{"id":31721,"date":"2019-10-31T21:42:43","date_gmt":"2019-10-31T18:42:43","guid":{"rendered":"https:\/\/prohoster.info\/blog\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz\/"},"modified":"2019-10-31T21:42:43","modified_gmt":"2019-10-31T18:42:43","slug":"threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/threat-hunting-ili-kak-zashhititsya-ot-5-ugroz","title":{"rendered":"Hotjakt, eller Hur man skyddar sig mot 5% av hoten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

95% av hoten mot informationss\u00e4kerhet \u00e4r k\u00e4nda, och man kan skydda sig mot dem med traditionella verktyg som antivirusprogram, brandv\u00e4ggar, IDS, WAF. De \u00e5terst\u00e5ende 5% av hoten \u00e4r ok\u00e4nda och de farligaste. De utg\u00f6r 70% av risken f\u00f6r f\u00f6retaget p\u00e5 grund av att de \u00e4r mycket sv\u00e5ra att uppt\u00e4cka och \u00e4nnu sv\u00e5rare att skydda sig mot. Exempel p\u00e5 \u00absvarta svanar\u00bb<\/a><\/noindex> \u00e4r epidemier av ransomware som WannaCry, NotPetya\/ExPetr, kryptovaluta-gruvdrift, \u00abcybervapen\u00bb som Stuxnet (som angrep Irans k\u00e4rnanl\u00e4ggningar) och m\u00e5nga (vem minns Kido\/Conficker?) andra attacker, mot vilka det \u00e4r sv\u00e5rt att skydda sig med klassiska s\u00e4kerhetsmedel. Vi vill diskutera hur man kan motarbeta dessa 5% av hoten med hj\u00e4lp av teknologin Threat Hunting.<\/p>\n

\"Hotjakt,<\/a><\/noindex>
\n Den st\u00e4ndiga utvecklingen av cyberattacker kr\u00e4ver kontinuerlig uppt\u00e4ck och mot\u00e5tg\u00e4rder, vilket i slut\u00e4ndan leder oss till insikten om en o\u00e4ndlig kapprustning mellan angripare och f\u00f6rsvarare. Klassiska skyddssystem kan inte l\u00e4ngre garantera en acceptabel niv\u00e5 av s\u00e4kerhet, d\u00e4r riskniv\u00e5n inte p\u00e5verkar f\u00f6retagets nyckeltal (ekonomiska, politiska, rykte) utan att anpassas till den specifika infrastrukturen, men i stort sett hanterar de en del av riskerna. Redan under implementerings- och konfigurationsprocessen hamnar moderna skyddssystem i en reaktiv position och m\u00e5ste svara p\u00e5 utmaningarna i v\u00e5r tid.<\/p>\n

\"Hotjakt,K\u00e4lla<\/noindex><\/p>\n

En av de m\u00f6jliga svaren p\u00e5 samtidsutmaningarna f\u00f6r en s\u00e4kerhetsspecialist kan vara teknologin Threat Hunting. Termen Threat Hunting (h\u00e4refter kallad TH) d\u00f6k upp f\u00f6r n\u00e5gra \u00e5r sedan. Sj\u00e4lva teknologin \u00e4r ganska intressant, men har \u00e4nnu inga vedertagna standarder och regler. Det komplicerar ocks\u00e5 situationen med de heterogena informationsk\u00e4llorna och det f\u00e5talet svenskspr\u00e5kiga k\u00e4llor om detta \u00e4mne. D\u00e4rf\u00f6r har vi p\u00e5 \u00abLANIT-Integration\u00bb beslutat att skriva en \u00f6versikt \u00f6ver denna teknologi. <\/p>\n

Relevans<\/h2>\n

\nTeknologin TH bygger p\u00e5 processer f\u00f6r \u00f6vervakning av infrastrukturen. Det finns tv\u00e5 huvudsakliga scenarier f\u00f6r intern \u00f6vervakning \u2013 Alerting och Hunting.<\/a><\/noindex>Alerting (such as MSSP services) is a traditional method involving the search for previously developed signatures and attack indicators, and responding to them. This scenario is successfully performed by traditional signature-based protection tools. Hunting (an MDR-type service) is a monitoring method that answers the question, \"Where do the signatures and rules come from?\" It is the process of creating correlation rules by analyzing hidden or previously unknown attack indicators and signatures. This type of monitoring is what Threat Hunting refers to.<\/p>\n

\"Hotjakt,
\nOnly by combining both types of monitoring do we achieve protection that is close to ideal, yet there always remains some level of residual risk.<\/p>\n

