थ्रेट हंटिंग, किंवा 5% धोक्यांपासून स्वतःचे संरक्षण कसे करावे

95% माहिती सुरक्षा धोके ज्ञात आहेत, आणि तुम्ही अँटीव्हायरस, फायरवॉल, IDS, WAF सारख्या पारंपारिक माध्यमांचा वापर करून त्यांच्यापासून स्वतःचे संरक्षण करू शकता. उर्वरित 5% धमक्या अज्ञात आणि सर्वात धोकादायक आहेत. ते कंपनीसाठी 70% जोखीम बनवतात कारण त्यांना शोधणे खूप कठीण आहे, त्यांच्यापासून कमी संरक्षण. उदाहरणे "काळे हंस" WannaCry ransomware महामारी, NotPetya/ExPetr, क्रिप्टोमायनर्स, "सायबर शस्त्र" स्टक्सनेट (जे इराणच्या आण्विक सुविधांना मारतात) आणि इतर अनेक हल्ले (किडो/कॉन्फिकर आठवतात?) आहेत ज्यांचा शास्त्रीय सुरक्षा उपायांनी फारसा बचाव केला जात नाही. थ्रेट हंटिंग तंत्रज्ञानाचा वापर करून या 5% धोक्यांचा सामना कसा करायचा याबद्दल आम्हाला बोलायचे आहे.

सायबर हल्ल्यांच्या निरंतर उत्क्रांतीसाठी सतत शोध आणि प्रतिकाराची आवश्यकता असते, जे शेवटी आम्हाला हल्लेखोर आणि बचावकर्ते यांच्यातील अंतहीन शस्त्रास्त्रांच्या शर्यतीचा विचार करण्यास प्रवृत्त करते. क्लासिक सुरक्षा प्रणाली यापुढे सुरक्षिततेचा स्वीकार्य स्तर प्रदान करण्यास सक्षम नाहीत ज्यावर जोखमीच्या पातळीचा कंपनीच्या मुख्य निर्देशकांवर (आर्थिक, राजकीय, प्रतिष्ठा) विशिष्ट पायाभूत सुविधांमध्ये सुधारणा केल्याशिवाय परिणाम होत नाही, परंतु सर्वसाधारणपणे ते काही गोष्टी कव्हर करतात. जोखीम आधीच अंमलबजावणी आणि कॉन्फिगरेशनच्या प्रक्रियेत, आधुनिक सुरक्षा प्रणाली स्वतःला पकडण्याच्या भूमिकेत सापडतात आणि नवीन काळातील आव्हानांना प्रतिसाद देणे आवश्यक आहे.

स्त्रोत

थ्रेट हंटिंग तंत्रज्ञान हे माहिती सुरक्षा तज्ञासाठी आमच्या काळातील आव्हानांचे एक उत्तर असू शकते. थ्रेट हंटिंग (यापुढे TH म्हणून संदर्भित) हा शब्द अनेक वर्षांपूर्वी दिसला. तंत्रज्ञान स्वतःच खूप मनोरंजक आहे, परंतु अद्याप कोणतेही सामान्यतः स्वीकारलेले मानक आणि नियम नाहीत. या विषयावरील माहितीच्या स्त्रोतांच्या विषमतेमुळे आणि रशियन भाषेतील माहितीच्या कमी संख्येमुळे ही बाब गुंतागुंतीची आहे. या संदर्भात, आम्ही LANIT-Integration येथे या तंत्रज्ञानाचे पुनरावलोकन लिहिण्याचे ठरविले.

प्रासंगिकता

TH तंत्रज्ञान पायाभूत सुविधांच्या देखरेख प्रक्रियेवर अवलंबून आहे. अंतर्गत निरीक्षणासाठी दोन मुख्य परिस्थिती आहेत - इशारा आणि शिकार. अलर्टिंग (MSSP सेवांप्रमाणे) ही पूर्वी विकसित स्वाक्षरी आणि हल्ल्यांची चिन्हे शोधण्याची आणि त्यांना प्रतिसाद देण्याची पारंपारिक पद्धत आहे. ही परिस्थिती पारंपारिक स्वाक्षरी-आधारित संरक्षण साधनांद्वारे यशस्वीरित्या पार पाडली जाते. शिकार (MDR प्रकार सेवा) ही एक देखरेख पद्धत आहे जी "स्वाक्षरी आणि नियम कोठून येतात?" या प्रश्नाचे उत्तर देते. लपलेले किंवा पूर्वीचे अज्ञात संकेतक आणि आक्रमणाची चिन्हे यांचे विश्लेषण करून सहसंबंध नियम तयार करण्याची ही प्रक्रिया आहे. थ्रेट हंटिंग या प्रकारच्या निरीक्षणाचा संदर्भ देते.

केवळ दोन्ही प्रकारचे मॉनिटरिंग एकत्र केल्याने आम्हाला संरक्षण मिळते जे आदर्शाच्या जवळ आहे, परंतु अवशिष्ट धोक्याची एक विशिष्ट पातळी नेहमीच असते.

