Како системите за анализа на сообраќајот откриваат хакерски тактики користејќи MITER ATT&CK користејќи го примерот на PT Network Attack Discovery

Според Verizon, поголемиот дел (87%) од инцидентите со безбедноста на информациите се случуваат за неколку минути, а на 68% од компаниите им требаат месеци за да ги откријат. Ова е потврдено од Истражување на Институтот Понемон, според кој на повеќето организации им се потребни во просек 206 дена за да откријат инцидент. Врз основа на искуството од нашите истраги, хакерите можат да ја контролираат инфраструктурата на компанијата со години без да бидат откриени. Така, во една од организациите каде што нашите експерти истражуваа инцидент за информациска безбедност, беше откриено дека хакери целосно ја контролирале целата инфраструктура на организацијата и редовно краделе важни информации за осум години.

Да речеме дека веќе работиш SIEM кој собира дневници и анализира настани, а антивирусен софтвер е инсталиран на крајните јазли. Сепак, не може се да се открие со помош на SIEM, исто како што е невозможно да се имплементираат EDR системи низ целата мрежа, што значи дека „слепите“ точки не можат да се избегнат. Системите за анализа на мрежен сообраќај (NTA) помагаат во справувањето со нив. Овие решенија ја откриваат активноста на напаѓачот во најраните фази на пенетрација на мрежата, како и при обиди да се зацврсти и да се развие напад во мрежата.

Постојат два типа на NTA: некои работат со NetFlow, други го анализираат необработениот сообраќај. Предноста на вториот систем е тоа што тие можат да складираат необработени сообраќајни записи. Благодарение на ова, специјалист за информациска безбедност може да го потврди успехот на нападот, да ја локализира заканата, да разбере како се случил нападот и како да спречи сличен во иднина.

Ќе покажеме како користејќи NTA можете да користите директни или индиректни докази за да ги идентификувате сите познати тактики за напад опишани во базата на знаење MITER ATT&CK. Ќе зборуваме за секоја од 12-те тактики, ќе ги анализираме техниките што се откриени од сообраќајот и ќе го демонстрираме нивното откривање користејќи го нашиот систем NTA.

За базата на знаење ATT&CK

MITER ATT&CK е база на јавно знаење развиена и одржувана од корпорацијата MITER врз основа на анализа на APT од реалниот живот. Тоа е структуриран сет на тактики и техники што ги користат напаѓачите. Ова им овозможува на професионалците за безбедност на информации од целиот свет да зборуваат на ист јазик. Базата на податоци постојано се проширува и се надополнува со нови знаења.

Базата на податоци идентификува 12 тактики, кои се поделени по фази на сајбер напад:

• почетен пристап;
• извршување;
• консолидација (упорност);
• ескалација на привилегии;
• спречување на откривање (одбранбена евазија);
• добивање акредитиви (пристап до акредитиви);
• истражување;
• движење во рамките на периметарот (странично движење);
• собирање податоци (собирање);
• команда и контрола;
• ексфилтрација на податоци;
• влијание.

За секоја тактика, базата на знаење ATT&CK наведува список на техники кои им помагаат на напаѓачите да ја постигнат својата цел во моменталната фаза на нападот. Бидејќи истата техника може да се користи во различни фази, може да се однесува на неколку тактики.

Описот на секоја техника вклучува:

• идентификатор;
• листа на тактики во кои се користи;
• примери на употреба од APT групи;
• мерки за намалување на штетите од неговата употреба;
• препораки за откривање.

Специјалистите за информациска безбедност можат да го користат знаењето од базата на податоци за да ги структурираат информациите за тековните методи на напад и, земајќи го ова предвид, да изградат ефективен безбедносен систем. Разбирањето како функционираат вистинските APT групи, исто така, може да стане извор на хипотези за проактивно пребарување на закани во лов на закана.

За PT Network Attack Discovery

Ќе ја идентификуваме употребата на техники од матрицата ATT&CK користејќи го системот Откривање на мрежен напад на PT — Positive Technologies NTA систем, дизајниран да детектира напади на периметарот и внатре во мрежата. PT NAD ги опфаќа, во различен степен, сите 12 тактики на матрицата MITER ATT&CK. Тој е најмоќен во идентификацијата на техниките за почетен пристап, странично движење и командување и контрола. Во нив, PT NAD опфаќа повеќе од половина од познатите техники, откривајќи ја нивната примена со директни или индиректни знаци.

