ການລ່າສັດໄພຂົ່ມຂູ່, ຫຼືວິທີການປົກປ້ອງຕົນເອງຈາກ 5% ຂອງການຂົ່ມຂູ່

95% ຂອງໄພຂົ່ມຂູ່ດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນແມ່ນເປັນທີ່ຮູ້ຈັກ, ແລະທ່ານສາມາດປ້ອງກັນຕົວທ່ານເອງຈາກພວກມັນໂດຍໃຊ້ວິທີການແບບດັ້ງເດີມເຊັ່ນ: antiviruses, firewalls, IDS, WAF. ໄພຂົ່ມຂູ່ທີ່ຍັງເຫຼືອ 5% ແມ່ນບໍ່ຮູ້ ແລະເປັນອັນຕະລາຍທີ່ສຸດ. ພວກເຂົາປະກອບເປັນ 70% ຂອງຄວາມສ່ຽງສໍາລັບບໍລິສັດເນື່ອງຈາກຄວາມຈິງທີ່ວ່າມັນມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະກວດພົບພວກເຂົາ, ປົກປ້ອງພວກເຂົາຫນ້ອຍລົງ. ຕົວຢ່າງ "ຫອນດໍາ" ແມ່ນການລະບາດຂອງ WannaCry ransomware, NotPetya/ExPetr, cryptominers, the “cyber weapon” Stuxnet (ທີ່ຕີສະຖານທີ່ນິວເຄລຍຂອງອີຣ່ານ) ແລະຫຼາຍໆຄົນ (ມີໃຜຈື່ Kido/Conficker?) ການໂຈມຕີອື່ນໆທີ່ບໍ່ໄດ້ຮັບການປົກປ້ອງດີຫຼາຍຕໍ່ກັບມາດຕະການຄວາມປອດໄພຄລາສສິກ. ພວກເຮົາຕ້ອງການເວົ້າກ່ຽວກັບວິທີການຕ້ານໄພຂົ່ມຂູ່ 5% ເຫຼົ່ານີ້ໂດຍໃຊ້ເຕັກໂນໂລຢີການລ່າສັດໄພຂົ່ມຂູ່.

ການວິວັດທະນາການຢ່າງຕໍ່ເນື່ອງຂອງການໂຈມຕີທາງອິນເຕີເນັດຮຽກຮ້ອງໃຫ້ມີການຊອກຄົ້ນຫາ ແລະມາດຕະການຕອບໂຕ້ຢ່າງບໍ່ຢຸດຢັ້ງ, ເຊິ່ງໃນທີ່ສຸດເຮັດໃຫ້ພວກເຮົາຄິດເຖິງການແຂ່ງຂັນອາວຸດທີ່ບໍ່ມີທີ່ສິ້ນສຸດລະຫວ່າງຜູ້ໂຈມຕີ ແລະ ຜູ້ປ້ອງກັນ. ລະບົບຄວາມປອດໄພຄລາສສິກບໍ່ສາມາດສະຫນອງລະດັບຄວາມປອດໄພທີ່ຍອມຮັບໄດ້, ເຊິ່ງລະດັບຄວາມສ່ຽງບໍ່ມີຜົນກະທົບຕໍ່ຕົວຊີ້ວັດທີ່ສໍາຄັນຂອງບໍລິສັດ (ເສດຖະກິດ, ການເມືອງ, ຊື່ສຽງ) ໂດຍບໍ່ມີການດັດແປງໃຫ້ເຂົາເຈົ້າສໍາລັບໂຄງສ້າງພື້ນຖານສະເພາະໃດຫນຶ່ງ, ແຕ່ໂດຍທົ່ວໄປແລ້ວພວກເຂົາກວມເອົາບາງສ່ວນ. ຄວາມສ່ຽງ. ແລ້ວໃນຂະບວນການປະຕິບັດແລະການຕັ້ງຄ່າ, ລະບົບຄວາມປອດໄພທີ່ທັນສະໄຫມຊອກຫາຕົວເອງໃນຫນ້າທີ່ຈັບແລະຕ້ອງຕອບສະຫນອງກັບສິ່ງທ້າທາຍຂອງເວລາໃຫມ່.

ແຫຼ່ງຂໍ້ມູນ

ເທກໂນໂລຍີການລ່າສັດໄພຂົ່ມຂູ່ອາດຈະເປັນຫນຶ່ງໃນຄໍາຕອບຕໍ່ສິ່ງທ້າທາຍຂອງເວລາຂອງພວກເຮົາສໍາລັບຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພດ້ານຂໍ້ມູນ. ຄຳ​ວ່າ​ການ​ລ່າ​ສັດ​ໄພ​ຂົ່ມ​ຂູ່ (ຕໍ່​ໄປ​ນີ້​ເອີ້ນ​ວ່າ TH) ປະກົດ​ຕົວ​ຫຼາຍ​ປີ​ກ່ອນ. ເຕັກໂນໂລຢີຂອງມັນເອງແມ່ນຂ້ອນຂ້າງຫນ້າສົນໃຈ, ແຕ່ຍັງບໍ່ທັນມີມາດຕະຖານແລະກົດລະບຽບທີ່ຍອມຮັບໂດຍທົ່ວໄປ. ເລື່ອງນີ້ຍັງສັບສົນໂດຍຄວາມແຕກຕ່າງກັນຂອງແຫຼ່ງຂໍ້ມູນຂ່າວສານແລະຈໍານວນຂະຫນາດນ້ອຍຂອງແຫຼ່ງພາສາລັດເຊຍຂອງຂໍ້ມູນຂ່າວສານກ່ຽວກັບຫົວຂໍ້ນີ້. ໃນເລື່ອງນີ້, ພວກເຮົາຢູ່ທີ່ LANIT-Integration ຕັດສິນໃຈຂຽນການທົບທວນຄືນກ່ຽວກັບເຕັກໂນໂລຢີນີ້.

Relevance

ເທັກໂນໂລຍີ TH ຂຶ້ນກັບຂະບວນການກວດສອບພື້ນຖານໂຄງລ່າງ. ມີສອງສະຖານະການຕົ້ນຕໍສໍາລັບການຕິດຕາມພາຍໃນ - ການເຕືອນແລະການລ່າສັດ. ການແຈ້ງເຕືອນ (ຄ້າຍຄືກັນກັບການບໍລິການ MSSP) ແມ່ນວິທີການແບບດັ້ງເດີມຂອງການຄົ້ນຫາລາຍເຊັນທີ່ພັດທະນາກ່ອນຫນ້ານີ້ແລະອາການຂອງການໂຈມຕີແລະການຕອບສະຫນອງຕໍ່ພວກມັນ. ສະຖານະການນີ້ຖືກປະຕິບັດຢ່າງສໍາເລັດຜົນໂດຍເຄື່ອງມືປ້ອງກັນທີ່ອີງໃສ່ລາຍເຊັນແບບດັ້ງເດີມ. ການລ່າສັດ (ການບໍລິການປະເພດ MDR) ແມ່ນວິທີການຕິດຕາມທີ່ຕອບຄໍາຖາມ "ລາຍເຊັນແລະກົດລະບຽບມາຈາກໃສ?" ມັນແມ່ນຂະບວນການສ້າງກົດລະບຽບການພົວພັນໂດຍການວິເຄາະຕົວຊີ້ວັດທີ່ເຊື່ອງໄວ້ຫຼືບໍ່ຮູ້ກ່ອນຫນ້ານີ້ແລະອາການຂອງການໂຈມຕີ. ການລ່າສັດໄພຂົ່ມຂູ່ຫມາຍເຖິງປະເພດຂອງການຕິດຕາມນີ້.

