ഭീഷണി വേട്ട, അല്ലെങ്കിൽ 5% ഭീഷണികളിൽ നിന്ന് സ്വയം എങ്ങനെ സംരക്ഷിക്കാം

95% വിവര സുരക്ഷാ ഭീഷണികളും അറിയപ്പെടുന്നു, ആന്റിവൈറസുകൾ, ഫയർവാളുകൾ, IDS, WAF തുടങ്ങിയ പരമ്പരാഗത മാർഗങ്ങൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് അവയിൽ നിന്ന് സ്വയം പരിരക്ഷിക്കാം. ശേഷിക്കുന്ന 5% ഭീഷണികൾ അജ്ഞാതവും ഏറ്റവും അപകടകരവുമാണ്. ഒരു കമ്പനിയുടെ അപകടസാധ്യതയുടെ 70% അവർ ഉൾക്കൊള്ളുന്നു, കാരണം അവ കണ്ടെത്തുന്നത് വളരെ ബുദ്ധിമുട്ടാണ്, അവയിൽ നിന്ന് വളരെ കുറച്ച് പരിരക്ഷണം. ഉദാഹരണങ്ങൾ "കറുത്ത ഹംസങ്ങൾ" WannaCry ransomware പകർച്ചവ്യാധി, NotPetya/ExPetr, cryptominers, "സൈബർ ആയുധം" Stuxnet (ഇറാനിലെ ആണവ സൗകര്യങ്ങളെ ബാധിച്ചത്) കൂടാതെ പലതും (മറ്റാരെങ്കിലും Kido/Conficker ഓർക്കുന്നുണ്ടോ?) ക്ലാസിക്കൽ സുരക്ഷാ നടപടികളോട് നന്നായി പ്രതിരോധിക്കാത്ത മറ്റ് ആക്രമണങ്ങളാണ്. ത്രെറ്റ് ഹണ്ടിംഗ് സാങ്കേതികവിദ്യ ഉപയോഗിച്ച് ഈ 5% ഭീഷണികളെ എങ്ങനെ പ്രതിരോധിക്കാം എന്നതിനെക്കുറിച്ച് സംസാരിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു.

സൈബർ ആക്രമണങ്ങളുടെ തുടർച്ചയായ പരിണാമത്തിന് നിരന്തരമായ കണ്ടെത്തലും പ്രതിരോധ നടപടികളും ആവശ്യമാണ്, ഇത് ആത്യന്തികമായി ആക്രമണകാരികളും പ്രതിരോധകരും തമ്മിലുള്ള അനന്തമായ ആയുധ മത്സരത്തെക്കുറിച്ച് ചിന്തിക്കാൻ നമ്മെ പ്രേരിപ്പിക്കുന്നു. ക്ലാസിക് സുരക്ഷാ സംവിധാനങ്ങൾക്ക് സ്വീകാര്യമായ ഒരു തലത്തിലുള്ള സുരക്ഷ നൽകാൻ കഴിയില്ല, ഒരു പ്രത്യേക ഇൻഫ്രാസ്ട്രക്ചറിനായി അവ പരിഷ്ക്കരിക്കാതെ കമ്പനിയുടെ പ്രധാന സൂചകങ്ങളെ (സാമ്പത്തിക, രാഷ്ട്രീയ, പ്രശസ്തി) ബാധിക്കില്ല, എന്നാൽ പൊതുവെ അവയിൽ ചിലത് ഉൾക്കൊള്ളുന്നു. അപകടസാധ്യതകൾ. ഇതിനകം തന്നെ നടപ്പാക്കലിന്റെയും കോൺഫിഗറേഷന്റെയും പ്രക്രിയയിൽ, ആധുനിക സുരക്ഷാ സംവിധാനങ്ങൾ പിടിക്കാനുള്ള റോളിൽ സ്വയം കണ്ടെത്തുകയും പുതിയ സമയത്തിന്റെ വെല്ലുവിളികളോട് പ്രതികരിക്കുകയും വേണം.

ഉറവിടം

ഒരു ഇൻഫർമേഷൻ സെക്യൂരിറ്റി സ്പെഷ്യലിസ്റ്റിന് നമ്മുടെ കാലത്തെ വെല്ലുവിളികൾക്കുള്ള ഉത്തരങ്ങളിലൊന്നാണ് ത്രെറ്റ് ഹണ്ടിംഗ് സാങ്കേതികവിദ്യ. ത്രെറ്റ് ഹണ്ടിംഗ് (ഇനിമുതൽ TH എന്ന് വിളിക്കപ്പെടുന്നു) എന്ന പദം നിരവധി വർഷങ്ങൾക്ക് മുമ്പ് പ്രത്യക്ഷപ്പെട്ടു. സാങ്കേതികവിദ്യ തന്നെ വളരെ രസകരമാണ്, പക്ഷേ ഇതുവരെ പൊതുവായി അംഗീകരിച്ച മാനദണ്ഡങ്ങളും നിയമങ്ങളും ഇല്ല. വിവര സ്രോതസ്സുകളുടെ വൈവിധ്യവും ഈ വിഷയത്തെക്കുറിച്ചുള്ള റഷ്യൻ ഭാഷയിലുള്ള വിവരങ്ങളുടെ ചെറിയ എണ്ണം കാരണവും വിഷയം സങ്കീർണ്ണമാണ്. ഇക്കാര്യത്തിൽ, LANIT-Integration-ൽ ഞങ്ങൾ ഈ സാങ്കേതികവിദ്യയുടെ ഒരു അവലോകനം എഴുതാൻ തീരുമാനിച്ചു.

പ്രാധാന്യം

TH സാങ്കേതികവിദ്യ അടിസ്ഥാന സൗകര്യ നിരീക്ഷണ പ്രക്രിയകളെ ആശ്രയിക്കുന്നു. ആന്തരിക നിരീക്ഷണത്തിന് രണ്ട് പ്രധാന സാഹചര്യങ്ങളുണ്ട് - അലേർട്ടിംഗും വേട്ടയാടലും. മുമ്പ് വികസിപ്പിച്ച ഒപ്പുകളും ആക്രമണങ്ങളുടെ അടയാളങ്ങളും തിരയുന്നതിനും അവയോട് പ്രതികരിക്കുന്നതിനുമുള്ള ഒരു പരമ്പരാഗത രീതിയാണ് മുന്നറിയിപ്പ് (MSSP സേവനങ്ങൾക്ക് സമാനമായത്). പരമ്പരാഗത സിഗ്നേച്ചർ അധിഷ്‌ഠിത സംരക്ഷണ ഉപകരണങ്ങൾ ഈ സാഹചര്യം വിജയകരമായി നിർവഹിക്കുന്നു. വേട്ടയാടൽ (എംഡിആർ തരം സേവനം) "ഒപ്പുകളും നിയമങ്ങളും എവിടെ നിന്ന് വരുന്നു?" എന്ന ചോദ്യത്തിന് ഉത്തരം നൽകുന്ന ഒരു നിരീക്ഷണ രീതിയാണ്. മറഞ്ഞിരിക്കുന്നതോ മുമ്പ് അറിയപ്പെടാത്തതോ ആയ സൂചകങ്ങളും ആക്രമണത്തിന്റെ സൂചനകളും വിശകലനം ചെയ്തുകൊണ്ട് പരസ്പര ബന്ധ നിയമങ്ങൾ സൃഷ്ടിക്കുന്ന പ്രക്രിയയാണിത്. ഭീഷണി വേട്ട എന്നത് ഇത്തരത്തിലുള്ള നിരീക്ഷണത്തെ സൂചിപ്പിക്കുന്നു.

രണ്ട് തരത്തിലുള്ള നിരീക്ഷണങ്ങളും സംയോജിപ്പിക്കുന്നതിലൂടെ മാത്രമേ നമുക്ക് അനുയോജ്യമായ സംരക്ഷണം ലഭിക്കുകയുള്ളൂ, എന്നാൽ എല്ലായ്പ്പോഴും ഒരു നിശ്ചിത തലത്തിലുള്ള ശേഷിക്കുന്ന അപകടസാധ്യതയുണ്ട്.