Системот открива напади користејќи ATT&CK техники користејќи правила за откривање создадени од тимот PT Експертски безбедносен центар (PT ESC), машинско учење, индикатори за компромис, длабока аналитика и ретроспективна анализа. Анализата на сообраќајот во реално време комбинирана со ретроспектива ви овозможува да ја идентификувате моменталната скриена злонамерна активност и да ги следите развојните вектори и хронологијата на нападите.

Еве целосно мапирање на PT NAD до матрицата MITER ATT&CK. Сликата е голема, затоа ви предлагаме да ја погледнете во посебен прозорец.

Почетен пристап

Почетните тактики за пристап вклучуваат техники за навлегување во мрежата на компанијата. Целта на напаѓачите во оваа фаза е да достават злонамерен код до нападнатиот систем и да обезбедат можност за негово понатамошно извршување.

Анализата на сообраќајот од PT NAD открива седум техники за добивање почетен пристап:

1. T1189: компромис со возење

Техника во која жртвата отвора веб-локација што ја користат напаѓачите за да го искористат веб-прелистувачот и да добијат токени за пристап до апликациите.

Што прави PT NAD?: Ако веб сообраќајот не е шифриран, PT NAD ја проверува содржината на одговорите на серверот HTTP. Овие одговори содржат експлоатирања кои им овозможуваат на напаѓачите да извршат произволен код во прелистувачот. PT NAD автоматски ги открива таквите експлоатирања користејќи правила за откривање.

Дополнително, PT NAD ја открива заканата во претходниот чекор. Правилата и индикаторите за компромис се активираат ако корисникот посетил страница што го пренасочила на страница со куп експлоатирања.

2. T1190: искористете ја апликацијата со која се соочува јавноста

Искористување на ранливости во услугите кои се достапни од Интернет.

Што прави PT NAD?: Врши длабока проверка на содржината на мрежните пакети, идентификувајќи знаци на аномална активност. Особено, постојат правила кои ви дозволуваат да откриете напади на главните системи за управување со содржина (CMS), веб-интерфејси на мрежна опрема и напади на сервери за пошта и FTP.

3. T1133: надворешни далечински услуги

Напаѓачите користат услуги за далечински пристап за да се поврзат со внатрешни мрежни ресурси однадвор.

Што прави PT NAD?: бидејќи системот ги препознава протоколите не по броеви на порти, туку според содржината на пакетите, корисниците на системот можат да го филтрираат сообраќајот за да ги најдат сите сесии на протоколи за далечински пристап и да ја проверат нивната легитимност.

4. T1193: додаток за ловење копје

Зборуваме за озлогласеното испраќање на прилози за фишинг.

Што прави PT NAD?: Автоматски извлекува датотеки од сообраќајот и ги проверува според индикаторите за компромис. Извршните датотеки во прилозите се откриваат со правила кои ја анализираат содржината на сообраќајот на пошта. Во корпоративно опкружување, таквата инвестиција се смета за аномална.

5. T1192: врска со копје

Користење на фишинг врски. Техниката вклучува напаѓачи да испраќаат е-пошта за фишинг со линк на кој, кога ќе се кликне, презема злонамерна програма. По правило, врската е придружена со текст составен во согласност со сите правила на социјалниот инженеринг.

Што прави PT NAD?: Открива фишинг врски користејќи индикатори за компромис. На пример, во интерфејсот PT NAD гледаме сесија во која имало HTTP врска преку врска вклучена во листата на адреси за фишинг (phishing-urls).

Поврзување преку врска од списокот со индикатори за компромисни phishing-urls

6. T1199: доверлива врска

Пристап до мрежата на жртвата преку трети лица со кои жртвата има воспоставено доверлив однос. Напаѓачите можат да хакираат доверлива организација и преку неа да се поврзат со целната мрежа. За да го направат ова, тие користат VPN конекции или домен трустови, кои може да се идентификуваат преку анализа на сообраќајот.

Што прави PT NAD?: ги анализира протоколите на апликацијата и ги зачувува анализираните полиња во базата на податоци, така што аналитичарот за безбедност на информации може да користи филтри за да ги пронајде сите сомнителни VPN конекции или врски меѓу домени во базата на податоци.

7. T1078: валидни сметки

Користење на стандардни, локални или домен ингеренциите за овластување на надворешни и внатрешни услуги.

Што прави PT NAD?: Автоматски презема акредитиви од протоколите HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos. Во принцип, ова е најава, лозинка и знак за успешна автентикација. Доколку се користени, тие се прикажуваат во соодветната сесија картичка.

