Лов на закани или Како да се заштитите од 5% од заканите

95% од заканите за безбедноста на информациите се познати, и можете да се заштитите од нив користејќи традиционални средства како што се антивируси, заштитен ѕид, IDS, WAF. Останатите 5% од заканите се непознати и најопасни. Тие сочинуваат 70% од ризикот за една компанија поради фактот што е многу тешко да се детектираат, а уште помалку да се заштитат од нив. Примери „црни лебеди“ се епидемијата на WannaCry за откуп, NotPetya/ExPetr, криптоминери, „сајбер оружјето“ Stuxnet (кое ги погоди иранските нуклеарни постројки) и многу (кој друг се сеќава на Kido/Conficker?) други напади од кои не се бранат многу добро со класични безбедносни мерки. Сакаме да зборуваме за тоа како да се спротивставиме на овие 5% од заканите користејќи ја технологијата Threat Hunting.

Континуираната еволуција на сајбер нападите бара постојано откривање и контрамерки, што на крајот нè наведува да размислуваме за бескрајна трка во вооружување меѓу напаѓачите и бранителите. Класичните безбедносни системи повеќе не се способни да обезбедат прифатливо ниво на безбедност, на кое нивото на ризик не влијае на клучните показатели на компанијата (економски, политички, углед) без да ги модифицираат за одредена инфраструктура, но генерално покриваат некои од ризиците. Веќе во процес на имплементација и конфигурација, современите безбедносни системи се наоѓаат во улога на фаќање и мора да одговорат на предизвиците на новото време.

Извор

Технологијата за лов на закани може да биде еден од одговорите на предизвиците на нашето време за специјалист за информациска безбедност. Терминот Threat Hunting (во понатамошниот текст TH) се појави пред неколку години. Самата технологија е доста интересна, но сè уште нема општо прифатени стандарди и правила. Работата е комплицирана и од хетерогеноста на изворите на информации и малиот број на извори на информации на руски јазик на оваа тема. Во овој поглед, ние во LANIT-Integration решивме да напишеме преглед на оваа технологија.

Релевантност

TH технологијата се потпира на процесите за следење на инфраструктурата. Постојат две главни сценарија за внатрешен мониторинг – Алармирање и Лов. Алармирањето (слично на услугите MSSP) е традиционален метод за пребарување на претходно развиени потписи и знаци на напади и одговор на нив. Ова сценарио успешно го изведуваат традиционалните алатки за заштита базирани на потпис. Ловот (услуга од типот MDR) е метод за следење кој одговара на прашањето „Од каде потписите и правилата?“ Тоа е процес на креирање правила за корелација преку анализа на скриени или претходно непознати индикатори и знаци на напад. Threat Hunting се однесува на овој тип на мониторинг.

Само со комбинирање на двата вида на мониторинг добиваме заштита која е блиску до идеална, но секогаш постои одредено ниво на преостанат ризик.

Заштита со користење на два вида на мониторинг

И еве зошто TH (и ловот во целост!) ќе стане сè порелевантен:

Закани, лекови, ризици. Извор

95% од сите закани се веќе добро проучени. Тие вклучуваат типови како што се спам, DDoS, вируси, rootkits и друг класичен малициозен софтвер. Можете да се заштитите од овие закани користејќи ги истите класични безбедносни мерки.

При реализација на кој било проект 20% од работата трае 80% од времето за да се заврши, а останатите 20% од работата трае 80% од времето. Исто така, низ целиот пејзаж на закани, 5% од новите закани ќе претставуваат 70% од ризикот за една компанија. Во компанија каде што се организирани процеси за управување со безбедноста на информациите, можеме да управуваме со 30% од ризикот од имплементација на познати закани на еден или друг начин со избегнување (одбивање на безжични мрежи во принцип), прифаќање (спроведување на потребните безбедносни мерки) или менување (на пример, на рамениците на интеграторот) овој ризик. Заштитете се од нула-ден слабости, APT напади, фишинг, напади на синџирот на снабдување, сајбер шпионажата и националните операции, како и голем број други напади се веќе многу потешки. Последиците од овие 5% од заканите ќе бидат многу посериозни (Просечниот износ на банкарски загуби од групата бухтрап е 143 милиони) отколку последиците од спам или вируси, од кои заштедува антивирусен софтвер.

Речиси секој мора да се справи со 5% од заканите. Неодамна моравме да инсталираме решение со отворен код што користи апликација од складиштето PEAR (PHP Extension and Application Repository). Обидот да се инсталира оваа апликација преку инсталација на круша не успеа затоа што веб-страница беше недостапен (сега има никулец на него), морав да го инсталирам од GitHub. И само неодамна се покажа дека КРУША стана жртва напади на синџирот на снабдување.

