साइबर इंटेलिजेंस डेटा के साथ कैसे काम करें: हम सिस्टम समझौता के संकेतक इकट्ठा करना और पहचानना सीखते हैं

पिछले एक साल के दौरान, साइबर इंटेलिजेंस या थ्रेट इंटेलिजेंस के विषय ने हमलावरों और रक्षकों के बीच साइबर हथियारों की दौड़ में बढ़ती लोकप्रियता हासिल की है। जाहिर है, साइबर हमलों के बारे में लगातार जानकारी प्राप्त करना एक बहुत ही उपयोगी चीज है, लेकिन यह बुनियादी ढाँचे की रक्षा खुद नहीं करेगा। एक ऐसी प्रक्रिया का निर्माण करना आवश्यक है जो एक संभावित हमले की विधि और इसके लिए तैयार करने के लिए उपलब्ध समय के बारे में दोनों जानकारी को सही ढंग से प्रबंधित करने में मदद करेगी। और इस तरह की प्रक्रिया के गठन के लिए महत्वपूर्ण शर्त साइबर खतरों के बारे में जानकारी की पूर्णता है।



थ्रेट इंटेलिजेंस प्राथमिक डेटा विभिन्न प्रकार के स्रोतों से प्राप्त किया जा सकता है। यह नि: शुल्क सदस्यता , भागीदारों से जानकारी, कंपनी की एक तकनीकी जांच टीम आदि हो सकती है।

थ्रेट इंटेलिजेंस प्रक्रिया के माध्यम से प्राप्त जानकारी के साथ काम करने के तीन मुख्य चरण हैं (हालांकि हम, साइबर हमलों की निगरानी और प्रतिक्रिया के लिए एक केंद्र के रूप में, एक चौथा चरण है - धमकी के बारे में ग्राहकों को सूचित करते हुए):

1. जानकारी प्राप्त करना, प्राथमिक प्रसंस्करण।
2. समझौता के संकेतक का पता लगाना (समझौता का संकेतक, आईओसी)।
3. पूर्वव्यापी सत्यापन।

सूचना प्राप्ति, प्राथमिक प्रसंस्करण

पहले चरण को सबसे रचनात्मक कहा जा सकता है। एक नए खतरे के वर्णन को सही ढंग से समझना, प्रासंगिक संकेतकों को उजागर करना, एक विशिष्ट संगठन के लिए उनकी प्रयोज्यता का निर्धारण करना, हमलों के बारे में अनावश्यक जानकारी को फ़िल्टर करना (उदाहरण के लिए, कुछ क्षेत्रों में संकीर्ण रूप से लक्षित) - यह सब अक्सर एक मुश्किल काम है। इसी समय, ऐसे स्रोत हैं जो विशेष रूप से सत्यापित और प्रासंगिक डेटा प्रदान करते हैं जिन्हें डेटाबेस में स्वचालित रूप से जोड़ा जा सकता है।

सूचना प्रसंस्करण के लिए एक व्यवस्थित दृष्टिकोण के लिए, हम थ्रेट इंटेलिजेंस के ढांचे में प्राप्त संकेतकों को दो बड़े समूहों - मेजबान और नेटवर्क में विभाजित करने की सलाह देते हैं। नेटवर्क संकेतकों का पता लगाने का मतलब प्रणाली के एक अस्पष्ट समझौते से नहीं है, लेकिन मेजबान संकेतकों का पता लगाना, एक नियम के रूप में, मज़बूती से किसी हमले की सफलता का संकेत देता है।

नेटवर्क संकेतकों में डोमेन, यूआरएल, मेल पते, आईपी पते और बंदरगाहों का एक सेट शामिल हैं। मेजबान संकेतक प्रक्रियाएं चला रहे हैं, रजिस्ट्री शाखाओं और फाइलों में बदलाव, हैश मात्राएं।

एक एकल खतरे के चेतावनी के हिस्से के रूप में प्राप्त संकेतक, यह एक समूह में संयोजन करने के लिए समझ में आता है। संकेतकों का पता लगाने के मामले में, यह हमले के प्रकार के निर्धारण को बहुत आसान बनाता है, और एक विशिष्ट खतरे की रिपोर्ट से सभी संभावित संकेतकों के लिए संभावित समझौता किए गए सिस्टम की जांच करना भी आसान बनाता है।

