0Pricing
Cyber Security Academy · Lekcja

Operacjonalizacja wywiadu: threat hunting

Wykorzystają Państwo threat intelligence do formułowania hipotez i wyszukiwania aktywności atakujących w swoim środowisku.

Operacjonalizacja wywiadu: threat hunting to bezpłatna lekcja Cyber Security Academy na CoddyKit. To lekcja 4 z 4. Możesz przeczytać całą lekcję poniżej za darmo — a potem ćwiczyć ją interaktywnie w przeglądarce z wbudowanym edytorem kodu i tutorem AI dostępnym 24/7. To część ścieżki edukacyjnej Cyber Security Academy, a Twój postęp synchronizuje się między webem a aplikacją CoddyKit. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Czym jest threat hunting?

Threat hunting to proaktywne wyszukiwanie zagrożeń, które ominęły automatyczne mechanizmy wykrywania. Osoby prowadzące hunting zaczynają od hipotezy opartej na danych wywiadowczych o zagrożeniach, a następnie analizują dzienniki, aby ją potwierdzić lub odrzucić, wykrywając ataki, które umknęły alertom.

Hipoteza threat huntingu

Dobra hipoteza jest konkretna, możliwa do sprawdzenia i oparta na danych wywiadowczych o zagrożeniach. Należy zacząć od technik ATT&CK używanych przez grupy zagrożeń atakujące dany sektor albo od niedawnych raportów threat intelligence dotyczących kampanii.

# Hypothesis examples:
# "APT28 uses T1547.001 (Registry Run Keys)
#  for persistence — are there unusual Run keys
#  created in the last 30 days?"

# "Ransomware groups enumerate shares before
#  exfiltration — are there spikes in SMB
#  enumeration from internal hosts?"

# Turn each into a SIEM query

Wymagania dotyczące gromadzenia danych

Threat hunting wymaga bogatej telemetrii. Minimalny zestaw źródeł danych obejmuje: dzienniki tworzenia procesów (Sysmon Event 1), połączenia sieciowe (Sysmon Event 3), rejestrowanie bloków skryptów PowerShell (Event 4104) oraz dzienniki zapytań DNS.

Hunting: wykrywanie Living-Off-the-Land

Podmioty atakujące używają wbudowanych narzędzi (LOLBins), aby uniknąć umieszczania własnego złośliwego oprogramowania. Należy szukać: pobierania plików przez certutil, wykonywania skryptów przez mshta, uruchamiania obiektów COM przez regsvr32 oraz uruchamiania JavaScript przez wscript.

# Splunk hunt: certutil download
index=sysmon EventCode=1 Image="*certutil*"
  (CommandLine="*urlcache*" OR CommandLine="*decode*")
| table _time, host, user, CommandLine

# Hunt: mshta executing remote scripts
index=sysmon EventCode=1 Image="*mshta*"
  CommandLine="*http*"
| table _time, host, CommandLine

Hunting: nadużywanie PowerShell

Złośliwe skrypty PowerShell są szyfrowane, pobierają dane z Internetu i wyłączają funkcje bezpieczeństwa. Należy szukać poleceń zakodowanych w base64, pobierania danych z adresów URL spoza organizacji oraz mechanizmów omijania AMSI.

# Encoded PowerShell detection
index=sysmon EventCode=1 Image="*powershell*"
  CommandLine="*-EncodedCommand*" OR
  CommandLine="*-enc *" OR
  CommandLine="*-e *"
| eval decoded=base64decode(mvindex(split(CommandLine,"-enc "),1))
| table _time, host, user, decoded

Hunting: mechanizmy utrwalania dostępu

Atakujący instalują mechanizmy utrwalania dostępu, aby zachować dostęp po ponownym uruchomieniu systemu. Należy szukać: nowych zadań zaplanowanych (Event 4698), nowych usług (Event 7045), zmodyfikowanych kluczy Run w rejestrze oraz nowych elementów w folderach autostartu.

# New scheduled tasks
index=security EventCode=4698
| table _time, host, user, TaskName, TaskContent

# Sysmon registry persistence
index=sysmon EventCode=13
  TargetObject="*\\CurrentVersion\\Run*"
| table _time, host, user, TargetObject, Details

Hunting: przemieszczanie się w sieci

Przemieszczanie się w sieci pozostawia ślady: nowe połączenia SMB z udziałami administracyjnymi, nietypowe tworzenie procesów WMI, instalowanie usług przez PsExec oraz logowania z użyciem jawnie podanych danych uwierzytelniających do nowych hostów.

