Анализ поведения злоумышленников

Главный результат киберобмана — разведывательная информация. Наблюдая за тем, как атакующие взаимодействуют с приманками, специалисты по защите узнают тактики, техники и процедуры (ТТП) и превращают эти знания в более надёжную защиту.

Журналы приманок раскрывают подробности:

• Исходные IP и инфраструктура.
• Введённые учётные данные и команды.
• Использованные инструменты и средства эксплуатации уязвимостей.
• Время и последовательность действий.

Система MITRE ATT&CK каталогизирует тактики и техники противников. Сопоставление наблюдаемой активности приманки с ATT&CK превращает необработанные журналы в структурированный профиль атакующего и показывает, какие средства защиты необходимо усилить.

Поведение указывает на цели:

• Широкое сканирование говорит о случайных автоматизированных атаках.
• Целенаправленный поиск сведений о конкретных ресурсах указывает на сознательно действующего противника.
• Поиск данных может свидетельствовать о намерении вывести их наружу.

Признаки помогают отличить автоматизированных атакующих от людей:

• Автоматические программы: мгновенные, однообразные и предсказуемые последовательности команд.
• Люди: паузы, опечатки, исследовательское и адаптивное поведение.

Понимание того, с кем вы столкнулись, определяет дальнейшие действия.

Приманки с высоким уровнем взаимодействия часто захватывают вредоносные программы, которые оставляет атакующий. Анализ этих образцов (в изолированной среде) раскрывает полезную нагрузку, серверы управления и контроля и методы закрепления, которые можно заблокировать в других местах.

Извлекайте ИОК из наблюдаемой активности:

• Вредоносные IP и домены.
• Хэши файлов.
• Сигнатуры инструментов и шаблоны команд.

Передавайте ИОК в межсетевые экраны, EDR и SIEM, чтобы блокировать того же злоумышленника в реальных системах.

Полученные знания могут помочь другим. Обмен анонимизированными ИОК и ТТП через доверенные сообщества (отраслевые центры обмена информацией и платформы разведывательной информации об угрозах) укрепляет коллективную защиту от общих противников.

Замкните цикл. Используйте результаты работы приманок, чтобы:

• Устранить в рабочей среде использованные уязвимости.
• Ужесточить правила обнаружения с учётом наблюдаемых методов.
• Добавить ИОК атакующего в списки блокировки.

Интерпретируйте данные осторожно:

• Исходные IP часто принадлежат прокси-серверам или виртуальным частным сетям, а не указывают на настоящий источник.
• Атакующие могут оставлять намеренно вводящие в заблуждение следы.
• Одна приманка даёт узкий взгляд на происходящее; сопоставляйте её данные с другой информацией.

Разведывательная информация ценна только тогда, когда на её основе предпринимаются действия. Выработайте постоянный порядок работы: собирайте данные приманок, анализируйте и сопоставляйте их, извлекайте ИОК и обновляйте защиту, чтобы каждая атака на ловушку усложняла взлом реальной среды.

Анализ поведения атакующих превращает ловушки в источник разведывательной информации:

• Приманки фиксируют IP, учётные данные, команды, инструменты и вредоносные программы.
• Сопоставляйте активность с MITRE ATT&CK и определяйте намерения.
• Извлекайте ИОК и обменивайтесь разведывательной информацией об угрозах.
• Замыкайте цикл, усиливая реальную защиту на основе полученных знаний.