, intrÀffar de flesta (87%) cybersÀkerhetsincidenter inom nÄgra minuter, medan 68% av företagen tar mÄnader pÄ sig att upptÀcka dem. Detta bekrÀftas av , enligt vilken de flesta organisationer i genomsnitt tar 206 dagar för att upptÀcka en incident. UtifrÄn vÄr utredningserfarenhet kan hackare kontrollera ett företags infrastruktur i flera Är utan att bli upptÀckta. SÄledes, i en av organisationerna dÀr vÄra experter genomförde en cybersÀkerhetsincidentutredning, upptÀcktes det att hackarna helt kontrollerade hela organisationens infrastruktur och regelbundet stal viktiga uppgifter .
Anta att du redan har ett SIEM-system som samlar loggar och analyserar hÀndelser, och antivirusprogram har installerats pÄ slutpunkterna. Trots detta , precis som det Àr omöjligt att implementera EDR-system i hela nÀtverket, vilket gör att "blinda" omrÄden inte kan undvikas. För att hantera dessa kan nÀtverkstrafikanalys (NTA) hjÀlpa till. Dessa lösningar upptÀcker angriparnas aktivitet i de tidigaste faserna av intrÄng i nÀtverket, samt under försök att etablera sig och utveckla attacken inuti nÀtverket.
NTA finns i tvÄ varianter: en arbetar med NetFlow, den andra analyserar rÄ trafik. Fördelen med de senare systemen Àr att de kan lagra inspelningar av rÄ trafik. Tack vare detta kan en cybersÀkerhetsspecialist kontrollera framgÄngen av attacken, lokalisera hotet, förstÄ hur attacken intrÀffade och hur man kan förhindra liknande i framtiden.
Vi kommer att visa hur man med hjÀlp av NTA kan identifiera alla kÀnda attacktaktiker baserat pÄ direkta eller indirekta tecken, beskrivna i kunskapsbasen . Vi kommer att berÀtta om var och en av de 12 taktikerna, analysera tekniker som kan upptÀckas via trafiken och demonstrera deras upptÀckte med hjÀlp av vÄrt NTA-system.
Om kunskapsbasen ATT&CK
MITRE ATT&CK Àr en offentlig kunskapsbas som utvecklats och underhÄlls av MITRE-företaget baserat pÄ analys av verkliga APT. Den utgör en strukturerad uppsÀttning taktiker och tekniker som anvÀnds av angripare. Detta gör det möjligt för cybersÀkerhetsexperter vÀrlden över att tala samma sprÄk. Basen utökas och kompletteras stÀndigt med ny kunskap.
I basen identifieras 12 taktiker som delas upp enligt stadierna av en cyberattack:
- initial access (initial access);
- execution (execution);
- persistence (persistence);
- privilege escalation (privilege escalation);
- defense evasion (defense evasion);
- credential access (credential access);
- discovery (discovery);
- lateral movement (lateral movement);
- collection (collection);
- command and control (command and control);
- exfiltration (exfiltration);
- impact (impact).
För varje taktik i ATT&CK kunskapsbasen finns en lista med tekniker som hjÀlper angripare att nÄ sina mÄl i den aktuella attackfasen. Eftersom samma teknik kan anvÀndas i olika faser kan den relateras till flera taktiker.
Beskrivningen av varje teknik inkluderar:
- identifierare;
- en lista över taktiker dÀr den tillÀmpas;
- exempel pÄ tillÀmpning av APT-grupper;
- ÄtgÀrder för att minska skador vid dess anvÀndning;
- rekomendationer för detektion.
SÀkerhetsspecialister kan anvÀnda kunskap frÄn kunskapsbasen för att strukturera information om aktuella attacker och bygga ett effektivt sÀkerhetssystem baserat pÄ detta. Att förstÄ hur verkliga APT-grupper agerar kan ocksÄ bli en kÀlla till hypoteser för proaktiv hotjakt inom .
