트래픽 분석 시스템이 PT Network Attack Discovery의 예를 사용하여 MITRE ATT&CK를 사용하여 해커 전술을 탐지하는 방법

버라이존에 따르면, 정보 보안 사고의 대부분(87%)은 몇 분 안에 발생하며, 68%의 기업에서는 이를 탐지하는 데 수개월이 걸립니다. 이는 다음으로 확인됩니다. 포네몬 연구소 연구, 이에 따르면 대부분의 조직에서 사고를 감지하는 데 평균 206일이 소요됩니다. 조사 경험을 바탕으로 해커는 탐지되지 않고 수년 동안 회사의 인프라를 제어할 수 있습니다. 따라서 당사 전문가가 정보 보안 사고를 조사한 한 조직에서는 해커가 조직의 전체 인프라를 완전히 통제하고 정기적으로 중요한 정보를 훔친 것으로 밝혀졌습니다. XNUMX년 동안.

로그를 수집하고 이벤트를 분석하는 SIEM이 이미 실행 중이고 바이러스 백신 소프트웨어가 최종 노드에 설치되어 있다고 가정해 보겠습니다. 그럼에도 불구하고, SIEM을 사용하여 모든 것을 감지할 수 있는 것은 아닙니다., 전체 네트워크에 걸쳐 EDR 시스템을 구현하는 것이 불가능한 것처럼 이는 "사각지대"를 피할 수 없음을 의미합니다. 네트워크 트래픽 분석(NTA) 시스템은 이러한 문제를 처리하는 데 도움이 됩니다. 이러한 솔루션은 네트워크 침투의 초기 단계는 물론, 거점을 확보하고 네트워크 내에서 공격을 전개하려는 시도 중에도 공격자의 활동을 탐지합니다.

NTA에는 두 가지 유형이 있습니다. 일부는 NetFlow에서 작동하고 다른 일부는 원시 트래픽을 분석합니다. 두 번째 시스템의 장점은 원시 트래픽 기록을 저장할 수 있다는 것입니다. 덕분에 정보 보안 전문가는 공격의 성공 여부를 확인하고, 위협의 위치를 ​​파악하고, 공격이 어떻게 발생했는지, 향후 유사한 공격을 방지하는 방법을 이해할 수 있습니다.

NTA를 사용하여 지식 베이스에 설명된 모든 알려진 공격 전술을 식별하기 위해 직접 또는 간접적인 증거를 사용할 수 있는 방법을 보여줍니다. MITER ATT & CK. 12가지 전술 각각에 대해 이야기하고, 트래픽으로 탐지되는 기술을 분석하고, NTA 시스템을 사용하여 탐지하는 방법을 시연해 보겠습니다.

ATT&CK 지식 베이스 정보

MITRE ATT&CK는 실제 APT 분석을 기반으로 MITRE Corporation이 개발하고 유지 관리하는 공개 지식 기반입니다. 공격자가 사용하는 전술과 기술의 구조화된 집합입니다. 이를 통해 전 세계의 정보 보안 전문가들이 동일한 언어를 구사할 수 있습니다. 데이터베이스는 지속적으로 확장되고 새로운 지식으로 보완됩니다.

데이터베이스는 사이버 공격의 단계에 따라 분류된 12가지 전술을 식별합니다.

• 초기 접근;
• 실행;
• 통합(지속성);
• 권한 상승;
• 탐지 방지(방어 회피);
• 자격 증명 획득(자격 증명 액세스)
• 지능(발견);
• 둘레 내 이동(측면 이동);
• 데이터 수집(수집);
• 명령 및 제어;
• 데이터 유출;
• 영향.

각 전술에 대해 ATT&CK 지식 베이스에는 공격자가 현재 공격 단계에서 목표를 달성하는 데 도움이 되는 기술 목록이 나열되어 있습니다. 동일한 기술이 여러 단계에서 사용될 수 있으므로 여러 전술을 참조할 수 있습니다.

각 기술에 대한 설명은 다음과 같습니다.

• 식별자;
• 그것이 사용되는 전술 목록;
• APT 그룹의 사용 예;
• 사용으로 인한 피해를 줄이기 위한 조치;
• 탐지 권장 사항.