\"Hotjakt,Protection using two types of monitoring<\/i><\/p>\n

Here\u2019s why TH (and hunting as a whole!) will become increasingly relevant:<\/p>\n

\"Hotjakt,Threats, protection methods, risks.<\/i> K\u00e4lla<\/a><\/noindex><\/p>\n

95% of all threats are already well understood.<\/a><\/noindex>These include types such as spam, DDoS, viruses, rootkits, and other classic malware. You can protect against these threats with the same classic protective measures.<\/p>\n

During any project execution, 20% of the time is spent on 80% of the work.<\/a><\/noindex>, while the remaining 20% of work takes 80% of the time. Similarly, among the entire threat landscape, 5% of new type threats will account for 70% of the risk to a company. In a company where information security management processes are organized, we can manage 30% of the risk from known threats in one way or another, by avoiding (abandoning wireless networks altogether), accepting (implementing necessary protections), or transferring (for instance, to the integrator's liability) this risk. Protecting against zero-day vulnerabilities<\/a><\/noindex>, APT attacks, phishing, supply chain attacks<\/a><\/noindex>, cyber espionage, and national operations, as well as many other attacks is much more difficult. The consequences of these 5% of threats will be much more severe (the average loss for a bank from the buhtrap group is 143 million<\/a><\/noindex>), than the consequences of spam or viruses, which antivirus software protects against.<\/p>\n

Almost everyone faces 5% of threats. Recently, we had to install an open-source solution that uses an application from the PEAR (PHP Extension and Application Repository) repository. The attempt to install this application via pear install was unsuccessful, as webbplats<\/a><\/noindex> var inte tillg\u00e4nglig (nu finns det redan en st\u00e4llplats p\u00e5 den), s\u00e5 vi var tvungna att installera den fr\u00e5n GitHub. Och nyligen visade det sig att PEAR blev ett offer f\u00f6r en supply chain-attack<\/a><\/noindex>.<\/p>\n

\"Hotjakt,<\/p>\n

Vi kan \u00e4ven n\u00e4mna attacken med CCleaner<\/a><\/noindex>, ransomwareepidemin NePetya genom programuppdateringsmodulen f\u00f6r skattehanteringsprogrammet M.E.Doc<\/a><\/noindex>. Hoten blir allt mer sofistikerade, och en logisk fr\u00e5ga uppst\u00e5r \u2013 \"Hur ska vi egentligen motverka dessa 5% hot?\"<\/p>\n

Definition av Threat Hunting<\/h2>\n

\nS\u00e5, Threat Hunting \u00e4r en process f\u00f6r proaktiv och iterativ s\u00f6kning och uppt\u00e4ckte av avancerade hot som inte kan uppt\u00e4ckas med traditionella skyddsmetoder. Exempel p\u00e5 avancerade hot inkluderar attacker som APT, 0-dag s\u00e5rbarheter, Living off the Land och s\u00e5 vidare.<\/p>\n

Man kan ocks\u00e5 omformulera s\u00e5 att TH \u00e4r en process f\u00f6r att verifiera hypoteser. Det \u00e4r huvudsakligen en manuell process med inslag av automatisering, d\u00e4r analytikern, baserat p\u00e5 sin kunskap och kompetens, filtrerar stora m\u00e4ngder information i jakten p\u00e5 tecken p\u00e5 kompromiss, enligt en ursprungligen definierad hypotes om n\u00e4rvaron av ett visst hot. En utm\u00e4rkande egenskap \u00e4r m\u00e5ngfalden av informationsk\u00e4llor.<\/p>\n

Det \u00e4r viktigt att notera att Threat Hunting inte \u00e4r en programvara eller h\u00e5rdvaruprodukt. Det \u00e4r inte varningar som man kan se i en viss l\u00f6sning. Det \u00e4r inte en process f\u00f6r att leta efter IOC (indikatorer p\u00e5 kompromiss). Och det \u00e4r inte en passiv aktivitet som sker utan deltagande av cybers\u00e4kerhetsanalytiker. Threat Hunting \u00e4r framf\u00f6r allt en process.<\/p>\n

Komponenter av Threat Hunting<\/h2>\n

\n\"Hotjakt,
\nTre huvudsakliga komponenter av Threat Hunting: data, teknik, m\u00e4nniskor.<\/p>\n

Data (vad?)<\/b>, inklusive Big Data. Alla m\u00f6jliga trafikstr\u00f6mmar, information om tidigare genomf\u00f6rda APT, analyser, data om anv\u00e4ndaraktivitet, n\u00e4tverksdata, information fr\u00e5n anst\u00e4llda, information fr\u00e5n dark web och mycket mer.<\/p>\n

