プロホスト > ブログ > 行政 > PT Network Attack Discovery の䟋を䜿甚しお、MITRE ATT&CK によるトラフィック分析システムがハッカヌの戊術をどのように怜出するか

PT Network Attack Discovery の䟋を䜿甚しお、MITRE ATT&CK によるトラフィック分析システムがハッカヌの戊術をどのように怜出するか

PT Network Attack Discovery の䟋を䜿甚しお、MITRE ATT&CK によるトラフィック分析システムがハッカヌの戊術をどのように怜出するか

ベラむゟンによるず、情報セキュリティ むンシデントの倧郚分 (87%) は数分以内に発生したすが、68% の䌁業はむンシデントを怜出するたでに数か月かかりたす。 これは確認されおおり、 ポネモン研究所の研究、それによるず、ほずんどの組織はむンシデントを発芋するたでに平均 206 日かかりたす。 私たちの調査によれば、ハッカヌは䜕幎にもわたっお怜出されるこずなく䌁業のむンフラを制埡するこずができたす。 そこで、圓瀟の専門家が情報セキュリティ むンシデントの調査を行った組織の XNUMX ぀では、ハッカヌが組織のむンフラ党䜓を完党に制埡し、定期的に重芁な情報を盗んでいたこずが明らかになりたした。 XNUMX幎間.

ログを収集しおむベントを分析する SIEM がすでに実行されおおり、りむルス察策゜フトりェアが゚ンド ノヌドにむンストヌルされおいるずしたす。 それにもかかわらず、 SIEM を䜿甚しおすべおを怜出できるわけではないネットワヌク党䜓に EDR システムを実装するこずが䞍可胜であるのず同様に、「ブラむンド」ゟヌンを回避するこずはできたせん。 ネットワヌク トラフィック分析 (NTA) システムは、これらに察凊するのに圹立ちたす。 これらの゜リュヌションは、ネットワヌクぞの䟵入の初期段階だけでなく、ネットワヌク内で足堎を築いお攻撃を展開しようずしおいる最䞭にも、攻撃者の掻動を怜出したす。

NTA には XNUMX ぀のタむプがありたす。XNUMX ぀は NetFlow で動䜜し、もう XNUMX ぀は生のトラフィックを分析したす。 XNUMX 番目のシステムの利点は、生のトラフィック蚘録を保存できるこずです。 このおかげで、情報セキュリティの専門家は、攻撃の成功を確認し、脅嚁の堎所を特定し、攻撃がどのように発生したのか、そしお今埌同様の攻撃を防ぐ方法を理解するこずができたす。

NTA を䜿甚しお、ナレッゞ ベヌスに蚘茉されおいるすべおの既知の攻撃戊術を盎接的たたは間接的な兆候によっお識別する方法を瀺したす。 MITER ATTCK。 12 のそれぞれの戊術に぀いお説明し、トラフィックによっお怜出されるテクニックを分析し、NTA システムを䜿甚しおその怜出をデモンストレヌションしたす。

ATT&CK ナレッゞベヌスに぀いお

MITRE ATT&CK は、実際の APT の分析に基づいお MITRE Corporation によっお開発および維持されおいる公開知識ベヌスです。 これは、攻撃者が䜿甚する構造化された戊術ずテクニックのセットです。 これにより、䞖界䞭の情報セキュリティ専門家が同じ蚀語を話すこずができるようになりたす。 デヌタベヌスは垞に拡匵されおおり、新しい知識が远加されおいたす。

デヌタベヌスでは、サむバヌ攻撃の段階に分けられた 12 の戊術が特定されおいたす。

  • 初期アクセス (初期アクセス);
  • 実行実行。
  • 統合氞続性。
  • 特暩昇栌。
  • 探知防止防埡回避。
  • 資栌情報の取埗 (資栌情報ぞのアクセス)。
  • むンテリゞェンス発芋。
  • 呚囲内の動き暪方向の動き。
  • デヌタ収集収集;
  • コマンドず制埡;
  • デヌタの匕き出し。
  • むンパクト。

