ציד איומים, או כיצד להגן על עצמך מפני 5% מהאיומים

95% מאיומי אבטחת המידע ידועים, ואתה יכול להגן על עצמך מפניהם באמצעות אמצעים מסורתיים כמו אנטי וירוסים, חומות אש, IDS, WAF. 5% הנותרים מהאיומים אינם ידועים והמסוכנים ביותר. הם מהווים 70% מהסיכון לחברה בשל העובדה שקשה מאוד לאתר אותם, ועוד פחות מכך להגן מפניהם. דוגמאות "ברבורים שחורים" האם מגיפת הכופר של WannaCry, NotPetya/ExPetr, קריפטומינרים, "נשק הסייבר" Stuxnet (שפגע במתקני הגרעין של איראן) ועוד הרבה (מישהו זוכר את Kido/Conficker?) מתקפות אחרות שאינן מוגנות היטב מפנין באמצעי אבטחה קלאסיים. אנחנו רוצים לדבר על איך להתמודד עם 5% מהאיומים האלה באמצעות טכנולוגיית Threat Hunting.

ההתפתחות המתמשכת של התקפות סייבר דורשת גילוי ואמצעי נגד מתמידים, מה שבסופו של דבר מוביל אותנו לחשוב על מרוץ חימוש אינסופי בין תוקפים למגינים. מערכות אבטחה קלאסיות אינן מסוגלות עוד לספק רמת אבטחה מקובלת שבה רמת הסיכון אינה משפיעה על המדדים המרכזיים של החברה (כלכליים, פוליטיים, מוניטין) מבלי לשנות אותם לתשתית ספציפית, אך באופן כללי הן מכסות חלק מהמדדים המרכזיים של החברה. סיכונים. כבר בתהליך ההטמעה והתצורה, מערכות האבטחה המודרניות מוצאות את עצמן בתפקיד ההדביקה וחייבות להיענות לאתגרי הזמן החדש.

מקור

טכנולוגיית Threat Hunting עשויה להיות אחת התשובות לאתגרים של זמננו עבור מומחה אבטחת מידע. המונח ציד איומים (להלן TH) הופיע לפני מספר שנים. הטכנולוגיה עצמה מעניינת למדי, אך עדיין אין לה תקנים וכללים מקובלים. העניין מסובך גם בגלל ההטרוגניות של מקורות המידע והמספר הקטן של מקורות מידע בשפה הרוסית בנושא זה. בהקשר זה, החלטנו ב-LANIT-Integration לכתוב סקירה על טכנולוגיה זו.

רלוונטיות

טכנולוגיית TH מסתמכת על תהליכי ניטור תשתיות. ישנם שני תרחישים עיקריים לניטור פנימי - התראה וציד. התראה (בדומה לשירותי MSSP) היא שיטה מסורתית לחיפוש חתימות שפותחו בעבר וסימני התקפות ולהגיב אליהם. תרחיש זה מבוצע בהצלחה על ידי כלי הגנה מסורתיים מבוססי חתימה. ציד (שירות מסוג MDR) היא שיטת ניטור שעונה על השאלה "מאיפה מגיעים חתימות וכללים?" זהו תהליך של יצירת כללי מתאם על ידי ניתוח אינדיקטורים נסתרים או לא ידועים בעבר וסימנים להתקפה. ציד איומים מתייחס לסוג זה של ניטור.

רק על ידי שילוב של שני סוגי הניטור נקבל הגנה קרובה לאידיאלי, אך תמיד ישנה רמה מסוימת של סיכון שיורי.

הגנה באמצעות שני סוגי ניטור

וזו הסיבה ש-TH (והציד בשלמותו!) יהפכו יותר ויותר רלוונטיים:

איומים, תרופות, סיכונים. מקור

95% מכל האיומים כבר נחקרו היטב. אלה כוללים סוגים כגון דואר זבל, DDoS, וירוסים, rootkits ותוכנות זדוניות קלאסיות אחרות. אתה יכול להגן על עצמך מפני איומים אלה באמצעות אותם אמצעי אבטחה קלאסיים.

