista, basandosi sulle proprie conoscenze e qualifiche, setaccia grandi volumi di informazioni alla ricerca di segnali di compromissione associati all'ipotesi inizialmente definita riguardo alla presenza di una determinata minaccia. Una caratteristica distintiva \u00e8 la variet\u00e0 delle fonti di informazione.<\/p>\n

\u00c8 importante notare che il Threat Hunting non \u00e8 un prodotto software o hardware. Non si tratta di avvisi che possono essere visti in qualche soluzione. Non \u00e8 un processo di ricerca degli IOC (Indicatori di Compromissione). E non \u00e8 un'attivit\u00e0 passiva che si svolge senza il coinvolgimento degli analisti di sicurezza. Il Threat Hunting \u00e8, prima di tutto, un processo.<\/p>\n

Componenti del Threat Hunting<\/h2>\n

\n\"Threat
\nTre componenti fondamentali del Threat Hunting: dati, tecnologie, persone.<\/p>\n

Dati (cosa?)<\/b>, incluso anche Big Data. Variazioni nei flussi di traffico, informazioni su APT condotte in precedenza, analisi, dati sull'attivit\u00e0 degli utenti, dati di rete, informazioni dai dipendenti, informazioni nel dark web e molto altro.<\/p>\n

Tecnologie (come?)<\/b> elaborazione di questi dati \u2013 tutti i possibili metodi per elaborare questi dati, incluso il Machine Learning.<\/p>\n

Persone (chi?)<\/b> \u2013 coloro che possiedono ampia esperienza nell'analisi di diversi attacchi, un'intuizione sviluppata e la capacit\u00e0 di rilevare un attacco. Di solito si tratta di analisti di sicurezza informatica, che devono avere l'abilit\u00e0 di generare ipotesi e trovare conferme. Essi sono il collegamento principale del processo.<\/p>\n

Modello PARIS<\/h2>\n

\nAdam Bateman descrive<\/a><\/noindex> il modello PARIS per il processo TH ideale. Il nome suggerisce in qualche modo un noto punto di riferimento in Francia. Questo modello pu\u00f2 essere considerato da due prospettive \u2013 dall'alto e dal basso.<\/p>\n

Durante la caccia alle minacce, seguendo un modello dal basso verso l'alto, ci troveremo ad affrontare numerose evidenze di attivit\u00e0 malevola. Ogni evidenza ha un certo grado di certezza, una caratteristica che riflette il peso di questa evidenza. Ci sono prove \"di ferro\", dirette, di attivit\u00e0 malevola, per le quali possiamo immediatamente raggiungere la cima della piramide e creare un'allerta effettiva su un'infezione notoriamente nota. E ci sono prove indirette, la somma delle quali pu\u00f2 anche portarci alla cima della piramide. Come sempre, ci sono molte pi\u00f9 evidenze indirette che dirette, il che significa che devono essere ordinate e analizzate, condotte ulteriori ricerche e, se possibile, automatizzate.<\/p>\n

\"ThreatIl modello PARIS.<\/i> Fonte<\/a><\/noindex><\/p>\n

La parte superiore del modello (1 e 2) si basa su tecnologie di automazione e analisi varia, mentre la parte inferiore (3 e 4) su persone con competenze specifiche che gestiscono il processo. Si pu\u00f2 considerare il modello muovendosi dall'alto verso il basso, dove nella parte superiore blu abbiamo avvisi da strumenti di protezione tradizionali (antivirus, EDR, firewall, firme) con un alto grado di certezza e fiducia, e pi\u00f9 in basso indicatori (IOC, URL, MD5 e altri) che hanno un grado di certezza inferiore e richiedono ulteriori indagini. E il livello pi\u00f9 basso e pi\u00f9 spesso (4) \u00e8 la generazione di ipotesi, la creazione di nuovi scenari di funzionamento degli strumenti di protezione tradizionali. Questo livello non \u00e8 limitato solo alle fonti di ipotesi indicate. Pi\u00f9 basso \u00e8 il livello, maggiori sono i requisiti per le competenze dell'analista.<\/p>\n

\u00c8 molto importante che gli analisti non si limitino a controllare un insieme finale di ipotesi predefinite, ma lavorino costantemente per generare nuove ipotesi e varianti di verifica.<\/p>\n