हालांकि, एक को अक्सर संकेतकों से निपटना पड़ता है, जिसके बारे में पता लगाना हमें एक समझौता प्रणाली के बारे में बात करने की अनुमति नहीं देता है। ये बड़े निगमों और होस्टिंग नेटवर्क से संबंधित आईपी पते, विज्ञापन मेलिंग सेवाओं के मेल डोमेन, नाम और वैध निष्पादन योग्य फ़ाइलों के हैश हो सकते हैं। सबसे सरल उदाहरण Microsoft, Amazon, CloudFlare के IP पते हैं, जिन्हें अक्सर सूचीबद्ध किया जाता है, या सॉफ्टवेयर पैकेज स्थापित करने के बाद सिस्टम में दिखाई देने वाली वैध प्रक्रियाएं, उदाहरण के लिए, pageant.exe, जो कि स्टोर करने के लिए एक एजेंट हैं। बड़ी संख्या में झूठी सकारात्मकता से बचने के लिए, ऐसे संकेतकों को फ़िल्टर करना बेहतर होता है, लेकिन, मान लीजिए, उन्हें फेंक न दें - उनमें से अधिकांश पूरी तरह से बेकार नहीं हैं। यदि किसी समझौता किए गए सिस्टम का संदेह है, तो सभी संकेतकों पर एक पूर्ण जांच की जाती है, और यहां तक ​​कि एक अप्रत्यक्ष संकेतक का पता लगाने से इन संदेह की पुष्टि हो सकती है।

चूंकि सभी संकेतक समान रूप से उपयोगी नहीं हैं, हम सोलर जेएसओसी में तथाकथित संकेतक भार का उपयोग करते हैं। कन्वेंशन द्वारा, एक फ़ाइल लॉन्च का पता लगाने, हैश राशि जिसमें से मेल खाता है दुर्भावनापूर्ण निष्पादन योग्य फ़ाइल का हैश, एक थ्रेशोल्ड वजन है। इस तरह के एक संकेतक का पता लगाने से तुरंत एक सूचना सुरक्षा घटना होती है। एक गैर-विशिष्ट पोर्ट पर संभावित खतरनाक होस्ट के आईपी पते तक एकल पहुंच आईबी घटना की ओर नहीं ले जाएगी, लेकिन एक विशेष प्रोफ़ाइल में गिर जाएगी जो आंकड़े जमा करती है, और आगे की कॉल का पता लगाने के लिए भी एक जांच होगी।

उसी समय, ऐसे तंत्र हैं जो निर्माण के समय हमारे लिए उचित प्रतीत होते थे, लेकिन अंततः अप्रभावी के रूप में पहचाने जाते थे। उदाहरण के लिए, शुरू में यह निर्धारित किया गया था कि कुछ प्रकार के संकेतकों का एक सीमित जीवनकाल होगा, जिसके बाद उन्हें निष्क्रिय कर दिया जाएगा। हालाँकि, जैसा कि अभ्यास ने दिखाया है, जब एक नए बुनियादी ढांचे से जुड़ते हैं, तो मेजबान कभी-कभी पाए जाते हैं जो वर्षों से विभिन्न प्रकार के मैलवेयर से संक्रमित होते हैं। उदाहरण के लिए, एक ग्राहक को कनेक्ट करते समय, IS सेवा के प्रमुख की मशीन पर कॉर्को वायरस का पता लगाया गया था (उस समय संकेतक पांच साल से अधिक पुराने थे), और आगे की जांच से मेजबान पर एक शोषित पिछले दरवाजे और कीलॉगर का पता चला।

समझौता के संकेतकों का पता लगाना

हम विभिन्न CRM सिस्टमों की कई स्थापनाओं के साथ काम करते हैं, हालाँकि, संकेतक डेटाबेस में आने वाले रिकॉर्ड की सामान्य संरचना मानकीकृत है और यह इस तरह दिखता है:



उदाहरण के लिए, TIReportID द्वारा संकेतकों को छांटने से, आप उन सभी संकेतकों को पा सकते हैं जो किसी विशेष खतरे के विवरण में दिखाई देते हैं, और URLlink पर क्लिक करके आप इसका विस्तृत विवरण प्राप्त कर सकते हैं।

थ्रेट इंटेलिजेंस प्रक्रिया का निर्माण करते समय, समझौता के संकेतकों की पहचान करने के लिए उनकी उपयोगिता के संबंध में सूचना से संबंधित सूचना प्रणाली का विश्लेषण करना महत्वपूर्ण है।