Teknik (hur?)<\/b> f\u00f6r bearbetning av dessa data \u2013 alla m\u00f6jliga s\u00e4tt att bearbeta dessa data, inklusive maskininl\u00e4rning.<\/p>\n

M\u00e4nniskor (vem?)<\/b> De som har stor erfarenhet av att analysera olika typer av attacker, har utvecklad intuition och f\u00f6rm\u00e5ga att uppt\u00e4cka attacker. Vanligtvis \u00e4r detta informationss\u00e4kerhetsanalytiker som m\u00e5ste ha f\u00f6rm\u00e5gan att generera hypoteser och bekr\u00e4fta dem. De \u00e4r den viktigaste l\u00e4nken i processen.<\/p>\n

PARIS-modellen<\/h2>\n

\nAdam Bateman beskriver<\/a><\/noindex> PARIS-modellen f\u00f6r den ideala TH-processen. Namnet antyder en v\u00e4lk\u00e4nd sev\u00e4rdhet i Frankrike. Denna modell kan ses fr\u00e5n tv\u00e5 perspektiv - uppifr\u00e5n och nerifr\u00e5n.<\/p>\n

I hotjaktprocessen, r\u00f6rande sig enligt modellen uppifr\u00e5n och ner, kommer vi att hantera m\u00e5nga bevis p\u00e5 skadlig aktivitet. Varje bevis har en viss grad av s\u00e4kerhet - en egenskap som \u00e5terspeglar vikten av detta bevis. Det finns \"h\u00e5rda\", direkta bevis p\u00e5 skadlig aktivitet, som g\u00f6r att vi omedelbart kan n\u00e5 toppen av pyramiden och skapa ett faktabaserat larm om en exakt k\u00e4nd infektion. Och det finns indirekta bevis, vars samlade v\u00e4rde ocks\u00e5 kan f\u00f6ra oss till toppen av pyramiden. Som alltid finns det m\u00e5nga fler indirekta bevis \u00e4n direkta, vilket inneb\u00e4r att de m\u00e5ste sorteras och analyseras, genomf\u00f6ra ytterligare unders\u00f6kningar och helst automatiseras.<\/p>\n

\"Hotjakt,PARIS-modellen.<\/i> K\u00e4lla<\/a><\/noindex><\/p>\n

Den \u00f6vre delen av modellen (1 och 2) baseras p\u00e5 automatiseringstekniker och varierande analys, medan den nedre delen (3 och 4) baseras p\u00e5 m\u00e4nniskor med viss kvalifikation som hanterar processen. Man kan betrakta modellen uppifr\u00e5n och ner, d\u00e4r vi i den bl\u00e5 \u00f6vre delen har larm fr\u00e5n traditionella skyddssystem (antivirus, EDR, brandv\u00e4gg, signaturer) med h\u00f6g grad av s\u00e4kerhet och f\u00f6rtroende, och l\u00e4ngre ner indikatorer (IOC, URL, MD5 och andra) som har en l\u00e4gre grad av s\u00e4kerhet och kr\u00e4ver ytterligare studier. Och den allra nedersta och tjockaste niv\u00e5n (4) - generering av hypoteser, skapandet av nya scenarier f\u00f6r arbete med traditionella skyddssystem. Denna niv\u00e5 \u00e4r inte begr\u00e4nsad till de angivna k\u00e4llorna f\u00f6r hypoteser. Ju l\u00e4gre niv\u00e5n \u00e4r, desto h\u00f6gre krav st\u00e4lls p\u00e5 analytikerns kvalifikation.<\/p>\n

Det \u00e4r mycket viktigt att analytikerna inte bara kontrollerar en slutgiltig upps\u00e4ttning f\u00f6rdefinierade hypoteser, utan st\u00e4ndigt arbetar med att generera nya hypoteser och alternativ f\u00f6r deras testning.<\/p>\n

Modellen f\u00f6r anv\u00e4ndningsmognad av TH<\/h2>\n

\nI en perfekt v\u00e4rld \u00e4r TH en kontinuerlig process. Men eftersom det inte finns n\u00e5gon perfekt v\u00e4rld, l\u00e5t oss analysera mognadsmodellen<\/a><\/noindex> och metoderna i perspektivet av m\u00e4nniskor, processer och teknologier som anv\u00e4nds. L\u00e5t oss \u00f6verv\u00e4ga modellen f\u00f6r perfekt sf\u00e4risk TH. Det finns 5 niv\u00e5er av anv\u00e4ndning av denna teknologi. L\u00e5t oss betrakta dem som ett exempel p\u00e5 utvecklingen av ett enskilt team av analytiker.<\/p>\n

