تحليل سلوك المهاجمين

العائد الحقيقي من الخداع هو المعلومات الاستخباراتية. فمن خلال مراقبة كيفية تفاعل المهاجمين مع المصائد، يتعلم المدافعون التكتيكات والتقنيات والإجراءات (TTPs) ويحوّلون هذه المعرفة إلى وسائل دفاع أقوى.

تكشف سجلات المصائد تفاصيل غنية:

• عناوين IP المصدر والبنية التحتية.
• بيانات الاعتماد والأوامر التي جرت محاولتها.
• الأدوات وعمليات الاستغلال المستخدمة.
• توقيت الإجراءات وتسلسلها.

يفهرس إطار MITRE ATT&CK تكتيكات وتقنيات الخصوم. ويؤدي ربط النشاط المرصود في مصائد العسل بإطار ATT&CK إلى تحويل السجلات الخام إلى ملف منظم للمهاجم، كما يكشف وسائل الدفاع التي ينبغي تعزيزها.

يلمح السلوك إلى الأهداف:

• يشير المسح الواسع إلى هجمات انتهازية ومؤتمتة.
• يشير حصر أصول محددة على نحو موجه إلى خصم يتصرف عن قصد.
• يشير البحث عن البيانات إلى دوافع استخراجها.

تساعد بعض المؤشرات في التمييز بين الروبوتات والبشر:

• الروبوتات: تسلسلات أوامر فورية وموحّدة ويمكن التنبؤ بها.
• البشر: فترات توقف وأخطاء مطبعية وسلوك استكشافي متكيف.

تحديد نوع المهاجم الذي تواجهونه يوجّه الاستجابة.

غالبًا ما تلتقط مصائد العسل عالية التفاعل البرمجيات الخبيثة التي يزرعها المهاجم. ويكشف تحليل هذه العينات داخل بيئة معزولة عن الحمولات وخوادم القيادة والتحكم وأساليب الاستمرارية التي يمكن حظرها في مواضع أخرى.

استخرجوا IOCs من النشاط المرصود:

• عناوين IP والنطاقات الخبيثة.
• تجزئات الملفات.
• بصمات الأدوات وأنماط الأوامر.

أدخلوا مؤشرات الاختراق في جدران الحماية وEDR وSIEM لحظر المهاجم نفسه على الأنظمة الحقيقية.

يمكن لما تتعلمونه أن يساعد الآخرين. إن مشاركة مؤشرات الاختراق وTTPs بعد إخفاء هويتها عبر مجتمعات موثوقة، مثل ISACs ومنصات استخبارات التهديدات، تعزز الدفاع الجماعي ضد الخصوم المشتركين.

أغلقوا الحلقة. استخدموا نتائج مصائد العسل من أجل:

• تطبيق التصحيحات على نقاط الضعف المستغلة في بيئة الإنتاج.
• تشديد قواعد الاكتشاف المتعلقة بالتقنيات المرصودة.
• إضافة مؤشرات اختراق المهاجم إلى قوائم الحظر.

فسّروا النتائج بحذر:

• غالبًا ما تكون عناوين IP المصدر خوادم وسيطة أو VPNs، وليست المصدر الحقيقي.
• قد يزرع المهاجمون دلائل مضللة.
• توفر مصيدة عسل واحدة رؤية محدودة؛ لذا اربطوا نتائجها ببيانات أخرى.

لا تصبح المعلومات الاستخباراتية ذات قيمة إلا عند اتخاذ إجراء بناءً عليها. أنشئوا إجراءً دوريًا: اجمعوا بيانات المصائد، وحللوها واربطوها، واستخرجوا مؤشرات الاختراق، وحدّثوا وسائل الدفاع، حتى تجعل كل هجمة على مصيدة البيئة الحقيقية أصعب اختراقًا.

اربطوا التحليل بالدفاع.

يحوّل تحليل سلوك المهاجمين المصائد إلى معلومات استخباراتية:

• تلتقط مصائد العسل عناوين IP وبيانات الاعتماد والأوامر والأدوات والبرمجيات الخبيثة.
• اربطوا النشاط بإطار MITRE ATT&CK واستنتجوا النوايا.
• استخرجوا مؤشرات الاختراق وشاركوا المعلومات الاستخباراتية عن التهديدات.
• أغلقوا الحلقة بتعزيز وسائل الدفاع الحقيقية استنادًا إلى ما تتعلمونه.