Detektion og analyse: Identifikation af reelle hændelser

Fasen for registrering og analyse begynder, når en potentiel sikkerhedshændelse identificeres første gang, og slutter, når omfanget og påvirkningen er tilstrækkeligt forstået til, at indeslutning kan påbegyndes. Den primære udfordring i denne fase er at skelne mellem sande og falske positiver — mellem en alarm, der skyldes skadelig aktivitet, og en alarm, der udløses af normal, men usædvanlig adfærd. Effektiv registrering kræver korrekt konfigurerede værktøjer, uddannede analytikere og dokumenterede grundlinjer for normal aktivitet.

Hændelser registreres gennem flere kanaler: SIEM-alarmer genereret af korrelationsregler, EDR-registreringer fra adfærdsanalyse på slutpunkter, brugerrapporter (den mest almindelige indledende registrering af phishing), underretninger fra tredjeparter (retshåndhævende myndigheder, leverandører af trusselsinformation og tjenester til underretning om brud), automatiseret scanning (sårbarhedsscannere eller CSPM, der finder uregelmæssigheder) samt trusselsjagt (proaktiv undersøgelse). Hver kilde har sin egen grad af pålidelighed og leverer forskellige typer beviser.

Effektiv registrering kræver indsamling af logge fra forskellige kilder. Kritiske logtyper omfatter: logge over godkendelse (Windows Security Event Log, /var/log/auth.log) til mislykkede og vellykkede login, netværkslogge (firewall, VPC Flow Logs, proxy) til usædvanlige forbindelser, DNS-logge til forespørgsler til kendte skadelige domæner, slutpunktslogge (EDR, Sysmon) til oprettelse af processer og filaktivitet samt cloud-revisionslogge (CloudTrail, Azure Monitor) til API-kald. En SIEM sammenlægger og korrelerer disse forskellige kilder.

SOC-analytikere prioriterer og vurderer hundredvis eller tusindvis af alarmer dagligt, hvoraf de fleste er falske positiver — legitim aktivitet, der udløste en registreringsregel. En falsk positiv spilder analytikerens tid og skaber alarmtræthed, som får reelle trusler til at blive afvist. En sand positiv repræsenterer faktisk skadelig aktivitet. En falsk negativ er det farligste udfald — skadelig aktivitet, der slet ikke udløste en alarm. Finjustering af registreringsregler for at reducere falske positiver uden at øge antallet af falske negativer er en central færdighed i et SOC.

SIEM-korrelationsregler kombinerer flere individuelle loghændelser for at identificere mønstre, der viser tegn på angreb. Eksempel: Ét mislykket login er normalt; 100 mislykkede login fra den samme IP-adresse på 60 sekunder tyder på brute force. Et andet eksempel: En bruger, der godkendes fra USA kl. 9 og derefter fra Kina kl. 11, kan ikke fysisk nå at rejse mellem stederne — kontoen er sandsynligvis kompromitteret. Effektive korrelationsregler afbalancerer følsomhed (at fange virkelige angreb) med specificitet (ikke at drukne analytikere i støj).

Under analysen indsamler de ansvarlige kompromitteringsindikatorer (IoC'er), der karakteriserer angrebet: mistænkelige IP-adresser, skadelige domænenavne, filhashværdier for malware, registreringsdatabasenøgler ændret af angriberen, usædvanlige procesnavne eller forælder-barn-relationer samt unormale netværksforbindelser. IoC'er bruges til at fastslå omfanget (findes denne IoC på andre systemer?), berige trusselsinformationen, blokere yderligere adgang for angriberen og udvikle SIEM-regler til at registrere lignende aktivitet i fremtiden.

En omfangsanalyse besvarer: Hvilke systemer er berørt? Hvilke data blev tilgået eller eksfiltreret? Hvordan kom angriberen ind, og hvornår skete det? De ansvarlige bruger loganalyse til at rekonstruere angrebets tidslinje, identificere den oprindelige adgangsvej, opliste alle systemer, som angriberen var inde på (lateral bevægelse), og fastslå, om data blev eksfiltreret (stigninger i udgående overførsler, mapper til midlertidig datalagring). Vurderingen af omfanget styrer beslutninger om indeslutning — du kan ikke indeslutte noget, du ikke har kortlagt.

EDR (Endpoint Detection and Response)-platforme er det primære tekniske værktøj til analyse af hændelser på slutpunktsniveau. EDR-telemetri leverer: træer over proceskørsel (hvad startede hvad), filsystemaktivitet, netværksforbindelser pr. proces, ændringer i registreringsdatabasen og registrering af hukommelsesinjektion. Under en hændelse gør EDR det muligt for analytikere samtidigt at søge efter en IoC på alle slutpunkter (trusselsjagt i hele virksomheden), isolere et kompromitteret slutpunkt fra netværket og hente retsmedicinske artefakter uden fysisk at berøre systemet.

Netværksbeviser er ofte den mest pålidelige kilde under analyse af hændelser. NetFlow- og VPC Flow Logs viser forbindelser mellem systemer uden at vise indholdet af datapakkerne — nyttigt til kortlægning af lateral bevægelse. Fuld pakkeoptagelse (PCAP) viser hele kommunikationsindholdet, herunder legitimationsoplysninger, eksfiltrerede data og C2-kommandoer (hvis trafikken ikke er krypteret). Logge over DNS-forespørgsler afslører malware, der regelmæssigt sender signaler til C2-domæner. De ansvarlige leder efter: store udgående dataoverførsler, forbindelser til usædvanlige porte, signalmønstre (regelmæssige forbindelser hvert N. sekund) og intern scanningsadfærd.

Rekonstruktion af angrebets tidslinje er afgørende for at forstå opholdstiden (hvor længe angriberen var til stede før registreringen), identificere den oprindelige adgangsvej (så sårbarheden kan lukkes) og bevare beviserne i kronologisk rækkefølge til retssager. Tidslinjer opbygges ved at korrelere tidsstempler på tværs af flere logkilder. Synkronisering af tid (ved hjælp af NTP) er kritisk — logge med forkerte systemure skaber huller og modsigelser i tidslinjer, som svækker de retsmedicinske konklusioner.

Det er ikke alle alarmer, der kræver fuld aktivering af CSIRT. Analytikere bruger dokumenterede kriterier til at afgøre, hvornår en eskalering skal udløses: Opdagelse af et bekræftet databrud udløser obligatoriske lovpligtige meddelelser og eskalering til ledelsen. Opdagelse af malware, der har spredt sig til mere end ét system, udløser fuld involvering af CSIRT. En enkelt phishingmail (uden klik) forbliver på niveau 1 hos analytikeren. Veldefinerede eskaleringstærskler forhindrer både overreaktion (spild af ressourcer på mindre hændelser) og underreaktion (at større databrud vokser, mens de behandles som mindre alarmer).

I denne lektion har du lært, at detektion bygger på forskellige logkilder, der samles af et SIEM med korrelationsregler, som identificerer angrebsmønstre på tværs af flere hændelser, at IoC'er, der indsamles under analysen, bruges til at afgrænse hændelsen på tværs af alle systemer og udvikle blokeringsregler, og at falske negative resultater er det farligste udfald, fordi de giver angribere mulighed for at operere uopdaget. Nu ser vi nærmere på inddæmning, afhjælpning og genoprettelse.