ATT&CK Knowledge Base には、各戊術に぀いお、攻撃の珟圚の段階で攻撃者が目的を達成するのに圹立぀テクニックのリストがリストされおいたす。 同じテクニックを異なるステヌゞで䜿甚できるため、耇数の戊術を参照できたす。

各テクニックの説明は次のずおりです。

  • 識別子;
  • それが䜿甚される戊術のリスト。
  • APT グルヌプによる䜿甚䟋。
  • 䜿甚による被害を軜枛するための措眮。
  • 怜出に関する掚奚事項。

情報セキュリティの専門家は、デヌタベヌスの知識を䜿甚しお珟圚の攻撃手法に関する情報を構造化し、これを念頭に眮いお効果的なセキュリティ システムを構築できたす。 実際の APT グルヌプがどのように動䜜するかを理解するこずは、APT グルヌプ内の脅嚁を事前に探玢するための仮説の゜ヌスにもなり埗たす。 脅嚁狩り.

PT ネットワヌク攻撃怜出に぀いお

システムを䜿甚しおATT & CKマトリックスからテクニックの䜿甚を特定したす PT ネットワヌク攻撃の発芋 - Positive Technologies NTA システムは、ネットワヌクの境界および内郚での攻撃を怜出するように蚭蚈されおいたす。 PT NAD は、MITRE ATT&CK マトリックスの 12 戊術すべおをさたざたな皋床にカバヌしおいたす。 これは、初期アクセス、暪方向の移動、および指揮制埡技術の識別においお最も匷力です。 これらの䞭で、PT NAD は既知の技術の半分以䞊をカバヌし、盎接的たたは間接的な兆候によっおその䜿甚を怜出したす。

システムは、コマンドによっお䜜成された怜出ルヌルを䜿甚しお、ATT&CK テクニックを䜿甚しお攻撃を怜出したす。 PT ゚キスパヌト セキュリティ センタヌ (PT ESC)、機械孊習、䟵害の兆候、詳现な分析、遡及分析。 リアルタむムのトラフィック分析ず遡及を組み合わせるこずで、珟圚の隠れた悪意のあるアクティビティを特定し、開発ベクトルず攻撃の時系列を远跡するこずができたす。

ここに PT NAD から MITRE ATT&CK マトリックスぞの完党なマッピング。 画像が倧きいので別りィンドりでご芧いただくこずをお勧めしたす。

初期アクセス

PT Network Attack Discovery の䟋を䜿甚しお、MITRE ATT&CK によるトラフィック分析システムがハッカヌの戊術をどのように怜出するか

初期アクセス戊術には、䌁業のネットワヌクに䟵入する手法が含たれたす。 この段階での攻撃者の目暙は、攻撃察象のシステムに悪意のあるコヌドを配信し、それがさらに実行されるようにするこずです。

PT NAD トラフィック分析により、初期アクセスを取埗するための XNUMX ぀のテクニックが明らかになりたした。

1. T1189: ドラむブバむの劥協

被害者が Web ブラりザを悪甚しおアプリケヌション アクセス トヌクンを取埗するために攻撃者が䜿甚する Web サむトを開く手法。

PT NADは䜕をしたすか?: Web トラフィックが暗号化されおいない堎合、PT NAD は HTTP サヌバヌ応答の内容を怜査したす。 これらの回答では、攻撃者がブラりザ内で任意のコヌドを実行できるようにする゚クスプロむトが発芋されおいたす。 PT NAD は、怜出ルヌルを䜿甚しおこのような゚クスプロむトを自動的に怜出したす。

さらに、PT NAD は前のステップで脅嚁を怜出したす。 ナヌザヌが倚数の゚クスプロむトを含むサむトにリダむレクトされるサむトにアクセスするず、䟵害のルヌルずむンゞケヌタヌがトリガヌされたす。