במהלך ביצוע כל פרויקט 20% מהעבודה לוקחת 80% מהזמן, ו-20% הנותרים מהעבודה לוקחים 80% מהזמן. כמו כן, על פני כל נוף האיומים, 5% מהאיומים החדשים יהוו 70% מהסיכון לחברה. בחברה בה מאורגנים תהליכי ניהול אבטחת מידע, אנו יכולים לנהל 30% מהסיכון ליישום איומים ידועים בדרך זו או אחרת על ידי הימנעות (סירוב רשתות אלחוטיות עקרונית), קבלה (יישום אמצעי האבטחה הדרושים) או הסטה. (לדוגמה, על כתפי אינטגרטור) סיכון זה. הגן על עצמך מפני פגיעות של אפס ימים, התקפות APT, פישינג, התקפות שרשרת האספקה, ריגול סייבר ומבצעים לאומיים, כמו גם מספר רב של תקיפות אחרות כבר הרבה יותר קשות. ההשלכות של 5% מהאיומים הללו יהיו הרבה יותר חמורות (הסכום הממוצע של הפסדי הבנקים מקבוצת buhtrap הוא 143 מיליון) מאשר ההשלכות של דואר זבל או וירוסים, שמהם תוכנת האנטי-וירוס חוסכת.

כמעט כולם צריכים להתמודד עם 5% מהאיומים. לאחרונה נאלצנו להתקין פתרון קוד פתוח המשתמש באפליקציה ממאגר PEAR (PHP Extension and Application Repository). ניסיון להתקין יישום זה באמצעות התקנת אגס נכשל מכיוון сайт לא היה זמין (עכשיו יש עליו בדל), הייתי צריך להתקין אותו מ-GitHub. ורק לאחרונה התברר ש-PEAR הפך לקורבן התקפות שרשרת האספקה.

אתה עדיין זוכר לתקוף באמצעות CCleaner, מגיפה של תוכנת הכופר של NePetya באמצעות מודול עדכון עבור תוכנית דיווח מס MEDoc. האיומים הופכים יותר ויותר מתוחכמים, ומתעוררת השאלה ההגיונית - "איך נוכל להתמודד עם 5% האיומים האלה?"

הגדרה של ציד איומים

אז, ציד איומים הוא תהליך של חיפוש וזיהוי יזום ואיטרטיבי של איומים מתקדמים שלא ניתן לזהות על ידי כלי אבטחה מסורתיים. איומים מתקדמים כוללים, למשל, התקפות כמו APT, התקפות על נקודות תורפה של 0 ימים, Living off the Land וכו'.

אנחנו יכולים גם לנסח מחדש ש-TH הוא תהליך בדיקת השערות. זהו תהליך ידני ברובו עם אלמנטים של אוטומציה, שבו האנליטיקאי, בהסתמך על הידע והכישורים שלו, מסנן כמויות גדולות של מידע בחיפוש אחר סימני פשרה התואמים את ההשערה שנקבעה בתחילה לגבי קיומו של איום מסוים. המאפיין הייחודי שלו הוא מגוון מקורות המידע.

יש לציין ש-Threat Hunting אינו סוג של תוכנה או חומרה. אלו אינן התראות שניתן לראות בפתרון כלשהו. זה לא תהליך חיפוש של IOC (מזהים של פשרה). ולא מדובר בפעילות פסיבית כלשהי שמתרחשת ללא השתתפותם של מנתחי אבטחת מידע. ציד איומים הוא קודם כל תהליך.

מרכיבים של ציד איומים

שלושה מרכיבים עיקריים של Threat Hunting: נתונים, טכנולוגיה, אנשים.

נתונים (מה?), כולל ביג דאטה. כל מיני זרימות תעבורה, מידע על APTs קודמים, אנליטיקה, נתונים על פעילות משתמשים, נתוני רשת, מידע מעובדים, מידע ב- Darknet ועוד ועוד.