Mognadsniv\u00e5er<\/b>
\nM\u00e4nniskor<\/b>
\nProcesser<\/b>
\nTeknologier<\/b><\/p>\n

Niv\u00e5 0<\/b>
\nSOC-analytiker
\n24\/7
\nTraditionella verktyg:<\/p>\n

Traditionell
\nS\u00e4tt att f\u00e5 larm
\nPassiv \u00f6vervakning
\nIDS, AV, Sandboxning,<\/p>\n

Utan TH<\/i>
\nArbeta med larm<\/p>\n

signaturanalysverktyg, Threat Intelligence-data.<\/p>\n

Niv\u00e5 1<\/b>
\nSOC-analytiker
\nEng\u00e5ngs TH
\nEDR<\/p>\n

Experimentell
\nGrundl\u00e4ggande kunskaper i forensik
\nS\u00f6kning av IOC
\nDelvis t\u00e4ckning av data fr\u00e5n n\u00e4tverksenheter<\/p>\n

Experimentera med TH<\/i>
\nBra kunskap om n\u00e4tverk och applikationer<\/p>\n

Delvis till\u00e4mpning<\/p>\n

Niv\u00e5 2<\/b>
\nTillf\u00e4llig syssels\u00e4ttning
\nSprintar
\nEDR<\/p>\n

Periodisk
\nMedelkunskaper i forensik
\nEn vecka per m\u00e5nad
\nFullst\u00e4ndig till\u00e4mpning<\/p>\n

Tillf\u00e4llig TH<\/i>
\nUtm\u00e4rkt kunskap om n\u00e4tverk och applikationer
\nRegelbunden TH
\nFullst\u00e4ndig automatisering av anv\u00e4ndningen av EDR-data<\/p>\n

Delvis anv\u00e4ndning av ut\u00f6kade EDR-funktioner<\/p>\n

Niv\u00e5 3<\/b>
\nDedikerat TH-team
\n24\/7
\nDelvis f\u00f6rm\u00e5ga att verifiera TH-hypoteser<\/p>\n

Preventiv
\nUtbildade kunskaper inom forensik och skadlig programvara
\nPreventiv TH
\nFullst\u00e4ndig anv\u00e4ndning av ut\u00f6kade EDR-funktioner<\/p>\n

S\u00e4rskilda fall av TH<\/i>
\nUtm\u00e4rkt k\u00e4nnedom om angriparsidan
\nS\u00e4rskilda fall av TH
\nFullst\u00e4ndig datat\u00e4ckning fr\u00e5n n\u00e4tverksenheter<\/p>\n

Konfiguration anpassad till behoven<\/p>\n

Niv\u00e5 4<\/b>
\nDedikerat TH-team
\n24\/7
\nFullst\u00e4ndig f\u00f6rm\u00e5ga att verifiera TH-hypoteser<\/p>\n

Ledande
\nUtbildade kunskaper inom forensik och skadlig programvara
\nPreventiv TH
\nNiv\u00e5 3, plus:<\/p>\n

Anv\u00e4ndning av TH<\/i>
\nUtm\u00e4rkt k\u00e4nnedom om angriparsidan
\nVerifiering, automatisering och validering av TH-hypoteser
\nn\u00e4ra integration av datak\u00e4llor;<\/p>\n

Forskningens f\u00f6rm\u00e5ga<\/p>\n

utveckling anpassad till behov och icke-standardanv\u00e4ndning av API.<\/p>\n

Mognadsniv\u00e5er av TH i perspektivet av m\u00e4nniskor, processer och teknologier<\/i><\/p>\n

Niv\u00e5 0:<\/b> traditionell, utan anv\u00e4ndning av TH. Vanliga analytiker arbetar med en standardupps\u00e4ttning larm i passiv \u00f6vervakning med hj\u00e4lp av standardverktyg och teknologier: IDS, AV, sandboxar, signaturanalysverktyg.<\/p>\n

Niv\u00e5 1:<\/b> experimentell, med anv\u00e4ndning av TH. Samma analytiker med grundl\u00e4ggande kunskaper i forensik och god f\u00f6rst\u00e5else f\u00f6r n\u00e4tverk och till\u00e4mpade aspekter kan genomf\u00f6ra en eng\u00e5ngs Threat Hunting genom att s\u00f6ka efter indikatorer p\u00e5 kompromiss. Verktygen inkluderar EDR med delvis t\u00e4ckning av data fr\u00e5n n\u00e4tverksenheter. Verktygen anv\u00e4nds delvis.<\/p>\n

