Tips Terbaik untuk Threat Intelligence

Banyak orang mengatakan bahwa threat intelligence (TI) terasa enak, tetapi sedikit yang memahami cara memasaknya. Bahkan lebih sedikit lagi yang tahu proses apa yang harus dijalankan agar TI dapat bekerja dan menghasilkan keuntungan. Selain itu, sangat sedikit orang yang tahu cara memilih penyedia feed, di mana memeriksa indikator positif palsu, dan apakah layak untuk memblokir domain yang dikirim oleh rekan Anda melalui WhatsApp.

Kami memiliki dua langganan APT komersial, sepuluh pertukaran informasi, sekitar selusin feed gratis, dan daftar node keluar TOR yang luas. Kami juga menggunakan beberapa reverser yang kuat, skrip Powershell yang hebat, scanner Loki, dan langganan VirusTotal yang berbayar. Tidak berarti pusat respons insiden keamanan tidak akan bekerja tanpa semua ini, tetapi jika Anda ingin menangkap serangan yang kompleks, Anda harus melakukan semua yang diperlukan.

Apa yang sangat memprihatinkan saya adalah potensi otomatisasi pemeriksaan indikator kompromi (IOCs). Tidak ada yang lebih tidak bermoral daripada kecerdasan buatan menggantikan manusia dalam aktivitas yang memerlukan pemikiran. Namun, saya menyadari bahwa perusahaan saya akan menghadapi tantangan tersebut lebih cepat atau lambat karena jumlah pelanggan kami yang terus bertambah.

Setelah beberapa tahun melakukan aktivitas TI secara terus-menerus, saya telah mengalami banyak kesalahan dan ingin memberikan beberapa tips yang dapat membantu pemula menghindari kesalahan umum.

Tip 1. Jangan terlalu berharap pada penangkapan dengan hash: sebagian besar malware adalah polimorfik saat ini

Data threat intelligence datang dalam berbagai format dan manifestasi. Ini dapat mencakup alamat IP pusat komando dan kontrol botnet, alamat email yang terlibat dalam kampanye phishing, dan artikel tentang teknik penghindaran yang digunakan oleh grup APT. Singkatnya, ini dapat berupa hal-hal yang berbeda.

Untuk mengatur kekacauan ini, David Bianco menyarankan menggunakan apa yang disebut Pyramid of Pain. Ini menjelaskan korelasi antara indikator yang berbeda yang digunakan untuk mendeteksi penyerang dan jumlah “nyeri” yang akan Anda timbulkan pada penyerang jika Anda mengidentifikasi IOC tertentu.

Sebagai contoh, jika Anda mengetahui hash MD5 dari file berbahaya, itu dapat dideteksi dengan mudah dan akurat. Namun, itu tidak akan menyebabkan banyak neri pada penyerang karena menambahkan hanya 1 bit informasi ke file tersebut akan mengubah hashnya secara keseluruhan.

Tip 2. Coba menggunakan indikator yang penyerang temukan sulit atau mahal untuk diubah

Memprediksi pertanyaan tentang bagaimana mengetahui apakah file dengan hash tertentu ada di jaringan perusahaan, saya akan mengatakan hal berikut: ada beberapa cara. Salah satu metode termudah adalah menggunakan solusi yang memelihara database hash MD5 dari semua file executable di perusahaan.

Mari kita kembali ke Pyramid of Pain. Sebaliknya dengan deteksi oleh nilai hash, lebih produktif untuk mengidentifikasi TTP (taktik, teknik, dan prosedur) penyerang. Ini lebih sulit dilakukan dan memerlukan upaya lebih, tetapi Anda akan menimbulkan lebih banyak neri pada lawan.

Sebagai contoh, jika Anda mengetahui bahwa kru APT yang menargetkan sektor ekonomi Anda mengirim email phishing dengan file *.HTA, maka membuat aturan deteksi yang mencari lampiran email tersebut akan mengenai penyerang di bawah sabuk. Mereka harus memodifikasi taktik spamming dan mungkin bahkan menghabiskan uang untuk membeli eksploitasi 0-hari atau 1-hari yang tidak murah.

