Analiza zachowania atakujących

Prawdziwą korzyścią z technologii deception są informacje wywiadowcze. Obserwując sposób, w jaki atakujący wchodzą w interakcję z przynętami, obrońcy poznają taktyki, techniki i procedury (TTPs), a następnie wykorzystują tę wiedzę do wzmacniania zabezpieczeń.

Logi przynęt ujawniają wiele szczegółów:

• Adresy IP źródeł i infrastrukturę.
• Podejmowane próby użycia danych uwierzytelniających i poleceń.
• Wykorzystane narzędzia i exploity.
• Czasy i kolejność działań.

Struktura MITRE ATT&CK kataloguje taktyki i techniki przeciwników. Mapowanie zaobserwowanej aktywności honeypota na ATT&CK zamienia surowe logi w ustrukturyzowany profil atakującego i pokazuje, które zabezpieczenia należy wzmocnić.

Zachowanie może wskazywać na cele atakującego:

• Szerokie skanowanie sugeruje oportunistyczne, zautomatyzowane ataki.
• Ukierunkowane rozpoznawanie określonych zasobów sugeruje działanie zdeterminowanego przeciwnika.
• Poszukiwanie danych sugeruje zamiar ich eksfiltracji.

Wskaźniki pomagają odróżnić boty od ludzi:

• Boty: natychmiastowe, jednolite i przewidywalne sekwencje poleceń.
• Ludzie: przerwy, literówki oraz zachowanie eksploracyjne i adaptacyjne.

Wiedza o tym, z jakim typem atakującego ma się do czynienia, wpływa na sposób reakcji.

Honeypoty o wysokim poziomie interakcji często przechwytują złośliwe oprogramowanie umieszczane przez atakującego. Analiza tych próbek (w piaskownicy) ujawnia payloady, serwery command-and-control oraz metody utrzymywania dostępu, które można zablokować w innych miejscach.

Należy wyodrębniać IOC z zaobserwowanej aktywności:

• Złośliwe adresy IP i domeny.
• Hasze plików.
• Sygnatury narzędzi i wzorce poleceń.

Należy przekazywać IOC do zapór sieciowych, EDR i systemu SIEM, aby blokować tego samego atakującego w rzeczywistych systemach.

Zdobyta wiedza może pomóc innym. Udostępnianie zanonimizowanych IOC i TTPs za pośrednictwem zaufanych społeczności (ISAC-ów, platform analizy zagrożeń) wzmacnia wspólną obronę przed tymi samymi przeciwnikami.

Należy domknąć pętlę. Ustalenia z honeypotów należy wykorzystywać do:

• Łatania wykorzystanych luk w środowisku produkcyjnym.
• Zaostrzenia reguł detekcji związanych z zaobserwowanymi technikami.
• Dodania IOC atakującego do list blokad.

Należy zachować ostrożność podczas interpretacji:

• Adresy IP źródeł często należą do serwerów proxy lub VPN, a nie do prawdziwego źródła ataku.
• Atakujący mogą pozostawiać mylące ślady.
• Pojedynczy honeypot zapewnia ograniczony obraz sytuacji, dlatego należy korelować jego dane z innymi informacjami.

Informacje wywiadowcze mają wartość tylko wtedy, gdy prowadzą do działania. Należy wypracować stały proces: gromadzić dane z przynęt, analizować je i mapować, wyodrębniać IOC oraz aktualizować zabezpieczenia, aby każdy atak na pułapkę utrudniał przełamanie rzeczywistego środowiska.

Analiza zachowania atakujących zamienia pułapki w źródło informacji wywiadowczych:

• Honeypoty przechwytują adresy IP, dane uwierzytelniające, polecenia, narzędzia i złośliwe oprogramowanie.
• Aktywność należy mapować na MITRE ATT&CK i na tej podstawie wnioskować o zamiarach.
• Należy wyodrębniać IOC i udostępniać informacje o zagrożeniach.
• Pętlę należy domknąć, wzmacniając rzeczywiste zabezpieczenia na podstawie zdobytej wiedzy.