Niv\u00e5 2:<\/b> \u043f\u0435\u0440\u0438\u043e\u0434\u0438\u0447\u0435\u0441\u043a\u0438\u0439, \u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 TH. \u0422\u0435\u043c \u0436\u0435 \u0441\u0430\u043c\u044b\u043c \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0430\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0443\u0436\u0435 \u043f\u0440\u043e\u043a\u0430\u0447\u0430\u043b\u0438 \u0441\u0432\u043e\u0438 \u0437\u043d\u0430\u043d\u0438\u044f \u043f\u043e \u0444\u043e\u0440\u0435\u043d\u0437\u0438\u043a\u0435, \u0441\u0435\u0442\u044f\u043c \u0438 \u043f\u0440\u0438\u043a\u043b\u0430\u0434\u043d\u043e\u0439 \u0447\u0430\u0441\u0442\u0438 \u0432\u043c\u0435\u043d\u044f\u0435\u0442\u0441\u044f \u0432 \u043e\u0431\u044f\u0437\u0430\u043d\u043d\u043e\u0441\u0442\u044c \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e\u0435 \u0437\u0430\u043d\u044f\u0442\u0438\u0435 (\u0441\u043f\u0440\u0438\u043d\u0442) Threat Hunting’\u043e\u043c, \u0441\u043a\u0430\u0436\u0435\u043c, \u043d\u0435\u0434\u0435\u043b\u044f \u0432 \u043c\u0435\u0441\u044f\u0446. \u041a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u043c \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043f\u043e\u043b\u043d\u043e\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0442 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u044f \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0442 EDR \u0438 \u0447\u0430\u0441\u0442\u0438\u0447\u043d\u043e\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u043d\u044b\u0445 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u0435\u0439 EDR.<\/p>\n

Niv\u00e5 3:<\/b> preventiv, frekventa fall av TH. V\u00e5ra analytiker har organiserat sig i ett dedikerat team, f\u00e5tt utm\u00e4rkta kunskaper inom forensik och skadlig programvara, samt kunskap om metoder och taktik som angriparna anv\u00e4nder. Processen genomf\u00f6rs redan i 24\/7-l\u00e4ge. Teamet kan delvis testa hypoteser f\u00f6r TH, helt anv\u00e4nda avancerade EDR-funktioner med fullst\u00e4ndig t\u00e4ckning av data fr\u00e5n n\u00e4tverksenheter. Dessutom kan analytikerna konfigurera verktygen efter sina behov.<\/p>\n

Niv\u00e5 4:<\/b> ledande, anv\u00e4ndning av TH. Samma team har f\u00e5tt f\u00f6rm\u00e5gan att genomf\u00f6ra forskning, f\u00f6rm\u00e5gan att generera och automatisera processen f\u00f6r att testa hypoteser f\u00f6r TH. Nu har verktygen en n\u00e4ra integration av datak\u00e4llor, utveckling av programvara anpassad efter behov och icke-standardanv\u00e4ndning av API.<\/p>\n

Tekniker f\u00f6r Threat Hunting<\/h2>\n

\n\"Hotjakt,Grundl\u00e4ggande tekniker f\u00f6r Threat Hunting<\/i><\/p>\n

Till tekniker<\/a><\/noindex> TH i ordning efter mognad av den anv\u00e4nda teknologin inkluderar: grundl\u00e4ggande s\u00f6kningar, statistisk analys, visualiseringstekniker, enkla aggregationer, maskininl\u00e4rning och bayesianska metoder. <\/p>\n

Den enklaste metoden \u00e4r grundl\u00e4ggande s\u00f6kning, som anv\u00e4nds f\u00f6r att avgr\u00e4nsa forskningsomr\u00e5det med hj\u00e4lp av specifika fr\u00e5gor. Statistisk analys till\u00e4mpas till exempel f\u00f6r att bygga typisk anv\u00e4ndar- eller n\u00e4tverksaktivitet i form av en statistisk modell. Visualiseringstekniker anv\u00e4nds f\u00f6r att tydligt visa och f\u00f6renkla datanalys i form av diagram och grafer, d\u00e4r det \u00e4r enklare att f\u00e5nga m\u00f6nster i urvalet. Tekniken med enkla aggregationer av nyckelf\u00e4lt anv\u00e4nds f\u00f6r att optimera s\u00f6kningar och analyser. Ju h\u00f6gre mognadsgrad TH-processen n\u00e5r i en organisation, desto mer relevant blir anv\u00e4ndningen av maskininl\u00e4rningsalgoritmer. Dessa anv\u00e4nds ocks\u00e5 i stor utstr\u00e4ckning vid filtrering av skr\u00e4ppost, uppt\u00e4ckten av skadlig trafik och detektering av bedr\u00e4gliga handlingar. En mer avancerad typ av maskininl\u00e4rningsalgoritmer \u00e4r Bayesmetoder, som m\u00f6jligg\u00f6r klassificering, minskning av urvalsdimensioner och \u00e4mnesmodellering.<\/p>\n