Om PT Network Attack Discovery
Vi kommer att identifiera anvĂ€ndningen av tekniker frĂ„n ATT&CK-matrisen med hjĂ€lp av systemet â NTA-systemet frĂ„n Positive Technologies, som Ă€r avsett för att identifiera attacker pĂ„ perimeter och inom nĂ€tverket. PT NAD tĂ€cker i olika grad alla 12 taktiker frĂ„n MITRE ATT&CK-matrisen. Det Ă€r mest effektivt nĂ€r det gĂ€ller att upptĂ€cka tekniker för initial access (initial access), lateral movement (lateral movement) och command and control (command and control). Inom dessa omrĂ„den tĂ€cker PT NAD över hĂ€lften av de kĂ€nda teknikerna, genom att upptĂ€cka deras anvĂ€ndning baserat pĂ„ direkta eller indirekta tecken.
Systemet identifierar attacker med hjÀlp av tekniker frÄn ATT&CK genom detektionsregler skapade av teamet (PT ESC), maskininlÀrning, indikatorer pÄ kompromettering, djup analytik och retrospektiv analys. Realtidsanalys av trafik i kombination med retrospektiv analys möjliggör upptÀckten av pÄgÄende dolda skadliga aktiviteter och spÄrning av attackvektorer och tidslinjer.
fullstÀndig mapping av PT NAD pÄ MITRE ATT&CK-matrisen. Det Àr en stor bild, sÄ vi rekommenderar att ni granskar den i ett separat fönster.
initial access (initial access)
Taktik för att fÄ initial Ätkomst innefattar tekniker för att penetrera ett företags nÀtverk. MÄlet för angriparna i detta skede Àr att leverera skadlig kod till det angripna systemet och sÀkerstÀlla möjligheten för ytterligare exekvering.
Analyser av trafik med PT NAD gör det möjligt att identifiera sju tekniker för att fÄ initial Ätkomst:
1. : överenskommelse via drive-by
Tekniken dÀr offret öppnar en webbplats som anvÀnds av angriparna för att utnyttja webblÀsaren och fÄ tillgÄngstoken till applikationen.
Vad PT NAD gör: om webbtrafiken inte Àr krypterad, inspekterar PT NAD innehÄllet i svaren frÄn HTTP-servrar. Det Àr i dessa svar som exploits finns som möjliggör för angripare att exekvera godtycklig kod i webblÀsaren. PT NAD identifierar automatiskt sÄdana exploits med hjÀlp av detektionsregler.
Dessutom upptÀcker PT NAD hotet i det tidigare steget. Regler och indikatorer för kompromiss aktiveras om anvÀndaren besöker en webbplats som omdirigerade dem till en webbplats med en kombination av exploits.
2. : utnyttja offentligt tillgÀnglig applikation
Utnyttjande av sÄrbarheter i tjÀnster som Àr tillgÀngliga frÄn internet.
Vad PT NAD gör: utför en djup inspektion av innehÄllet i nÀtverkspaket, vilket avslöjar tecken pÄ avvikande aktivitet. SÀrskilt finns det regler som möjliggör upptÀckten av attacker mot grundlÀggande innehÄllshanteringssystem, webbgrÀnssnitt för nÀtverksutrustning, attacker mot e-post- och FTP-servrar.
3. : externa fjÀrrtjÀnster
AnvÀndning av angripares fjÀrrÄtkomsttjÀnster för att ansluta till resurser pÄ det interna nÀtverket utifrÄn.
Vad PT NAD gör: eftersom systemet identifierar protokoll inte utifrÄn portnummer utan baserat pÄ paketens innehÄll, kan anvÀndare av systemet filtrera trafik för att hitta alla sessioner för fjÀrrÄtkomstprotokoll och kontrollera deras legitimitet.
4. : spearphishing-bilaga
Det handlar om de ökÀnda phishing-bilagorna.
Vad PT NAD gör: extraherar automatiskt filer frÄn trafiken och kontrollerar dem mot indikatorer för kompromiss. Exekverbara filer i bilagor identifieras av regler som analyserar innehÄllet i e-posttrafiken. I en företagsmiljö anses en sÄdan bilaga vara avvikande.