दोन प्रकारचे मॉनिटरिंग वापरून संरक्षण

आणि येथे TH (आणि संपूर्णपणे शिकार!) अधिकाधिक संबंधित का होईल:

धमक्या, उपाय, धोके. स्त्रोत

सर्व धोक्यांपैकी 95% आधीच चांगले अभ्यासलेले आहेत. यामध्ये स्पॅम, DDoS, व्हायरस, रूटकिट्स आणि इतर क्लासिक मालवेअर सारख्या प्रकारांचा समावेश आहे. समान क्लासिक सुरक्षा उपाय वापरून तुम्ही या धोक्यांपासून स्वतःचे संरक्षण करू शकता.

कोणत्याही प्रकल्पाच्या अंमलबजावणी दरम्यान 20% काम पूर्ण होण्यासाठी 80% वेळ लागतो, आणि उर्वरित 20% कामासाठी 80% वेळ लागतो. त्याचप्रमाणे, संपूर्ण धोक्याच्या लँडस्केपमध्ये, 5% नवीन धोक्यांचा 70% धोका कंपनीसाठी असेल. ज्या कंपनीमध्ये माहिती सुरक्षा व्यवस्थापन प्रक्रिया आयोजित केल्या जातात, आम्ही 30% ज्ञात धोक्यांच्या अंमलबजावणीच्या जोखमीच्या XNUMX% जोखीम एका मार्गाने किंवा दुसऱ्या मार्गाने (वायरलेस नेटवर्कला तत्त्वतः नकार देणे), स्वीकारणे (आवश्यक सुरक्षा उपायांची अंमलबजावणी करणे) किंवा स्थलांतरित करून व्यवस्थापित करू शकतो. (उदाहरणार्थ, इंटिग्रेटरच्या खांद्यावर) हा धोका. पासून स्वतःचे रक्षण करा शून्य दिवस असुरक्षा, APT हल्ले, फिशिंग, पुरवठा साखळी हल्ले, सायबर हेरगिरी आणि राष्ट्रीय ऑपरेशन्स, तसेच मोठ्या संख्येने इतर हल्ले आधीच खूप कठीण आहेत. या 5% धमक्यांचे परिणाम अधिक गंभीर असतील (बुहट्रॅप गटाकडून सरासरी 143 दशलक्ष बँक तोटा झाला आहे) स्पॅम किंवा व्हायरसच्या परिणामांपेक्षा, ज्यापासून अँटीव्हायरस सॉफ्टवेअर जतन करते.

जवळजवळ प्रत्येकाला 5% धमक्यांना सामोरे जावे लागते. आम्हाला अलीकडे एक ओपन-सोर्स सोल्यूशन स्थापित करावे लागले जे PEAR (PHP एक्स्टेंशन आणि ऍप्लिकेशन रेपॉजिटरी) रेपॉजिटरीमधील अनुप्रयोग वापरते. नाशपाती प्रतिष्ठापन द्वारे हा अनुप्रयोग स्थापित करण्याचा प्रयत्न अयशस्वी झाला कारण वेबसाइट अनुपलब्ध होते (आता त्यावर एक स्टब आहे), मला ते GitHub वरून स्थापित करावे लागले. आणि नुकतेच असे दिसून आले की PEAR बळी गेला पुरवठा साखळी हल्ले.

आपण अजूनही लक्षात ठेवू शकता CCleaner वापरून हल्ला, कर अहवाल कार्यक्रमासाठी अपडेट मॉड्यूलद्वारे NePetya ransomware ची महामारी MEDoc. धमक्या अधिकाधिक परिष्कृत होत आहेत, आणि तार्किक प्रश्न उद्भवतो - "आम्ही या 5% धमक्यांचा सामना कसा करू शकतो?"

थ्रेट हंटिंगची व्याख्या

तर, थ्रेट हंटिंग ही प्रगत आणि पुनरावृत्ती शोधण्याची प्रक्रिया आहे आणि प्रगत धोक्यांची ओळख आहे जी पारंपारिक सुरक्षा साधनांद्वारे शोधली जाऊ शकत नाही. प्रगत धोक्यांमध्ये, उदाहरणार्थ, APT सारखे हल्ले, 0-दिवस असुरक्षिततेवर हल्ले, भूमीपासून दूर राहणे इत्यादींचा समावेश होतो.

TH ही गृहीतके तपासण्याची प्रक्रिया आहे हे देखील आपण पुन्हा सांगू शकतो. ऑटोमेशनच्या घटकांसह ही मुख्यतः मॅन्युअल प्रक्रिया आहे, ज्यामध्ये विश्लेषक, त्याच्या ज्ञान आणि कौशल्यांवर अवलंबून राहून, विशिष्ट धोक्याच्या उपस्थितीबद्दल सुरुवातीला निर्धारित गृहीतकेशी संबंधित तडजोडीच्या चिन्हांच्या शोधात मोठ्या प्रमाणात माहिती शोधतो. माहिती स्त्रोतांची विविधता हे त्याचे वैशिष्ट्य आहे.

