{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Threat Hunting, o Come proteggersi dal 5% delle minacce","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Il 95% delle minacce alla sicurezza informatica sono note e possono essere affrontate con mezzi tradizionali come antivirus, firewall, IDS, WAF. Il restante 5% delle minacce \u00e8 sconosciuto e rappresenta la parte pi\u00f9 pericolosa. Queste costituiscono il 70% del rischio per l'azienda, poich\u00e9 \u00e8 molto difficile rilevarle e, ancor di pi\u00f9, difendersi da esse. Esempi di \"cigni neri\" \"cigni neri\"<\/a><\/noindex> includono le epidemie di ransomware WannaCry, NotPetya\/ExPetr, i cryptominer, l'\"arma cibernetica\" Stuxnet (che ha colpito le strutture nucleari iraniane) e molte (qualcuno si ricorda di Kido\/Conficker?) altre attacchi, da cui non \u00e8 semplice difendersi con le metodologie di protezione classiche. Vogliamo discutere su come opporsi a queste minacce del 5% utilizzando la tecnologia Threat Hunting.<\/p>\n

\"Threat<\/a><\/noindex>
\n Lo sviluppo continuo degli attacchi informatici richiede un costante rilevamento e contrasto, portandoci alla riflessione su una corsa infinita agli armamenti tra criminali informatici e difensori. I sistemi di protezione tradizionali non sono in grado di garantire un livello di sicurezza accettabile, in cui il rischio non influisce sui principali indicatori aziendali (economici, politici, reputazione), senza modifiche per adattarsi a specifiche infrastrutture, ma nel complesso coprono parte dei rischi. Gi\u00e0 durante l'implementazione e la configurazione, i moderni sistemi di protezione si trovano in una posizione di rincorsa e devono rispondere alle sfide dei tempi attuali.<\/p>\n

\"ThreatFonte<\/noindex><\/p>\n

Una delle risposte alle sfide contemporanee per uno specialista della sicurezza informatica pu\u00f2 essere la tecnologia Threat Hunting. Il termine Threat Hunting (di seguito TH) \u00e8 emerso alcuni anni fa. La tecnologia \u00e8 piuttosto interessante, ma non ha ancora standard e norme comuni riconosciute. Anche la variet\u00e0 delle fonti di informazione e la scarsit\u00e0 di fonti di lingua russa su questo argomento complicano la situazione. Di conseguenza, in \"Lanit-Integrazioni\" abbiamo deciso di scrivere una panoramica su questa tecnologia. <\/p>\n

Rilevanza<\/h2>\n

\nLa tecnologia TH si basa sui processi di monitoraggio dell'infrastruttura. Esistono due scenari principali di monitoraggio interno: Alerting e Hunting<\/a><\/noindex>. Alerting (di tipo MSSP) \u2013 un metodo tradizionale, ricerca di firme e indicatori di attacco sviluppati in precedenza e risposta a essi. Questo scenario \u00e8 eseguito con successo da strumenti di protezione tradizionali basati su firme. Hunting (servizio di tipo MDR) \u2013 un metodo di monitoraggio che risponde alla domanda \u00abDa dove provengono le firme e le regole?\u00bb. \u00c8 un processo di creazione di regole di correlazione analizzando indicatori nascosti o precedentemente sconosciuti e segni di attacco. Questo tipo di monitoraggio si riferisce al Threat Hunting.<\/p>\n

\"Threat
\nSolo combinando entrambi i tipi di monitoraggio, otteniamo una protezione vicina all'ideale, ma rimane sempre un certo livello di rischio residuo.<\/p>\n

\"ThreatProtezione mediante l'uso di due tipi di monitoraggio<\/i><\/p>\n

Ecco perch\u00e9 il TH (e il hunting in generale!) diventer\u00e0 sempre pi\u00f9 rilevante:<\/p>\n

\"ThreatMinacce, strumenti di protezione, rischi.<\/i> Fonte<\/a><\/noindex><\/p>\n

Il 95% di tutte le minacce \u00e8 gi\u00e0 ben noto<\/a><\/noindex>. Questi includono tipi come spam, DDoS, virus, rootkit e altri malware classici. Proteggersi da queste minacce \u00e8 possibile con gli stessi strumenti di protezione tradizionali.<\/p>\n