ພຽງແຕ່ໂດຍການສົມທົບການຕິດຕາມກວດກາທັງສອງປະເພດເທົ່ານັ້ນທີ່ພວກເຮົາໄດ້ຮັບການປົກປ້ອງທີ່ໃກ້ຊິດກັບຄວາມເຫມາະສົມ, ແຕ່ວ່າມີຄວາມສ່ຽງຕໍ່ການຕົກຄ້າງຢູ່ສະເຫມີ.

ການປົກປ້ອງໂດຍໃຊ້ສອງປະເພດຂອງການຕິດຕາມ

ແລະນີ້ແມ່ນວ່າເປັນຫຍັງ TH (ແລະການລ່າສັດທັງຫມົດ!) ຈະກາຍເປັນທີ່ກ່ຽວຂ້ອງຫຼາຍຂຶ້ນ:

ໄພຂົ່ມຂູ່, ວິທີແກ້ໄຂ, ຄວາມສ່ຽງ. ແຫຼ່ງຂໍ້ມູນ

95% ຂອງໄພຂົ່ມຂູ່ທັງໝົດແມ່ນໄດ້ຖືກສຶກສາດີແລ້ວ. ເຫຼົ່ານີ້ລວມມີປະເພດເຊັ່ນ spam, DDoS, ໄວຣັສ, rootkits ແລະ malware ຄລາສສິກອື່ນໆ. ທ່ານສາມາດປ້ອງກັນຕົວທ່ານເອງຈາກໄພຂົ່ມຂູ່ເຫຼົ່ານີ້ໂດຍໃຊ້ມາດຕະການຄວາມປອດໄພແບບຄລາສສິກດຽວກັນ.

ໃນລະຫວ່າງການຈັດຕັ້ງປະຕິບັດໂຄງການໃດໆ 20% ຂອງວຽກງານໃຊ້ເວລາ 80% ຂອງເວລາທີ່ຈະສໍາເລັດ, ແລະສ່ວນທີ່ເຫຼືອ 20% ຂອງວຽກງານໃຊ້ເວລາ 80%. ເຊັ່ນດຽວກັນ, ໃນທົ່ວພູມສັນຖານໄພຂົ່ມຂູ່ທັງຫມົດ, 5% ຂອງໄພຂົ່ມຂູ່ໃຫມ່ຈະກວມເອົາ 70% ຂອງຄວາມສ່ຽງຕໍ່ບໍລິສັດ. ໃນບໍລິສັດທີ່ມີການຈັດຕັ້ງຂະບວນການຄຸ້ມຄອງຄວາມປອດໄພຂໍ້ມູນ, ພວກເຮົາສາມາດຄຸ້ມຄອງ 30% ຂອງຄວາມສ່ຽງຂອງການປະຕິບັດໄພຂົ່ມຂູ່ທີ່ຮູ້ຈັກໃນທາງຫນຶ່ງຫຼືອື່ນໂດຍການຫລີກລ້ຽງ (ການປະຕິເສດເຄືອຂ່າຍໄຮ້ສາຍໃນຫຼັກການ), ຍອມຮັບ (ປະຕິບັດມາດຕະການຄວາມປອດໄພທີ່ຈໍາເປັນ) ຫຼືການປ່ຽນ. (ຕົວຢ່າງ, ໃສ່ບ່າຂອງຜູ້ປະສົມປະສານ) ຄວາມສ່ຽງນີ້. ປົກປ້ອງຕົວທ່ານເອງຈາກ ຄວາມອ່ອນແອຂອງສູນວັນ, ການໂຈມຕີ APT, phishing, ການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະຫນອງ, cyber espionage ແລະການດໍາເນີນງານແຫ່ງຊາດ, ເຊັ່ນດຽວກັນກັບຈໍານວນຂະຫນາດໃຫຍ່ຂອງການໂຈມຕີອື່ນໆແມ່ນມີຄວາມຫຍຸ້ງຍາກຫຼາຍແລ້ວ. ຜົນ​ສະ​ທ້ອນ​ຈາກ 5% ຂອງ​ໄພ​ຂົ່ມ​ຂູ່​ເຫຼົ່າ​ນີ້​ຈະ​ຮ້າຍ​ແຮງ​ຫຼາຍ (ຈໍານວນເງິນສະເລ່ຍຂອງການສູນເສຍທະນາຄານຈາກກຸ່ມ buhtrap ແມ່ນ 143 ລ້ານ) ກ່ວາຜົນສະທ້ອນຂອງ spam ຫຼືໄວຣັສ, ຈາກຊອບແວ antivirus ຊ່ວຍປະຢັດ.

ເກືອບທຸກຄົນຕ້ອງຈັດການກັບ 5% ຂອງການຂົ່ມຂູ່. ພວກເຮົາບໍ່ດົນມານີ້ໄດ້ຕິດຕັ້ງການແກ້ໄຂ open-source ທີ່ໃຊ້ແອັບພລິເຄຊັນຈາກ PEAR (PHP Extension and Application Repository) repository. ຄວາມພະຍາຍາມທີ່ຈະຕິດຕັ້ງແອັບພລິເຄຊັນນີ້ຜ່ານການຕິດຕັ້ງ pear ລົ້ມເຫລວເພາະວ່າ ເວັບໄຊທ໌ ບໍ່ສາມາດໃຊ້ໄດ້ (ຕອນນີ້ມີຕົ້ນໃບຢູ່), ຂ້ອຍຕ້ອງຕິດຕັ້ງມັນຈາກ GitHub. ແລະພຽງແຕ່ບໍ່ດົນມານີ້ມັນໄດ້ຫັນອອກວ່າ PEAR ໄດ້ກາຍເປັນຜູ້ຖືກເຄາະຮ້າຍ ການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະຫນອງ.

ເຈົ້າຍັງຈື່ໄດ້ ການໂຈມຕີໂດຍໃຊ້ CCleaner, ການລະບາດຂອງ ransomware NePetya ຜ່ານໂມດູນການປັບປຸງສໍາລັບໂຄງການລາຍງານພາສີ MEDoc. ການຂົ່ມຂູ່ແມ່ນມີຄວາມຊັບຊ້ອນຫຼາຍຂຶ້ນ, ແລະຄໍາຖາມທີ່ມີເຫດຜົນເກີດຂື້ນ - "ພວກເຮົາຈະຮັບມືກັບໄພຂົ່ມຂູ່ 5% ເຫຼົ່ານີ້ໄດ້ແນວໃດ?"

ຄໍານິຍາມຂອງການລ່າສັດໄພຂົ່ມຂູ່

ດັ່ງນັ້ນ, ການລ່າສັດໄພຂົ່ມຂູ່ແມ່ນຂະບວນການຂອງການຄົ້ນຫາແບບຕັ້ງຫນ້າແລະຊ້ໍາຊ້ອນແລະກວດພົບໄພຂົ່ມຂູ່ທີ່ກ້າວຫນ້າທີ່ບໍ່ສາມາດກວດພົບໄດ້ໂດຍເຄື່ອງມືຄວາມປອດໄພແບບດັ້ງເດີມ. ໄພຂົ່ມຂູ່ແບບພິເສດລວມມີການໂຈມຕີເຊັ່ນ: APT, ການໂຈມຕີໃນ 0-day vulnerabilities, Living off the Land, ແລະອື່ນໆ.