രണ്ട് തരത്തിലുള്ള നിരീക്ഷണം ഉപയോഗിച്ചുള്ള സംരക്ഷണം

എന്തുകൊണ്ടാണ് ടിഎച്ച് (അതിന്റെ മുഴുവൻ വേട്ടയാടലും!) കൂടുതൽ പ്രസക്തമാകുന്നത് ഇവിടെയാണ്:

ഭീഷണികൾ, പരിഹാരങ്ങൾ, അപകടസാധ്യതകൾ. ഉറവിടം

95% ഭീഷണികളും ഇതിനകം നന്നായി പഠിച്ചിട്ടുണ്ട്. സ്പാം, DDoS, വൈറസുകൾ, റൂട്ട്കിറ്റുകൾ, മറ്റ് ക്ലാസിക് ക്ഷുദ്രവെയർ എന്നിവ പോലുള്ള തരങ്ങൾ ഇതിൽ ഉൾപ്പെടുന്നു. അതേ ക്ലാസിക് സുരക്ഷാ നടപടികൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് ഈ ഭീഷണികളിൽ നിന്ന് സ്വയം പരിരക്ഷിക്കാം.

ഏതെങ്കിലും പദ്ധതി നടപ്പിലാക്കുന്ന സമയത്ത് 20% ജോലിയും പൂർത്തിയാക്കാൻ 80% സമയമെടുക്കും, ശേഷിക്കുന്ന 20% ജോലികൾ 80% സമയമെടുക്കുന്നു. അതുപോലെ, മുഴുവൻ ഭീഷണി ലാൻഡ്‌സ്‌കേപ്പിലുടനീളം, പുതിയ ഭീഷണികളുടെ 5% ഒരു കമ്പനിയുടെ അപകടസാധ്യതയുടെ 70% വരും. ഇൻഫർമേഷൻ സെക്യൂരിറ്റി മാനേജ്‌മെന്റ് പ്രോസസുകൾ സംഘടിപ്പിക്കുന്ന ഒരു കമ്പനിയിൽ, അറിയപ്പെടുന്ന ഭീഷണികളുടെ 30% അപകടസാധ്യത ഒഴിവാക്കി (തത്ത്വത്തിൽ വയർലെസ് നെറ്റ്‌വർക്കുകൾ നിരസിക്കുക), സ്വീകരിക്കുക (ആവശ്യമായ സുരക്ഷാ നടപടികൾ നടപ്പിലാക്കുക) അല്ലെങ്കിൽ ഷിഫ്റ്റ് ചെയ്യുക (ഉദാഹരണത്തിന്, ഒരു ഇന്റഗ്രേറ്ററുടെ തോളിൽ) ഈ അപകടസാധ്യത. അതിൽ നിന്ന് സ്വയം പരിരക്ഷിക്കുക പൂജ്യം-ദിന കേടുപാടുകൾ, APT ആക്രമണങ്ങൾ, ഫിഷിംഗ്, വിതരണ ശൃംഖല ആക്രമണങ്ങൾ, സൈബർ ചാരവൃത്തിയും ദേശീയ പ്രവർത്തനങ്ങളും അതുപോലെ തന്നെ മറ്റ് നിരവധി ആക്രമണങ്ങളും ഇതിനകം തന്നെ വളരെ ബുദ്ധിമുട്ടാണ്. ഈ 5% ഭീഷണികളുടെ അനന്തരഫലങ്ങൾ വളരെ ഗുരുതരമായിരിക്കും (ബുഹ്ട്രാപ്പ് ഗ്രൂപ്പിൽ നിന്നുള്ള ബാങ്ക് നഷ്ടത്തിന്റെ ശരാശരി തുക 143 ദശലക്ഷമാണ്) ആന്റിവൈറസ് സോഫ്റ്റ്‌വെയർ സംരക്ഷിക്കുന്ന സ്പാമിന്റെയോ വൈറസുകളുടെയോ അനന്തരഫലങ്ങളേക്കാൾ.

മിക്കവാറും എല്ലാവർക്കും 5% ഭീഷണികൾ നേരിടേണ്ടിവരും. PEAR (PHP എക്സ്റ്റൻഷൻ ആൻഡ് ആപ്ലിക്കേഷൻ റിപ്പോസിറ്ററി) ശേഖരത്തിൽ നിന്നുള്ള ഒരു ആപ്ലിക്കേഷൻ ഉപയോഗിക്കുന്ന ഒരു ഓപ്പൺ സോഴ്സ് സൊല്യൂഷൻ ഞങ്ങൾ അടുത്തിടെ ഇൻസ്റ്റാൾ ചെയ്യേണ്ടിവന്നു. പിയർ ഇൻസ്റ്റാൾ വഴി ഈ ആപ്ലിക്കേഷൻ ഇൻസ്റ്റാൾ ചെയ്യാനുള്ള ശ്രമം പരാജയപ്പെട്ടു വെബ്സൈറ്റ് ലഭ്യമല്ല (ഇപ്പോൾ അതിൽ ഒരു അപൂർണ്ണതയുണ്ട്), എനിക്ക് ഇത് GitHub-ൽ നിന്ന് ഇൻസ്റ്റാൾ ചെയ്യേണ്ടിവന്നു. പിയർ ഒരു ഇരയായി മാറിയെന്ന് അടുത്തിടെ മനസ്സിലായി വിതരണ ശൃംഖല ആക്രമണങ്ങൾ.

നിങ്ങൾക്ക് ഇപ്പോഴും ഓർക്കാം CCleaner ഉപയോഗിച്ച് ആക്രമിക്കുക, ഒരു ടാക്സ് റിപ്പോർട്ടിംഗ് പ്രോഗ്രാമിനായുള്ള ഒരു അപ്‌ഡേറ്റ് മൊഡ്യൂളിലൂടെ NePetya ransomware-ന്റെ ഒരു പകർച്ചവ്യാധി MEDoc. ഭീഷണികൾ കൂടുതൽ കൂടുതൽ സങ്കീർണ്ണമാവുകയാണ്, കൂടാതെ യുക്തിസഹമായ ചോദ്യം ഉയർന്നുവരുന്നു - "ഈ 5% ഭീഷണികളെ നമുക്ക് എങ്ങനെ നേരിടാനാകും?"

ഭീഷണി വേട്ടയുടെ നിർവ്വചനം

അതിനാൽ, ത്രെറ്റ് ഹണ്ടിംഗ് എന്നത് സജീവവും ആവർത്തനപരവുമായ തിരയലിന്റെയും പരമ്പരാഗത സുരക്ഷാ ഉപകരണങ്ങൾക്ക് കണ്ടെത്താൻ കഴിയാത്ത വിപുലമായ ഭീഷണികൾ കണ്ടെത്തുന്നതിന്റെയും പ്രക്രിയയാണ്. വിപുലമായ ഭീഷണികളിൽ ഉൾപ്പെടുന്നു, ഉദാഹരണത്തിന്, APT പോലുള്ള ആക്രമണങ്ങൾ, 0-ദിവസത്തെ കേടുപാടുകൾക്കെതിരായ ആക്രമണങ്ങൾ, ലിവിംഗ് ഓഫ് ദ ലാൻഡ് മുതലായവ.

അനുമാനങ്ങൾ പരിശോധിക്കുന്ന പ്രക്രിയയാണ് TH എന്ന് നമുക്ക് വീണ്ടും എഴുതാം. ഇത് പ്രധാനമായും ഓട്ടോമേഷൻ ഘടകങ്ങളുള്ള ഒരു മാനുവൽ പ്രക്രിയയാണ്, അതിൽ അനലിസ്റ്റ്, അവന്റെ അറിവിലും വൈദഗ്ധ്യത്തിലും ആശ്രയിക്കുന്നു, ഒരു നിശ്ചിത ഭീഷണിയുടെ സാന്നിധ്യത്തെക്കുറിച്ചുള്ള തുടക്കത്തിൽ നിർണ്ണയിച്ച അനുമാനവുമായി പൊരുത്തപ്പെടുന്ന വിട്ടുവീഴ്ചയുടെ അടയാളങ്ങൾക്കായി വലിയ അളവിലുള്ള വിവരങ്ങൾ പരിശോധിക്കുന്നു. വൈവിധ്യമാർന്ന വിവര സ്രോതസ്സുകളാണ് ഇതിന്റെ സവിശേഷത.

