Како системи за анализу саобраћаја откривају хакерске тактике користећи МИТЕР АТТ&ЦК на примеру ПТ Нетворк Аттацк Дисцовери-а

Према Веризон-у, већина (87%) инцидената информационе безбедности дешава се за неколико минута, а за 68% компанија потребни су месеци да их открију. Ово потврђује и Истраживање Института Понемон, према којем је већини организација потребно у просеку 206 дана да открију инцидент. На основу искуства наших истрага, хакери могу годинама да контролишу инфраструктуру компаније, а да не буду откривени. Тако је у једној од организација у којој су наши стручњаци истраживали инцидент у области информационе безбедности откривено да су хакери потпуно контролисали целокупну инфраструктуру организације и редовно крали важне информације већ осам година.

Рецимо да већ имате покренут СИЕМ који прикупља евиденције и анализира догађаје, а антивирусни софтвер је инсталиран на крајњим чворовима. ипак, не може се све открити помоћу СИЕМ-а, као што је немогуће имплементирати ЕДР системе у целој мрежи, што значи да се „слепе” тачке не могу избећи. Системи за анализу мрежног саобраћаја (НТА) помажу да се изборе са њима. Ова решења откривају активност нападача у најранијим фазама продора у мрежу, као и током покушаја да се учврсти и развије напад унутар мреже.

Постоје два типа НТА: неки раде са НетФлов-ом, други анализирају сирови саобраћај. Предност другог система је у томе што могу да чувају необрађене податке о саобраћају. Захваљујући томе, стручњак за безбедност информација може да провери успех напада, да локализује претњу, разуме како је дошло до напада и како спречити сличан напад у будућности.

Показаћемо како помоћу НТА можете користити директне или индиректне доказе да идентификујете све познате тактике напада описане у бази знања МИТЕР АТТ&ЦК. Говорићемо о свакој од 12 тактика, анализирати технике које детектује саобраћај и демонстрирати њихову детекцију користећи наш НТА систем.

О бази знања АТТ&ЦК

МИТЕР АТТ&ЦК је јавна база знања коју је развила и одржава корпорација МИТЕР на основу анализе АПТ-а из стварног света. То је структурирани скуп тактика и техника које користе нападачи. Ово омогућава стручњацима за безбедност информација из целог света да говоре истим језиком. База података се стално шири и допуњује новим сазнањима.

База података идентификује 12 тактика, које су подељене по фазама сајбер напада:

• почетни приступ;
• извршење;
• консолидација (упорност);
• ескалација привилегија;
• спречавање откривања (избегавање одбране);
• добијање акредитива (приступ акредитива);
• истраживање;
• кретање унутар периметра (бочно кретање);
• прикупљање (прикупљање) података;
• команда и контрола;
• ексфилтрација података;
• утицај.

За сваку тактику, АТТ&ЦК база знања наводи листу техника које помажу нападачима да постигну свој циљ у тренутној фази напада. Пошто се иста техника може користити у различитим фазама, може се односити на неколико тактика.

Опис сваке технике укључује:

• идентификатор;
• списак тактика у којима се користи;
• примери употребе АПТ група;
• мере за смањење штете од његове употребе;
• препоруке за откривање.

Стручњаци за безбедност информација могу да користе знање из базе података да структурирају информације о тренутним методама напада и, узимајући то у обзир, да изграде ефикасан систем безбедности. Разумевање како праве АПТ групе функционишу такође може постати извор хипотеза за проактивно тражење претњи унутар њих лов на претње.

О ПТ Нетворк Аттацк Дисцовери-у

Идентификоваћемо употребу техника из АТТ&ЦК матрице користећи систем ПТ Нетворк Аттацк Дисцовери — Поситиве Тецхнологиес НТА систем, дизајниран за откривање напада на периметру и унутар мреже. ПТ НАД покрива, у различитом степену, свих 12 тактика МИТЕР АТТ&ЦК матрице. Најмоћнији је у идентификацији техника за почетни приступ, бочно кретање и команду и контролу. У њима ПТ НАД покрива више од половине познатих техника, откривајући њихову примену директним или индиректним знацима.

Систем открива нападе користећи АТТ&ЦК технике користећи правила детекције које је креирао тим ПТ Екперт Сецурити Центер (ПТ ЕСЦ), машинско учење, индикатори компромиса, дубока аналитика и ретроспективна анализа. Анализа саобраћаја у реалном времену у комбинацији са ретроспективом вам омогућава да идентификујете тренутне скривене злонамерне активности и пратите векторе развоја и хронологију напада.