Hunting: sygnalizacja C2

Ruch C2 często wysyła sygnały w regularnych odstępach. Należy szukać: regularnych połączeń wychodzących w stałych odstępach czasu, połączeń z niedawno zarejestrowanymi domenami oraz nazw domen o wysokiej entropii (DGA).

# Beaconing detection in Splunk
index=proxy
| timechart span=1m count by dest
| eventstats stdev(count) as stddev, avg(count) as avg by dest
| where stddev < 2  # Very regular = low variance
| sort -count

Dokumentowanie wyników threat huntingu

Należy dokumentować każde działanie threat huntingu: hipotezę, użyte źródła danych, wykonane zapytania, ustalenia oraz sposób zakończenia (potwierdzone zagrożenie / brak dowodów / utworzono nową regułę wykrywania). Ta wiedza rozbudowuje bibliotekę mechanizmów wykrywania zespołu.

Przekształcanie huntingu w mechanizmy wykrywania

Udany proces threat huntingu, w którym wykryto wzorzec ataku, powinien zostać przekształcony w automatyczną regułę wykrywania. Z czasem threat hunting stale zwiększa zakres automatycznego wykrywania, ograniczając obciążenie związane z ręcznym wyszukiwaniem.

Model dojrzałości threat huntingu

Organizacje przechodzą przez kolejne poziomy dojrzałości threat huntingu: poziom 0 (reaktywny, bez huntingu), poziom 1 (oparty na hipotezach), poziom 2 (zasilany danymi threat intelligence), poziom 3 (zautomatyzowana analiza danych), poziom 4 (zautomatyzowany hunting na dużą skalę).

Szybkie sprawdzenie

Co odróżnia threat hunting od automatycznego generowania alertów przez SIEM?

Podsumowanie: threat hunting

Threat hunting wypełnia lukę między automatycznym wykrywaniem a zaawansowanymi atakującymi, którzy omijają alerty. Należy zaczynać od hipotez opartych na danych wywiadowczych o zagrożeniach, systematycznie przeszukiwać dzienniki tworzenia procesów, sieci i rejestru oraz przekształcać ustalenia w reguły automatyczne. Z czasem threat hunting stale podnosi podstawowy poziom wykrywania, umożliwiając wcześniejsze wykrywanie atakujących w łańcuchu cyberataku, zanim osiągną swoje cele.

Często zadawane pytania

Czy lekcja „Operacjonalizacja wywiadu: threat hunting” jest bezpłatna?

Tak — pełny tekst „Operacjonalizacja wywiadu: threat hunting” jest dostępny za darmo tutaj w sieci. Aby ćwiczyć ją interaktywnie (wbudowany edytor kodu i tutor AI dostępny 24/7) i odblokować resztę kursu Cyber Security Academy, przejdź na CoddyKit PRO. Kurs Cyber Security Academy zawiera 4 lekcji w sumie.

Co nauczysz się w „Operacjonalizacja wywiadu: threat hunting”?

Wykorzystają Państwo threat intelligence do formułowania hipotez i wyszukiwania aktywności atakujących w swoim środowisku. Ćwiczysz Cyber Security Academy z praktycznym kodem, który uruchamiasz bezpośrednio w przeglądarce, a tutor AI dostępny 24/7 odpowiada na Twoje pytania podczas pracy nad lekcją.

Czy potrzebuję doświadczenia, aby zacząć Cyber Security Academy?

Nie wymagamy żadnego doświadczenia. Cyber Security Academy w CoddyKit jest strukturyzowany dla początkujących i zaawansowanych użytkowników, więc możesz zacząć tutaj lub od początku i uczyć się w swoim tempie. To lekcja 4 z 4.

Ile czasu zajmuje lekcja „Operacjonalizacja wywiadu: threat hunting”?

Większość lekcji CoddyKit trwa około 5–10 minut. Każda lekcja to mały, interaktywny krok, dzięki czemu robisz systematyczne postępy i zawsze wracasz dokładnie do tego samego miejsca — na webie i w aplikacji.

Czy mogę pisać i uruchamiać kod w tej lekcji Cyber Security Academy?

Tak. Każda lekcja Cyber Security Academy zawiera wbudowany edytor kodu, więc piszesz i uruchamiasz prawdziwy kod bezpośrednio w przeglądarce i od razu otrzymujesz sprzężenie zwrotne od AI — bez konfiguracji na komputerze.

Wszystkie lekcje w tym kursie

  1. Rodzaje i źródła threat intelligence
  2. Struktura MITRE ATT&CK
  3. STIX, TAXII i współdzielenie informacji o zagrożeniach
  4. Operacjonalizacja wywiadu: threat hunting
← Powrót do Cyber Security Academy