, D'Majoritéit (87%) vun InformatiounssécherheetsvirfÀll geschitt an e puer Minutten, a fir 68% vun de Firmen dauert et Méint fir se z'entdecken. Dëst ass bestÀtegt vun , no deem et déi meescht Organisatiounen am Duerchschnëtt 206 Deeg brauch fir en Tëschefall z'entdecken. Baséierend op d'Erfahrung vun eisen Ermëttlungen kënnen Hacker d'Infrastruktur vun enger Firma fir Joer kontrolléieren ouni ze erkennen. Also, an enger vun den Organisatiounen, wou eis Experten en Informatiounssécherheetsvirfall ënnersicht hunn, gouf opgedeckt datt Hacker déi ganz Infrastruktur vun der Organisatioun komplett kontrolléiert hunn a regelméisseg wichteg Informatioune geklaut hunn. .
Loosst eis soen datt Dir schonn e SIEM leeft deen Logbicher sammelt an Eventer analyséiert, an Antivirus Software ass op den Endknoten installéiert. Trotzdem, , sou wéi et onméiglech ass, EDR Systemer am ganze Réseau ëmzesetzen, dat heescht datt "blannen" Flecken net vermeide kënne ginn. Network Traffic Analyse (NTA) Systemer hëllefen hinnen ze këmmeren. Dës Léisungen entdecken Attackeraktivitéit an de fréiste Stadien vun der Netzpénétratioun, wéi och wÀhrend Versuche fir Fouss ze faassen an en Attack am Netz z'entwéckelen.
Et ginn zwou Zorte vun NTAs: e puer schaffen mat NetFlow, anerer analyséieren rau Traffic. De Virdeel vun den zweete Systemer ass datt se rau Traffic records spÀichere kënnen. Dank dësem kann en Informatiounssécherheetsspezialist den Erfolleg vum Attack verifizéieren, d'Drohung lokaliséieren, verstoen wéi den Attack geschitt ass a wéi een Àhnlechen an Zukunft verhënneren.
Mir wÀerte weisen wéi Dir NTA benotzt Dir direkt oder indirekt Beweiser benotze kënnt fir all bekannt Attack Taktik ze identifizéieren déi an der Wëssensbasis beschriwwe gëtt . Mir schwÀtzen iwwer jiddereng vun den 12 Taktiken, analyséieren d'Techniken, déi vum Traffic festgestallt ginn, a weisen hir Detektioun mat eisem NTA System.
Iwwer d'ATT&CK WĂ«ssensbasis
MITER ATT&CK ass eng ëffentlech Wëssensbasis entwéckelt an erhale vun der MITER Corporation baséiert op Analyse vun real-Liewen APTs. Et ass e strukturéierte Set vun Taktiken an Techniken déi vun UgrÀifer benotzt ginn. Dëst erlaabt Informatiounssécherheetsprofesser aus der ganzer Welt déi selwecht Sprooch ze schwÀtzen. D'Datebank gëtt permanent ausgebaut an ergÀnzt mat neie Wëssen.
D'Datebank identifizéiert 12 Taktiken, déi duerch Etappe vun engem Cyberattack opgedeelt sinn:
- initial Zougang;
- Ausféierung;
- Konsolidatioun (Persistenz);
- Privileg Eskalatioun;
- Préventioun vun Detectioun (Verteidegung Evasion);
- Erhalen Umeldungsinformatiounen (Umeldungsinformatioun Zougang);
- Exploratioun;
- Bewegung am Perimeter (lateral Bewegung);
- Datensammlung (Sammlung);
- Kommando a Kontroll;
- Daten Exfiltratioun;
- Impakt.
Fir all Taktik setzt d'ATT&CK Wëssensbasis eng Lëscht vun Techniken op, déi UgrÀifer hëllefen hiert Zil an der aktueller Stuf vum Attack z'erreechen. Well déiselwecht Technik a verschiddene Stadien benotzt ka ginn, kann et op verschidde Taktike bezéien.
Beschreiwung vun all Technik Ă«mfaasst:
- Identifizéierer;
- eng Lëscht vun Taktiken an deenen et benotzt gëtt;
- Beispiller vu Gebrauch vun APT Gruppen;
- Moossname fir Schued vu sengem Gebrauch ze reduzéieren;
- Detektioun Empfehlungen.
InformatiounssĂ©cherheetsspezialisten kĂ«nnen d'WĂ«ssen aus der Datebank benotzen fir Informatiounen iwwer aktuell Attackemethoden ze strukturĂ©ieren an, wann Dir dĂ«st berĂŒcksichtegt, en effektive SĂ©cherheetssystem bauen. Verstinn wĂ©i richteg APT Gruppen funktionnĂ©ieren kann och eng Quell vun Hypothesen ginn fir proaktiv no Bedrohungen bannent ze sichen .