5. : spearphishing-lÀnk
AnvÀndning av phishing-lÀnkar. Tekniken innebÀr att angripare skickar ett phishingmejl med en lÀnk, som nÀr den klickas leder till nedladdning av skadlig programvara. Som regel Ätföljs lÀnken av en text som följer alla regler för social ingenjörskonst.
Vad PT NAD gör: identifierar phishing-lÀnkar med hjÀlp av indikatorer för kompromettering. Till exempel i grÀnssnittet för PT NAD ser vi en session dÀr en HTTP-anslutning gjordes via en lÀnk som finns med pÄ listan över phishingadresser (phishing-urls).
Anslutning via en lÀnk frÄn listan över indikatorer för kompromettering phishing-urls
6. : pÄlitlig relation
à tkomst till offrets nÀtverk via tredje parter, med vilka offret har etablerat pÄlitliga relationer. Angripare kan hacka en pÄlitlig organisation och ansluta sig till det mÄlinriktade nÀtverket genom den. För detta anvÀnder de VPN-anslutningar eller domÀners förtroendeförhÄllanden, vilket kan upptÀckas genom trafikanalys.
Vad PT NAD gör: analyserar applikationsprotokoll och sparar de analyserade fÀlten i en databas, vilket gör att en sÀkerhetsanalytiker med hjÀlp av filter kan hitta alla misstÀnkta VPN-anslutningar eller korsdomÀnanslutningar i databasen.
7. : giltiga konton
AnvÀndning av standard, lokala eller domÀnanvÀndardata för autentisering pÄ externa och interna tjÀnster.
Vad PT NAD gör: automatiskt extraherar autentiseringsuppgifter frÄn protokoll som HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos. I allmÀnhet handlar det om anvÀndarnamn, lösenord och ett tecken för lyckad autentisering. Om de har anvÀnts visas de i motsvarande sessionskort.
Utförande (execution)
I taktiken Utförande ingÄr tekniker som angripare anvÀnder för att köra kod i komprometterade system. Att köra skadlig kod hjÀlper angripare att befÀsta sin nÀrvaro (taktik persistence) och utöka Ätkomsten till fjÀrrsystem i nÀtverket genom att röra sig inom perimetern.
PT NAD möjliggör identifiering av 14 tekniker som anvÀnds av angripare för att utföra skadlig kod.
1. : CMSTP (Microsoft Connection Manager Profile Installer)
En taktik dÀr angripare förbereder en speciell skadlig installationsfil av typ INF för den inbyggda Windows-verktyget CMSTP.exe (installatör för anslutningsprofiler). CMSTP.exe tar emot filen som parameter och installerar en tjÀnstprofil för fjÀrranslutning. DÀrmed kan CMSTP.exe anvÀndas för att ladda och köra dynamiskt lÀnkade bibliotek (*.dll) eller skripter (*.sct) frÄn fjÀrrservrar.
Vad PT NAD gör: upptÀcker automatiskt INF-filöverföringar av speciell typ i HTTP-trafik. Utöver detta upptÀcker det överföringar av skadliga skripter och dynamiskt lÀnkade bibliotek via HTTP frÄn en fjÀrrserver.
2. : kommandoradsgrÀnssnitt
Interaktion med kommandoradsgrÀnssnittet. Man kan interagera med kommandoradsgrÀnssnittet bÄde lokalt och pÄ distans, exempelvis genom fjÀrrÄtkomstverktyg.
Vad PT NAD gör: upptÀcker automatiskt nÀrvaron av shells genom svar pÄ kommandon frÄn olika kommandoradsverktyg, som ping, ifconfig.
3. : komponentobjektmodell och distribuerad COM
AnvÀndning av COM- eller DCOM-teknologier för att utföra kod pÄ lokala eller fjÀrrsystem under spridning i nÀtverket.