Ево потпуно мапирање ПТ НАД у МИТЕР АТТ&ЦК матрицу. Слика је велика, па предлажемо да је погледате у посебном прозору.

Почетни приступ

Почетне тактике приступа укључују технике за продор у мрежу компаније. Циљ нападача у овој фази је да нападнутом систему испоруче злонамерни код и обезбеде могућност његовог даљег извршавања.

Анализа саобраћаја из ПТ НАД открива седам техника за добијање почетног приступа:

1. ТКСНУМКС: дриве-би компромис

Техника у којој жртва отвара веб локацију коју нападачи користе за експлоатацију веб претраживача и добијање токена за приступ апликацији.

Шта ради ПТ НАД?: Ако веб саобраћај није шифрован, ПТ НАД проверава садржај одговора ХТТП сервера. Ови одговори садрже експлоатације које омогућавају нападачима да изврше произвољан код унутар претраживача. ПТ НАД аутоматски открива такве експлоатације користећи правила детекције.

Поред тога, ПТ НАД детектује претњу у претходном кораку. Правила и индикатори компромиса се активирају ако је корисник посетио сајт који га је преусмерио на сајт са гомилом експлоата.

2. ТКСНУМКС: искоришћавање јавне апликације

Искоришћавање рањивости услуга које су доступне са Интернета.

Шта ради ПТ НАД?: Врши детаљну инспекцију садржаја мрежних пакета, идентификујући знаке аномалне активности. Конкретно, постоје правила која вам омогућавају да откријете нападе на главне системе за управљање садржајем (ЦМС), веб интерфејсе мрежне опреме и нападе на маил и ФТП сервере.

3. ТКСНУМКС: екстерни даљински сервиси

Нападачи користе услуге удаљеног приступа да би се споља повезали са интерним мрежним ресурсима.

Шта ради ПТ НАД?: пошто систем не препознаје протоколе по бројевима портова, већ по садржају пакета, корисници система могу да филтрирају саобраћај како би пронашли све сесије протокола за даљински приступ и проверили њихову легитимност.

4. ТКСНУМКС: спеарпхисхинг прилог

Говоримо о озлоглашеном слању пхисхинг прилога.

Шта ради ПТ НАД?: Аутоматски издваја датотеке из саобраћаја и проверава их у односу на индикаторе компромитовања. Извршне датотеке у прилозима се откривају правилима која анализирају садржај саобраћаја поште. У корпоративном окружењу, таква инвестиција се сматра аномалном.

5. ТКСНУМКС: спеарпхисхинг веза

Коришћење пхисхинг линкова. Техника подразумева да нападачи пошаљу е-поруку за крађу идентитета са везом која, када се кликне, преузима злонамерни програм. По правилу, линк прати текст састављен у складу са свим правилима друштвеног инжењеринга.

Шта ради ПТ НАД?: Открива пхисхинг везе користећи индикаторе компромиса. На пример, у ПТ НАД интерфејсу видимо сесију у којој је постојала ХТТП веза преко везе укључене у листу пхисхинг адреса (пхисхинг-урлс).

Веза преко везе са листе индикатора компромитованих пхисхинг-урл-ова

6. ТКСНУМКС: однос поверења

Приступ мрежи жртве преко трећих лица са којима је жртва успоставила однос од поверења. Нападачи могу да хакују организацију од поверења и да се преко ње повежу са циљном мрежом. Да би то урадили, користе ВПН везе или поверења домена, који се могу идентификовати анализом саобраћаја.

Шта ради ПТ НАД?: анализира протоколе апликације и чува рашчлањена поља у бази података, тако да аналитичар безбедности информација може да користи филтере да пронађе све сумњиве ВПН везе или везе између домена у бази података.

7. ТКСНУМКС: валидни налози

Коришћење стандардних, локалних или доменских акредитива за ауторизацију на екстерним и интерним услугама.

Шта ради ПТ НАД?: Аутоматски преузима акредитиве из ХТТП, ФТП, СМТП, ПОП3, ИМАП, СМБ, ДЦЕ/РПЦ, СОЦКС5, ЛДАП, Керберос протокола. Генерално, ово је пријава, лозинка и знак успешне аутентификације. Ако су коришћени, они се приказују на одговарајућој картици сесије.

Извршење

Тактике извршења укључују технике које нападачи користе за извршавање кода на компромитованим системима. Покретање злонамерног кода помаже нападачима да успоставе присуство (тактика упорности) и прошире приступ удаљеним системима на мрежи кретањем унутар периметра.

ПТ НАД вам омогућава да откријете употребу 14 техника које користе нападачи за извршавање злонамерног кода.