Durante l'esecuzione di qualsiasi progetto Il 20% del tempo impiega a completare l'80% del lavoro<\/a><\/noindex>, mentre il restante 20% del lavoro richiede l'80% del tempo. Analogamente, tra tutto il panorama delle minacce, il 5% delle minacce di nuova generazione costituir\u00e0 il 70% del rischio per l'azienda. Nella gestione dei processi di sicurezza delle informazioni, possiamo gestire in un modo o nell'altro il 30% del rischio associato a minacce conosciute, evitando (rinunciando alle reti wireless in generale), accettando (implementando gli strumenti di protezione necessari) o trasferendo (ad esempio, sulle spalle dell'integratore) questo rischio. Tuttavia, proteggersio da vulnerabilit\u00e0 zero-day<\/a><\/noindex>, attacchi APT, phishing, attacchi della catena di fornitura<\/a><\/noindex>, operazioni di cyber spionaggio e nazionali, cos\u00ec come da un gran numero di altri attacchi, \u00e8 gi\u00e0 molto pi\u00f9 complesso. Le conseguenze di queste minacce del 5% saranno di gran lunga pi\u00f9 gravi (l'ammontare medio delle perdite bancarie a causa della gruppa buhtrap \u2013 143 milioni<\/a><\/noindex>), rispetto alle conseguenze di spam o virus, dai quali ci protegge il software antivirus.<\/p>\n

Il 5% delle minacce \u00e8 qualcosa con cui praticamente tutti devono fare i conti. Di recente siamo stati costretti a installare una soluzione open-source che utilizza un'applicazione dal repository PEAR (PHP Extension and Application Repository). Il tentativo di installare questa applicazione tramite pear install \u00e8 fallito, poich\u00e9 sito<\/a><\/noindex> non era disponibile (ora ha gi\u00e0 un messaggio di avviso), ho dovuto installarlo da GitHub. E poco tempo fa \u00e8 emerso che PEAR \u00e8 diventato vittima di un attacco della catena di approvvigionamento<\/a><\/noindex>.<\/p>\n

\"Threat<\/p>\n

Si pu\u00f2 ricordare anche l'attacco che ha utilizzato CCleaner<\/a><\/noindex>, l'epidemia del ransomware NePetya attraverso il modulo di aggiornamento del software di contabilit\u00e0 fiscale M.E.Doc<\/a><\/noindex>. Le minacce diventano sempre pi\u00f9 sofisticate, e sorge la domanda logica: \"Come possiamo affrontare queste minacce del 5%?\"<\/p>\n

Definizione di Threat Hunting<\/h2>\n

\nQuindi, il Threat Hunting \u00e8 il processo proattivo e iterativo di ricerca e identificazione di minacce avanzate che non possono essere rilevate con mezzi di protezione tradizionali. Le minacce avanzate includono, ad esempio, attacchi APT, attacchi a vulnerabilit\u00e0 0-day, Living off the Land e cos\u00ec via.<\/p>\n

Si pu\u00f2 anche riformulare dicendo che TH \u00e8 il processo di verifica delle ipotesi. Questo \u00e8 principalmente un processo manuale con elementi di automazione, all'interno del quale un analista, basandosi sulle proprie conoscenze e qualifiche, setaccia grandi volumi di informazioni in cerca di segni di compromissione, in base a un'ipotesi inizialmente stabilita sulla presenza di una determinata minaccia. La sua caratteristica distintiva \u00e8 la variet\u00e0 delle fonti di informazione.<\/p>\n

Va notato che il Threat Hunting non \u00e8 un prodotto software o hardware. Non si tratta di allerta che possono essere viste in una qualche soluzione. Non \u00e8 un processo di ricerca degli IOC (indicatori di compromissione). E non \u00e8 un'attivit\u00e0 passiva che si svolge senza il coinvolgimento degli analisti della sicurezza informatica. Il Threat Hunting \u00e8, prima di tutto, un processo.<\/p>\n

Componenti del Threat Hunting<\/h2>\n

\n\"Threat
\nTre componenti principali del Threat Hunting: dati, tecnologie, persone.<\/p>\n