טכנולוגיות (איך?) עיבוד נתונים אלה - כל הדרכים האפשריות לעיבוד נתונים אלה, כולל Machine Learning.

אנשים ש?) – בעלי ניסיון רב בניתוח התקפות שונות, פיתחו אינטואיציה ויכולת זיהוי התקף. בדרך כלל מדובר באנליסטים של אבטחת מידע שחייבים להיות בעלי יכולת להפיק השערות ולמצוא להן אישור. הם החוליה המרכזית בתהליך.

דגם PARIS

אדם בייטמן מתאר את מודל PARIS לתהליך ה-TH האידיאלי. השם מרמז על ציון דרך מפורסם בצרפת. ניתן לראות את הדגם הזה בשני כיוונים - מלמעלה ומלמטה.

כאשר אנו מתקדמים דרך המודל מלמטה למעלה, ניתקל בהרבה עדויות לפעילות זדונית. לכל ראיה יש מדד שנקרא ביטחון – מאפיין המשקף את משקל הראיה הזו. יש "ברזל", עדות ישירה לפעילות זדונית, לפיה נוכל להגיע מיד לראש הפירמידה וליצור התראה ממשית על זיהום ידוע בדיוק. ויש ראיות עקיפות, שסכומן גם יכול להוביל אותנו לראש הפירמידה. כמו תמיד, יש הרבה יותר ראיות עקיפות מראיות ישירות, מה שאומר שצריך למיין ולנתח אותן, לערוך מחקרים נוספים ורצוי לעשות זאת אוטומטית.

דגם PARIS. מקור

החלק העליון של המודל (1 ו-2) מבוסס על טכנולוגיות אוטומציה וניתוחים שונים, והחלק התחתון (3 ו-4) מבוסס על אנשים בעלי כישורים מסוימים המנהלים את התהליך. אתה יכול לשקול את המודל נע מלמעלה למטה, כאשר בחלק העליון של הצבע הכחול יש לנו התראות מכלי אבטחה מסורתיים (אנטי וירוס, EDR, חומת אש, חתימות) עם רמה גבוהה של ביטחון ואמון, ולהלן אינדיקטורים ( IOC, URL, MD5 ואחרים), שיש להם דרגת ודאות נמוכה יותר ודורשים לימוד נוסף. והרמה הנמוכה והעבה ביותר (4) היא יצירת השערות, יצירת תרחישים חדשים להפעלת אמצעי הגנה מסורתיים. רמה זו אינה מוגבלת רק למקורות השערות שצוינו. ככל שהרמה נמוכה יותר, כך מונחות יותר דרישות לכישוריו של האנליסט.

חשוב מאוד שהאנליטיקאים לא פשוט יבדקו קבוצה סופית של השערות קבועות מראש, אלא יפעלו כל הזמן כדי ליצור השערות חדשות ואפשרויות לבדיקתן.

מודל בשלות שימוש TH

בעולם אידיאלי, TH הוא תהליך מתמשך. אבל, מכיוון שאין עולם אידיאלי, בואו ננתח מודל בגרות ושיטות במונחים של אנשים, תהליכים וטכנולוגיות בשימוש. הבה נבחן מודל של TH כדורי אידיאלי. ישנן 5 רמות של שימוש בטכנולוגיה זו. הבה נסתכל עליהם באמצעות הדוגמה של האבולוציה של צוות אנליסטים יחיד.

רמות בשלות
אנשים
Процессы
טכנולוגיה

רמת 0
אנליסטים של SOC
24/7
כלי נגינה מסורתיים:

מסורתי
סט התראות
ניטור פסיבי
IDS, AV, ארגז חול,

בלי TH
עבודה עם התראות

כלים לניתוח חתימות, נתוני מודיעין איומים.