ພວກເຮົາຍັງສາມາດແປວ່າ TH ແມ່ນຂະບວນການຂອງການທົດສອບສົມມຸດຕິຖານ. ນີ້ແມ່ນຂະບວນການຄູ່ມືສ່ວນໃຫຍ່ທີ່ມີອົງປະກອບຂອງອັດຕະໂນມັດ, ໃນທີ່ນັກວິເຄາະ, ອີງໃສ່ຄວາມຮູ້ແລະຄວາມສາມາດຂອງຕົນ, sifts ໂດຍຜ່ານປະລິມານຂະຫນາດໃຫຍ່ຂອງຂໍ້ມູນຂ່າວສານເພື່ອຊອກຫາອາການຂອງການປະນີປະນອມທີ່ສອດຄ່ອງກັບ hypothesis ທີ່ກໍານົດໄວ້ໃນເບື້ອງຕົ້ນກ່ຽວກັບການປະກົດຕົວຂອງໄພຂົ່ມຂູ່ທີ່ແນ່ນອນ. ລັກສະນະທີ່ໂດດເດັ່ນຂອງມັນແມ່ນຄວາມຫລາກຫລາຍຂອງແຫຼ່ງຂໍ້ມູນຂ່າວສານ.

ມັນຄວນຈະສັງເກດວ່າການລ່າສັດໄພຂົ່ມຂູ່ບໍ່ແມ່ນບາງປະເພດຂອງຊອບແວຫຼືຜະລິດຕະພັນຮາດແວ. ເຫຼົ່ານີ້ບໍ່ແມ່ນການແຈ້ງເຕືອນທີ່ສາມາດເຫັນໄດ້ໃນການແກ້ໄຂບາງຢ່າງ. ນີ້ບໍ່ແມ່ນຂະບວນການຊອກຫາ IOC (Identifiers of Compromise). ແລະນີ້ບໍ່ແມ່ນບາງປະເພດຂອງກິດຈະກໍາຕົວຕັ້ງຕົວຕີທີ່ເກີດຂື້ນໂດຍບໍ່ມີການເຂົ້າຮ່ວມຂອງນັກວິເຄາະຄວາມປອດໄພຂໍ້ມູນ. ການລ່າສັດໄພຂົ່ມຂູ່ແມ່ນຂະບວນການທໍາອິດແລະສໍາຄັນທີ່ສຸດ.

ອົງປະກອບຂອງການລ່າສັດໄພຂົ່ມຂູ່

ສາມອົງປະກອບຕົ້ນຕໍຂອງການລ່າສັດໄພຂົ່ມຂູ່: ຂໍ້ມູນ, ເຕັກໂນໂລຢີ, ຄົນ.

ຂໍ້ມູນ (ຫຍັງ?), ລວມທັງຂໍ້ມູນໃຫຍ່. ທຸກປະເພດຂອງການໄຫລວຽນຂອງການຈະລາຈອນ, ຂໍ້ມູນກ່ຽວກັບ APTs ທີ່ຜ່ານມາ, ການວິເຄາະ, ຂໍ້ມູນກ່ຽວກັບກິດຈະກໍາຂອງຜູ້ໃຊ້, ຂໍ້ມູນເຄືອຂ່າຍ, ຂໍ້ມູນຈາກພະນັກງານ, ຂໍ້ມູນໃນ darknet ແລະອື່ນໆອີກ.

ເຕັກໂນໂລຊີ (ແນວໃດ?) ການປະມວນຜົນຂໍ້ມູນນີ້ - ວິທີທີ່ເປັນໄປໄດ້ທັງໝົດຂອງການປະມວນຜົນຂໍ້ມູນນີ້, ລວມທັງການຮຽນຮູ້ເຄື່ອງຈັກ.

ຄົນ (ໃຜ?) – ຜູ້​ທີ່​ມີ​ປະ​ສົບ​ການ​ຢ່າງ​ກວ້າງ​ຂວາງ​ໃນ​ການ​ວິ​ເຄາະ​ການ​ໂຈມ​ຕີ​ຕ່າງໆ​, ການ​ພັດ​ທະ​ນາ intuition ແລະ​ຄວາມ​ສາ​ມາດ​ກວດ​ສອບ​ການ​ໂຈມ​ຕີ​. ໂດຍປົກກະຕິເຫຼົ່ານີ້ແມ່ນນັກວິເຄາະດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານທີ່ຕ້ອງມີຄວາມສາມາດໃນການສ້າງສົມມຸດຕິຖານແລະຊອກຫາການຢືນຢັນສໍາລັບພວກເຂົາ. ພວກເຂົາເປັນການເຊື່ອມໂຍງຕົ້ນຕໍໃນຂະບວນການ.

ຕົວແບບ PARIS

Adam Bateman ອະທິບາຍ ຮູບແບບ PARIS ສໍາລັບຂະບວນການ TH ທີ່ເຫມາະສົມ. ຊື່ຫມາຍເຖິງສະຖານທີ່ທີ່ມີຊື່ສຽງໃນປະເທດຝຣັ່ງ. ຮູບແບບນີ້ສາມາດເບິ່ງໄດ້ໃນສອງທິດທາງ - ຈາກຂ້າງເທິງແລະຈາກຂ້າງລຸ່ມນີ້.

ໃນຂະນະທີ່ພວກເຮົາເຮັດວຽກຂອງພວກເຮົາໂດຍຜ່ານຕົວແບບຈາກລຸ່ມຂຶ້ນ, ພວກເຮົາຈະພົບກັບຫຼັກຖານຫຼາຍຂອງກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ. ຫຼັກຖານແຕ່ລະອັນມີມາດຕະການທີ່ເອີ້ນວ່າຄວາມຫມັ້ນໃຈ - ລັກສະນະທີ່ສະທ້ອນເຖິງນ້ໍາຫນັກຂອງຫຼັກຖານນີ້. ມີ "ທາດເຫຼັກ", ຫຼັກຖານໂດຍກົງຂອງກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ, ອີງຕາມການທີ່ພວກເຮົາທັນທີສາມາດໄປເຖິງຈຸດສູງສຸດຂອງ pyramid ແລະສ້າງການແຈ້ງເຕືອນຕົວຈິງກ່ຽວກັບການຕິດເຊື້ອທີ່ຊັດເຈນ. ແລະມີຫຼັກຖານທາງອ້ອມ, ຜົນລວມຂອງທີ່ຍັງສາມາດນໍາພວກເຮົາໄປສູ່ຈຸດສູງສຸດຂອງ pyramid. ໃນຖານະເປັນສະເຫມີ, ມີຫຼັກຖານທາງອ້ອມຫຼາຍກ່ວາຫຼັກຖານໂດຍກົງ, ຊຶ່ງຫມາຍຄວາມວ່າພວກເຂົາຕ້ອງໄດ້ຮັບການຈັດຮຽງແລະການວິເຄາະ, ການຄົ້ນຄວ້າເພີ່ມເຕີມຕ້ອງໄດ້ຮັບການດໍາເນີນການ, ແລະແນະນໍາໃຫ້ອັດຕະໂນມັດນີ້.

ຕົວແບບ PARIS. ແຫຼ່ງຂໍ້ມູນ

ສ່ວນເທິງຂອງແບບຈໍາລອງ (1 ແລະ 2) ແມ່ນອີງໃສ່ເຕັກໂນໂລຢີອັດຕະໂນມັດແລະການວິເຄາະຕ່າງໆ, ແລະສ່ວນຕ່ໍາ (3 ແລະ 4) ແມ່ນອີງໃສ່ຜູ້ທີ່ມີຄຸນສົມບັດບາງຢ່າງທີ່ຄຸ້ມຄອງຂະບວນການ. ທ່ານສາມາດພິຈາລະນາຕົວແບບທີ່ເຄື່ອນຍ້າຍຈາກເທິງລົງລຸ່ມ, ບ່ອນທີ່ຢູ່ໃນສ່ວນເທິງຂອງສີຟ້າທີ່ພວກເຮົາມີການແຈ້ງເຕືອນຈາກເຄື່ອງມືຄວາມປອດໄພແບບດັ້ງເດີມ (antivirus, EDR, firewall, ລາຍເຊັນ) ທີ່ມີຄວາມໄວ້ວາງໃຈແລະຄວາມໄວ້ວາງໃຈສູງ, ແລະຂ້າງລຸ່ມນີ້ແມ່ນຕົວຊີ້ວັດ ( IOC, URL, MD5 ແລະອື່ນໆ), ທີ່ມີລະດັບຄວາມແນ່ນອນຕ່ໍາກວ່າແລະຕ້ອງການການສຶກສາເພີ່ມເຕີມ. ແລະລະດັບຕ່ໍາສຸດແລະຫນາທີ່ສຸດ (4) ແມ່ນການຜະລິດຂອງ hypotheses, ການສ້າງສະຖານະການໃຫມ່ສໍາລັບການດໍາເນີນງານຂອງວິທີການພື້ນເມືອງຂອງການປົກປ້ອງ. ລະດັບນີ້ບໍ່ຈໍາກັດພຽງແຕ່ແຫຼ່ງທີ່ກໍານົດໄວ້ຂອງ hypotheses. ລະດັບຕ່ໍາ, ຄວາມຕ້ອງການເພີ່ມເຕີມແມ່ນຖືກຈັດໃສ່ໃນຄຸນສົມບັດຂອງນັກວິເຄາະ.