Modello di maturit\u00e0 nell'uso di TH<\/h2>\n

\nIn un mondo ideale, il TH \u00e8 un processo continuo. Ma, poich\u00e9 non esiste un mondo ideale, analizziamo il modello di maturit\u00e0<\/a><\/noindex> e i metodi attraverso persone, processi e tecnologie utilizzate. Consideriamo il modello ideale di TH. Ci sono 5 livelli di utilizzo di questa tecnologia. Esaminiamoli attraverso l'evoluzione di un singolo team di analisti.<\/p>\n

Livelli di maturit\u00e0<\/b>
\nPersone<\/b>
\nProcessi<\/b>
\nTecnologie<\/b><\/p>\n

Livello 0<\/b>
\nAnalisti SOC
\n24\/7
\nStrumenti tradizionali:<\/p>\n

Tradizionale
\nSet di avvisi
\nMonitoraggio passivo
\nIDS, AV, Sandboxing,<\/p>\n

Senza TH<\/i>
\nGestione degli avvisi<\/p>\n

strumenti di analisi basati su firme, dati di Threat Intelligence.<\/p>\n

Livello 1<\/b>
\nAnalisti SOC
\nTH occasionale
\nEDR<\/p>\n

Sperimentale
\nConoscenze di base sulla forensic
\nRicerca di IOC
\nCopertura parziale dei dati dai dispositivi di rete<\/p>\n

Sperimentazioni con il TH<\/i>
\nBuona conoscenza delle reti e della parte applicativa<\/p>\n

Applicazione parziale<\/p>\n

Livello 2<\/b>
\nAttivit\u00e0 temporanea
\nSprint
\nEDR<\/p>\n

Periodico
\nConoscenze medie sulla forensic
\nUna settimana al mese
\nApplicazione completa<\/p>\n

TH temporaneo<\/i>
\nOttima conoscenza delle reti e della parte applicativa
\nTH regolare
\nAutomazione completa nell'uso dei dati EDR<\/p>\n

Uso parziale delle capacit\u00e0 avanzate di EDR<\/p>\n

Livello 3<\/b>
\nTeam dedicato al TH
\n24\/7
\nPossibilit\u00e0 parziale di verificare le ipotesi del TH<\/p>\n

Preventivo
\nOttime conoscenze di forense e malware
\nPreventivo TH
\nMassimo utilizzo delle capacit\u00e0 avanzate EDR<\/p>\n

Casi specifici TH<\/i>
\nOttime conoscenze della parte attaccante
\nCasi specifici TH
\nCopertura completa dei dati provenienti da dispositivi di rete<\/p>\n

Configurazione su misura<\/p>\n

Livello 4<\/b>
\nTeam dedicato al TH
\n24\/7
\nPiena capacit\u00e0 di verificare le ipotesi TH<\/p>\n

Leader
\nOttime conoscenze di forense e malware
\nPreventivo TH
\nLivello 3, pi\u00f9:<\/p>\n

Utilizzo TH<\/i>
\nOttime conoscenze della parte attaccante
\nVerifica, automazione e validazione delle ipotesi TH
\nintegrazione stretta delle fonti di dati;<\/p>\n

Capacit\u00e0 di ricerca<\/p>\n

sviluppo su misura e utilizzo non standard delle API.<\/p>\n

Livelli di maturit\u00e0 TH in relazione a persone, processi e tecnologie<\/i><\/p>\n

Livello 0:<\/b> tradizionale, senza utilizzo di TH. Gli analisti comuni lavorano con un insieme standard di avvisi in modalit\u00e0 di monitoraggio passivo utilizzando strumenti e tecnologie standard: IDS, AV, sandbox, strumenti di analisi basata su firme.<\/p>\n

Livello 1:<\/b> sperimentale, utilizzando TH. Gli stessi analisti con conoscenze di base in forensic e una buona comprensione delle reti e della parte applicativa possono eseguire un Threat Hunting una tantum attraverso la ricerca di indicatori di compromissione. Gli strumenti includono EDR con copertura parziale dei dati provenienti dai dispositivi di rete. Gli strumenti sono applicati parzialmente.<\/p>\n

Livello 2:<\/b> periodico, temporaneo TH. Gli stessi analisti che hanno gi\u00e0 potenziato le proprie competenze in forensic, reti e nelle parti applicate hanno l'obbligo di dedicarsi regolarmente (sprint) al Threat Hunting, per esempio, una settimana al mese. Si aggiungono strumenti come l'analisi completa dei dati dai dispositivi di rete, l'automazione dell'analisi dei dati dall'EDR e un uso parziale delle funzionalit\u00e0 avanzate dell'EDR.<\/p>\n

