डर और Loathing खतरा खुफिया या 8 तिवारी व्यावहारिक सुझाव

हमारे पास दो वाणिज्यिक एपीटी सब्सक्रिप्शन, दस सूचना एक्सचेंज, दस मुफ्त फीड और थोर की निकास-नोड सूची थी। और पांच मजबूत रिवर्सलर्स, शक्तियां स्क्रिप्ट्स का एक मास्टर, एक लोकी-स्कैनर और वर्जिनोटल के लिए एक पेड सब्सक्रिप्शन। ऐसा नहीं है कि इसके बिना निगरानी केंद्र काम नहीं करता है, लेकिन यदि आप जटिल हमलों को पकड़ने के लिए उपयोग करते हैं, तो आपको इस शौक के लिए सभी तरह से जाना होगा। सबसे अधिक, हम समझौता के संकेतकों के लिए जाँच के संभावित स्वचालन के बारे में चिंतित थे। कृत्रिम बुद्धिमत्ता से ज्यादा अनैतिक कुछ भी नहीं है, एक व्यक्ति को काम में बदलना जहां आपको सोचने की जरूरत है। लेकिन हम समझ गए कि ग्राहकों की संख्या में वृद्धि के साथ, जल्दी या बाद में हम इसमें उतरेंगे।

कई लोग कहते हैं कि थ्रेट इंटेलिजेंस स्वादिष्ट है, लेकिन हर कोई यह नहीं समझता है कि इसे कैसे पकाना है। इससे भी कम, जो समझते हैं कि टीआई के काम करने और लाभ लाने के लिए किन प्रक्रियाओं का निर्माण करने की आवश्यकता है। और बहुत कम लोग जानते हैं कि एक फीड प्रदाता कैसे चुनना है, जहां गिरने के लिए संकेतक की जांच करना है और क्या उस डोमेन को ब्लॉक करना आवश्यक है जिसे सहकर्मी ने व्हाट्सएप पर भेजा है।

टीआई के साथ कई वर्षों तक लगातार काम करने के बाद, हम अलग-अलग रेक पर चलने में कामयाब रहे और आज हम कुछ व्यावहारिक सलाह देना चाहते हैं जो शुरुआती गलतियों से बचने में मदद करेंगी।

टिप नंबर 1। हैश पकड़ने की उच्च उम्मीदें नहीं हैं: अधिकांश मैलवेयर लंबे समय तक बहुरूपी रहे हैं

पिछले लेख में, हमने इस बारे में बात की थी कि TI क्या है और कुछ उदाहरण दिए कि कार्य प्रक्रिया कैसे व्यवस्थित है। आपको याद दिला दूं कि खतरों (धमकी खुफिया) के बारे में जानकारी विभिन्न स्वरूपों और विचारों में आती है: यह बॉटनेट कंट्रोल सेंटरों के आईपी पते, फ़िशिंग ईमेल भेजने वालों के ईमेल पते, और सुरक्षा उपकरणों को दरकिनार करने वाली तकनीकों का वर्णन करने वाले लेख हो सकते हैं जो एपीटी समूह -साथ ही इस्तेमाल करना शुरू कर देंगे। सामान्य तौर पर, बहुत सारी चीजें होती हैं।

इस सारे अपमान को कारगर बनाने के लिए, कुछ साल पहले, डेविड बियानको ने तथाकथित "दर्द के पिरामिड" का प्रस्ताव रखा। यह बहुत अच्छी तरह से संकेतक के प्रकार के बीच संबंध का वर्णन करता है जो आप हमलावर का पता लगाने के लिए उपयोग करते हैं और आप हमलावर को कितना दर्द लाएंगे यदि आप एक विशिष्ट प्रकार के संकेतक का पता लगा सकते हैं।



