{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Threat Hunting, or How to Protect Yourself from 5% of Threats","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

95% van de informatiebeveiligingsbedreigingen zijn bekend, en je kunt je ertegen beschermen met traditionele middelen zoals antivirussoftware, firewalls, IDS, en WAF. De overige 5% van de bedreigingen zijn onbekend en het gevaarlijkst. Ze vertegenwoordigen 70% van het risico voor een bedrijf omdat ze moeilijk te detecteren zijn, en nog moeilijker om je ertegen te beschermen. Voorbeelden van 'zwarte zwanen'<\/a><\/noindex> zijn epidemie\u00ebn van ransomware zoals WannaCry, NotPetya\/ExPetr, cryptominers, en het 'cyberwapen' Stuxnet (dat nucleaire objecten in Iran trof), en talloze (herinnert iemand zich nog Kido\/Conficker?) andere aanvallen waartegen het moeilijk is om je te verdedigen met klassieke beveiligingsmiddelen. Over hoe je deze 5% van de bedreigingen kunt tegenhouden met behulp van Threat Hunting-technologie willen we het hebben.<\/p>\n

\"Threat<\/a><\/noindex>
\n De continue ontwikkeling van cyberaanvallen vereist voortdurende detectie en reactie, wat uiteindelijk leidt tot de gedachte aan een eindeloze wapenwedloop tussen aanvallers en verdedigers. Klassieke beveiligingssystemen zijn niet meer in staat om een acceptabel beveiligingsniveau te bieden, waarbij het risico geen invloed heeft op de kernindicatoren van het bedrijf (economische, politieke, reputatie) zonder ze aan te passen aan de specifieke infrastructuur, maar in het algemeen dekken ze een deel van de risico's. Al tijdens de implementatie en configuratie blijken moderne beveiligingssystemen achter te lopen en moeten ze reageren op de uitdagingen van de nieuwe tijd.<\/p>\n

\"ThreatBron<\/noindex><\/p>\n

Een van de antwoorden op de uitdagingen van deze tijd voor een specialist in informatietechnologie kan Threat Hunting-technologie zijn. De term Threat Hunting (hierna TH) is enkele jaren geleden ontstaan. De technologie zelf is vrij interessant, maar heeft nog geen algemeen aanvaarde normen en richtlijnen. Verder bemoeilijkt de verscheidenheid aan informatiebronnen en het geringe aantal Nederlandstalige bronnen over dit onderwerp de zaken. Daarom hebben we bij 'LANIT-Integratie' besloten om een soort overzicht van deze technologie te schrijven. <\/p>\n

Relevantie<\/h2>\n

\nDe TH-technologie is gebaseerd op de processen voor het monitoren van de infrastructuur. Er zijn twee belangrijke scenario's voor interne monitoring \u2013 Alerting en Hunting<\/a><\/noindex>Alerting (in the MSSP service type) is a traditional method that involves searching for previously developed signatures and signs of attacks and responding to them. This scenario is successfully handled by traditional signature-based protection tools. Hunting (the MDR service type) is a monitoring method that answers the question, 'Where do signatures and rules come from?'. This is the process of creating correlation rules by analyzing hidden or previously unknown indicators and signs of an attack. Threat Hunting is specifically related to this type of monitoring.<\/p>\n

\"Threat
\nOnly by combining both types of monitoring can we achieve near-ideal protection, but there will always be some level of residual risk.<\/p>\n

\"ThreatProtection using two types of monitoring<\/i><\/p>\n

And here's why TH (and hunting as a whole!) will become increasingly relevant:<\/p>\n

\"ThreatThreats, protection measures, risks.<\/i> Bron<\/a><\/noindex><\/p>\n

95% of all threats are already well understood.<\/a><\/noindex>. They include types such as spam, DDoS, viruses, rootkits, and other classic malware. Protection against these threats can be handled by the same classic protective measures.<\/p>\n