Dati (cosa?)<\/b>, compresi i Big Data. Tutti i tipi di flussi di traffico, informazioni su APT precedentemente condotti, analisi, dati sull'attivit\u00e0 degli utenti, dati di rete, informazioni dai dipendenti, informazioni nel dark web e molto altro.<\/p>\n

Tecnologie (come?)<\/b> per elaborare questi dati - tutti i possibili modi per elaborare questi dati, compreso il Machine Learning.<\/p>\n

Persone (chi?)<\/b> \u2013 coloro che hanno una grande esperienza nell'analisi di attacchi diversi, un'intuizione sviluppata e la capacit\u00e0 di individuare un attacco. Di solito sono analisti di sicurezza informatica, che devono avere la capacit\u00e0 di generare ipotesi e trovare conferme per esse. Sono il collegamento principale del processo.<\/p>\n

Modello PARIS<\/h2>\n

\nAdam Baitman descrive<\/a><\/noindex> il modello PARIS per il processo TH ideale. Il nome suggerisce in qualche modo un noto punto di riferimento in Francia. Questo modello pu\u00f2 essere considerato da due direzioni: dall'alto verso il basso e dal basso verso l'alto.<\/p>\n

Nel processo di caccia alle minacce, muovendosi secondo il modello dal basso verso l'alto, ci confrontiamo con molte prove di attivit\u00e0 dannose. Ogni prova ha una misura di fiducia, una caratteristica che riflette il peso di quella prova. Ci sono prove \"ferree\", dirette di attivit\u00e0 dannose, che ci permettono di raggiungere subito la cima della piramide e creare un alert effettivo su una contaminazione nota. E ci sono prove indirette, la cui somma potrebbe portarci anche alla cima della piramide. Come sempre, ci sono molte pi\u00f9 prove indirette che dirette, il che significa che devono essere ordinate e analizzate, effettuate ulteriori ricerche e, preferibilmente, automatizzate.<\/p>\n

\"ThreatModello PARIS.<\/i> Fonte<\/a><\/noindex><\/p>\n

La parte superiore del modello (1 e 2) si basa su tecnologie di automazione e varie analisi, mentre la parte inferiore (3 e 4) su persone con specifiche qualifiche che gestiscono il processo. Si pu\u00f2 considerare il modello muovendosi dall'alto verso il basso, dove nella parte superiore blu abbiamo alert dai tradizionali strumenti di protezione (antivirus, EDR, firewall, firme) con un alto grado di fiducia e sicurezza, mentre sotto ci sono indicatori (IOC, URL, MD5 e altri) che hanno un grado di fiducia inferiore e richiedono ulteriori approfondimenti. E il livello pi\u00f9 basso e pi\u00f9 spesso (4) \u2013 generazione di ipotesi, creazione di nuovi scenari di funzionamento degli strumenti di protezione tradizionali. Questo livello non si limita solo alle fonti di ipotesi indicate. Pi\u00f9 si scende nel livello, maggiori sono i requisiti richiesti per la qualifica dell'analista.<\/p>\n

\u00c8 molto importante che gli analisti non si limitino a verificare un insieme finale di ipotesi predefinite, ma lavorino costantemente per generare nuove ipotesi e varianti di verifica.<\/p>\n

Modello di maturit\u00e0 nell'uso di TH<\/h2>\n

\nIn un mondo ideale, TH \u00e8 un processo continuo. Ma, poich\u00e9 il mondo ideale non esiste, analizziamo il modello di maturit\u00e0<\/a><\/noindex> e i metodi in relazione a persone, processi e tecnologie utilizzate. Consideriamo il modello ideale sferico di TH. Ci sono 5 livelli di utilizzo di questa tecnologia. Esaminiamoli attraverso l'evoluzione di un singolo team di analisti.<\/p>\n

Livelli di maturit\u00e0<\/b>
\nLe persone<\/b>
\nProcessi<\/b>
\nTecnologie<\/b><\/p>\n

Livello 0<\/b>
\nAnalisti SOC
\n24\/7
\nStrumenti tradizionali:<\/p>\n

Tradizionale
\nSet di avvisi
\nMonitoraggio passivo
\nIDS, AV, sandboxing,<\/p>\n