Livello 3:<\/b> preventivo, frequenti casi di TH. I nostri analisti si sono organizzati in un team dedicato, acquisendo eccellenti conoscenze di forensic e malware, oltre a competenze sui metodi e le tattiche delle parti attaccanti. Il processo \u00e8 gi\u00e0 attivo 24\/7. Il team \u00e8 in grado di esaminare parzialmente le ipotesi di TH, utilizzando appieno le funzionalit\u00e0 avanzate dell'EDR con una copertura completa dei dati dai dispositivi di rete. Inoltre, gli analisti possono configurare gli strumenti secondo le loro necessit\u00e0.<\/p>\n

Livello 4:<\/b> leader, utilizzo di TH. Lo stesso team ha acquisito la capacit\u00e0 di fare ricerche, generare e automatizzare il processo di verifica delle ipotesi di TH. Ora gli strumenti si sono arricchiti di una stretta integrazione delle fonti dati, sviluppo software su misura e utilizzo non convenzionale delle API.<\/p>\n

Tecniche di Threat Hunting<\/h2>\n

\n\"ThreatTecniche base di Threat Hunting<\/i><\/p>\n

A tecniche<\/a><\/noindex> Le tecniche di TH in base alla maturit\u00e0 della tecnologia utilizzata includono: ricerca di base, analisi statistica, tecniche di visualizzazione, aggregazioni semplici, apprendimento automatico e metodi bayesiani. <\/p>\n

Il metodo pi\u00f9 semplice \u00e8 la ricerca di base, utilizzato per restringere l'area di studio attraverso specifiche query. L'analisi statistica, ad esempio, viene applicata per costruire modelli di attivit\u00e0 utente o di rete in forma di modello statistico. Le tecniche di visualizzazione sono utilizzate per rappresentare graficamente e semplificare l'analisi dei dati mediante grafici e diagrammi, dove \u00e8 molto pi\u00f9 semplice cogliere schemi nel campione. La tecnica di aggregazione semplice su campi chiave \u00e8 utilizzata per ottimizzare la ricerca e l'analisi. Maggiore \u00e8 il livello di maturit\u00e0 raggiunto dall'organizzazione nel processo di TH, tanto pi\u00f9 rilevante diventa l'uso di algoritmi di machine learning. Questi ultimi sono ampiamente utilizzati anche nella filtrazione della spam, nella rilevazione del traffico dannoso e nella rilevazione di frodi. Un tipo pi\u00f9 avanzato di algoritmi di machine learning sono i metodi bayesiani, che consentono di svolgere attivit\u00e0 di classificazione, riduzione della dimensionalit\u00e0 del campione e modellazione tematica.<\/p>\n

Modello a diamante e strategie TH<\/h2>\n

\nSergio Caltagiron, Andrew Pendegast e Christopher Betz nel loro lavoro \u00abIl Modello a Diamante per l'Analisi delle Intrusioni<\/a><\/noindex>\u00bb hanno mostrato le principali componenti di ogni attivit\u00e0 dannosa e la relazione fondamentale tra di esse.<\/p>\n

\"ThreatIl Modello a Diamante per l'attivit\u00e0 dannosa<\/i><\/p>\n

Secondo questo modello, ci sono 4 strategie di Threat Hunting che si basano sulle relative componenti chiave.<\/p>\n

1. Strategia incentrata sulla vittima. Si presume che la vittima abbia avversari, e questi forniranno \"opportunit\u00e0\" tramite e-mail. Cerchiamo dati nemici nelle email. Esaminiamo link, allegati, ecc. Cerchiamo conferme a questa ipotesi per un certo periodo (un mese, due settimane), se non troviamo nulla, significa che l'ipotesi non ha funzionato.<\/p>\n

2. Strategia incentrata sull'infrastruttura. Ci sono diversi metodi per utilizzare questa strategia. A seconda dell'accesso e della visibilit\u00e0, alcuni di essi sono pi\u00f9 facili di altri. Ad esempio, monitoriamo i server dei nomi di dominio noti per ospitare domini dannosi. Oppure seguiamo il processo di tracciamento di tutte le nuove registrazioni di nomi di dominio alla ricerca di schemi noti utilizzati dall'avversario.<\/p>\n