정보 보안 전문가는 데이터베이스의 지식을 활용하여 현재 공격 방법에 대한 정보를 구조화하고 이를 고려하여 효과적인 보안 시스템을 구축할 수 있습니다. 실제 APT 그룹이 어떻게 작동하는지 이해하는 것은 내부 위협을 사전에 검색하기 위한 가설의 원천이 될 수도 있습니다. 위협 사냥.

PT 네트워크 공격 발견 정보

우리는 시스템을 사용하여 ATT&CK 매트릭스에서 기술의 사용을 식별합니다. PT 네트워크 공격 발견 — 경계와 네트워크 내부에 대한 공격을 탐지하도록 설계된 Positive Technologies NTA 시스템입니다. PT NAD는 다양한 수준에서 MITRE ATT&CK 매트릭스의 12가지 전술을 모두 다루고 있습니다. 그는 초기 접근, 측면 이동, 명령 및 제어 기술을 식별하는 데 가장 강력한 능력을 갖고 있습니다. 여기에서 PT NAD는 알려진 기술의 절반 이상을 다루며 직접적 또는 간접적인 기호를 통해 해당 기술의 적용을 감지합니다.

시스템은 팀에서 생성한 탐지 규칙을 사용하여 ATT&CK 기술을 사용하여 공격을 탐지합니다. PT 전문가 보안센터 (PT ESC), 기계 학습, 침해 지표, 심층 분석 및 회고적 분석. 회고적 분석과 결합된 실시간 트래픽 분석을 통해 현재 숨겨진 악성 활동을 식별하고 개발 벡터와 공격 연대기를 추적할 수 있습니다.

여기에 MITRE ATT&CK 매트릭스에 대한 PT NAD의 전체 매핑. 사진이 크므로 별도의 창에서 보시는 것을 권장합니다.

초기 액세스

초기 액세스 전술에는 회사의 네트워크에 침투하는 기술이 포함됩니다. 이 단계에서 공격자의 목표는 공격받은 시스템에 악성 코드를 전달하고 추가 실행 가능성을 보장하는 것입니다.

PT NAD의 트래픽 분석은 초기 액세스를 확보하기 위한 XNUMX가지 기술을 보여줍니다.

1. T1189: 드라이브 바이 타협

공격자가 웹 브라우저를 악용하고 애플리케이션 액세스 토큰을 얻기 위해 사용하는 웹 사이트를 피해자가 여는 기술입니다.

PT NAD는 무엇을 하나요?: 웹 트래픽이 암호화되지 않은 경우 PT NAD는 HTTP 서버 응답 내용을 검사합니다. 이러한 응답에는 공격자가 브라우저 내에서 임의의 코드를 실행할 수 있도록 하는 익스플로잇이 포함되어 있습니다. PT NAD는 탐지 규칙을 사용하여 이러한 공격을 자동으로 탐지합니다.

또한 PT NAD는 이전 단계에서 위협을 탐지합니다. 사용자가 악용 사례가 많은 사이트로 리디렉션되는 사이트를 방문하면 침해 규칙 및 표시기가 트리거됩니다.

2. T1190: 공개 애플리케이션 활용

인터넷에서 접근할 수 있는 서비스의 취약점을 악용합니다.

PT NAD는 무엇을 하나요?: 네트워크 패킷의 내용을 심층적으로 검사하여 비정상적인 활동의 징후를 식별합니다. 특히 주요 콘텐츠 관리 시스템(CMS), 네트워크 장비의 웹 인터페이스에 대한 공격, 메일 및 FTP 서버에 대한 공격을 탐지할 수 있는 규칙이 있습니다.

3. T1133: 외부 원격 서비스

공격자는 원격 접속 서비스를 이용해 외부에서 내부 네트워크 자원에 접속한다.

PT NAD는 무엇을 하나요?: 시스템은 포트 번호가 아닌 패킷 내용으로 프로토콜을 인식하므로 시스템 사용자는 트래픽을 필터링하여 원격 액세스 프로토콜의 모든 세션을 찾고 적법성을 확인할 수 있습니다.

4. T1193: 스피어피싱 첨부 파일

우리는 악명 높은 피싱 첨부 파일 전송에 대해 이야기하고 있습니다.

PT NAD는 무엇을 하나요?: 트래픽에서 파일을 자동으로 추출하고 손상 지표와 비교하여 확인합니다. 첨부 파일의 실행 파일은 메일 트래픽의 내용을 분석하는 규칙에 의해 탐지됩니다. 기업 환경에서 이러한 투자는 비정상적인 것으로 간주됩니다.