Senza TH<\/i>
\nGestione degli avvisi<\/p>\n

strumenti di analisi delle firme, dati di Threat Intelligence.<\/p>\n

Livello 1<\/b>
\nAnalisti SOC
\nTH occasionale
\nEDR<\/p>\n

Sperimentale
\nConoscenze di base forensi
\nRicerca di IOC
\nCopertura parziale dei dati dai dispositivi di rete<\/p>\n

Sperimentazioni con TH<\/i>
\nBuona conoscenza delle reti e della parte applicativa<\/p>\n

Applicazione parziale<\/p>\n

Livello 2<\/b>
\nAttivit\u00e0 temporanea
\nSprint
\nEDR<\/p>\n

Periodico
\nConoscenze moderate forensi
\nSettimana al mese
\nApplicazione completa<\/p>\n

TH temporaneo<\/i>
\nEccellente conoscenza delle reti e della parte applicativa
\nTH regolare
\nAutomazione completa dell'uso dei dati EDR<\/p>\n

Utilizzo parziale delle funzionalit\u00e0 avanzate di EDR<\/p>\n

Livello 3<\/b>
\nTeam dedicato a TH
\n24\/7
\nCapacit\u00e0 parziale di verificare le ipotesi di TH<\/p>\n

Preventivo
\nEccellenti conoscenze forensi e di malware
\nTH preventivo
\nUtilizzo completo delle funzionalit\u00e0 avanzate di EDR<\/p>\n

Casi specifici di TH<\/i>
\nEccellenti conoscenze degli attaccanti
\nCasi specifici di TH
\nCopertura completa dei dati dai dispositivi di rete<\/p>\n

Configurazione in base alle esigenze<\/p>\n

Livello 4<\/b>
\nTeam dedicato a TH
\n24\/7
\nPiena capacit\u00e0 di verificare le ipotesi di TH<\/p>\n

Leader
\nEccellenti conoscenze forensi e di malware
\nTH preventivo
\nLivello 3, pi\u00f9:<\/p>\n

Utilizzo di TH<\/i>
\nEccellenti conoscenze degli attaccanti
\nVerifica, automazione e verifica delle ipotesi di TH
\nintegrazione stretta delle fonti di dati;<\/p>\n

Capacit\u00e0 di ricerca<\/p>\n

sviluppo personalizzato in base alle esigenze e utilizzo non standard delle API.<\/p>\n

Livelli di maturit\u00e0 di TH in relazione a persone, processi e tecnologie<\/i><\/p>\n

Livello 0:<\/b> tradizionale, senza utilizzare TH. Gli analisti normali lavorano con un set standard di avvisi in modalit\u00e0 di monitoraggio passivo utilizzando strumenti e tecnologie standard: IDS, AV, sandbox, strumenti di analisi delle firme.<\/p>\n

Livello 1:<\/b> sperimentale, utilizzando TH. Gli stessi analisti con conoscenze di base di forensics e una buona comprensione delle reti e delle applicazioni possono effettuare una threat hunting occasionale cercando indicatori di compromissione. Gli strumenti includono EDR con una copertura parziale dei dati provenienti dai dispositivi di rete. Gli strumenti sono utilizzati in modo parziale.<\/p>\n

Livello 2:<\/b> periodico, temporaneo TH. A quegli stessi analisti che hanno gi\u00e0 approfondito le loro conoscenze in forensic, reti e aspetti applicativi, viene assegnato il compito di dedicarsi regolarmente (sprint) al Threat Hunting, diciamo, una settimana al mese. Gli strumenti includono un'analisi completa dei dati provenienti dai dispositivi di rete, l'automazione dell'analisi dei dati da EDR e un uso parziale delle funzionalit\u00e0 avanzate di EDR.<\/p>\n

Livello 3:<\/b> preventivo, casi frequenti di TH. I nostri analisti si sono organizzati in un team dedicato, acquisendo ottime conoscenze in forensics e malware, cos\u00ec come conoscenze sulle metodologie e le tattiche dell'attacco. Il processo \u00e8 gi\u00e0 attivato in modalit\u00e0 24\/7. Il team \u00e8 in grado di testare parzialmente le ipotesi di TH, utilizzando completamente le funzionalit\u00e0 avanzate di EDR con copertura totale dei dati provenienti dai dispositivi di rete. Inoltre, gli analisti sono in grado di configurare gli strumenti secondo le proprie esigenze.<\/p>\n