רמת 1
אנליסטים של SOC
חד פעמי TH
EDR

נִסיוֹנִי
ידע בסיסי בזיהוי פלילי
חיפוש IOC
כיסוי חלקי של נתונים מהתקני רשת

ניסויים עם TH
היכרות טובה עם רשתות ויישומים

יישום חלקי

רמת 2
כיבוש זמני
ספרינטים
EDR

תְקוּפָתִי
ידע ממוצע בזיהוי פלילי
שבוע לחודש
יישום מלא

זמני TH
ידע מעולה ברשתות ויישומים
TH רגיל
אוטומציה מלאה של שימוש בנתוני EDR

שימוש חלקי ביכולות EDR מתקדמות

רמת 3
פקודת TH ייעודית
24/7
יכולת חלקית לבדוק השערות TH

מוֹנֵעַ
ידע מצוין בזיהוי פלילי ותוכנות זדוניות
TH מונע
שימוש מלא ביכולות EDR מתקדמות

מקרים מיוחדים TH
היכרות מצוינת עם הצד ההתקפי
מקרים מיוחדים TH
כיסוי מלא של נתונים מהתקני רשת

תצורה שתתאים לצרכים שלך

רמת 4
פקודת TH ייעודית
24/7
יכולת מלאה לבחון השערות TH

מוֹבִיל
ידע מצוין בזיהוי פלילי ותוכנות זדוניות
TH מונע
רמה 3, פלוס:

שימוש ב-TH
היכרות מצוינת עם הצד ההתקפי
בדיקה, אוטומציה ואימות של השערות TH
אינטגרציה הדוקה של מקורות נתונים;

יכולת מחקר

פיתוח לפי צרכים ושימוש לא סטנדרטי ב-API.

רמות בגרות של אנשים, תהליכים וטכנולוגיות

שלב 0: מסורתי, ללא שימוש ב-TH. אנליסטים רגילים עובדים עם סט סטנדרטי של התראות במצב ניטור פסיבי תוך שימוש בכלים וטכנולוגיות סטנדרטיות: IDS, AV, sandbox, כלי ניתוח חתימות.

שלב 1: ניסיוני, באמצעות TH. אותם אנליסטים בעלי ידע בסיסי בזיהוי פלילי וידע טוב ברשתות ויישומים יכולים לבצע ציד איומים חד פעמי על ידי חיפוש אינדיקטורים לפשרה. רכיבי EDR מתווספים לכלים עם כיסוי חלקי של נתונים מהתקני רשת. הכלים נמצאים בשימוש חלקי.

שלב 2: TH תקופתי, זמני. אותם אנליסטים שכבר שדרגו את הידע שלהם בזיהוי פלילי, רשתות וחלק האפליקציה נדרשים לעסוק באופן קבוע ב-Threat Hunting (ספרינט), נניח, שבוע בחודש. הכלים מוסיפים חקירה מלאה של נתונים ממכשירי רשת, אוטומציה של ניתוח נתונים מ-EDR ושימוש חלקי ביכולות EDR מתקדמות.

שלב 3: מקרים מונעים, תכופים של TH. האנליסטים שלנו התארגנו בצוות ייעודי והתחילו להיות בעלי ידע מצוין בזיהוי פלילי ותוכנות זדוניות, כמו גם ידע בשיטות ובטקטיקות של הצד התוקף. התהליך כבר מתבצע 24/7. הצוות מסוגל לבחון חלקית השערות TH תוך מינוף מלא של היכולות המתקדמות של EDR עם כיסוי מלא של נתונים ממכשירי רשת. אנליסטים יכולים גם להגדיר כלים שיתאימו לצרכיהם.

שלב 4: יוקרתי, השתמש ב-TH. אותו צוות רכש את היכולת לחקור, את היכולת ליצור ולבצע אוטומציה של תהליך בדיקת השערות TH. כעת הכלים נוספו על ידי אינטגרציה הדוקה של מקורות נתונים, פיתוח תוכנה כדי לענות על הצרכים ושימוש לא סטנדרטי בממשקי API.