ມັນເປັນສິ່ງ ສຳ ຄັນຫຼາຍທີ່ນັກວິເຄາະບໍ່ພຽງແຕ່ທົດສອບຊຸດຂອງສົມມຸດຕິຖານທີ່ ກຳ ນົດໄວ້ລ່ວງ ໜ້າ, ແຕ່ເຮັດວຽກຢູ່ສະ ເໝີ ເພື່ອສ້າງສົມມຸດຕິຖານ ໃໝ່ ແລະທາງເລືອກໃນການທົດສອບ.

TH ຮູບແບບການໃຊ້ຄວາມເຕັມທີ່

ໃນໂລກທີ່ເຫມາະສົມ, TH ແມ່ນຂະບວນການຢ່າງຕໍ່ເນື່ອງ. ແຕ່, ເນື່ອງຈາກວ່າບໍ່ມີໂລກທີ່ເຫມາະສົມ, ໃຫ້ພວກເຮົາວິເຄາະ ຮູບແບບການເຕີບໃຫຍ່ ແລະວິທີການໃນແງ່ຂອງຄົນ, ຂະບວນການແລະເຕັກໂນໂລຢີທີ່ໃຊ້. ໃຫ້ພວກເຮົາພິຈາລະນາຮູບແບບຂອງ TH spherical ທີ່ເຫມາະສົມ. ມີ 5 ລະດັບຂອງການນໍາໃຊ້ເຕັກໂນໂລຊີນີ້. ຂໍໃຫ້ເບິ່ງພວກເຂົາໂດຍໃຊ້ຕົວຢ່າງຂອງວິວັດທະນາການຂອງນັກວິເຄາະທີມດຽວ.

ລະດັບການເຕີບໃຫຍ່
ປະຊາຊົນ
ຂະບວນການຕ່າງໆ
ຂອງເຕັກໂນໂລຊີ

ລະດັບ 0
ນັກວິເຄາະ SOC
24/7
ເຄື່ອງ​ມື​ພື້ນ​ເມືອງ​:

ພື້ນເມືອງ
ຊຸດການແຈ້ງເຕືອນ
ການຕິດຕາມຕົວຕັ້ງຕົວຕີ
IDS, AV, Sandboxing,

ໂດຍບໍ່ມີການ TH
ເຮັດວຽກກັບການແຈ້ງເຕືອນ

ເຄື່ອງມືການວິເຄາະລາຍເຊັນ, ຂໍ້ມູນໄພຂົ່ມຂູ່ຕໍ່ Intelligence.

ລະດັບ 1
ນັກວິເຄາະ SOC
TH ຄັ້ງດຽວ
BDU

ທົດລອງ
ຄວາມຮູ້ພື້ນຖານຂອງ forensics
ການຄົ້ນຫາ IOC
ການຄຸ້ມຄອງບາງສ່ວນຂອງຂໍ້ມູນຈາກອຸປະກອນເຄືອຂ່າຍ

ການທົດລອງກັບ TH
ຄວາມຮູ້ທີ່ດີກ່ຽວກັບເຄືອຂ່າຍແລະຄໍາຮ້ອງສະຫມັກ

ຄໍາຮ້ອງສະຫມັກບາງສ່ວນ

ລະດັບ 2
ອາຊີບຊົ່ວຄາວ
ແລ່ນ
BDU

ແຕ່ລະໄລຍະ
ຄວາມຮູ້ສະເລ່ຍຂອງ forensics
ອາທິດຫາເດືອນ
ຄໍາຮ້ອງສະຫມັກເຕັມ

TH ຊົ່ວຄາວ
ຄວາມຮູ້ທີ່ດີເລີດຂອງເຄືອຂ່າຍແລະຄໍາຮ້ອງສະຫມັກ
ປົກກະຕິ TH
ອັດຕະໂນມັດເຕັມຮູບແບບຂອງການນໍາໃຊ້ຂໍ້ມູນ EDR

ການນໍາໃຊ້ບາງສ່ວນຂອງຄວາມສາມາດ EDR ຂັ້ນສູງ

ລະດັບ 3
ຄໍາສັ່ງ TH ອຸທິດຕົນ
24/7
ຄວາມສາມາດບາງສ່ວນເພື່ອທົດສອບສົມມຸດຕິຖານ TH

ປ້ອງກັນ
ຄວາມຮູ້ທີ່ດີເລີດຂອງ forensics ແລະ malware
ປ້ອງກັນ TH
ການນໍາໃຊ້ຄວາມສາມາດ EDR ຂັ້ນສູງຢ່າງເຕັມທີ່

ກໍລະນີພິເສດ TH
ຄວາມຮູ້ທີ່ດີເລີດຂອງຝ່າຍໂຈມຕີ
ກໍລະນີພິເສດ TH
ການຄຸ້ມຄອງຂໍ້ມູນເຕັມຮູບແບບຈາກອຸປະກອນເຄືອຂ່າຍ

ການຕັ້ງຄ່າໃຫ້ເຫມາະສົມກັບຄວາມຕ້ອງການຂອງທ່ານ

ລະດັບ 4
ຄໍາສັ່ງ TH ອຸທິດຕົນ
24/7
ຄວາມສາມາດໃນການທົດສອບສົມມຸດຕິຖານ TH

ນໍາພາ
ຄວາມຮູ້ທີ່ດີເລີດຂອງ forensics ແລະ malware
ປ້ອງກັນ TH
ລະດັບ 3, ບວກ:

ການນໍາໃຊ້ TH
ຄວາມຮູ້ທີ່ດີເລີດຂອງຝ່າຍໂຈມຕີ
ການທົດສອບ, ອັດຕະໂນມັດແລະການກວດສອບ hypotheses TH
ການ​ເຊື່ອມ​ໂຍງ​ຢ່າງ​ແຫນ້ນ​ແຟ້ນ​ຂອງ​ແຫຼ່ງ​ຂໍ້​ມູນ​;

ຄວາມສາມາດໃນການຄົ້ນຄ້ວາ

ການພັດທະນາຕາມຄວາມຕ້ອງການແລະການນໍາໃຊ້ທີ່ບໍ່ແມ່ນມາດຕະຖານຂອງ API.

ລະດັບການເຕີບໃຫຍ່ຂອງ TH ໂດຍປະຊາຊົນ, ຂະບວນການແລະເຕັກໂນໂລຢີ

ລະດັບ 0: ແບບດັ້ງເດີມ, ໂດຍບໍ່ຕ້ອງໃຊ້ TH. ນັກວິເຄາະປົກກະຕິເຮັດວຽກກັບຊຸດມາດຕະຖານຂອງການແຈ້ງເຕືອນໃນຮູບແບບການຕິດຕາມແບບ passive ໂດຍໃຊ້ເຄື່ອງມືມາດຕະຖານແລະເຕັກໂນໂລຢີ: IDS, AV, sandbox, ເຄື່ອງມືການວິເຄາະລາຍເຊັນ.

