GOSINT - समझौता के संकेतक के लिए एक खुला स्रोत समाधान (IoC)

साइबर सुरक्षा में गर्म विषयों में से एक हाल ही में एसओसी (सुरक्षा संचालन केंद्र) बन गया है, जो "सुरक्षा निगरानी केंद्र" के रूप में सफलतापूर्वक रूसी में अनुवाद नहीं करता है, जिससे सूचना सुरक्षा घटनाओं का जवाब देने से संबंधित महत्वपूर्ण एसओसी कार्यों में से एक को राहत मिलती है। लेकिन आज मैं टर्मिनोलॉजिकल विवादों में नहीं जाना चाहूंगा, और हमारे आंतरिक एसओसी - GOSINT समझौता संकेतक प्रबंधन प्रणाली (IoC) में कार्यान्वित की गई परियोजनाओं में से एक के बारे में संक्षेप में बात करूंगा। वास्तव में, सिस्को आईबी सेवा "सुरक्षा संचालन केंद्र" शब्द का उपयोग नहीं करती है, इसे अधिक सांसारिक सीएसआईआरटी (सिस्को सुरक्षा इंसिडेंट रिस्पांस टीम) के साथ प्रतिस्थापित किया जाता है। इसलिए GOSINT हमारी कई ओपन सोर्स परियोजनाओं में से एक है , जिसे खतरों (खतरे की खुफिया) के बारे में संरचित और असंरचित जानकारी एकत्र करने और एकीकृत करने के लिए डिज़ाइन किया गया है। मैंने पहले ही इस बारे में बात की है कि हम अपने आंतरिक बुनियादी ढांचे की सुरक्षा की निगरानी कैसे करते हैं, अब यह बात करने की बारी है कि इससे हमें सबसे प्रभावी तरीके से क्या करने में मदद मिलती है।



ऊपर दिया गया चित्रण हमारे आईएस की घटना की निगरानी और प्रतिक्रिया सेवा के कुछ मील के पत्थर दिखाता है, जो लगभग दो दशक पहले एक अलग इकाई के रूप में बनाया गया था। इस समय के दौरान, हमने न केवल बनाने, बल्कि संचालन करने के क्षेत्र में भी जबरदस्त अनुभव प्राप्त किया है, जिसे हम इस तरह के नोट्स, लेख और प्रस्तुतियों के साथ-साथ एक अलग सेवा के रूप में साझा करते हैं, जिसके ढांचे में हम अपने ग्राहकों को या तो बनाने में मदद करते हैं। एक मौजूदा आईएस निगरानी केंद्र (यदि कोई हो) से संपर्क करें। यदि आप ध्यान से चित्रण को देखते हैं, तो उस पर अंतिम मील का पत्थर हमारे खुले स्रोत समाधानों को डालने में हमारी गतिविधि को चिह्नित करता है जिसे हमने सूचना सुरक्षा सेवा खुली पहुंच के हिस्से के रूप में विकसित किया है। ऐसी परियोजनाओं में से एक GOSINT प्रणाली थी, जिसे हम एक बहुत ही महत्वपूर्ण और बहुत मुश्किल काम के साथ सौंपते हैं - असमान स्रोतों से समझौता सूचक एकत्र करने के लिए, जो तब हमारी परिधि, बुनियादी ढाँचे, मोबाइल उपकरणों और बादलों से एकत्रित सुरक्षा घटनाओं को समृद्ध करता है। और समस्या क्या है, आप पूछें? आप सिस्को फायरपावर में थ्रेट इंटेलिजेंस डायरेक्टर स्थापित होने के साथ संकेतक के साथ फीड भी बना सकते हैं।



लेकिन इस तरह के फ़ीड के साथ, कुछ बारीकियां हैं जो उनके साथ व्यावहारिक कार्य की प्रक्रिया में पॉप अप करती हैं। सबसे पहले, नवीनतम खतरों पर डेटा जल्दी से प्राप्त करने के लिए, कई स्रोत होने चाहिए। आपको क्या लगता है कि Cisco IS मॉनिटरिंग सर्विस ट्रैक थ्रेट इंटेलिजेंस फ़ीड स्रोतों को कैसे ट्रैक करती है? मैं सटीक आंकड़ा का नाम नहीं दूंगा, लेकिन उनमें से कई हजार हैं। यदि इन सभी को सिस्को फायरपावर पर थ्रेट इंटेलिजेंस डायरेक्टर के साथ स्थापित किया जाता है, तो डिवाइस प्रदर्शन में नीचे जाएगा, जो दसियों और सैकड़ों हजारों संकेतकों को संसाधित करने की कोशिश करेगा जो प्रति दिन सभी स्रोतों से आते हैं। समझौता के संकेतकों से जुड़ी दूसरी समस्या उनकी खराब गुणवत्ता है। हमारे अनुमानों के अनुसार, सभी संकेतकों के 80% तक या तो पुरानी जानकारी, या झूठे सकारात्मक, या यहां तक ​​कि साधारण कचरा है, जो कि उपयुक्त प्रसंस्करण की आवश्यकता होती है।