ത്രെറ്റ് ഹണ്ടിംഗ് ഏതെങ്കിലും തരത്തിലുള്ള സോഫ്റ്റ്‌വെയർ അല്ലെങ്കിൽ ഹാർഡ്‌വെയർ ഉൽപ്പന്നമല്ല എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. ഇത് ചില പരിഹാരങ്ങളിൽ കാണാൻ കഴിയുന്ന അലേർട്ടുകളല്ല. ഇതൊരു ഐഒസി (ഐഡന്റിഫയേഴ്സ് ഓഫ് കോംപ്രമൈസ്) തിരയൽ പ്രക്രിയയല്ല. വിവര സുരക്ഷാ വിശകലന വിദഗ്ധരുടെ പങ്കാളിത്തമില്ലാതെ സംഭവിക്കുന്ന ഏതെങ്കിലും തരത്തിലുള്ള നിഷ്ക്രിയ പ്രവർത്തനമല്ല ഇത്. ഭീഷണി വേട്ട ആദ്യമായും പ്രധാനമായും ഒരു പ്രക്രിയയാണ്.

ഭീഷണി വേട്ടയുടെ ഘടകങ്ങൾ

ഭീഷണി വേട്ടയുടെ മൂന്ന് പ്രധാന ഘടകങ്ങൾ: ഡാറ്റ, സാങ്കേതികവിദ്യ, ആളുകൾ.

ഡാറ്റ (എന്ത്?), ബിഗ് ഡാറ്റ ഉൾപ്പെടെ. എല്ലാത്തരം ട്രാഫിക് ഫ്ലോകളും, മുമ്പത്തെ APT-കളെക്കുറിച്ചുള്ള വിവരങ്ങൾ, അനലിറ്റിക്‌സ്, ഉപയോക്തൃ പ്രവർത്തനത്തെക്കുറിച്ചുള്ള ഡാറ്റ, നെറ്റ്‌വർക്ക് ഡാറ്റ, ജീവനക്കാരിൽ നിന്നുള്ള വിവരങ്ങൾ, ഡാർക്ക്നെറ്റിലെ വിവരങ്ങൾ എന്നിവയും അതിലേറെയും.

സാങ്കേതികവിദ്യകൾ (എങ്ങനെ?) ഈ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുന്നു - മെഷീൻ ലേണിംഗ് ഉൾപ്പെടെ ഈ ഡാറ്റ പ്രോസസ്സ് ചെയ്യുന്നതിനുള്ള സാധ്യമായ എല്ലാ വഴികളും.

ആളുകൾ (ആരാണ്?) - വിവിധ ആക്രമണങ്ങളെ വിശകലനം ചെയ്യുന്നതിൽ വിപുലമായ അനുഭവം ഉള്ളവർ, വികസിപ്പിച്ച അവബോധം, ആക്രമണം കണ്ടെത്താനുള്ള കഴിവ്. സാധാരണയായി ഇവർ വിവര സുരക്ഷാ വിശകലന വിദഗ്ധരാണ്, അവർക്ക് അനുമാനങ്ങൾ സൃഷ്ടിക്കാനും അവയ്ക്ക് സ്ഥിരീകരണം കണ്ടെത്താനുമുള്ള കഴിവുണ്ടായിരിക്കണം. അവയാണ് ഈ പ്രക്രിയയിലെ പ്രധാന കണ്ണി.

മാതൃക പാരിസ്

ആദം ബാറ്റ്മാൻ വിവരിക്കുന്നു അനുയോജ്യമായ TH പ്രക്രിയയ്ക്കുള്ള PARIS മോഡൽ. ഈ പേര് ഫ്രാൻസിലെ പ്രശസ്തമായ ഒരു നാഴികക്കല്ലിനെ സൂചിപ്പിക്കുന്നു. ഈ മോഡൽ രണ്ട് ദിശകളിൽ കാണാൻ കഴിയും - മുകളിൽ നിന്നും താഴെ നിന്നും.

ഞങ്ങൾ താഴെ നിന്ന് മോഡലിലൂടെ പ്രവർത്തിക്കുമ്പോൾ, ക്ഷുദ്രകരമായ പ്രവർത്തനത്തിന്റെ ധാരാളം തെളിവുകൾ നമുക്ക് നേരിടേണ്ടിവരും. ഓരോ തെളിവിനും ആത്മവിശ്വാസം എന്നൊരു അളവുകോൽ ഉണ്ട് - ഈ തെളിവിന്റെ ഭാരം പ്രതിഫലിപ്പിക്കുന്ന ഒരു സ്വഭാവം. "ഇരുമ്പ്", ക്ഷുദ്ര പ്രവർത്തനത്തിന്റെ നേരിട്ടുള്ള തെളിവുകൾ ഉണ്ട്, അതനുസരിച്ച് നമുക്ക് ഉടൻ തന്നെ പിരമിഡിന്റെ മുകളിൽ എത്താനും കൃത്യമായി അറിയപ്പെടുന്ന അണുബാധയെക്കുറിച്ച് ഒരു യഥാർത്ഥ മുന്നറിയിപ്പ് സൃഷ്ടിക്കാനും കഴിയും. പരോക്ഷമായ തെളിവുകളുണ്ട്, അതിന്റെ ആകെത്തുക നമ്മെ പിരമിഡിന്റെ മുകളിലേക്ക് നയിക്കും. എല്ലായ്പ്പോഴും എന്നപോലെ, നേരിട്ടുള്ള തെളിവുകളേക്കാൾ പരോക്ഷമായ തെളിവുകൾ ഉണ്ട്, അതിനർത്ഥം അവ അടുക്കുകയും വിശകലനം ചെയ്യുകയും വേണം, അധിക ഗവേഷണം നടത്തണം, ഇത് യാന്ത്രികമാക്കുന്നത് ഉചിതമാണ്.

മാതൃക പാരിസ്. ഉറവിടം

മോഡലിന്റെ മുകൾ ഭാഗം (1 ഉം 2 ഉം) ഓട്ടോമേഷൻ സാങ്കേതികവിദ്യകളെയും വിവിധ വിശകലനങ്ങളെയും അടിസ്ഥാനമാക്കിയുള്ളതാണ്, കൂടാതെ താഴത്തെ ഭാഗം (3 ഉം 4 ഉം) പ്രക്രിയ നിയന്ത്രിക്കുന്ന ചില യോഗ്യതകളുള്ള ആളുകളെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. മുകളിൽ നിന്ന് താഴേക്ക് നീങ്ങുന്ന മോഡൽ നിങ്ങൾക്ക് പരിഗണിക്കാം, അവിടെ നീല നിറത്തിന്റെ മുകൾ ഭാഗത്ത് പരമ്പരാഗത സുരക്ഷാ ഉപകരണങ്ങളിൽ നിന്ന് (ആന്റിവൈറസ്, ഇഡിആർ, ഫയർവാൾ, ഒപ്പുകൾ) ഉയർന്ന ആത്മവിശ്വാസവും വിശ്വാസവും ഉള്ള അലേർട്ടുകൾ ഉണ്ട്, താഴെ സൂചകങ്ങൾ ഉണ്ട് ( IOC, URL, MD5 എന്നിവയും മറ്റുള്ളവയും), അവയ്ക്ക് കുറഞ്ഞ അളവിലുള്ള ഉറപ്പും അധിക പഠനം ആവശ്യമാണ്. ഏറ്റവും താഴ്ന്നതും കട്ടിയുള്ളതുമായ ലെവൽ (4) അനുമാനങ്ങളുടെ തലമുറയാണ്, പരമ്പരാഗത സംരക്ഷണ മാർഗങ്ങളുടെ പ്രവർത്തനത്തിനായി പുതിയ സാഹചര്യങ്ങൾ സൃഷ്ടിക്കുന്നു. ഈ തലം അനുമാനങ്ങളുടെ നിർദ്ദിഷ്ട ഉറവിടങ്ങളിൽ മാത്രം പരിമിതപ്പെടുത്തിയിട്ടില്ല. താഴ്ന്ന നില, അനലിസ്റ്റിന്റെ യോഗ്യതകളിൽ കൂടുതൽ ആവശ്യകതകൾ സ്ഥാപിക്കുന്നു.

