Образ мышления охотника за угрозами

Поиск угроз — это проактивный поиск атакующих, которым удалось обойти автоматизированные средства защиты. Вместо ожидания оповещения специалист сам ищет угрозы.

Предполагается, что проникновение уже могло произойти, и предпринимаются попытки подтвердить или опровергнуть это.

Традиционная защита носит реактивный характер: инструменты создают оповещения, а аналитики реагируют на них. Поиск угроз носит проактивный характер: специалисты ищут угрозы, которые не обнаружило ни одно оповещение.

• Реактивный подход: сначала приходит оповещение, затем проводится расследование.
• Проактивный подход: сначала проводится расследование, и лишь затем, возможно, обнаруживается угроза.

Главное изменение мышления — исходить из того, что взлом уже произошёл. Вместо вопроса «защищены ли мы?» специалист спрашивает: «где прямо сейчас скрывается атакующий?»

Такой подход побуждает искать проблемы там, где защита наиболее слаба.

Автоматизированное обнаружение выявляет известные шаблоны. Опытные атакующие используют новые методы, штатные средства системы и медленные, незаметные действия, которые не отмечает ни одна сигнатура.

Люди находят то, что машинам никогда не поручали искать.

Специалисты по поиску угроз ищут индикаторы компрометации (ИОК): артефакты, указывающие на вторжение.

• Необычные исходящие соединения.
• Новые запланированные задачи или службы.
• Подозрительные цепочки процессов «родитель–потомок».
• Неожиданное создание учётных записей.

Индикаторы компрометации (вредоносный хеш, заведомо вредоносный IP) легко обойти, изменив их. Поведение (тактики, техники и процедуры) злоумышленнику изменить гораздо сложнее.

Зрелый поиск угроз сосредоточен на поведении, а не только на заменяемых индикаторах.

Пирамида боли ранжирует индикаторы по тому, насколько сильно обнаружение каждого из них затрудняет жизнь злоумышленнику.

Хеши легко изменить, а тактики, техники и процедуры требуют значительных усилий. Стремитесь работать на верхних уровнях пирамиды.

Хорошие специалисты по поиску угроз любознательны и скептичны. Они выясняют, почему процесс ведёт себя необычно, и не принимают объяснение «скорее всего, ничего» без проверки.

Именно такая настойчивая проверка помогает обнаружить скрытные вторжения.

Невозможно искать угрозы в среде, которую вы не понимаете. Сначала составьте карту своих активов, штатных процессов и ожидаемых сетевых потоков.

Базовое представление о норме позволяет сразу заметить отклонения — так же, как при анализе трафика.

Поиск угроз выполняется итеративно: сформулируйте идею, соберите данные, проанализируйте их и используйте полученные знания для улучшения средств обнаружения.

Даже поиск, не выявивший угроз, улучшает вашу видимость и позволяет создать новые автоматические правила.

Успешный поиск угроз не обязательно должен выявить злоумышленника. Допустимые результаты включают подтверждённое вторжение, новое правило обнаружения или улучшенную видимость ранее не просматривавшегося участка.

Даже поиск, не выявивший угроз, приносит пользу.

Вы изучили подход к поиску угроз.

• Поиск угроз носит проактивный характер: он предполагает, что взлом уже произошёл, и целенаправленно ищет его признаки.
• Автоматизация не обнаруживает новые и скрытные методы.
• Сосредоточьтесь на поведении, тактиках, техниках и процедурах, а не только на заменяемых индикаторах компрометации.
• Пирамида боли: работайте на верхних уровнях, чтобы усложнить жизнь злоумышленнику.
• Знайте свою среду: даже поиск, не выявивший угроз, приносит пользу.

Далее вы изучите поиск угроз на основе гипотез.