Utilizzo di log e telemetria

Una ricerca è valida quanto i dati su cui si basa. I log e la telemetria sono le tracce delle prove lasciate dagli attaccanti nei vari sistemi.

Questa lezione illustra le principali fonti dati e come fare threat hunting attraverso di esse.

I dati degli endpoint sono la fonte più ricca. Strumenti come EDR e Sysmon registrano la creazione dei processi, le righe di comando, la scrittura dei file e le modifiche al registro.

La maggior parte degli attacchi moderni coinvolge un endpoint, perciò molte ricerche iniziano da qui.

I dati di rete mostrano a quali sistemi si connettono gli host. I log dei firewall, dei proxy e del DNS, insieme ai record di Zeek, rivelano beaconing, esfiltrazione e movimento laterale.

Questi dati completano quelli degli endpoint mostrando il lato delle comunicazioni.

I log di autenticazione mostrano come vengono utilizzati gli account. Cerchi accessi in orari insoliti, da nuove posizioni o sequenze di tentativi falliti seguiti da accessi riusciti.

Gli ID degli eventi Windows e i log delle directory sono fondamentali in questo caso.

Gli ambienti moderni generano log del cloud: attività API, accessi delle identità e modifiche alla configurazione.

Cerchi nuove chiavi di accesso, la registrazione disabilitata o chiamate API amministrative insolite.

Un SIEM raccoglie i log provenienti da ogni origine in un unico spazio ricercabile. Fare threat hunting tra più fonti è pratico solo quando i dati sono centralizzati.

Splunk, Elastic e Sentinel sono piattaforme comuni.

Fonti diverse utilizzano nomi diversi per i campi. La normalizzazione li associa a uno schema comune, così una sola query può coprire molte fonti.

Senza normalizzazione, dovrebbe scrivere una nuova query per ogni formato di log.

Il vero potere risiede nella correlazione: colleghi un processo dell'endpoint a una connessione di rete e a un evento di autenticazione relativi allo stesso host e allo stesso momento.

Una sola fonte fa sorgere un sospetto; tre fonti insieme costruiscono un caso.

Sappia quali dati non sta registrando. Gli attaccanti prosperano nei punti ciechi: host senza log, controllo della riga di comando disabilitato o conservazione dei log troppo breve.

Identificare le lacune è di per sé un risultato prezioso del threat hunting.

I log sono enormi e lo spazio di archiviazione è limitato. Bilanci la conservazione rispetto ai costi, in modo che i dati siano ancora disponibili quando farà una ricerca.

Un attacco scoperto oggi potrebbe essere iniziato mesi fa; una conservazione breve lo nasconde.

Quando una ricerca nei log individua una tecnica, la codifichi come regola di rilevamento, così la prossima volta il SIEM la individuerà automaticamente.

È così che la ricerca manuale rafforza continuamente la difesa automatizzata.

Verifichi la Sua comprensione dei log e della telemetria.

Ha imparato a fare threat hunting attraverso log e telemetria.

• I dati degli endpoint (processi, righe di comando) sono la fonte più ricca.
• I log di rete, autenticazione e cloud aggiungono contesto.
• Un SIEM centralizza i dati; la normalizzazione abilita le query tra più fonti.
• Correla le fonti per costruire piste solide.
• Presti attenzione alle lacune nella registrazione e alla conservazione; trasformi i risultati in rilevamenti.

Ora mapperà i Suoi risultati su MITRE ATT&CK.