{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Jak systemy analizy ruchu wykrywaj\u0105 taktyki haker\u00f3w wed\u0142ug MITRE ATT&CK na przyk\u0142adzie PT Network Attack Discovery","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Jak<\/a><\/noindex><\/p>\n

Wed\u0142ug Verizona<\/a><\/noindex>, wi\u0119kszo\u015b\u0107 (87%) incydent\u00f3w bezpiecze\u0144stwa informacji zdarza si\u0119 w ci\u0105gu zaledwie kilku minut, a 68% firm potrzebuje miesi\u0105cy na ich wykrycie. Potwierdza to r\u00f3wnie\u017c badanie Ponemon Institute<\/a><\/noindex>, zgodnie z kt\u00f3rym wi\u0119kszo\u015b\u0107 organizacji potrzebuje \u015brednio 206 dni na wykrycie incydentu. Z do\u015bwiadczenia naszych \u015bledztw wynika, \u017ce hakerzy mog\u0105 przez lata kontrolowa\u0107 infrastruktur\u0119 firmy, nie b\u0119d\u0105c wykrytymi. Na przyk\u0142ad w jednej z organizacji, w kt\u00f3rej nasi eksperci prowadzili dochodzenie w sprawie incydentu bezpiecze\u0144stwa informacji, wykryto, \u017ce hakerzy ca\u0142kowicie kontrolowali ca\u0142\u0105 infrastruktur\u0119 organizacji i regularnie kradli wa\u017cne informacje przez osiem lat<\/a><\/noindex>.<\/p>\n

Za\u0142\u00f3\u017cmy, \u017ce ju\u017c dzia\u0142asz z SIEM, kt\u00f3re zbiera logi i analizuje zdarzenia, a tak\u017ce masz zainstalowane programy antywirusowe na ko\u0144cowych punktach. Niemniej jednak, nie wszystko mo\u017cna wykry\u0107 za pomoc\u0105 SIEM<\/a><\/noindex>, jak r\u00f3wnie\u017c niemo\u017cliwe jest wdro\u017cenie system\u00f3w EDR w ca\u0142ej sieci, co oznacza, \u017ce nie mo\u017cna unikn\u0105\u0107 '\u015blepych' stref. Z pomoc\u0105 przychodz\u0105 systemy analizy ruchu sieciowego (NTA). Te rozwi\u0105zania ujawniaj\u0105 aktywno\u015b\u0107 cyberprzest\u0119pc\u00f3w na najwcze\u015bniejszych etapach penetracji do sieci oraz w trakcie pr\u00f3b osadzenia si\u0119 i rozwijania ataku wewn\u0105trz sieci. <\/p>\n

NTA dziel\u0105 si\u0119 na dwa typy: jedne pracuj\u0105 z NetFlow, drugie analizuj\u0105 surowy ruch. Zalet\u0105 drugiego typu system\u00f3w jest to, \u017ce mog\u0105 one przechowywa\u0107 zapisy surowego ruchu. Dzi\u0119ki temu specjalista ds. bezpiecze\u0144stwa informacji mo\u017ce zbada\u0107 skuteczno\u015b\u0107 ataku, zlokalizowa\u0107 zagro\u017cenie, zrozumie\u0107, jak atak przebieg\u0142 i jak zapobiec podobnemu w przysz\u0142o\u015bci.<\/p>\n

Poka\u017cemy, jak za pomoc\u0105 NTA mo\u017cna wykrywa\u0107 wszystkie znane taktyki atak\u00f3w na podstawie bezpo\u015brednich lub po\u015brednich oznak, opisanych w bazie wiedzy MITRE ATT&CK<\/a><\/noindex>. Opowiemy o ka\u017cdej z 12 taktyk, przeanalizujemy techniki, kt\u00f3re s\u0105 wykrywane w ruchu, i poka\u017cemy ich identyfikacj\u0119 za pomoc\u0105 naszego systemu NTA. <\/a><\/noindex><\/p>\n

O bazie wiedzy ATT&CK<\/h2>\n

\nMITRE ATT&CK to publicznie dost\u0119pna baza wiedzy, opracowana i utrzymywana przez korporacj\u0119 MITRE na podstawie analizy rzeczywistych APT. Stanowi ona usystematyzowany zbi\u00f3r taktyk i technik stosowanych przez cyberprzest\u0119pc\u00f3w. Dzi\u0119ki temu specjali\u015bci ds. bezpiecze\u0144stwa informacji z ca\u0142ego \u015bwiata mog\u0105 rozmawia\u0107 w tym samym j\u0119zyku. Baza nieustannie si\u0119 poszerza i wzbogaca o nowe informacje.<\/p>\n

W bazie wyr\u00f3\u017cnia si\u0119 12 taktyk, kt\u00f3re s\u0105 podzielone wed\u0142ug etap\u00f3w cyberataku: <\/p>\n