हे लक्षात घेतले पाहिजे की थ्रेट हंटिंग हे काही प्रकारचे सॉफ्टवेअर किंवा हार्डवेअर उत्पादन नाही. हे अलर्ट नाहीत जे काही उपायांमध्ये पाहिले जाऊ शकतात. ही IOC (आयडेंटिफायर्स ऑफ कॉम्प्रोमाइस) शोध प्रक्रिया नाही. आणि ही काही प्रकारची निष्क्रिय क्रियाकलाप नाही जी माहिती सुरक्षा विश्लेषकांच्या सहभागाशिवाय उद्भवते. थ्रेट हंटिंग ही पहिली आणि सर्वात महत्त्वाची प्रक्रिया आहे.

थ्रेट हंटिंगचे घटक

थ्रेट हंटिंगचे तीन मुख्य घटक: डेटा, तंत्रज्ञान, लोक.

डेटा (काय?), बिग डेटासह. सर्व प्रकारचे ट्रॅफिक फ्लो, मागील APT ची माहिती, विश्लेषणे, वापरकर्ता क्रियाकलापावरील डेटा, नेटवर्क डेटा, कर्मचाऱ्यांकडून माहिती, डार्कनेटवरील माहिती आणि बरेच काही.

तंत्रज्ञान (कसे?) या डेटावर प्रक्रिया करणे - मशीन लर्निंगसह या डेटावर प्रक्रिया करण्याचे सर्व संभाव्य मार्ग.

लोक (कोण?) - ज्यांना विविध हल्ल्यांचे विश्लेषण करण्याचा व्यापक अनुभव आहे, विकसित अंतर्ज्ञान आणि हल्ला शोधण्याची क्षमता आहे. सामान्यत: हे माहिती सुरक्षा विश्लेषक असतात ज्यांच्याकडे गृहीतके निर्माण करण्याची आणि त्यांच्यासाठी पुष्टीकरण शोधण्याची क्षमता असणे आवश्यक आहे. ते या प्रक्रियेतील मुख्य दुवा आहेत.

मॉडेल पॅरिस

ॲडम बेटमन वर्णन करते आदर्श TH प्रक्रियेसाठी पॅरिस मॉडेल. हे नाव फ्रान्समधील एका प्रसिद्ध खुणाला सूचित करते. हे मॉडेल दोन दिशेने पाहिले जाऊ शकते - वरून आणि खाली.

आम्ही तळापासून मॉडेलवर काम करत असताना, आम्हाला दुर्भावनापूर्ण क्रियाकलापांचे पुष्कळ पुरावे आढळतील. पुराव्याच्या प्रत्येक तुकड्यात आत्मविश्वास नावाचे एक माप असते - एक वैशिष्ट्य जे या पुराव्याचे वजन प्रतिबिंबित करते. "लोह" आहे, दुर्भावनापूर्ण क्रियाकलापांचा थेट पुरावा, ज्यानुसार आपण ताबडतोब पिरॅमिडच्या शीर्षस्थानी पोहोचू शकतो आणि अचूकपणे ज्ञात संसर्गाबद्दल वास्तविक इशारा तयार करू शकतो. आणि अप्रत्यक्ष पुरावे आहेत, ज्याची बेरीज आपल्याला पिरॅमिडच्या शीर्षस्थानी नेऊ शकते. नेहमीप्रमाणे, प्रत्यक्ष पुराव्यापेक्षा बरेच अप्रत्यक्ष पुरावे आहेत, ज्याचा अर्थ असा आहे की त्यांची क्रमवारी आणि विश्लेषण करणे आवश्यक आहे, अतिरिक्त संशोधन आयोजित केले जाणे आवश्यक आहे आणि हे स्वयंचलित करणे उचित आहे.

मॉडेल पॅरिस. स्त्रोत

मॉडेलचा वरचा भाग (1 आणि 2) ऑटोमेशन तंत्रज्ञान आणि विविध विश्लेषणांवर आधारित आहे आणि खालचा भाग (3 आणि 4) विशिष्ट पात्रता असलेल्या लोकांवर आधारित आहे जे प्रक्रिया व्यवस्थापित करतात. तुम्ही वरपासून खालपर्यंत जाणाऱ्या मॉडेलचा विचार करू शकता, जेथे निळ्या रंगाच्या वरच्या भागात आमच्याकडे पारंपारिक सुरक्षा साधने (अँटीव्हायरस, ईडीआर, फायरवॉल, स्वाक्षरी) कडून उच्च आत्मविश्वास आणि विश्वास असलेल्या अलर्ट आहेत आणि खाली निर्देशक आहेत ( IOC, URL, MD5 आणि इतर), ज्यांची निश्चितता कमी आहे आणि अतिरिक्त अभ्यास आवश्यक आहे. आणि सर्वात कमी आणि जाड पातळी (4) म्हणजे गृहितकांची निर्मिती, संरक्षणाच्या पारंपारिक साधनांच्या ऑपरेशनसाठी नवीन परिस्थिती निर्माण करणे. ही पातळी केवळ गृहितकांच्या निर्दिष्ट स्त्रोतांपुरती मर्यादित नाही. पातळी जितकी कमी असेल तितक्या अधिक आवश्यकता विश्लेषकाच्या पात्रतेवर ठेवल्या जातात.