अपने संगठन में थ्रेट इंटेलिजेंस प्रक्रिया का निर्माण करने के लिए, आप वाणिज्यिक और मुफ्त दोनों का उपयोग कर सकते हैं, खतरों के बारे में जानकारी के इंटरनेट स्रोतों पर स्वतंत्र रूप से उपलब्ध है जो कि आपके टीआई प्लेटफॉर्म पर या सीधे सेग्मेंट या लॉग मैनेजमेंट सिस्टम में डाउनलोड किया जाएगा। GOSINT सिर्फ एक उपकरण है जो विभिन्न स्रोतों से समझौता करने के संकेतक एकत्र करता है, उनकी जांच करता है, उन्हें कचरे से साफ करता है और फिर आपके द्वारा उपयोग किए जाने वाले थ्रेट इंटेलिजेंस प्रबंधन समाधानों को फीड करता है। यह या तो वाणिज्यिक समाधान हो सकता है या स्वतंत्र रूप से वितरित किया जा सकता है। उदाहरण के लिए, सिस्को MITER और MISP CRITs का उपयोग करता है। जैसे ही थ्रेट इंटेलिजेंस सेगमेंट विकसित होता है और नए डेटा और एक्सचेंज इंडिकेटर्स के कॉम्प्रिहेंशन इंडिकेटर्स इसमें दिखाई देते हैं, GOSINT प्लेटफॉर्म भी इनके सपोर्ट के कारण फैलता है। आज, जिन स्रोतों का हम समर्थन करते हैं, वे हैं OpenPhish , AlienVault OTX , Abuse.ch , उभरते खतरे , malc0de , SANS ICS , सिस्को तालोस , पास्टबिन और कई अन्य।



GOSINT थ्रेट इंटेलिजेंस प्रक्रिया में एक महत्वपूर्ण भूमिका निभाता है - यह उत्पादन में समझौता के संकेतकों को जांचने और प्रसारित करने की प्रक्रिया को स्वचालित करता है। उदाहरण के लिए, फ़ीड्स / न्यूज़लेटर्स के घरेलू आपूर्तिकर्ताओं से उन्हें प्राप्त करने के बाद भी, उदाहरण के लिए, राज्य सुरक्षा सेवा या FinCERT से, कैस्पर्सकी लैब या BI.ZONE से, प्रॉस्पेक्टिव मॉनिटरिंग या ग्रुप-आईबी से, आपको यह तय करना होगा कि इन संकेतकों को हरी बत्ती दी जाए या उन्हें आगे की प्रक्रिया से अस्वीकार कर दिया जाए। GOSINT बस इस कार्य को स्वचालित करता है, या तो स्वचालित रूप से कचरे को ट्रैश कर रहा है, या आपके SOC या प्रतिक्रिया सेवाओं के विश्लेषकों की मदद करके सही निर्णय लेता है। यह थ्रेट इंटेलिजेंस के विभिन्न स्रोतों के माध्यम से संकेतक को क्रॉस-चेक करने के द्वारा किया जाता है।



GOSINT में समझौता के संकेतकों के स्रोतों की संख्या सीमित नहीं है (कई हजार, जैसा कि हमारे पास सिस्को में है, यह समाधान समस्याओं के बिना प्रक्रिया करता है) और वे अलग-अलग तरीकों से जुड़ सकते हैं। एक नियम के रूप में, संबंधित एपीआई का उपयोग किया जाता है। उदाहरण के लिए, सिस्को छाता , वायरसटोटल या ट्विटर एपीआई । प्रत्येक संकेतक पर जानकारी प्राप्त करके, GOSINT उनमें से प्रत्येक को उचित रूप से लेबल कर सकता है ताकि SOC विश्लेषकों या प्रतिक्रिया सेवाएं घटनाओं का विश्लेषण करते समय भविष्य में इस जानकारी का उपयोग कर सकें।

GOSINT में तथाकथित नुस्खा प्रबंधक शामिल है, जो परिणामस्वरूप संकेतक के लिए हैंडलर के निर्माण की सुविधा प्रदान करता है। उदाहरण के लिए, आपको किसी फ़ाइल का हैश मिल जाता है जिसे किसी व्यक्ति ने दुर्भावनापूर्ण माना है। झूठी सकारात्मक की संख्या को कम करने और अपनी सूचना सुरक्षा प्रणालियों पर भार को कम करने के लिए, नुस्खा प्रबंधक की सहायता से आप विभिन्न थ्रेट इंटेलिजेंस स्रोतों पर हैश चेक चला सकते हैं और यदि उनमें से तीन (दोनों थ्रेशोल्ड और जाँच करने के लिए स्रोतों की संख्या कॉन्फ़िगर) ने सकारात्मक निर्णय दिया ( एक मैच पाया गया), फिर इस हैश को प्रासंगिक माना जाता है और इसे ऑपरेशन में डाल दिया जाता है - इसे MISP, CRITs, Cisco Threat Intelligence Director, Arcsight या QRadar में स्थानांतरित कर दिया जाता है।



