खतरा शिकार, वा कसरी 5% खतराहरूबाट आफूलाई बचाउने

95% सूचना सुरक्षा खतराहरू ज्ञात छन्, र तपाईंले एन्टिभाइरस, फायरवाल, IDS, WAF जस्ता परम्परागत माध्यमहरू प्रयोग गरेर तिनीहरूबाट आफूलाई बचाउन सक्नुहुन्छ। बाँकी 5% खतराहरू अज्ञात र सबैभन्दा खतरनाक छन्। तिनीहरू कम्पनीको लागि जोखिमको 70% गठन गर्छन् किनभने तिनीहरू पत्ता लगाउन धेरै गाह्रो छ, तिनीहरूको विरुद्धमा धेरै कम सुरक्षा। उदाहरणहरू "कालो हंस" WannaCry ransomware महामारी, NotPetya/ExPetr, cryptominers, "साइबर हतियार" Stuxnet (जसले इरानको आणविक केन्द्रहरूमा प्रहार गर्दछ) र धेरै (अरू कसैलाई याद छ किडो/कन्फिकर?) अन्य आक्रमणहरू जुन क्लासिकल सुरक्षा उपायहरूबाट धेरै राम्रोसँग प्रतिरक्षित छैनन्। हामी थ्रेट हन्टिङ टेक्नोलोजी प्रयोग गरेर यी 5% खतराहरूको सामना कसरी गर्ने भन्ने बारे कुरा गर्न चाहन्छौं।

साइबर आक्रमणको निरन्तर विकासको लागि निरन्तर पत्ता लगाउने र प्रतिरोधी उपायहरू आवश्यक पर्दछ, जसले अन्ततः हामीलाई आक्रमणकारीहरू र रक्षकहरू बीचको अन्तहीन हतियार दौडको बारेमा सोच्न लैजान्छ। क्लासिक सुरक्षा प्रणालीहरूले अब एक स्वीकार्य स्तरको सुरक्षा प्रदान गर्न सक्षम छैनन्, जसमा जोखिमको स्तरले कम्पनीको मुख्य सूचकहरू (आर्थिक, राजनीतिक, प्रतिष्ठा) लाई कुनै खास पूर्वाधारको लागि परिमार्जन नगरी असर गर्दैन, तर सामान्यतया तिनीहरूले केही कभर गर्दछ। जोखिमहरु। कार्यान्वयन र कन्फिगरेसनको प्रक्रियामा पहिले नै, आधुनिक सुरक्षा प्रणालीहरूले आफूलाई समात्ने भूमिकामा भेट्टाउँछन् र नयाँ समयका चुनौतीहरूको जवाफ दिनै पर्छ।

स्रोत

थ्रेट हन्टिङ टेक्नोलोजी सूचना सुरक्षा विशेषज्ञको लागि हाम्रो समयको चुनौतीहरूको जवाफ हुन सक्छ। थ्रेट हन्टिङ शब्द (यसपछि TH भनेर चिनिन्छ) धेरै वर्ष पहिले देखा पर्‍यो। टेक्नोलोजी आफैंमा धेरै रोचक छ, तर अझै सम्म कुनै पनि सामान्यतया स्वीकृत मानक र नियमहरू छैनन्। यस विषयमा जानकारी स्रोतहरूको भिन्नता र यस विषयमा रूसी भाषाका स्रोतहरूको सानो संख्याले पनि यो कुरा जटिल छ। यस सन्दर्भमा, हामीले LANIT-एकीकरणमा यस प्रविधिको समीक्षा लेख्ने निर्णय गर्यौं।

प्रासंगिकता

TH प्रविधि पूर्वाधार अनुगमन प्रक्रियाहरूमा निर्भर गर्दछ। आन्तरिक निगरानीका लागि दुईवटा मुख्य परिदृश्यहरू छन्- अलर्टिङ र हन्टिङ। अलर्टिङ (MSSP सेवाहरू जस्तै) पहिले विकसित हस्ताक्षर र आक्रमणका संकेतहरू खोज्ने र तिनीहरूलाई प्रतिक्रिया दिने परम्परागत विधि हो। यो परिदृश्य सफलतापूर्वक परम्परागत हस्ताक्षर-आधारित सुरक्षा उपकरणहरू द्वारा प्रदर्शन गरिएको छ। शिकार (MDR प्रकार सेवा) एक अनुगमन विधि हो जसले प्रश्नको जवाफ दिन्छ "हस्ताक्षर र नियमहरू कहाँबाट आउँछन्?" यो लुकेका वा पहिले अज्ञात सूचकहरू र आक्रमणको संकेतहरूको विश्लेषण गरेर सहसम्बन्ध नियमहरू सिर्जना गर्ने प्रक्रिया हो। थ्रेट हन्टिङले यस प्रकारको निगरानीलाई जनाउँछ।

दुबै प्रकारको अनुगमनलाई संयोजन गरेर मात्र हामीले सुरक्षा प्राप्त गर्छौं जुन आदर्शको नजिक छ, तर त्यहाँ सधैं अवशिष्ट जोखिमको निश्चित स्तर हुन्छ।