Diamantmodellen och TH-strategier<\/h2>\n

\nSergio Caltagirone, Andrew Pendergast och Christopher Betz i sitt arbete \"The Diamond Model of Intrusion Analysis<\/a><\/noindex>\" visade de viktigaste komponenterna i vilken skadlig aktivitet som helst och den grundl\u00e4ggande kopplingen mellan dem.<\/p>\n

\"Hotjakt,Diamantmodellen f\u00f6r skadlig aktivitet<\/i><\/p>\n

Enligt denna modell finns det 4 strategier f\u00f6r Threat Hunting som \u00e4r baserade p\u00e5 de relevanta grundkomponenterna.<\/p>\n

1. Offerorienterad strategi. Vi antar att offret har fiender, och de kommer att leverera \"m\u00f6jligheter\" via e-post. Vi letar efter fiendens data i e-posten. S\u00f6ker efter l\u00e4nkar, bilagor osv. Vi s\u00f6ker bekr\u00e4ftelse p\u00e5 denna hypotes under en viss tidsperiod (en m\u00e5nad, tv\u00e5 veckor); om vi inte hittar n\u00e5got, s\u00e5 har hypotesen misslyckats.<\/p>\n

2. Infrastrukturorienterad strategi. Det finns flera metoder f\u00f6r att anv\u00e4nda denna strategi. Beroende p\u00e5 tillg\u00e5ng och synlighet \u00e4r vissa av dem l\u00e4ttare \u00e4n andra. Till exempel \u00f6vervakar vi dom\u00e4nnamnservrar som \u00e4r k\u00e4nda f\u00f6r att hysa skadliga dom\u00e4ner. Eller s\u00e5 genomf\u00f6r vi processen att sp\u00e5ra alla nya dom\u00e4nregistreringar f\u00f6r att se om det finns ett k\u00e4nt m\u00f6nster som anv\u00e4nds av motst\u00e5ndaren.<\/p>\n

3. M\u00f6jlighetsfokuserad strategi. F\u00f6rutom den offererade strategin som anv\u00e4nds av de flesta n\u00e4tverksf\u00f6rsvarare, finns det en strategi som fokuserar p\u00e5 m\u00f6jligheter. Den \u00e4r den n\u00e4st mest popul\u00e4ra och koncentrerar sig p\u00e5 att uppt\u00e4cka m\u00f6jligheter fr\u00e5n motst\u00e5ndaren, specifikt \"skadlig kod\" och m\u00f6jligheten att motst\u00e5ndaren kan anv\u00e4nda legitima verktyg som psexec, powershell, certutil och andra.<\/p>\n

4. Motst\u00e5ndarfokuserad strategi. Den motst\u00e5ndarfokuserade metoden koncentrerar sig p\u00e5 sj\u00e4lva motst\u00e5ndaren. Detta inkluderar anv\u00e4ndandet av \u00f6ppen information fr\u00e5n offentliga k\u00e4llor (OSINT), insamling av data om motst\u00e5ndaren, deras teknikker och metoder (TTP), analys av tidigare intr\u00e4ffade incidenter, Threat Intelligence-data, och s\u00e5 vidare.<\/p>\n

Informationsk\u00e4llor och hypoteser i TH<\/h2>\n

\n\"Hotjakt,N\u00e5gra informationsk\u00e4llor f\u00f6r Threat Hunting<\/i><\/p>\n

Det finns en m\u00e4ngd informationsk\u00e4llor. En idealisk analytiker b\u00f6r kunna h\u00e4mta information fr\u00e5n allt som finns omkring. Typiska k\u00e4llor i n\u00e4stan alla infrastrukturer \u00e4r data fr\u00e5n skyddssystem: DLP, SIEM, IDS\/IPS, WAF\/FW, EDR. Andra typiska k\u00e4llor \u00e4r olika indikatorer p\u00e5 kompromiss, Threat Intelligence-tj\u00e4nster, CERT-data och OSINT. Dessutom kan information fr\u00e5n dark web (till exempel, pl\u00f6tsligt finns det en beg\u00e4ran om att hacka e-postkontot f\u00f6r en organisationsledare, eller en kandidat till n\u00e4tverksingenj\u00f6rspositionen har blivit synlig genom sin aktivitet), information fr\u00e5n HR (omd\u00f6men om kandidaten fr\u00e5n tidigare arbetsplats), och information fr\u00e5n s\u00e4kerhetstj\u00e4nsten (till exempel, resultat fr\u00e5n en kontroll av en partner) anv\u00e4ndas.<\/p>\n

