🥇Лов на претње, или Како се заштитити од 5% претњи

Познато је 95% претњи безбедности информација и од њих можете да се заштитите традиционалним средствима као што су антивируси, заштитни зидови, ИДС, ВАФ. Преосталих 5% претњи је непознато и најопасније. Они представљају 70% ризика за компанију због чињенице да их је веома тешко открити, а још мање заштитити од њих. Примери "црни лабудови" су епидемија рансомваре-а ВаннаЦри, НотПетиа/ЕкПетр, криптоминери, „сајбер оружје“ Стукнет (које је погодило иранска нуклеарна постројења) и многи (сећа ли се још неко Кидо/Цонфицкер?) други напади од којих се не брани добро класичним мерама безбедности. Желимо да разговарамо о томе како да се супротставимо ових 5% претњи користећи Тхреат Хунтинг технологију.

Континуирана еволуција сајбер напада захтева стално откривање и противмере, што нас на крају наводи на размишљање о бескрајној трци у наоружању између нападача и бранилаца. Класични безбедносни системи више нису у стању да обезбеде прихватљив ниво безбедности, при којем ниво ризика не утиче на кључне индикаторе компаније (економске, политичке, репутацију) без њихове модификације за одређену инфраструктуру, али генерално покривају неке од ризике. Већ у процесу имплементације и конфигурисања савремени безбедносни системи се налазе у улози сустизања и морају да одговоре изазовима новог времена.

Извор

Технологија лова на претње може бити један од одговора на изазове нашег времена за стручњака за безбедност информација. Термин лов на претње (у даљем тексту ТХ) појавио се пре неколико година. Сама технологија је прилично интересантна, али још увек нема опште прихваћене стандарде и правила. Ствар је такође компликована због хетерогености извора информација и малог броја извора информација о овој теми на руском језику. С тим у вези, ми у ЛАНИТ-Интегратион смо одлучили да напишемо рецензију ове технологије.

Релевантност

ТХ технологија се ослања на процесе праћења инфраструктуре. Постоје два главна сценарија за интерни надзор – упозорење и лов. Упозорење (слично МССП сервисима) је традиционална метода тражења претходно развијених потписа и знакова напада и реаговања на њих. Овај сценарио се успешно изводи помоћу традиционалних алата за заштиту заснованих на потписима. Лов (услуга типа МДР) је метода праћења која одговара на питање „Одакле потичу потписи и правила?“ То је процес креирања правила корелације анализом скривених или раније непознатих индикатора и знакова напада. Лов на претње се односи на ову врсту праћења.

Само комбиновањем обе врсте праћења добијамо заштиту која је близу идеалне, али увек постоји одређени ниво резидуалног ризика.

Заштита коришћењем две врсте мониторинга

А ево зашто ће ТХ (и лов у целини!) постати све релевантнији:

Претње, лекови, ризици. Извор

95% свих претњи је већ добро проучено. То укључује врсте попут нежељене поште, ДДоС-а, вируса, руткита и другог класичног малвера. Можете се заштитити од ових претњи користећи исте класичне мере безбедности.

Током реализације било ког пројекта За 20% посла потребно је 80% времена, а преосталих 20% посла одузима 80% времена. Исто тако, у целом окружењу претњи, 5% нових претњи представљаће 70% ризика за компанију. У компанији у којој су организовани процеси управљања безбедношћу информација, можемо управљати са 30% ризика имплементације познатих претњи на овај или онај начин избегавањем (у принципу одбијање бежичних мрежа), прихватањем (спровођењем неопходних безбедносних мера) или пребацивањем (на пример, на рамена интегратора) овај ризик. Заштитите се од рањивости нултог дана, АПТ напади, пхисхинг, напади на ланац снабдевања, сајбер шпијунажа и националне операције, као и велики број других напада већ су много тежи. Последице ових 5% претњи биће много озбиљније (Просечан износ банкарских губитака из групе бухтрап је 143 милиона) него последице нежељене поште или вируса, од којих антивирусни софтвер спасава.

Скоро сви морају да се носе са 5% претњи. Недавно смо морали да инсталирамо решење отвореног кода које користи апликацију из складишта ПЕАР (ПХП Ектенсион анд Апплицатион Репоситори). Покушај инсталирања ове апликације путем крушке инсталације није успео јер вебсајт био недоступан (сада постоји стуб на њему), морао сам да га инсталирам са ГитХуб-а. А тек недавно се испоставило да је КРУШКА постала жртва напади на ланац снабдевања.