दुई प्रकारको निगरानी प्रयोग गरेर संरक्षण

र यहाँ किन TH (र यसको सम्पूर्णतामा शिकार!) बढ्दो सान्दर्भिक हुनेछ:

खतरा, उपचार, जोखिम। स्रोत

सबै खतराहरूको 95% पहिले नै राम्रोसँग अध्ययन गरिएको छ। यसमा स्प्याम, DDoS, भाइरस, रूटकिट र अन्य क्लासिक मालवेयर जस्ता प्रकारहरू समावेश छन्। तपाईं समान क्लासिक सुरक्षा उपायहरू प्रयोग गरेर यी खतराहरूबाट आफूलाई बचाउन सक्नुहुन्छ।

कुनै पनि आयोजनाको कार्यान्वयनको क्रममा 20% काम पूरा हुन 80% समय लाग्छ, र बाँकी 20% कामले 80% समय लिन्छ। त्यस्तै गरी, सम्पूर्ण खतरा परिदृश्यमा, 5% नयाँ खतराहरूले कम्पनीको 70% जोखिमको लागि जिम्मेवार हुनेछन्। एक कम्पनीमा जहाँ सूचना सुरक्षा व्यवस्थापन प्रक्रियाहरू व्यवस्थित छन्, हामी बेवास्ता गरेर (सैद्धान्तिक रूपमा ताररहित सञ्जालहरूको इन्कार), स्वीकार (आवश्यक सुरक्षा उपायहरू लागू गर्ने) वा स्थानान्तरण गरेर ज्ञात खतराहरूको कार्यान्वयनको जोखिमको 30% व्यवस्थापन गर्न सक्छौं। (उदाहरणका लागि, इन्टिग्रेटरको काँधमा) यो जोखिम। बाट आफूलाई बचाउनुहोस् शून्य दिन जोखिमहरु, APT आक्रमण, फिसिङ, आपूर्ति श्रृंखला आक्रमणहरू, साइबर जासूसी र राष्ट्रिय अपरेशनहरू, साथै अन्य आक्रमणहरूको ठूलो संख्या पहिले नै धेरै गाह्रो छ। यी 5% धम्कीहरूको नतिजा धेरै गम्भीर हुनेछ (बुहट्राप समूहबाट बैंक घाटाको औसत रकम १४ करोड ३० लाख रहेको छ) स्प्याम वा भाइरसको नतिजा भन्दा, जसबाट एन्टिभाइरस सफ्टवेयरले बचत गर्छ।

लगभग सबैले 5% धम्कीहरू सामना गर्नुपर्छ। हामीले भर्खरै PEAR (PHP एक्स्टेन्सन र एप्लिकेसन रिपोजिटरी) रिपोजिटरीबाट अनुप्रयोग प्रयोग गर्ने खुला स्रोत समाधान स्थापना गर्नुपर्‍यो। नाशपाती स्थापना मार्फत यो अनुप्रयोग स्थापना गर्ने प्रयास असफल भयो किनभने वेबसाइट अनुपलब्ध थियो (अब यसमा स्टब छ), मैले यसलाई GitHub बाट स्थापना गर्नुपर्‍यो। र भर्खरै यो बाहिर भयो कि PEAR शिकार भयो आपूर्ति श्रृंखला आक्रमणहरू.

तिमी अझै सम्झन सक्छौ CCleaner प्रयोग गरेर आक्रमण, कर रिपोर्टिङ कार्यक्रमको लागि अद्यावधिक मोड्युल मार्फत NePetya ransomware को महामारी MEDoc। धम्कीहरू थप र अधिक परिष्कृत हुँदै गइरहेका छन्, र तार्किक प्रश्न उठ्छ - "हामी कसरी यी 5% धम्कीहरूको सामना गर्न सक्छौं?"

खतरा शिकार को परिभाषा

त्यसैले, थ्रेट हन्टिङ भनेको परम्परागत सुरक्षा उपकरणहरूद्वारा पत्ता लगाउन नसकिने उन्नत खतराहरूको सक्रिय र पुनरावृत्ति खोजी र पत्ता लगाउने प्रक्रिया हो। उन्नत धम्कीहरू समावेश छन्, उदाहरणका लागि, APT जस्ता आक्रमणहरू, 0-दिनको जोखिमहरूमा आक्रमणहरू, भूमिबाट बाहिर बस्ने, र यस्तै।

हामी TH परिकल्पना परीक्षण गर्ने प्रक्रिया हो भनेर पुन: व्याख्या गर्न सक्छौं। यो मुख्यतया स्वचालन को तत्वहरु संग एक म्यानुअल प्रक्रिया हो, जसमा विश्लेषक, आफ्नो ज्ञान र कौशल मा भर पर्दै, एक निश्चित खतरा को उपस्थिति को बारे मा प्रारम्भिक निर्धारित परिकल्पना संग मेल खाने सम्झौता को संकेत को खोज मा जानकारी को ठूलो मात्रा को माध्यम बाट छन। यसको विशिष्ट विशेषता जानकारी स्रोतहरूको विविधता हो।