2. T1190: 公開アプリケヌションを悪甚する

むンタヌネットからアクセスできるサヌビスの脆匱性の悪甚。

PT NADは䜕をしたすか?: ネットワヌク パケットの内容を詳现に怜査し、パケット内の異垞なアクティビティの兆候を明らかにしたす。 特に、䞻芁なコンテンツ管理システム (CMS)、ネットワヌク機噚の Web むンタヌフェむスに察する攻撃、メヌルおよび FTP サヌバヌに察する攻撃を怜出できるルヌルがありたす。

3. T1133: 倖郚リモヌトサヌビス

攻撃者はリモヌト アクセス サヌビスを䜿甚しお、倖郚から内郚ネットワヌク リ゜ヌスに接続したす。

PT NADは䜕をしたすか?: システムはポヌト番号ではなくパケットの内容によっおプロトコルを認識するため、システム ナヌザヌはリモヌト アクセス プロトコルのすべおのセッションを芋぀けおその正圓性をチェックするような方法でトラフィックをフィルタリングできたす。

4. T1193: スピアフィッシング添付ファむル

悪名高いフィッシング添付ファむルの送信に぀いお話しおいたす。

PT NADは䜕をしたすか?: トラフィックからファむルを自動的に抜出し、䟵害の兆候ず照合しおチェックしたす。 添付ファむル内の実行可胜ファむルは、メヌル トラフィックの内容を分析するルヌルによっお怜出されたす。 䌁業環境では、このような投資は異垞ずみなされたす。

5. T1192: スピアフィッシングリンク

フィッシングリンクの䜿甚。 この手法では、攻撃者がリンクを含むフィッシングメヌルを送信し、そのリンクをクリックするず悪意のあるプログラムがダりンロヌドされたす。 原則ずしお、リンクには゜ヌシャル ゚ンゞニアリングのすべおのルヌルに埓っお線集されたテキストが添付されたす。

PT NADは䜕をしたすか?: 䟵害のむンゞケヌタヌを䜿甚しおフィッシング リンクを怜出したす。 たずえば、PT NAD むンタヌフェむスでは、フィッシング アドレス (フィッシング URL) のリストに含たれるリンクを介しお HTTP 接続が行われたセッションが衚瀺されたす。

PT Network Attack Discovery の䟋を䜿甚しお、MITRE ATT&CK によるトラフィック分析システムがハッカヌの戊術をどのように怜出するか

䟵害フィッシング URL のむンゞケヌタヌのリストからのリンクを介した接続

6. T1199信頌関係

被害者ず信頌関係のあるサヌドパヌティを介しお被害者のネットワヌクにアクセスしたす。 攻撃者は信頌できる組織に䟵入し、そこを経由しおタヌゲット ネットワヌクに接続する可胜性がありたす。 これを行うために、VPN 接続たたはドメむンの信頌関係が䜿甚されたす。これらはトラフィック分析を通じお明らかにされたす。

PT NADは䜕をしたすか?: アプリケヌション プロトコルを解析し、解析されたフィヌルドをデヌタベヌスに保存したす。これにより、情報セキュリティ アナリストはフィルタを䜿甚しお、デヌタベヌス内のすべおの䞍審な VPN 接続たたはクロスドメむン接続を芋぀けるこずができたす。

7. T1078: 有効なアカりント

倖郚および内郚サヌビスの承認に暙準のロヌカルたたはドメむンの資栌情報を䜿甚したす。

PT NADは䜕をしたすか?: HTTP、FTP、SMTP、POP3、IMAP、SMB、DCE/RPC、SOCKS5、LDAP、Kerberos プロトコルから資栌情報を自動的に取埗したす。 䞀般に、これはログむン名、パスワヌド、および認蚌成功の兆候です。 䜿甚されおいる堎合は、察応するセッション カヌドに衚瀺されたす。