വിശകലന വിദഗ്ധർ മുൻകൂട്ടി നിശ്ചയിച്ചിട്ടുള്ള ഒരു പരിമിതമായ സിദ്ധാന്തം പരീക്ഷിക്കുക മാത്രമല്ല, പുതിയ അനുമാനങ്ങളും അവ പരീക്ഷിക്കുന്നതിനുള്ള ഓപ്ഷനുകളും സൃഷ്ടിക്കാൻ നിരന്തരം പ്രവർത്തിക്കുകയും ചെയ്യുന്നത് വളരെ പ്രധാനമാണ്.

ടിഎച്ച് ഉപയോഗ മെച്യൂരിറ്റി മോഡൽ

ഒരു ആദർശ ലോകത്ത്, TH ഒരു തുടർച്ചയായ പ്രക്രിയയാണ്. പക്ഷേ, അനുയോജ്യമായ ലോകം ഇല്ലാത്തതിനാൽ, നമുക്ക് വിശകലനം ചെയ്യാം മെച്യൂരിറ്റി മോഡൽ ആളുകൾ, പ്രക്രിയകൾ, ഉപയോഗിച്ച സാങ്കേതികവിദ്യകൾ എന്നിവയുടെ അടിസ്ഥാനത്തിൽ രീതികളും. അനുയോജ്യമായ ഗോളാകൃതിയിലുള്ള TH യുടെ ഒരു മാതൃക നമുക്ക് പരിഗണിക്കാം. ഈ സാങ്കേതികവിദ്യ ഉപയോഗിക്കുന്നതിന് 5 തലങ്ങളുണ്ട്. വിശകലന വിദഗ്ധരുടെ ഒരു ടീമിന്റെ പരിണാമത്തിന്റെ ഉദാഹരണം ഉപയോഗിച്ച് നമുക്ക് അവരെ നോക്കാം.

പക്വതയുടെ തലങ്ങൾ
ജനം
പ്രക്രിയകൾ
സാങ്കേതികവിദ്യയുടെ

ലെവൽ 0
SOC അനലിസ്റ്റുകൾ
24/7
പരമ്പരാഗത ഉപകരണങ്ങൾ:

പരമ്പരാഗത
അലേർട്ടുകളുടെ സെറ്റ്
നിഷ്ക്രിയ നിരീക്ഷണം
IDS, AV, സാൻഡ്‌ബോക്‌സിംഗ്,

ടിഎച്ച് ഇല്ലാതെ
അലേർട്ടുകൾക്കൊപ്പം പ്രവർത്തിക്കുന്നു

സിഗ്നേച്ചർ അനാലിസിസ് ടൂളുകൾ, ത്രെറ്റ് ഇന്റലിജൻസ് ഡാറ്റ.

ലെവൽ 1
SOC അനലിസ്റ്റുകൾ
ഒറ്റത്തവണ ടിഎച്ച്
ബി.ഡി.യു

പരീക്ഷണാത്മകം
ഫോറൻസിക്‌സിന്റെ അടിസ്ഥാന അറിവ്
IOC തിരയൽ
നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്നുള്ള ഡാറ്റയുടെ ഭാഗിക കവറേജ്

TH ഉപയോഗിച്ചുള്ള പരീക്ഷണങ്ങൾ
നെറ്റ്‌വർക്കുകളെക്കുറിച്ചും ആപ്ലിക്കേഷനുകളെക്കുറിച്ചും നല്ല അറിവ്

ഭാഗിക അപേക്ഷ

ലെവൽ 2
താൽക്കാലിക തൊഴിൽ
സ്പ്രിന്റുകൾ
ബി.ഡി.യു

ആനുകാലികം
ഫോറൻസിക്‌സിന്റെ ശരാശരി അറിവ്
ആഴ്ച മുതൽ മാസം വരെ
മുഴുവൻ അപേക്ഷ

താൽക്കാലിക ടി.എച്ച്
നെറ്റ്‌വർക്കുകളെയും ആപ്ലിക്കേഷനുകളെയും കുറിച്ചുള്ള മികച്ച അറിവ്
പതിവ് ടി.എച്ച്
EDR ഡാറ്റ ഉപയോഗത്തിന്റെ പൂർണ്ണ ഓട്ടോമേഷൻ

വിപുലമായ EDR കഴിവുകളുടെ ഭാഗിക ഉപയോഗം

ലെവൽ 3
സമർപ്പിത TH കമാൻഡ്
24/7
അനുമാനങ്ങൾ പരിശോധിക്കാനുള്ള ഭാഗിക കഴിവ് TH

പ്രിവന്റീവ്
ഫോറൻസിക്‌സ്, മാൽവെയറുകൾ എന്നിവയെ കുറിച്ചുള്ള മികച്ച അറിവ്
പ്രിവന്റീവ് ടിഎച്ച്
വിപുലമായ EDR കഴിവുകളുടെ പൂർണ്ണ ഉപയോഗം

പ്രത്യേക കേസുകൾ ടി.എച്ച്
ആക്രമണ വശത്തെക്കുറിച്ച് മികച്ച അറിവ്
പ്രത്യേക കേസുകൾ ടി.എച്ച്
നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്നുള്ള ഡാറ്റയുടെ പൂർണ്ണ കവറേജ്

നിങ്ങളുടെ ആവശ്യങ്ങൾക്ക് അനുയോജ്യമായ കോൺഫിഗറേഷൻ

ലെവൽ 4
സമർപ്പിത TH കമാൻഡ്
24/7
TH അനുമാനങ്ങൾ പരീക്ഷിക്കുന്നതിനുള്ള പൂർണ്ണ കഴിവ്

നയിക്കുന്നത്
ഫോറൻസിക്‌സ്, മാൽവെയറുകൾ എന്നിവയെ കുറിച്ചുള്ള മികച്ച അറിവ്
പ്രിവന്റീവ് ടിഎച്ച്
ലെവൽ 3, പ്ലസ്:

ടിഎച്ച് ഉപയോഗിക്കുന്നു
ആക്രമണ വശത്തെക്കുറിച്ച് മികച്ച അറിവ്
പരികല്പനകളുടെ പരിശോധന, ഓട്ടോമേഷൻ, സ്ഥിരീകരണം TH
ഡാറ്റ ഉറവിടങ്ങളുടെ കർശനമായ സംയോജനം;

ഗവേഷണ കഴിവ്

ആവശ്യങ്ങൾക്കനുസരിച്ചുള്ള വികസനവും API-യുടെ നിലവാരമില്ലാത്ത ഉപയോഗവും.

ആളുകൾ, പ്രക്രിയകൾ, സാങ്കേതികവിദ്യകൾ എന്നിവ പ്രകാരം TH മെച്യൂരിറ്റി ലെവലുകൾ

നില 0: പരമ്പരാഗത, TH ഉപയോഗിക്കാതെ. സ്റ്റാൻഡേർഡ് ടൂളുകളും സാങ്കേതികവിദ്യകളും ഉപയോഗിച്ച് പാസീവ് മോണിറ്ററിംഗ് മോഡിൽ സാധാരണ അനലിസ്റ്റുകൾ ഒരു സ്റ്റാൻഡേർഡ് അലേർട്ടുകൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നു: IDS, AV, sandbox, സിഗ്നേച്ചർ അനാലിസിസ് ടൂളുകൾ.

നില 1: പരീക്ഷണാത്മക, TH ഉപയോഗിച്ച്. ഫോറൻസിക്‌സിൽ അടിസ്ഥാന അറിവും നെറ്റ്‌വർക്കുകളെക്കുറിച്ചും ആപ്ലിക്കേഷനുകളെക്കുറിച്ചും നല്ല അറിവുള്ള അതേ വിശകലന വിദഗ്ധർക്ക് വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങൾക്കായി തിരയുന്നതിലൂടെ ഒറ്റത്തവണ ഭീഷണി വേട്ട നടത്താനാകും. നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്നുള്ള ഡാറ്റയുടെ ഭാഗിക കവറേജ് ഉള്ള ടൂളുകളിലേക്ക് EDR-കൾ ചേർക്കുന്നു. ഉപകരണങ്ങൾ ഭാഗികമായി ഉപയോഗിക്കുന്നു.