During the execution of any project 20% of the time takes up 80% of the work<\/a><\/noindex>, while the remaining 20% of the work takes 80% of the time. Similarly, among the entire threat landscape, 5% of new-type threats will account for 70% of the risk to the company. In a company where information security management processes are organized, we can manage 30% of the risk of known threats in one way or another, avoiding (eschewing wireless networks altogether), accepting (implementing necessary protective measures), or transferring (for example, to the integrator) this risk. However, protection against zero-day vulnerabilities<\/a><\/noindex>, APT attacks, phishing, supply chain attacks<\/a><\/noindex>, cyber espionage, and national operations, as well as a large number of other attacks, is significantly more complex. The consequences of these 5% of threats will be much more serious (the average loss amount for a bank from the buhtrap group is 143 million<\/a><\/noindex>), than the consequences of spam or viruses, which antivirus software can protect against.<\/p>\n

Almost everyone has to face 5% of threats. Recently, we had to install an open-source solution that uses an application from the PEAR (PHP Extension and Application Repository) repository. The attempt to install this application via pear install was unsuccessful because website<\/a><\/noindex> was niet beschikbaar (deze heeft nu een placeholder), dus we moesten het installeren vanaf GitHub. En onlangs bleek dat PEAR het slachtoffer is geworden van aanvallen via de toeleveringsketen<\/a><\/noindex>.<\/p>\n

\"Threat<\/p>\n

We kunnen ook herinneren aan de aanval met het gebruik van CCleaner<\/a><\/noindex>, de uitbraak van de ransomware NePetya via de update-module van de belastingaangifte software M.E.Doc<\/a><\/noindex>. Bedreigingen worden steeds geavanceerder en de logische vraag is: \"Hoe kunnen we deze 5% bedreigingen eigenlijk het hoofd bieden?\"<\/p>\n

Definitie van Threat Hunting<\/h2>\n

\nDus, Threat Hunting is een proactief en iteratief proces van het zoeken naar en ontdekken van geavanceerde bedreigingen die niet met traditionele beveiligingsmiddelen kunnen worden gedetecteerd. Geavanceerde bedreigingen omvatten bijvoorbeeld aanvallen zoals APT, aanvallen op 0-day kwetsbaarheden, Living off the Land, enzovoort.<\/p>\n

Het kan ook worden herformuleerd dat TH het proces is van het testen van hypothesen. Dit is voornamelijk een handmatig proces met elementen van automatisering, waarbij een analist, gebaseerd op zijn kennis en kwalificatie, grote hoeveelheden informatie doorzoekt op zoek naar tekenen van compromittering die overeenkomen met de vooraf gedefinieerde hypothese over de aanwezigheid van een bepaalde bedreiging. Een kenmerk ervan is de diversiteit aan informatiebronnen.<\/p>\n

Het is belangrijk op te merken dat Threat Hunting geen soort software- of hardwareproduct is. Het zijn geen meldingen die je in een bepaalde oplossing kunt zien. Het is geen proces van het zoeken naar IOC (indicatoren van compromittering). En het is geen passieve activiteit die plaatsvindt zonder de deelname van cybersecurity-analisten. Threat Hunting is in de eerste plaats een proces.<\/p>\n

Componenten van Threat Hunting<\/h2>\n

\n\"Threat
\nDe drie hoofdcomponenten van Threat Hunting: data, technologie\u00ebn, mensen.<\/p>\n

Data (wat?)<\/b>, waaronder ook Big Data. Allerlei verkeersstromen, informatie over eerdere APT-aanvallen, analyses, gebruikersactiviteitsgegevens, netwerkgegevens, informatie van medewerkers, informatie op het dark web, en veel meer.<\/p>\n

Technologie\u00ebn (hoe?)<\/b> voor het verwerken van deze data \u2013 alle mogelijke manieren voor de verwerking van deze data, inclusief Machine Learning.<\/p>\n

Mensen (wie?)<\/b> \u2013 degenen die veel ervaring hebben met het analyseren van verschillende aanvallen, met een ontwikkelde intu\u00eftie en het vermogen om aanvallen te detecteren. Gewoonlijk zijn dit informatiebeveiligingsanalisten, die in staat moeten zijn om hypothesen te genereren en deze te bevestigen. Zij zijn het belangrijkste schakeltje in het proces.<\/p>\n