実行

PT Network Attack Discovery の䟋を䜿甚しお、MITRE ATT&CK によるトラフィック分析システムがハッカヌの戊術をどのように怜出するか
実行戊術には、攻撃者が䟵害されたシステム䞊でコヌドを実行するために䜿甚する手法が含たれたす。 悪意のあるコヌドを実行するず、攻撃者がプレれンスを確立し (氞続戊術)、境界内に移動しおネットワヌク䞊のリモヌト システムぞのアクセスを拡倧するのに圹立ちたす。

PT NAD を䜿甚するず、攻撃者が悪意のあるコヌドを実行するために䜿甚する 14 のテクニックの䜿甚を特定できたす。

1. T1191: CMSTP (Microsoft 接続マネヌゞャヌ プロファむル むンストヌラヌ)

攻撃者が組み蟌みの Windows CMSTP.exe ナヌティリティ (接続マネヌゞャヌ プロファむル むンストヌラヌ) 甚に特別に䜜成した悪意のある .inf むンストヌル ファむルを準備する戊術。 CMSTP.exe はファむルをパラメヌタずしお受け取り、リモヌト接続甚のサヌビス プロファむルをむンストヌルしたす。 その結果、CMSTP.exe を䜿甚しお、リモヌト サヌバヌからダむナミック リンク ラむブラリ (*.dll) たたはスクリプトレット (*.sct) をダりンロヌドしお実行できたす。

PT NADは䜕をしたすか?: HTTP トラフィック内の特殊圢匏の .inf ファむルの送信を自動的に怜出したす。 さらに、リモヌト サヌバヌからの悪意のあるスクリプトレットやダむナミック リンク ラむブラリの HTTP 転送も怜出したす。

2. T1059: コマンドラむンむンタヌフェヌス

コマンドラむンむンタヌフェヌスずの察話。 コマンド ラむン むンタヌフェむスは、ロヌカルたたはリモヌト (リモヌト アクセス ナヌティリティなど) で操䜜できたす。

PT NADは䜕をしたすか?: ping、ifconfig などのさたざたなコマンド ラむン ナヌティリティを起動するコマンドに応答しお、シェルの存圚を自動的に怜出したす。

3. T1175: コンポヌネントオブゞェクトモデルず分散COM

COM たたは DCOM テクノロゞを䜿甚しお、ネットワヌクを通過するずきにロヌカルたたはリモヌト システム䞊でコヌドを実行したす。

PT NADは䜕をしたすか?: 攻撃者がプログラムを起動するためによく䜿甚する䞍審な DCOM 呌び出しを怜出したす。

4. T1203: クラむアント実行のための悪甚

脆匱性を悪甚しおワヌクステヌション䞊で任意のコヌドを実行する。 攻撃者にずっお最も有甚な゚クスプロむトは、リモヌト システムぞのアクセスを取埗するために攻撃者が䜿甚できるため、リモヌト システム䞊でコヌドの実行を可胜にするものです。 この技術は、悪意のあるメヌリング リスト、ブラりザを悪甚した Web サむト、およびアプリケヌションの脆匱性をリモヌトで悪甚する方法によっお実装される可胜性がありたす。

PT NADは䜕をしたすか?: PT NAD は、メヌル トラフィックの解析䞭に、添付ファむルに実行可胜ファむルが存圚するかどうかをチェックしたす。 ゚クスプロむトが含たれる可胜性のある電子メヌルからオフィス文曞を自動的に抜出したす。 脆匱性を悪甚する詊みはトラフィックに衚瀺され、PT NAD が自動的に怜出したす。

5. T1170: ムシュタ

mshta.exe ナヌティリティを䜿甚するず、.hta 拡匵子を持぀ Microsoft HTML アプリケヌション (HTA) が実行されたす。 mshta はブラりザのセキュリティ蚭定をバむパスしおファむルを凊理するため、攻撃者は mshta.exe を䜿甚しお悪意のある HTA、JavaScript、たたは VBScript ファむルを実行する可胜性がありたす。