तथ्य यह है कि हमले के विवरण में आमतौर पर विभिन्न प्रकार के समझौता संकेतक शामिल होते हैं - उदाहरण के लिए, मैलवेयर की हैश राशि, एसएस सर्वर का आईपी पता जो इसे खटखटा रहा है, और इसी तरह। लेकिन यदि होस्ट द्वारा एक्सेस किए गए आईपी पतों की सुरक्षा के कई माध्यमों से निगरानी की जाती है, तो हैश राशियों के बारे में जानकारी प्राप्त करना अधिक कठिन है। इसलिए, हम उन सभी प्रणालियों पर विचार करते हैं जो इस बात के दृष्टिकोण से किसी भी लॉग के स्रोत के रूप में काम कर सकते हैं कि वे क्या संकेतक ट्रैक कर सकते हैं:

संकेतक प्रकार	SourceType
डोमेन	प्रॉक्सी सर्वर, NGFW, DNS सर्वर
यूआरएल
सॉकेट	प्रॉक्सी, एनजीएफडब्ल्यू, एफडब्ल्यू
मेल	मेल सर्वर, एंटीस्पैम, डीएलपी
प्रक्रिया	मेजबान, DB AVPO, Sysmon से लॉग
रजिस्ट्री	मेजबान से लॉग
हैश योग	मेजबान से लॉग, DB AVPO, Sysmon, Sandboxes CMDB

योजनाबद्ध रूप से, समझौते के संकेतकों का पता लगाने की प्रक्रिया को निम्नानुसार दर्शाया जा सकता है:



मैंने पहले ही ऊपर के दो बिंदुओं के बारे में बात की, अब IOC डेटाबेस चेक के बारे में थोड़ा और अधिक। एक उदाहरण के लिए हम आईपी पते पर जानकारी युक्त घटनाओं को लेंगे। प्रत्येक घटना के लिए सहसंबंध नियम संकेतक के आधार पर चार संभावित जांच करता है:



सॉकेट प्रकार के प्रासंगिक संकेतकों द्वारा खोज की जाती है, जबकि आईपी पते के समग्र डिजाइन और सूचक के अनुपालन के लिए संबंधित पोर्ट की जांच की जाती है। क्योंकि खतरे के बारे में जानकारी में, विशिष्ट बंदरगाह हमेशा संकेत नहीं दिया जाता है, आईपी: डेटाबेस में एक अपरिभाषित बंदरगाह के साथ एक पते की उपस्थिति के लिए कोई भी निर्माण चेक।

एक समान डिजाइन एक नियम में लागू किया जाता है जो रजिस्ट्री परिवर्तन की घटनाओं में समझौते के संकेतकों का पता लगाता है। आने वाली जानकारी में अक्सर किसी विशेष कुंजी या मूल्य पर कोई डेटा नहीं होता है, इसलिए, जब कोई संकेतक डेटाबेस में दर्ज किया जाता है, तो डेटा जो अज्ञात है या सटीक मूल्य नहीं है, उसे 'किसी' के साथ बदल दिया जाता है। अंतिम खोज विकल्प इस प्रकार हैं:



लॉग में समझौता करने का संकेतक पाए जाने के बाद, सहसंबंध नियम उस श्रेणी के साथ चिह्नित सहसंबंध घटना बनाता है जिसे घटना नियम प्रक्रियाएं (हमने लेख " राइट रसोई " में विस्तार से चर्चा की है)।

श्रेणी के अलावा, सहसंबंध घटना को उस सूचना के साथ पूरक किया जाएगा, जिस पर यह संकेतक चेतावनी या रिपोर्ट करता है, इसका वजन, खतरे का डेटा और स्रोत का लिंक। सभी प्रकार के संकेतकों के पता लगाने की घटनाओं के आगे की प्रक्रिया घटना नियम द्वारा की जाती है। उनके काम को इस प्रकार प्रस्तुत किया जा सकता है:



लेकिन, निश्चित रूप से, आपको अपवादों को ध्यान में रखना चाहिए: लगभग किसी भी बुनियादी ढांचे में ऐसे उपकरण होते हैं जिनकी क्रियाएं वैध होती हैं, इस तथ्य के बावजूद कि वे औपचारिक रूप से एक समझौता प्रणाली के संकेत हैं। इस तरह के उपकरणों में अक्सर सैंडबॉक्स, विभिन्न स्कैनर आदि शामिल होते हैं।