3. Strategia orientata alle opportunit\u00e0. Oltre alla strategia orientata alla vittima, utilizzata dalla maggior parte dei defender di rete, esiste una strategia orientata alle opportunit\u00e0. Questa \u00e8 la seconda pi\u00f9 popolare e si concentra sulla rilevazione delle opportunit\u00e0 da parte dell'avversario, in particolare dei \"malware\" e sull'uso da parte dell'avversario di strumenti legittimi come psexec, powershell, certutil e altri.<\/p>\n

4. Strategia orientata all'avversario. L'approccio orientato all'avversario si focalizza sull'avversario stesso. Include l'uso di informazioni aperte provenienti da fonti pubbliche (OSINT), la raccolta di dati sull'avversario, le sue tecniche e metodi (TTP), l'analisi di incidenti precedenti, dati di Threat Intelligence, e cos\u00ec via.<\/p>\n

Fonti di informazioni e ipotesi nel TH<\/h2>\n

\n\"ThreatAlcune fonti di informazioni per il Threat Hunting<\/i><\/p>\n

Le fonti di informazione possono essere numerose. Un analista ideale deve saper estrarre informazioni da tutto ci\u00f2 che lo circonda. Le fonti tipiche in quasi ogni infrastruttura saranno i dati provenienti dagli strumenti di sicurezza: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Anche indicatori di compromissione, servizi di Threat Intelligence, dati CERT e OSINT saranno fonti informative comuni. Inoltre, \u00e8 possibile utilizzare informazioni dal dark web (ad esempio, c'\u00e8 una richiesta improvvisa per hackerare la casella di posta elettronica del dirigente dell'organizzazione, o un candidato per la posizione di ingegnere di rete \u00e8 emerso per la sua attivit\u00e0), informazioni ricevute dalle risorse umane (feedback sul candidato dal suo precedente impiego) e informazioni dal servizio di sicurezza (ad esempio, i risultati della verifica dei partner commerciali).<\/p>\n

Ma prima di utilizzare tutte le fonti disponibili, \u00e8 necessario avere almeno un'ipotesi.<\/p>\n

\"ThreatFonte<\/a><\/noindex><\/p>\n

Per testare le ipotesi, \u00e8 necessario prima formularle. E per formulare molte ipotesi di qualit\u00e0, \u00e8 fondamentale applicare un approccio sistematico. Maggiori dettagli sul processo di generazione delle ipotesi sono descritti in articolo<\/a><\/noindex>, \u00e8 molto utile prendere come base per il processo di formulazione delle ipotesi questo schema.<\/p>\n

La principale fonte di ipotesi sar\u00e0 la matrice ATT&CK<\/b> (Adversarial Tactics, Techniques and Common Knowledge). Essa rappresenta, di fatto, una base di conoscenze e un modello per valutare il comportamento degli aggressori che realizzano le loro attivit\u00e0 nelle fasi finali di un attacco, solitamente descritto attraverso il concetto di Kill Chain. Cio\u00e8, nelle fasi dopo l'intrusione dell'aggressore nella rete interna dell'azienda o su un dispositivo mobile. Inizialmente, la base di conoscenze includeva la descrizione di 121 tattiche e tecniche utilizzate negli attacchi, ognuna delle quali \u00e8 dettagliata in formato Wiki. Un'ottima fonte per la generazione di ipotesi \u00e8 rappresentata da diverse analisi di Threat Intelligence. \u00c8 particolarmente importante notare i risultati dell'analisi dell'infrastruttura e dei test di penetrazione: questi sono i dati pi\u00f9 preziosi che possono fornirci ipotesi solide, poich\u00e9 si basano su un'infrastruttura specifica con le sue particolari vulnerabilit\u00e0.<\/p>\n

Il processo di verifica delle ipotesi<\/h2>\n

\nSergei Soldatov ha fornito un buon schema<\/a><\/noindex> con una descrizione dettagliata del processo, illustra il processo di verifica delle ipotesi TH in un sistema specifico. Indicher\u00f2 le fasi principali con una breve descrizione.<\/p>\n

\"ThreatFonte<\/a><\/noindex> <\/p>\n

Fase 1: TI Farm<\/b><\/p>\n

In questa fase \u00e8 necessario identificare oggetti<\/b> (analizzandoli insieme a tutti i dati sulle minacce) assegnando loro etichette con le loro caratteristiche. Questo pu\u00f2 essere un file, un URL, un MD5, un processo, un'utilit\u00e0, un evento. Attraversando i sistemi di Threat Intelligence, \u00e8 necessario applicare le etichette. Ovvero, questo sito \u00e8 stato notato nel CNC in un determinato anno, questo MD5 \u00e8 stato associato a un certo malware, questo MD5 \u00e8 stato scaricato da un sito che distribuiva malware.<\/p>\n