1. ТКСНУМКС: ЦМСТП (Мицрософт Цоннецтион Манагер Профиле Инсталлер)

Тактика у којој нападачи припремају специјалну злонамерну инсталациону ИНФ датотеку за уграђени Виндовс услужни програм ЦМСТП.еке (Инсталатор профила за управљање везама). ЦМСТП.еке узима датотеку као параметар и инсталира профил услуге за удаљену везу. Као резултат, ЦМСТП.еке се може користити за учитавање и извршавање библиотека са динамичким везама (*.длл) или скриптлета (*.сцт) са удаљених сервера.

Шта ради ПТ НАД?: Аутоматски открива пренос посебних типова ИНФ датотека у ХТТП саобраћају. Поред тога, детектује ХТТП пренос злонамерних скриптлета и библиотека динамичких веза са удаљеног сервера.

2. ТКСНУМКС: интерфејс командне линије

Интеракција са интерфејсом командне линије. Интерфејс командне линије може се комуницирати локално или даљински, на пример коришћењем услужних програма за даљински приступ.

Шта ради ПТ НАД?: аутоматски открива присуство шкољки на основу одговора на команде за покретање различитих услужних програма командне линије, као што су пинг, ифцонфиг.

3. ТКСНУМКС: компонентни објектни модел и дистрибуирани ЦОМ

Коришћење ЦОМ или ДЦОМ технологија за извршавање кода на локалним или удаљеним системима док се крећете кроз мрежу.

Шта ради ПТ НАД?: Открива сумњиве ДЦОМ позиве које нападачи обично користе за покретање програма.

4. ТКСНУМКС: експлоатација за клијентско извршење

Искоришћавање рањивости за извршавање произвољног кода на радној станици. Најкориснији експлоати за нападаче су они који омогућавају извршавање кода на удаљеном систему, јер могу омогућити нападачима да добију приступ том систему. Техника се може применити коришћењем следећих метода: злонамерно слање поште, веб локација са експлоатацијом претраживача и даљинска експлоатација рањивости апликација.

Шта ради ПТ НАД?: Када анализира саобраћај поште, ПТ НАД проверава присуство извршних датотека у прилозима. Аутоматски издваја канцеларијске документе из имејлова који могу садржати експлоатације. Покушаји искоришћавања рањивости су видљиви у саобраћају, што ПТ НАД аутоматски детектује.

5. ТКСНУМКС: мсхта

Користите услужни програм мсхта.еке који покреће Мицрософт ХТМЛ апликације (ХТА) са екстензијом .хта. Пошто мсхта обрађује датотеке заобилазећи безбедносне поставке претраживача, нападачи могу да користе мсхта.еке да изврше злонамерне ХТА, ЈаваСцрипт или ВБСцрипт датотеке.

Шта ради ПТ НАД?: .хта фајлови за извршење преко мсхта се такође преносе преко мреже - то се види у саобраћају. ПТ НАД аутоматски детектује пренос таквих злонамерних датотека. Снима датотеке, а информације о њима се могу видети на картици сесије.

6. ТКСНУМКС: ПоверСхелл

Коришћење ПоверСхелл-а за проналажење информација и извршавање злонамерног кода.

Шта ради ПТ НАД?: Када удаљени нападачи користе ПоверСхелл, ПТ НАД то открива помоћу правила. Он открива кључне речи ПоверСхелл језика које се најчешће користе у злонамерним скриптама и преносу ПоверСхелл скрипти преко СМБ протокола.

7. ТКСНУМКС: заказани задатак
Коришћење Виндовс Планера задатака и других услужних програма за аутоматско покретање програма или скрипти у одређено време.

Шта ради ПТ НАД?: нападачи креирају такве задатке, обично на даљину, што значи да су такве сесије видљиве у саобраћају. ПТ НАД аутоматски открива сумњиве операције креирања и модификације задатака користећи АТСВЦ и ИТаскСцхедулерСервице РПЦ интерфејсе.

8. ТКСНУМКС: сцриптинг

Извршавање скрипти за аутоматизацију разних акција нападача.

Шта ради ПТ НАД?: детектује пренос скрипти преко мреже, односно чак и пре него што се покрену. Он детектује садржај скрипте у сировом саобраћају и детектује мрежни пренос датотека са екстензијама које одговарају популарним језицима за скриптовање.

9. ТКСНУМКС: извршење услуге

Покрените извршну датотеку, упутства за интерфејс командне линије или скрипту у интеракцији са Виндовс услугама, као што је Сервице Цонтрол Манагер (СЦМ).