Men innan man anv\u00e4nder alla tillg\u00e4ngliga k\u00e4llor, \u00e4r det n\u00f6dv\u00e4ndigt att ha \u00e5tminstone en hypotes.<\/p>\n

\"Hotjakt,K\u00e4lla<\/a><\/noindex><\/p>\n

F\u00f6r att kunna testa hypoteser, beh\u00f6ver de f\u00f6rst formuleras. Och f\u00f6r att formulera m\u00e5nga kvalitativa hypoteser \u00e4r det viktigt att till\u00e4mpa en systematisk metod. Processen f\u00f6r att generera hypoteser beskrivs mer detaljerat i artikeln<\/a><\/noindex>, det \u00e4r praktiskt att utg\u00e5 fr\u00e5n denna modell f\u00f6r processen att formulera hypoteser.<\/p>\n

Den huvudsakliga k\u00e4llan f\u00f6r hypoteser kommer att vara ATT&CK-matrisen<\/b> (Adversarial Tactics, Techniques and Common Knowledge). Den \u00e4r i grunden en kunskapsbas och en modell f\u00f6r att utv\u00e4rdera angreppss\u00e4tt hos angripare som genomf\u00f6r sina aktiviteter i de sista stegen av en attack, oftast beskriven med begreppet Kill Chain. Det vill s\u00e4ga i stegen efter att angriparen har tr\u00e4ngt in i f\u00f6retagets interna n\u00e4tverk eller en mobil enhet. Ursprungligen inneh\u00f6ll kunskapsbasen en beskrivning av 121 taktiker och tekniker som anv\u00e4nds vid angrepp, var och en noggrant beskriven i ett Wiki-format. En m\u00e5ngfald av hotanalys kan fungera som en bra k\u00e4lla f\u00f6r att generera hypoteser. Det \u00e4r s\u00e4rskilt v\u00e4rt att notera resultaten fr\u00e5n analysen av infrastruktur och penetrationstester \u2013 dessa \u00e4r de mest v\u00e4rdefulla data som kan ge oss solida hypoteser eftersom de bygger p\u00e5 specifik infrastruktur med dess specifika brister.<\/p>\n

Hypotestestningsprocessen<\/h2>\n

\nSergey Soldatov presenterade ett bra schema<\/a><\/noindex> med en detaljerad beskrivning av processen, den illustrerar processen f\u00f6r hypotesverifiering av TH i ett s\u00e4rskilt system. Jag kommer att ange de viktigaste stegen med en kort beskrivning.<\/p>\n

\"Hotjakt,K\u00e4lla<\/a><\/noindex> <\/p>\n

Steg 1: TI Farm<\/b><\/p>\n

I det h\u00e4r steget \u00e4r det n\u00f6dv\u00e4ndigt att identifiera objekt<\/b> (genom att analysera dem tillsammans med all data om hot) och tilldela dem etiketter f\u00f6r deras egenskaper. Det kan vara en fil, URL, MD5, process, verktyg, h\u00e4ndelse. Genom att k\u00f6ra dem genom Threat Intelligence-systemen m\u00e5ste etiketter s\u00e4ttas p\u00e5. Det vill s\u00e4ga att denna webbplats har observerats i CNC n\u00e5got \u00e5r, denna MD5 var kopplad till n\u00e5gon malware, denna MD5 laddades ner fr\u00e5n en webbplats som delade ut malware.<\/p>\n

Steg 2: Cases<\/b><\/p>\n

I det andra steget ser vi p\u00e5 interaktionen mellan dessa objekt och identifierar sambanden mellan alla dessa objekt. Vi f\u00e5r m\u00e4rkta system som g\u00f6r n\u00e5got ont.<\/p>\n

Steg 3: Analytiker<\/b><\/p>\n

I det tredje steget \u00f6verl\u00e4mnas \u00e4rendet till en erfaren analytiker, med stor erfarenhet av analys, som avger sitt yttrande. Han bryter ner byte f\u00f6r byte vad, varifr\u00e5n, hur, varf\u00f6r och varf\u00f6r denna kod g\u00f6r detta. Det h\u00e4r objektet var skadligt, den h\u00e4r datorn var infekterad. Han avsl\u00f6jar sambanden mellan objekten, kontrollerar resultaten fr\u00e5n k\u00f6rningen genom sandl\u00e5dan.<\/p>\n

