95% zagrożeń bezpieczeństwa informacyjnego jest znanych, a zabezpieczenie się przed nimi można za pomocą tradycyjnych środków, takich jak programy antywirusowe, zapory sieciowe, IDS, WAF. Pozostałe 5% zagrożeń to te nieznane, a zarazem najbardziej niebezpieczne. Stanowią one 70% ryzyka dla firmy, ponieważ trudności w ich wykrywaniu i ochronie są znaczące. Przykłady to epidemie ransomware WannaCry, NotPetya/ExPetr, koparki kryptowalut, „broń cybernetyczna” Stuxnet (atakująca obiekty jądrowe w Iranie) oraz wiele (ktoś jeszcze pamięta Kido/Conficker?) innych ataków, przed którymi niełatwo jest chronić się klasycznymi metodami ochrony. O tym, jak przeciwdziałać tym 5% zagrożeń za pomocą technologii Threat Hunting, chcemy porozmawiać.
Nieustanny rozwój cyberataków wymaga ciągłego wykrywania i przeciwdziałania, co ostatecznie prowadzi nas do myśli o niekończącej się wyścigu zbrojeń między przestępcami a obrońcami. Klasyczne systemy ochrony już nie są w stanie zapewnić akceptowalnego poziomu bezpieczeństwa, przy którym poziom ryzyka nie wpływa na kluczowe wskaźniki firmy (ekonomiczne, polityczne, reputacyjne) bez ich dostosowania do konkretnej infrastruktury, ale w ogólnym zarysie zamykają część ryzyk. Już w trakcie wdrażania i konfiguracji nowoczesne systemy ochrony okazują się być w roli goniącego i muszą odpowiadać na wyzwania nowej epoki.
Jednym z odpowiedzi na wyzwania współczesności dla specjalisty ds. bezpieczeństwa IT może być technologia Threat Hunting. Termin Threat Hunting (dalej w tekście — TH) pojawił się kilka lat temu. Sama technologia jest dość interesująca, ale nie ma jeszcze żadnych powszechnie przyjętych standardów i zasad. Dodatkowo sytuację utrudnia różnorodność źródeł informacji i niewielka ilość źródeł w języku rosyjskim na ten temat. W związku z tym w „LANIT-Integracji” postanowiliśmy napisać pewnego rodzaju przegląd tej technologii.
Aktualność
Technologia TH opiera się na procesach monitorowania infrastruktury.. Alerting (in the form of MSSP services) is a traditional method that involves searching for previously developed signatures and attack indicators and responding to them. This scenario is effectively carried out by traditional signature-based protection tools. Hunting (an MDR service) is a monitoring method that answers the question, 'Where do signatures and rules come from?'. It is the process of creating correlation rules by analyzing hidden or previously unknown attack indicators and signs. This type of monitoring is what Threat Hunting refers to.
Only by combining both types of monitoring can we achieve nearly perfect protection, though there will always be some level of residual risk.
Protection using both types of monitoring
And here's why TH (and hunting in general!) will become increasingly relevant:
Threats, protection tools, risks.
. These include types such as spam, DDoS, viruses, rootkits, and other classic malicious software. These threats can be countered with the same classic protection measures.
In the course of any project, while the remaining 20% of work takes 80% of the time. Similarly, among the entire threat landscape, 5% of new type threats will account for 70% of the risk to the company. In a company where information security management processes are organized, we can manage 30% of the risk from known threats in some way, whether by avoiding (giving up wireless networks altogether), accepting (implementing necessary protection measures), or transferring (for example, to the integrator's shoulders) this risk. However, protecting against, APT attacks, phishing,, cyber espionage, and national operations, as well as a large number of other attacks is much more challenging. The consequences of these 5% threats will be much more severe (), than the consequences of spam or viruses, from which antivirus software provides protection.
Almost everyone faces 5% of threats. Recently, we had to install an open-source solution that uses an application from the PEAR (PHP Extension and Application Repository) repository. The attempt to install this application via pear install failed because był niedostępny (teraz już jest na nim zawieszona wiadomość), musiałem go zainstalować z GitHub. A dosłownie niedawno okazało się, że PEAR stał się ofiarą.