यो ध्यान दिनुपर्छ कि थ्रेट हन्टिङ कुनै प्रकारको सफ्टवेयर वा हार्डवेयर उत्पादन होइन। यी अलर्टहरू होइनन् जुन केही समाधानमा देख्न सकिन्छ। यो आईओसी (कम्प्रोमाइजको पहिचानकर्ता) खोज प्रक्रिया होइन। र यो कुनै प्रकारको निष्क्रिय गतिविधि होइन जुन सूचना सुरक्षा विश्लेषकहरूको सहभागिता बिना हुन्छ। खतरा शिकार पहिलो र प्रमुख प्रक्रिया हो।

खतरा शिकार को घटक

थ्रेट हन्टिङका ​​तीन मुख्य कम्पोनेन्टहरू: डाटा, प्रविधि, मानिसहरू।

डाटा (के?)बिग डाटा सहित। सबै प्रकारका ट्राफिक प्रवाहहरू, अघिल्लो एपीटीहरू बारे जानकारी, विश्लेषणहरू, प्रयोगकर्ता गतिविधिहरूमा डाटा, नेटवर्क डाटा, कर्मचारीहरूबाट जानकारी, डार्कनेटमा जानकारी र अधिक।

प्रविधिहरू (कसरी?) यस डाटालाई प्रशोधन गर्दै - मेसिन लर्निङ सहित यस डाटालाई प्रशोधन गर्ने सबै सम्भावित तरिकाहरू।

मानिसहरू (को?) - जोसँग विभिन्न आक्रमणहरूको विश्लेषण गर्ने व्यापक अनुभव छ, विकसित अन्तर्ज्ञान र आक्रमण पत्ता लगाउने क्षमता। सामान्यतया यी सूचना सुरक्षा विश्लेषकहरू हुन् जससँग परिकल्पनाहरू उत्पन्न गर्ने र तिनीहरूको लागि पुष्टिकरण फेला पार्न सक्ने क्षमता हुनुपर्छ। तिनीहरू प्रक्रियामा मुख्य लिङ्क हुन्।

मोडेल पेरिस

एडम बेटम्यान वर्णन गर्दछ आदर्श TH प्रक्रियाको लागि PARIS मोडेल। नाम फ्रान्स मा एक प्रसिद्ध स्थलचिह्न को लागी संकेत गर्दछ। यो मोडेल दुई दिशा मा हेर्न सकिन्छ - माथि र तल देखि।

हामीले तलदेखि माथिको मोडेलको माध्यमबाट काम गर्दा, हामीले दुर्भावनापूर्ण गतिविधिको धेरै प्रमाणहरू सामना गर्नेछौं। प्रमाणको प्रत्येक टुक्रामा विश्वास भनिने एक उपाय हुन्छ - एक विशेषता जसले यस प्रमाणको वजनलाई प्रतिबिम्बित गर्दछ। त्यहाँ "फलाम" छ, दुर्भावनापूर्ण गतिविधिको प्रत्यक्ष प्रमाण, जसको अनुसार हामी तुरुन्तै पिरामिडको शीर्षमा पुग्न सक्छौं र सटीक रूपमा ज्ञात संक्रमणको बारेमा वास्तविक चेतावनी सिर्जना गर्न सक्छौं। र त्यहाँ अप्रत्यक्ष प्रमाण छ, जसको योगले हामीलाई पिरामिडको शीर्षमा लैजान सक्छ। सधैंको रूपमा, त्यहाँ प्रत्यक्ष प्रमाण भन्दा धेरै अप्रत्यक्ष प्रमाणहरू छन्, जसको मतलब तिनीहरू क्रमबद्ध र विश्लेषण गर्न आवश्यक छ, थप अनुसन्धान सञ्चालन गरिनु पर्छ, र यसलाई स्वचालित गर्न सल्लाह दिइन्छ।

मोडेल पेरिस। स्रोत

मोडेलको माथिल्लो भाग (1 र 2) स्वचालन प्रविधिहरू र विभिन्न विश्लेषणहरूमा आधारित छ, र तल्लो भाग (3 र 4) प्रक्रिया व्यवस्थापन गर्ने निश्चित योग्यता भएका व्यक्तिहरूमा आधारित छ। तपाईले मोडेललाई माथिबाट तल सार्ने विचार गर्न सक्नुहुन्छ, जहाँ नीलो रङको माथिल्लो भागमा हामीसँग परम्परागत सुरक्षा उपकरणहरू (एन्टिभाइरस, EDR, फायरवाल, हस्ताक्षर) बाट उच्च स्तरको आत्मविश्वास र विश्वासका अलर्टहरू छन्, र तल सूचकहरू छन् ( IOC, URL, MD5 र अन्य), जसमा निश्चितताको कम डिग्री छ र थप अध्ययन आवश्यक छ। र सबैभन्दा तल्लो र बाक्लो स्तर (4) परिकल्पना को पुस्ता हो, संरक्षण को परम्परागत माध्यम को संचालन को लागी नयाँ परिदृश्यहरु को निर्माण। यो स्तर परिकल्पनाका निर्दिष्ट स्रोतहरूमा मात्र सीमित छैन। स्तर जति कम हुन्छ, विश्लेषकको योग्यतामा उति धेरै आवश्यकताहरू राखिन्छन्।