ລະດັບ 1: ການທົດລອງ, ການນໍາໃຊ້ TH. ນັກວິເຄາະດຽວກັນກັບຄວາມຮູ້ພື້ນຖານຂອງ forensics ແລະຄວາມຮູ້ທີ່ດີຂອງເຄືອຂ່າຍແລະຄໍາຮ້ອງສະຫມັກສາມາດດໍາເນີນການການລ່າສັດໄພຂົ່ມຂູ່ຄັ້ງດຽວໂດຍການຊອກຫາຕົວຊີ້ວັດຂອງການປະນີປະນອມ. EDR ໄດ້ຖືກເພີ່ມເຂົ້າໃນເຄື່ອງມືທີ່ມີການຄຸ້ມຄອງບາງສ່ວນຂອງຂໍ້ມູນຈາກອຸປະກອນເຄືອຂ່າຍ. ເຄື່ອງມືແມ່ນໃຊ້ບາງສ່ວນ.

ລະດັບ 2: ໄລຍະເວລາ, ຊົ່ວຄາວ TH. ນັກວິເຄາະດຽວກັນຜູ້ທີ່ໄດ້ຍົກລະດັບຄວາມຮູ້ຂອງເຂົາເຈົ້າໃນ forensics, ເຄືອຂ່າຍແລະພາກສ່ວນຄໍາຮ້ອງສະຫມັກແມ່ນຈໍາເປັນຕ້ອງໄດ້ດໍາເນີນການເປັນປົກກະຕິກ່ຽວກັບການລ່າສັດໄພຂົ່ມຂູ່ (sprint), ເວົ້າວ່າ, ອາທິດຕໍ່ເດືອນ. ເຄື່ອງມືເພີ່ມການຂຸດຄົ້ນຂໍ້ມູນຢ່າງເຕັມທີ່ຈາກອຸປະກອນເຄືອຂ່າຍ, ອັດຕະໂນມັດການວິເຄາະຂໍ້ມູນຈາກ EDR, ແລະການນໍາໃຊ້ບາງສ່ວນຂອງຄວາມສາມາດ EDR ຂັ້ນສູງ.

ລະດັບ 3: ການປ້ອງກັນ, ກໍລະນີເລື້ອຍໆຂອງ TH. ນັກວິເຄາະຂອງພວກເຮົາໄດ້ຈັດຕົວເອງເຂົ້າໄປໃນທີມງານທີ່ອຸທິດຕົນແລະເລີ່ມມີຄວາມຮູ້ທີ່ດີເລີດຂອງ forensics ແລະ malware, ເຊັ່ນດຽວກັນກັບຄວາມຮູ້ກ່ຽວກັບວິທີການແລະມີສິດເທົ່າທຽມຂອງຝ່າຍໂຈມຕີ. ຂະບວນການດັ່ງກ່າວໄດ້ຖືກປະຕິບັດແລ້ວ 24/7. ທີມງານສາມາດທົດສອບສົມມຸດຕິຖານ TH ເປັນບາງສ່ວນໃນຂະນະທີ່ນໍາໃຊ້ຄວາມສາມາດຂັ້ນສູງຂອງ EDR ຢ່າງເຕັມທີ່ດ້ວຍການຄຸ້ມຄອງຂໍ້ມູນຢ່າງເຕັມທີ່ຈາກອຸປະກອນເຄືອຂ່າຍ. ນັກວິເຄາະຍັງສາມາດຕັ້ງຄ່າເຄື່ອງມືໃຫ້ເຫມາະສົມກັບຄວາມຕ້ອງການຂອງເຂົາເຈົ້າ.

ລະດັບ 4: high-end, ໃຊ້ TH. ທີມງານດຽວກັນໄດ້ຮັບຄວາມສາມາດໃນການຄົ້ນຄ້ວາ, ຄວາມສາມາດໃນການສ້າງແລະອັດຕະໂນມັດຂະບວນການຂອງການທົດສອບ TH hypotheses. ໃນປັດຈຸບັນເຄື່ອງມືໄດ້ຖືກເສີມໂດຍການລວມເຂົ້າກັນຢ່າງໃກ້ຊິດຂອງແຫຼ່ງຂໍ້ມູນ, ການພັດທະນາຊອບແວເພື່ອຕອບສະຫນອງຄວາມຕ້ອງການ, ແລະການນໍາໃຊ້ APIs ທີ່ບໍ່ແມ່ນມາດຕະຖານ.

ເຕັກນິກການລ່າສັດໄພຂົ່ມຂູ່

ເຕັກນິກການລ່າສັດໄພຂົ່ມຂູ່ຂັ້ນພື້ນຖານ

К ນັກວິຊາການ TH, ຕາມລໍາດັບຂອງການເຕີບໂຕຂອງເຕັກໂນໂລຢີທີ່ໃຊ້, ແມ່ນ: ການຄົ້ນຫາພື້ນຖານ, ການວິເຄາະສະຖິຕິ, ເຕັກນິກການເບິ່ງເຫັນ, ການລວບລວມແບບງ່າຍດາຍ, ການຮຽນຮູ້ເຄື່ອງຈັກ, ແລະວິທີການ Bayesian.

ວິທີການທີ່ງ່າຍດາຍທີ່ສຸດ, ການຄົ້ນຫາຂັ້ນພື້ນຖານ, ຖືກນໍາໃຊ້ເພື່ອແຄບລົງພື້ນທີ່ຂອງການຄົ້ນຄວ້າໂດຍໃຊ້ຄໍາຖາມສະເພາະ. ການວິເຄາະສະຖິຕິຖືກນໍາໃຊ້, ສໍາລັບການຍົກຕົວຢ່າງ, ການກໍ່ສ້າງຜູ້ໃຊ້ທົ່ວໄປຫຼືກິດຈະກໍາເຄືອຂ່າຍໃນຮູບແບບຂອງຕົວແບບສະຖິຕິ. ເຕັກນິກການເບິ່ງເຫັນໄດ້ຖືກນໍາໃຊ້ເພື່ອສະແດງສາຍຕາແລະງ່າຍດາຍການວິເຄາະຂໍ້ມູນໃນຮູບແບບຂອງກາຟແລະຕາຕະລາງ, ເຊິ່ງເຮັດໃຫ້ມັນງ່າຍຂຶ້ນຫຼາຍທີ່ຈະແນມເບິ່ງຮູບແບບໃນຕົວຢ່າງ. ເຕັກນິກການລວບລວມງ່າຍດາຍໂດຍຊ່ອງຂໍ້ມູນທີ່ສໍາຄັນຖືກນໍາໃຊ້ເພື່ອເພີ່ມປະສິດທິພາບການຄົ້ນຫາແລະການວິເຄາະ. ເມື່ອຂະບວນການ TH ຂອງອົງກອນເປັນຜູ້ໃຫຍ່ຫຼາຍຂື້ນ, ການນຳໃຊ້ algorithms ການຮຽນຮູ້ເຄື່ອງຈັກກໍ່ມີຄວາມກ່ຽວຂ້ອງຫຼາຍຂຶ້ນ. ພວກເຂົາຍັງຖືກນໍາໃຊ້ຢ່າງກວ້າງຂວາງໃນການກັ່ນຕອງ spam, ກວດພົບການຈະລາຈອນທີ່ເປັນອັນຕະລາຍແລະກວດພົບກິດຈະກໍາການສໍ້ໂກງ. ປະເພດຂອງວິທີການທີ່ກ້າວຫນ້າທາງດ້ານການຮຽນຮູ້ເຄື່ອງຈັກແມ່ນວິທີການ Bayesian, ເຊິ່ງອະນຸຍາດໃຫ້ຈັດປະເພດ, ການຫຼຸດຜ່ອນຂະຫນາດຕົວຢ່າງ, ແລະການສ້າງແບບຈໍາລອງຫົວຂໍ້.

