脅威インテリジェンスのベストプラクティス・チップス

多くの人々は脅威インテリジェンス（TI）が美味しいと言いますが、少数の人々だけがそれを調理する方法を理解しています。また、TIが機能し、利益をもたらすためにどのようなプロセスを使用する必要があるかを理解している人はさらに少ないです。さらに、フィードプロバイダーを選択する方法、偽陽性インジケータを確認する場所、同僚がWhatsAppで送信したドメインをブロックする価値があるかどうかを判断する方法を知っている人はほとんどいません。

私たちは、2つの商用APTサブスクリプション、10の情報交換、約12の無料フィード、およびTORエグジットノードの広範なリストを使用しました。また、強力なリバースエンジニアリングツール、PowerShellスクリプト、Lokiスキャナー、および有料のVirusTotalサブスクリプションも使用しました。セキュリティインシデントレスポンスセンターはこれらのツールなしでは機能しませんが、複雑な攻撃を検出するには全てのツールを使用する必要があります。

特に、私が心配していたのは、脅威インデックスの自動化の可能性でした。思考が必要な活動で人間を置き換える人工知能は、非倫理的です。しかし、私の会社は顧客数の増加により、いつかその課題に直面することになることを理解しました。

数年間にわたるTI活動の結果、私は多くの失敗を経験しました。新規参入者が共通の間違いを避けるために役立ついくつかのヒントを提供したいと思います。

ヒント1. ハッシュによる検出に過度の期待をしないでください。ほとんどのマルウェアは現在ポリモルフィックです

脅威インテリジェンスデータは、さまざまな形式と表現で提供されます。ボットネットコマンド＆コントロールセンターのIPアドレス、フィッシングキャンペーンに関与する電子メールアドレス、APTグループが利用しようとしている回避テクニックに関する記事などが含まれます。簡単に言えば、これらは異なるものです。

この混乱を整理するために、David Biancoは、Pyramid of Painと呼ばれるものを使用することを提案しました。これは、攻撃者を検出するために使用するさまざまなインジケータと、特定のIOCを識別した場合に攻撃者に与える「痛み」の量との相関関係を説明しています。

たとえば、悪意のあるファイルのMD5ハッシュを知っている場合、それを簡単に、かつ正確に検出できます。しかし、攻撃者に大きな痛みを与えることはできません。なぜなら、ファイルにわずか1ビットの情報を追加するだけで、そのハッシュを完全に変更できるからです。

ヒント2. 攻撃者が変更するのが技術的に困難または高価なインジケータを使用してみてください

特定のハッシュを持つファイルが企業ネットワーク内に存在するかどうかを調べる方法についての質問に答えるために、次のことを言います。方法はあります。最も簡単な方法の1つは、企業内の実行可能ファイルのMD5ハッシュのデータベースを維持するソリューションを使用することです。

Pyramid of Painに戻りましょう。ハッシュ値による検出とは対照的に、攻撃者のTTP（戦術、技術、手順）を識別することがより生産的です。これはより難しいですが、より多くの努力が必要です。しかし、敵に多くの痛みを与えることができます。

たとえば、貴方の業界を標的とするAPTクルーが*.HTAファイルを添付したフィッシング電子メールを送信していることがわかっている場合、そのような電子メール添付ファイルを検索する検出ルールを作成すると、攻撃者に大きな痛みを与えることができます。彼らはスパム戦術を変更し、0日または1日エクスプロイトを購入する必要がありますが、それらは安くはありません。

ヒント3. 誰かが作成した検出ルールに過度の期待をしないでください。偽陽性を確認し、調整する必要があります

検出ルールを作成する際、利用可能なルールを使用する誘惑があります。Sigmaは、無料のリポジトリの例です。これは、SIEMに依存しない検出方法の形式で、Sigma言語からElasticSearch、Splunk、またはArcSightルールにルールを翻訳することを可能にします。このリポジトリには数百のルールが含まれています。素晴らしいことのように思えますが、悪魔は常に詳細にあります。

たとえば、mimikatz検出ルールの1つを見てみましょう。このルールは、lsass.exeプロセスのメモリを読み取ろうとしたプロセスを検出します。mimikatzはNTLMハッシュを取得しようとするときにこれを行います。このルールはマルウェアを識別します。

しかし、インシデントに応答するだけでなく検出も行う専門家として、私たちが確実に悪意のある行為者であることを確認することが重要です。残念ながら、lsass.exeメモリを読み取る正当なプロセスは数多くあります（例：一部のアンチウイルスツール）。したがって、実際のシナリオでは、このようなルールは利点よりも偽陽性を多く生成します。

私は誰かを非難したいと思っていません。すべてのソリューションは偽陽性を生成します。これは正常です。ただし、脅威インテリジェンス専門家は、オープンソースおよびクローズドソースの両方から取得したルールを二重に確認し、調整する必要があることを理解する必要があります。

ヒント4. プロキシサーバーとファイアウォールだけでなく、DNSサーバーログでドメイン名とIPアドレスの悪意のある動作を確認し、成功および失敗した解決試行に焦点を当ててください

