Korzystanie z logów i telemetrii

Skuteczność threat huntingu zależy od stojących za nim danych. Logi i telemetria tworzą ślad dowodowy pozostawiany przez atakujących w całym środowisku.

W tej lekcji omówiono najważniejsze źródła danych oraz sposoby prowadzenia threat huntingu w wielu źródłach.

Dane z punktów końcowych są najbogatszym źródłem informacji. Narzędzia takie jak EDR i Sysmon rejestrują tworzenie procesów, wiersze poleceń, zapis plików i zmiany w rejestrze.

Większość współczesnych ataków dotyka punktu końcowego, dlatego właśnie od tego miejsca często rozpoczyna się threat hunting.

Dane sieciowe pokazują, z jakimi systemami łączą się hosty. Logi zapór sieciowych, serwerów proxy i DNS oraz dane Zeek ujawniają beaconing, eksfiltrację i ruch boczny.

Uzupełniają one dane z punktów końcowych, pokazując stronę komunikacyjną ataku.

Logi uwierzytelniania pokazują, w jaki sposób używane są konta. Należy szukać logowań o nietypowych porach, z nowych lokalizacji lub wzorców, w których po nieudanych próbach następuje udane logowanie.

Kluczowe znaczenie mają tu identyfikatory zdarzeń Windows i logi katalogowe.

Współczesne środowiska generują logi chmurowe: aktywność API, logowania tożsamości i zmiany konfiguracji.

Należy szukać nowych kluczy dostępu, wyłączonego rejestrowania lub nietypowych administracyjnych wywołań API.

SIEM zbiera logi z całego środowiska w jednym miejscu, które można przeszukiwać. Threat hunting w wielu źródłach jest praktyczny tylko wtedy, gdy dane są scentralizowane.

Splunk, Elastic i Sentinel to popularne platformy.

Różne źródła stosują różne nazwy pól. Normalizacja odwzorowuje je na wspólny schemat, dzięki czemu jedno zapytanie może obejmować wiele źródeł.

Bez niej trzeba pisać nowe zapytanie dla każdego formatu logów.

Prawdziwa siła tkwi w korelacji: należy powiązać proces punktu końcowego z połączeniem sieciowym i zdarzeniem uwierzytelniania dla tego samego hosta i momentu.

Jedno źródło wzbudza podejrzenia, a trzy źródła razem budują spójną sprawę.

Trzeba wiedzieć, czego się nie rejestruje. Atakujący dobrze wykorzystują niedostrzegane obszary: hosty bez rejestrowania, wyłączony audyt wiersza poleceń lub krótki czas przechowywania logów.

Samo zidentyfikowanie luk jest wartościowym rezultatem threat huntingu.

Logów jest bardzo dużo, a pojemność pamięci masowej jest ograniczona. Należy wyważyć retencję i koszty, aby w chwili prowadzenia threat huntingu dane nadal były dostępne.

Atak wykryty dzisiaj mógł rozpocząć się kilka miesięcy temu; krótka retencja ukrywa jego początek.

Gdy threat hunting w logach ujawni technikę, należy zapisać ją jako regułę detekcji, aby SIEM automatycznie wykrył ją następnym razem.

W ten sposób ręczny threat hunting stale wzmacnia zautomatyzowaną ochronę.

Sprawdź swoją znajomość logów i telemetrii.

Poznali Państwo sposoby prowadzenia threat huntingu w logach i telemetrii.

• Dane z punktów końcowych (procesy, wiersz poleceń) są najbogatszym źródłem informacji.
• Logi sieciowe, uwierzytelniania i chmurowe dostarczają dodatkowego kontekstu.
• SIEM centralizuje dane, a normalizacja umożliwia wykonywanie zapytań w wielu źródłach.
• Należy korelować źródła, aby tworzyć solidne tropy.
• Trzeba uwzględniać luki w rejestrowaniu i retencję oraz przekształcać ustalenia w mechanizmy detekcji.

Następnie będą Państwo mapować ustalenia na MITRE ATT&CK.