PARIS-model<\/h2>\n

\nAdam Beitman beschrijft<\/a><\/noindex> het PARIS-model voor het ideale TH-proces. De naam verwijst naar een bekende bezienswaardigheid in Frankrijk. Dit model kan vanuit twee richtingen worden bekeken \u2013 van bovenaf en van onderaf.<\/p>\n

In het proces van het jagen op bedreigingen, van onder naar boven door het model, zullen we worden geconfronteerd met tal van bewijzen van kwaadaardige activiteit. Elk bewijs heeft een maatstaf, genaamd zekerheid \u2013 een eigenschap die het gewicht van dit bewijs weergeeft. Er zijn \"harde\", directe bewijzen van kwaadaardige activiteit, waarmee we onmiddellijk de top van de piramide kunnen bereiken en een feitelijke waarschuwing kunnen opstellen voor een precies bekende besmetting. En er zijn indirecte bewijzen, waarvan de optelsom ons ook naar de top van de piramide kan leiden. Zoals altijd zijn er veel meer indirecte bewijzen dan directe, wat betekent dat ze geclassificeerd en geanalyseerd moeten worden, verder onderzoek vereist is en dit idealiter geautomatiseerd moet worden.<\/p>\n

\"ThreatPARIS-model.<\/i> Bron<\/a><\/noindex><\/p>\n

De bovenkant van het model (1 en 2) is gebaseerd op automatiseringstechnologie\u00ebn en verschillende analyses, terwijl de onderkant (3 en 4) steunt op mensen met specifieke kwalificaties die het proces beheren. Het model kan ook van boven naar beneden worden bekeken, waarbij de blauwe bovenkant ons waarschuwingen biedt van traditionele beschermingsmiddelen (antivirus, EDR, firewall, handtekeningen) met een hoge mate van zekerheid en vertrouwen, terwijl lager statistieken (IOC, URL, MD5 en anderen) worden gepresenteerd die een lagere mate van zekerheid hebben en verder onderzoek vereisen. En het onderste en dikste niveau (4) \u2013 het genereren van hypothesen, het cre\u00ebren van nieuwe scenario's voor het functioneren van traditionele beschermingsmiddelen. Dit niveau is niet alleen beperkt tot de aangegeven bronnen van hypothesen. Hoe lager het niveau, hoe meer vereisten er zijn voor de kwalificatie van de analist.<\/p>\n

Het is zeer belangrijk dat analisten niet alleen een vaste set vooraf gedefinieerde hypothesen toetsen, maar voortdurend werken aan het genereren van nieuwe hypothesen en manieren om deze te testen.<\/p>\n

Volwassenheidsmodel voor het gebruik van TH<\/h2>\n

\nIn een ideale wereld is TH een continu proces. Maar omdat er geen ideale wereld bestaat, laten we het analyseren volwassenheidsmodel<\/a><\/noindex> en methoden in de context van mensen, processen en gebruikte technologie\u00ebn. Laten we het model van ideale sferische TH bekijken. Er zijn 5 niveaus in het gebruik van deze technologie. We zullen ze bekijken aan de hand van de evolutie van een specifiek team van analisten.<\/p>\n

Volwassenheidsniveaus<\/b>
\nMensen<\/b>
\nProcessen<\/b>
\nTechnologie\u00ebn<\/b><\/p>\n

Niveau 0<\/b>
\nSOC-analisten
\n24\/7
\nTraditionele tools:<\/p>\n

Traditioneel
\nEen set meldingen
\nPassieve monitoring
\nIDS, AV, Sandboxing,<\/p>\n

Zonder TH<\/i>
\nWerken met meldingen<\/p>\n

handmatige signatuuranalyses, gegevens van Threat Intelligence.<\/p>\n

Niveau 1<\/b>
\nSOC-analisten
\nEenmalige TH
\nEDR<\/p>\n

Experimenteel
\nBasiskennis van forensische techniek
\nZoeken naar IOC
\nDeels dekking van gegevens van netwerkapparaten<\/p>\n

