OSCD: खतरा डिटेक्शन स्प्रिंट # 1, परिणाम

ओपन सिक्योरिटी सहयोगात्मक विकास कंप्यूटर सुरक्षा विशेषज्ञों की एक खुली अंतरराष्ट्रीय पहल है जिसका उद्देश्य सामान्य समस्याओं का समाधान करना, ज्ञान का प्रसार और सामान्य रूप से कंप्यूटर सुरक्षा में सुधार करना है।

यह सूचना सुरक्षा के क्षेत्र से अनुकूल मुक्त परियोजनाओं द्वारा 2019 के पतन में बनाया गया था। संयुक्त विकास दो सप्ताह के स्प्रिंट के रूप में आयोजित किया जाता है। पहला स्प्रिंट सामान्य रूप से थ्रेटिंग का पता लगाने और विशेष रूप से सिग्मा परियोजना के नियमों में सुधार के लिए समर्पित था।

क्यों सिग्मा

सिग्मा परियोजना सिएम सिस्टम के लिए एक सामान्य हस्ताक्षर प्रारूप है। इसका एक कनवर्टर है जो विभिन्न सिएम प्रणालियों के लिए खोज क्वेरी उत्पन्न करता है और खोज नियमों का एक सेट है जहां से ये प्रश्न उत्पन्न होते हैं।

समय के साथ, सिग्मा परियोजना नियम सेट सबसे बड़ा और सबसे परिपक्व समुदाय संचालित खतरे का पता लगाने वाला नियम बन गया है। इसमें, आप नए खतरों (उदाहरण के लिए, ब्लूकीप के लिए कारनामे), प्रवेश परीक्षण उपकरण ( एम्पायर , कोबाल्ट स्ट्राइक ), दुर्भावनापूर्ण व्यवहार ( टोकन चोरी ), और बहुत कुछ के लिए खतरे का पता लगाने के नियम ("सहसंबंध नियम") पा सकते हैं। अधिकांश नियम MITER ATT & CK के लिए बाध्य हैं।

यहां तक ​​कि अगर आप सिग्मा कनवर्टर का उपयोग नहीं कर रहे हैं, तो आप खतरे का पता लगाने के नियमों के अद्यतन सेट से लाभ उठा सकते हैं। अधिकांश उन्नत सुरक्षा टीमों ने सिग्मा परियोजना के अपडेट के लिए GitHub पर साइन अप किया है । यदि आपने पहले से साइन अप नहीं किया है तो यह साइन अप करने का एक अच्छा समय है।

इस परियोजना में अंतराल और समस्याएं हैं, जबकि एक ही समय में सार्वजनिक डोमेन में कई योग्य अध्ययन हैं (जैसे कि विंडोज प्रिविलेज एस्केलेशन / लेटरल मूवमेंट / क्रेडेंशियल्स डंपिंग के लिए शिकार), जिनमें से सामग्री को अभी तक परियोजना रिपॉजिटरी में नहीं जोड़ा गया है। यह हमने पहले स्प्रिंट के दौरान ध्यान केंद्रित करने का निर्णय लिया।

कैसा था

लगभग 50 लोगों ने स्प्रिंट में अपनी भागीदारी की पुष्टि की। योजना बहुत सरल थी:

1. दो सप्ताह का स्प्रिंट 21 अक्टूबर, 2019 से शुरू होगा
2. प्रतिभागी बैकलॉग से कार्यों का चयन करते हैं या अन्य विश्लेषिकी प्रदान / विकसित करते हैं
3. प्रतिभागियों ने वर्कफ़्लो का वर्णन करते हुए एक मैनुअल पर भरोसा किया
4. परिणाम की जाँच की जाएगी और GitHub पर सिग्मा परियोजना के भंडार में जोड़ा जाएगा

कुछ दिनों बाद, 24 अक्टूबर, 2019 को हमने हैक.लु सम्मेलन में एक कार्यशाला आयोजित की, ओएससीडी पहल प्रस्तुत की, जिसमें बताया गया कि हम क्या कर रहे थे और क्यों कर रहे थे। यद्यपि अधिकांश प्रतिभागी दूरस्थ रूप से काम से जुड़े हैं, हमने कार्यशाला में समय की बहुत ही सावधानी से जाँच की, क्योंकि विकसित नियमों पर चर्चा करना संभव था।

अगले दिन, हमने लक्ज़मबर्ग में EU MITER ATT & CK वर्कशॉप में पहले परिणामों पर सूचना दी:

और हमने अपेक्षित परिणाम (x2) प्राप्त किया, इस तथ्य के बावजूद कि स्प्रिंट के अंत में प्रतिभागियों की वास्तविक संख्या 30 लोगों तक कम हो गई थी।

परिणाम

दो सप्ताह के स्प्रिंट के दौरान, प्रतिभागी:

• 144 नए सिग्मा नियम जोड़े
• 19 में सुधार हुआ
• हटाए गए दो मौजूदा नियम (विघटित और अन्य में तर्क दिया, अधिक प्रासंगिक)

इस प्रकार, हमने सिग्मा परियोजना के नियमों को 40% से अधिक बढ़ा दिया है।
अतिरिक्त नियमों की सूची गिटहब पर सिग्मा भंडार की मास्टर शाखा में पुल अनुरोध विवरण में उपलब्ध है।