നില 2: ആനുകാലിക, താൽക്കാലിക TH. ഫോറൻസിക്‌സ്, നെറ്റ്‌വർക്കുകൾ, ആപ്ലിക്കേഷൻ ഭാഗം എന്നിവയിൽ തങ്ങളുടെ അറിവ് ഇതിനകം അപ്‌ഗ്രേഡ് ചെയ്‌ത അതേ വിശകലന വിദഗ്ധർ, മാസത്തിൽ ഒരു ആഴ്‌ചയിൽ പതിവായി ത്രെറ്റ് ഹണ്ടിംഗിൽ (സ്പ്രിന്റ്) ഏർപ്പെടേണ്ടതുണ്ട്. ടൂളുകൾ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്നുള്ള ഡാറ്റയുടെ പൂർണ്ണമായ പര്യവേക്ഷണം, EDR-ൽ നിന്നുള്ള ഡാറ്റ വിശകലനത്തിന്റെ ഓട്ടോമേഷൻ, വിപുലമായ EDR കഴിവുകളുടെ ഭാഗിക ഉപയോഗം എന്നിവ ചേർക്കുന്നു.

നില 3: പ്രതിരോധ, TH ന്റെ പതിവ് കേസുകൾ. ഞങ്ങളുടെ വിശകലന വിദഗ്ധർ സ്വയം ഒരു സമർപ്പിത ടീമായി സംഘടിപ്പിക്കുകയും ഫോറൻസിക്‌സ്, ക്ഷുദ്രവെയറുകൾ എന്നിവയെക്കുറിച്ച് മികച്ച അറിവും ആക്രമണ വശത്തിന്റെ രീതികളെയും തന്ത്രങ്ങളെയും കുറിച്ചുള്ള അറിവും നേടാൻ തുടങ്ങി. പ്രക്രിയ ഇതിനകം 24/7 നടപ്പിലാക്കുന്നു. നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളിൽ നിന്നുള്ള ഡാറ്റയുടെ പൂർണ്ണമായ കവറേജിനൊപ്പം EDR-ന്റെ വിപുലമായ കഴിവുകൾ പൂർണ്ണമായി പ്രയോജനപ്പെടുത്തുമ്പോൾ TH അനുമാനങ്ങൾ ഭാഗികമായി പരിശോധിക്കാൻ ടീമിന് കഴിയും. അനലിസ്റ്റുകൾക്ക് അവരുടെ ആവശ്യങ്ങൾക്ക് അനുയോജ്യമായ ഉപകരണങ്ങൾ ക്രമീകരിക്കാനും കഴിയും.

നില 4: ഉയർന്ന നിലവാരം, TH ഉപയോഗിക്കുക. അതേ ടീം ഗവേഷണം ചെയ്യാനുള്ള കഴിവ്, TH അനുമാനങ്ങൾ പരീക്ഷിക്കുന്ന പ്രക്രിയ ജനറേറ്റ് ചെയ്യാനും യാന്ത്രികമാക്കാനുമുള്ള കഴിവ് നേടി. ഡാറ്റ ഉറവിടങ്ങളുടെ അടുത്ത സംയോജനം, ആവശ്യങ്ങൾ നിറവേറ്റുന്നതിനുള്ള സോഫ്‌റ്റ്‌വെയർ വികസനം, API-കളുടെ നിലവാരമില്ലാത്ത ഉപയോഗം എന്നിവയാൽ ഇപ്പോൾ ടൂളുകൾ അനുബന്ധമായി ലഭിച്ചിരിക്കുന്നു.

ഭീഷണി വേട്ട ടെക്നിക്കുകൾ

അടിസ്ഥാന ഭീഷണി വേട്ട ടെക്നിക്കുകൾ

К സാങ്കേതിക വിദഗ്ധർ TH, ഉപയോഗിച്ച സാങ്കേതികവിദ്യയുടെ പക്വതയുടെ ക്രമത്തിൽ, ഇവയാണ്: അടിസ്ഥാന തിരയൽ, സ്റ്റാറ്റിസ്റ്റിക്കൽ വിശകലനം, ദൃശ്യവൽക്കരണ ടെക്നിക്കുകൾ, ലളിതമായ സംയോജനങ്ങൾ, മെഷീൻ ലേണിംഗ്, ബയേസിയൻ രീതികൾ.

ഏറ്റവും ലളിതമായ രീതി, ഒരു അടിസ്ഥാന തിരയൽ, നിർദ്ദിഷ്ട അന്വേഷണങ്ങൾ ഉപയോഗിച്ച് ഗവേഷണ മേഖലയെ ചുരുക്കാൻ ഉപയോഗിക്കുന്നു. സ്റ്റാറ്റിസ്റ്റിക്കൽ വിശകലനം ഉപയോഗിക്കുന്നു, ഉദാഹരണത്തിന്, ഒരു സ്റ്റാറ്റിസ്റ്റിക്കൽ മോഡലിന്റെ രൂപത്തിൽ സാധാരണ ഉപയോക്താവിനെയോ നെറ്റ്‌വർക്ക് പ്രവർത്തനത്തെയോ നിർമ്മിക്കാൻ. ഗ്രാഫുകളുടെയും ചാർട്ടുകളുടെയും രൂപത്തിൽ ഡാറ്റയുടെ വിശകലനം ദൃശ്യപരമായി പ്രദർശിപ്പിക്കുന്നതിനും ലളിതമാക്കുന്നതിനും വിഷ്വലൈസേഷൻ ടെക്നിക്കുകൾ ഉപയോഗിക്കുന്നു, ഇത് സാമ്പിളിലെ പാറ്റേണുകൾ തിരിച്ചറിയുന്നത് വളരെ എളുപ്പമാക്കുന്നു. തിരയലും വിശകലനവും ഒപ്റ്റിമൈസ് ചെയ്യുന്നതിന് കീ ഫീൽഡുകൾ വഴിയുള്ള ലളിതമായ അഗ്രഗേഷനുകളുടെ സാങ്കേതികത ഉപയോഗിക്കുന്നു. ഒരു ഓർഗനൈസേഷന്റെ TH പ്രക്രിയ എത്രത്തോളം പക്വത പ്രാപിക്കുന്നുവോ അത്രത്തോളം മെഷീൻ ലേണിംഗ് അൽഗോരിതങ്ങളുടെ ഉപയോഗം കൂടുതൽ പ്രസക്തമാകും. സ്പാം ഫിൽട്ടർ ചെയ്യുന്നതിനും ക്ഷുദ്രകരമായ ട്രാഫിക് കണ്ടെത്തുന്നതിനും വഞ്ചനാപരമായ പ്രവർത്തനങ്ങൾ കണ്ടെത്തുന്നതിനും അവ വ്യാപകമായി ഉപയോഗിക്കുന്നു. കൂടുതൽ വിപുലമായ മെഷീൻ ലേണിംഗ് അൽഗോരിതം ആണ് ബയേസിയൻ രീതികൾ, ഇത് വർഗ്ഗീകരണം, സാമ്പിൾ വലുപ്പം കുറയ്ക്കൽ, വിഷയ മോഡലിംഗ് എന്നിവ അനുവദിക്കുന്നു.

ഡയമണ്ട് മോഡലും ടിഎച്ച് തന്ത്രങ്ങളും

സെർജിയോ കാൽറ്റഗിറോൺ, ആൻഡ്രൂ പെൻഡെഗാസ്റ്റ്, ക്രിസ്റ്റഫർ ബെറ്റ്സ് എന്നിവർ അവരുടെ സൃഷ്ടിയിൽ "നുഴഞ്ഞുകയറ്റ വിശകലനത്തിന്റെ ഡയമണ്ട് മോഡൽ» ഏതെങ്കിലും ക്ഷുദ്ര പ്രവർത്തനത്തിന്റെ പ്രധാന ഘടകങ്ങളും അവ തമ്മിലുള്ള അടിസ്ഥാന ബന്ധവും കാണിച്ചു.