5. T1192: 스피어피싱 링크

피싱 링크를 사용합니다. 이 기술에는 공격자가 링크를 클릭하면 악성 프로그램을 다운로드하는 링크가 포함된 피싱 이메일을 보내는 것이 포함됩니다. 일반적으로 링크에는 사회 공학의 모든 규칙에 따라 편집된 텍스트가 함께 제공됩니다.

PT NAD는 무엇을 하나요?: 손상 지표를 사용하여 피싱 링크를 탐지합니다. 예를 들어, PT NAD 인터페이스에서는 피싱 주소 목록(phishing-urls)에 포함된 링크를 통해 HTTP 연결이 있었던 세션을 볼 수 있습니다.

피싱 URL 침해 지표 목록의 링크를 통한 연결

6. T1199: 신뢰관계

피해자가 신뢰 관계를 구축한 제XNUMX자를 통해 피해자의 네트워크에 접근합니다. 공격자는 신뢰할 수 있는 조직을 해킹하고 이를 통해 대상 네트워크에 연결할 수 있습니다. 이를 위해 트래픽 분석을 통해 식별할 수 있는 VPN 연결 또는 도메인 신뢰를 사용합니다.

PT NAD는 무엇을 하나요?: 애플리케이션 프로토콜을 구문 분석하고 구문 분석된 필드를 데이터베이스에 저장하므로 정보 보안 분석가는 필터를 사용하여 데이터베이스에서 모든 의심스러운 VPN 연결 또는 교차 도메인 연결을 찾을 수 있습니다.

7. T1078: 유효한 계정

외부 및 내부 서비스에 대한 인증을 위해 표준, 로컬 또는 도메인 자격 증명을 사용합니다.

PT NAD는 무엇을 하나요?: HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos 프로토콜에서 자격 증명을 자동으로 검색합니다. 일반적으로 이는 로그인, 비밀번호 및 성공적인 인증 신호입니다. 사용된 경우 해당 세션 카드에 표시됩니다.

실행

실행 전술에는 공격자가 손상된 시스템에서 코드를 실행하는 데 사용하는 기술이 포함됩니다. 악성 코드를 실행하면 공격자가 경계 내부로 이동하여 존재(지속성 전술)를 설정하고 네트워크의 원격 시스템에 대한 액세스를 확장하는 데 도움이 됩니다.

PT NAD를 사용하면 공격자가 악성 코드를 실행하는 데 사용하는 14가지 기술의 사용을 탐지할 수 있습니다.

1. T1191: CMSTP(Microsoft 연결 관리자 프로필 설치 프로그램)

공격자가 기본 제공 Windows 유틸리티 CMSTP.exe(Connection Manager Profile Installer)에 대한 특수 악성 설치 INF 파일을 준비하는 전술입니다. CMSTP.exe는 파일을 매개변수로 사용하고 원격 연결을 위한 서비스 프로필을 설치합니다. 결과적으로 CMSTP.exe를 사용하여 원격 서버에서 동적 링크 라이브러리(*.dll) 또는 스크립틀릿(*.sct)을 로드하고 실행할 수 있습니다.

PT NAD는 무엇을 하나요?: HTTP 트래픽에서 특수 형식의 .inf 파일 전송을 자동으로 감지합니다. 또한 원격 서버에서 악성 스크립트릿 및 동적 링크 라이브러리의 HTTP 전송을 탐지합니다.

2. T1059: 명령줄 인터페이스

명령줄 인터페이스와의 상호 작용. 명령줄 인터페이스는 원격 액세스 유틸리티 등을 통해 로컬 또는 원격으로 상호 작용할 수 있습니다.

PT NAD는 무엇을 하나요?: ping, ifconfig와 같은 다양한 명령줄 유틸리티를 실행하는 명령에 대한 응답을 기반으로 쉘의 존재를 자동으로 감지합니다.

3. T1175: 구성 요소 개체 모델 및 분산 COM

COM 또는 DCOM 기술을 사용하여 네트워크를 통해 이동하는 동안 로컬 또는 원격 시스템에서 코드를 실행합니다.

PT NAD는 무엇을 하나요?: 공격자가 일반적으로 프로그램을 시작하는 데 사용하는 의심스러운 DCOM 호출을 탐지합니다.