GOSINT में एक और बढ़िया फीचर है, जिसे "Ad Hoc Input" कहा जाता है - एक विशिष्ट URL से समझौता के सभी संकेतक लोड करना। उदाहरण के लिए, आपके द्वारा उपयोग किए जाने वाले थ्रेट हंटिंग टूल का उपयोग करके अपने बुनियादी ढांचे में उनकी उपस्थिति की जांच करने के लिए आपको एक विशेष हैकर अभियान पर या एक नए दुर्भावनापूर्ण कोड पर IoC लोड करने की आवश्यकता है। यदि आप सिस्को धमकी प्रतिक्रिया का उपयोग कर रहे हैं, जिसके बारे में मैंने पहले ही बात की है , तो आप सभी विवरणों को खतरे के विवरण से कॉपी करते हैं और उन्हें सिस्को धमकी प्रतिक्रिया की शुरुआत स्क्रीन में पेस्ट करते हैं, जो तब आपके बुनियादी ढांचे में निशान की तलाश शुरू करता है।



यदि आपके पास सिस्को थ्रेट रिस्पांस नहीं है और अन्य थ्रेट हंटिंग समाधानों का उपयोग करते हैं, तो GOSINT को ऐड हॉक इनपुट फ़ंक्शन के कारण उनके साथ ठीक से एकीकृत किया जा सकता है, जो एक निर्दिष्ट URL से एक विशिष्ट दुर्भावनापूर्ण कोड या हैकर कंपनी के लिए संकेतकों के संग्रह को स्वचालित करता है।



GOSINT के बारे में बहुत सारी बातें करने का कोई मतलब नहीं है - यह एक Stealthwatch नहीं है जिसमें सुविधाओं का एक समूह है जो आंतरिक नेटवर्क में या क्लाउड बुनियादी ढांचे में खतरों या विसंगतियों का पता लगाने में मदद करता है। हमने GOSINT को केवल एक फ़ंक्शन को स्वचालित करने के लिए विकसित किया, जो सिस्को आईएस सेवा द्वारा बहुत अधिक मांग में था। हमने इस समस्या को सफलतापूर्वक हल किया और GOSINT को हमारी Threat Intelligence प्रक्रिया में एकीकृत करने में सक्षम थे। यदि समझौता सूचक के साथ काम करना आपके दैनिक कार्य का हिस्सा है, यदि आपके पास महंगा खरीदने के लिए पैसा नहीं है और दुर्भाग्य से, बहुत प्रभावी थ्रेट इंटेलिजेंस प्लेटफॉर्म नहीं हैं (हमने कई समाधानों की कोशिश की, लेकिन हमारे अपने विकास पर ध्यान केंद्रित करते हुए समाप्त हो गया), तो GINTINT का प्रयास करें। GitHub - https://github.com/ciscocsirt/GOSINT पर सूचना सुरक्षा और घटना की प्रतिक्रिया की निगरानी के लिए आप इसे हमारी सेवा के पृष्ठ से डाउनलोड कर सकते हैं। यह देखते हुए कि हम खुले स्रोत के बारे में बात कर रहे हैं, आप स्वतंत्र रूप से अपनी आवश्यकताओं के लिए इस समाधान को समाप्त कर सकते हैं। GOSINT को गो में एक जावास्क्रिप्ट प्रबंधन कंसोल के साथ लिखा गया है (लेकिन ध्यान रखें कि हम नियमित रूप से GOSINT को अपडेट करते हैं और आपके परिवर्तन प्रलेखन में वर्णित अद्यतन प्रक्रिया के दौरान खो सकते हैं)।

यदि आपको अपने एसओसी (और हमें दुनिया भर में इस तरह के काम में समृद्ध अनुभव है) का परीक्षण करने की आवश्यकता है या इसे खरोंच से (हाइब्रिड "तुम्हारा - आउटसोर्सिंग एसओसी" योजना के ढांचे सहित) में निर्मित करना है, तो हम आपको ऐसा करने में भी मदद कर सकते हैं। हम किसी भी CRM को नहीं बेचते हैं और इसलिए विक्रेता-स्वतंत्र होते हैं, जो आपके द्वारा उपयोग किए जाने वाले या आपके निगरानी केंद्र में उपयोग करने की योजना बना रहे हैं। हमारे द्वारा प्रदान की जाने वाली सेवाओं के भाग के रूप में, हम GOCINT सहित SOC, वाणिज्यिक या खुले स्रोत में उपयोग किए जाने वाले विभिन्न तकनीकी समाधानों के प्रभावी संयोजन की सिफारिश कर सकते हैं। इन प्रकार की सेवाओं के विवरण के लिए, आप या तो अपने सिस्को प्रबंधक से संपर्क कर सकते हैं या सिस्को डॉट कॉम पर पता सुरक्षा-अनुरोध लिख सकते हैं