ຮູບແບບເພັດແລະຍຸດທະສາດ TH

Sergio Caltagiron, Andrew Pendegast ແລະ Christopher Betz ໃນການເຮັດວຽກຂອງພວກເຂົາ "ຮູບແບບເພັດຂອງການວິເຄາະການບຸກລຸກ» ສະແດງໃຫ້ເຫັນອົງປະກອບຫຼັກຂອງກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ ແລະການເຊື່ອມຕໍ່ຂັ້ນພື້ນຖານລະຫວ່າງພວກມັນ.

ຮູບແບບເພັດສໍາລັບກິດຈະກໍາທີ່ເປັນອັນຕະລາຍ

ອີງຕາມຮູບແບບນີ້, ມີ 4 ຍຸດທະສາດການລ່າສັດໄພຂົ່ມຂູ່, ເຊິ່ງອີງໃສ່ອົງປະກອບທີ່ສໍາຄັນທີ່ສອດຄ້ອງກັນ.

1. ຍຸດທະສາດຮັດກຸມຜູ້ຖືກເຄາະຮ້າຍ. ພວກເຮົາສົມມຸດວ່າຜູ້ຖືກເຄາະຮ້າຍມີ opponents ແລະພວກເຂົາຈະສົ່ງ "ໂອກາດ" ຜ່ານທາງອີເມວ. ພວກເຮົາກໍາລັງຊອກຫາຂໍ້ມູນ enemy ໃນເມລ. ຊອກຫາການເຊື່ອມຕໍ່, ໄຟລ໌ແນບ, ແລະອື່ນໆ. ພວກເຮົາກໍາລັງຊອກຫາການຢືນຢັນຂອງສົມມຸດຕິຖານນີ້ໃນໄລຍະເວລາທີ່ແນ່ນອນ (ຫນຶ່ງເດືອນ, ສອງອາທິດ); ຖ້າພວກເຮົາບໍ່ພົບມັນ, ຫຼັງຈາກນັ້ນສົມມຸດຕິຖານບໍ່ໄດ້ເຮັດວຽກ.

2. ຍຸດທະສາດດ້ານພື້ນຖານໂຄງລ່າງ. ມີຫຼາຍວິທີການນໍາໃຊ້ຍຸດທະສາດນີ້. ອີງຕາມການເຂົ້າເຖິງແລະການເບິ່ງເຫັນ, ບາງຢ່າງແມ່ນງ່າຍກວ່າຄົນອື່ນ. ຕົວຢ່າງ, ພວກເຮົາຕິດຕາມເຄື່ອງແມ່ຂ່າຍຊື່ໂດເມນທີ່ຮູ້ຈັກເປັນເຈົ້າພາບໂດເມນທີ່ເປັນອັນຕະລາຍ. ຫຼືພວກເຮົາໄປໂດຍຜ່ານຂະບວນການຂອງການຕິດຕາມການລົງທະບຽນຊື່ໂດເມນໃຫມ່ທັງຫມົດສໍາລັບຮູບແບບທີ່ຮູ້ຈັກທີ່ໃຊ້ໂດຍສັດຕູ.

3. ຍຸດທະສາດການຂັບເຄື່ອນຄວາມສາມາດ. ນອກເຫນືອຈາກກົນລະຍຸດທີ່ສຸມໃສ່ຜູ້ຖືກເຄາະຮ້າຍທີ່ໃຊ້ໂດຍຜູ້ປົກປ້ອງເຄືອຂ່າຍສ່ວນໃຫຍ່, ຍັງມີກົນລະຍຸດທີ່ສຸມໃສ່ໂອກາດ. ມັນເປັນທີ່ນິຍົມທີ່ສຸດອັນດັບສອງແລະສຸມໃສ່ການກວດສອບຄວາມສາມາດຈາກສັດຕູ, ຄື "malware" ແລະຄວາມສາມາດຂອງສັດຕູໃນການນໍາໃຊ້ເຄື່ອງມືທີ່ຖືກຕ້ອງຕາມກົດຫມາຍເຊັ່ນ: psexec, powershell, certutil ແລະອື່ນໆ.

4. ຍຸດທະສາດຮັດກຸມສັດຕູ. ແນວທາງຂອງສັດຕູເປັນຈຸດໃຈກາງແມ່ນສຸມໃສ່ສັດຕູເອງ. ນີ້ປະກອບມີການນໍາໃຊ້ຂໍ້ມູນເປີດຈາກແຫຼ່ງສາທາລະນະ (OSINT), ການລວບລວມຂໍ້ມູນກ່ຽວກັບສັດຕູ, ເຕັກນິກແລະວິທີການຂອງລາວ (TTP), ການວິເຄາະເຫດການທີ່ຜ່ານມາ, ຂໍ້ມູນ Threat Intelligence, ແລະອື່ນໆ.

ແຫຼ່ງຂໍ້ມູນແລະສົມມຸດຕິຖານໃນ TH

ບາງແຫຼ່ງຂໍ້ມູນສໍາລັບການລ່າສັດໄພຂົ່ມຂູ່

ສາມາດມີແຫຼ່ງຂໍ້ມູນຫຼາຍ. ນັກວິເຄາະທີ່ເຫມາະສົມຄວນຈະສາມາດສະກັດຂໍ້ມູນຈາກທຸກສິ່ງທຸກຢ່າງທີ່ຢູ່ອ້ອມຂ້າງ. ແຫຼ່ງທົ່ວໄປໃນເກືອບທຸກໂຄງສ້າງພື້ນຖານຈະເປັນຂໍ້ມູນຈາກເຄື່ອງມືຄວາມປອດໄພ: DLP, SIEM, IDS/IPS, WAF/FW, EDR. ນອກຈາກນີ້, ແຫຼ່ງຂໍ້ມູນປົກກະຕິຈະເປັນຕົວຊີ້ບອກຕ່າງໆຂອງການປະນີປະນອມ, ການບໍລິການຂ່າວລັບໄພຂົ່ມຂູ່, ຂໍ້ມູນ CERT ແລະ OSINT. ນອກຈາກນັ້ນ, ທ່ານສາມາດນໍາໃຊ້ຂໍ້ມູນຈາກ darknet (ຕົວຢ່າງ, ທັນທີທັນໃດມີຄໍາສັ່ງທີ່ຈະ hack mailbox ຂອງຫົວຫນ້າອົງການຈັດຕັ້ງ, ຫຼືຜູ້ສະຫມັກສໍາລັບຕໍາແຫນ່ງວິສະວະກອນເຄືອຂ່າຍໄດ້ຖືກເປີດເຜີຍສໍາລັບກິດຈະກໍາຂອງລາວ), ຂໍ້ມູນທີ່ໄດ້ຮັບຈາກ. HR (ການທົບທວນຄືນຂອງຜູ້ສະຫມັກຈາກບ່ອນເຮັດວຽກທີ່ຜ່ານມາ), ຂໍ້ມູນຈາກການບໍລິການຄວາມປອດໄພ (ຕົວຢ່າງ, ຜົນໄດ້ຮັບຂອງການກວດສອບຄູ່ຮ່ວມງານ).

ແຕ່ກ່ອນທີ່ຈະນໍາໃຊ້ແຫຼ່ງທີ່ມີຢູ່ທັງຫມົດ, ມັນຈໍາເປັນຕ້ອງມີຢ່າງຫນ້ອຍຫນຶ່ງສົມມຸດຕິຖານ.