Experimenteren met TH<\/i>
\nGoede kennis van netwerken en applicatie-informatie<\/p>\n

Deeltijds gebruik<\/p>\n

Niveau 2<\/b>
\nTijdelijke bezigheid
\nSprints
\nEDR<\/p>\n

Periodiek
\nGemiddelde kennis van forensische techniek
\nEen week per maand
\nVolledige toepassing<\/p>\n

Tijdelijke TH<\/i>
\nUitstekende kennis van netwerken en applicatie-informatie
\nRegelmatige TH
\nVolledige automatisering van het gebruik van EDR-gegevens<\/p>\n

Deeltijd gebruik van geavanceerde EDR-mogelijkheden<\/p>\n

Niveau 3<\/b>
\nToegewijd TH-team
\n24\/7
\nDeeltijd mogelijkheid om TH-hypotheses te controleren<\/p>\n

Preventief
\nUitstekende kennis van forensische techniek en malware
\nPreventieve TH
\nVolledige benutting van de geavanceerde EDR-mogelijkheden<\/p>\n

Bijzondere gevallen van TH<\/i>
\nUitstekende kennis van de aanvallende zijde
\nBijzondere gevallen van TH
\nVolledige dekking van gegevens van netwerkapparaten<\/p>\n

Configuratie op basis van behoeften<\/p>\n

Niveau 4<\/b>
\nToegewijd TH-team
\n24\/7
\nVolledige mogelijkheid om TH-hypotheses te controleren<\/p>\n

Leidend
\nUitstekende kennis van forensische techniek en malware
\nPreventieve TH
\nNiveau 3, plus:<\/p>\n

Gebruik van TH<\/i>
\nUitstekende kennis van de aanvallende zijde
\nControle, automatisering en verificatie van TH-hypotheses
\nnauw ge\u00efntegreerde gegevensbronnen;<\/p>\n

Onderzoeksvermogen<\/p>\n

ontwikkeling op basis van behoeften en ongebruikelijk gebruik van API's.<\/p>\n

Volwassenheidsniveaus van TH in de context van mensen, processen en technologie\u00ebn<\/i><\/p>\n

Niveau 0:<\/b> traditioneel, zonder gebruik van TH. Gewone analisten werken met een standaardset meldingen in passieve monitoring met behulp van standaardtools en technologie\u00ebn: IDS, AV, sandboxing, signatuuranalyse.<\/p>\n

Niveau 1:<\/b> experimenteel, met gebruik van TH. Dezelfde analisten met basiskennis van forensisch onderzoek en goede kennis van netwerken en de praktische kant kunnen een eenmalige Threat Hunting uitvoeren door naar indicatoren van compromittering te zoeken. De tools worden aangevuld met EDR met gedeeltelijke dekking van gegevens van netwerkapparaten. De tools worden gedeeltelijk toegepast.<\/p>\n

Niveau 2:<\/b> periodiek, tijdelijk TH. Dezezelfde analisten, die hun kennis over forensisch onderzoek, netwerken en de praktische aspecten al hebben verbeterd, moeten regelmatig aan Threat Hunting deelnemen, laten we zeggen een week per maand. Tot de instrumenten behoren een volledige gegevensanalyse van netwerkapparatuur, automatisering van gegevensanalyse van EDR en gedeeltelijk gebruik van de geavanceerde mogelijkheden van EDR.<\/p>\n

Niveau 3:<\/b> preventief, frequente gevallen van TH. Onze analisten hebben zich georganiseerd in een speciaal team, hebben uitstekende kennis van forensisch onderzoek en malware, alsook kennis van de methoden en tactieken van de aanvallende partij. Het proces wordt al uitgevoerd in een 24\/7-modus. Het team is in staat om gedeeltelijk hypothesen voor TH te testen, volledig gebruikmakend van de geavanceerde mogelijkheden van EDR met volledige dekking van gegevens van netwerkapparaten. Daarnaast kunnen analisten de tools aanpassen aan hun behoeften.<\/p>\n