Iwwer PT Network Attack Discovery
Mir wÀerten d'Benotzung vun Techniken aus der ATT & CK Matrixentgasung identifizéieren de System benotzt - Positiv Technologies NTA System, entwéckelt fir Attacken um Perimeter an am Netz z'entdecken. PT NAD deckt, a variabelen Grad, all 12 Taktike vun der MITER ATT&CK Matrix. Hien ass mÀchtegst fir Techniken fir initialen Zougang, lateral Bewegung a Kommando a Kontroll z'identifizéieren. An hinnen deckt PT NAD méi wéi d'Halschent vun de bekannten Techniken, déi hir Uwendung duerch direkt oder indirekt Schëlder erkennen.
De System erkennt Attacke mat ATT&CK Techniken mat Erkennungsregelen, déi vum Team erstallt goufen (PT ESC), Maschinnléieren, Indikatoren vu Kompromëss, déif Analyse a Retrospektiv Analyse. EchtzÀit Traffic Analyse kombinéiert mat enger Retrospektiv erlaabt Iech aktuell verstoppt béiswëlleg Aktivitéit z'identifizéieren an Entwécklungsvektoren an d'Chronologie vun Attacken ze verfolgen.
voll Kartéierung vun PT NAD zu MITER ATT & CK Matrixentgasung. D'Bild ass grouss, also proposéiere mir Iech et an enger separater Fënster ze gesinn.
Ăischt Zougang
Initial Access Taktiken enthalen Techniken fir d'Netzwierk vun enger Firma z'erreechen. D'Zil vun den UgrÀifer op dëser Etapp ass de béisaarteg Code un den attackéierten System ze liwweren an d'Méiglechkeet vu senger weiderer Ausféierung ze garantéieren.
Traffic Analyse vum PT NAD weist siwen Technike fir den initialen Zougang ze kréien:
1. : fueren-duerch Kompromëss
Eng Technik an dÀr d'Affer eng WebsÀit opmaacht, déi vun UgrÀifer benotzt gëtt fir de Webbrowser auszenotzen an Applikatiounszougang Tokens ze kréien.
Wat mĂ©cht PT NAD?: Wann de WebverkĂ©ier net verschlĂ«sselt ass, iwwerprĂ©ift PT NAD den Inhalt vun HTTP-Server-Ăntwerten. DĂ«s Ăntwerte enthalen Ausnotzen dĂ©i UgrĂ€ifer erlaben arbitrĂ€r Code am Browser auszefĂ©ieren. PT NAD erkennt automatesch esou Ausnotzen mat Erkennungsregelen.
ZousÀtzlech erkennt PT NAD d'Drohung am virege Schrëtt. Regelen an Indikatoren vu Kompromëss ginn ausgeléist wann de Benotzer e Site besicht deen hien op e Site mat enger Rëtsch Exploiten ëmgeleet huet.
2. : Ausnotzen ëffentlech-konfrontéiert Applikatioun
Ausbeutung vu Schwachstelle bei Servicer déi vum Internet zougÀnglech sinn.
Wat mĂ©cht PT NAD?: FĂ©iert eng dĂ©if Inspektioun vum Inhalt vun NetzpĂ€ck, z'identifizĂ©ieren Unzeeche vun anomaler AktivitĂ©it. Besonnesch ginn et Regelen, dĂ©i Iech erlaben Attacken op grouss Inhaltsverwaltungssystemer (CMS), Webinterfaces vun NetzwierkausrĂŒstung an Attacken op Mail- a FTP-Server z'entdecken.
3. : extern Fernservicer
UgrÀifer benotzen Fernzougang Servicer fir mat internen Netzwierkressourcen vu baussen ze verbannen.
Wat mécht PT NAD?: Zënter datt de System Protokoller net duerch Portnummeren erkennt, mee duerch den Inhalt vu PÀckchen, kënnen System Benotzer de Traffic filteren fir all Sessiounen vu Fernzugriffsprotokoller ze fannen an hir Legitimitéit ze kontrolléieren.
4. : spearphishing Unhang
Mir schwÀtzen iwwer déi notoresch Sendung vu Phishing-Uschlëss.
Wat mécht PT NAD?: Extrait automatesch Dateien aus dem Traffic a kontrolléiert se géint Indikatoren vu Kompromëss. Ausféierbar Dateien an Uschlëss ginn duerch Reegele festgestallt, déi den Inhalt vum Mailverkéier analyséieren. An engem Firmenëmfeld gëtt sou eng Investitioun als anomal ugesinn.