Да ли се још увек сећаш напад користећи ЦЦлеанер, епидемија НеПетиа рансомваре-а кроз модул за ажурирање за програм пореског извештавања МЕДоц. Претње постају све софистицираније и поставља се логично питање – „Како да се супротставимо ових 5% претњи?“

Дефиниција лова на претње

Дакле, лов на претње је процес проактивне и итеративне претраге и откривања напредних претњи које се не могу открити традиционалним безбедносним алатима. Напредне претње укључују, на пример, нападе као што је АПТ, нападе на рањивости од 0 дана, Ливинг офф тхе Ланд, итд.

Такође можемо преформулисати да је ТХ процес тестирања хипотеза. Ово је претежно мануелни процес са елементима аутоматизације, у коме аналитичар, ослањајући се на своје знање и вештине, пребира велике количине информација у потрази за знацима компромиса који одговарају првобитно утврђеној хипотези о присуству одређене претње. Његова карактеристична карактеристика је разноврсност извора информација.

Треба напоменути да лов на претње није нека врста софтверског или хардверског производа. То нису упозорења која се могу видети у неком решењу. Ово није процес тражења ИОЦ-а (идентификатори компромиса). И ово није нека врста пасивне активности која се јавља без учешћа аналитичара информационе безбедности. Лов на претње је пре свега процес.

Компоненте лова на претње

Три главне компоненте лова на претње: подаци, технологија, људи.

Подаци (шта?), укључујући Биг Дата. Све врсте токова саобраћаја, информације о претходним АПТ-овима, аналитика, подаци о активностима корисника, мрежни подаци, информације од запослених, информације о даркнету и још много тога.

Технологије (како?) обрада ових података – сви могући начини обраде ових података, укључујући машинско учење.

Људи који?) – они који имају велико искуство у анализи разних напада, развијену интуицију и способност откривања напада. Обично су то аналитичари информационе безбедности који морају имати способност да генеришу хипотезе и пронађу њихову потврду. Они су главна карика у процесу.

Модел ПАРИС

Адам Бејтман описује ПАРИС модел за идеалан ТХ процес. Име алудира на познату знаменитост у Француској. Овај модел се може посматрати у два правца - одозго и одоздо.

Док пролазимо кроз модел одоздо према горе, наићи ћемо на много доказа о злонамерној активности. Сваки доказ има меру која се зове поверење – карактеристика која одражава тежину овог доказа. Постоји „гвожђе“, директан доказ злонамерне активности, према којем можемо одмах доћи до врха пирамиде и створити стварно упозорење о тачно познатој инфекцији. А постоје индиректни докази, чији збир нас такође може довести до врха пирамиде. Као и увек, индиректних доказа има много више него директних, што значи да их треба сортирати и анализирати, спровести додатна истраживања, а препоручљиво је то аутоматизовати.

Модел ПАРИС. Извор

Горњи део модела (1 и 2) је заснован на технологијама аутоматизације и различитој аналитици, а доњи део (3 и 4) је заснован на људима са одређеним квалификацијама који управљају процесом. Можете узети у обзир да се модел креће одозго према доле, где у горњем делу плаве боје имамо упозорења традиционалних безбедносних алата (антивирус, ЕДР, заштитни зид, потписи) са високим степеном поверења и поверења, а испод су индикатори ( МОК, УРЛ, МД5 и други), који имају нижи степен сигурности и захтевају додатно проучавање. А најнижи и најдебљи ниво (4) је генерисање хипотеза, креирање нових сценарија за деловање традиционалних средстава заштите. Овај ниво није ограничен само на наведене изворе хипотеза. Што је ниво нижи, то се више захтева за квалификације аналитичара.

Веома је важно да аналитичари не тестирају једноставно коначан скуп унапред одређених хипотеза, већ стално раде на генерисању нових хипотеза и опција за њихово тестирање.

Модел зрелости употребе ТХ

У идеалном свету, ТХ је процес који је у току. Али, пошто не постоји идеалан свет, хајде да анализирамо модел зрелости и методе у смислу људи, процеса и технологија које се користе. Размотримо модел идеалног сферног ТХ. Постоји 5 нивоа коришћења ове технологије. Погледајмо их на примеру еволуције једног тима аналитичара.