Tip 3. Jangan terlalu berharap pada aturan deteksi yang dibuat oleh orang lain, karena Anda harus memeriksa aturan tersebut untuk positif palsu dan menyetelnya

Ketika Anda mulai membuat aturan deteksi, ada godaan untuk menggunakan aturan yang sudah ada. Sigma adalah contoh repositori gratis. Ini adalah format SIEM-independen dari metode deteksi yang memungkinkan Anda menerjemahkan aturan dari bahasa Sigma ke ElasticSearch serta aturan Splunk atau ArcSight. Repositori ini mencakup ratusan aturan. Ini tampak seperti hal yang hebat, tetapi setan, seperti biasa, ada di detail.

Mari kita lihat satu aturan deteksi mimikatz. Aturan ini mendeteksi proses yang mencoba membaca memori proses lsass.exe. Mimikatz melakukan ini ketika mencoba mendapatkan hash NTLM, dan aturan tersebut akan mengidentifikasi malware.

Namun, ini sangat penting bagi kami – para ahli yang tidak hanya mendeteksi tetapi juga merespons insiden – untuk memastikan bahwa itu benar-benar seorang aktor jahat. Sayangnya, ada banyak proses yang sah yang membaca memori lsass.exe (misalnya, beberapa alat antivirus). Oleh karena itu, dalam skenario dunia nyata, aturan seperti itu akan menyebabkan lebih banyak positif palsu daripada manfaat.

Saya tidak ingin menuduh siapa pun dalam hal ini – semua solusi menghasilkan positif palsu; itu normal. Namun, spesialis threat intelligence perlu memahami bahwa memeriksa dan menyetel aturan yang diperoleh dari sumber terbuka dan tertutup masih diperlukan.

Tip 4. Periksa nama domain dan alamat IP untuk perilaku berbahaya tidak hanya di server proksi dan firewall tetapi juga di log server DNS – dan pastikan untuk fokus pada upaya resolusi yang berhasil dan gagal

Nama domain dan alamat IP yang berbahaya adalah indikator yang optimal dari perspektif kemudahan deteksi dan jumlah neri yang Anda timbulkan pada penyerang. Namun, mereka tampaknya mudah ditangani hanya pada pandangan pertama. Setidaknya, Anda harus bertanya pada diri sendiri di mana memperoleh log domain.

Jika Anda membatasi pekerjaan Anda untuk memeriksa log server proksi saja, Anda dapat melewatkan kode berbahaya yang mencoba menghubungi jaringan secara langsung atau meminta domain yang tidak ada yang dihasilkan dengan DGA, tidak menyebutkan tunneling DNS – tidak ada yang terdaftar di log server proksi perusahaan. Penjahat juga dapat menggunakan layanan VPN dengan fitur canggih atau membuat terowongan khusus.

Tip 5. Monitor atau blokir – putuskan mana yang harus dipilih hanya setelah mengetahui jenis indikator yang ditemukan dan mengakui konsekuensi yang mungkin dari pemblokiran

Setiap ahli keamanan IT telah menghadapi dilema yang tidak trivial: untuk memblokir ancaman atau memantau perilakunya dan memulai penyelidikan ketika itu memicu peringatan. Beberapa instruksi secara jelas mendorong Anda untuk memilih pemblokiran, tetapi terkadang melakukan hal itu adalah kesalahan.

Jika indikator kompromi adalah nama domain yang digunakan oleh grup APT, jangan memblokirnya – mulailah memantau saja. Taktik saat ini untuk melakukan serangan yang ditargetkan menganggap adanya saluran koneksi rahasia tambahan seperti, misalnya, aplikasi pelacakan seluler yang hanya dapat ditemukan melalui analisis mendalam. Pemblokiran otomatis akan mencegah Anda menemukan saluran tersebut dalam skenario ini; selain itu, lawan akan segera menyadari bahwa Anda telah memperhatikan ulah mereka.

Di sisi lain, jika IOC adalah domain yang digunakan oleh crypto-ransomware, sebaiknya diblokir segera. Tetapi jangan lupa untuk memantau semua upaya gagal untuk menghubungi domain yang diblokir – konfigurasi encoder berbahaya mungkin mencakup beberapa URL server perintah dan kontrol. Beberapa di antaranya mungkin tidak ada dalam feed dan oleh karena itu tidak akan diblokir. Lebih cepat atau lambat, infeksi akan mencapai mereka untuk mendapatkan kunci enkripsi yang akan segera digunakan untuk mengenkripsi host. Satu-satunya cara yang dapat diandalkan untuk memastikan Anda telah memblokir semua server perintah dan kontrol adalah dengan membalik sampel.