5. : Spearphishing Link
Benotzt Phishing Links. D'Technik ëmfaasst UgrÀifer eng Phishing-E-Mail mat engem Link ze schécken, deen, wann Dir klickt, e béiswëlleg Programm eroflueden. An der Regel gëtt de Link vun engem Text begleet, deen am Aklang mat all de Regele vum sozialen Ingenieur kompiléiert ass.
Wat mécht PT NAD?: Entdeckt Phishing Links mat Indicateuren vu Kompromëss. Zum Beispill, an der PT NAD Interface gesi mir eng Sessioun, an dÀr et eng HTTP-Verbindung iwwer e Link an der Lëscht vu Phishing-Adressen (Phishing-URL) abegraff ass.
Verbindung iwwer e Link aus der Lëscht vun Indikatoren vu Kompromëss Phishing-URL'en
6. : trauen Relatioun
Zougang zum Netz vum Affer duerch DrĂ«ttpersounen mat deenen d'Affer eng vertrauenswĂŒrdeg BezĂ©iung etablĂ©iert huet. UgrĂ€ifer kĂ«nnen eng vertrauenswĂŒrdeg Organisatioun hacken a mat dem Zilnetz verbannen. Fir dĂ«st ze maachen, benotze se VPN Verbindungen oder Domain Vertrauen, dĂ©i duerch Trafficanalyse identifizĂ©iert kĂ«nne ginn.
Wat mécht PT NAD?: parséiert Applikatiounsprotokoller a spÀichert déi parséiert Felder an d'Datebank, sou datt en Informatiounssécherheetsanalytiker Filtere benotze kann fir all verdÀchteg VPN Verbindungen oder Cross-Domain Verbindungen an der Datebank ze fannen.
7. : valabel Konte
Benotzt Standard, lokal oder Domain Umeldungsinformatiounen fir Autorisatioun op externen an internen Servicer.
Wat mécht PT NAD?: Recuperéiert automatesch Umeldungsinformatiounen aus HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos Protokoller. Am Allgemengen ass dëst e Login, Passwuert an en Zeechen vun enger erfollegrÀicher Authentifikatioun. Wa se benotzt goufen, gi se an der entspriechender Sessiounskaart ugewisen.
Ausféierung
Ausféierungstaktiken enthalen Techniken déi UgrÀifer benotze fir Code op kompromittéiert Systemer auszeféieren. Béiswëlleg Code lafen hëlleft UgrÀifer eng PrÀsenz (Persistenztaktik) z'etabléieren an den Zougang zu Fernsystemer am Netz auszebauen andeems se an de Perimeter bewegt.
PT NAD erlaabt Iech d'Benotzung vu 14 Techniken z'entdecken, déi vun UgrÀifer benotzt ginn fir béiswëlleg Code auszeféieren.
1. : CMSTP (Microsoft Connection Manager Profile Installer)
Eng Taktik an dÀr UgrÀifer eng speziell béiswëlleg Installatioun INF Datei fir den agebaute Windows Utility CMSTP.exe (Connection Manager Profile Installer) virbereeden. CMSTP.exe akzeptéiert d'Datei als Parameter an installéiert de Serviceprofil fir d'Fernverbindung. Als Resultat kann CMSTP.exe benotzt ginn fir dynamesch Linkbibliothéiken (*.dll) oder Skriptlets (*.sct) vu Fernserveren ze lueden an auszeféieren.
Wat mécht PT NAD?: Detektéiert automatesch den Transfer vu speziellen Typen vun INF-Dateien am HTTP-Traffic. ZousÀtzlech zu dësem erkennt et d'HTTP-Transmissioun vu béiswëlleg Skriptlets an dynamesche Linkbibliothéike vun engem Fernserver.
2. : Kommando-Linn Interface
Interaktioun mat der Kommandozeil Interface. D'Command Line Interface kann mat lokalen oder op afstand interagéiert ginn, zum Beispill mat Remote Access Utilities.
Wat mĂ©cht PT NAD?: erkennt automatesch d'PrĂ€senz vu Shells basĂ©iert op Ăntwerten op Kommandoen fir verschidde Kommandozeil Utilitys ze starten, wĂ©i Ping, ifconfig.
3. : Komponent Objet Modell a verdeelt COM
Benotzung vu COM oder DCOM Technologien fir Code op lokalen oder Fernsystemer auszeféieren wÀrend Dir iwwer e Netzwierk bewegt.
Wat mécht PT NAD?: Entdeckt verdÀchteg DCOM-Uriff déi UgrÀifer normalerweis benotze fir Programmer ze starten.