Można również wspomnieć o, epidemii ransomware NePetya przez moduł aktualizacji programu do sporządzania raportów podatkowych. Zagrożenia stają się coraz bardziej wyrafinowane, a pojawia się logiczne pytanie – „Jak więc przeciwdziałać tym 5% zagrożeń?”
Definicja Threat Hunting
Zatem Threat Hunting – to proces proaktywnego i iteracyjnego poszukiwania oraz wykrywania zaawansowanych zagrożeń, które nie mogą być wykryte za pomocą tradycyjnych środków ochrony. Do zaawansowanych zagrożeń należą na przykład ataki APT, ataki na luki 0-day, Living off the Land i inne.
Można to również przeformułować, że TH – to proces weryfikacji hipotez. To głównie ręczny proces z elementami automatyzacji, w ramach którego analityk, opierając się na swojej wiedzy i kwalifikacjach, przeszukuje duże ilości informacji w poszukiwaniu oznak kompromitacji zgodnych z wcześniej określoną hipotezą o obecności konkretnego zagrożenia. Jego szczególną cechą jest różnorodność źródeł informacji.
Należy zauważyć, że Threat Hunting – to nie jakiś programowy lub sprzętowy produkt. To nie alerty, które można zobaczyć w jakimś rozwiązaniu. To nie proces wyszukiwania IOC (identyfikatorów kompromitacji). I to nie jest jakaś pasywna aktywność, która odbywa się bez udziału analityków bezpieczeństwa IT. Threat Hunting – przede wszystkim proces.
Składniki Threat Hunting
Trzy podstawowe składniki Threat Hunting: dane, technologie, ludzie.
Dane (co?), w tym Big Data. Różnorodne strumienie ruchu, informacje o wcześniej przeprowadzonych APT, analizy, dane o aktywności użytkowników, dane sieciowe, informacje od pracowników, informacje z dark webu i wiele innych.
Technologie (jak?) przetwarzania tych danych – wszystkie możliwe metody przetwarzania tych danych, w tym Uczenie Maszynowe.
Ludzie (kto?) – ci, którzy mają duże doświadczenie w analizie różnorodnych ataków, rozwiniętą intuicję i zdolność do wykrywania ataków. Zwykle są to analitycy bezpieczeństwa informacji, którzy powinni mieć zdolność do generowania hipotez i znajdowania ich potwierdzenia. Są oni kluczowym ogniwem procesu.
Model PARIS
Adam Bejtman model PARIS dla idealnego procesu TH. Nazwa sugeruje znaną atrakcję turystyczną we Francji. Ten model można rozpatrywać w dwóch kierunkach – od góry do dołu i odwrotnie.
W procesie polowania na zagrożenia, poruszając się według modelu od dołu do góry, będziemy mieli do czynienia z wieloma dowodami złośliwej aktywności. Każdy dowód ma określoną miarę, taką jak pewność – cecha, która odzwierciedla wagę tego dowodu. Są „żelazne”, bezpośrednie dowody złośliwej aktywności, na podstawie których możemy od razu dotrzeć do szczytu piramidy i stworzyć rzeczywiste powiadomienie o znanym zakażeniu. Istnieją także pośrednie dowody, których suma może również doprowadzić nas do szczytu piramidy. Jak zawsze, dowodów pośrednich jest znacznie więcej niż bezpośrednich, co oznacza, że muszą być sortowane i analizowane, przeprowadzać dodatkowe badania, a najlepiej automatyzować ten proces.
Model PARIS.