हे अत्यंत महत्त्वाचे आहे की विश्लेषक केवळ पूर्वनिश्चित गृहितकांच्या मर्यादित संचाची चाचणी करत नाहीत, परंतु सतत नवीन गृहितके आणि त्यांच्या चाचणीसाठी पर्याय निर्माण करण्यासाठी कार्य करतात.

TH वापर परिपक्वता मॉडेल

आदर्श जगात, TH ही एक सतत चालणारी प्रक्रिया आहे. परंतु, कोणतेही आदर्श जग नसल्यामुळे, चला विश्लेषण करूया परिपक्वता मॉडेल आणि वापरलेल्या लोक, प्रक्रिया आणि तंत्रज्ञानाच्या दृष्टीने पद्धती. आदर्श गोलाकार TH च्या मॉडेलचा विचार करू. हे तंत्रज्ञान वापरण्याचे 5 स्तर आहेत. विश्लेषकांच्या एकाच संघाच्या उत्क्रांतीचे उदाहरण वापरून ते पाहू.

परिपक्वता पातळी
लोक
प्रक्रिया
तंत्रज्ञान

एक्सएनयूएमएक्स पातळी
SOC विश्लेषक
24/7
पारंपारिक वाद्ये:

पारंपारिक
सूचनांचा संच
निष्क्रीय निरीक्षण
IDS, AV, सँडबॉक्सिंग,

TH शिवाय
अलर्टसह कार्य करणे

स्वाक्षरी विश्लेषण साधने, थ्रेट इंटेलिजन्स डेटा.

एक्सएनयूएमएक्स पातळी
SOC विश्लेषक
एक वेळ TH
ईडीआर

प्रायोगिक
फॉरेन्सिकचे मूलभूत ज्ञान
IOC शोध
नेटवर्क उपकरणांवरील डेटाचे आंशिक कव्हरेज

TH सह प्रयोग
नेटवर्क आणि अनुप्रयोगांचे चांगले ज्ञान

आंशिक अर्ज

एक्सएनयूएमएक्स पातळी
तात्पुरता व्यवसाय
धावणे
ईडीआर

नियतकालिक
फॉरेन्सिकचे सरासरी ज्ञान
आठवडा ते महिना
पूर्ण अर्ज

तात्पुरती TH
नेटवर्क आणि अनुप्रयोगांचे उत्कृष्ट ज्ञान
नियमित TH
EDR डेटा वापराचे पूर्ण ऑटोमेशन

प्रगत EDR क्षमतांचा आंशिक वापर

एक्सएनयूएमएक्स पातळी
समर्पित TH आदेश
24/7
परिकल्पना तपासण्याची आंशिक क्षमता TH

प्रतिबंधात्मक
फॉरेन्सिक्स आणि मालवेअरचे उत्कृष्ट ज्ञान
प्रतिबंधात्मक TH
प्रगत EDR क्षमतांचा पूर्ण वापर

विशेष प्रकरणे TH
आक्रमणाच्या बाजूचे उत्कृष्ट ज्ञान
विशेष प्रकरणे TH
नेटवर्क उपकरणांवरील डेटाचे संपूर्ण कव्हरेज

तुमच्या गरजेनुसार कॉन्फिगरेशन

एक्सएनयूएमएक्स पातळी
समर्पित TH आदेश
24/7
TH गृहितकांची चाचणी घेण्याची पूर्ण क्षमता

अग्रगण्य
फॉरेन्सिक्स आणि मालवेअरचे उत्कृष्ट ज्ञान
प्रतिबंधात्मक TH
स्तर 3, अधिक:

TH वापरणे
आक्रमणाच्या बाजूचे उत्कृष्ट ज्ञान
चाचणी, ऑटोमेशन आणि गृहीतकांची पडताळणी TH
डेटा स्त्रोतांचे घट्ट एकत्रीकरण;

संशोधन क्षमता

गरजांनुसार विकास आणि API चा गैर-मानक वापर.

लोक, प्रक्रिया आणि तंत्रज्ञानाद्वारे TH परिपक्वता पातळी

पातळी 0: पारंपारिक, TH न वापरता. नियमित विश्लेषक मानक साधने आणि तंत्रज्ञान वापरून निष्क्रीय मॉनिटरिंग मोडमध्ये अलर्टच्या मानक संचासह कार्य करतात: IDS, AV, सँडबॉक्स, स्वाक्षरी विश्लेषण साधने.