Нивои зрелости
Људи
Процеси
Технологија

Ниво КСНУМКС
Аналитичари СПЦ
24/7
Традиционални инструменти:

Традиционалан
Скуп упозорења
Пасивно праћење
ИДС, АВ, Сандбокинг,

Без ТХ
Рад са упозорењима

Алати за анализу потписа, подаци о претњи.

Ниво КСНУМКС
Аналитичари СПЦ
Једнократни ТХ
ЕДР

Експериментално
Основна знања из форензике
МОК претрага
Делимична покривеност података са мрежних уређаја

Експерименти са ТХ
Добро познавање мрежа и апликација

Делимична примена

Ниво КСНУМКС
Привремено занимање
Спринтови
ЕДР

Периодично
Просечно знање из форензике
Из недеље у месец
Потпуна апликација

Привремени ТХ
Одлично познавање мрежа и апликација
Регулар ТХ
Потпуна аутоматизација коришћења ЕДР података

Делимично коришћење напредних ЕДР могућности

Ниво КСНУМКС
Наменска ТХ команда
24/7
Делимична способност тестирања хипотеза ТХ

Превентивно
Одлично познавање форензике и малвера
Превентиве ТХ
Потпуна употреба напредних ЕДР могућности

Посебни случајеви ТХ
Одлично познавање нападачке стране
Посебни случајеви ТХ
Потпуна покривеност података са мрежних уређаја

Конфигурација која одговара вашим потребама

Ниво КСНУМКС
Наменска ТХ команда
24/7
Потпуна способност тестирања ТХ хипотеза

Водећи
Одлично познавање форензике и малвера
Превентиве ТХ
Ниво 3, плус:

Коришћењем ТХ
Одлично познавање нападачке стране
Тестирање, аутоматизација и верификација хипотеза ТХ
чврста интеграција извора података;

Истраживачка способност

развој према потребама и нестандардна употреба АПИ-ја.

Нивои зрелости ТХ према људима, процесима и технологијама

Ниво 0: традиционално, без употребе ТХ. Редовни аналитичари раде са стандардним скупом упозорења у пасивном режиму праћења користећи стандардне алате и технологије: ИДС, АВ, сандбок, алате за анализу потписа.

Ниво 1: експериментално, користећи ТХ. Исти аналитичари са основним познавањем форензике и добрим познавањем мрежа и апликација могу спровести једнократни лов на претње тражећи индикаторе компромиса. ЕДР-ови се додају алатима са делимичним покривањем података са мрежних уређаја. Алати се делимично користе.

Ниво 2: периодично, привремено ТХ. Исти аналитичари који су већ унапредили своје знање из форензике, мрежа и апликативног дела дужни су да се редовно баве ловом на претње (спринт), рецимо, недељу дана месечно. Алати додају потпуно истраживање података са мрежних уређаја, аутоматизацију анализе података из ЕДР-а и делимичну употребу напредних ЕДР могућности.

Ниво 3: превентивни, чести случајеви ТХ. Наши аналитичари су се организовали у посвећен тим и почели да одлично познају форензику и малвер, као и познавање метода и тактика нападачке стране. Процес се већ одвија 24/7. Тим је у стању да делимично тестира ТХ хипотезе док у потпуности користи напредне могућности ЕДР-а уз потпуну покривеност података са мрежних уређаја. Аналитичари су такође у могућности да конфигуришу алате тако да одговарају њиховим потребама.

Ниво 4: хигх-енд, користите ТХ. Исти тим је стекао способност истраживања, способност генерисања и аутоматизације процеса тестирања ТХ хипотеза. Сада су алати допуњени блиском интеграцијом извора података, развојем софтвера за задовољавање потреба и нестандардном употребом АПИ-ја.

Технике лова на претње

Основне технике лова на претње

К техничари ТХ, према степену зрелости коришћене технологије, су: основна претрага, статистичка анализа, технике визуелизације, једноставне агрегације, машинско учење и Бајесове методе.

