Bedrohungs-Intelligenz-Best-Practice-Tipps

Viele Menschen sagen, dass Bedrohungs-Intelligenz (TI) gut schmeckt, aber nur wenige verstehen, wie man sie zubereitet. Es gibt noch weniger Menschen, die wissen, welche Prozesse man einsetzen muss, damit TI funktioniert und Profit bringt. Darüber hinaus gibt es nur eine vernachlässigbare Anzahl von Menschen, die wissen, wie man einen Feed-Provider auswählt, wo man den Falsch-Positiv-Indikator überprüft und ob es sich lohnt, eine Domain zu blockieren, die ein Kollege über WhatsApp geschickt hat.

Wir hatten zwei kommerzielle APT-Abonnements, zehn Informationsaustausche, etwa ein Dutzend kostenlose Feeds und eine umfangreiche Liste von TOR-Exit-Knoten. Wir verwendeten auch ein paar leistungsstarke Reverser, Master-Powershell-Skripte, einen Loki-Scanner und ein bezahltes VirusTotal-Abonnement. Nicht, dass ein Sicherheits-Vorfall-Response-Center nicht ohne all diese funktionieren würde, aber wenn man komplexe Angriffe abfangen will, muss man alles geben.

Was mich besonders beschäftigte, war die potenzielle Automatisierung der Überprüfung von Indikatoren für Kompromisse (IOCs). Es gibt nichts so Unmoralisches wie künstliche Intelligenz, die einen Menschen in einer Tätigkeit ersetzt, die Nachdenken erfordert. Allerdings wurde mir klar, dass mein Unternehmen früher oder später auf diese Herausforderung stoßen würde, da die Anzahl unserer Kunden stieg.

Während meiner mehrjährigen permanenten TI-Aktivität bin ich auf eine Menge von Stolpersteinen gestoßen und würde gerne einige Tipps anbieten, die es Anfängern ermöglichen, häufige Fehler zu vermeiden.

Tipp 1. Setzen Sie nicht zu viele Hoffnungen auf das Fangen von Dingen durch Hashes: Die meisten Malware ist heutzutage polymorph

Bedrohungs-Intelligenz-Daten kommen in verschiedenen Formaten und Manifestationen vor. Sie können IP-Adressen von Botnet-Command-und-Control-Zentren, E-Mail-Adressen, die in Phishing-Kampagnen involviert sind, und Artikel über Ausweichtechniken, die APT-Gruppen bald einsetzen werden, umfassen. Kurz gesagt, es kann sich um verschiedene Dinge handeln.

Um dieses ganze Durcheinander zu ordnen, schlug David Bianco vor, das sogenannte Pyramid-of-Pain-Modell zu verwenden. Es beschreibt eine Korrelation zwischen den verschiedenen Indikatoren, die Sie verwenden, um einen Angreifer zu erkennen, und der Menge an “Schmerz”, die Sie dem Angreifer zufügen, wenn Sie einen bestimmten IOC identifizieren.

Wenn Sie beispielsweise den MD5-Hash der schädlichen Datei kennen, kann diese leicht und genau erkannt werden. Allerdings wird dies dem Angreifer nicht viel Schmerz zufügen, da die Hinzufügung von nur 1 Bit an Informationen zu dieser Datei den Hash vollständig ändern wird.

Tipp 2. Versuchen Sie, die Indikatoren zu verwenden, die der Angreifer technisch kompliziert oder teuer zu ändern findet

Wenn ich die Frage beantworte, wie man herausfindet, ob eine Datei mit einem bestimmten Hash in unserem Unternehmensnetzwerk existiert, sage ich Folgendes: Es gibt verschiedene Möglichkeiten. Eine der einfachsten Methoden besteht darin, eine Lösung zu verwenden, die eine Datenbank der MD5-Hashes aller ausführbaren Dateien im Unternehmen aufrechterhält.

Lassen Sie uns zum Pyramid-of-Pain-Modell zurückkehren. Im Gegensatz zur Erkennung durch einen Hash-Wert ist es produktiver, die TTP (Taktiken, Techniken und Verfahren) des Angreifers zu identifizieren. Dies ist schwieriger und erfordert mehr Anstrengungen, aber Sie werden dem Gegner mehr Schmerz zufügen.

Wenn Sie beispielsweise wissen, dass die APT-Crew, die Ihren Wirtschaftszweig ins Visier genommen hat, Phishing-E-Mails mit *.HTA-Dateien an Bord sendet, dann wird die Erstellung einer Erkennungsregel, die nach solchen E-Mail-Anhängen sucht, den Angreifer hart treffen. Sie müssen ihre Spam-Taktik ändern und vielleicht sogar Geld für den Kauf von 0-Day- oder 1-Day-Exploits ausgeben, die nicht billig sind.