पातळी 1: प्रायोगिक, TH वापरून. फॉरेन्सिकचे मूलभूत ज्ञान असलेले आणि नेटवर्क आणि ऍप्लिकेशन्सचे चांगले ज्ञान असलेले तेच विश्लेषक तडजोडीचे संकेतक शोधून एकवेळ धोक्याची शिकार करू शकतात. नेटवर्क उपकरणांमधील डेटाच्या आंशिक कव्हरेजसह साधनांमध्ये EDRs जोडले जातात. साधने अंशतः वापरली जातात.

पातळी 2: नियतकालिक, तात्पुरती TH. ज्या विश्लेषकांनी आधीच फॉरेन्सिक्स, नेटवर्क्स आणि ऍप्लिकेशनच्या भागामध्ये त्यांचे ज्ञान अपग्रेड केले आहे त्यांना नियमितपणे थ्रेट हंटिंग (स्प्रिंट) मध्ये गुंतणे आवश्यक आहे, म्हणा, महिन्यातून एक आठवडा. साधने नेटवर्क उपकरणांवरील डेटाचे संपूर्ण अन्वेषण, EDR वरून डेटा विश्लेषणाचे ऑटोमेशन आणि प्रगत EDR क्षमतांचा आंशिक वापर जोडतात.

पातळी 3: प्रतिबंधात्मक, TH ची वारंवार प्रकरणे. आमच्या विश्लेषकांनी स्वतःला एका समर्पित टीममध्ये संघटित केले आणि त्यांना फॉरेन्सिक आणि मालवेअरचे उत्कृष्ट ज्ञान तसेच आक्रमण करणाऱ्या बाजूच्या पद्धती आणि डावपेचांचे ज्ञान मिळू लागले. प्रक्रिया आधीच 24/7 चालते. नेटवर्क उपकरणांवरील डेटाच्या संपूर्ण कव्हरेजसह EDR च्या प्रगत क्षमतांचा पूर्णपणे लाभ घेत असताना टीम टीएच गृहीतकांची अंशतः चाचणी करण्यास सक्षम आहे. विश्लेषक त्यांच्या गरजा पूर्ण करण्यासाठी साधने कॉन्फिगर करण्यास देखील सक्षम आहेत.

पातळी 4: उच्च अंत, TH वापरा. त्याच टीमने संशोधन करण्याची क्षमता, TH गृहीतके तपासण्याची प्रक्रिया व्युत्पन्न आणि स्वयंचलित करण्याची क्षमता प्राप्त केली. आता साधने डेटा स्रोतांचे जवळचे एकत्रीकरण, गरजा पूर्ण करण्यासाठी सॉफ्टवेअर डेव्हलपमेंट आणि APIs च्या गैर-मानक वापराद्वारे पूरक आहेत.

धोक्याची शिकार करण्याचे तंत्र

मूलभूत धमकी शिकार तंत्र

К तंत्रज्ञ TH, वापरलेल्या तंत्रज्ञानाच्या परिपक्वतेच्या क्रमाने, आहेत: मूलभूत शोध, सांख्यिकीय विश्लेषण, व्हिज्युअलायझेशन तंत्र, साधे एकत्रीकरण, मशीन लर्निंग आणि बायेसियन पद्धती.

सर्वात सोपी पद्धत, मूलभूत शोध, विशिष्ट क्वेरी वापरून संशोधनाचे क्षेत्र कमी करण्यासाठी वापरली जाते. सांख्यिकीय विश्लेषण वापरले जाते, उदाहरणार्थ, सांख्यिकीय मॉडेलच्या स्वरूपात विशिष्ट वापरकर्ता किंवा नेटवर्क क्रियाकलाप तयार करण्यासाठी. व्हिज्युअलायझेशन तंत्रे दृष्यदृष्ट्या प्रदर्शित करण्यासाठी आणि ग्राफ आणि चार्टच्या स्वरूपात डेटाचे विश्लेषण सुलभ करण्यासाठी वापरली जातात, ज्यामुळे नमुन्यातील नमुने ओळखणे खूप सोपे होते. शोध आणि विश्लेषण ऑप्टिमाइझ करण्यासाठी मुख्य फील्डद्वारे साध्या एकत्रीकरणाचे तंत्र वापरले जाते. एखाद्या संस्थेची TH प्रक्रिया जितकी परिपक्व होईल तितका मशीन लर्निंग अल्गोरिदमचा वापर अधिक सुसंगत होईल. ते स्पॅम फिल्टर करण्यासाठी, दुर्भावनापूर्ण रहदारी शोधण्यात आणि फसव्या क्रियाकलाप शोधण्यासाठी देखील मोठ्या प्रमाणावर वापरले जातात. मशीन लर्निंग अल्गोरिदमचा एक अधिक प्रगत प्रकार म्हणजे बायेसियन पद्धती, जे वर्गीकरण, नमुना आकार कमी करणे आणि विषय मॉडेलिंगसाठी परवानगी देतात.

