{"id":76039,"date":"2020-03-30T13:43:09","date_gmt":"2020-03-30T11:43:09","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery"},"modified":"2020-03-30T13:43:09","modified_gmt":"2020-03-30T11:43:09","slug":"kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/kak-sistemy-analiza-trafika-obnaruzhivayut-taktiki-hakerov-po-mitre-attck-na-primere-pt-network-attack-discovery","title":{"rendered":"Como os sistemas de an\u00e1lise de tr\u00e1fego detectam t\u00e1ticas de hackers usando o MITRE ATT&CK, exemplificado pelo PT Network Attack Discovery","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Como<\/a><\/noindex><\/p>\n

De acordo com a Verizon<\/a><\/noindex>, a maioria (87%) dos incidentes de seguran\u00e7a da informa\u00e7\u00e3o ocorre em quest\u00e3o de minutos, enquanto 68% das empresas demoram meses para detect\u00e1-los. Isso \u00e9 confirmado por um estudo do Ponemon Institute<\/a><\/noindex>, que afirma que a maioria das organiza\u00e7\u00f5es leva, em m\u00e9dia, 206 dias para detectar um incidente. De acordo com nossa experi\u00eancia em investiga\u00e7\u00f5es, hackers podem controlar a infraestrutura de uma empresa por anos sem serem descobertos. Em uma das organiza\u00e7\u00f5es em que nossos especialistas conduziram uma investiga\u00e7\u00e3o sobre um incidente de seguran\u00e7a da informa\u00e7\u00e3o, foi descoberto que hackers tinham controle total de toda a infraestrutura da organiza\u00e7\u00e3o e estavam regularmente roubando informa\u00e7\u00f5es importantes durante oito anos<\/a><\/noindex>.<\/p>\n

Suponha que voc\u00ea j\u00e1 tenha um SIEM funcionando, que coleta logs e analisa eventos, e que antiv\u00edrus estejam instalados nos pontos finais. No entanto, nem tudo pode ser detectado com um SIEM<\/a><\/noindex>, assim como n\u00e3o \u00e9 poss\u00edvel implantar sistemas EDR em toda a rede, o que significa que n\u00e3o se pode evitar zonas \"cegas\". Sistemas de an\u00e1lise de tr\u00e1fego de rede (network traffic analysis, NTA) ajudam a lidar com essas zonas. Essas solu\u00e7\u00f5es detectam a atividade de invasores nas etapas mais iniciais de penetra\u00e7\u00e3o na rede, bem como durante tentativas de se consolidar e desenvolver um ataque dentro da rede. <\/p>\n

Existem dois tipos de NTA: um trabalha com NetFlow e o outro analisa tr\u00e1fego bruto. A vantagem do segundo tipo \u00e9 que ele pode armazenar grava\u00e7\u00f5es do tr\u00e1fego bruto. Com isso, um especialista em seguran\u00e7a da informa\u00e7\u00e3o pode verificar o sucesso do ataque, localizar a amea\u00e7a, entender como o ataque ocorreu e como preveni-lo no futuro.<\/p>\n

N\u00f3s vamos mostrar como, com a ajuda de NTA, \u00e9 poss\u00edvel identificar todas as t\u00e1ticas de ataque conhecidas atrav\u00e9s de ind\u00edcios diretos ou indiretos, descritas na base de conhecimento MITRE ATT&CK<\/a><\/noindex>. Vamos falar sobre cada uma das 12 t\u00e1ticas, analisar as t\u00e9cnicas que podem ser detectadas atrav\u00e9s do tr\u00e1fego e demonstrar sua identifica\u00e7\u00e3o com nosso sistema NTA. <\/a><\/noindex><\/p>\n

Sobre a base de conhecimento ATT&CK<\/h2>\n

\nMITRE ATT&CK \u00e9 uma base de conhecimento p\u00fablica, desenvolvida e mantida pela MITRE com base na an\u00e1lise de APTs reais. Ela representa um conjunto estruturado de t\u00e1ticas e t\u00e9cnicas utilizadas por invasores, permitindo que especialistas em seguran\u00e7a da informa\u00e7\u00e3o de todo o mundo se comuniquem na mesma linguagem. A base est\u00e1 em constante expans\u00e3o e complementa\u00e7\u00e3o com novos conhecimentos.<\/p>\n

Na base, s\u00e3o destacadas 12 t\u00e1ticas, divididas por est\u00e1gios de um ciberataque: <\/p>\n