טכניקות ציד איומים

טכניקות ציד איומים בסיסיות

К טכנאים TH, לפי סדר הבשלות של הטכנולוגיה שבה נעשה שימוש, הם: חיפוש בסיסי, ניתוח סטטיסטי, טכניקות ויזואליזציה, צבירה פשוטה, למידת מכונה ושיטות בייסיאניות.

השיטה הפשוטה ביותר, חיפוש בסיסי, משמשת לצמצום תחום המחקר באמצעות שאילתות ספציפיות. ניתוח סטטיסטי משמש, למשל, לבניית פעילות משתמש או רשת אופיינית בצורה של מודל סטטיסטי. טכניקות ויזואליזציה משמשות לתצוגה ויזואלית ולפשט את ניתוח הנתונים בצורה של גרפים ותרשימים, מה שמקל בהרבה על זיהוי דפוסים במדגם. הטכניקה של צבירה פשוטה לפי שדות מפתח משמשת כדי לייעל את החיפוש והניתוח. ככל שתהליך ה-TH של ארגון מגיע לבשל יותר, כך השימוש באלגוריתמים של למידת מכונה הופך רלוונטי יותר. הם נמצאים בשימוש נרחב גם בסינון דואר זבל, זיהוי תעבורה זדונית ואיתור פעילויות הונאה. סוג מתקדם יותר של אלגוריתם למידת מכונה הוא שיטות בייסיאניות, המאפשרות סיווג, הפחתת גודל המדגם ומודלים של נושאים.

מודל יהלום ואסטרטגיות TH

סרג'יו קלטאג'ירון, אנדרו פנדגאסט וכריסטופר בץ בעבודתם "מודל היהלום של ניתוח חדירה» הראה את מרכיבי המפתח העיקריים של כל פעילות זדונית ואת הקשר הבסיסי ביניהם.

מודל יהלום לפעילות זדונית

לפי מודל זה, קיימות 4 אסטרטגיות ציד איומים, המבוססות על מרכיבי המפתח המתאימים.

1. אסטרטגיה מכוונת קורבן. אנו מניחים שלקורבן יש מתנגדים והם יעבירו "הזדמנויות" באמצעות דואר אלקטרוני. אנו מחפשים מידע על האויב בדואר. חפש קישורים, קבצים מצורפים וכו'. אנו מחפשים אישור להשערה זו לפרק זמן מסוים (חודש, שבועיים); אם לא נמצא אותה, אז ההשערה לא עבדה.

2. אסטרטגיה מכוונת תשתיות. ישנן מספר שיטות לשימוש באסטרטגיה זו. בהתאם לגישה ולראות, חלקם קלים יותר מאחרים. לדוגמה, אנו מפקחים על שרתי שמות דומיינים הידועים כמארחים דומיינים זדוניים. לחלופין, אנו עוברים את התהליך של ניטור כל רישומי שמות הדומיין החדשים עבור דפוס ידוע בשימוש על ידי יריב.

3. אסטרטגיה מונעת יכולת. בנוסף לאסטרטגיה ממוקדת הקורבן בה משתמשים רוב מגיני הרשת, קיימת אסטרטגיה ממוקדת הזדמנות. הוא השני בפופולרי ביותר ומתמקד באיתור יכולות מהיריב, כלומר "תוכנות זדוניות" והיכולת של היריב להשתמש בכלים לגיטימיים כגון psexec, powershell, certutil ואחרים.

4. אסטרטגיה מכוונת אויב. הגישה ממוקדת היריב מתמקדת ביריב עצמו. זה כולל שימוש במידע פתוח ממקורות זמינים לציבור (OSINT), איסוף נתונים על האויב, הטכניקות והשיטות שלו (TTP), ניתוח אירועים קודמים, נתוני מודיעין איומים וכו'.