डायमंड मॉडेल आणि TH धोरणे

सर्जियो कॅलटागिरॉन, अँड्र्यू पेंडेगास्ट आणि क्रिस्टोफर बेट्झ त्यांच्या कामात "घुसखोरी विश्लेषणाचे डायमंड मॉडेल» कोणत्याही दुर्भावनापूर्ण क्रियाकलापांचे मुख्य मुख्य घटक आणि त्यांच्यातील मूलभूत कनेक्शन दर्शवले.

दुर्भावनापूर्ण क्रियाकलापांसाठी डायमंड मॉडेल

या मॉडेलनुसार, 4 थ्रेट हंटिंग धोरणे आहेत, जी संबंधित मुख्य घटकांवर आधारित आहेत.

1. बळी देणारी रणनीती. आम्ही असे गृहीत धरतो की पीडितेला विरोधक आहेत आणि ते ईमेलद्वारे "संधी" वितरीत करतील. आम्ही मेलमध्ये शत्रूचा डेटा शोधत आहोत. दुवे, संलग्नक इ. शोधा. आम्ही ठराविक कालावधीसाठी (एक महिना, दोन आठवडे) या गृहितकाची पुष्टी शोधत आहोत; जर आम्हाला ते सापडले नाही, तर गृहितक कार्य करत नाही.

2. पायाभूत सुविधा-केंद्रित धोरण. ही रणनीती वापरण्यासाठी अनेक पद्धती आहेत. प्रवेश आणि दृश्यमानतेवर अवलंबून, काही इतरांपेक्षा सोपे आहेत. उदाहरणार्थ, आम्ही दुर्भावनापूर्ण डोमेन होस्ट करण्यासाठी ओळखल्या जाणाऱ्या डोमेन नेम सर्व्हरचे निरीक्षण करतो. किंवा आम्ही प्रतिस्पर्ध्याद्वारे वापरल्या जाणाऱ्या ज्ञात पॅटर्नसाठी सर्व नवीन डोमेन नाव नोंदणीचे निरीक्षण करण्याच्या प्रक्रियेतून जातो.

3. क्षमता-चालित धोरण. बहुतेक नेटवर्क बचावकर्त्यांद्वारे वापरल्या जाणाऱ्या बळी-केंद्रित धोरणाव्यतिरिक्त, एक संधी-केंद्रित धोरण आहे. हे दुसरे सर्वात लोकप्रिय आहे आणि प्रतिस्पर्ध्याच्या क्षमता शोधण्यावर लक्ष केंद्रित करते, म्हणजे "मालवेअर" आणि psexec, पॉवरशेल, सर्ट्युटिल आणि इतरांसारखी कायदेशीर साधने वापरण्याची शत्रूची क्षमता.

4. शत्रू-देणारं धोरण. विरोधी-केंद्रित दृष्टीकोन प्रतिस्पर्ध्यावरच लक्ष केंद्रित करतो. यामध्ये सार्वजनिकरीत्या उपलब्ध स्रोतांकडील खुल्या माहितीचा वापर (OSINT), शत्रूविषयी डेटा गोळा करणे, त्याचे तंत्र आणि पद्धती (TTP), मागील घटनांचे विश्लेषण, थ्रेट इंटेलिजन्स डेटा इ.

TH मधील माहितीचे स्रोत आणि गृहीतके

थ्रेट हंटिंगसाठी माहितीचे काही स्त्रोत

माहितीचे अनेक स्त्रोत असू शकतात. एक आदर्श विश्लेषक आजूबाजूच्या सर्व गोष्टींमधून माहिती काढण्यास सक्षम असावा. जवळजवळ कोणत्याही इन्फ्रास्ट्रक्चरमधील विशिष्ट स्त्रोत सुरक्षा साधनांचा डेटा असेल: DLP, SIEM, IDS/IPS, WAF/FW, EDR. तसेच, माहितीचे विशिष्ट स्त्रोत तडजोड, धोक्याची गुप्तचर सेवा, CERT आणि OSINT डेटाचे विविध निर्देशक असतील. याव्यतिरिक्त, आपण डार्कनेट वरून माहिती वापरू शकता (उदाहरणार्थ, अचानक एखाद्या संस्थेच्या प्रमुखाचा मेलबॉक्स हॅक करण्याचा आदेश आला आहे किंवा नेटवर्क अभियंता पदाचा उमेदवार त्याच्या क्रियाकलापासाठी उघड झाला आहे), कडून प्राप्त माहिती एचआर (मागील कामाच्या ठिकाणावरील उमेदवाराची पुनरावलोकने), सुरक्षा सेवेकडील माहिती (उदाहरणार्थ, प्रतिपक्षाच्या पडताळणीचे परिणाम).

परंतु सर्व उपलब्ध स्त्रोत वापरण्यापूर्वी, किमान एक गृहितक असणे आवश्यक आहे.