उदाहरण के लिए, यदि आप किसी दुर्भावनापूर्ण फ़ाइल के MD5 हैश को जानते हैं, तो यह आसानी से पता लगाया जा सकता है और सटीक रूप से पता लगाया जा सकता है। हालांकि, इससे हमलावर को बहुत कम दर्द होगा - बस फ़ाइल में 1 बिट जानकारी जोड़ें, और हैश पहले से ही अलग है।

टिप नंबर 2। उन संकेतकों का उपयोग करने का प्रयास करें, जिनमें से परिवर्तन तकनीकी रूप से या हमलावर के लिए आर्थिक रूप से लाभहीन होगा

हमारे उद्यम के कार्यस्थानों पर इस हैश के साथ एक फ़ाइल है या नहीं, यह पता लगाने के सवाल का अनुमान लगाते हुए, मैं जवाब देता हूं: अलग-अलग तरीके हैं। सबसे आसान में से एक है Kaspersky Security Center, जिसमें एंटरप्राइज़ में सभी निष्पादन योग्य फ़ाइलों का MD5 हैश का डेटाबेस है, जिसमें आप SELECT कर सकते हैं।

आइए दर्द के पिरामिड पर वापस जाएं। हैश का पता लगाने के विपरीत, यह अधिक उत्पादक होगा यदि आप हमलावर के टीटीपी (रणनीति, तकनीक, प्रक्रिया) का पता लगा सकते हैं। यह अधिक जटिल है और अधिक प्रयास की आवश्यकता है, लेकिन आप अधिक दर्द वितरित करेंगे।

उदाहरण के लिए, यदि आप जानते हैं कि अर्थव्यवस्था के आपके क्षेत्र के उद्देश्य से एक APT समूह * .HTA फ़ाइलों के साथ फ़िशिंग ईमेल वितरित करता है, तो एक पहचान नियम विकसित करना जो समान अनुलग्नकों के साथ मेल में फ़ाइलों की खोज करने पर हमलावर को कड़ी टक्कर देगा। उसे मेलिंग की रणनीति बदलनी होगी, शायद 0-दिन या 1-दिन के कारनामों की खरीद में $ $ का निवेश करना होगा, और यह सस्ता नहीं है ...

टिप नंबर 3। आपके द्वारा विकसित नहीं किए गए पता लगाने के नियमों के बारे में उच्च उम्मीदें नहीं हैं, उन्हें झूठी सकारात्मक और संशोधित के लिए जांचना होगा

पता लगाने के नियमों का विकास करते समय, हमेशा पूर्वनिर्धारित नियमों का उपयोग करना लुभावना होता है। एक नि: शुल्क उदाहरण सिग्मा रिपॉजिटरी, एक सिएम-इंडिपेंडेंट डिटेक्शन रूल प्रारूप है जो सिग्मा के नियमों को इलास्टिक खोज प्रश्नों और स्प्लंक या आर्कसाइट नियमों में अनुवाद करता है। उसी समय, रिपॉजिटरी में लगभग 200 नियम होते हैं, जिनमें से ~ 130 विंडोज पर हमलों का वर्णन करते हैं। पहली नज़र में, यह बहुत अच्छा है, लेकिन शैतान हमेशा की तरह, विवरण में है।

आइए एक नज़र डालते हैं मीमिक्ज़ैट पहचान के नियमों पर विस्तार से:


नियम उन प्रक्रियाओं का पता लगाता है जो lsass.exe प्रक्रिया की मेमोरी को पढ़ने का प्रयास करता है। Mimikatz यह तब करता है जब वह NTLM हैश प्राप्त करने की कोशिश करता है, और नियम मैलवेयर का पता लगाता है।

हालांकि, हमारे लिए, विशेषज्ञों के रूप में, जो न केवल पता लगाने में लगे हुए हैं, बल्कि घटनाओं का जवाब भी दे रहे हैं, यह बेहद महत्वपूर्ण है कि यह वास्तव में मिमिकेज़ैट है। दुर्भाग्य से, व्यवहार में, कई अन्य वैध प्रक्रियाएं हैं जो एक ही मुखौटे के साथ lsass.exe की स्मृति को पढ़ती हैं (उदाहरण के लिए कुछ एंटीवायरस)। इसलिए, एक वास्तविक मुकाबला वातावरण में, ऐसा नियम अच्छे से अधिक गलत सकारात्मक लाएगा।