यो धेरै महत्त्वपूर्ण छ कि विश्लेषकहरूले पूर्वनिर्धारित परिकल्पनाहरूको सीमित सेट मात्र परीक्षण गर्दैनन्, तर तिनीहरूको परीक्षणका लागि नयाँ परिकल्पनाहरू र विकल्पहरू उत्पन्न गर्न निरन्तर काम गर्छन्।

TH उपयोग परिपक्वता मोडेल

एक आदर्श संसारमा, TH एक निरन्तर प्रक्रिया हो। तर, जहाँ कुनै आदर्श संसार छैन, विश्लेषण गरौं परिपक्वता मोडेल र मानिसहरू, प्रक्रिया र प्रविधिहरूको सन्दर्भमा विधिहरू प्रयोग गरिन्छ। एक आदर्श गोलाकार TH को मोडेल विचार गरौं। यो प्रविधि प्रयोग गर्ने 5 स्तरहरू छन्। विश्लेषकहरूको एकल टोलीको विकासको उदाहरण प्रयोग गरेर तिनीहरूलाई हेरौं।

परिपक्वता को स्तर
मान्छे
प्रक्रियाहरू
प्रविधिको

0 स्तर
SOC विश्लेषकहरू
24/7
परम्परागत उपकरण:

परम्परागत
अलर्टहरूको सेट
निष्क्रिय निगरानी
IDS, AV, Sandboxing,

TH बिना
अलर्ट संग काम गर्दै

हस्ताक्षर विश्लेषण उपकरण, खतरा खुफिया डाटा।

1 स्तर
SOC विश्लेषकहरू
एक पटक TH
BDU

प्रयोगात्मक
फोरेन्सिकको आधारभूत ज्ञान
IOC खोज
नेटवर्क उपकरणहरूबाट डाटाको आंशिक कभरेज

TH को साथ प्रयोगहरू
नेटवर्क र अनुप्रयोगहरूको राम्रो ज्ञान

आंशिक आवेदन

2 स्तर
अस्थायी पेशा
स्प्रिन्टहरू
BDU

आवधिक
फोरेन्सिकको औसत ज्ञान
हप्ता देखि महिना
पूर्ण आवेदन

अस्थायी TH
नेटवर्क र अनुप्रयोगहरूको उत्कृष्ट ज्ञान
नियमित TH
EDR डाटा उपयोग को पूर्ण स्वचालन

उन्नत EDR क्षमताहरूको आंशिक प्रयोग

3 स्तर
समर्पित TH आदेश
24/7
परिकल्पना TH परीक्षण गर्न आंशिक क्षमता

रोकथाम
फोरेंसिक्स र मालवेयर को उत्कृष्ट ज्ञान
रोकथाम TH
उन्नत EDR क्षमताहरूको पूर्ण प्रयोग

विशेष केसहरू TH
आक्रमणकारी पक्षको उत्कृष्ट ज्ञान
विशेष केसहरू TH
नेटवर्क उपकरणहरूबाट डाटाको पूर्ण कभरेज

तपाईंको आवश्यकता अनुरूप कन्फिगरेसन

4 स्तर
समर्पित TH आदेश
24/7
TH परिकल्पना परीक्षण गर्न पूर्ण क्षमता

अग्रणी
फोरेंसिक्स र मालवेयर को उत्कृष्ट ज्ञान
रोकथाम TH
स्तर ३, प्लस:

TH प्रयोग गर्दै
आक्रमणकारी पक्षको उत्कृष्ट ज्ञान
परिकल्पना TH को परीक्षण, स्वचालन र प्रमाणिकरण
डाटा स्रोतहरूको तंग एकीकरण;

अनुसन्धान क्षमता

आवश्यकता अनुसार विकास र API को गैर-मानक प्रयोग।

मानिसहरू, प्रक्रियाहरू र प्रविधिहरूद्वारा TH परिपक्वता स्तरहरू

0 स्तर: परम्परागत, TH प्रयोग नगरी। नियमित विश्लेषकहरूले मानक उपकरण र प्रविधिहरू प्रयोग गरेर निष्क्रिय निगरानी मोडमा अलर्टहरूको मानक सेटसँग काम गर्छन्: IDS, AV, Sandbox, हस्ताक्षर विश्लेषण उपकरणहरू।

1 स्तर: प्रयोगात्मक, TH प्रयोग गरेर। फोरेन्सिकको आधारभूत ज्ञान र नेटवर्क र अनुप्रयोगहरूको राम्रो ज्ञान भएका समान विश्लेषकहरूले सम्झौताका सूचकहरू खोजी गरेर एक पटकको खतरा शिकार गर्न सक्छन्। नेटवर्क उपकरणहरूबाट डाटाको आंशिक कभरेजको साथ उपकरणहरूमा EDR हरू थपिएका छन्। उपकरणहरू आंशिक रूपमा प्रयोग गरिन्छ।