Resultaten fr\u00e5n analytikerns arbete \u00f6verl\u00e4mnas vidare. Digital Forensics unders\u00f6ker avbilder, Malware Analysis granskar hittade \"kroppar\", medan Incident Response-teamet kan \u00e5ka till platsen och unders\u00f6ka n\u00e5got d\u00e4r. Resultatet av arbetet blir en bekr\u00e4ftad hypotes, identifierad attack och mot\u00e5tg\u00e4rder.<\/p>\n

\"Hotjakt,K\u00e4lla<\/a><\/noindex>
\n \u00a0<\/p>\n

Sammanfattning<\/h2>\n

\nThreat Hunting \u00e4r en relativt ny teknik som effektivt kan motverka anpassade, nya och ovanliga hot, med stora m\u00f6jligheter i takt med att antalet s\u00e5dana hot \u00f6kar och den f\u00f6retagsinfrastruktur som blir mer komplex. Den kr\u00e4ver tre komponenter \u2013 data, verktyg och analytiker. F\u00f6rdelarna med Threat Hunting str\u00e4cker sig inte bara till att f\u00f6rebygga hotens genomf\u00f6rande. F\u00f6r att inte gl\u00f6mma att under s\u00f6kprocessen dyker vi ner i v\u00e5r infrastruktur och dess svaga punkter genom \u00f6gonen p\u00e5 en s\u00e4kerhetsspecialist, vilket g\u00f6r att vi kan f\u00f6rst\u00e4rka dessa punkter ytterligare.<\/p>\n

De f\u00f6rsta stegen som vi anser att man b\u00f6r ta f\u00f6r att inleda TH-processen i sin organisation.<\/p>\n

    \n
  1. Se till att skydda slutpunkter och n\u00e4tverksinfrastruktur. S\u00e4kerst\u00e4ll synlighet (NetFlow) och kontroll (brandv\u00e4gg, IDS, IPS, DLP) f\u00f6r alla processer i ditt n\u00e4tverk. K\u00e4nn din n\u00e4tverksstruktur fr\u00e5n den gr\u00e4nsrouter till den sista v\u00e4rden.<\/li>\n
  2. Studera MITRE ATT&CK<\/a><\/noindex>.<\/li>\n
  3. Genomf\u00f6r regelbundna pen-test p\u00e5 \u00e5tminstone nyckelresurser, analysera resultaten, identifiera huvudm\u00e5len f\u00f6r attack och \u00e5tg\u00e4rda deras s\u00e5rbarheter.<\/li>\n
  4. Implementera ett Threat Intelligence-system med \u00f6ppen k\u00e4llkod (t.ex. MISP, Yeti) och genomf\u00f6ra logganalys i samarbete med det.<\/li>\n
  5. Inf\u00f6ra en plattform f\u00f6r incidentrespons (IRP): R-Vision IRP, The Hive, sandl\u00e5da f\u00f6r analys av misst\u00e4nkta filer (FortiSandbox, Cuckoo).<\/li>\n
  6. Automatisera rutinprocesser. Logganalys, registrering av incidenter och information till personalen \u2013 ett stort omr\u00e5de f\u00f6r automatisering.<\/li>\n
  7. L\u00e4r dig att effektivt samarbeta med ingenj\u00f6rer, utvecklare och teknisk support f\u00f6r att arbeta tillsammans kring incidenter.<\/li>\n
  8. Dokumentera hela processen, nyckelpunkterna och uppn\u00e5dda resultat, s\u00e5 att du kan \u00e5terg\u00e5 till dem senare eller dela dessa data med kollegor.<\/li>\n
  9. Kom ih\u00e5g den sociala aspekten: var medveten om vad som h\u00e4nder med dina medarbetare, vem du anst\u00e4ller och vem du ger tillg\u00e5ng till organisatoriska informationsresurser.<\/li>\n
  10. H\u00e5lla sig uppdaterad om trender inom nya hot och skydds\u00e5tg\u00e4rder, \u00f6ka sin tekniska kompetens (\u00e4ven n\u00e4r det g\u00e4ller arbete med IT-tj\u00e4nster och delsystem), delta i konferenser och n\u00e4tverka med kollegor.<\/li>\n<\/ol>\n

    \nRedo att diskutera organisationen av TH-processen i kommentarerna.<\/p>\n

    Eller kom och arbeta hos oss!<\/b><\/p>\n