सिग्मा से सिएम के नियमों के स्वचालित अनुवाद से संबंधित और भी रोचक घटनाएं हैं:


वेबिनार में से एक में, एसओसी प्राइम के सहयोगियों ने सशुल्क पता लगाने के नियमों को प्रदान करते हुए इस तरह के अनुवाद का एक गैर-काम करने वाला उदाहरण दिखाया: सिएम में डिवाइसप्रोडक्ट क्षेत्र Sysmon और Microsoft Windows दोनों के बराबर होना चाहिए, जो असंभव है।

मैं किसी को दोष नहीं देना चाहता और उंगली पकड़ना चाहता हूं - हर कोई पागल है, यह ठीक है। हालांकि, थ्रेट इंटेलिजेंस उपभोक्ताओं को यह समझने की आवश्यकता है कि खुले और बंद दोनों स्रोतों से प्राप्त नियमों को फिर से जाँचना और परिष्कृत करना अभी भी आवश्यक है।

टिप # 4: मैलवेयर के लिए डोमेन नाम और आईपी पते की जाँच करें न केवल प्रॉक्सी सर्वर और फ़ायरवॉल पर, बल्कि DNS सर्वर लॉग में भी, दोनों सफल और असफल संकल्प प्रयासों पर ध्यान दें

दुर्भावनापूर्ण डोमेन और आईपी पते आसानी से पता लगाने और एक हमलावर को देने वाले दर्द की मात्रा के संदर्भ में एक इष्टतम संकेतक हैं। लेकिन उनके साथ सब कुछ पहली नज़र में ही सरल है। कम से कम, आप आश्चर्यचकित हो सकते हैं कि डोमेन लॉग कहाँ से प्राप्त करें।

यदि आप अपने आप को केवल प्रॉक्सी सर्वर लॉग की जांच करने के लिए प्रतिबंधित करते हैं, तो आप मैलवेयर से चूक सकते हैं जो सीधे नेटवर्क तक पहुंचने की कोशिश करते हैं या डीजीए द्वारा उत्पन्न गैर-मौजूद डोमेन नाम का अनुरोध करते हैं, DNS सुरंगों का उल्लेख नहीं करने के लिए - यह सब कॉर्पोरेट प्रॉक्सी लॉग में नहीं होगा।

टिप नंबर 5। "आप मॉनिटर को ब्लॉक नहीं कर सकते हैं" - कॉमा को केवल यह जानने के बाद डालें कि यह किस प्रकार का संकेतक है और अवरुद्ध होने के संभावित परिणामों का एहसास करता है।

प्रत्येक प्रैक्टिसिंग सिक्योरिटी गार्ड को एक मुश्किल सवाल का सामना करना पड़ा: खतरे को रोकना या निगरानी करना और, अगर कोई सकारात्मक हो, तो एक जांच शुरू करें? कुछ नियम और निर्देश सीधे लिखते हैं - ब्लॉक करें, और कभी-कभी यह कार्रवाई गलत है।

यदि संकेतक एपीटी ग्रुपिंग द्वारा उपयोग किया जाने वाला डोमेन नाम है, तो इसे लॉक पर न रखें , लेकिन निगरानी शुरू करें। लक्षित हमलों की आधुनिक रणनीति एक अतिरिक्त गुप्त बैकअप संचार चैनल के अस्तित्व का अर्थ है, जिसे केवल एक विस्तृत जांच के दौरान पहचाना जा सकता है। इस मामले में स्वचालित अवरोधन इस चैनल की खोज को बाधित करेगा, और आड़ के दूसरी तरफ कामरेड जल्दी से समझ जाएंगे कि आपने उनकी गतिविधियों के बारे में क्या सीखा है।