מקורות מידע והשערות ב-TH

כמה מקורות מידע עבור Threat Hunting

יכולים להיות מקורות מידע רבים. אנליסט אידיאלי צריך להיות מסוגל לחלץ מידע מכל מה שמסביב. מקורות אופייניים כמעט בכל תשתית יהיו נתונים מכלי אבטחה: DLP, SIEM, IDS/IPS, WAF/FW, EDR. כמו כן, מקורות מידע טיפוסיים יהיו אינדיקטורים שונים של פשרה, שירותי מודיעין איומים, נתוני CERT ו-OSINT. בנוסף, ניתן להשתמש במידע מה-darknet (למשל, פתאום יש פקודה לפרוץ לתיבת הדואר של ראש ארגון, או שמועמד לתפקיד מהנדס רשת נחשף לפעילותו), מידע שהתקבל מ משאבי אנוש (ביקורות על המועמד ממקום עבודה קודם), מידע משירות הביטחון (לדוגמה, תוצאות אימות הצד שכנגד).

אבל לפני השימוש בכל המקורות הזמינים, יש צורך שתהיה לפחות השערה אחת.

מקור

על מנת לבחון השערות, יש להעלות אותן תחילה. וכדי להעלות השערות רבות ואיכותיות, יש צורך ליישם גישה שיטתית. תהליך יצירת השערות מתואר ביתר פירוט ב статье, מאוד נוח לקחת את התכנית הזו כבסיס לתהליך העלאת השערות.

המקור העיקרי להשערות יהיה מטריצת ATT&CK (טקטיקות, טכניקות וידע נפוץ). זהו, במהותו, בסיס ידע ומודל להערכת התנהגותם של תוקפים המבצעים את פעילותם בשלבים האחרונים של התקפה, המתוארים בדרך כלל באמצעות המושג Kill Chain. כלומר, בשלבים שלאחר שתוקף חדר לרשת הפנימית של ארגון או למכשיר נייד. בסיס הידע כלל במקור תיאורים של 121 טקטיקות וטכניקות בשימוש בהתקפה, שכל אחת מהן מתוארת בפירוט בפורמט ויקי. ניתוחי מודיעין איומים שונים מתאימים היטב כמקור להפקת השערות. ראויות לציון במיוחד התוצאות של ניתוח תשתיות ומבחני חדירה - זהו הנתונים היקרים ביותר שיכולים לתת לנו השערות ברזל בשל העובדה שהם מבוססים על תשתית ספציפית עם החסרונות הספציפיים שלה.

תהליך בדיקת השערות

סרגיי סולדטוב הביא תרשים טוב עם תיאור מפורט של התהליך, הוא ממחיש את התהליך של בדיקת השערות TH במערכת אחת. אציין את השלבים העיקריים בתיאור קצר.

מקור

שלב 1: חוות TI

בשלב זה יש צורך להדגיש חפצים (על ידי ניתוחם יחד עם כל נתוני האיום) והקצאת להם תוויות עבור המאפיינים שלהם. אלה הם קובץ, URL, MD5, תהליך, כלי שירות, אירוע. כאשר מעבירים אותם דרך מערכות מודיעין איומים, יש צורך לצרף תגים. כלומר, האתר הזה הבחין ב-CNC בשנה כזו ואחרת, ה-MD5 הזה היה קשור לתוכנות זדוניות כאלה ואחרות, ה-MD5 הזה הורד מאתר שהפיץ תוכנות זדוניות.

שלב 2: מקרים

בשלב השני, אנו מסתכלים על האינטראקציה בין העצמים הללו ומזהים את היחסים בין כל העצמים הללו. אנחנו מקבלים מערכות מסומנות שעושות משהו רע.

שלב 3: אנליסט

בשלב השלישי, התיק מועבר למנתח מנוסה בעל ניסיון רב באנליזה, והוא נותן פסק דין. הוא מנתח עד לביטים מה, איפה, איך, למה ולמה הקוד הזה עושה. הגוף הזה היה תוכנה זדונית, המחשב הזה היה נגוע. חושף קשרים בין אובייקטים, בודק את תוצאות הריצה בארגז החול.