Górna część modelu (1 i 2) opiera się na technologiach automatyzacji i różnorodnej analityce, a dolna część (3 i 4) na ludziach o określonych kwalifikacjach, którzy zarządzają procesem. Model można rozpatrywać, poruszając się od góry do dołu, gdzie w górnej części niebieskiej znajdują się powiadomienia z tradycyjnych środków ochrony (antywirus, EDR, zapora, sygnatury) z wysokim poziomem pewności i zaufania, a poniżej wskaźniki (IOC, URL, MD5 i inne), które mają niższy poziom pewności i wymagają dodatkowego zbadania. A najniższy i najszerszy poziom (4) – generacja hipotez, tworzenie nowych scenariuszy działania tradycyjnych środków ochrony. Ten poziom nie ogranicza się tylko do wymienionych źródeł hipotez. Im niższy poziom, tym większe wymagania stawiane przed kwalifikacjami analityka.
Bardzo ważne jest, aby analitycy nie tylko sprawdzali zamknięty zestaw wcześniej określonych hipotez, ale nieustannie pracowali nad generowaniem nowych hipotez i sposobów ich weryfikacji.
Model dojrzałości użycia TH
W idealnym świecie TH jest nieprzerwanym procesem. Jednak ponieważ idealny świat nie istnieje, przyjrzyjmy się i metodom w kontekście ludzi, procesów i używanych technologii. Rozważmy model idealnego sferycznego TH. Istnieje 5 poziomów użycia tej technologii. Przeanalizujmy je na przykładzie ewolucji konkretnego zespołu analityków.
Poziomy dojrzałości
Ludzie
Procesy
Technologie
Poziom 0
Analitycy SOC
24/7
Tradycyjne narzędzia:
Tradycyjny
Zestaw alertów
Pasywne monitorowanie
IDS, AV, Sandboxing,
Bez TH
Praca z alertami
narzędzia analizy sygnatur, dane Threat Intelligence.
Poziom 1
Analitycy SOC
Jednorazowy TH
EDR
Eksperymentalny
Podstawowa wiedza o forenzice
Wyszukiwanie IOC
Częściowy zasięg danych z urządzeń sieciowych
Eksperymenty z TH
Dobra znajomość sieci i części aplikacyjnej
Częściowe zastosowanie
Poziom 2
Tymczasowe zajęcie
Sprinty
EDR
Okresowe
Średnia wiedza o forenzice
Tydzień w miesiącu
Pełne zastosowanie
Tymczasowy TH
Doskonała znajomość sieci i części aplikacyjnej
Regularny TH
Pełna automatyzacja wykorzystania danych EDR
Częściowe wykorzystanie rozszerzonych możliwości EDR
Poziom 3
Dedykowany zespół TH
24/7
Częściowa możliwość weryfikacji hipotez TH
Prewencyjny
Doskonała wiedza o forenzice i złośliwym oprogramowaniu
Prewencyjny TH
Pełne wykorzystanie rozszerzonych możliwości EDR
Przypadki TH
Doskonała znajomość strony atakującej
Przypadki TH
Pełny zasięg danych z urządzeń sieciowych
Konfiguracja według potrzeb
Poziom 4
Dedykowany zespół TH
24/7
Pełna zdolność weryfikacji hipotez TH
Liderski
Doskonała wiedza o forenzice i złośliwym oprogramowaniu
Prewencyjny TH
Poziom 3, plus:
Wykorzystanie TH
Doskonała znajomość strony atakującej
Weryfikacja, automatyzacja i weryfikacja hipotez TH
ścisła integracja źródeł danych;
Zdolność do badań
rozwój według potrzeb i nietypowe użycie API.
Poziomy dojrzałości TH w kontekście ludzi, procesów i technologii
Poziom 0: tradycyjny, bez użycia TH. Zwykli analitycy pracują z standardowym zestawem alertów w trybie pasywnego monitorowania przy użyciu standardowych narzędzi i technologii: IDS, AV, piaskownice, narzędzia analizy sygnatur.
Poziom 1: eksperymentalny, przy użyciu TH. Ci sami analitycy z podstawową wiedzą z zakresu forenziki i dobrą znajomością sieci oraz części aplikacyjnej mogą przeprowadzić jednorazowe Threat Hunting poprzez poszukiwanie wskaźników kompromitacji. Do narzędzi dodawane są EDR z częściowym zasięgiem danych z urządzeń sieciowych. Narzędzia są stosowane częściowo.