4. T1203: 클라이언트 실행을 위한 활용

취약점을 악용하여 워크스테이션에서 임의 코드를 실행합니다. 공격자에게 가장 유용한 익스플로잇은 원격 시스템에서 코드가 실행될 수 있도록 허용하는 익스플로잇입니다. 공격자가 해당 시스템에 액세스하는 데 이를 사용할 수 있기 때문입니다. 이 기술은 악성 메일링 리스트, 브라우저 익스플로잇이 있는 웹사이트, 애플리케이션 취약점의 원격 익스플로잇 등의 방법으로 구현될 수 있습니다.

PT NAD는 무엇을 하나요?: 메일 트래픽을 분석할 때 PT NAD는 첨부 파일에 실행 파일이 있는지 확인합니다. 익스플로잇이 포함되어 있을 수 있는 이메일에서 사무실 문서를 자동으로 추출합니다. 취약점을 악용하려는 시도는 PT NAD가 자동으로 감지하는 트래픽에서 볼 수 있습니다.

5. T1170: msta

.hta 확장자를 사용하여 Microsoft HTML 애플리케이션(HTA)을 실행하는 mshta.exe 유틸리티를 사용하십시오. mshta는 브라우저 보안 설정을 우회하여 파일을 처리하기 때문에 공격자는 mshta.exe를 사용하여 악성 HTA, JavaScript 또는 VBScript 파일을 실행할 수 있습니다.

PT NAD는 무엇을 하나요?: mshta를 통해 실행되는 .hta 파일도 네트워크를 통해 전송됩니다. 이는 트래픽에서 볼 수 있습니다. PT NAD는 이러한 악성 파일의 전송을 자동으로 탐지합니다. 파일을 캡처하고 해당 정보를 세션 카드에서 볼 수 있습니다.

6. T1086: 파워셸

PowerShell을 사용하여 정보를 찾고 악성 코드를 실행합니다.

PT NAD는 무엇을 하나요?: 원격 공격자가 PowerShell을 사용하는 경우 PT NAD는 규칙을 사용하여 이를 탐지합니다. 악성 스크립트와 SMB 프로토콜을 통한 PowerShell 스크립트 전송에 가장 자주 사용되는 PowerShell 언어 키워드를 탐지합니다.

7. T1053: 예약된 작업
Windows 작업 스케줄러 및 기타 유틸리티를 사용하여 특정 시간에 프로그램이나 스크립트를 자동으로 실행합니다.

PT NAD는 무엇을 하나요?: 공격자는 일반적으로 원격으로 이러한 작업을 생성하므로 해당 세션이 트래픽에서 표시됩니다. PT NAD는 ATSVC 및 ITaskSchedulerService RPC 인터페이스를 사용하여 의심스러운 작업 생성 및 수정 작업을 자동으로 감지합니다.

8. T1064: 스크립팅

공격자의 다양한 행동을 자동화하기 위한 스크립트 실행.

PT NAD는 무엇을 하나요?: 네트워크를 통한 스크립트 전송, 즉 스크립트가 시작되기 전에도 감지합니다. 원시 트래픽에서 스크립트 콘텐츠를 감지하고 널리 사용되는 스크립트 언어에 해당하는 확장자를 가진 파일의 네트워크 전송을 감지합니다.

9. T1035: 서비스 실행

SCM(서비스 제어 관리자)과 같은 Windows 서비스와 상호 작용하여 실행 파일, CLI 지침 또는 스크립트를 실행합니다.

PT NAD는 무엇을 하나요?: SMB 트래픽을 검사하고 서비스 생성, 변경 및 시작에 대한 규칙을 사용하여 SCM에 대한 액세스를 감지합니다.

서비스 시작 기술은 원격 명령 실행 유틸리티 PSExec를 사용하여 구현할 수 있습니다. PT NAD는 SMB 프로토콜을 분석하고 PSEXESVC.exe 파일 또는 표준 PSEXECSVC 서비스 이름을 사용하여 원격 시스템에서 코드를 실행할 때 PSExec의 사용을 감지합니다. 사용자는 실행된 명령 목록과 호스트에서 원격 명령 실행의 적법성을 확인해야 합니다.

PT NAD의 공격 카드는 ATT&CK 매트릭스에 따라 사용된 전술과 기법에 대한 데이터를 표시하므로 사용자는 공격자가 어떤 공격 단계에 있는지, 어떤 목표를 추구하는지, 어떤 보상 조치를 취해야 하는지 이해할 수 있습니다.