स्त्रोत

गृहितकांची चाचणी घेण्यासाठी, त्यांना प्रथम पुढे ठेवले पाहिजे. आणि अनेक उच्च-गुणवत्तेची गृहीते पुढे ठेवण्यासाठी, एक पद्धतशीर दृष्टीकोन लागू करणे आवश्यक आहे. गृहीतके निर्माण करण्याच्या प्रक्रियेचे अधिक तपशीलवार वर्णन केले आहे लेख, ही योजना गृहितके मांडण्याच्या प्रक्रियेचा आधार म्हणून घेणे अतिशय सोयीचे आहे.

गृहीतकांचा मुख्य स्त्रोत असेल ATT आणि CK मॅट्रिक्स (विरोधक रणनीती, तंत्र आणि सामान्य ज्ञान). थोडक्यात, आक्रमणाच्या शेवटच्या टप्प्यात त्यांच्या क्रियाकलाप करणाऱ्या हल्लेखोरांच्या वर्तनाचे मूल्यांकन करण्यासाठी हा ज्ञानाचा आधार आणि मॉडेल आहे, सामान्यतः किल चेन संकल्पना वापरून वर्णन केले जाते. म्हणजेच, आक्रमणकर्त्याने एंटरप्राइझच्या अंतर्गत नेटवर्कमध्ये किंवा मोबाइल डिव्हाइसवर प्रवेश केल्यानंतरच्या टप्प्यावर. नॉलेज बेसमध्ये मूलतः 121 रणनीती आणि हल्ल्यात वापरल्या जाणाऱ्या तंत्रांचे वर्णन समाविष्ट होते, त्यातील प्रत्येकाचे तपशीलवार वर्णन विकी फॉरमॅटमध्ये केले आहे. विविध थ्रेट इंटेलिजन्स ॲनालिटिक्स हे गृहीतके निर्माण करण्यासाठी स्त्रोत म्हणून योग्य आहेत. पायाभूत सुविधांचे विश्लेषण आणि प्रवेश चाचण्यांचे परिणाम विशेषतः लक्षात घ्या - हा सर्वात मौल्यवान डेटा आहे जो आम्हाला लोहबंद गृहितके देऊ शकतो कारण ते विशिष्ट पायाभूत सुविधांवर त्याच्या विशिष्ट कमतरतांसह आधारित आहेत.

गृहीतक चाचणी प्रक्रिया

सर्गेई सोल्डाटॉव्ह आणले चांगला आकृती प्रक्रियेच्या तपशीलवार वर्णनासह, ते एकाच प्रणालीमध्ये TH गृहितके तपासण्याची प्रक्रिया स्पष्ट करते. मी थोडक्यात वर्णनासह मुख्य टप्पे सूचित करेन.

स्त्रोत

स्टेज 1: TI फार्म

या टप्प्यावर हायलाइट करणे आवश्यक आहे वस्तू (सर्व धोक्याच्या डेटासह त्यांचे विश्लेषण करून) आणि त्यांना त्यांच्या वैशिष्ट्यांसाठी लेबले नियुक्त करणे. या फाइल, URL, MD5, प्रक्रिया, उपयुक्तता, कार्यक्रम आहेत. त्यांना थ्रेट इंटेलिजन्स सिस्टीममधून पास करताना, टॅग जोडणे आवश्यक आहे. म्हणजेच, ही साइट सीएनसीमध्ये अशा आणि अशा वर्षात लक्षात आली, हे MD5 अशा आणि अशा मालवेअरशी संबंधित होते, हे MD5 मालवेअर वितरित करणाऱ्या साइटवरून डाउनलोड केले गेले.

स्टेज 2: प्रकरणे

दुसऱ्या टप्प्यावर, आपण या वस्तूंमधील परस्परसंवाद पाहतो आणि या सर्व वस्तूंमधील संबंध ओळखतो. आम्हाला चिन्हांकित सिस्टम मिळतात ज्या काहीतरी वाईट करतात.

स्टेज 3: विश्लेषक

तिसऱ्या टप्प्यावर, केस एका अनुभवी विश्लेषकाकडे हस्तांतरित केली जाते ज्यांना विश्लेषणाचा व्यापक अनुभव आहे आणि तो निर्णय देतो. हा कोड काय, कुठे, कसा, का आणि का करतो याचे तो बाइट्सचे विश्लेषण करतो. हा शरीर मालवेअर होता, हा संगणक संक्रमित झाला होता. ऑब्जेक्ट्समधील कनेक्शन प्रकट करते, सँडबॉक्समधून चालण्याचे परिणाम तपासते.

विश्लेषकांच्या कार्याचे परिणाम पुढे प्रसारित केले जातात. डिजिटल फॉरेन्सिक्स प्रतिमांचे परीक्षण करते, मालवेअर विश्लेषण सापडलेल्या "मृतदेहांचे" परीक्षण करते आणि घटना प्रतिसाद टीम साइटवर जाऊ शकते आणि तेथे आधीपासूनच काहीतरी तपासू शकते. कामाचा परिणाम एक पुष्टी गृहीतक असेल, एक ओळखलेला हल्ला आणि त्याचा प्रतिकार करण्याचे मार्ग.