Vad PT NAD gör: upptÀcker misstÀnkta DCOM-anrop som angripare vanligtvis anvÀnder för att starta program.
4. : utnyttjande för klientexekvering
Utnyttjande av sÄrbarheter för att köra godtycklig kod pÄ arbetsstationen. De mest anvÀndbara exploateringar för angripare Àr de som tillÄter exekvering av kod i ett fjÀrrsystem, eftersom de möjliggör Ätkomst till det systemet. Tekniken kan genomföras pÄ följande sÀtt: skadlig e-post, webbplatser med browser-exploateringar, och fjÀrrutnyttjande av applikationssÄrbarheter.
Vad PT NAD gör: under analys av e-posttrafik kontrollerar PT NAD om det finns körbara filer i bilagor. Den automatiskt extraherar kontorsdokument frÄn meddelanden som kan innehÄlla exploateringar. Försök att utnyttja sÄrbarheter syns i trafiken, vilket PT NAD automatiskt identifierar.
5. : mshta
AnvÀndningen av verktyget mshta.exe, som kör Microsoft HTML-applikationer (HTA) med filÀndelsen .hta. Eftersom mshta behandlar filer bortom webblÀsarens sÀkerhetsinstÀllningar kan angripare anvÀnda mshta.exe för att köra skadliga HTA-filer, JavaScript eller VBScript.
Vad PT NAD gör: .hta-filer för körning via mshta överförs bland annat över nĂ€tverket â detta syns i trafiken. PT NAD identifierar automatiskt överföring av sĂ„dana skadliga filer. Den fĂ„ngar filer, och information om dem kan ses i sessionskortet.
6. : PowerShell
AnvÀndning av PowerShell för att söka information och köra skadlig kod.
Vad PT NAD gör: nÀr PowerShell anvÀnds av angripare pÄ distans detekterar PT NAD detta med hjÀlp av regler. Den upptÀcker nyckelord frÄn PowerShell-sprÄket som oftast anvÀnds i skadliga skript och överföring av PowerShell-skripter via SMB-protokollet.
7. : schemalagd uppgift
AnvÀndning av Windows UppgiftsschemalÀggare och andra verktyg för att automatiskt köra program eller skript vid bestÀmda tidpunkter.
Vad PT NAD gör: angripare skapar sÄdana uppgifter oftast pÄ distans, vilket innebÀr att sÄdana sessioner syns i trafiken. PT NAD identifierar automatiskt misstÀnkta operationer för skapande och modifiering av uppgifter med hjÀlp av RPC-grÀnssnitt frÄn ATSVC och ITaskSchedulerService.
8. : skripting
Körning av skript för att automatisera olika ÄtgÀrder för angripare.
Vad PT NAD gör: identifierar överföring av skript över nÀtverket, det vill sÀga redan innan de körs. Den upptÀcker innehÄllet i skript i rÄ trafik och detekterar nÀtverksöverföring av filer med filÀndelser som motsvarar populÀra skriptsprÄk.
9. : tjÀnsteutförande
Körning av körbara filer, kommandoradsinstruktioner eller skript genom interaktion med Windows-tjÀnster, till exempel med tjÀnstkontrollhanteraren (Service Control Manager, SCM).
Vad PT NAD gör: inspekterar SMB-trafik och detekterar anrop till SCM med regler för skapande, Àndring och körning av tjÀnster.
Tekniken för att starta tjÀnster kan genomföras med hjÀlp av ett verktyg för fjÀrrkörning av kommandon, PSExec. PT NAD analyserar SMB-protokollet och detekterar anvÀndning av PSExec nÀr det anvÀnder filen PSEXESVC.exe eller det standardiserade tjÀnstnamnet PSEXECSVC för att köra kod pÄ en fjÀrrdator. AnvÀndaren bör kontrollera listan över körda kommandon och legitimiteten av fjÀrrkörningen av kommandon frÄn noden.