ແຫຼ່ງຂໍ້ມູນ

ເພື່ອທົດສອບສົມມຸດຕິຖານ, ທໍາອິດພວກເຂົາຕ້ອງໄດ້ວາງໄວ້. ແລະເພື່ອວາງສົມມຸດຕິຖານທີ່ມີຄຸນນະພາບສູງຫຼາຍ, ມັນຈໍາເປັນຕ້ອງໃຊ້ວິທີການທີ່ມີລະບົບ. ຂະບວນການສ້າງສົມມຸດຕິຖານໄດ້ຖືກອະທິບາຍໃນລາຍລະອຽດເພີ່ມເຕີມໃນ ບົດຄວາມ, ມັນສະດວກຫຼາຍທີ່ຈະເອົາໂຄງການນີ້ເປັນພື້ນຖານສໍາລັບຂະບວນການວາງ hypotheses.

ແຫຼ່ງຕົ້ນຕໍຂອງ hypotheses ຈະເປັນ ATT&CK matrix (ຍຸດທະວິທີ, ເຕັກນິກ ແລະ ຄວາມຮູ້ທົ່ວໄປ). ໂດຍເນື້ອແທ້ແລ້ວ, ມັນແມ່ນພື້ນຖານຄວາມຮູ້ແລະຕົວແບບສໍາລັບການປະເມີນພຶດຕິກໍາຂອງຜູ້ໂຈມຕີທີ່ປະຕິບັດກິດຈະກໍາຂອງເຂົາເຈົ້າໃນຂັ້ນຕອນສຸດທ້າຍຂອງການໂຈມຕີ, ໂດຍປົກກະຕິແມ່ນອະທິບາຍໂດຍໃຊ້ແນວຄວາມຄິດຂອງ Kill Chain. ນັ້ນແມ່ນ, ໃນຂັ້ນຕອນຫຼັງຈາກຜູ້ໂຈມຕີໄດ້ເຂົ້າໄປໃນເຄືອຂ່າຍພາຍໃນຂອງວິສາຫະກິດຫຼືເຂົ້າໄປໃນອຸປະກອນມືຖື. ພື້ນຖານຄວາມຮູ້ໃນເບື້ອງຕົ້ນປະກອບມີຄໍາອະທິບາຍກ່ຽວກັບ 121 ຍຸດທະວິທີ ແລະເຕັກນິກທີ່ໃຊ້ໃນການໂຈມຕີ, ແຕ່ລະອັນໄດ້ຖືກອະທິບາຍຢ່າງລະອຽດໃນຮູບແບບວິກິພີເດຍ. ການວິເຄາະທາງປັນຍາໄພຂົ່ມຂູ່ຕ່າງໆແມ່ນເຫມາະສົມດີເປັນແຫຼ່ງສໍາລັບການສ້າງສົມມຸດຕິຖານ. ຂໍ້ສັງເກດໂດຍສະເພາະແມ່ນຜົນຂອງການວິເຄາະໂຄງສ້າງພື້ນຖານແລະການທົດສອບການເຈາະ - ນີ້ແມ່ນຂໍ້ມູນທີ່ມີຄຸນຄ່າທີ່ສຸດທີ່ສາມາດໃຫ້ພວກເຮົາສົມມຸດຕິຖານຂອງທາດເຫຼັກເນື່ອງຈາກຄວາມຈິງທີ່ວ່າພວກເຂົາອີງໃສ່ໂຄງສ້າງພື້ນຖານທີ່ມີຂໍ້ບົກຜ່ອງສະເພາະຂອງມັນ.

ຂະບວນການທົດສອບສົມມຸດຕິຖານ

Sergei Soldatov ໄດ້ນໍາເອົາ ແຜນວາດທີ່ດີ ດ້ວຍລາຍລະອຽດຂອງຂະບວນການ, ມັນສະແດງໃຫ້ເຫັນເຖິງຂະບວນການທົດສອບສົມມຸດຕິຖານ TH ໃນລະບົບດຽວ. ຂ້ອຍຈະຊີ້ບອກຂັ້ນຕອນຕົ້ນຕໍດ້ວຍຄໍາອະທິບາຍສັ້ນໆ.

ແຫຼ່ງຂໍ້ມູນ

ໄລຍະທີ 1: TI Farm

ໃນຂັ້ນຕອນນີ້ມັນຈໍາເປັນຕ້ອງເນັ້ນໃສ່ ວັດຖຸ (ໂດຍການວິເຄາະໃຫ້ເຂົາເຈົ້າຮ່ວມກັນກັບຂໍ້ມູນໄພຂົ່ມຂູ່ທັງຫມົດ) ແລະກໍານົດໃຫ້ເຂົາເຈົ້າປ້າຍສໍາລັບລັກສະນະຂອງເຂົາເຈົ້າ. ເຫຼົ່ານີ້ແມ່ນໄຟລ໌, URL, MD5, ຂະບວນການ, ຜົນປະໂຫຍດ, ເຫດການ. ເມື່ອຖ່າຍທອດພວກມັນຜ່ານລະບົບ Threat Intelligence, ມັນຈໍາເປັນຕ້ອງຕິດ tags. ນັ້ນແມ່ນ, ເວັບໄຊທ໌ນີ້ໄດ້ຖືກສັງເກດເຫັນໃນ CNC ໃນປີດັ່ງກ່າວ, MD5 ນີ້ກ່ຽວຂ້ອງກັບ malware ດັ່ງກ່າວ, MD5 ນີ້ຖືກດາວໂຫລດຈາກເວັບໄຊທ໌ທີ່ແຈກຢາຍ malware.

ໄລຍະທີ 2: ກໍລະນີ

ໃນຂັ້ນຕອນທີສອງ, ພວກເຮົາເບິ່ງການໂຕ້ຕອບລະຫວ່າງວັດຖຸເຫຼົ່ານີ້ແລະກໍານົດຄວາມສໍາພັນລະຫວ່າງວັດຖຸທັງຫມົດເຫຼົ່ານີ້. ພວກເຮົາໄດ້ຮັບລະບົບເຄື່ອງຫມາຍທີ່ເຮັດບາງສິ່ງບາງຢ່າງທີ່ບໍ່ດີ.

ໄລຍະທີ 3: ນັກວິເຄາະ

ໃນຂັ້ນຕອນທີສາມ, ກໍລະນີໄດ້ຖືກໂອນໄປຫານັກວິເຄາະທີ່ມີປະສົບການທີ່ມີປະສົບການຢ່າງກວ້າງຂວາງໃນການວິເຄາະ, ແລະລາວເຮັດການຕັດສິນ. ລາວວິເຄາະລົງເປັນໄບຕ໌ວ່າແມ່ນຫຍັງ, ຢູ່ໃສ, ແນວໃດ, ເປັນຫຍັງ ແລະເປັນຫຍັງລະຫັດນີ້ຈຶ່ງເຮັດ. ຮ່າງກາຍນີ້ແມ່ນ malware, ຄອມພິວເຕີນີ້ຕິດເຊື້ອ. ເປີດເຜີຍການເຊື່ອມຕໍ່ລະຫວ່າງວັດຖຸ, ກວດເບິ່ງຜົນຂອງການແລ່ນຜ່ານ sandbox.

ຜົນໄດ້ຮັບຂອງການເຮັດວຽກຂອງນັກວິເຄາະໄດ້ຖືກຖ່າຍທອດຕື່ມອີກ. Digital Forensics ກວດເບິ່ງຮູບພາບ, ການວິເຄາະ Malware ກວດເບິ່ງ "ສົບ" ທີ່ພົບເຫັນ, ແລະທີມງານຕອບໂຕ້ເຫດການສາມາດໄປຫາເວັບໄຊທ໌ແລະສືບສວນບາງສິ່ງບາງຢ່າງຢູ່ທີ່ນັ້ນ. ຜົນໄດ້ຮັບຂອງການເຮັດວຽກຈະເປັນສົມມຸດຕິຖານທີ່ຢືນຢັນ, ການໂຈມຕີທີ່ຖືກກໍານົດແລະວິທີການຕ້ານມັນ.