विभिन्न प्रकारों के संकेतकों की पहचान की घटनाओं को सहसंबद्ध करने की आवश्यकता इस तथ्य के कारण भी है कि विषम संकेतक अक्सर खतरों के बारे में जानकारी में मौजूद होते हैं।
तदनुसार, संकेतक का पता लगाने वाली घटनाओं का एक समूह आपको प्रवेश से लेकर संचालन तक के पूरे हमले श्रृंखला को देखने की अनुमति दे सकता है।

हम एक सूचना सुरक्षा घटना के रूप में निम्नलिखित परिदृश्यों में से एक के कार्यान्वयन पर विचार करने का प्रस्ताव करते हैं:

1. समझौता के एक अत्यधिक प्रासंगिक संकेतक का पता लगाना।
2. एक रिपोर्ट से दो अलग-अलग संकेतकों का पता लगाना।
3. दहलीज पर पहुँचना।

पहले दो विकल्पों के साथ, सब कुछ स्पष्ट है, और तीसरा आवश्यक है जब हमारे पास सिस्टम की नेटवर्क गतिविधि के अलावा कोई डेटा नहीं है।

समझौता के संकेतकों की पूर्वव्यापी जांच

खतरे के बारे में जानकारी प्राप्त करने, संकेतकों की पहचान करने और उनकी पहचान को व्यवस्थित करने के बाद, पूर्वव्यापी जांच की आवश्यकता है जो आपको पहले से उत्पन्न एक समझौते का पता लगाने की अनुमति देता है।

अगर मैं थोड़ा गहराई में जाता हूं कि यह एसओसी में कैसे काम करता है, तो मैं कह सकता हूं कि इस प्रक्रिया के लिए सही मायने में बहुत अधिक समय और संसाधनों की आवश्यकता होती है। आधे साल के लिए लॉग में समझौता संकेतकों की खोज हमें ऑनलाइन चेक के लिए उन्हें प्रभावशाली मात्रा में उपलब्ध रखने के लिए मजबूर करती है। इसके अलावा, चेक के परिणाम में न केवल संकेतकों की उपस्थिति के बारे में जानकारी होनी चाहिए, बल्कि हमले के विकास पर सामान्य डेटा भी होना चाहिए। नई ग्राहक सूचना प्रणालियों को जोड़ते समय, उनसे प्राप्त आंकड़ों को भी संकेतकों के लिए जाँचना चाहिए। इसके लिए, एसओसी के तथाकथित "सामग्री" को लगातार परिष्कृत करना आवश्यक है - सहसंबंध के नियम और समझौता के संकेतक।

आर्किसट सीएमजी प्रणाली के लिए, पिछले कुछ हफ्तों में भी ऐसी खोज में लंबा समय लग सकता है। इसलिए, रुझानों का लाभ उठाने का निर्णय लिया गया।

"एक प्रवृत्ति एक ईएसएम संसाधन है जो यह बताती है कि प्रचलित प्रवृत्तियों या धाराओं के लिए कैसे और किस समय डेटा एकत्र किया जाएगा और इसका मूल्यांकन किया जाएगा। एक प्रवृत्ति एक निर्धारित अनुसूची और समय अवधि पर एक निर्दिष्ट क्वेरी निष्पादित करती है। "

ESM_101_Guide

लोड सिस्टम पर कई परीक्षणों के बाद, रुझानों का उपयोग करने के लिए निम्नलिखित एल्गोरिदम विकसित किया गया था:



प्रोफाइलिंग नियम जो उपयोगी डेटा के साथ संगत सक्रिय शीट्स में भरते हैं, आपको सर्जेस पर कुल लोड वितरित करने की अनुमति देते हैं। संकेतक प्राप्त करने के बाद, संबंधित शीट और रुझानों में अनुरोध बनाए जाते हैं, जिसके आधार पर रिपोर्ट बनाई जाएगी, जो बदले में सभी प्रतिष्ठानों में वितरित की जाएगी। वास्तव में, यह केवल रिपोर्ट चलाने और परिणामों को संसाधित करने के लिए बनी हुई है।