PSExec 유틸리티 사용에 관한 규칙이 트리거되었습니다. 이는 원격 시스템에서 명령을 실행하려는 시도를 나타낼 수 있습니다.

10. T1072: 타사 소프트웨어

공격자가 원격 관리 소프트웨어나 기업 소프트웨어 배포 시스템에 접근하여 악성 코드를 실행하는 기술입니다. 이러한 소프트웨어의 예: SCCM, VNC, TeamViewer, HBSS, Altiris.
그건 그렇고, 이 기술은 원격 작업으로의 대규모 전환 및 결과적으로 모호한 원격 액세스 채널을 통해 보호되지 않은 수많은 홈 장치의 연결과 관련하여 특히 관련이 있습니다.

PT NAD는 무엇을 하나요?: 네트워크에서 해당 소프트웨어의 작동을 자동으로 감지합니다. 예를 들어, 규칙은 VNC 프로토콜을 통한 연결과 피해자의 호스트에 VNC 서버를 비밀리에 설치하고 자동으로 시작하는 EvilVNC 트로이 목마의 활동에 의해 트리거됩니다. 또한 PT NAD는 TeamViewer 프로토콜을 자동으로 감지하므로 분석가가 필터를 사용하여 해당 세션을 모두 찾고 적법성을 확인하는 데 도움이 됩니다.

11. T1204: 사용자 실행

사용자가 코드 실행으로 이어질 수 있는 파일을 실행하는 기술입니다. 예를 들어 실행 파일을 열거나 매크로가 포함된 Office 문서를 실행하는 경우가 이에 해당할 수 있습니다.

PT NAD는 무엇을 하나요?: 이러한 파일은 실행되기 전 전송 단계에서 확인됩니다. 이에 대한 정보는 전송된 세션 카드에서 연구할 수 있습니다.

12. T1047:Windows 관리 계측

Windows 시스템 구성 요소에 대한 로컬 및 원격 액세스를 제공하는 WMI 도구를 사용합니다. 공격자는 WMI를 사용하여 로컬 및 원격 시스템과 상호 작용하고 정찰 목적으로 정보를 수집하고 측면으로 이동하면서 원격으로 프로세스를 시작하는 등 다양한 작업을 수행할 수 있습니다.

PT NAD는 무엇을 하나요?: WMI를 통한 원격 시스템과의 상호 작용은 트래픽에서 볼 수 있으므로 PT NAD는 WMI 세션을 설정하라는 네트워크 요청을 자동으로 감지하고 트래픽에서 WMI를 사용하는 스크립트를 확인합니다.

13. T1028: Windows 원격 관리

사용자가 원격 시스템과 상호 작용할 수 있도록 하는 Windows 서비스 및 프로토콜을 사용합니다.

PT NAD는 무엇을 하나요?: Windows 원격 관리를 사용하여 설정된 네트워크 연결을 확인합니다. 이러한 세션은 규칙에 의해 자동으로 감지됩니다.

14. T1220: XSL(Extensible Stylesheet Language) 스크립트 처리

XSL 스타일 마크업 언어는 XML 파일의 데이터 처리 및 시각화를 설명하는 데 사용됩니다. 복잡한 작업을 지원하기 위해 XSL 표준에는 다양한 언어로 포함된 스크립트에 대한 지원이 포함되어 있습니다. 이러한 언어는 임의의 코드 실행을 허용하므로 화이트리스트 기반의 보안 정책을 우회할 수 있습니다.

PT NAD는 무엇을 하나요?: 네트워크를 통한, 즉 파일이 실행되기 전에 이러한 파일의 전송을 감지합니다. 네트워크를 통해 전송되는 XSL 파일과 비정상적인 XSL 마크업이 포함된 파일을 자동으로 감지합니다.

다음 자료에서는 PT Network Attack Discovery NTA 시스템이 MITRE ATT&CK에 따라 다른 공격자 전술 및 기법을 어떻게 찾아내는지 살펴보겠습니다. 계속 지켜봐 주시기 바랍니다!

저자:

• Positive Technologies PT Expert Security Center의 전문가 Anton Kutepov
• Positive Technologies의 제품 마케팅 담당자 Natalia Kazankova

출처 : habr.com