Сè уште можете да се сетите напад со помош на CCleaner, епидемија на откупниот софтвер NePetya преку модул за ажурирање за програма за даночно известување MEDoc. Заканите стануваат сè пософистицирани и се поставува логичното прашање - „Како да се спротивставиме на овие 5% закани?

Дефиниција за лов на закани

Значи, Threat Hunting е процес на проактивно и итеративно пребарување и откривање на напредни закани кои не можат да се откријат со традиционалните безбедносни алатки. Напредните закани вклучуваат, на пример, напади како APT, напади на ранливости од 0 дена, Живеење надвор од земјата итн.

Можеме да преформулираме дека TH е процес на тестирање хипотези. Ова е претежно рачен процес со елементи на автоматизација, во кој аналитичарот, потпирајќи се на своето знаење и вештини, просејува низ големи количини на информации во потрага по знаци на компромис што одговараат на првично утврдената хипотеза за присуство на одредена закана. Неговата карактеристична карактеристика е разновидноста на изворите на информации.

Треба да се напомене дека Threat Hunting не е некој вид софтвер или хардверски производ. Ова не се предупредувања што може да се видат во некое решение. Ова не е процес на пребарување на IOC (Идентификатори на компромис). И ова не е некаква пасивна активност што се јавува без учество на аналитичари за безбедност на информациите. Ловот на закани е прво и основно процес.

Компоненти на лов на закани

Три главни компоненти на ловот на закани: податоци, технологија, луѓе.

Податоци (што?), вклучувајќи ги и големите податоци. Сите видови на сообраќајни текови, информации за претходните APT-и, аналитика, податоци за активноста на корисниците, мрежни податоци, информации од вработени, информации за даркнет и многу повеќе.

Технологии (како?) обработка на овие податоци - сите можни начини за обработка на овие податоци, вклучително и Машинско учење.

Луѓето кои?) – оние кои имаат долгогодишно искуство во анализа на разни напади, развиена интуиција и способност за откривање напад. Обично тоа се аналитичари за безбедност на информации кои мора да имаат способност да генерираат хипотези и да најдат потврда за нив. Тие се главната алка во процесот.

Модел ПАРИЗ

Адам Бејтмен опишува PARIS модел за идеален TH процес. Името алудира на позната знаменитост во Франција. Овој модел може да се гледа во две насоки - одозгора и одоздола.

Додека работиме низ моделот од дното нагоре, ќе наидеме на многу докази за злонамерна активност. Секој доказ има мерка наречена доверба - карактеристика што ја одразува тежината на овој доказ. Постои „железо“, директен доказ за злонамерна активност, според кој можеме веднаш да стигнеме до врвот на пирамидата и да создадеме вистинско предупредување за прецизно позната инфекција. И има индиректни докази, чиј збир може да не доведе и до врвот на пирамидата. Како и секогаш, има многу повеќе индиректни докази отколку директни докази, што значи дека тие треба да се подредат и анализираат, мора да се спроведат дополнителни истражувања и препорачливо е да се автоматизира ова.

Модел ПАРИЗ. Извор

Горниот дел од моделот (1 и 2) е заснован на технологии за автоматизација и разни аналитики, а долниот дел (3 и 4) е базиран на луѓе со одредени квалификации кои управуваат со процесот. Моделот можете да го разгледате како се движи од горе до долу, каде во горниот дел од сината боја имаме предупредувања од традиционалните безбедносни алатки (антивирус, EDR, заштитен ѕид, потписи) со висок степен на доверба и доверба, а подолу се индикатори ( IOC, URL, MD5 и други), кои имаат помал степен на сигурност и бараат дополнително проучување. А најниското и најдебелото ниво (4) е генерирањето хипотези, создавањето нови сценарија за функционирање на традиционалните средства за заштита. Ова ниво не е ограничено само на наведените извори на хипотези. Колку е пониско нивото, толку повеќе барања се поставуваат за квалификациите на аналитичарот.

Многу е важно аналитичарите да не тестираат едноставно конечен сет на однапред одредени хипотези, туку постојано да работат на генерирање на нови хипотези и опции за нивно тестирање.

TH Употреба на зрелост модел

Во идеален свет, TH е тековен процес. Но, бидејќи не постои идеален свет, ајде да анализираме модел на зрелост и методи во однос на употребените луѓе, процеси и технологии. Да разгледаме модел на идеална сферична TH. Постојат 5 нивоа на користење на оваа технологија. Ајде да ги погледнеме користејќи го примерот на еволуцијата на еден тим аналитичари.