Poziom 2: okresowy, tymczasowy TH. Tym samym analitykom, którzy już zwiększyli swoją wiedzę z zakresu forenziki, sieci i części aplikacyjnej, przypisuje się obowiązek regularnego angażowania się (sprint) w Threat Hunting, powiedzmy, tydzień w miesiącu. Do narzędzi dodawane jest pełne badanie danych z urządzeń sieciowych, automatyzacja analizy danych z EDR oraz częściowe wykorzystanie zaawansowanych możliwości EDR.
Poziom 3: prewencyjny, częste przypadki TH. Nasi analitycy zorganizowali się w wydzielony zespół, zdobyli doskonałą wiedzę z zakresu forenziki i złośliwego oprogramowania, a także wiedzę o metodach i taktykach działania strony atakującej. Proces jest już realizowany w trybie 24/7. Zespół jest w stanie częściowo weryfikować hipotezy TH, w pełni wykorzystując zaawansowane możliwości EDR z pełnym zasięgiem danych z urządzeń sieciowych. Analitycy mogą również dostosowywać narzędzia do swoich potrzeb.
Poziom 4: liderujący, użycie TH. Ten sam zespół zdobył zdolność do badań, umiejętność generowania i automatyzacji procesu weryfikacji hipotez TH. Teraz do narzędzi dodana została ścisła integracja źródeł danych, rozwój oprogramowania pod potrzeby oraz niestandardowe wykorzystanie API.
Techniki Threat Hunting
Podstawowe techniki Threat Hunting
Do TH w kolejności dojrzałości używanej technologii należą: podstawowe wyszukiwanie, analiza statystyczna, techniki wizualizacji, proste agregacje, uczenie maszynowe oraz metody bayesowskie.
Najprostsza metoda – podstawowe wyszukiwanie, używana do zawężania obszaru badań za pomocą określonych zapytań. Analiza statystyczna jest stosowana na przykład do budowania typowego modelu aktywności użytkowników lub sieci w postaci modelu statystycznego. Techniki wizualizacji są używane do graficznego przedstawienia i uproszczenia analizy danych w postaci wykresów i diagramów, na których znacznie łatwiej dostrzega się wzorce w próbie. Technika prostych agregacji według kluczowych pól jest stosowana do optymalizacji wyszukiwania i analizy. Im wyższego poziomu dojrzałości proces TH osiąga w organizacji, tym bardziej aktualne staje się wykorzystanie algorytmów uczenia maszynowego. Są one również szeroko stosowane między innymi przy filtracji spamu, wykrywaniu złośliwego ruchu oraz detekcji oszustw. Bardziej zaawansowany typ algorytmów uczenia maszynowego – metody bayesowskie, które umożliwiają klasyfikację, redukcję wymiarowości próby oraz modelowanie tematyczne.
Model diamentu i strategie TH
Sergio Kaltagirone, Andrew Pendergast i Christopher Betz w swojej pracy „” pokazali podstawowe kluczowe elementy każdej złośliwej aktywności oraz podstawowe powiązania między nimi.
Model diamentu dla złośliwej aktywności
Zgodnie z tym modelem istnieją 4 strategie Threat Hunting, które opierają się na odpowiednich kluczowych elementach.
1. Strategia skoncentrowana na ofierze. Zakładamy, że ofiara ma przeciwników, którzy będą dostarczać «możliwości» za pomocą e-maila. Szukamy danych wroga w poczcie. Poszukujemy linków, załączników itp. Sprawdzamy potwierdzenie tej hipotezy przez określony czas (miesiąc, dwa tygodnie), jeśli nie znajdziemy, hipoteza się nie sprawdziła.
2. Strategia skoncentrowana na infrastrukturze. Istnieje kilka metod wykorzystania tej strategii. W zależności od dostępu i widoczności niektóre z nich są łatwiejsze niż inne. Na przykład monitorujemy serwery nazw domen, które są znane z hostingu złośliwych domen. Lub prowadzimy proces śledzenia wszystkich nowych rejestracji nazw domen pod kątem znanego wzoru stosowanego przez przeciwnika.