यह ध्यान देने योग्य है कि प्रसंस्करण प्रक्रिया में लगातार सुधार और स्वचालित किया जा सकता है। उदाहरण के लिए, हमने समझौता के MISP संकेतकों को संग्रहीत और संसाधित करने के लिए एक मंच पेश किया है, जो वर्तमान में लचीलेपन और कार्यक्षमता के लिए हमारी आवश्यकताओं को पूरा करता है। इसके एनालॉग्स का खुले स्रोत के बाजार में व्यापक रूप से प्रतिनिधित्व किया जाता है - YETI, विदेशी - Anomali ThreatStream, ThreatConnect, ThreatQuotinet, EclecticIQ, रूसी - TI.Platform, R-Vision Threat Intelligence Platform। अब हम ऑटोमेटेड इवेंट के अंतिम परीक्षणों का आयोजन सीधे सर्ज डेटाबेस से कर रहे हैं। इससे समझौता के संकेतकों की रिपोर्टिंग में बहुत तेजी आएगी।

साइबर इंटेलिजेंस का मुख्य तत्व

फिर भी, दोनों संकेतकों के प्रसंस्करण में अंतिम लिंक स्वयं और रिपोर्ट इंजीनियर और विश्लेषक हैं, और ऊपर सूचीबद्ध उपकरण केवल निर्णय लेने में मदद करते हैं। हमारे देश में, प्रतिक्रिया समूह संकेतक जोड़ने के लिए जिम्मेदार है, और निगरानी समूह रिपोर्ट की शुद्धता के लिए जिम्मेदार है।

लोगों के बिना, सिस्टम पर्याप्त रूप से पर्याप्त रूप से काम नहीं करेगा; आप सभी छोटी चीजों और अपवादों का पूर्वाभास नहीं कर सकते। उदाहरण के लिए, हम टीओआर नोड्स के आईपी पते पर कॉल करते हैं, लेकिन ग्राहक के लिए रिपोर्ट में हम समझौता किए गए होस्ट की गतिविधि और उस होस्ट को साझा करते हैं जिस पर टीओआर ब्राउज़र बस स्थापित किया गया था। इसे स्वचालित करना संभव है, लेकिन नियमों को स्थापित करते समय ऐसे सभी बिंदुओं पर पहले से सोचना मुश्किल है। इसलिए यह पता चला है कि प्रतिक्रिया समूह, विभिन्न मानदंडों के अनुसार, संकेतक को समाप्त करता है जो बड़ी संख्या में झूठी सकारात्मकता पैदा करेगा। और इसके विपरीत - एक विशिष्ट संकेतक जोड़ा जा सकता है जो कुछ ग्राहकों के लिए अत्यधिक प्रासंगिक है (उदाहरण के लिए, वित्तीय क्षेत्र)।

निगरानी समूह अंतिम रिपोर्ट से सैंडबॉक्स गतिविधि को हटा सकता है, एक दुर्भावनापूर्ण संसाधन के सफल अवरोधन के लिए प्रशासकों की जांच कर सकता है, लेकिन असफल बाहरी स्कैनिंग के बारे में गतिविधि जोड़ सकता है, ग्राहक को दिखा सकता है कि हमलावरों द्वारा इसकी बुनियादी संरचना की जांच की जा रही है। मशीन ऐसे निर्णय नहीं करेगी।

आउटपुट के बजाय

हम थ्रेट इंटेलिजेंस के साथ काम करने के इस तरीके की सिफारिश क्यों करते हैं? सबसे पहले, यह आपको योजना से दूर होने की अनुमति देता है, जब प्रत्येक नए हमले के लिए आपको एक अलग सहसंबंध नियम बनाने की आवश्यकता होती है। यह अस्वीकार्य रूप से लंबा समय लेता है और केवल चल रहे हमले का खुलासा करता है।

वर्णित विधि सबसे अधिक TI क्षमताओं को बनाती है - आपको केवल संकेतक जोड़ने की आवश्यकता होती है, जो कि दिखाई देने वाले क्षण से अधिकतम 20 मिनट है, और फिर लॉग की एक पूर्ण पूर्वव्यापी जांच करते हैं। तो आप प्रतिक्रिया समय कम कर देंगे, और अधिक पूर्ण परीक्षा परिणाम प्राप्त करेंगे।

यदि आपके कोई प्रश्न हैं, तो टिप्पणी में आपका स्वागत है।