Utilisation des journaux et de la télémétrie

Une chasse n'est jamais meilleure que les données sur lesquelles elle repose. Les journaux et la télémétrie constituent les traces d'éléments probants laissées par les attaquants dans les systèmes.

Cette leçon présente les principales sources de données et explique comment les exploiter pour chasser les menaces.

Les données des terminaux constituent la source la plus riche. Des outils comme EDR et Sysmon enregistrent la création de processus, les lignes de commande, les écritures de fichiers et les modifications du registre.

La plupart des attaques modernes touchent un terminal ; c'est donc souvent par là que commencent les chasses.

Les données du réseau montrent vers quels systèmes les hôtes se connectent. Les journaux de pare-feu, de serveur mandataire et de DNS, ainsi que les enregistrements de Zeek, révèlent les communications périodiques, l'exfiltration et les déplacements latéraux.

Elles complètent les données des terminaux en montrant l'aspect communication.

Les journaux d'authentification révèlent la manière dont les comptes sont utilisés. Recherchez les connexions à des heures inhabituelles, depuis de nouveaux emplacements ou selon des séquences d'échecs suivis de réussites.

Les ID d'événements Windows et les journaux d'annuaire sont essentiels ici.

Les environnements modernes génèrent des journaux de services en nuage : activité des interfaces de programmation d'applications, connexions d'identité et changements de configuration.

Recherchez les nouvelles clés d'accès, la désactivation de la journalisation ou les appels inhabituels et administratifs aux interfaces de programmation d'applications.

Un SIEM collecte les journaux de toutes les sources en un seul endroit où ils peuvent être interrogés. La chasse dans plusieurs sources n'est vraiment possible que lorsque les données sont centralisées.

Splunk, Elastic et Sentinel sont des plateformes courantes.

Les différentes sources nomment les champs différemment. La normalisation les associe à un schéma commun afin qu'une seule requête puisse couvrir de nombreuses sources.

Sans elle, vous devez écrire une nouvelle requête pour chaque format de journal.

La véritable puissance réside dans la corrélation : relier un processus d'un terminal à une connexion réseau et à un événement d'authentification concernant le même hôte et la même heure.

Une seule source éveille les soupçons ; trois sources réunies permettent de constituer un dossier.

Sachez ce que vous ne journalisez pas. Les attaquants prospèrent dans les angles morts : hôtes non journalisés, audit de la ligne de commande désactivé ou conservation des journaux trop courte.

Identifier les lacunes constitue en soi un résultat de chasse précieux.

Les journaux sont volumineux et le stockage est limité. Équilibrez la conservation et les coûts afin que les données existent encore lorsque vous lancez une chasse.

Une attaque découverte aujourd'hui a peut-être commencé il y a plusieurs mois ; une conservation trop courte la dissimule.

Lorsqu'une chasse dans les journaux révèle une technique, encodez-la sous forme de règle de détection afin que le SIEM la détecte automatiquement la prochaine fois.

C'est ainsi que la chasse manuelle renforce continuellement la défense automatisée.

Évaluez votre compréhension des journaux et de la télémétrie.

Vous avez appris à chasser les menaces dans les journaux et la télémétrie.

• Les données des terminaux (processus, ligne de commande) constituent la source la plus riche.
• Les journaux réseau, d'authentification et du nuage ajoutent du contexte.
• Un SIEM centralise les données ; la normalisation permet les requêtes couvrant plusieurs sources.
• Corrélez les sources pour constituer des pistes solides.
• Surveillez les lacunes de journalisation et la conservation ; transformez les découvertes en détections.

Vous allez maintenant mettre en correspondance vos découvertes avec MITRE ATT&CK.