Нивоа на зрелост
Луѓе
Процеси
Технологија

Ниво на 0
Аналитичарите на СПЦ
24/7
Традиционални инструменти:

Традиционалните
Збир на предупредувања
Пасивен мониторинг
IDS, AV, Sandboxing,

Без ТХ
Работа со предупредувања

Алатки за анализа на потписи, податоци за разузнавање за закани.

Ниво на 1
Аналитичарите на СПЦ
Еднократниот Т.Х
ЕДР

Експериментални
Основни познавања од форензиката
Пребарување на МОК
Делумно покривање на податоци од мрежни уреди

Експерименти со TH
Добро познавање на мрежи и апликации

Делумна примена

Ниво на 2
Привремено занимање
Спринтови
ЕДР

Периодични
Просечно познавање на форензиката
Од недела до месец
Целосна апликација

Привремен ТХ
Одлично познавање на мрежи и апликации
Редовна ТХ
Целосна автоматизација на користењето податоци на EDR

Делумно користење на напредни EDR способности

Ниво на 3
Посветена команда TH
24/7
Делумна способност за тестирање на хипотези TH

Превентивни
Одлично познавање на форензика и малициозен софтвер
Превентивен ТХ
Целосна употреба на напредните EDR способности

Посебни случаи Т.Х
Одлично познавање на напаѓачката страна
Посебни случаи Т.Х
Целосна покриеност на податоци од мрежните уреди

Конфигурација за да одговара на вашите потреби

Ниво на 4
Посветена команда TH
24/7
Целосна способност за тестирање на хипотезите на ТХ

Водечки
Одлично познавање на форензика и малициозен софтвер
Превентивен ТХ
Ниво 3, плус:

Користење на TH
Одлично познавање на напаѓачката страна
Тестирање, автоматизација и верификација на хипотези TH
цврста интеграција на изворите на податоци;

Способност за истражување

развој според потребите и нестандардна употреба на API.

TH нивоа на зрелост по луѓе, процеси и технологии

Ниво 0: традиционален, без употреба на TH. Редовните аналитичари работат со стандарден сет на предупредувања во режим на пасивно следење користејќи стандардни алатки и технологии: IDS, AV, sandbox, алатки за анализа на потписи.

Ниво 1: експериментално, користејќи TH. Истите аналитичари со основни познавања од форензиката и добро познавање на мрежи и апликации можат да спроведат еднократно лов на закани преку пребарување на индикатори за компромис. EDR се додаваат на алатките со делумно покривање на податоци од мрежните уреди. Алатките се делумно користени.

Ниво 2: периодични, привремени ТХ. Истите аналитичари кои веќе го надградиле своето знаење во форензиката, мрежите и апликативниот дел се обврзани редовно да се занимаваат со лов на закани (спринт), да речеме, една недела месечно. Алатките додаваат целосно истражување на податоците од мрежните уреди, автоматизација на анализа на податоци од EDR и делумно користење на напредните EDR способности.

Ниво 3: превентивни, чести случаи на ТХ. Нашите аналитичари се организираа во посветен тим и почнаа да имаат одлично познавање на форензиката и малициозниот софтвер, како и познавање на методите и тактиките на напаѓачката страна. Процесот веќе се спроведува 24/7. Тимот може делумно да ги тестира TH хипотезите додека целосно ги користи напредните можности на EDR со целосно покривање на податоци од мрежните уреди. Аналитичарите исто така можат да ги конфигурираат алатките за да одговараат на нивните потреби.

Ниво 4: high-end, користете TH. Истиот тим се здоби со способност за истражување, способност за генерирање и автоматизирање на процесот на тестирање на хипотезите на ТХ. Сега алатките се дополнети со блиска интеграција на изворите на податоци, развој на софтвер за задоволување на потребите и нестандардна употреба на API.

Техники за лов на закани

Основни техники за лов на закани

К техничари TH, според редоследот на зрелоста на технологијата што се користи, се: основно пребарување, статистичка анализа, техники за визуелизација, едноставни агрегации, машинско учење и бајзиски методи.

Наједноставниот метод, основното пребарување, се користи за стеснување на областа на истражување користејќи специфични прашања. Статистичката анализа се користи, на пример, за да се конструира типична корисничка или мрежна активност во форма на статистички модел. Техниките на визуелизација се користат за визуелно прикажување и поедноставување на анализата на податоците во форма на графикони и графикони, кои го олеснуваат распознавањето на обрасците во примерокот. Техниката на едноставни агрегации по клучни полиња се користи за оптимизирање на пребарувањето и анализата. Колку е позрел процесот на TH на организацијата, толку порелевантна станува употребата на алгоритми за машинско учење. Тие исто така се широко користени за филтрирање на спам, откривање злонамерен сообраќај и откривање на измамнички активности. Понапреден тип на алгоритам за машинско учење се Баесовските методи, кои овозможуваат класификација, намалување на големината на примерокот и моделирање на теми.