दूसरी ओर, यदि संकेतक एक एनक्रिप्टर्स डोमेन है, तो इसे पहले से ही लॉक किया जाना चाहिए । लेकिन अवरुद्ध डोमेन तक पहुंचने के असफल प्रयासों की निगरानी करना मत भूलना - प्रबंधन सर्वर के कई पते एन्क्रिप्टर कॉन्फ़िगरेशन में बनाए जा सकते हैं। उनमें से कुछ फ़ीड से गायब हो सकते हैं और इसलिए अवरुद्ध नहीं होंगे। जल्दी या बाद में, मैलवेयर एक कुंजी प्राप्त करने के लिए उनसे संपर्क करेगा जो होस्ट तुरंत एन्क्रिप्ट करेगा। केवल नमूना का एक रिवर्स विश्लेषण यह गारंटी दे सकता है कि आपने प्रबंधन सर्वर के सभी पते अवरुद्ध कर दिए हैं।

टिप नंबर 6। निगरानी या अवरुद्ध करने के लिए उन्हें स्थापित करने से पहले प्रासंगिकता के लिए सभी आने वाले संकेतकों की जांच करें।

याद रखें कि खतरों के बारे में जानकारी उन लोगों द्वारा बनाई जाती है जो गलतियाँ करते हैं, या मशीन लर्निंग एल्गोरिदम, जो इससे भी अधिक प्रभावित होते हैं। हमने पहले ही देखा है कि एपीटी समूहों की गतिविधियों पर भुगतान किए गए रिपोर्ट के विभिन्न प्रदाता गलती से दुर्भावनापूर्ण एमडी 5 की सूची में काफी वैध नमूने जोड़ते हैं। यहां तक ​​कि अगर भुगतान की गई खतरे की रिपोर्ट में कम गुणवत्ता वाले संकेतक होते हैं, तो हम खुले स्रोतों में खुफिया माध्यम से प्राप्त संकेतकों के बारे में क्या कह सकते हैं। टीआई-विश्लेषक हमेशा झूठी सकारात्मकता के लिए बनाए गए संकेतकों की जांच नहीं करते हैं, क्योंकि इस तरह के सत्यापन के परिणामस्वरूप उपभोक्ता के कंधों पर पड़ता है।

उदाहरण के लिए, यदि आपको पता लगाने वाले सिस्टम में उपयोग करने से पहले, अगले ज़ीउस या डिमनी संशोधन का आईपी पता प्राप्त हुआ है, तो जांचें कि क्या वह आपके आईपी कहने वाले होस्टिंग या सेवा का हिस्सा है । अन्यथा, बड़ी संख्या में झूठी सकारात्मक चीजों को पार्स करना अप्रिय होगा जब इस होस्टिंग पर होस्ट की गई साइट के उपयोगकर्ता पूरी तरह से हानिरहित साइटों पर जाएंगे। एक समान जांच आसानी से की जा सकती है:

1. वर्गीकरण सेवाएँ जो आपको साइट की गतिविधियों की प्रकृति के बारे में बताएंगी। उदाहरण के लिए, ipinfo.io सीधे लिखते हैं: "होस्टिंग"।
2. सेवाएँ रिवर्स आईपी, जो आपको बताएगी कि इस आईपी पते पर कितने डोमेन पंजीकृत हैं। यदि उनमें से बहुत सारे हैं, तो यह अत्यधिक संभावना है कि आप साइटों को होस्ट कर रहे हैं।

इसलिए, उदाहरण के लिए, संकेतक की जांच करने का परिणाम ऐसा लगता है कि कोबाल्ट एपीटी समूह का संकेतक है (एक सम्मानित टीआई विक्रेता की रिपोर्ट के अनुसार):



हम प्रतिक्रिया के विशेषज्ञों को समझते हैं कि कोबाल्ट के सज्जनों ने इस आईपी पते का उपयोग किया होगा। हालांकि, इस सूचक से कोई लाभ नहीं है - यह अप्रासंगिक है क्योंकि यह बहुत अधिक झूठी सकारात्मकताएं देता है।