Tipp 3. Setzen Sie nicht zu viele Hoffnungen auf Erkennungsregeln, die von anderen erstellt wurden, da Sie diese Regeln auf Falsch-Positives überprüfen und fein justieren müssen

Wenn Sie mit der Erstellung von Erkennungsregeln beginnen, gibt es immer die Versuchung, bereits verfügbare Regeln zu verwenden. Sigma ist ein Beispiel für ein kostenloses Repository. Es ist ein SIEM-unabhängiges Format für Erkennungsmethoden, das es ermöglicht, Regeln aus der Sigma-Sprache in ElasticSearch sowie Splunk- oder ArcSight-Regeln zu übersetzen. Das Repository enthält Hunderte von Regeln. Es scheint eine großartige Sache zu sein, aber der Teufel steckt wie immer im Detail.

Lassen Sie uns einen Blick auf eine der Erkennungsregeln für Mimikatz werfen. Diese Regel erkennt Prozesse, die versucht haben, den Speicher des lsass.exe-Prozesses zu lesen. Mimikatz tut dies, wenn es versucht, NTLM-Hashes zu erhalten, und die Regel wird die Malware erkennen.

Es ist jedoch für uns – Experten, die nicht nur erkennen, sondern auch auf Vorfälle reagieren – wichtig, sicherzustellen, dass es sich tatsächlich um einen bösartigen Akteur handelt. Leider gibt es zahlreiche legale Prozesse, die den Speicher von lsass.exe lesen (z. B. einige Antiviren-Tools). Daher wird eine Regel wie diese in einem realen Szenario mehr Falsch-Positives als Vorteile verursachen.

Ich möchte niemanden in dieser Hinsicht anklagen – alle Lösungen generieren Falsch-Positives; das ist normal. Bedrohungs-Intelligenz-Experten müssen jedoch verstehen, dass die Überprüfung und Feinjustierung der Regeln, die aus offenen und geschlossenen Quellen stammen, immer noch notwendig ist.

Tipp 4. Überprüfen Sie Domain-Namen und IP-Adressen auf schädliches Verhalten nicht nur am Proxy-Server und der Firewall, sondern auch in den DNS-Server-Logs – und konzentrieren Sie sich sowohl auf erfolgreiche als auch auf fehlgeschlagene Auflösungsversuche

Schädliche Domain-Namen und IP-Adressen sind aus der Sicht der Erkennungseinfachheit und der Menge an Schmerz, die Sie dem Angreifer zufügen, die optimalen Indikatoren. Allerdings scheinen sie nur auf den ersten Blick einfach zu handhaben. Sie sollten sich zumindest die Frage stellen, wo Sie die Domain-Log erhalten.

Wenn Sie Ihre Arbeit auf die Überprüfung von Proxy-Server-Logs beschränken, können Sie schädlichen Code verpassen, der versucht, das Netzwerk direkt abzufragen oder eine nicht existierende Domain-Name mit DGA zu generieren, um nicht zu erwähnen, DNS-Tunneling – none von diesen wird in den Logs eines Unternehmens-Proxy-Servers aufgeführt. Kriminelle können auch VPN-Dienste mit erweiterten Funktionen verwenden oder benutzerdefinierte Tunnel erstellen.

Tipp 5. Überwachen oder blockieren – entscheiden Sie, welche Option Sie wählen, erst nachdem Sie herausgefunden haben, welche Art von Indikator Sie entdeckt haben und die möglichen Konsequenzen des Blockierens berücksichtigt haben

Jeder IT-Sicherheitsexperte hat ein nicht triviales Dilemma erlebt: Eine Bedrohung blockieren oder ihr Verhalten überwachen und untersuchen, wenn sie Alarm auslöst. Einige Anweisungen ermutigen unmissverständlich dazu, das Blockieren zu wählen, aber manchmal ist dies ein Fehler.

Wenn der Indikator für Kompromisse eine Domain-Name ist, die von einer APT-Gruppe verwendet wird, sollten Sie sie nicht blockieren – stattdessen sollten Sie sie überwachen. Die heutigen Taktiken für gezielte Angriffe gehen von der Anwesenheit eines zusätzlichen geheimen Verbindungskanals aus, wie z. B. Cell-Tracking-Apps, die nur durch eine gründliche Analyse entdeckt werden können. Ein automatisches Blockieren wird Sie daran hindern, diesen Kanal in diesem Szenario zu entdecken; darüber hinaus werden die Gegner schnell erkennen, dass Sie ihre Schliche bemerkt haben.