3. Strategia oparta na możliwościach. Oprócz strategii opartej na ofierze, stosowanej przez większość sieciowych obrońców, istnieje strategia oparta na możliwościach. Jest to druga co do popularności strategia, koncentrująca się na wykrywaniu możliwości ze strony przeciwnika, a mianowicie „złośliwego oprogramowania” oraz możliwości wykorzystania przez przeciwnika takich legalnych narzędzi jak psexec, powershell, certutil i innych.
4. Strategia ukierunkowana na przeciwnika. Podejście skoncentrowane na przeciwniku skupia się na samym przeciwniku. Obejmuje to wykorzystanie informacji dostępnych z publicznych źródeł (OSINT), zbieranie danych o przeciwniku, jego technikach i metodach (TTP), analizę wcześniejszych incydentów, danych Threat Intelligence itp.
Źródła informacji i hipotez w TH
Niektóre źródła informacji do Threat Hunting
Może być bardzo wiele źródeł informacji. Idealny analityk powinien umieć pozyskiwać informacje z wszystkiego, co go otacza. Typowymi źródłami praktycznie w każdej infrastrukturze będą dane z systemów ochrony: DLP, SIEM, IDS/IPS, WAF/FW, EDR. Innymi typowymi źródłami informacji będą różnorodne wskaźniki kompromitacji, usługi Threat Intelligence, dane CERT oraz OSINT. Dodatkowo można korzystać z informacji z dark webu (na przykład nagle pojawia się zamówienie na włamanie do skrzynki e-mailowej kierownika organizacji, czy osoba, która angażuje się w działalność, ujawnia się jako kandydat na stanowisko sieciowego inżyniera), informacje pozyskane od HR (opinie o kandydacie z poprzedniego miejsca pracy), informacje od służby bezpieczeństwa (na przykład wyniki sprawdzenia kontrahenta).
Jednak zanim zaczniemy korzystać ze wszystkich dostępnych źródeł, musimy mieć przynajmniej jedną hipotezę.
Aby weryfikować hipotezy, muszą być najpierw sformułowane. A aby formułować wiele wysokiej jakości hipotez, należy stosować podejście systemowe. Proces generowania hipotez został bardziej szczegółowo opisany w, jako podstawę procesu formułowania hipotez warto przyjąć ten schemat.
Głównym źródłem hipotez będzie matryca ATT&CK (Techniki, Taktiki i Wiedza o Zagrażających Zjawiskach). W istocie jest to baza wiedzy oraz model służący do oceny zachowań przestępców realizujących swoje działania na ostatnich etapach ataku, zwykle opisywanych za pomocą pojęcia Kill Chain. Oznacza to etapy po wniknięciu przestępcy do wewnętrznej sieci przedsiębiorstwa lub na urządzenie mobilne. Początkowo baza wiedzy zawierała opis 121 taktyk i technik stosowanych podczas ataku, z których każda jest szczegółowo opisana w formacie Wiki. Różnorodna analityka Threat Intelligence doskonale nadaje się jako źródło do generowania hipotez. Szczególnie warto zaznaczyć wyniki analizy infrastruktury oraz testy penetracyjne – są to najbardziej cenne dane, które mogą dostarczyć nam solidne hipotezy, ponieważ opierają się na konkretnej infrastrukturze z jej określonymi słabościami.
Proces weryfikacji hipotez
Siergiej Sołdatow zaprezentował z dokładnym opisem procesu, która ilustruje proces weryfikacji hipotez TH w danym systemie. Wskaźmy podstawowe etapy z krótkim opisem.
Etap 1: Farma TI
Na tym etapie należy wyodrębnić obiekty (poprzez ich analizę wspólnie ze wszystkimi danymi o zagrożeniach) z przypisaniem im etykiet charakteryzujących je. Może to być plik, URL, MD5, proces, narzędzie, zdarzenie. Przechodząc przez systemy Threat Intelligence, trzeba nałożyć etykiety. Oznacza to, że ta strona została zauważona w CNC w danym roku, ten MD5 był związany z konkretnym malwarem, ten MD5 był pobierany z witryny, która rozprowadzała malware.