悪意のあるドメイン名とIPアドレスは、検出のシンプルさと攻撃者に与える痛みの量の観点から最適なインジケータです。しかし、初見では簡単に扱えるように見えます。少なくとも、ドメインログを取得する場所を尋ねる必要があります。

プロキシサーバーログのみを確認する場合、ネットワークに直接クエリしようとするマルウェアや、DGAで生成された存在しないドメイン名を要求するマルウェア、DNSトンネリングを使用するマルウェアを見逃す可能性があります。これらのマルウェアは企業のプロキシサーバーログに記載されません。攻撃者は、VPNサービスを使用したり、カスタムトンネルを作成したりすることもできます。

ヒント5. インジケータを発見したタイプとブロックの潜在的な結果を認識した後、監視するかブロックするかを決定してください

すべてのITセキュリティ専門家は、脅威をブロックするか、その動作を監視して調査を開始するかという難しい決断に直面しています。いくつかのガイドではブロックを推奨していますが、ブロックすることは間違いである場合もあります。

インジケータがAPTグループによって使用されるドメイン名である場合、ブロックしないでください。代わりに、監視を開始してください。ターゲット攻撃の展開の現在の戦術では、セル追跡アプリなどの追加の秘密接続チャネルが存在することが前提となります。このチャネルは、詳細な分析を通じてのみ発見できます。自動ブロックにより、このチャネルを発見することができなくなります。さらに、敵はすぐにあなたが彼らの悪行に気づいたことを理解します。

一方、IOCが暗号化ランサムウェアによって使用されるドメインである場合、それをすぐにブロックする必要があります。ただし、ブロックされたドメインへのすべての失敗したクエリを監視することを忘れないでください。マルウェアの構成には、コマンド＆コントロールサーバーのURLが複数含まれている場合があります。これらのうちの1つはフィードにない可能性があり、ブロックされません。感染は最終的にこれらのサーバーに接続して暗号化キーを取得し、すぐにホストを暗号化するために使用します。コマンド＆コントロールサーバーをすべてブロックする唯一の信頼できる方法は、サンプルを逆コンパイルすることです。

ヒント6. 監視またはブロックする前に、すべての新しいインジケータを関連性を確認してください

脅威データは、間違いを犯す可能性のある人間によって生成されるか、エラーが発生する可能性のあるマシンラーニングアルゴリズムによって生成されることがあります。私は、APTグループの活動に関する有料レポートの提供者が、悪意のあるMD5ハッシュのリストに意図的に悪性のないサンプルを追加するのを見たことがあります。有料の脅威レポートに低品質のIOCが含まれている場合、オープンソースインテリジェンスから取得したものは確かに関連性を確認する必要があります。TIアナリストは常にインジケータを偽陽性のために確認しないので、顧客は確認作業を行う必要があります。

たとえば、TrickBotの新しいイテレーションを使用するIPアドレスを取得した場合、検出システムでそれを使用する前に、それがホスティングサービスの一部であるか、貴方のIPアドレスから発信されたものであるかどうかを確認する必要があります。そうしないと、ユーザーがホスティングプラットフォーム上の完全に無害なWebページにアクセスするたびに、多数の偽陽性に悩まされることになります。

ヒント7. 脅威データのワークフローを最大限に自動化します。警告リストを介した偽陽性のチェックを完全に自動化することから始め、SIEMに偽陽性をトリガーしないIOCを監視するように指示します

オープンソースから取得したインテリジェンスに関連する偽陽性の数を避けるために、警告リストでこれらのインジケータを予備検索することができます。警告リストを作成するには、トラフィックのトップ1000のWebサイト、内部サブネットのアドレス、Google (GOOGL ) 、Amazon (AMZN ) AWS、MS Azureなどの主要サービスプロバイダーが使用するドメインなどを使用できます。また、会社の従業員が過去1週間または1ヶ月間にアクセスしたトップドメイン/IPアドレスで構成される警告リストを動的に変更するソリューションを実装することも素晴らしいアイデアです。

警告リストを作成することは、中規模のSOCにとって問題となる場合があります。したがって、脅威インテリジェンスプラットフォームの採用を検討することが意味があります。

ヒント8. ホストインジケータをSIEMに接続されたホストのみに限定せず、エンタープライズ全体でスキャンします

一般的に、エンタープライズ内のすべてのホストがSIEMに接続されていません。したがって、SIEMの標準機能のみを使用して、特定の名前またはパスを持つ悪意のあるファイルをホストで検索することはできません。この問題を解決する方法は次のとおりです。

1. IOCスキャナーであるLokiを使用します。 SCCMを使用してエンタープライズのすべてのホストでこれを起動し、結果を共有ネットワークフォルダーに転送できます。
2. 脆弱性スキャナーを使用します。いくつかのスキャナーには、ネットワークで特定のファイルと特定のパスを確認できるコンプライアンスモードがあります。
3. Powershellスクリプトを書き、WinRM経由で実行します。

上記のように述べたように、この記事は脅威インテリジェンスを正しく行うための包括的な知識ベースを目的としていません。しかし、私たちの経験から、シンプルなルールに従うことで、新規参入者はさまざまなインジケータの妥協の際に重大な間違いを避けることができます。