2 स्तर: आवधिक, अस्थायी TH। उही विश्लेषकहरू जसले पहिले नै फोरेन्सिक, नेटवर्क र अनुप्रयोग भागमा आफ्नो ज्ञान अपग्रेड गरिसकेका छन्, नियमित रूपमा थ्रेट हन्टिङ (स्प्रिन्ट) मा संलग्न हुन आवश्यक छ, भन्नुहोस्, महिनाको एक हप्ता। उपकरणहरूले नेटवर्क उपकरणहरूबाट डाटाको पूर्ण अन्वेषण, EDR बाट डाटा विश्लेषणको स्वचालन, र उन्नत EDR क्षमताहरूको आंशिक प्रयोग थप्छन्।

3 स्तर: रोकथाम, TH को बारम्बार केसहरू। हाम्रा विश्लेषकहरूले आफूलाई एक समर्पित टोलीमा संगठित गरे र फोरेन्सिक र मालवेयरको उत्कृष्ट ज्ञान, साथै आक्रमणकारी पक्षको विधि र कार्यनीतिहरूको ज्ञान पाउन थाले। प्रक्रिया पहिले नै 24/7 गरिन्छ। टोलीले नेटवर्क उपकरणहरूबाट डाटाको पूर्ण कभरेजको साथ EDR को उन्नत क्षमताहरूको पूर्ण लाभ उठाउँदै TH परिकल्पनाहरू आंशिक रूपमा परीक्षण गर्न सक्षम छ। विश्लेषकहरू पनि आफ्ना आवश्यकताहरू अनुरूप उपकरणहरू कन्फिगर गर्न सक्षम छन्।

4 स्तर: उच्च-अन्त, TH प्रयोग गर्नुहोस्। एउटै टोलीले अनुसन्धान गर्ने क्षमता, TH परिकल्पनाहरू परीक्षण गर्ने प्रक्रियालाई उत्पन्न गर्ने र स्वचालित गर्ने क्षमता हासिल गर्‍यो। अब उपकरणहरू डेटा स्रोतहरूको नजिकको एकीकरण, आवश्यकताहरू पूरा गर्न सफ्टवेयर विकास, र API को गैर-मानक प्रयोगद्वारा पूरक बनाइएको छ।

खतरा शिकार प्रविधिहरू

आधारभूत खतरा शिकार प्रविधिहरू

К प्राविधिकहरू TH, प्रयोग गरिएको टेक्नोलोजीको परिपक्वताको क्रममा, निम्न हुन्: आधारभूत खोज, सांख्यिकीय विश्लेषण, भिजुअलाइजेशन प्रविधि, सरल एकत्रीकरण, मेसिन लर्निङ, र बायेसियन विधिहरू।

सरल विधि, एक आधारभूत खोज, विशिष्ट प्रश्नहरू प्रयोग गरेर अनुसन्धानको क्षेत्रलाई कम गर्न प्रयोग गरिन्छ। सांख्यिकीय विश्लेषण प्रयोग गरिन्छ, उदाहरण को लागी, एक सांख्यिकीय मोडेल को रूप मा विशिष्ट प्रयोगकर्ता वा नेटवर्क गतिविधि निर्माण गर्न। भिजुअलाइजेशन प्रविधिहरू ग्राफ र चार्टहरूको रूपमा डेटाको विश्लेषणलाई दृश्यात्मक रूपमा प्रदर्शन गर्न र सरल बनाउन प्रयोग गरिन्छ, जसले नमूनामा ढाँचाहरू बुझ्न धेरै सजिलो बनाउँछ। खोज र विश्लेषणलाई अप्टिमाइज गर्न मुख्य क्षेत्रहरूद्वारा साधारण एकत्रीकरणको प्रविधि प्रयोग गरिन्छ। संस्थाको TH प्रक्रिया जति परिपक्व हुन्छ, मेसिन लर्निङ एल्गोरिदमको प्रयोग त्यति नै सान्दर्भिक हुन्छ। तिनीहरू स्प्याम फिल्टर गर्न, खराब ट्राफिक पत्ता लगाउन र जालसाजी गतिविधिहरू पत्ता लगाउन पनि व्यापक रूपमा प्रयोग गरिन्छ। मेशिन लर्निङ एल्गोरिथ्मको एक थप उन्नत प्रकार बायेसियन विधिहरू हो, जसले वर्गीकरण, नमूना आकार घटाउन र विषय मोडलिङको लागि अनुमति दिन्छ।

डायमण्ड मोडेल र TH रणनीतिहरू

सर्जियो क्याल्टागिरोन, एन्ड्रयू पेन्डेगास्ट र क्रिस्टोफर बेट्ज आफ्नो काममा "घुसपैठ विश्लेषण को हीरा मोडेल» कुनै पनि दुर्भावनापूर्ण गतिविधिको मुख्य मुख्य कम्पोनेन्टहरू र तिनीहरू बीचको आधारभूत जडान देखाइयो।