Etap 2: Przypadki
Na drugim etapie przyglądamy się interakcji między tymi obiektami i identyfikujemy między nimi powiązania. Uzyskujemy oznaczone systemy, które wykonują coś niedobrego.
Etap 3: Analityk
Na trzecim etapie sprawa jest przekazywana do doświadczonego analityka, który ma ogromne doświadczenie w analizie, i to on wydaje werdykt. Rozbiera na czynniki pierwsze, co, skąd, jak, dlaczego i po co wykonuje ten kod. Ten element był złośliwy, ten komputer był zainfekowany. Odkrywa powiązania między obiektami, sprawdza wyniki w piaskownicy.
Wyniki pracy analityka są przekazywane dalej. Digital Forensics bada obrazy, Malware Analysis analizuje znalezione „dzięki”, a zespół Incident Response może udać się na miejsce i zbadać coś już tam. Efektem pracy będzie potwierdzona hipoteza, ujawniony atak oraz sposoby przeciwdziałania mu.
Podsumowanie
Threat Hunting to stosunkowo młoda technologia, która potrafi skutecznie przeciwdziałać dostosowanym, nowym i niestandardowym zagrożeniom, a jej perspektywy są obiecujące w obliczu rosnącej liczby takich zagrożeń i komplikacji w infrastrukturze korporacyjnej. Potrzebne są do niej trzy składniki – dane, narzędzia i analitycy. Korzyści z Threat Hunting nie ograniczają się do zapobiegania realizacji zagrożeń. Nie zapominajmy, że w trakcie poszukiwania wkraczamy w swoją infrastrukturę i jej słabe punkty oczami analityka-specjalisty od bezpieczeństwa, co pozwala na dodatkowe wzmocnienie tych miejsc.
Pierwsze kroki, które naszym zdaniem należy podjąć, aby rozpocząć proces TH w swojej organizacji.
- Zadbać o ochronę punktów końcowych i infrastruktury sieciowej. Zapewnić widoczność (NetFlow) i kontrolę (firewall, IDS, IPS, DLP) wszystkich procesów w sieci. Znać swoją sieć od brzegowego routera aż po ostatniego hosta.
- Zbadać.
- Przeprowadzać regularne testy penetracyjne przynajmniej najważniejszych zewnętrznych zasobów, analizować ich wyniki, identyfikować główne cele ataku i zamykać ich luki.
- Wdrożyć system Threat Intelligence z otwartym źródłem (np. MISP, Yeti) i przeprowadzać analizę logów wspólnie z nim.
- Wdrożyć platformę reagowania na incydenty (IRP): R-Vision IRP, The Hive, piaskownicę do analizy podejrzanych plików (FortiSandbox, Cuckoo).
- Zautomatyzować rutynowe procesy. Analiza logów, zakładanie incydentów, informowanie personelu – ogromne pole do automatyzacji.
- Nauczyć się efektywnie współpracować z inżynierami, programistami, wsparciem technicznym w celu wspólnej pracy nad incydentami.
- Dokumentować cały proces, kluczowe punkty, osiągnięte wyniki, aby móc do nich wrócić później lub podzielić się tymi danymi z kolegami;
- Pamiętać o społecznym aspekcie: bądź na bieżąco z tym, co dzieje się z Twoimi pracownikami, kogo zatrudniasz i komu dajesz dostęp do zasobów informacyjnych organizacji.
- Bądź na bieżąco z trendami w zakresie nowych zagrożeń i metod ochrony, podnoś swój poziom wiedzy technicznej (w tym w pracy z usługami IT i podsystemami), uczęszczaj na konferencje i rozmawiaj z kolegami.
Chętnie omówię organizację procesu TH w komentarzach.
Lub przyjdź do nas pracować!
Źródła i materiały do nauki
Źródło: habr.com