Дијамантски модел и TH стратегии

Серхио Калтагирон, Ендрју Пендегаст и Кристофер Бец во нивното дело “Дијамантскиот модел на анализа на упади» ги покажа главните клучни компоненти на секоја злонамерна активност и основната врска меѓу нив.

Дијамантски модел за злонамерна активност

Според овој модел, постојат 4 стратегии за лов на закани, кои се засноваат на соодветните клучни компоненти.

1. Стратегија ориентирана кон жртвата. Претпоставуваме дека жртвата има противници и тие ќе достават „можности“ преку е-пошта. Бараме податоци за непријателот по пошта. Пребарајте врски, прилози итн. Потврда на оваа хипотеза бараме одреден временски период (месец, две недели), ако не ја најдеме, тогаш хипотезата не функционирала.

2. Стратегија ориентирана кон инфраструктура. Постојат неколку методи за користење на оваа стратегија. Во зависност од пристапот и видливоста, некои се полесни од другите. На пример, ние ги следиме серверите за имиња на домени за кои е познато дека се домаќини на малициозни домени. Или поминуваме низ процесот на следење на сите нови регистрации на домени за позната шема што ја користи противникот.

3. Стратегија водена од способности. Покрај стратегијата фокусирана на жртви што ја користат повеќето мрежни бранители, постои стратегија фокусирана на можности. Тој е втор најпопуларен и се фокусира на откривање способности од противникот, имено „малициозен софтвер“ и способноста на противникот да користи легитимни алатки како што се psexec, powershell, certutil и други.

4. Стратегија ориентирана кон непријателот. Пристапот насочен кон противникот се фокусира на самиот противник. Ова вклучува употреба на отворени информации од јавно достапни извори (OSINT), собирање податоци за непријателот, неговите техники и методи (TTP), анализа на претходни инциденти, податоци за разузнавање за закани итн.

Извори на информации и хипотези во Т.Х

Некои извори на информации за Лов на закани

Може да има многу извори на информации. Идеален аналитичар треба да може да извлече информации од сè што е наоколу. Типични извори во речиси секоја инфраструктура ќе бидат податоците од безбедносните алатки: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Исто така, типични извори на информации ќе бидат различните индикатори за компромис, службите за разузнавање закани, податоците од CERT и OSINT. Дополнително, можете да користите информации од даркнет (на пример, одеднаш има наредба да се хакира поштенското сандаче на раководителот на организацијата или кандидатот за позицијата мрежен инженер е изложен за неговата активност), информации добиени од HR (прегледи на кандидатот од претходно место на работа), информации од безбедносната служба (на пример, резултатите од верификацијата на другата страна).

Но, пред да се искористат сите достапни извори, неопходно е да се има барем една хипотеза.

Извор

За да се тестираат хипотезите, тие мора прво да се изнесат. И за да се изнесат многу висококвалитетни хипотези, неопходно е да се примени систематски пристап. Процесот на генерирање хипотези е подетално опишан во Член, многу е погодно да се земе оваа шема како основа за процесот на поставување хипотези.

Главниот извор на хипотези ќе биде ATT&CK матрица (Противнички тактики, техники и заедничко знаење). Тоа е, во суштина, база на знаење и модел за проценка на однесувањето на напаѓачите кои ги извршуваат своите активности во последните чекори од нападот, обично опишани користејќи го концептот Kill Chain. Тоа е, во фазите откако напаѓачот ќе навлезе во внатрешната мрежа на претпријатието или на мобилен уред. Базата на знаење првично вклучуваше описи на 121 тактика и техника користени во нападот, од кои секоја е детално опишана во формат Вики. Различни аналитики за разузнавање закани се добро прилагодени како извор за генерирање хипотези. Посебно се истакнуваат резултатите од анализата на инфраструктурата и тестовите за пенетрација - ова се највредните податоци што можат да ни дадат железни хипотези поради фактот што тие се засноваат на специфична инфраструктура со нејзините специфични недостатоци.

Процес на тестирање на хипотези

Сергеј Солдатов донесе добар дијаграм со детален опис на процесот, го илустрира процесот на тестирање на хипотезите на TH во еден единствен систем. Ќе ги наведам главните фази со краток опис.