खराब गतिविधिको लागि हीरा मोडेल

यस मोडेलका अनुसार, त्यहाँ 4 थ्रेट हन्टिङ रणनीतिहरू छन्, जुन सम्बन्धित मुख्य घटकहरूमा आधारित छन्।

1. पीडित उन्मुख रणनीति। हामी मान्दछौं कि पीडितका विरोधीहरू छन् र उनीहरूले इमेल मार्फत "अवसरहरू" प्रदान गर्नेछन्। हामी मेलमा शत्रु डाटा खोजिरहेका छौं। लिङ्कहरू, संलग्नकहरू, आदि खोज्नुहोस्। हामी निश्चित समय (एक महिना, दुई हप्ता) को लागी यो परिकल्पना को पुष्टि को लागी हेर्दैछौं; यदि हामीले यो फेला पारेनौं, तब परिकल्पनाले काम गरेन।

2. पूर्वाधार उन्मुख रणनीति। यो रणनीति प्रयोग गर्न धेरै तरिकाहरू छन्। पहुँच र दृश्यता मा निर्भर गर्दछ, केहि अरु भन्दा सजिलो छ। उदाहरणका लागि, हामी दुर्भावनापूर्ण डोमेनहरू होस्ट गर्न ज्ञात डोमेन नाम सर्भरहरू निगरानी गर्छौं। वा हामी एक विरोधी द्वारा प्रयोग गरिएको ज्ञात ढाँचाको लागि सबै नयाँ डोमेन नाम दर्ताहरू निगरानी गर्ने प्रक्रियामा जान्छौं।

3. क्षमता-संचालित रणनीति। अधिकांश नेटवर्क डिफेन्डरहरू द्वारा प्रयोग गरिएको पीडित-केन्द्रित रणनीतिको अतिरिक्त, त्यहाँ अवसर-केन्द्रित रणनीति छ। यो दोस्रो सबैभन्दा लोकप्रिय हो र विरोधीबाट क्षमताहरू पत्ता लगाउनमा केन्द्रित छ, अर्थात् "मालवेयर" र psexec, powershell, certutil र अन्य जस्ता वैध उपकरणहरू प्रयोग गर्न विरोधीको क्षमता।

4. शत्रु-उन्मुख रणनीति। विरोधी-केन्द्रित दृष्टिकोण विरोधी आफैमा केन्द्रित छ। यसमा सार्वजनिक रूपमा उपलब्ध स्रोतहरू (OSINT) बाट खुला जानकारीको प्रयोग, शत्रुको बारेमा डाटा सङ्कलन, उसको प्रविधि र विधिहरू (TTP), विगतका घटनाहरूको विश्लेषण, थ्रेट इन्टेलिजेन्स डाटा, आदि समावेश छन्।

TH मा जानकारी र परिकल्पना को स्रोत

खतरा शिकार को लागी जानकारी को केहि स्रोतहरु

त्यहाँ जानकारी को धेरै स्रोत हुन सक्छ। एक आदर्श विश्लेषकले वरपरका सबै चीजहरूबाट जानकारी निकाल्न सक्षम हुनुपर्छ। लगभग कुनै पनि पूर्वाधारमा सामान्य स्रोतहरू सुरक्षा उपकरणहरूबाट डेटा हुनेछन्: DLP, SIEM, IDS/IPS, WAF/FW, EDR। साथै, जानकारीको विशिष्ट स्रोतहरू सम्झौताका विभिन्न सूचकहरू, थ्रेट इन्टेलिजेन्स सेवाहरू, CERT र OSINT डाटा हुनेछन्। थप रूपमा, तपाईंले डार्कनेटबाट जानकारी प्रयोग गर्न सक्नुहुन्छ (उदाहरणका लागि, अचानक कुनै संस्थाको प्रमुखको मेलबक्स ह्याक गर्ने आदेश छ, वा नेटवर्क इन्जिनियरको पदका लागि उम्मेद्वार उसको गतिविधिको लागि पर्दाफास भएको छ), बाट प्राप्त जानकारी। HR (कामको अघिल्लो स्थानबाट उम्मेदवारको समीक्षा), सुरक्षा सेवाबाट जानकारी (उदाहरणका लागि, प्रतिपक्षको प्रमाणीकरणको नतिजा)।

तर सबै उपलब्ध स्रोतहरू प्रयोग गर्नु अघि, कम्तिमा एउटा परिकल्पना हुनु आवश्यक छ।

स्रोत

परिकल्पनाहरू परीक्षण गर्न, तिनीहरू पहिले अगाडि राख्नुपर्छ। र धेरै उच्च गुणस्तर परिकल्पना अगाडि राख्न को लागी, यो एक व्यवस्थित दृष्टिकोण लागू गर्न आवश्यक छ। परिकल्पनाहरू उत्पन्न गर्ने प्रक्रियालाई थप विवरणमा वर्णन गरिएको छ लेख, यो योजना अगाडि परिकल्पना राख्ने प्रक्रियाको लागि आधारको रूपमा लिन धेरै सुविधाजनक छ।