Livello 4:<\/b> leader, utilizzo di TH. Lo stesso team ha acquisito la capacit\u00e0 di ricerca, abilit\u00e0 nel generare e automatizzare il processo di verifica delle ipotesi di TH. Ora gli strumenti includono un'integrazione stretta delle fonti di dati, sviluppo di software su misura per le esigenze e utilizzo non convenzionale delle API.<\/p>\n

Tecniche di Threat Hunting<\/h2>\n

\n\"ThreatTecniche di base di Threat Hunting<\/i><\/p>\n

Alle tecniche<\/a><\/noindex> di TH in base alla maturit\u00e0 della tecnologia utilizzata appartengono: ricerca di base, analisi statistica, tecniche di visualizzazione, aggregazioni semplici, apprendimento automatico e metodi bayesiani. <\/p>\n

Il metodo pi\u00f9 semplice \u00e8 la ricerca di base, utilizzata per restringere l'ambito di indagine mediante richieste specifiche. L'analisi statistica \u00e8 applicata, ad esempio, per costruire un modello statistico delle tipiche attivit\u00e0 degli utenti o delle loro interazioni in rete. Le tecniche di visualizzazione vengono impiegate per rappresentare graficamente e semplificare l'analisi dei dati, rendendo pi\u00f9 facile individuare schemi nei campioni. La tecnica delle semplici aggregazioni sui campi chiave \u00e8 utilizzata per ottimizzare la ricerca e l'analisi. Maggiore \u00e8 il livello di maturit\u00e0 che il processo di TH raggiunge all'interno dell'organizzazione, pi\u00f9 rilevante diventa l'uso di algoritmi di machine learning. Questi ultimi sono ampiamente utilizzati, ad esempio, per la filtrazione di spam, la rilevazione di traffico malevolo e la scoperta di attivit\u00e0 fraudolente. Un tipo pi\u00f9 avanzato di algoritmi di machine learning sono i metodi bayesiani, che consentono di eseguire classificazioni, riduzione della dimensionalit\u00e0 del campione e modellazione tematica.<\/p>\n

Modello del diamante e strategie TH<\/h2>\n

\nSergio Caltagirone, Andrew Pendergast e Christopher Betz nella loro opera \u00abIl modello del diamante per l'analisi delle intrusioni<\/a><\/noindex>\u00bb hanno mostrato i principali elementi chiave di qualsiasi attivit\u00e0 malevola e il legame fondamentale tra di essi.<\/p>\n

\"ThreatModello del diamante per attivit\u00e0 malevole<\/i><\/p>\n

Secondo questo modello ci sono 4 strategie di Threat Hunting, che si basano sugli elementi chiave corrispondenti.<\/p>\n

1. Strategia incentrata sulla vittima. Supponiamo che la vittima abbia dei nemici e che questi possano presentare \"opportunit\u00e0\" via email. Cerchiamo dati avversari nella posta. Ricerca di link, allegati, ecc. Cerchiamo conferme di questa ipotesi per un certo periodo (un mese, due settimane); se non troviamo nulla, allora l'ipotesi non ha funzionato.<\/p>\n

2. Strategia incentrata sull'infrastruttura. Esistono diversi metodi per utilizzare questa strategia. A seconda dell'accesso e della visibilit\u00e0, alcuni di essi sono pi\u00f9 facili di altri. Ad esempio, monitoriamo i server dei nomi di dominio noti per ospitare domini dannosi. Oppure, eseguiamo un processo di monitoraggio di tutte le nuove registrazioni di nomi di dominio per identificare schemi noti utilizzati dal nemico.<\/p>\n

3. Strategia orientata alle opportunit\u00e0. Oltre alla strategia orientata alla vittima, comunemente utilizzata dalla maggior parte dei difensori di rete, esiste una strategia orientata alle opportunit\u00e0. Questa \u00e8 la seconda pi\u00f9 popolare e si concentra sull'individuazione delle opportunit\u00e0 da parte dell'avversario, ovvero i \"malware\" e la possibilit\u00e0 che l'avversario utilizzi strumenti legittimi come psexec, powershell, certutil e altri.<\/p>\n