Niveau 4:<\/b> leidend, gebruik van TH. Hetzelfde team heeft de capaciteit verworven voor onderzoek, het vermogen om het proces van hypothesetests voor TH te genereren en te automatiseren. Nu zijn er ook nauwe integratie van gegevensbronnen, ontwikkeling van software op maat en ongebruikelijk gebruik van API toegevoegd aan de tools.<\/p>\n

Threat Hunting technieken<\/h2>\n

\n\"ThreatBasis technieken voor Threat Hunting<\/i><\/p>\n

Voor de technieken<\/a><\/noindex> TH in volgorde van volwassenheid van de gebruikte technologie behoren: basiszoekopdrachten, statistische analyse, visualisatietechnieken, eenvoudige aggregaties, machine learning en Bayesiaanse methoden. <\/p>\n

De eenvoudigste methode is basiszoeken, dat wordt gebruikt om het onderzoeksgebied te verkleinen met behulp van specifieke verzoeken. Statistische analyse wordt bijvoorbeeld toegepast om typische gebruikers- of netwerkactiviteit te modelleren in de vorm van een statistisch model. Visualisatietechnieken worden gebruikt voor een duidelijke weergave en vereenvoudiging van data-analyse in de vorm van grafieken en diagrammen, waarin patronen in de steekproef veel gemakkelijker te herkennen zijn. De techniek van eenvoudige aggregatie op belangrijke velden wordt gebruikt voor het optimaliseren van zoekopdrachten en analyses. Hoe hoger het volwassenheidsniveau van het TH-proces binnen de organisatie, hoe relevanter het gebruik van machine learning-algoritmes wordt. Deze worden ook veelvuldig toegepast bij spamfiltering, detectie van kwaadwillend verkeer en opsporing van fraude. Een geavanceerder type machine learning-algoritme zijn de Bayesiaanse methoden, die classificatie, dimensiereductie van steekproeven en thematische modellering mogelijk maken.<\/p>\n

Het Diamantmodel en TH-strategie\u00ebn<\/h2>\n

\nSergio Caltagirone, Andrew Pendergast en Christopher Betz toonden in hun werk \"The Diamond Model of Intrusion Analysis<\/a><\/noindex>\" de belangrijkste sleutelcomponenten van elke kwaadaardige activiteit en de basisrelatie tussen deze componenten aan.<\/p>\n

\"ThreatHet diamantmodel voor kwaadaardige activiteit<\/i><\/p>\n

Volgens dit model zijn er 4 Threat Hunting-strategie\u00ebn die zijn gebaseerd op de respectieve sleutelcomponenten.<\/p>\n

1. De slachtoffergerichte strategie. We nemen aan dat het slachtoffer vijanden heeft, die \"kansen\" zullen bieden via e-mail. We zoeken naar gegevens van de tegenstander in de e-mail. Zoek naar links, bijlagen, enz. We zoeken naar bevestiging van deze hypothese voor een bepaalde periode (een maand, twee weken), als we niets vinden, heeft de hypothese geen stand gehouden.<\/p>\n

2. De infrastructuurgerichte strategie. Er zijn verschillende methoden voor het gebruik van deze strategie. Afhankelijk van toegang en zichtbaarheid zijn sommige eenvoudiger dan andere. Bijvoorbeeld, we monitoren domeinnaamservers die bekend staan om kwaadaardige domeinen te hosten. Of we volgen alle nieuwe domeinnaamregistraties op zoek naar bekende patronen die door de tegenstander worden gebruikt.<\/p>\n

3. Kans-geori\u00ebnteerde strategie. Behalve de slachtoffer-geori\u00ebnteerde strategie die door de meeste netwerkbeschermers wordt gebruikt, is er de kans-geori\u00ebnteerde strategie. Dit is de op \u00e9\u00e9n na populairste aanpak en richt zich op het detecteren van kansen van de tegenstander, namelijk 'malware' en de mogelijkheid voor de tegenstander om legitieme tools te gebruiken zoals psexec, powershell, certutil en anderen.<\/p>\n