Tip 6. Periksa semua indikator baru untuk relevansi sebelum memantau atau memblokirnya

Ingatlah bahwa data ancaman dihasilkan oleh manusia yang rentan terhadap kesalahan, atau oleh algoritma pembelajaran mesin yang tidak sepenuhnya akurat. Saya telah menyaksikan penyedia laporan berbayar tentang aktivitas grup APT secara tidak sengaja menambahkan sampel yang sah ke daftar hash MD5 yang berbahaya. Mengingat laporan ancaman berbayar mengandung IOC yang berkualitas rendah, maka yang diperoleh melalui intelijen sumber terbuka pasti harus diverifikasi untuk relevansi. Analis TI tidak selalu memeriksa indikator mereka untuk positif palsu, yang berarti pelanggan harus melakukan pekerjaan pemeriksaan untuk mereka.

Sebagai contoh, jika Anda telah memperoleh alamat IP yang digunakan oleh iterasi baru TrickBot, sebelum menggunakan itu dalam sistem deteksi Anda, Anda harus memastikan bahwa itu bukan bagian dari layanan hosting atau berasal dari IP Anda. Jika tidak, Anda akan mengalami kesulitan dengan banyak positif palsu setiap kali pengguna yang mengunjungi situs yang berada di platform hosting tersebut mengunjungi halaman web yang sepenuhnya tidak berbahaya.

Tip 7. Otomatiskan semua alur kerja data ancaman secara maksimal. Mulailah dengan mengotomatiskan pemeriksaan positif palsu melalui daftar peringatan sambil menginstruksikan SIEM untuk memantau IOC yang tidak memicu positif palsu

Untuk menghindari sejumlah besar positif palsu yang terkait dengan intelijen dan diperoleh dari sumber terbuka, Anda dapat menjalankan pencarian awal untuk indikator tersebut dalam daftar peringatan. Untuk membuat daftar ini, Anda dapat menggunakan 1000 situs web teratas berdasarkan lalu lintas, alamat subnet internal, serta domain yang digunakan oleh penyedia layanan besar seperti Google (GOOGL ), Amazon (AMZN ) AWS, MS Azure, dan lain-lain. Ini juga ide yang bagus untuk mengimplementasikan solusi yang mengubah daftar peringatan secara dinamis yang terdiri dari domain / alamat IP teratas yang diakses oleh karyawan perusahaan selama minggu atau bulan terakhir.

Membuat daftar peringatan ini dapat menjadi masalah bagi SOC ukuran menengah, sehingga masuk akal untuk mempertimbangkan untuk mengadopsi platform intelijen ancaman.

Tip 8. Pindai seluruh perusahaan untuk indikator host, tidak hanya host yang terhubung ke SIEM

Sebagai aturan, tidak semua host di perusahaan terhubung ke SIEM. Oleh karena itu, tidak mungkin untuk memeriksa mereka untuk file berbahaya dengan nama atau jalur tertentu hanya dengan menggunakan fungsionalitas SIEM standar. Anda dapat mengatasi masalah ini dengan cara-cara berikut:

1. Gunakan pemindai IOC seperti Loki. Anda dapat menggunakan SCCM untuk meluncurkannya di semua host perusahaan dan kemudian meneruskan hasilnya ke folder jaringan yang dibagikan.
2. Gunakan pemindai kerentanan. Beberapa di antaranya memiliki mode kepatuhan yang memungkinkan Anda memeriksa jaringan untuk file tertentu di jalur tertentu.
3. Tulis skrip Powershell dan jalankan melalui WinRM.

Seperti yang disebutkan di atas, artikel ini tidak dimaksudkan untuk menjadi basis pengetahuan yang komprehensif tentang cara melakukan threat intelligence dengan benar. Namun, berdasarkan pengalaman kami, mengikuti aturan sederhana ini akan memungkinkan pemula untuk menghindari kesalahan kritis saat menangani indikator kompromi yang berbeda.