4. Strategia orientata all'avversario. L'approccio orientato all'avversario si concentra sull'avversario stesso. Questo include l'uso di informazioni open source da fonti pubbliche (OSINT), la raccolta di dati sull'avversario, le sue tecniche e metodi (TTP), l'analisi di incidenti precedenti, dati di Threat Intelligence e cos\u00ec via.<\/p>\n

Fonti di informazioni e ipotesi in TH<\/h2>\n

\n\"ThreatAlcune fonti di informazioni per il Threat Hunting<\/i><\/p>\n

Le fonti di informazione possono essere moltissime. Un analista ideale deve saper trarre informazioni da tutto ci\u00f2 che lo circonda. Le fonti tipiche in quasi ogni infrastruttura provengono dai mezzi di protezione: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Inoltre, indicatori di compromissione, servizi di Threat Intelligence, dati CERT e OSINT saranno fonti di informazione comuni. \u00c8 possibile utilizzare anche informazioni dal dark web (ad esempio, improvvisamente viene fatto un ordine per hackerare l'email del direttore dell'organizzazione, o un candidato per una posizione di ingegnere di rete \u00e8 stato esposto dalla sua attivit\u00e0), informazioni fornite da HR (feedback sui candidati dal loro precedente lavoro) e dati dal servizio di sicurezza (ad esempio, risultati della verifica di un contraente).<\/p>\n

Ma prima di utilizzare tutte le fonti disponibili, \u00e8 necessario avere almeno un'ipotesi.<\/p>\n

\"ThreatFonte<\/a><\/noindex><\/p>\n

Per verificare le ipotesi, \u00e8 necessario prima formularle. Per formulare molte ipotesi di qualit\u00e0, \u00e8 necessario applicare un approccio sistematico. Il processo di generazione delle ipotesi \u00e8 descritto in modo pi\u00f9 dettagliato in abbiamo chiarito il corretto completamento dei programmi che utilizzano il mediastreamer.<\/a><\/noindex>, questa schema \u00e8 molto comoda come base per il processo di formulazione delle ipotesi.<\/p>\n

La principale fonte di ipotesi sar\u00e0 la matrice ATT&CK<\/b> (Tattiche, Tecniche e Conoscenze Comuni). Essa rappresenta, in sostanza, una base di conoscenze e un modello per valutare il comportamento degli aggressori mentre realizzano le loro attivit\u00e0 nelle fasi finali di un attacco, solitamente descritto attraverso il concetto di Kill Chain. Cio\u00e8, nelle fasi successive all'intrusione dell'aggressore nella rete interna di un'azienda o su un dispositivo mobile. Inizialmente, la base di conoscenze includeva la descrizione di 121 tattiche e tecniche utilizzate negli attacchi, ognuna delle quali \u00e8 dettagliatamente descritta nel formato Wiki. L'analisi Threat Intelligence si presta bene come fonte per generare ipotesi. Vale la pena sottolineare i risultati dell'analisi dell'infrastruttura e dei test di penetrazione: questi sono i dati pi\u00f9 preziosi, poich\u00e9 ci forniscono ipotesi solide basate su un'infrastruttura concreta con i suoi specifici difetti.<\/p>\n

Processo di verifica delle ipotesi<\/h2>\n

\nSergei Soldatov ha presentato un ottimo schema<\/a><\/noindex> con una descrizione dettagliata del processo, essa illustra il processo di verifica delle ipotesi TH in un sistema specifico. Indico le fasi principali con una breve descrizione.<\/p>\n

\"ThreatFonte<\/a><\/noindex> <\/p>\n

Fase 1: TI Farm<\/b><\/p>\n

In questa fase \u00e8 necessario identificare oggetti<\/b> (analizzandoli insieme a tutti i dati sulle minacce) assegnando loro etichette rispetto alle loro caratteristiche. Questo pu\u00f2 includere file, URL, MD5, processi, utility, eventi. Mentre li si fa passare attraverso i sistemi di Threat Intelligence, \u00e8 necessario applicare le etichette. Cio\u00e8, questo sito \u00e8 stato osservato in CNC in un certo anno, questo MD5 \u00e8 stato collegato a un certo malware, questo MD5 \u00e8 stato scaricato da un sito che distribuiva malware.<\/p>\n