स्त्रोत
 

परिणाम

थ्रेट हंटिंग हे एक तरुण तंत्रज्ञान आहे जे सानुकूलित, नवीन आणि मानक नसलेल्या धोक्यांचा प्रभावीपणे सामना करू शकते, ज्यात अशा धोक्यांची वाढती संख्या आणि कॉर्पोरेट पायाभूत सुविधांची वाढती जटिलता लक्षात घेता मोठ्या शक्यता आहेत. त्यासाठी डेटा, साधने आणि विश्लेषक असे तीन घटक आवश्यक आहेत. थ्रेट हंटिंगचे फायदे केवळ धमक्यांची अंमलबजावणी रोखण्यापुरते मर्यादित नाहीत. हे विसरू नका की शोध प्रक्रियेदरम्यान आम्ही सुरक्षा विश्लेषकाच्या नजरेतून आमच्या पायाभूत सुविधा आणि त्यातील कमकुवत बिंदूंमध्ये डोकावतो आणि हे मुद्दे आणखी मजबूत करू शकतो.

आमच्या मते, तुमच्या संस्थेमध्ये TH प्रक्रिया सुरू करण्यासाठी प्रथम पावले उचलणे आवश्यक आहे.

1. एंडपॉइंट्स आणि नेटवर्क इन्फ्रास्ट्रक्चरचे संरक्षण करण्याची काळजी घ्या. तुमच्या नेटवर्कवरील सर्व प्रक्रियांच्या दृश्यमानतेची (नेटफ्लो) आणि नियंत्रण (फायरवॉल, आयडीएस, आयपीएस, डीएलपी) काळजी घ्या. एज राउटरपासून अगदी शेवटच्या होस्टपर्यंत तुमचे नेटवर्क जाणून घ्या.
2. अन्वेषण मिटर एटीटी आणि सीके.
3. किमान मुख्य बाह्य संसाधनांची नियमित तपासणी करा, त्याच्या परिणामांचे विश्लेषण करा, हल्ल्याची मुख्य लक्ष्ये ओळखा आणि त्यांच्या असुरक्षा बंद करा.
4. ओपन सोर्स थ्रेट इंटेलिजन्स सिस्टीम (उदाहरणार्थ, MISP, Yeti) लागू करा आणि त्याच्या संयोगाने लॉगचे विश्लेषण करा.
5. घटना प्रतिसाद प्लॅटफॉर्म (IRP) लागू करा: R-Vision IRP, The Hive, संशयास्पद फाइल्सचे विश्लेषण करण्यासाठी सँडबॉक्स (FortiSandbox, Cuckoo).
6. नियमित प्रक्रिया स्वयंचलित करा. नोंदींचे विश्लेषण, घटनांचे रेकॉर्डिंग, कर्मचाऱ्यांना माहिती देणे हे ऑटोमेशनसाठी मोठे क्षेत्र आहे.
7. घटनांवर सहयोग करण्यासाठी अभियंते, विकासक आणि तांत्रिक सहाय्य यांच्याशी प्रभावीपणे संवाद साधण्यास शिका.
8. संपूर्ण प्रक्रियेचे दस्तऐवजीकरण, मुख्य मुद्दे, प्राप्त केलेले परिणाम त्यांच्याकडे नंतर परत येण्यासाठी किंवा हा डेटा सहकार्यांसह सामायिक करा;
9. सामाजिक व्हा: तुमच्या कर्मचाऱ्यांचे काय चालले आहे, तुम्ही कोणाला कामावर घेता आणि तुम्ही संस्थेच्या माहिती संसाधनांमध्ये कोणाला प्रवेश देता याची जाणीव ठेवा.
10. नवीन धोके आणि संरक्षणाच्या पद्धती या क्षेत्रातील ट्रेंडची माहिती ठेवा, तुमची तांत्रिक साक्षरतेची पातळी वाढवा (आयटी सेवा आणि उपप्रणालींच्या ऑपरेशनसह), कॉन्फरन्समध्ये सहभागी व्हा आणि सहकाऱ्यांशी संवाद साधा.

टिप्पण्यांमध्ये TH प्रक्रियेच्या संस्थेबद्दल चर्चा करण्यास तयार.

किंवा आमच्याबरोबर कामाला या!

• प्रमुख माहिती सुरक्षा सल्लागार
• माहिती सुरक्षिततेसाठी सिस्टम आर्किटेक्ट
• लीड नेटवर्क सुरक्षा अभियंता
• प्रमुख माहिती सुरक्षा अभियंता (SIEM)
• माहिती सुरक्षा आर्किटेक्ट (अर्ज)

अभ्यासासाठी स्रोत आणि साहित्य

• धमकी हंटर.गुरु
• attack.mitre.org
• digital-forensics.sans.org
• संसाधने.infosecinst વિકલ્પ.com
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• all.blogspot.com ला उत्तर द्या
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

स्त्रोत: www.habr.com