Podejście do threat huntingu

Threat hunting to proaktywne wyszukiwanie atakujących, którzy uniknęli automatycznych zabezpieczeń. Zamiast czekać na alert, osoba prowadząca hunting sama poszukuje zagrożenia.

Zakłada się, że naruszenie mogło już nastąpić, i podejmuje się działania w celu jego potwierdzenia lub wykluczenia.

Tradycyjne zabezpieczenia działają reaktywnie: narzędzia generują alerty, a analitycy na nie odpowiadają. Hunting jest proaktywny: ludzie szukają zagrożeń, których nie wykrył żaden alert.

• Reaktywne: najpierw pojawia się alert, a potem przeprowadza się analizę.
• Proaktywne: najpierw prowadzi się analizę, a dopiero potem można znaleźć zagrożenie.

Podstawowa zmiana sposobu myślenia polega na założeniu, że doszło do naruszenia. Zamiast pytać „czy jesteśmy bezpieczni?”, osoba prowadząca hunting pyta: „gdzie w tej chwili ukrywa się atakujący?”.

Taki sposób myślenia skłania do szukania śladów tam, gdzie zabezpieczenia są najsłabsze.

Automatyczne wykrywanie rozpoznaje znane wzorce. Doświadczeni atakujący używają nowatorskich technik, narzędzi living-off-the-land oraz powolnych, cichych działań, których nie wykrywa żadna sygnatura.

Ludzie znajdują to, czego maszyn nigdy nie nauczono szukać.

Osoby prowadzące hunting szukają wskaźników kompromitacji (IOCs), czyli artefaktów sugerujących włamanie.

• Nietypowe połączenia wychodzące.
• Nowe zadania zaplanowane lub usługi.
• Podejrzane łańcuchy procesów nadrzędnych i podrzędnych.
• Nieoczekiwane tworzenie kont.

IOCs (zły hash, znany złośliwy adres IP) można łatwo ominąć, zmieniając je. Zachowania (TTP) są trudniejsze do zmodyfikowania przez atakującego.

Doświadczeni analitycy threat huntingu koncentrują się na zachowaniu, a nie tylko na wymiennych wskaźnikach.

Piramida bólu porządkuje wskaźniki według tego, jak dotkliwe dla atakującego jest ich wykrycie.

Hashy można łatwo zmienić, natomiast TTP są dla atakującego bolesne. Należy celować wysoko w piramidzie.

Dobrzy analitycy threat huntingu są dociekliwi i sceptyczni. Pytają, dlaczego proces działa nietypowo, i nie uznają, że „to zapewne nic”, dopóki tego nie sprawdzą.

To konsekwentne zadawanie pytań pozwala ujawniać skryte włamania.

Nie można prowadzić threat huntingu w środowisku, którego się nie rozumie. Najpierw należy zinwentaryzować zasoby, typowe procesy i oczekiwane przepływy sieciowe.

Punkt odniesienia dla normalnego działania pozwala natychmiast zauważyć anomalie, podobnie jak w analizie ruchu.

Threat hunting ma charakter iteracyjny: należy sformułować założenie, zebrać dane, przeanalizować je i wykorzystać zdobytą wiedzę do ulepszania mechanizmów detekcji.

Nawet threat hunting, podczas którego niczego nie wykryto, poprawia widoczność i prowadzi do utworzenia nowych zautomatyzowanych reguł.

Pomyślny threat hunting nie wymaga wykrycia atakującego. Prawidłowymi rezultatami są między innymi potwierdzone włamanie, nowa reguła detekcji lub lepszy wgląd w niedostrzegany dotąd obszar.

Nawet threat hunting bez wykrycia zagrożenia nadal przynosi wartość.

Poznali Państwo sposób myślenia właściwy dla threat huntingu.

• Threat hunting jest proaktywny: zakłada, że doszło do włamania, i aktywnie go poszukuje.
• Automatyzacja nie wykrywa nowych i skrytych technik.
• Należy koncentrować się na zachowaniach i TTP, a nie tylko na wymiennych wskaźnikach IOC.
• Piramida bólu: należy celować wysoko, aby utrudnić życie atakującemu.
• Należy znać swoje środowisko; nawet threat hunting bez wykrycia zagrożenia przynosi wartość.

Następnie poznają Państwo threat hunting oparty na hipotezach.