4. : Ausbeutung fir Client Ausféierung
Ausbeutung vu Schwachstelle fir arbitrÀr Code op enger Aarbechtsstatioun auszeféieren. Déi nëtzlechst Ausnotzen fir UgrÀifer sinn déi, déi et erlaben Code op engem Fernsystem auszeféieren, well se UgrÀifer erlaben Zougang zu deem System ze kréien. D'Technik kann mat de folgende Methoden ëmgesat ginn: béiswëlleg Mailing, eng WebsÀit mat Browser-Exploitatiounen, a Fernexploitatioun vun Applikatiounsschwieregkeeten.
Wat mĂ©cht PT NAD?: Wann Dir de MailverkĂ©ier parsĂ©iert, kontrollĂ©iert PT NAD et op d'PrĂ€senz vun ausfĂŒhrbaren Dateien an UschlĂ«ss. ExtraitĂ©iert automatesch BĂŒrodokumenter aus E-Mailen dĂ©i Ausnotzen enthalen kĂ«nnen. Versuche Schwachstelle auszenotzen sinn am Traffic sichtbar, wat PT NAD automatesch erkennt.
5. :msch
Benotzt d'Mshta.exe Utility, déi Microsoft HTML Uwendungen (HTA) mat der .hta Extensioun leeft. Well mshta Dateien veraarbecht, déi Browser Sécherheetsastellungen ëmgoen, kënnen UgrÀifer mshta.exe benotze fir béiswëlleg HTA, JavaScript oder VBScript Dateien auszeféieren.
Wat mécht PT NAD?: .hta Dateien fir d'Ausféierung iwwer mshta ginn och iwwer de Netz iwwerdroen - dëst kann am Traffic gesi ginn. PT NAD erkennt den Transfer vun esou béiswëlleg Dateien automatesch. Et erfaasst Dateien, an Informatioun iwwer si kann an der Sessiounskaart gekuckt ginn.
6. : PowerShell
Benotzt PowerShell fir Informatioun ze fannen an béisaarteg Code auszeféieren.
Wat mécht PT NAD?: Wann PowerShell vun Remote UgrÀifer benotzt gëtt, erkennt PT NAD dëst mat Reegelen. Et detektéiert PowerShell Sprooch Schlësselwieder déi am meeschten a béiswëlleg Scripte benotzt ginn an d'Transmissioun vun PowerShell Scripten iwwer de SMB Protokoll.
7. : geplangt Aufgab
Benotzt Windows Task Scheduler an aner Utilities fir automatesch Programmer oder Skripte op spezifesch ZÀiten auszeféieren.
Wat mécht PT NAD?: UgrÀifer erstellen esou Aufgaben, normalerweis op afstand, wat heescht datt esou Sessiounen am Traffic sichtbar sinn. PT NAD detektéiert automatesch verdÀchteg Taskschafung a Modifikatiounsoperatioune mat den ATSVC an ITaskSchedulerService RPC Interfaces.
8. : scripting
Ausféierung vu Skripte fir verschidden Aktiounen vun UgrÀifer ze automatiséieren.
Wat mécht PT NAD?: detektéiert d'Iwwerdroung vu Scripten iwwer d'Netz, dat heescht och ier se lancéiert ginn. Et erkennt Skriptinhalt am roude Verkéier an erkennt Netzwierkiwwerdroung vu Dateien mat Extensiounen entspriechend populÀre Skriptsproochen.
9. : Service Ausféierung
Laf eng ausfĂŒhrbar Datei, Kommandozeil-Interface-Instruktioune oder Skript duerch Interaktioun mat Windows-Servicer, wĂ©i Service Control Manager (SCM).
Wat mécht PT NAD?: inspizeiert SMB Traffic an entdeckt Zougang zu SCM mat Reegele fir e Service ze kreéieren, z'Ànneren an ze starten.
D'Service Startup Technik ka mat der Remote Kommando Ausféierung Utility PSExec implementéiert ginn. PT NAD analyséiert de SMB-Protokoll an erkennt d'Benotzung vu PSExec wann se d'PSEXESVC.exe Datei oder de Standard PSEXECSVC Servicenumm benotzt fir Code op enger Fernmaschinn auszeféieren. De Benotzer muss d'Lëscht vun ausgefouerten Kommandoen iwwerpréiwen an d'Legitimitéit vun der Remote Kommando Ausféierung vum Host.
D'Attackkaart an PT NAD weist Daten iwwer d'Taktik an d'Techniken, déi no der ATT&CK Matrix benotzt ginn, sou datt de Benotzer kann verstoen op wéi enger Stuf vum Attack d'UgrÀifer sinn, wéi eng Ziler se verfollegen, a wéi eng Kompensatiounsmoossnamen ze huelen.