ແຫຼ່ງຂໍ້ມູນ
 

ຜົນໄດ້ຮັບ

ການລ່າສັດໄພຂົ່ມຂູ່ແມ່ນເທັກໂນໂລຍີໄວໜຸ່ມທີ່ສາມາດຕ້ານການຂົ່ມຂູ່ແບບກຳນົດເອງໄດ້ຢ່າງມີປະສິດທິພາບ, ໃໝ່ ແລະ ບໍ່ໄດ້ມາດຕະຖານ, ເຊິ່ງມີຄວາມສົດໃສດ້ານອັນໃຫຍ່ຫຼວງ ເນື່ອງຈາກໄພຂົ່ມຂູ່ດັ່ງກ່າວເພີ່ມຂຶ້ນ ແລະ ຄວາມຊັບຊ້ອນທີ່ເພີ່ມຂຶ້ນຂອງໂຄງສ້າງພື້ນຖານຂອງບໍລິສັດ. ມັນຮຽກຮ້ອງໃຫ້ມີສາມອົງປະກອບ - ຂໍ້ມູນ, ເຄື່ອງມືແລະນັກວິເຄາະ. ຜົນປະໂຫຍດຂອງການລ່າສັດໄພຂົ່ມຂູ່ແມ່ນບໍ່ຈໍາກັດເພື່ອປ້ອງກັນການປະຕິບັດການຂົ່ມຂູ່. ຢ່າລືມວ່າໃນລະຫວ່າງຂະບວນການຄົ້ນຫາພວກເຮົາເຂົ້າໄປໃນໂຄງສ້າງພື້ນຖານຂອງພວກເຮົາແລະຈຸດອ່ອນຂອງມັນໂດຍຜ່ານສາຍຕາຂອງນັກວິເຄາະດ້ານຄວາມປອດໄພແລະສາມາດເສີມສ້າງຈຸດເຫຼົ່ານີ້ຕື່ມອີກ.

ຂັ້ນຕອນທໍາອິດທີ່, ໃນຄວາມຄິດເຫັນຂອງພວກເຮົາ, ຈໍາເປັນຕ້ອງໄດ້ປະຕິບັດເພື່ອເລີ່ມຕົ້ນຂະບວນການ TH ໃນອົງການຈັດຕັ້ງຂອງທ່ານ.

1. ເບິ່ງແຍງການປົກປ້ອງຈຸດສິ້ນສຸດ ແລະໂຄງສ້າງເຄືອຂ່າຍ. ເບິ່ງແຍງການເບິ່ງເຫັນ (NetFlow) ແລະການຄວບຄຸມ (firewall, IDS, IPS, DLP) ຂອງຂະບວນການທັງຫມົດໃນເຄືອຂ່າຍຂອງທ່ານ. ຮູ້ຈັກເຄືອຂ່າຍຂອງທ່ານຈາກ router edge ໄປຫາ host ສຸດທ້າຍ.
2. ສຳ ຫຼວດ MITER AT&CK.
3. ດໍາເນີນການ pentests ປົກກະຕິຢ່າງຫນ້ອຍຊັບພະຍາກອນພາຍນອກທີ່ສໍາຄັນ, ວິເຄາະຜົນໄດ້ຮັບຂອງມັນ, ກໍານົດເປົ້າຫມາຍຕົ້ນຕໍສໍາລັບການໂຈມຕີແລະປິດຊ່ອງໂຫວ່ຂອງເຂົາເຈົ້າ.
4. ປະຕິບັດລະບົບ Threat Intelligence ແຫຼ່ງເປີດ (ຕົວຢ່າງ, MISP, Yeti) ແລະວິເຄາະບັນທຶກໂດຍສົມທົບກັບມັນ.
5. ປະຕິບັດເວທີການຕອບສະຫນອງເຫດການ (IRP): R-Vision IRP, The Hive, sandbox ສໍາລັບການວິເຄາະໄຟລ໌ທີ່ຫນ້າສົງໄສ (FortiSandbox, Cuckoo).
6. ອັດຕະໂນມັດຂະບວນການປົກກະຕິ. ການ​ວິ​ເຄາະ​ບັນ​ທຶກ​, ການ​ບັນ​ທຶກ​ເຫດ​ການ​, ການ​ແຈ້ງ​ໃຫ້​ພະ​ນັກ​ງານ​ແມ່ນ​ພາກ​ສະ​ຫນາມ​ຂະ​ຫນາດ​ໃຫຍ່​ສໍາ​ລັບ​ການ​ອັດ​ຕະ​ໂນ​ມັດ​.
7. ຮຽນຮູ້ທີ່ຈະໂຕ້ຕອບກັບວິສະວະກອນ, ນັກພັດທະນາ, ແລະການຊ່ວຍເຫຼືອດ້ານວິຊາການຢ່າງມີປະສິດທິພາບເພື່ອຮ່ວມມືກັບເຫດການ.
8. ເອກະສານຂະບວນການທັງຫມົດ, ຈຸດສໍາຄັນ, ຜົນໄດ້ຮັບທີ່ບັນລຸໄດ້ໃນຄໍາສັ່ງທີ່ຈະກັບຄືນໃຫ້ເຂົາເຈົ້າຕໍ່ມາຫຼືແບ່ງປັນຂໍ້ມູນນີ້ກັບເພື່ອນຮ່ວມງານ;
9. ເປັນສັງຄົມ: ຮູ້ຈັກສິ່ງທີ່ເກີດຂຶ້ນກັບພະນັກງານຂອງເຈົ້າ, ເຈົ້າຈ້າງໃຜ, ແລະຜູ້ທີ່ເຈົ້າໃຫ້ການເຂົ້າເຖິງຊັບພະຍາກອນຂໍ້ມູນຂອງອົງການ.
10. ຮັກສາທ່າອ່ຽງໃນຂະແຫນງການຂົ່ມຂູ່ໃຫມ່ແລະວິທີການປ້ອງກັນ, ເພີ່ມລະດັບຄວາມຮູ້ດ້ານວິຊາການຂອງທ່ານ (ລວມທັງການດໍາເນີນການບໍລິການ IT ແລະລະບົບຍ່ອຍ), ເຂົ້າຮ່ວມກອງປະຊຸມແລະຕິດຕໍ່ສື່ສານກັບເພື່ອນຮ່ວມງານ.

ພ້ອມທີ່ຈະປຶກສາຫາລືກ່ຽວກັບການຈັດຕັ້ງຂອງຂະບວນການ TH ໃນຄໍາເຫັນ.

ຫຼືມາເຮັດວຽກກັບພວກເຮົາ!

• ທີ່ປຶກສາດ້ານຄວາມປອດໄພຂໍ້ມູນຂ່າວສານນໍາພາ
• ສະຖາປະນິກລະບົບສໍາລັບຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ
• ຫົວຫນ້າວິສະວະກອນຄວາມປອດໄພເຄືອຂ່າຍ
• ຫົວຫນ້າວິສະວະກອນຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ (SIEM)
• ສະຖາປະນິກຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ (ແອັບພລິເຄຊັນ)

ແຫຼ່ງ​ຂໍ້​ມູນ​ແລະ​ອຸ​ປະ​ກອນ​ການ​ສຶກ​ສາ​

• threathunter.guru
• attack.mitre.org
• digital-forensics.sans.org
• resources.infosecinstitute.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• ຕອບ-to-all.blogspot.com
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

ແຫຼ່ງຂໍ້ມູນ: www.habr.com