ക്ഷുദ്ര പ്രവർത്തനത്തിനുള്ള ഡയമണ്ട് മോഡൽ

ഈ മാതൃക അനുസരിച്ച്, 4 ഭീഷണി വേട്ട തന്ത്രങ്ങൾ ഉണ്ട്, അവ അനുബന്ധ പ്രധാന ഘടകങ്ങളെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്.

1. ഇരയെ അടിസ്ഥാനമാക്കിയുള്ള തന്ത്രം. ഇരയ്ക്ക് എതിരാളികൾ ഉണ്ടെന്നും അവർ ഇമെയിൽ വഴി "അവസരങ്ങൾ" നൽകുമെന്നും ഞങ്ങൾ അനുമാനിക്കുന്നു. ഞങ്ങൾ മെയിലിൽ ശത്രു ഡാറ്റ തിരയുകയാണ്. ലിങ്കുകൾ, അറ്റാച്ച്‌മെന്റുകൾ മുതലായവയ്ക്കായി തിരയുക. ഒരു നിശ്ചിത സമയത്തേക്ക് (ഒരു മാസം, രണ്ടാഴ്ച) ഈ സിദ്ധാന്തത്തിന്റെ സ്ഥിരീകരണത്തിനായി ഞങ്ങൾ തിരയുന്നു; ഞങ്ങൾ അത് കണ്ടെത്തിയില്ലെങ്കിൽ, സിദ്ധാന്തം പ്രവർത്തിച്ചില്ല.

2. ഇൻഫ്രാസ്ട്രക്ചർ അധിഷ്ഠിത തന്ത്രം. ഈ തന്ത്രം ഉപയോഗിക്കുന്നതിന് നിരവധി മാർഗങ്ങളുണ്ട്. പ്രവേശനവും ദൃശ്യപരതയും അനുസരിച്ച്, ചിലത് മറ്റുള്ളവയേക്കാൾ എളുപ്പമാണ്. ഉദാഹരണത്തിന്, ക്ഷുദ്ര ഡൊമെയ്‌നുകൾ ഹോസ്റ്റുചെയ്യുന്ന ഡൊമെയ്‌ൻ നെയിം സെർവറുകൾ ഞങ്ങൾ നിരീക്ഷിക്കുന്നു. അല്ലെങ്കിൽ ഒരു എതിരാളി ഉപയോഗിക്കുന്ന അറിയപ്പെടുന്ന പാറ്റേണിനായുള്ള എല്ലാ പുതിയ ഡൊമെയ്ൻ നാമ രജിസ്ട്രേഷനുകളും നിരീക്ഷിക്കുന്ന പ്രക്രിയയിലൂടെ ഞങ്ങൾ കടന്നുപോകുന്നു.

3. കഴിവ് അടിസ്ഥാനമാക്കിയുള്ള തന്ത്രം. മിക്ക നെറ്റ്‌വർക്ക് ഡിഫൻഡർമാരും ഉപയോഗിക്കുന്ന ഇരയെ കേന്ദ്രീകരിച്ചുള്ള തന്ത്രത്തിന് പുറമേ, അവസര കേന്ദ്രീകൃത തന്ത്രമുണ്ട്. ഇത് ഏറ്റവും ജനപ്രിയമായ രണ്ടാമത്തെതും എതിരാളിയിൽ നിന്നുള്ള കഴിവുകൾ കണ്ടെത്തുന്നതിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു, അതായത് "ക്ഷുദ്രവെയർ", കൂടാതെ psexec, powershell, certutil എന്നിവയും മറ്റുള്ളവയും പോലുള്ള നിയമാനുസൃത ഉപകരണങ്ങൾ ഉപയോഗിക്കാനുള്ള എതിരാളിയുടെ കഴിവ്.

4. ശത്രു-അധിഷ്ഠിത തന്ത്രം. എതിരാളിയെ കേന്ദ്രീകരിച്ചുള്ള സമീപനം എതിരാളിയിൽ തന്നെ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു. പൊതുവായി ലഭ്യമായ ഉറവിടങ്ങളിൽ നിന്നുള്ള തുറന്ന വിവരങ്ങളുടെ ഉപയോഗം (OSINT), ശത്രുവിനെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ ശേഖരണം, അവന്റെ സാങ്കേതികതകളും രീതികളും (TTP), മുൻ സംഭവങ്ങളുടെ വിശകലനം, ത്രെറ്റ് ഇന്റലിജൻസ് ഡാറ്റ മുതലായവ ഇതിൽ ഉൾപ്പെടുന്നു.

TH ലെ വിവരങ്ങളുടെയും അനുമാനങ്ങളുടെയും ഉറവിടങ്ങൾ

ഭീഷണി വേട്ടയ്ക്കുള്ള ചില വിവര ഉറവിടങ്ങൾ

വിവരങ്ങളുടെ നിരവധി ഉറവിടങ്ങൾ ഉണ്ടാകാം. ഒരു അനുയോജ്യമായ വിശകലന വിദഗ്ധന് ചുറ്റുമുള്ള എല്ലാത്തിൽ നിന്നും വിവരങ്ങൾ വേർതിരിച്ചെടുക്കാൻ കഴിയണം. മിക്കവാറും എല്ലാ ഇൻഫ്രാസ്ട്രക്ചറുകളിലെയും സാധാരണ ഉറവിടങ്ങൾ സുരക്ഷാ ഉപകരണങ്ങളിൽ നിന്നുള്ള ഡാറ്റയായിരിക്കും: DLP, SIEM, IDS/IPS, WAF/FW, EDR. കൂടാതെ, സാധാരണ വിവര സ്രോതസ്സുകൾ വിട്ടുവീഴ്ചയുടെ വിവിധ സൂചകങ്ങൾ, ഭീഷണി ഇന്റലിജൻസ് സേവനങ്ങൾ, CERT, OSINT ഡാറ്റ എന്നിവയായിരിക്കും. കൂടാതെ, നിങ്ങൾക്ക് ഡാർക്ക്നെറ്റിൽ നിന്നുള്ള വിവരങ്ങൾ ഉപയോഗിക്കാം (ഉദാഹരണത്തിന്, പെട്ടെന്ന് ഒരു ഓർഗനൈസേഷന്റെ തലവന്റെ മെയിൽബോക്സ് ഹാക്ക് ചെയ്യാൻ ഒരു ഓർഡർ ഉണ്ട്, അല്ലെങ്കിൽ ഒരു നെറ്റ്‌വർക്ക് എഞ്ചിനീയറുടെ സ്ഥാനത്തേക്ക് ഒരു സ്ഥാനാർത്ഥി അവന്റെ പ്രവർത്തനത്തിന് വിധേയനായി), നിന്ന് ലഭിച്ച വിവരങ്ങൾ എച്ച്ആർ (മുമ്പത്തെ ജോലിസ്ഥലത്ത് നിന്നുള്ള സ്ഥാനാർത്ഥിയുടെ അവലോകനങ്ങൾ), സുരക്ഷാ സേവനത്തിൽ നിന്നുള്ള വിവരങ്ങൾ (ഉദാഹരണത്തിന്, കൌണ്ടർപാർട്ടിയുടെ സ്ഥിരീകരണ ഫലങ്ങൾ).

എന്നാൽ ലഭ്യമായ എല്ലാ ഉറവിടങ്ങളും ഉപയോഗിക്കുന്നതിന് മുമ്പ്, കുറഞ്ഞത് ഒരു സിദ്ധാന്തമെങ്കിലും ഉണ്ടായിരിക്കേണ്ടത് ആവശ്യമാണ്.

ഉറവിടം

അനുമാനങ്ങൾ പരീക്ഷിക്കുന്നതിന്, അവ ആദ്യം മുന്നോട്ട് വയ്ക്കണം. ഉയർന്ന നിലവാരമുള്ള നിരവധി അനുമാനങ്ങൾ മുന്നോട്ട് വയ്ക്കുന്നതിന്, ചിട്ടയായ ഒരു സമീപനം പ്രയോഗിക്കേണ്ടത് ആവശ്യമാണ്. അനുമാനങ്ങൾ സൃഷ്ടിക്കുന്ന പ്രക്രിയ കൂടുതൽ വിശദമായി വിവരിച്ചിരിക്കുന്നു ലേഖനം, അനുമാനങ്ങൾ മുന്നോട്ട് വയ്ക്കുന്ന പ്രക്രിയയുടെ അടിസ്ഥാനമായി ഈ സ്കീം എടുക്കുന്നത് വളരെ സൗകര്യപ്രദമാണ്.