Извршување

Тактиките на извршување вклучуваат техники кои напаѓачите ги користат за извршување на код на компромитирани системи. Вклучувањето на малициозен код им помага на напаѓачите да воспостават присуство (тактика на упорност) и да го прошират пристапот до оддалечените системи на мрежата со движење внатре во периметарот.

PT NAD ви овозможува да откриете употреба на 14 техники што ги користат напаѓачите за извршување на малициозен код.

1. T1191: CMSTP (инсталатор на профил на менаџер за поврзување на Microsoft)

Тактика во која напаѓачите подготвуваат специјална злонамерна инсталација INF-датотека за вградената алатка за Windows CMSTP.exe (Installer за профил на менаџер за поврзување). CMSTP.exe ја зема датотеката како параметар и го инсталира сервисниот профил за далечинско поврзување. Како резултат на тоа, CMSTP.exe може да се користи за вчитување и извршување на библиотеки со динамична врска (*.dll) или скрипти (*.sct) од оддалечени сервери.

Што прави PT NAD?: Автоматски го детектира преносот на специјални типови INF-датотеки во сообраќајот HTTP. Дополнително на ова, го детектира преносот на HTTP на малициозни скрипти и библиотеки со динамична врска од оддалечен сервер.

2. T1059: интерфејс на командната линија

Интеракција со интерфејсот на командната линија. Интерфејсот на командната линија може да биде интеракција со локално или од далечина, на пример со користење на комунални услуги за далечински пристап.

Што прави PT NAD?: автоматски го детектира присуството на школки врз основа на одговорите на командите за стартување на разни алатки за командна линија, како што се ping, ifconfig.

3. T1175: модел на компонентен објект и дистрибуиран COM

Употреба на COM или DCOM технологии за извршување на код на локални или оддалечени системи додека се движите низ мрежа.

Што прави PT NAD?: Открива сомнителни DCOM повици што напаѓачите вообичаено ги користат за стартување програми.

4. T1203: експлоатација за извршување на клиентот

Искористување на пропусти за извршување на произволен код на работна станица. Најкорисните експлоатирања за напаѓачите се оние кои овозможуваат извршување на кодот на оддалечен систем, бидејќи тие можат да им дозволат на напаѓачите да добијат пристап до тој систем. Техниката може да се имплементира со помош на следниве методи: злонамерно испраќање, веб-локација со експлоатирања на прелистувачот и далечинско искористување на пропустите на апликациите.

Што прави PT NAD?: Кога го анализира сообраќајот на пошта, PT NAD го проверува за присуство на извршни датотеки во прилозите. Автоматски извлекува канцелариски документи од е-пошта што може да содржат експлоатирања. Обидите за искористување на пропустите се видливи во сообраќајот, што PT NAD ги открива автоматски.

5. T1170: мшта

Користете ја алатката mshta.exe, која работи на Microsoft HTML апликации (HTA) со наставката .hta. Бидејќи mshta ги обработува датотеките заобиколувајќи ги безбедносните поставки на прелистувачот, напаѓачите можат да користат mshta.exe за да извршат злонамерни датотеки HTA, JavaScript или VBScript.

Што прави PT NAD?: .hta датотеките за извршување преку mshta се пренесуваат и преку мрежата - тоа се гледа во сообраќајот. PT NAD автоматски го детектира преносот на таквите малициозни датотеки. Снима датотеки, а информациите за нив може да се видат во картичката за сесија.

6. T1086: PowerShell

Користење на PowerShell за наоѓање информации и извршување на малициозен код.

Што прави PT NAD?: Кога PowerShell се користи од далечински напаѓачи, PT NAD го открива ова користејќи правила. Ги детектира клучните зборови на јазикот на PowerShell кои најчесто се користат во злонамерните скрипти и преносот на скриптите на PowerShell преку протоколот SMB.

7. T1053: закажана задача
Користење на Windows Task Scheduler и други алатки за автоматско извршување на програми или скрипти во одредено време.

Што прави PT NAD?: напаѓачите создаваат такви задачи, обично од далечина, што значи дека таквите сесии се видливи во сообраќајот. PT NAD автоматски открива сомнителни операции за креирање и модификација на задачи користејќи ги интерфејсите ATSVC и ITaskSchedulerService RPC.

8. T1064: скриптирање

Извршување на скрипти за автоматизирање на различни дејства на напаѓачите.

Што прави PT NAD?: го детектира преносот на скрипти преку мрежата, односно дури и пред да бидат лансирани. Ја открива содржината на скриптата во необработен сообраќај и открива мрежен пренос на датотеки со екстензии што одговараат на популарните јазици за скриптирање.