I PT NAD-visningskortet visas data om anvÀnda taktiker och tekniker enligt ATT&CK-matrisen, sÄ att anvÀndaren kan förstÄ vilket skede av attacken angriparna befinner sig i, vilka mÄl de strÀvar efter och vilka motÄtgÀrder som kan vidtas.
Aktivering av regeln om anvÀndning av PSExec-verktyget, vilket kan tyda pÄ ett försök att köra kommandon pÄ en fjÀrrdator.
10. : tredjepartsprogramvara
En teknik dÀr angripare fÄr tillgÄng till programvara för fjÀrradministration eller företagsprogramvarudistributionssystem och anvÀnder dem för att köra skadlig kod. Exempel pÄ sÄdan programvara: SCCM, VNC, TeamViewer, HBSS, Altiris.
För övrigt Àr tekniken sÀrskilt relevant i samband med den massiva övergÄngen till distansarbete och dÀrmed anslutningen av mÄnga oskyddade hem-enheter via tveksamma fjÀrrÄtkomstkanaler.
Vad PT NAD gör: identifierar automatiskt sÄdana programvaror i nÀtverket. Till exempel aktiveras regler nÀr det gÀller anslutningar via VNC-protokollet och aktiviteten hos trojanen EvilVNC, som diskret installerar en VNC-server pÄ offrets vÀrd och startar den automatiskt. PT NAD identifierar ocksÄ TeamViewer-protokollet automatiskt, vilket hjÀlper analytikern att hitta alla sÄdana sessioner med hjÀlp av filter och kontrollera deras legitimitet.
11. : anvÀndarexecering
En teknik dÀr anvÀndaren kör filer som kan leda till kodexekvering. Det kan till exempel ske om han öppnar en körbar fil eller kör ett kontorsdokument med makro.
Vad PT NAD gör: kan se sÄdana filer redan i överföringssteget, innan de körs. Information om dem kan studeras i sessionkorten dÀr de överfördes.
12. : Windows Management Instrumentation
AnvÀndning av WMI-verktyget, som möjliggör lokal och fjÀrrÄtkomst till Windows-systemkomponenter. Genom WMI kan angripare interagera med lokala och fjÀrrsystem och utföra en rad uppgifter, till exempel samla information för spaning och köra processer pÄ distans under horisontell förflyttning.
Vad PT NAD gör: eftersom interaktioner med fjÀrrsystem via WMI syns i trafiken, upptÀcker PT NAD automatiskt nÀtverksförfrÄgningar om etablering av WMI-sessioner och kontrollerar trafiken för att identifiera överföring av skript som anvÀnder WMI.
13. : Windows Remote Management
AnvÀndning av Windows-tjÀnsten och protokollet som gör att anvÀndaren kan interagera med fjÀrrsystem.
Vad PT NAD gör: ser nÀtverksanslutningar etablerade med Windows Remote Management. SÄdana sessioner upptÀckts automatiskt av regler.
14. : XSL (Extensible Stylesheet Language) skriptbearbetning
XSL-stilmÀrkessprÄk anvÀnds för att beskriva bearbetning och visualisering av data i XML-filer. För att stödja komplexa operationer inkluderar XSL-standarden stöd för inbÀddade skript pÄ olika sprÄk. Dessa sprÄk tillÄter körning av godtycklig kod, vilket gör att sÀkerhetspolicys baserade pÄ vitlistor kan kringgÄs.
Vad PT NAD gör: identifierar faktorer för överföring av sÄdana filer över nÀtet, dvs. innan de körs. Den upptÀcker automatiskt överföring av XSL-filer och filer med avvikande XSL-markup.
I följande material kommer vi att undersöka hur NTA-systemet PT Network Attack Discovery upptÀcker andra taktiker och tekniker frÄn angripare enligt MITRE ATT&CK. HÄll dig uppdaterad!
Författare:
- Anton Kutepev, expert vid det sÀkerhetscentrum för experter (PT Expert Security Center) vid Positive Technologies
- Natalia Kazankova, produktmarknadsförare vid Positive Technologies
KĂ€lla: habr.com