परिकल्पनाको मुख्य स्रोत हुनेछ ATT&CK म्याट्रिक्स (विरोधी रणनीति, प्रविधि र सामान्य ज्ञान)। संक्षेपमा, यो एक ज्ञानको आधार र आक्रमणकारीहरूको व्यवहारको मूल्याङ्कन गर्ने मोडेल हो जसले आक्रमणको अन्तिम चरणहरूमा आफ्ना गतिविधिहरू सञ्चालन गर्दछ, सामान्यतया किल चेनको अवधारणा प्रयोग गरेर वर्णन गरिन्छ। त्यो हो, एक आक्रमणकारीले उद्यमको आन्तरिक नेटवर्क वा मोबाइल उपकरणमा प्रवेश गरेको चरणहरूमा। ज्ञानको आधारमा मूल रूपमा आक्रमणमा प्रयोग हुने १२१ रणनीति र प्रविधिहरूको विवरण समावेश गरिएको थियो, जसमध्ये प्रत्येकलाई विकि ढाँचामा विस्तृत रूपमा वर्णन गरिएको छ। विभिन्न थ्रेट इन्टेलिजेन्स एनालिटिक्सहरू परिकल्पनाहरू उत्पन्न गर्न स्रोतको रूपमा उपयुक्त छन्। विशेष नोट भनेको पूर्वाधार विश्लेषण र प्रवेश परीक्षणको नतिजाहरू हुन् - यो सबैभन्दा मूल्यवान डाटा हो जसले हामीलाई इरनक्लाड परिकल्पनाहरू दिन सक्छ किनभने तिनीहरू यसको विशिष्ट कमजोरीहरूको साथ एक विशिष्ट पूर्वाधारमा आधारित छन्।

परिकल्पना परीक्षण प्रक्रिया

सर्गेई Soldatov ल्याए राम्रो रेखाचित्र प्रक्रियाको विस्तृत विवरणको साथ, यसले एकल प्रणालीमा TH परिकल्पनाहरू परीक्षण गर्ने प्रक्रियालाई चित्रण गर्दछ। म संक्षिप्त विवरण सहित मुख्य चरणहरू संकेत गर्नेछु।

स्रोत

चरण 1: TI फार्म

यस चरणमा हाइलाइट गर्न आवश्यक छ वस्तुहरु (उनीहरूलाई सबै खतरा डेटाको साथ विश्लेषण गरेर) र तिनीहरूको विशेषताहरूको लागि लेबलहरू असाइन गरेर। यी फाइल, URL, MD5, प्रक्रिया, उपयोगिता, घटना हुन्। थ्रेट इन्टेलिजेन्स प्रणालीहरू मार्फत तिनीहरूलाई पास गर्दा, ट्यागहरू संलग्न गर्न आवश्यक छ। अर्थात्, यो साइट CNC मा यस्तो वर्षमा देखियो, यो MD5 यस्तो र त्यस्ता मालवेयरसँग सम्बन्धित थियो, यो MD5 मालवेयर वितरण गर्ने साइटबाट डाउनलोड गरिएको थियो।

चरण 2: केसहरू

दोस्रो चरणमा, हामी यी वस्तुहरू बीचको अन्तरक्रियालाई हेर्छौं र यी सबै वस्तुहरू बीचको सम्बन्ध पहिचान गर्छौं। हामीले केही नराम्रो गर्ने प्रणालीहरू पाउँछौं।

चरण 3: विश्लेषक

तेस्रो चरणमा, मुद्दा एक अनुभवी विश्लेषकलाई हस्तान्तरण गरिन्छ जसलाई विश्लेषणमा व्यापक अनुभव छ, र उसले निर्णय गर्दछ। उसले के, कहाँ, कसरी, किन र किन यो कोड गर्छ बाइटहरूमा पार्स गर्दछ। यो शरीरमा मालवेयर थियो, यो कम्प्युटर संक्रमित थियो। वस्तुहरू बीच जडानहरू प्रकट गर्दछ, स्यान्डबक्स मार्फत दौडने परिणामहरू जाँच गर्दछ।

विश्लेषकको कामको नतिजाहरू थप प्रसारित छन्। डिजिटल फोरेन्सिक्सले तस्बिरहरू जाँच गर्दछ, मालवेयर विश्लेषणले फेला परेका "शरीरहरू" को जाँच गर्दछ, र घटना प्रतिक्रिया टोलीले साइटमा जान सक्छ र त्यहाँ पहिले नै केहि अनुसन्धान गर्न सक्छ। कामको नतिजा एक पुष्टि परिकल्पना, पहिचान गरिएको आक्रमण र यसको प्रतिरोध गर्ने तरिकाहरू हुनेछ।