അനുമാനങ്ങളുടെ പ്രധാന ഉറവിടം ആയിരിക്കും ATT&CK മാട്രിക്സ് (എതിർ തന്ത്രങ്ങൾ, സാങ്കേതിക വിദ്യകൾ, പൊതുവിജ്ഞാനം). സാരാംശത്തിൽ, ആക്രമണത്തിന്റെ അവസാന ഘട്ടങ്ങളിൽ അവരുടെ പ്രവർത്തനങ്ങൾ നടത്തുന്ന ആക്രമണകാരികളുടെ പെരുമാറ്റം വിലയിരുത്തുന്നതിനുള്ള ഒരു വിജ്ഞാന അടിത്തറയും മാതൃകയുമാണ്, സാധാരണയായി കിൽ ചെയിൻ എന്ന ആശയം ഉപയോഗിച്ച് വിവരിക്കുന്നു. അതായത്, ഒരു എന്റർപ്രൈസസിന്റെ ആന്തരിക നെറ്റ്‌വർക്കിലേക്കോ ഒരു മൊബൈൽ ഉപകരണത്തിലേക്കോ ആക്രമണകാരി നുഴഞ്ഞുകയറിയ ശേഷമുള്ള ഘട്ടങ്ങളിൽ. ആക്രമണത്തിൽ ഉപയോഗിക്കുന്ന 121 തന്ത്രങ്ങളുടെയും സാങ്കേതികതകളുടെയും വിവരണങ്ങൾ വിജ്ഞാന അടിത്തറയിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്, അവ ഓരോന്നും വിക്കി ഫോർമാറ്റിൽ വിശദമായി വിവരിച്ചിരിക്കുന്നു. വിവിധ ത്രെറ്റ് ഇന്റലിജൻസ് അനലിറ്റിക്‌സ് അനുമാനങ്ങൾ സൃഷ്ടിക്കുന്നതിനുള്ള ഒരു ഉറവിടമായി നന്നായി യോജിക്കുന്നു. ഇൻഫ്രാസ്ട്രക്ചർ വിശകലനത്തിന്റെയും നുഴഞ്ഞുകയറ്റ പരിശോധനകളുടെയും ഫലങ്ങളാണ് പ്രത്യേകം ശ്രദ്ധിക്കേണ്ടത് - ഒരു പ്രത്യേക ഇൻഫ്രാസ്ട്രക്ചറിനെ അതിന്റെ പ്രത്യേക പോരായ്മകളോടെ അടിസ്ഥാനമാക്കിയുള്ളതിനാൽ നമുക്ക് ഇരുമ്പ് പൊതിഞ്ഞ അനുമാനങ്ങൾ നൽകാൻ കഴിയുന്ന ഏറ്റവും മൂല്യവത്തായ ഡാറ്റയാണിത്.

അനുമാന പരിശോധന പ്രക്രിയ

സെർജി സോൾഡാറ്റോവ് കൊണ്ടുവന്നു നല്ല ഡയഗ്രം പ്രക്രിയയുടെ വിശദമായ വിവരണത്തോടെ, ഒരൊറ്റ സിസ്റ്റത്തിൽ TH അനുമാനങ്ങൾ പരീക്ഷിക്കുന്ന പ്രക്രിയയെ ഇത് ചിത്രീകരിക്കുന്നു. പ്രധാന ഘട്ടങ്ങൾ ഒരു ഹ്രസ്വ വിവരണത്തോടെ ഞാൻ സൂചിപ്പിക്കും.

ഉറവിടം

ഘട്ടം 1: TI ഫാം

ഈ ഘട്ടത്തിൽ ഹൈലൈറ്റ് ചെയ്യേണ്ടത് ആവശ്യമാണ് വസ്തുക്കൾ (എല്ലാ ഭീഷണി ഡാറ്റകളോടും കൂടി അവയെ വിശകലനം ചെയ്തുകൊണ്ട്) അവയുടെ സ്വഭാവസവിശേഷതകൾക്കായി ലേബലുകൾ നൽകുകയും ചെയ്യുന്നു. ഇവ ഫയൽ, URL, MD5, പ്രോസസ്സ്, യൂട്ടിലിറ്റി, ഇവന്റ് എന്നിവയാണ്. ത്രെറ്റ് ഇന്റലിജൻസ് സംവിധാനങ്ങളിലൂടെ കടന്നുപോകുമ്പോൾ, ടാഗുകൾ അറ്റാച്ചുചെയ്യേണ്ടത് ആവശ്യമാണ്. അതായത്, അത്തരം ഒരു വർഷത്തിനുള്ളിൽ ഈ സൈറ്റ് CNC-യിൽ ശ്രദ്ധിക്കപ്പെട്ടു, ഈ MD5 അത്തരം മാൽവെയറുകളുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു, ക്ഷുദ്രവെയർ വിതരണം ചെയ്യുന്ന ഒരു സൈറ്റിൽ നിന്നാണ് ഈ MD5 ഡൗൺലോഡ് ചെയ്തത്.

ഘട്ടം 2: കേസുകൾ

രണ്ടാം ഘട്ടത്തിൽ, ഈ വസ്തുക്കൾ തമ്മിലുള്ള പ്രതിപ്രവർത്തനം ഞങ്ങൾ നോക്കുകയും ഈ എല്ലാ വസ്തുക്കളും തമ്മിലുള്ള ബന്ധം തിരിച്ചറിയുകയും ചെയ്യുന്നു. മോശമായ എന്തെങ്കിലും ചെയ്യുന്ന അടയാളപ്പെടുത്തിയ സംവിധാനങ്ങൾ നമുക്ക് ലഭിക്കുന്നു.

ഘട്ടം 3: അനലിസ്റ്റ്

മൂന്നാം ഘട്ടത്തിൽ, വിശകലനത്തിൽ വിപുലമായ അനുഭവപരിചയമുള്ള പരിചയസമ്പന്നനായ ഒരു അനലിസ്റ്റിലേക്ക് കേസ് മാറ്റുകയും അദ്ദേഹം വിധി പറയുകയും ചെയ്യുന്നു. ഈ കോഡ് എന്താണ്, എവിടെ, എങ്ങനെ, എന്തുകൊണ്ട്, എന്തുകൊണ്ട് എന്ന് അദ്ദേഹം ബൈറ്റുകളിലേക്ക് വിശകലനം ചെയ്യുന്നു. ഈ ബോഡി ക്ഷുദ്രവെയർ ആയിരുന്നു, ഈ കമ്പ്യൂട്ടറിൽ അണുബാധയുണ്ടായി. വസ്തുക്കൾ തമ്മിലുള്ള കണക്ഷനുകൾ വെളിപ്പെടുത്തുന്നു, സാൻഡ്ബോക്സിലൂടെ പ്രവർത്തിപ്പിക്കുന്നതിന്റെ ഫലങ്ങൾ പരിശോധിക്കുന്നു.

അനലിസ്റ്റിന്റെ ജോലിയുടെ ഫലങ്ങൾ കൂടുതൽ കൈമാറുന്നു. ഡിജിറ്റൽ ഫോറൻസിക്‌സ് ചിത്രങ്ങൾ പരിശോധിക്കുന്നു, മാൽവെയർ അനാലിസിസ് കണ്ടെത്തിയ "ബോഡികൾ" പരിശോധിക്കുന്നു, സംഭവ പ്രതികരണ സംഘത്തിന് സൈറ്റിൽ പോയി ഇതിനകം അവിടെ എന്തെങ്കിലും അന്വേഷിക്കാനാകും. സൃഷ്ടിയുടെ ഫലം സ്ഥിരീകരിക്കപ്പെട്ട ഒരു സിദ്ധാന്തവും തിരിച്ചറിഞ്ഞ ആക്രമണവും അതിനെ പ്രതിരോധിക്കാനുള്ള വഴികളും ആയിരിക്കും.