Најједноставнији метод, основно претраживање, користи се за сужавање области истраживања помоћу специфичних упита. Статистичка анализа се користи, на пример, за конструисање типичне активности корисника или мреже у облику статистичког модела. Технике визуелизације се користе за визуелно приказивање и поједностављење анализе података у облику графикона и графикона, који знатно олакшавају уочавање образаца у узорку. За оптимизацију претраге и анализе користи се техника једноставног агрегирања по кључним пољима. Што је ТХ процес у организацији зрелији, употреба алгоритама за машинско учење постаје релевантнија. Такође се широко користе у филтрирању нежељене поште, откривању злонамерног саобраћаја и откривању лажних активности. Напреднији тип алгоритма за машинско учење су Бајесове методе, које омогућавају класификацију, смањење величине узорка и моделирање тема.

Диамонд модел и ТХ стратегије

Серхио Калтагирон, Ендрју Пендегаст и Кристофер Бец у свом раду "Дијамантски модел анализе упада» показао главне кључне компоненте сваке злонамерне активности и основну везу између њих.

Дијамантски модел за злонамерне активности

Према овом моделу, постоје 4 стратегије за лов на претње, које се заснивају на одговарајућим кључним компонентама.

1. Стратегија оријентисана на жртву. Претпостављамо да жртва има противнике и они ће доставити „прилике“ путем е-поште. Тражимо податке о непријатељу у пошти. Потражите везе, прилоге итд. Тражимо потврду ове хипотезе на одређено време (месец, две недеље); ако је не нађемо, хипотеза није функционисала.

2. Инфраструктурно оријентисана стратегија. Постоји неколико метода за коришћење ове стратегије. У зависности од приступа и видљивости, неки су лакши од других. На пример, надгледамо сервере имена домена за које је познато да хостују злонамерне домене. Или пролазимо кроз процес праћења свих нових регистрација имена домена за познати образац који користи противник.

3. Стратегија вођена способностима. Поред стратегије усмерене на жртву коју користи већина заштитника мреже, постоји стратегија усмерена на могућности. Он је други по популарности и фокусира се на откривање могућности од стране противника, односно „малвера“ и способности противника да користи легитимне алате као што су псекец, поверсхелл, цертутил и други.

4. Непријатељски оријентисана стратегија. Приступ усредсређен на противника фокусира се на самог противника. Ово укључује коришћење отворених информација из јавно доступних извора (ОСИНТ), прикупљање података о непријатељу, његовим техникама и методама (ТТП), анализу претходних инцидената, податке обавештајне службе итд.

Извори информација и хипотезе у ТХ

Неки извори информација за лов на претње

Извора информација може бити много. Идеалан аналитичар би требало да буде у стању да извуче информације из свега што је около. Типични извори у скоро свакој инфраструктури биће подаци из безбедносних алата: ДЛП, СИЕМ, ИДС/ИПС, ВАФ/ФВ, ЕДР. Такође, типични извори информација биће различити индикатори компромиса, обавештајне услуге претњи, ЦЕРТ и ОСИНТ подаци. Поред тога, можете користити информације из даркнета (на пример, изненада постоји наредба за хаковање поштанског сандучета шефа организације или је кандидат за позицију мрежног инжењера откривен због своје активности), информације добијене од ХР (рецензије кандидата са претходног радног места), информације из службе безбедности (на пример, резултати верификације друге стране).

Али пре коришћења свих доступних извора, потребно је имати бар једну хипотезу.

Извор

Да би се тестирале хипотезе, оне се прво морају изнети. А да би се поставиле многе висококвалитетне хипотезе, неопходно је применити систематски приступ. Процес генерисања хипотеза детаљније је описан у Чланак, веома је згодно узети ову шему као основу за процес постављања хипотеза.

Главни извор хипотеза биће АТТ&ЦК матрица (Опарничке тактике, технике и опште знање). То је, у суштини, база знања и модел за процену понашања нападача који спроводе своје активности у последњим корацима напада, који се обично описује коришћењем концепта Килл Цхаин-а. Односно, у фазама након што је нападач продро у интерну мрежу предузећа или на мобилни уређај. База знања је првобитно укључивала описе 121 тактике и технике коришћене у нападу, од којих је свака детаљно описана у Вики формату. Различите анализе обавештајних података о претњи су погодне као извор за генерисање хипотеза. Посебно треба истаћи резултате анализе инфраструктуре и тестова пенетрације – ово су највреднији подаци који нам могу дати чврсте хипотезе јер су засноване на специфичној инфраструктури са својим специфичним недостацима.

Процес тестирања хипотеза

Сергеј Солдатов довео добар дијаграм са детаљним описом процеса илуструје процес тестирања ТХ хипотеза у једном систему. Указаћу на главне фазе са кратким описом.