स्रोत
 

परिणामहरू

थ्रेट हन्टिङ एकदमै युवा प्रविधि हो जसले अनुकूलित, नयाँ र गैर-मानक खतराहरूलाई प्रभावकारी रूपमा सामना गर्न सक्छ, जसमा यस्ता खतराहरूको बढ्दो संख्या र कर्पोरेट पूर्वाधारको बढ्दो जटिलतालाई ध्यानमा राखेर ठूलो सम्भावनाहरू छन्। यसमा तीनवटा कम्पोनेन्टहरू चाहिन्छ - डाटा, उपकरण र विश्लेषकहरू। थ्रेट हन्टिङका ​​फाइदाहरू धम्कीको कार्यान्वयन रोक्नमा मात्र सीमित छैनन्। नबिर्सनुहोस् कि खोजी प्रक्रियाको क्रममा हामी सुरक्षा विश्लेषकको नजरबाट हाम्रो पूर्वाधार र यसका कमजोर बिन्दुहरूमा डुब्छौं र यी बिन्दुहरूलाई अझ बलियो बनाउन सक्छौं।

पहिलो चरणहरू जुन हाम्रो विचारमा, तपाइँको संगठनमा TH प्रक्रिया सुरु गर्न आवश्यक छ।

1. अन्त्य बिन्दुहरू र नेटवर्क पूर्वाधारको सुरक्षाको ख्याल राख्नुहोस्। तपाईंको नेटवर्कमा भएका सबै प्रक्रियाहरूको दृश्यता (NetFlow) र नियन्त्रण (फायरवाल, IDS, IPS, DLP) को ख्याल राख्नुहोस्। एज राउटर देखि अन्तिम होस्ट सम्म आफ्नो नेटवर्क जान्नुहोस्।
2. अन्वेषण गर्नुहोस् मिटर एटीटी एन्ड सीके.
3. कम्तिमा प्रमुख बाह्य स्रोतहरूको नियमित पेन्टेस्टहरू सञ्चालन गर्नुहोस्, यसको नतिजाहरूको विश्लेषण गर्नुहोस्, आक्रमणको मुख्य लक्ष्यहरू पहिचान गर्नुहोस् र तिनीहरूको कमजोरीहरू बन्द गर्नुहोस्।
4. खुला स्रोत थ्रेट इन्टेलिजेन्स प्रणाली लागू गर्नुहोस् (उदाहरणका लागि, MISP, Yeti) र यसको संयोजनमा लगहरू विश्लेषण गर्नुहोस्।
5. घटना प्रतिक्रिया प्लेटफर्म (IRP) लागू गर्नुहोस्: R-Vision IRP, The Hive, संदिग्ध फाइलहरूको विश्लेषणको लागि स्यान्डबक्स (FortiSandbox, Cuckoo)।
6. नियमित प्रक्रियाहरू स्वचालित गर्नुहोस्। लगहरूको विश्लेषण, घटनाहरूको रेकर्डिङ, कर्मचारीहरूलाई सूचित गर्ने स्वचालनको लागि ठूलो क्षेत्र हो।
7. घटनाहरूमा सहयोग गर्न इन्जिनियरहरू, विकासकर्ताहरू, र प्राविधिक सहयोगहरूसँग प्रभावकारी रूपमा अन्तरक्रिया गर्न सिक्नुहोस्।
8. सम्पूर्ण प्रक्रिया, मुख्य बिन्दुहरू, प्राप्त नतिजाहरूलाई पछि फर्काउन वा सहकर्मीहरूसँग यो डाटा साझेदारी गर्नको लागि कागजात गर्नुहोस्;
9. सामाजिक हुनुहोस्: तपाईका कर्मचारीहरूसँग के भइरहेको छ, तपाइँ कसलाई भाडामा लिनुहुन्छ, र तपाइँ संगठनको सूचना स्रोतहरूमा पहुँच दिनुहुने बारे सचेत रहनुहोस्।
10. नयाँ खतराहरू र सुरक्षाका विधिहरूको क्षेत्रमा प्रचलनहरू बारे जानकारी राख्नुहोस्, आफ्नो प्राविधिक साक्षरताको स्तर बढाउनुहोस् (आईटी सेवाहरू र उपप्रणालीहरूको सञ्चालन सहित), सम्मेलनहरूमा भाग लिनुहोस् र सहकर्मीहरूसँग कुराकानी गर्नुहोस्।

टिप्पणीहरूमा TH प्रक्रियाको संगठन छलफल गर्न तयार छ।

वा हामीसँग काम गर्न आउनुहोस्!

• प्रमुख सूचना सुरक्षा सल्लाहकार
• सूचना सुरक्षाको लागि प्रणाली वास्तुकार
• नेतृत्व नेटवर्क सुरक्षा ईन्जिनियर
• प्रमुख सूचना सुरक्षा इन्जिनियर (SIEM)
• सूचना सुरक्षा वास्तुकार (अनुप्रयोग)

अध्ययनका लागि स्रोत र सामग्री

• धम्की दिने गुरु
• attack.mitre.org
• digital-forensics.sans.org
• संसाधन.इन
• www.redcanary.com
• www.cybereason.com
• www.anti-malware.ru
• www.anti-malware.ru
• जवाफ-to-all.blogspot.com
• lukatsky.blogspot.com
• whitepapers.theregister.co.uk

स्रोत: www.habr.com