Metodyka threat huntingu i tworzenie hipotez

Threat hunting to proaktywny, prowadzony przez ludzi proces przeszukiwania sieci i punktów końcowych w celu wykrycia przeciwników, którzy ominęli istniejące mechanizmy zabezpieczeń. W przeciwieństwie do reaktywnego podejścia do bezpieczeństwa (polegającego na oczekiwaniu na alerty) threat hunterzy aktywnie szukają oznak naruszenia zabezpieczeń, wykorzystując hipotezy oparte na analizie zagrożeń. Threat hunting zakłada, że niektórzy atakujący już znajdują się w środowisku, ale nie zostali jeszcze wykryci przez narzędzia automatyczne.

Tradycyjne operacje bezpieczeństwa są w dużej mierze reaktywne — analitycy odpowiadają na alerty generowane przez SIEM-y, narzędzia EDR i zapory sieciowe. Threat hunting jest z natury proaktywny: hunterzy szukają zagrożeń, które mogą nie generować alertów, ponieważ atakujący korzystają z legalnych narzędzi lub ominęli reguły wykrywania. Oba podejścia są niezbędne; hunting pomaga wykrywać zaawansowane zagrożenia, które wtapiają się w normalną aktywność.

Każde polowanie rozpoczyna się od hipotezy — możliwego do zweryfikowania stwierdzenia dotyczącego zachowania przeciwnika w środowisku. Dobra hipoteza jest konkretna, oparta na analizie zagrożeń i podatna na falsyfikację. Przykład: „Atakujący posiadający dane uwierzytelniające domeny może używać zdalnego dostępu PowerShell do przemieszczania się między stacjami roboczymi w podsieci działu sprzedaży”. Hipoteza określa, jakie dane należy zebrać, jakie zapytania uruchomić i jakich wskaźników szukać.

Struktura MITRE ATT&CK jest najczęściej używanym źródłem hipotez threat huntingu. Kataloguje taktyki, techniki i procedury (TTP) stosowane przez rzeczywistych aktorów zagrożeń, uporządkowane według fazy ataku (Initial Access, Execution, Persistence, Lateral Movement itd.). Hunterzy korzystają z ATT&CK, aby określić, które techniki są najbardziej prawdopodobne w kontekście aktualnego krajobrazu zagrożeń i elementów powierzchni ataku narażonych w danym środowisku.

Źródła threat intelligence dostarczają zewnętrznego kontekstu, który prowadzi do tworzenia odpowiednich hipotez polowania. Raport analityczny dotyczący grupy ransomware atakującej Państwa sektor albo źródło IoC zawierające nowo zidentyfikowane domeny C2 może bezpośrednio zainspirować polowanie. Hunterzy sprawdzają, czy te IoC pojawiają się w logach, czy opisane techniki były używane w środowisku oraz czy jakiekolwiek systemy komunikowały się ze zgłoszoną złośliwą infrastrukturą.

Drugim źródłem hipotez polowania są odchylenia od wzorca bazowego środowiska. Dzięki zrozumieniu tego, co jest normalne — które konta logują się w nocy, które serwery wysyłają żądania DNS i jakie procesy zwykle działają na stacjach roboczych — hunterzy identyfikują anomalie warte zbadania. Polowanie oparte na wzorcach bazowych wymaga wcześniejszego gromadzenia danych i ich profilowania, ale pozwala wykrywać zaawansowanych atakujących, którzy unikają znanych sygnatur złośliwości, pozostając blisko normalnego zachowania.

Skuteczny threat hunting przebiega w ciągłej pętli. Planuj: sformułuj hipotezę. Poluj: wykonuj zapytania względem logów i danych telemetrycznych, aby sprawdzić hipotezę. Analizuj: zbadaj wyniki i ustal, czy występuje złośliwa aktywność. Reaguj: przekaż potwierdzone zagrożenia zespołowi IR. Doskonal: przekształcaj skuteczne polowania w automatyczne reguły wykrywania, aby ta sama technika generowała alerty w przyszłości — usprawniając SOC bez konieczności każdorazowego ręcznego polowania.

Skuteczny hunting wymaga bogatych danych telemetrycznych. Kluczowe źródła danych obejmują telemetrię EDR (tworzenie procesów, zapisy plików i połączenia sieciowe z każdego punktu końcowego), logi uwierzytelniania (Active Directory, SAML, VPN), logi zapytań DNS (wykrywanie domen DGA i tunelowania), dane o przepływach sieciowych (NetFlow, logi zeek) oraz logi audytowe chmury (AWS CloudTrail, Azure Activity Log). Im więcej danych telemetrycznych, tym lepsza widoczność podczas polowania.

Threat hunterzy korzystają z kilku kategorii narzędzi. Platformy SIEM (Splunk, Microsoft Sentinel) zapewniają agregację logów i interfejsy zapytań. Platformy EDR (CrowdStrike, SentinelOne) udostępniają telemetrię punktów końcowych i możliwość wykonywania zapytań na żywo. Specjalistyczne narzędzia do huntingu, takie jak Velociraptor, umożliwiają zdalną reakcję na żywo i gromadzenie artefaktów z wielu zdalnych punktów końcowych. Jupyter Notebooks są często używane do doraźnej analizy danych podczas złożonych polowań.

Każde polowanie — udane lub nie — należy udokumentować. Raport z polowania zawiera hipotezę, przeszukane źródła danych, użyte zapytania, ustalenia i wynik. Wyniki negatywne (niepotwierdzona hipoteza) są wartościowe, ponieważ pokazują zakres monitorowania i pomagają doskonalić przyszłe hipotezy. Wyniki pozytywne prowadzą do utworzenia zgłoszeń incydentów, a najlepiej także nowych reguł wykrywania. Dokumentacja buduje wiedzę organizacyjną i pozwala kierownictwu dostrzec wartość programu threat huntingu.

Dojrzały program threat huntingu rozwija się poprzez kolejne poziomy możliwości. Poziom 0: całkowite poleganie na automatycznych alertach. Poziom 1: podstawowe ręczne polowania z użyciem doraźnych zapytań. Poziom 2: ustrukturyzowane hipotezy oparte na ATT&CK i threat intelligence. Poziom 3: polowania prowadzą do tworzenia automatycznych mechanizmów wykrywania, zespoły hunterów specjalizują się, a modele zagrożeń są stale aktualizowane. Organizacje powinny mierzyć skrócenie średniego czasu przebywania atakującego w środowisku jako kluczowy wskaźnik skuteczności programu threat huntingu.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo: threat hunting to proaktywne badanie zakładające, że niektórzy atakujący ominęli już mechanizmy wykrywania, hipotezy tworzy się na podstawie MITRE ATT&CK, threat intelligence i odchyleń od wzorców bazowych, a udane polowania prowadzą do utworzenia automatycznych reguł wykrywania, które stale zwiększają możliwości wykrywania zagrożeń przez SOC. W następnej części omówimy architekturę SIEM — platformy zapewniającej agregację i korelację logów niezbędną do obsługi polowań.