ഉറവിടം
 

ഫലങ്ങൾ

ഇഷ്‌ടാനുസൃതമാക്കിയതും പുതിയതും നിലവാരമില്ലാത്തതുമായ ഭീഷണികളെ ഫലപ്രദമായി പ്രതിരോധിക്കാൻ കഴിയുന്ന ഒരു യുവ സാങ്കേതികവിദ്യയാണ് ത്രെറ്റ് ഹണ്ടിംഗ്, അത്തരം ഭീഷണികളുടെ വർദ്ധിച്ചുവരുന്ന എണ്ണവും കോർപ്പറേറ്റ് ഇൻഫ്രാസ്ട്രക്ചറിന്റെ വർദ്ധിച്ചുവരുന്ന സങ്കീർണ്ണതയും കണക്കിലെടുക്കുമ്പോൾ ഇതിന് വലിയ സാധ്യതകളുണ്ട്. ഇതിന് മൂന്ന് ഘടകങ്ങൾ ആവശ്യമാണ് - ഡാറ്റ, ടൂളുകൾ, അനലിസ്റ്റുകൾ. ത്രെറ്റ് ഹണ്ടിംഗിന്റെ പ്രയോജനങ്ങൾ ഭീഷണികൾ നടപ്പിലാക്കുന്നത് തടയുന്നതിൽ മാത്രം ഒതുങ്ങുന്നില്ല. സെർച്ച് പ്രക്രിയയിൽ ഒരു സുരക്ഷാ വിശകലന വിദഗ്ധന്റെ കണ്ണിലൂടെ നമ്മുടെ ഇൻഫ്രാസ്ട്രക്ചറുകളിലേക്കും അതിന്റെ ദുർബലമായ പോയിന്റുകളിലേക്കും ഞങ്ങൾ ഊളിയിട്ടുവെന്നും ഈ പോയിന്റുകൾ കൂടുതൽ ശക്തിപ്പെടുത്താമെന്നും മറക്കരുത്.

ഞങ്ങളുടെ അഭിപ്രായത്തിൽ, നിങ്ങളുടെ ഓർഗനൈസേഷനിൽ TH പ്രോസസ്സ് ആരംഭിക്കുന്നതിന് സ്വീകരിക്കേണ്ട ആദ്യ ഘട്ടങ്ങൾ.

1. എൻഡ് പോയിന്റുകളും നെറ്റ്‌വർക്ക് ഇൻഫ്രാസ്ട്രക്ചറും സംരക്ഷിക്കുന്നതിൽ ശ്രദ്ധിക്കുക. നിങ്ങളുടെ നെറ്റ്‌വർക്കിലെ എല്ലാ പ്രക്രിയകളുടെയും ദൃശ്യപരതയും (NetFlow) നിയന്ത്രണവും (ഫയർവാൾ, IDS, IPS, DLP) ശ്രദ്ധിക്കുക. എഡ്ജ് റൂട്ടർ മുതൽ അവസാനത്തെ ഹോസ്റ്റ് വരെയുള്ള നിങ്ങളുടെ നെറ്റ്‌വർക്ക് അറിയുക.
2. പര്യവേക്ഷണം ചെയ്യുക MITER ATT&CK.
3. കുറഞ്ഞത് പ്രധാന ബാഹ്യ വിഭവങ്ങളുടെ പതിവ് പെന്റസ്റ്റുകൾ നടത്തുക, അതിന്റെ ഫലങ്ങൾ വിശകലനം ചെയ്യുക, ആക്രമണത്തിനുള്ള പ്രധാന ലക്ഷ്യങ്ങൾ തിരിച്ചറിയുക, അവരുടെ കേടുപാടുകൾ അടയ്ക്കുക.
4. ഒരു ഓപ്പൺ സോഴ്‌സ് ത്രെറ്റ് ഇന്റലിജൻസ് സിസ്റ്റം (ഉദാഹരണത്തിന്, MISP, Yeti) നടപ്പിലാക്കുകയും അതിനോട് ചേർന്ന് ലോഗുകൾ വിശകലനം ചെയ്യുകയും ചെയ്യുക.
5. ഒരു സംഭവ പ്രതികരണ പ്ലാറ്റ്ഫോം (IRP) നടപ്പിലാക്കുക: R-Vision IRP, The Hive, സംശയാസ്പദമായ ഫയലുകൾ വിശകലനം ചെയ്യുന്നതിനുള്ള സാൻഡ്ബോക്സ് (FortiSandbox, Cuckoo).
6. പതിവ് പ്രക്രിയകൾ ഓട്ടോമേറ്റ് ചെയ്യുക. ലോഗുകളുടെ വിശകലനം, സംഭവങ്ങളുടെ റെക്കോർഡിംഗ്, ജീവനക്കാരെ അറിയിക്കൽ എന്നിവ ഓട്ടോമേഷന്റെ ഒരു വലിയ മേഖലയാണ്.
7. സംഭവങ്ങളിൽ സഹകരിക്കുന്നതിന് എഞ്ചിനീയർമാർ, ഡവലപ്പർമാർ, സാങ്കേതിക പിന്തുണ എന്നിവരുമായി ഫലപ്രദമായി സംവദിക്കാൻ പഠിക്കുക.
8. പിന്നീട് അവരിലേക്ക് മടങ്ങുന്നതിനോ സഹപ്രവർത്തകരുമായി ഈ ഡാറ്റ പങ്കിടുന്നതിനോ വേണ്ടി മുഴുവൻ പ്രക്രിയയും, പ്രധാന പോയിന്റുകളും, നേടിയ ഫലങ്ങളും രേഖപ്പെടുത്തുക;
9. സാമൂഹികമായിരിക്കുക: നിങ്ങളുടെ ജീവനക്കാരുമായി എന്താണ് സംഭവിക്കുന്നത്, നിങ്ങൾ ആരെയാണ് നിയമിക്കുന്നത്, ആർക്കൊക്കെ നിങ്ങൾ ഓർഗനൈസേഷന്റെ വിവര ഉറവിടങ്ങളിലേക്ക് ആക്സസ് നൽകുന്നു എന്നിവയെക്കുറിച്ച് അറിഞ്ഞിരിക്കുക.
10. പുതിയ ഭീഷണികളുടേയും സംരക്ഷണ രീതികളുടേയും മേഖലയിലെ ട്രെൻഡുകൾ അടുത്തറിയുക, നിങ്ങളുടെ സാങ്കേതിക സാക്ഷരതാ നിലവാരം വർദ്ധിപ്പിക്കുക (ഐടി സേവനങ്ങളുടെയും ഉപസിസ്റ്റങ്ങളുടെയും പ്രവർത്തനത്തിൽ ഉൾപ്പെടെ), കോൺഫറൻസുകളിൽ പങ്കെടുക്കുകയും സഹപ്രവർത്തകരുമായി ആശയവിനിമയം നടത്തുകയും ചെയ്യുക.

അഭിപ്രായങ്ങളിൽ TH പ്രക്രിയയുടെ ഓർഗനൈസേഷൻ ചർച്ച ചെയ്യാൻ തയ്യാറാണ്.

അല്ലെങ്കിൽ ഞങ്ങളോടൊപ്പം പ്രവർത്തിക്കാൻ വരൂ!

• ലീഡ് ഇൻഫർമേഷൻ സെക്യൂരിറ്റി കൺസൾട്ടന്റ്
• വിവര സുരക്ഷയ്ക്കുള്ള സിസ്റ്റം ആർക്കിടെക്റ്റ്
• ലീഡ് നെറ്റ്‌വർക്ക് സെക്യൂരിറ്റി എഞ്ചിനീയർ
• ലീഡ് ഇൻഫർമേഷൻ സെക്യൂരിറ്റി എഞ്ചിനീയർ (SIEM)
• ഇൻഫർമേഷൻ സെക്യൂരിറ്റി ആർക്കിടെക്റ്റ് (അപ്ലിക്കേഷൻ)

പഠിക്കാനുള്ള ഉറവിടങ്ങളും വസ്തുക്കളും

• ഭീഷണി.ഗുരു
• attack.mitre.org
• digital-forensics.sans.org
• resources.infosecinstitute.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• reply-to-all.blogspot.com
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

അവലംബം: www.habr.com