Шта ради ПТ НАД?: проверава СМБ саобраћај и открива приступ СЦМ-у са правилима за креирање, промену и покретање услуге.

Техника покретања услуге може се имплементирати помоћу услужног програма за даљинско извршавање команди ПСЕкец. ПТ НАД анализира СМБ протокол и открива употребу ПСЕкец-а када користи датотеку ПСЕКСЕСВЦ.еке или стандардно име услуге ПСЕКСЕЦСВЦ за извршавање кода на удаљеној машини. Корисник треба да провери листу извршених команди и легитимност даљинског извршавања команди са хоста.

Картица напада у ПТ НАД приказује податке о тактикама и техникама које се користе према АТТ&ЦК матрици тако да корисник може да разуме у којој фази напада се налазе нападачи, које циљеве следе и које мере компензације да предузме.

Покреће се правило о коришћењу услужног програма ПСЕкец, што може указивати на покушај извршавања команди на удаљеној машини

КСНУМКС. ТКСНУМКС: софтвер треће стране

Техника у којој нападачи добијају приступ софтверу за удаљену администрацију или систему за имплементацију корпоративног софтвера и користе га за покретање злонамерног кода. Примери таквог софтвера: СЦЦМ, ВНЦ, ТеамВиевер, ХБСС, Алтирис.
Иначе, техника је посебно релевантна у вези са масовним преласком на даљински рад и, као резултат, повезивањем бројних незаштићених кућних уређаја преко сумњивих канала даљинског приступа

Шта ради ПТ НАД?: аутоматски открива рад таквог софтвера на мрежи. На пример, правила се покрећу везама преко ВНЦ протокола и активностима ЕвилВНЦ тројанца, који тајно инсталира ВНЦ сервер на жртвин хост и аутоматски га покреће. Такође, ПТ НАД аутоматски детектује ТеамВиевер протокол, што помаже аналитичару да помоћу филтера пронађе све такве сесије и провери њихову легитимност.

КСНУМКС. ТКСНУМКС: извршење корисника

Техника у којој корисник покреће датотеке које могу довести до извршења кода. То може бити, на пример, ако отвори извршну датотеку или покрене канцеларијски документ са макроом.

Шта ради ПТ НАД?: види такве датотеке у фази преноса, пре него што се покрену. Информације о њима могу се проучавати у картици сесија на којима су пренете.

КСНУМКС. ТКСНУМКС:Виндовс Манагемент Инструментатион

Коришћење алатке ВМИ, која обезбеђује локални и удаљени приступ компонентама Виндовс система. Користећи ВМИ, нападачи могу да комуницирају са локалним и удаљеним системима и обављају различите задатке, као што су прикупљање информација за потребе извиђања и покретање процеса на даљину док се крећу бочно.

Шта ради ПТ НАД?: Пошто су интеракције са удаљеним системима преко ВМИ видљиве у саобраћају, ПТ НАД аутоматски открива мрежне захтеве за успостављање ВМИ сесија и проверава саобраћај за скрипте које користе ВМИ.

КСНУМКС. ТКСНУМКС: Виндовс даљинско управљање

Коришћење Виндовс услуге и протокола који омогућавају кориснику интеракцију са удаљеним системима.

Шта ради ПТ НАД?: Види мрежне везе успостављене помоћу Виндовс даљинског управљања. Такве сесије се аутоматски откривају правилима.

КСНУМКС. ТКСНУМКС: КССЛ (Ектенсибле Стилесхеет Лангуаге) обрада скрипте

Језик за означавање КССЛ стила се користи за описивање обраде и визуелизације података у КСМЛ датотекама. Да би подржао сложене операције, КССЛ стандард укључује подршку за уграђене скрипте на различитим језицима. Ови језици дозвољавају извршавање произвољног кода, што доводи до заобилажења безбедносних политика заснованих на белим листама.

Шта ради ПТ НАД?: открива пренос таквих датотека преко мреже, односно чак и пре него што се покрену. Аутоматски открива КССЛ датотеке које се преносе преко мреже и датотеке са аномалном КССЛ ознаком.

У следећим материјалима ћемо погледати како ПТ Нетворк Аттацк Дисцовери НТА систем проналази друге тактике и технике нападача у складу са МИТЕР АТТ&ЦК. Будите у току!

Аутори:

• Антон Кутепов, специјалиста ПТ Екперт Сецурити Центер, Поситиве Тецхнологиес
• Наталиа Казанкова, продавац производа у компанији Поситиве Тецхнологиес

Извор: ввв.хабр.цом