टिप नंबर 7। जितना संभव हो, खतरे की जानकारी के साथ सभी प्रक्रियाओं को स्वचालित करें। एक साधारण से शुरुआत करें - स्टॉप लिस्ट के माध्यम से झूठी सकारात्मकता के लिए चेक को पूरी तरह से स्वचालित करें और आगे की निगरानी के लिए कोलम्बिया में गैर-स्थिर संकेतकों की सेटिंग के साथ।

बड़ी संख्या में खुफिया से संबंधित झूठी सकारात्मकता को रोकने और खुले स्रोतों से प्राप्त करने के लिए, स्टॉप सूचियों (चेतावनी सूचियों) में इन संकेतकों की प्रारंभिक खोज कर सकते हैं। इस तरह की सूचियां एलेक्सा रेटिंग (टॉप -1000), आंतरिक सबनेट के पते, Google, अमेजन AWS, MS Azure और अन्य होस्टिंग सेवाओं जैसे बड़े सेवा प्रदाताओं के डोमेन के आधार पर बनाई जा सकती हैं। अत्यंत प्रभावी भी एक समाधान होगा जो अंतिम सप्ताह या महीने में कंपनी के कर्मचारियों द्वारा दौरा किए गए शीर्ष डोमेन / आईपी पतों से मिलकर सूचियों को बदल देता है।

ऐसी सूचियों और एक सत्यापन प्रणाली का विकास औसत एसओसी के लिए मुश्किल हो सकता है, इसलिए यह तथाकथित थ्रेट इंटेलिजेंस प्लेटफार्मों को लागू करने के बारे में सोचने के लिए समझ में आता है। लगभग आधे साल पहले Anti-malware.ru ने इस वर्ग के भुगतान और मुफ्त समाधान का अच्छा अवलोकन किया था।

टिप नंबर 8। होस्ट संकेतकों के लिए पूरे उद्यम को स्कैन करें, न कि केवल होस्ट जो कि एसईएम से जुड़े हैं

इस तथ्य के कारण, कि, एक नियम के रूप में, सभी उद्यम होस्ट्स से जुड़े नहीं हैं, यह केवल एक मानक नाम या पथ के साथ दुर्भावनापूर्ण फ़ाइल के लिए जाँच करने के लिए संभव नहीं है, केवल मानक CRM कार्यक्षमता का उपयोग करके। आप निम्न तरीकों से इस स्थिति से बाहर निकल सकते हैं:

1. लोकी जैसे IoC स्कैनर का उपयोग करें। आप इसे उसी SCCM के माध्यम से एंटरप्राइज़ के सभी होस्ट पर चला सकते हैं, और आउटपुट को सार्वजनिक नेटवर्क फ़ोल्डर में पुनर्निर्देशित कर सकते हैं।
2. भेद्यता स्कैनर का उपयोग करें। उनमें से कुछ में अनुपालन मोड हैं जिसमें आप किसी विशिष्ट पथ पर किसी विशिष्ट फ़ाइल की जांच कर सकते हैं।
3. एक पॉवरशेल स्क्रिप्ट लिखें और इसे WinRM के माध्यम से चलाएं। यदि आप स्वयं आलस्य लिखते हैं, तो आप कई लिपियों में से एक का उपयोग कर सकते हैं, उदाहरण के लिए, यह एक ।

जैसा कि मैंने शुरुआत में कहा, यह लेख थ्रेट इंटेलिजेंस के साथ सही तरीके से काम करने के बारे में व्यापक जानकारी नहीं देता है। हालांकि, हमारे अनुभव में, इन सरल नियमों का पालन करने से शुरुआती लोगों को रेक पर कदम नहीं रखने की अनुमति मिलेगी और समझौता के विभिन्न संकेतकों के साथ प्रभावी काम के साथ तुरंत शुरू होगा।