D'Regel iwwer d'Benotzung vum PSExec Utility gëtt ausgeléist, wat e Versuch kann uginn Kommandoen op enger Fernmaschinn auszeféieren
10. : Drëtt Partei Software
Eng Technik an dÀr UgrÀifer Zougang zu Fernadministratiounssoftware oder e Firmensoftware Deployment System kréien an se benotze fir béiswëlleg Code auszeféieren. Beispiller vun esou Software: SCCM, VNC, TeamViewer, HBSS, Altiris.
Iwwregens ass d'Technik besonnesch relevant am Zesummenhang mam massiven Iwwergang op Fernaarbecht an, als Resultat, d'Verbindung vu villen ongeschĂŒtzten HausgerĂ€ter duerch zweifelhafte FernzougangskanĂ€l
Wat mécht PT NAD?: erkennt automatesch d'Operatioun vun esou Software am Netz. Zum Beispill ginn d'Regele vu Verbindungen iwwer de VNC-Protokoll an d'Aktivitéit vum EvilVNC Trojaner ausgeléist, deen heemlech e VNC-Server op dem Host vum Affer installéiert an automatesch lancéiert. Och PT NAD erkennt automatesch den TeamViewer Protokoll, dëst hëlleft den Analyst, mat engem Filter, all sou Sessiounen ze fannen an hir Legitimitéit ze kontrolléieren.
11. : Benotzer Ausféierung
Eng Technik an dĂ€r de Benotzer Dateien leeft, dĂ©i zu Code AusfĂ©ierung fĂ©ieren. DĂ«st kĂ©int zum Beispill sinn, wann hien eng ausfĂŒhrbar Datei opmaacht oder en Officedokument mat engem Macro leeft.
Wat mécht PT NAD?: gesÀit esou Dateien op der Transfertstadium, ier se lancéiert ginn. Informatioun iwwer si kann op der Kaart vun de Sessiounen studéiert ginn, an deenen se iwwerdroe goufen.
12. : Windows Management Instrumentatioun
Benotzung vum WMI-Tool, deen lokalen a Fernzougang op Windows Systemkomponenten ubitt. Mat WMI kënnen UgrÀifer mat lokalen a Fernsystemer interagéieren an eng Vielfalt vun Aufgaben ausféieren, sou wéi Informatioun sammelen fir OpklÀrungszwecker a Prozesser op afstand lancéiere wÀrend se lateral bewegt.
Wat mécht PT NAD?: Zënter Interaktioune mat Fernsystemer iwwer WMI am Traffic siichtbar sinn, erkennt PT NAD automatesch Netzwierkfuerderunge fir WMI Sessiounen z'etabléieren a kontrolléiert de Verkéier fir Skripte déi WMI benotzen.
13. : Windows Remote Management
Benotzt e Windows Service a Protokoll deen de Benotzer erlaabt mat Fernsystemer ze interagéieren.
Wat mécht PT NAD?: Gesinn Netzwierkverbindunge mat Windows Remote Management etabléiert. Esou Sessiounen ginn automatesch duerch d'Regele festgestallt.
14. : XSL (Extensible Stylesheet Language) Skriptveraarbechtung
XSL Stil Markup Sprooch gĂ«tt benotzt fir d'Veraarbechtung an d'VisualisĂ©ierung vun Daten an XML Dateien ze beschreiwen. Fir komplex Operatiounen z'Ă«nnerstĂ«tzen, enthĂ€lt den XSL Standard ĂnnerstĂ«tzung fir embedded Scripten a verschiddene Sproochen. DĂ«s Sproochen erlaben d'AusfĂ©ierung vun arbitrĂ€r Code, wat fĂ©iert zu Contournement vun SĂ©cherheet Politik basĂ©iert op wĂ€iss LĂ«schte.
Wat mécht PT NAD?: erkennt den Transfert vun esou Dateien iwwer d'Netzwierk, dat heescht och ier se lancéiert ginn. Et erkennt automatesch XSL-Dateien, déi iwwer d'Netzwierk iwwerdroe ginn an Dateie mat anomalen XSL-Markup.
An de folgende Materialien wÀerte mir kucken wéi de PT Network Attack Discovery NTA System aner Attacker Taktiken an Techniken am Aklang mat MITER ATT&CK fënnt. Bleift drun!
Auteuren:
- Anton Kutepov, Spezialist am PT Expert Security Center, Positive Technologies
- Natalia Kazankova, Produktmarketer bei Positive Technologies
Source: will.com