4. Tegenstander-geori\u00ebnteerde strategie. De tegenstander-geori\u00ebnteerde aanpak richt zich op de tegenstander zelf. Dit omvat het gebruik van openbare informatie uit openbare bronnen (OSINT), het verzamelen van gegevens over de tegenstander, zijn technieken en methoden (TTP), het analyseren van eerder voorgevallen incidenten, threat intelligence-gegevens, enzovoort.<\/p>\n

Informatiebronnen en hypothesen in TH<\/h2>\n

\n\"ThreatEnkele informatiebronnen voor Threat Hunting<\/i><\/p>\n

Er zijn veel informatiebronnen. Een perfecte analist moet in staat zijn om informatie te verzamelen uit alles wat er om hem heen is. Typische informatiebronnen in bijna elke infrastructuur zijn gegevens van beveiligingsmiddelen: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Daarnaast zijn allerlei indicatoren van compromittering, threat intelligence-diensten, gegevens van CERT en OSINT ook typische informatiebronnen. Extra kan informatie uit het dark web worden gebruikt (bijvoorbeeld plotseling is er een verzoek om de e-mail van de directeur van de organisatie te hacken, of iemand heeft zich gemeld als kandidaat voor de functie van netwerktechnicus), informatie van HR (recensies over de kandidaat van voorafgaande werkplek) en informatie van de beveiligingsdienst (bijvoorbeeld de resultaten van de controle van de tegenpartij).<\/p>\n

Maar voordat je al deze beschikbare bronnen gebruikt, moet je tenminste \u00e9\u00e9n hypothese hebben.<\/p>\n

\"ThreatBron<\/a><\/noindex><\/p>\n

Om hypothesen te controleren, moeten ze eerst worden geformuleerd. En om veel kwalitatieve hypothesen op te stellen, is een systematische aanpak noodzakelijk. Het proces van hypothesegeneratie wordt meer gedetailleerd beschreven in artikel<\/a><\/noindex>, voor het proces van hypotheseformulering is het handig om dit schema als basis te nemen.<\/p>\n

De belangrijkste bron van hypothesen zal zijn de ATT&CK-matrix<\/b> (Adversarial Tactics, Techniques and Common Knowledge). Het is in wezen een kennisdatabase en een model voor het evalueren van het gedrag van aanvallers die hun activiteiten uitvoeren in de laatste fasen van een aanval, meestal beschreven met behulp van het concept Kill Chain. Dit betekent de fasen na de inbraak van de aanvaller in het interne netwerk van een onderneming of op een mobiel apparaat. Aanvankelijk omvatte de kennisdatabase een beschrijving van 121 tactieken en technieken die tijdens aanvallen worden gebruikt, elk gedetailleerd beschreven in Wiki-formaat. Diverse Threat Intelligence-analyses zijn goed als bron voor het genereren van hypotheses. Bijzonder waardevol zijn de resultaten van infrastructuuranalyses en penetratietests \u2013 dit zijn de meest waardevolle gegevens die ons solide hypothesen kunnen geven omdat ze zijn gebaseerd op specifieke infrastructuren met hun specifieke kwetsbaarheden.<\/p>\n

Het proces van hypotheseverificatie<\/h2>\n

\nSergei Soldatov presenteerde een goede schema<\/a><\/noindex> met een gedetailleerde beschrijving van het proces, het illustreert het proces van het verifi\u00ebren van TH-hypotheses in een specifiek systeem. Ik zal de belangrijkste stappen met een korte beschrijving aangeven.<\/p>\n

\"ThreatBron<\/a><\/noindex> <\/p>\n

Stap 1: TI Farm<\/b><\/p>\n

In deze stap moeten we objecten<\/b> (door hun analyse samen met alle gegevens over bedreigingen) identificeren en hen labels toekennen op basis van hun kenmerken. Dit kan een bestand, URL, MD5, proces, hulpmiddel of gebeurtenis zijn. Door deze te laten passeren via Threat Intelligence-systemen, moeten ze worden gelabeld. Dit betekent dat deze site in dat jaar in CNC is waargenomen, deze MD5 was gekoppeld aan bepaalde malware, deze MD5 werd gedownload van een site die malware verspreidde.<\/p>\n