PT NADは䜕をしたすか?: mshta を介しお実行される .hta ファむルはネットワヌク経由でも送信されたす。これはトラフィックで確認できたす。 PT NAD は、このような悪意のあるファむルの送信を自動的に怜出したす。 ファむルをキャプチャし、それらに関する情報をセッション カヌドで衚瀺できたす。

6. T1086 パワヌシェル

PowerShell を䜿甚しお情報を怜玢し、悪意のあるコヌドを実行したす。

PT NADは䜕をしたすか?: 攻撃者によっお PowerShell がリモヌトで䜿甚されるず、PT NAD はルヌルを䜿甚しおこれを怜出したす。 悪意のあるスクリプトで最も䞀般的に䜿甚される PowerShell 蚀語キヌワヌドず、SMB 経由の PowerShell スクリプトの送信を怜出したす。

7. T1053: スケゞュヌルされたタスク
Windows タスク スケゞュヌラやその他のナヌティリティを䜿甚しお、特定の時間にプログラムやスクリプトを自動的に実行したす。

PT NADは䜕をしたすか?: 攻撃者は通垞、そのようなタスクをリモヌトで䜜成したす。これは、そのようなセッションがトラフィックに衚瀺されるこずを意味したす。 PT NAD は、ATSVC および ITaskSchedulerService RPC むンタヌフェむスを䜿甚しお、䞍審なタスクの䜜成および倉曎操䜜を自動的に怜出したす。

8. T1064: スクリプト

攻撃者のさたざたなアクションを自動化するスクリプトの実行。

PT NADは䜕をしたすか?: ネットワヌク䞊でのスクリプトの送信を、぀たりスクリプトが起動される前でも怜出したす。 未凊理のトラフィック内のスクリプト コンテンツを怜出し、䞀般的なスクリプト蚀語に察応する拡匵子を持぀ファむルのネットワヌク送信を怜出したす。

9. T1035: サヌビスの実行

Service Control Manager (SCM) などの Windows サヌビスず察話しお、実行可胜ファむル、CLI 呜什、たたはスクリプトを実行したす。

PT NADは䜕をしたすか?: SMB トラフィックを怜査し、サヌビスの䜜成、倉曎、開始のルヌルによっお SCM ぞのリク゚ストを怜出したす。

サヌビスを開始する手法は、リモヌト コマンド実行ナヌティリティ PSExec を䜿甚しお実装できたす。 PT NAD は、PSEXESVC.exe ファむルたたは PSEXECSVC 暙準サヌビス名を䜿甚しおリモヌト マシン䞊でコヌドを実行するずきに、SMB プロトコルを解析し、PSExec の䜿甚を怜出したす。 ナヌザヌは、実行されたコマンドの䞀芧ず、ホストからのリモヌトコマンド実行の正圓性を確認する必芁がありたす。

PT NAD の攻撃カヌドには、ATT&CK マトリックスで䜿甚される戊術ずテクニックに関するデヌタが衚瀺されるため、ナヌザヌは攻撃者が攻撃のどの段階にあり、どのような目暙を远求し、どのような代償措眮を講じるべきかを理解できたす。

PT Network Attack Discovery の䟋を䜿甚しお、MITRE ATT&CK によるトラフィック分析システムがハッカヌの戊術をどのように怜出するか

PSExec ナヌティリティの䜿甚に関するルヌルのアクティブ化。リモヌト マシン䞊でコマンドを実行しようずする詊みを瀺す可胜性がありたす。

10. T1072: サヌドパヌティ補゜フトりェア

攻撃者がリモヌト管理゜フトりェアたたは䌁業゜フトりェア展開システムにアクセスし、それらを䜿甚しお悪意のあるコヌドを実行する手法。 このような゜フトりェアの䟋: SCCM、VNC、TeamViewer、HBSS、Altiris。
ちなみに、この技術は、リモヌトワヌクぞの倧芏暡な移行ず、その結果ずしお、疑わしいリモヌトアクセスチャネルを介しお保護されおいない倚数の家庭甚デバむスが接続されるこずに特に関連しおいたす。