Извор

Фаза 1: ТИ фарма

Во оваа фаза потребно е да се истакне предмети (со нивна анализа заедно со сите податоци за заканите) и доделување етикети за нивните карактеристики. Тоа се датотека, URL, MD5, процес, алатка, настан. При нивното поминување низ системи за разузнавање закани, неопходно е да се прикачат ознаки. Односно, оваа страница беше забележана во CNC во таква и таква година, овој MD5 беше поврзан со таков и таков малициозен софтвер, овој MD5 беше симнат од страница што дистрибуираше малициозен софтвер.

Фаза 2: Случаи

Во втората фаза, ја разгледуваме интеракцијата помеѓу овие објекти и ги идентификуваме односите помеѓу сите овие објекти. Добиваме означени системи кои прават нешто лошо.

Фаза 3: Аналитичар

Во третата фаза, предметот се пренесува на искусен аналитичар кој има долгогодишно искуство во анализа и тој донесува пресуда. Тој анализира до бајти што, каде, како, зошто и зошто прави овој код. Ова тело беше малициозен софтвер, овој компјутер беше заразен. Открива врски помеѓу предметите, ги проверува резултатите од трчањето низ песокот.

Резултатите од работата на аналитичарот се пренесуваат понатаму. Digital Forensics ги испитува сликите, Malware Analysis ги испитува пронајдените „тела“, а тимот за одговор на инцидентот може да оди на локацијата и да истражи нешто што е веќе таму. Резултатот од работата ќе биде потврдена хипотеза, идентификуван напад и начини како да се спротивставиме.

Извор
 

Резултатите од

Threat Hunting е прилично млада технологија која може ефикасно да се спротивстави на приспособените, нови и нестандардни закани, што има големи изгледи со оглед на зголемениот број на такви закани и зголемената сложеност на корпоративната инфраструктура. Потребни се три компоненти - податоци, алатки и аналитичари. Придобивките од Threat Hunting не се ограничени на спречување на спроведувањето на заканите. Не заборавајте дека за време на процесот на пребарување ние се нурнуваме во нашата инфраструктура и нејзините слаби точки преку очите на безбедносниот аналитичар и можеме дополнително да ги зајакнеме овие точки.

Првите чекори кои, според наше мислење, треба да се преземат за да се започне процесот на TH во вашата организација.

1. Грижете се за заштита на крајните точки и мрежната инфраструктура. Грижете се за видливоста (NetFlow) и контролата (firewall, IDS, IPS, DLP) на сите процеси на вашата мрежа. Знајте ја вашата мрежа од рабниот рутер до последниот домаќин.
2. Истражува MITER ATT&CK.
3. Спроведете редовни проверки на најмалку клучни надворешни ресурси, анализирајте ги резултатите, идентификувајте ги главните цели за напад и затворете ги нивните ранливости.
4. Имплементирајте систем за разузнавање за закани со отворен код (на пример, MISP, Yeti) и анализирајте ги дневниците заедно со него.
5. Имплементирајте платформа за одговор на инциденти (IRP): R-Vision IRP, The Hive, песок за анализа на сомнителни датотеки (FortiSandbox, Cuckoo).
6. Автоматизирајте ги рутинските процеси. Анализа на дневници, евидентирање на инциденти, информирање на персоналот е огромно поле за автоматизација.
7. Научете како ефективно да комуницирате со инженерите, програмерите и техничката поддршка за да соработувате при инциденти.
8. Документирајте го целиот процес, клучните точки, постигнатите резултати за подоцна да се вратите на нив или да ги споделите овие податоци со колегите;
9. Бидете социјални: Бидете свесни за тоа што се случува со вашите вработени, кого вработувате и кому давате пристап до информативните ресурси на организацијата.
10. Бидете во тек со трендовите на полето на новите закани и методи на заштита, зголемете го вашето ниво на техничка писменост (вклучително и во работењето на ИТ услуги и потсистеми), присуствувајте на конференции и комуницирајте со колегите.

Подготвени да разговараат за организацијата на процесот на ТХ во коментарите.

Или дојдете да работите со нас!

• Водечки консултант за безбедност на информации
• Системски архитект за безбедност на информации
• Водечки инженер за мрежна безбедност
• Водечки инженер за безбедност на информации (SIEM)
• Архитект за безбедност на информации (апликација)

Извори и материјали за проучување

• ловец на закани.гуру
• напад.mitre.org
• digital-forensics.sans.org
• ресурси.infosecinstitute.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• reply-to-all.blogspot.com
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

Извор: www.habr.com