Andererseits sollte die IOC, wenn es sich um eine Domain handelt, die von Crypto-Ransomware verwendet wird, sofort blockiert werden. Aber vergessen Sie nicht, alle fehlgeschlagenen Versuche, die blockierten Domains abzufragen, zu überwachen – die Konfiguration des schädlichen Encoders kann mehrere Command-and-Control-Server-URLs enthalten. Einige davon können nicht in den Feeds enthalten sein und daher nicht blockiert werden. Irgendwann wird die Infektion diese erreichen, um den Verschlüsselungsschlüssel zu erhalten, der sofort verwendet wird, um den Host zu verschlüsseln. Der einzige zuverlässige Weg, um sicherzustellen, dass Sie alle C&Cs blockiert haben, ist, die Probe umzukehren.

Tipp 6. Überprüfen Sie alle neuen Indikatoren auf Relevanz, bevor Sie sie überwachen oder blockieren

Bedrohungs-Daten werden von Menschen generiert, die anfällig für Fehler sind, oder von maschinellen Lern-Algorithmen, die nicht fehlerfrei sind. Ich habe erlebt, wie verschiedene Anbieter von bezahlten Berichten über die Aktivität von APT-Gruppen versehentlich legale Beispiele in die Listen der schädlichen MD5-Hashes aufgenommen haben. Angesichts der Tatsache, dass sogar bezahlte Bedrohungs-Berichte qualitativ schlechte IOCs enthalten, sollten diejenigen, die über Open-Source-Intelligence stammen, definitiv auf Relevanz geprüft werden. TI-Analysten überprüfen ihre Indikatoren nicht immer auf Falsch-Positives, was bedeutet, dass der Kunde die Überprüfungsarbeit für sie erledigen muss.

Wenn Sie beispielsweise eine IP-Adresse erhalten, die von einer neuen Iteration von TrickBot verwendet wird, sollten Sie, bevor Sie sie in Ihren Erkennungssystemen verwenden, sicherstellen, dass sie nicht Teil eines Hosting-Dienstes ist oder von Ihrer IP stammt. Andernfalls werden Sie Schwierigkeiten haben, zahlreiche Falsch-Positives zu bewältigen, wenn Benutzer, die eine Website auf diesem Hosting-Plattform besuchen, völlig harmlose Webseiten besuchen.

Tipp 7. Automatisieren Sie alle Bedrohungs-Daten-Workflows maximal. Beginnen Sie mit der vollständigen Automatisierung der Falsch-Positiv-Überprüfung über eine Warnliste, während Sie den SIEM anweisen, die IOCs zu überwachen, die keine Falsch-Positives auslösen

Um eine große Anzahl von Falsch-Positiven im Zusammenhang mit Intelligenz und Open-Source-Quellen zu vermeiden, können Sie eine vorläufige Suche nach diesen Indikatoren in Warnlisten durchführen. Um diese Listen zu erstellen, können Sie die Top-1000-Websites nach Traffic, Adressen von internen Subnetzen sowie die Domains, die von großen Dienstleistern wie Google (GOOGL ), Amazon (AMZN ) AWS, MS Azure und anderen verwendet werden, verwenden. Es ist auch eine gute Idee, eine Lösung zu implementieren, die Warnlisten dynamisch ändert, die aus den Top-Domains/IP-Adressen bestehen, die die Mitarbeiter des Unternehmens in den letzten Woche oder Monat abgerufen haben.

Die Erstellung dieser Warnlisten kann für ein mittelständisches SOC problematisch sein, daher ist es sinnvoll, die sogenannten Bedrohungs-Intelligenz-Plattformen in Betracht zu ziehen.

Tipp 8. Scannen Sie das gesamte Unternehmen nach Host-Indikatoren, nicht nur die Hosts, die an den SIEM angeschlossen sind

Als Regel sind nicht alle Hosts in einem Unternehmen an den SIEM angeschlossen. Daher ist es unmöglich, sie nur mit der Standard-SIEM-Funktionalität auf eine schädliche Datei mit einem bestimmten Namen oder Pfad zu überprüfen. Sie können sich um dieses Problem kümmern, indem Sie:

1. Verwenden Sie IOC-Scanner wie Loki. Sie können SCCM verwenden, um es auf allen Unternehmens-Hosts zu starten und die Ergebnisse dann an einen gemeinsamen Netzordner weiterzuleiten.
2. Verwenden Sie Schwachstellen-Scanner. Einige von ihnen haben Compliance-Modi, die es ermöglichen, das Netzwerk auf eine bestimmte Datei in einem bestimmten Pfad zu überprüfen.
3. Schreiben Sie ein Powershell-Skript und führen Sie es über WinRM aus.

Wie oben erwähnt, soll dieser Artikel kein umfassendes Wissensrepository darüber sein, wie man Bedrohungs-Intelligenz richtig macht. Basierend auf unserer Erfahrung jedoch werden diese einfachen Regeln es Anfängern ermöglichen, kritische Fehler zu vermeiden, wenn sie mit verschiedenen Indikatoren für Kompromisse umgehen.