Menggunakan Log dan Telemetri

Perburuan hanya sebaik data yang mendukungnya. Catatan dan telemetri merupakan jejak bukti yang ditinggalkan penyerang di berbagai sistem.

Pelajaran ini membahas sumber data utama dan cara melakukan perburuan di dalamnya.

Data titik akhir merupakan sumber yang paling kaya. Alat seperti EDR dan Sysmon mencatat pembuatan proses, baris perintah, penulisan berkas, dan perubahan registri.

Sebagian besar serangan modern menyentuh titik akhir, sehingga banyak perburuan dimulai dari sini.

Data jaringan menunjukkan ke mana perangkat terhubung. Catatan penyaring lalu lintas, catatan proksi, catatan DNS, dan catatan Zeek mengungkap sinyal berkala, pengeluaran data, dan pergerakan lateral.

Data ini melengkapi data titik akhir dengan menunjukkan sisi komunikasinya.

Catatan autentikasi menunjukkan cara akun digunakan. Carilah proses masuk pada jam yang tidak biasa, dari lokasi baru, atau pola gagal lalu berhasil.

ID peristiwa Windows dan catatan direktori sangat penting di sini.

Lingkungan modern menghasilkan catatan awan: aktivitas antarmuka pemrograman aplikasi, proses masuk identitas, dan perubahan konfigurasi.

Lakukan perburuan untuk menemukan kunci akses baru, pencatatan yang dinonaktifkan, atau panggilan administratif melalui antarmuka aplikasi yang tidak biasa.

SIEM mengumpulkan catatan dari berbagai tempat ke satu lokasi yang dapat dicari. Perburuan lintas sumber hanya praktis jika data dipusatkan.

Splunk, Elastic, dan Sentinel merupakan platform yang umum digunakan.

Sumber yang berbeda memberi nama bidang dengan cara yang berbeda. Normalisasi memetakannya ke skema umum sehingga satu kueri dapat mencakup banyak sumber.

Tanpa normalisasi, Anda harus menulis kueri baru untuk setiap format catatan.

Kekuatan sebenarnya terletak pada pengaitan: hubungkan proses pada titik akhir dengan koneksi jaringan dan peristiwa autentikasi untuk perangkat serta waktu yang sama.

Satu sumber menimbulkan kecurigaan; tiga sumber bersama-sama membangun sebuah kasus.

Ketahui hal-hal yang tidak Anda catat. Penyerang berkembang di titik buta: perangkat yang tidak dicatat, audit baris perintah yang dinonaktifkan, atau masa penyimpanan catatan yang singkat.

Mengidentifikasi celah itu sendiri merupakan hasil perburuan yang berharga.

Catatan berukuran sangat besar, sedangkan penyimpanan terbatas. Seimbangkan masa penyimpanan dengan biaya agar saat Anda melakukan perburuan, datanya masih tersedia.

Serangan yang ditemukan hari ini mungkin telah dimulai berbulan-bulan lalu; masa penyimpanan yang singkat menyembunyikannya.

Ketika perburuan lintas catatan menemukan suatu teknik, ubahlah teknik tersebut menjadi aturan deteksi agar SIEM dapat menemukannya secara otomatis lain kali.

Dengan cara inilah perburuan manual terus memperkuat pertahanan otomatis.

Uji pemahaman Anda tentang catatan dan telemetri.

Anda telah mempelajari cara melakukan perburuan di berbagai catatan dan telemetri.

• Data titik akhir (proses, baris perintah) merupakan sumber yang paling kaya.
• Catatan jaringan, autentikasi, dan awan menambahkan konteks.
• SIEM memusatkan data; normalisasi memungkinkan kueri lintas sumber.
• Hubungkan berbagai sumber untuk membangun petunjuk yang kuat.
• Waspadai celah pencatatan dan masa penyimpanan; ubah temuan menjadi deteksi.

Selanjutnya Anda akan memetakan temuan ke MITRE ATT&CK.