Извор

Фаза 1: ТИ Фарма

У овој фази је потребно истаћи објеката (тако што их анализира заједно са свим подацима о претњама) и додељује им ознаке за њихове карактеристике. То су датотека, УРЛ, МД5, процес, услужни програм, догађај. Приликом њиховог проласка кроз системе за обавештавање претњи, потребно је приложити ознаке. Односно, овај сајт је примећен у ЦНЦ-у те и те године, овај МД5 је био повезан са тим и таквим малвером, овај МД5 је преузет са сајта који је дистрибуирао малвер.

Фаза 2: Случајеви

У другој фази, посматрамо интеракцију између ових објеката и идентификујемо односе између свих ових објеката. Добијамо обележене системе који раде нешто лоше.

Фаза 3: Аналитичар

У трећој фази, случај се преноси искусном аналитичару који има велико искуство у анализи и он доноси пресуду. Он анализира на бајтове шта, где, како, зашто и зашто ради овај код. Ово тело је било злонамерни софтвер, овај рачунар је заражен. Открива везе између објеката, проверава резултате трчања кроз сандбок.

Даље се преносе резултати рада аналитичара. Дигитална форензика испитује слике, анализа злонамерног софтвера испитује пронађена „тела“, а тим за одговор на инциденте може да оде на локацију и истражи нешто што је већ тамо. Резултат рада биће потврђена хипотеза, идентификовани напад и начини за супротстављање.

Извор

Резултати

Тхреат Хунтинг је прилично млада технологија која може ефикасно да се супротстави прилагођеним, новим и нестандардним претњама, која има велике изгледе с обзиром на све већи број таквих претњи и све већу сложеност корпоративне инфраструктуре. Захтева три компоненте - податке, алате и аналитичаре. Предности лова на претње нису ограничене на спречавање спровођења претњи. Не заборавите да током процеса претраживања зарањамо у нашу инфраструктуру и њене слабе тачке кроз очи безбедносног аналитичара и можемо додатно ојачати ове тачке.

Први кораци које, по нашем мишљењу, треба предузети да би се започео ТХ процес у вашој организацији.

Водите рачуна о заштити крајњих тачака и мрежне инфраструктуре. Водите рачуна о видљивости (НетФлов) и контроли (заштитни зид, ИДС, ИПС, ДЛП) свих процеса на вашој мрежи. Упознајте своју мрежу од рубног рутера до последњег хоста.
Екплоре МИТЕР АТТ&ЦК.
Спроведите редовне пентестове барем кључних екстерних ресурса, анализирајте његове резултате, идентификујте главне мете за напад и затворите њихове рањивости.
Имплементирајте систем за откривање претњи отвореног кода (на пример, МИСП, Иети) и анализирајте евиденције у вези са њим.
Имплементирајте платформу за одговор на инциденте (ИРП): Р-Висион ИРП, Тхе Хиве, сандбок за анализу сумњивих датотека (ФортиСандбок, Цуцкоо).
Аутоматизујте рутинске процесе. Анализа дневника, снимање инцидената, информисање особља је огромно поље за аутоматизацију.
Научите да ефикасно комуницирате са инжењерима, програмерима и техничком подршком како бисте сарађивали на инцидентима.
Документујте цео процес, кључне тачке, постигнуте резултате да бисте им се касније вратили или поделили ове податке са колегама;
Будите друштвени: Будите свесни шта се дешава са вашим запосленима, кога запошљавате и коме дајете приступ информационим ресурсима организације.
Будите у току са трендовима у области нових претњи и метода заштите, повећајте ниво техничке писмености (укључујући и рад ИТ сервиса и подсистема), присуствујте конференцијама и комуницирајте са колегама.

Спремни да разговарате о организацији ТХ процеса у коментарима.

Или дођите да радите са нама!

Извори и материјали за проучавање

Извор: ввв.хабр.цом

Лов на претње, или Како се заштитити од 5% претњи

Релевантност

Дефиниција лова на претње

Компоненте лова на претње

Модел ПАРИС

Модел зрелости употребе ТХ

Технике лова на претње

Диамонд модел и ТХ стратегије

Извори информација и хипотезе у ТХ

Процес тестирања хипотеза

Резултати

Додај коментар Одустани од одговора