Fase 2: Casi<\/b><\/p>\n

Nella seconda fase, osserviamo l'interazione tra questi oggetti e identifichiamo le relazioni tra di essi. Otteniamo sistemi etichettati che fanno qualcosa di male.<\/p>\n

Fase 3: Analista<\/b><\/p>\n

Nella terza fase, il caso viene passato a un analista esperto, con una vasta esperienza nell'analisi, che emette il verdetto. Analizza in dettaglio cosa, da dove, come, perch\u00e9 questo codice agisca. Questo corpo era malevolo, questo computer era infettato. Scopre le relazioni tra gli oggetti e verifica i risultati nel sandbox.<\/p>\n

I risultati del lavoro dell'analista vengono trasferiti successivamente. La Digital Forensics esamina le immagini, Malware Analysis analizza i corpi trovati, mentre il team di Incident Response pu\u00f2 recarsi sul posto per esaminare situazioni gi\u00e0 in atto. Il risultato del lavoro sar\u00e0 un'ipotesi confermata, un attacco identificato e modalit\u00e0 di contrasto.<\/p>\n

\"ThreatFonte<\/a><\/noindex>
\n \u00a0<\/p>\n

Risultati<\/h2>\n

\nIl Threat Hunting \u00e8 una tecnologia relativamente nuova, capace di contrastare efficacemente minacce personalizzate, nuove e atipiche, e presenta grandi prospettive considerando l'aumento di tali minacce e la complessit\u00e0 delle infrastrutture aziendali. Essa richiede tre elementi fondamentali: dati, strumenti e analisti. I benefici del Threat Hunting non si limitano solo alla prevenzione delle minacce. \u00c8 importante ricordare che durante la ricerca ci immergiamo nella nostra infrastruttura, individuando le sue vulnerabilit\u00e0 attraverso gli occhi di un analista esperto in sicurezza, che possiamo poi rafforzare ulteriormente.<\/p>\n

I primi passi che, a nostro avviso, dovrebbero essere intrapresi per avviare il processo di TH nella propria organizzazione.<\/p>\n

    \n
  1. Occuparsi della protezione dei punti finali e dell'infrastruttura di rete. Garantire la visibilit\u00e0 (NetFlow) e il controllo (firewall, IDS, IPS, DLP) di tutti i processi nella tua rete. Conoscere la propria rete dal router di confine all'ultimo host.<\/li>\n
  2. Esplora MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Effettuare regolarmente penetration test su almeno le risorse esterne chiave, analizzare i risultati, identificare gli obiettivi principali per l'attacco e chiudere le loro vulnerabilit\u00e0.<\/li>\n
  4. Implementare un sistema di Threat Intelligence open source (ad esempio, MISP, Yeti) e condurre analisi dei log insieme ad esso.<\/li>\n
  5. Implementare una piattaforma di risposta agli incidenti (IRP): R-Vision IRP, The Hive, sandbox per l'analisi di file sospetti (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatizzare i processi di routine. L'analisi dei log, la gestione degli incidenti, l'informazione del personale: un enorme campo per l'automazione.<\/li>\n
  7. Imparare a interagire in modo efficace con ingegneri, sviluppatori e supporto tecnico per collaborare sulla gestione degli incidenti.<\/li>\n
  8. Documentare l'intero processo, i punti chiave, i risultati raggiunti, per poterli rivedere in seguito o condividere queste informazioni con i colleghi;<\/li>\n
  9. Ricorda l'aspetto sociale: sii consapevole di cosa sta accadendo con i tuoi dipendenti, chi assumi e a chi concedi accesso alle risorse informative dell'organizzazione.<\/li>\n
  10. Rimanere aggiornati sulle tendenze relative alle nuove minacce e ai metodi di protezione, migliorando il proprio livello di competenza tecnica (incluso l'utilizzo dei servizi IT e dei sottosistemi), partecipare a conferenze e interagire con i colleghi.<\/li>\n<\/ol>\n

    \nPronto a discutere l'organizzazione del processo TH nei commenti.<\/p>\n

    O vieni a lavorare con noi!<\/b><\/p>\n