Fase 2: Casi<\/b><\/p>\n

Nella seconda fase esaminiamo l'interazione tra questi oggetti e identifichiamo le relazioni tra di essi. Otteniamo sistemi etichettati che compiono attivit\u00e0 malevole.<\/p>\n

Fase 3: Analista<\/b><\/p>\n

Nella terza fase, il compito viene trasferito a un analista esperto, con una vasta esperienza nell'analisi, il quale emette un verdetto. Egli esamina a livello di byte cosa, da dove, come, perch\u00e9 questo codice opera. Questo corpo era un malware, questo computer era infetto. Svela le relazioni tra gli oggetti e verifica i risultati dell'esecuzione attraverso un sandbox.<\/p>\n

I risultati del lavoro dell'analista vengono trasmessi successivamente. Digital Forensics esamina le immagini, Malware Analysis analizza i \"corpi\" trovati, mentre il team di Incident Response pu\u00f2 intervenire sul posto e indagare su qualcosa gi\u00e0 presente. Il risultato del lavoro sar\u00e0 un'ipotesi confermata, un attacco identificato e le strade per contrastarlo.<\/p>\n

\"ThreatFonte<\/a><\/noindex>
\n \u00a0<\/p>\n

Conclusioni<\/h2>\n

\nIl Threat Hunting \u00e8 una tecnologia piuttosto giovane, capace di opporsi in modo efficace a minacce personalizzate, nuove e non standard, che ha grandi prospettive considerando l'aumento del numero di tali minacce e la complessit\u00e0 delle infrastrutture aziendali. Essa richiede tre elementi: dati, strumenti e analisti. I benefici del Threat Hunting non si limitano alla preminente attuazione delle minacce. Non dobbiamo dimenticare che nel processo di ricerca ci immergiamo nella nostra infrastruttura e nei suoi punti deboli, attraverso gli occhi di un analista esperto in sicurezza, e possiamo rafforzare ulteriormente questi punti.<\/p>\n

I primi passi che, a nostro avviso, devono essere compiuti per avviare il processo di Threat Hunting nella propria organizzazione.<\/p>\n

    \n
  1. Occuparsi della protezione dei punti finali e dell'infrastruttura di rete. Assicurarsi di avere visibilit\u00e0 (NetFlow) e controllo (firewall, IDS, IPS, DLP) di tutti i processi nella propria rete. Conoscere la propria rete dal router di confine fino all'ultimo host.<\/li>\n
  2. Studiare MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Condurre regolari penetration test almeno delle risorse esterne chiave, analizzare i risultati, isolare i principali obiettivi per l'attacco e chiudere le loro vulnerabilit\u00e0.<\/li>\n
  4. Implementare un sistema di Threat Intelligence open source (ad esempio, MISP, Yeti) e condurre l'analisi dei log in combinazione con esso.<\/li>\n
  5. Implementare una piattaforma di risposta agli incidenti (IRP): R-Vision IRP, The Hive, un sandbox per l'analisi dei file sospetti (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatizzare i processi di routine. L'analisi dei log, la gestione degli incidenti, l'informazione del personale: un ampio campo per l'automazione.<\/li>\n
  7. Imparare a interagire efficacemente con ingegneri, sviluppatori e supporto tecnico per una collaborazione nella gestione degli incidenti.<\/li>\n
  8. Documentare l'intero processo, i punti chiave, i risultati ottenuti, per poter tornare su di essi in seguito o condividere questi dati con i colleghi;<\/li>\n
  9. Ricordare il lato sociale: essere a conoscenza di ci\u00f2 che accade con i propri dipendenti, chi si assume e a chi si d\u00e0 accesso alle risorse informative dell'organizzazione.<\/li>\n
  10. Essere aggiornati sulle tendenze in materia di nuove minacce e modalit\u00e0 di protezione, migliorare il proprio livello di competenza tecnica (compreso il lavoro con i servizi IT e i sottosistemi), partecipare a conferenze e interagire con i colleghi.<\/li>\n<\/ol>\n

    \nPronto a discutere l'organizzazione del processo TH nei commenti.<\/p>\n

    Oppure venite a lavorare con noi!<\/b><\/p>\n