תוצאות עבודתו של האנליסט מועברות הלאה. Digital Forensics בוחן תמונות, Malware Analysis בוחן את ה"גופות" שנמצאו, וצוות התגובה לאירועים יכול להיכנס לאתר ולחקור משהו שכבר נמצא שם. התוצאה של העבודה תהיה השערה מאושרת, התקפה מזוהה ודרכים להתמודד איתה.

מקור
 

תוצאות של

Threat Hunting היא טכנולוגיה צעירה למדי שיכולה להתמודד ביעילות עם איומים מותאמים אישית, חדשים ולא סטנדרטיים, שיש לה סיכויים גדולים לאור המספר ההולך וגדל של איומים כאלה והמורכבות הגוברת של התשתית הארגונית. זה דורש שלושה מרכיבים - נתונים, כלים ואנליסטים. היתרונות של ציד איומים אינם מוגבלים למניעת יישום איומים. אל תשכח שבמהלך תהליך החיפוש אנו צוללים לתוך התשתית שלנו ונקודות התורפה שלה דרך עיניו של מנתח אבטחה ויכולים לחזק עוד יותר את הנקודות הללו.

הצעדים הראשונים שלדעתנו צריכים להיעשות כדי להתחיל את תהליך ה-TH בארגון שלך.

1. דאגו להגנה על נקודות קצה ותשתית רשת. דאגו לנראות (NetFlow) ולשליטה (חומת אש, IDS, IPS, DLP) של כל התהליכים ברשת שלכם. הכר את הרשת שלך מהנתב הקצה ועד המארח האחרון.
2. לַחקוֹר MITER ATT & CK.
3. ערכו בדיקות בדיקה קבועות של לפחות משאבים חיצוניים מרכזיים, נתחו את תוצאותיה, זיהוי המטרות העיקריות לתקיפה וסגרו את נקודות התורפה שלהן.
4. הטמיע מערכת קוד פתוח של Threat Intelligence (לדוגמה, MISP, Yeti) ונתח יומנים יחד איתה.
5. הטמעת פלטפורמת תגובה לאירועים (IRP): R-Vision IRP, The Hive, ארגז חול לניתוח קבצים חשודים (FortiSandbox, Cuckoo).
6. אוטומציה של תהליכים שגרתיים. ניתוח יומנים, רישום אירועים, הסברה לצוות הוא תחום ענק לאוטומציה.
7. למד ליצור אינטראקציה יעילה עם מהנדסים, מפתחים ותמיכה טכנית כדי לשתף פעולה בתקריות.
8. לתעד את כל התהליך, נקודות מפתח, תוצאות שהושגו כדי לחזור אליהם מאוחר יותר או לשתף את הנתונים הללו עם עמיתים;
9. היו חברתי: היו מודעים למה שקורה עם העובדים שלכם, למי אתם שוכרים ולמי אתם נותנים גישה למשאבי המידע של הארגון.
10. התעדכן במגמות בתחום האיומים ושיטות ההגנה החדשות, העלה את רמת האוריינות הטכנית שלך (כולל בתפעול שירותי IT ותתי מערכות), השתתף בכנסים ותקשר עם עמיתים.

מוכן לדון בארגון תהליך ה-TH בהערות.

או בואו לעבוד איתנו!

• יועץ אבטחת מידע מוביל
• ארכיטקט מערכת לאבטחת מידע
• מהנדס אבטחת רשת מוביל
• מהנדס אבטחת מידע מוביל (SIEM)
• אדריכל אבטחת מידע (אפליקציה)

מקורות וחומרים ללימוד

• threathunter.guru
• attack.mitre.org
• digital-forensics.sans.org
• resources.infosecinstitute.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• reply-to-all.blogspot.com
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

מקור: www.habr.com