बैकलॉग

यद्यपि हमने पहले स्प्रिंट में बहुत कुछ हासिल किया, लेकिन बहुत सारे कार्य ऐसे थे जो दो सप्ताह में हमारी सेना द्वारा हल नहीं किए जा सके। हमने बैकलॉग का विस्तार करने और इसे समुदाय द्वारा आगे की प्रक्रिया के लिए सिग्मा भंडार के मुद्दों पर स्थानांतरित करने का निर्णय लिया:

• विंडोज पर्यावरण में विशेषाधिकार वृद्धि के लिए सिग्मा नियम विकसित करें
• PowerShell के दुरुपयोग के लिए सिग्मा नियम विकसित करें
• विंडोज इन्फ्रास्ट्रक्चर में लेटरल मूवमेंट के लिए सिग्मा नियम विकसित करें
• Invoke-dosfuscation के लिए सिग्मा नियम विकसित करें
• Invoke-Obfuscation के लिए सिग्मा नियम विकसित करें
• भूमि बायनेरिज़ और लिपियों के रहने के लिए सिग्मा नियम विकसित करें
• परमाणु लाल टीम परीक्षणों के लिए सिग्मा नियम विकसित करना

हम आश्वस्त हैं कि इन (और अन्य, एक ही तरह की) समस्याओं का संयुक्त समाधान "आक्रामक सुरक्षा उपकरण" के प्रकाशन की समस्या का सबसे यथार्थवादी और त्वरित समाधान है, जिसकी हाल के हफ्तों में चर्चा हुई है ।

हम यह सुनिश्चित करने का प्रयास करते हैं कि हमारे डिटेक्शन रूल्स पिरामिड के टीटीपी स्तर को कवर करते हैं, ताकि हम दुर्भावनापूर्ण व्यवहार का पता लगा सकें, जो भी उपकरण का उपयोग किया जाता है। इस प्रकार के नियम के अनुसंधान और विकास में 'आक्रामक सुरक्षा उपकरण' हमारे सबसे अच्छे मित्र हैं।

धन्यवाद

पहला OSCD स्प्रिंट अलेक्जेंड्रे डुलोनुआ और हैक.लु कॉन्फ्रेंस टीम के बिना नहीं होता। उन्होंने जानकारी का समर्थन प्रदान किया, ओएससीडी कार्यशाला के लिए सम्मेलन में एक स्लॉट, एक वीजा और आवास प्राप्त करने में मदद की। इसके लिए हम उनके बहुत आभारी हैं।

अंतिम लेकिन कम से कम, स्प्रिंट प्रतिभागी जिन्होंने सभी कार्य किए हैं:

• थॉमस पैके, @blubbffiction ( सिग्मा प्रोजेक्ट ) DE
• तैमूर खेचरोव, @ हिरभैरव ( BI.ZONE SOC ) आरयू
• डैनियल बोहनोन , @danielhbohannon ( FireEye ) यू.एस.
• एलेक्सी पोटापोव ( पीटी ईएससी ) आरयू
• किरिल किर्यानोव ( पीटी ईएससी ) आरयू
• ईगोर पोडमोकोव ( पीटी ईएससी ) आरयू
• एंटन कुटेपोव ( पीटी ईएससी ) आरयू
• एलेक्सी लेडनेव ( पीटी ईएससी ) आरयू
• एंटोन टायरिन ( पीटी ईएससी ) आरयू
• ईवा मारिया अनहाउस ( बीएसआई ) डीई
• जान हजेनबश ( बीएसआई ) डीई
• डिएगो पेरेज़, @darkquassar (स्वतंत्र शोधकर्ता) ए.आर.
• मिखाइल लारिन ( जेट सीएसआईआरटी ) आरयू
• अलेक्जेंडर अख्रेमिक ( जेट सीएसआईआरटी ) आरयू
• दिमित्री लाइफानोव ( जेट सीएसआईआरटी ) आरयू
• एलेक्सी बाल्डिन , @ क्रिक्स87 ( जेट सीएसआईआरटी ) आरयू
• रोमन रेज्वुखिन ( सीईआरटी- जीआईबी) आरयू
• एलिना स्टेपचेनकोवा ( सीईआरटी-जीआईबी ) आरयू
• तैमूर ज़िन्नातुल्लिन ( अंगारा प्रौद्योगिक समूह ) आरयू
• Gleb Sukhodolsky ( अंगारा प्रौद्योगिकियों समूह ) आरयू
• विक्टर सर्गेव , @stvetro ( एजी मदद ) एई
• इलियास ओकोव , @ कैचश्रोडिंगर (स्वतंत्र शोधकर्ता) आरयू
• जेम्स पेम्बेटन, @ 4A616D6573 ( हाइड्रो तस्मानिया ) ए.यू.
• डेनिस बियू ( GKU TO CITITO ) RU
• माटुस ओटर, @ sn0w0tter ( सापेक्षता ) PL
• जैकब विनेसेटल, @mrblacyk ( टिएटो एसओसी ) पीएल
• टॉम केर्न ( NIL SOC ) एस.आई.
• सर्गेई सोलातोव , @SVSoldatov ( Kaspersky MDR ) RU
• इयान डेविस ( टिएटो एसओसी ) सीजेड

आप सभी को धन्यवाद। मिलते हैं अगले स्प्रिंट पर !

क्रिसमस और नया साल मुबारक हो!