Stap 2: Cases<\/b><\/p>\n

In de tweede stap kijken we naar de interactie tussen deze objecten en identificeren we de relaties tussen al deze objecten. We krijgen gemarkeerde systemen te zien die iets ongehoord doen.<\/p>\n

Stap 3: Analist<\/b><\/p>\n

In de derde stap wordt het dossier overgedragen aan een ervaren analist met uitgebreide ervaring in analyse; hij velt het oordeel. Hij analyseert tot op byte-niveau wat, waar, hoe, waarom deze code doet wat hij doet. Dit lichaam was malware, deze computer was ge\u00efnfecteerd. Hij onthult de verbindingen tussen de objecten en controleert de resultaten van de sandbox-test.<\/p>\n

De resultaten van de analist worden verder doorgegeven. Digital Forensics onderzoekt de beelden, Malware Analysis onderzoekt de gevonden 'lichamen', en het Incident Response-team kan ter plaatse gaan om daar iets verder te onderzoeken. Het eindresultaat zal een bevestigde hypothese zijn, een blootgelegde aanval en manieren om deze tegen te gaan.<\/p>\n

\"ThreatBron<\/a><\/noindex>
\n \u00a0<\/p>\n

Conclusies<\/h2>\n

\nThreat Hunting is een relatief nieuwe technologie die effectief kan ingaan tegen gepersonaliseerde, nieuwe en onconventionele bedreigingen, en die grote vooruitzichten heeft gezien de groei van dergelijke bedreigingen en de complexiteit van bedrijfsinfrastructuren. Hiervoor zijn drie elementen nodig: data, tools en analisten. De voordelen van Threat Hunting beperken zich niet tot het voorkomen van bedreigingen. We moeten niet vergeten dat we tijdens de zoektocht onszelf verdiepen in onze infrastructuur en haar zwakke punten vanuit het perspectief van een beveiligingsspecialist, en deze punten kunnen versterken.<\/p>\n

De eerste stappen die, naar ons idee, gezet moeten worden om het TH-proces binnen uw organisatie te starten.<\/p>\n

    \n
  1. Zorg voor de beveiliging van eindpunten en netwerkinfrastructuur. Zorg voor zichtbaarheid (NetFlow) en controle (firewall, IDS, IPS, DLP) van alle processen in uw netwerk. Ken uw netwerk van de randrouter tot de laatste host.<\/li>\n
  2. Onderzoeken MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Voer regelmatig pentests uit van ten minste de belangrijkste externe bronnen, analyseer de resultaten, identificeer de belangrijkste doelen voor aanvallen en sluit hun kwetsbaarheden.<\/li>\n
  4. Integreer een open-source Threat Intelligence-systeem (bijvoorbeeld MISP, Yeti) en voer de loganalyse samen met dit systeem uit.<\/li>\n
  5. Implementeer een Incident Response Platform (IRP): R-Vision IRP, The Hive, sandbox voor de analyse van verdachte bestanden (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatiseer routinematige processen. Loganalyse, incidentregistratie, personeel informeren \u2013 dit is een groot gebied voor automatisering.<\/li>\n
  7. Leer effectief samen te werken met ingenieurs, ontwikkelaars en technische ondersteuning om gezamenlijk aan incidenten te werken.<\/li>\n
  8. Documenteer het hele proces, de belangrijkste punten, de behaalde resultaten, zodat je deze later kan terugzien of delen met collega's.<\/li>\n
  9. Vergeet de sociale kant niet: wees op de hoogte van wat er gebeurt met uw medewerkers, wie u in dienst neemt en wie u toegang verleent tot de informatiemiddelen van de organisatie.<\/li>\n
  10. Op de hoogte blijven van trends op het gebied van nieuwe bedreigingen en beschermingsmethoden, uw technische kennis verhogen (inclusief in de werking van IT-diensten en subsystemen), conferenties bijwonen en communiceren met collega's.<\/li>\n<\/ol>\n

    \nIk ben bereid om het proces van TH in de opmerkingen te bespreken.<\/p>\n

    Of kom bij ons werken!<\/b><\/p>\n