9. T1035: извршување на услугата

Извршете извршна датотека, инструкции за интерфејс на командната линија или скрипта преку интеракција со услугите на Windows, како што е Управувачот за контрола на услуги (SCM).

Што прави PT NAD?: го проверува сообраќајот на SMB и открива пристап до SCM со правила за креирање, менување и започнување услуга.

Техниката за стартување на услугата може да се имплементира со помош на алатката за извршување на далечински команди PSExec. PT NAD го анализира протоколот SMB и ја открива употребата на PSExec кога ја користи датотеката PSEXESVC.exe или стандардното име на услугата PSEXECSVC за извршување на код на оддалечена машина. Корисникот треба да ја провери листата на извршени команди и легитимноста на далечинското извршување на командата од домаќинот.

Картичката за напад во PT NAD прикажува податоци за тактиките и техниките што се користат според матрицата ATT&CK, така што корисникот може да разбере во која фаза од нападот се напаѓачите, кои цели ги следат и какви мерки за компензација треба да преземе.

Се активира правилото за користење на алатката PSExec, што може да укаже на обид за извршување наредби на оддалечена машина

10. T1072: софтвер од трета страна

Техника во која напаѓачите добиваат пристап до софтвер за далечинско управување или корпоративен систем за распоредување на софтвер и го користат за извршување на малициозен код. Примери за таков софтвер: SCCM, VNC, TeamViewer, HBSS, Altiris.
Патем, техниката е особено релевантна во врска со масовната транзиција кон далечинска работа и, како резултат на тоа, поврзувањето на бројни незаштитени домашни уреди преку сомнителни канали за далечински пристап

Што прави PT NAD?: автоматски ја открива работата на таков софтвер на мрежата. На пример, правилата се активираат со врски преку протоколот VNC и активноста на тројанецот EvilVNC, кој тајно инсталира VNC сервер на домаќинот на жртвата и автоматски го стартува. Исто така, PT NAD автоматски го открива протоколот TeamViewer, ова му помага на аналитичарот, користејќи филтер, да ги пронајде сите такви сесии и да ја провери нивната легитимност.

11. T1204: извршување на корисникот

Техника во која корисникот извршува датотеки што може да доведат до извршување на кодот. Ова може да биде, на пример, ако отвори извршна датотека или работи канцелариски документ со макро.

Што прави PT NAD?: ги гледа таквите датотеки во фазата на пренос, пред да се стартуваат. Информациите за нив може да се проучат во картичката на сесиите на кои биле пренесени.

12. T1047:Инструментација за управување со Windows

Употреба на алатката WMI, која обезбедува локален и далечински пристап до компонентите на системот Windows. Со користење на WMI, напаѓачите можат да комуницираат со локални и оддалечени системи и да извршуваат различни задачи, како што се собирање информации за извидувачки цели и започнување процеси од далечина додека се движат странично.

Што прави PT NAD?: Бидејќи интеракциите со оддалечените системи преку WMI се видливи во сообраќајот, PT NAD автоматски ги открива мрежните барања за воспоставување сесии на WMI и го проверува сообраќајот за скрипти што користат WMI.

13. T1028: Далечинско управување со Windows

Користење на услуга и протокол на Windows што му овозможува на корисникот да комуницира со далечински системи.

Што прави PT NAD?: Гледа мрежни врски воспоставени со помош на далечинско управување со Windows. Ваквите сесии се откриваат автоматски според правилата.

14. T1220: XSL (Extensible Stylesheet Language) обработка на скрипта

Јазикот за означување во стилот XSL се користи за опишување на обработката и визуелизацијата на податоците во XML-датотеките. За поддршка на сложени операции, XSL стандардот вклучува поддршка за вградени скрипти на различни јазици. Овие јазици овозможуваат извршување на произволен код, што доведува до заобиколување на безбедносните политики засновани на бели списоци.

Што прави PT NAD?: го детектира преносот на такви датотеки преку мрежата, односно дури и пред да бидат стартувани. Тој автоматски ги детектира XSL-датотеките што се пренесуваат преку мрежата и датотеките со аномално обележување XSL.

Во следните материјали ќе погледнеме како системот PT Network Attack Discovery NTA наоѓа други тактики и техники на напаѓачите во согласност со MITER ATT&CK. Останете со нас!

Автори:

• Антон Кутепов, специјалист во PT Expert Security Center, Positive Technologies
• Наталија Казанкова, продавач на производи во Positive Technologies

Извор: www.habr.com