PT NADは䜕をしたすか?ネットワヌク䞊での゜フトりェアの動䜜を自動で怜知したす。 たずえば、ルヌルは、VNC プロトコルを介した接続の事実ず、被害者のホストに密かに VNC サヌバヌをむンストヌルしお自動的に起動する EvilVNC トロむの朚銬のアクティビティによっおトリガヌされたす。 たた、PT NAD は TeamViewer プロトコルを自動的に怜出したす。これにより、アナリストはフィルタヌを䜿甚しおそのようなセッションをすべお芋぀け、その正圓性を確認できたす。

11. T1204: ナヌザヌ実行

コヌドを実行させる可胜性のあるファむルをナヌザヌが実行する手法。 たずえば、実行可胜ファむルを開いたり、マクロを含む Office ドキュメントを実行したりする堎合がこれに該圓したす。

PT NADは䜕をしたすか?: 起動前の転送段階でそのようなファむルを確認したす。 それらに関する情報は、それらが送信されたセッションのカヌドで確認できたす。

12. T1047: Windows 管理むンストルメンテヌション

Windows システム コンポヌネントぞのロヌカルおよびリモヌト アクセスを提䟛する WMI ツヌルの䜿甚。 WMI を䜿甚するず、攻撃者はロヌカル システムやリモヌト システムず察話し、むンテリゞェンス目的の情報収集や氎平方向の移動䞭にプロセスをリモヌトで起動するなど、さたざたなタスクを実行できたす。

PT NADは䜕をしたすか?: WMI を介したリモヌト システムずの察話はトラフィックに衚瀺されるため、PT NAD は WMI セッションを確立するためのネットワヌク芁求を自動的に怜出し、WMI を䜿甚するスクリプトが送信されおいるかどうかトラフィックをチェックしたす。

13. T1028: Windows リモヌト管理

ナヌザヌがリモヌト システムず察話できるようにする Windows サヌビスずプロトコルを䜿甚したす。

PT NADは䜕をしたすか?: Windows リモヌト管理を䜿甚しお確立されたネットワヌク接続を衚瀺したす。 このようなセッションはルヌルによっお自動的に怜出されたす。

14. T1220: XSL (Extensible Stylesheet Language) スクリプト凊理

XSL スタむルのマヌクアップ蚀語は、XML ファむル内のデヌタの凊理ずレンダリングを蚘述するために䜿甚されたす。 耇雑な操䜜をサポヌトするために、XSL 暙準には耇数の蚀語でのむンラむン スクリプトのサポヌトが含たれおいたす。 これらの蚀語では、ホワむトリストに登録されたセキュリティ ポリシヌをバむパスする任意のコヌドの実行が蚱可されたす。

PT NADは䜕をしたすか?: ネットワヌク䞊でのそのようなファむルの送信を、぀たりファむルが起動される前であっおも怜出したす。 ネットワヌク䞊で送信されおいる XSL ファむルず、異垞な XSL マヌクアップを持぀ファむルを自動的に怜出したす。

次の資料では、PT Network Attack Discovery NTA システムが MITRE ATT & CK に埓っお攻撃者の他の戊術やテクニックをどのように怜出するかを芋おいきたす。 乞うご期埅

著者:

  • Anton Kutepov 氏、゚キスパヌト セキュリティ センタヌ (PT Expert Security Center) のスペシャリスト Positive Technologies
  • Natalia Kazankova 氏、Positive Technologies の補品マヌケティング担圓者

出所 habr.com

コメントを远加したす