Bedreigingsinformatie Beste-Praktijk-Tips

Veel mensen zeggen dat bedreigingsinformatie (TI) goed smaakt, maar weinigen begrijpen hoe je het moet bereiden. Er zijn nog minder mensen die weten welke processen moeten worden ingeschakeld om TI te laten werken en winst te maken. Bovendien weet een verwaarloosbaar aantal mensen hoe ze een feed-provider moeten kiezen, waar ze een indicator van valse positieven moeten controleren en of het de moeite waard is om een domein te blokkeren dat een collega je via WhatsApp heeft gestuurd.

We hadden twee commerciële APT-abonnementen, tien informatie-uitwisselingen, ongeveer een dozijn gratis feeds en een uitgebreide lijst met TOR-exit-knooppunten. We gebruikten ook een paar krachtige reversers, master Powershell-scripts, een Loki-scanner en een betaald VirusTotal-abonnement. Niet dat een beveiligingsincidentresponscentrum niet zonder al deze dingen kan werken, maar als je complexe aanvallen wilt opvangen, moet je het hele pakket hebben.

Wat me vooral zorgen baarde, was de potentiële automatisering van het controleren van indicatoren van compromissen (IOCs). Er is niets moreel verwerpelijkers dan kunstmatige intelligentie die een mens vervangt in een activiteit die denken vereist. Echter, ik realiseerde me dat mijn bedrijf eerder of later voor die uitdaging zou komen te staan, aangezien het aantal klanten groeide.

Gedurende verschillende jaren van permanente TI-activiteit, ben ik op een aantal valkuilen gestapt en ik wil enkele tips geven die nieuwe gebruikers kunnen helpen om veelvoorkomende fouten te vermijden.

Tip 1. Stel niet te veel hoop op het vangen van dingen door hashes: de meeste malware is tegenwoordig polymorf

Bedreigingsinformatiegegevens komen in verschillende formaten en manifestaties. Het kan IP-adressen van botnet Command en Control-centra omvatten, e-mailadressen die betrokken zijn bij phishing-campagnes, en artikelen over ontwijktechnieken die APT-groepen gaan gebruiken. Kortom, dit kunnen verschillende dingen zijn.

Om deze hele chaos te ordenen, stelde David Bianco voor om het zogenaamde Pyramid of Pain te gebruiken. Het beschrijft een correlatie tussen de verschillende indicatoren die je gebruikt om een aanvaller te detecteren en de hoeveelheid “pijn” die je de aanvaller zal bezorgen als je een specifieke IOC identificeert.

Als je bijvoorbeeld de MD5-hash van het kwaadaardige bestand kent, kan het gemakkelijk en nauwkeurig worden gedetecteerd. Echter, het zal de aanvaller niet veel pijn doen, omdat het toevoegen van slechts 1 bit aan die informatie het bestand volledig zal veranderen.

Tip 2. Probeer indicatoren te gebruiken die de aanvaller technisch moeilijk of duur zijn om te veranderen

Ik verwacht de vraag hoe je erachter kunt komen of een bestand met een bepaalde hash in ons bedrijfsnetwerk bestaat. Ik zal het volgende zeggen: er zijn verschillende manieren. Een van de eenvoudigste methoden is om een oplossing te gebruiken die een database van MD5-hashes van alle uitvoerbare bestanden in het bedrijf bijhoudt.

Laten we terugkeren naar de Pyramid of Pain. In tegenstelling tot detectie op basis van een hash-waarde, is het productiever om de TTP (tactieken, technieken en procedures) van de aanvaller te identificeren. Dit is moeilijker en vereist meer inspanningen, maar je zal de aanvaller meer pijn doen.

Als je bijvoorbeeld weet dat de APT-bende die je sector van de economie aanvalt, phishing-e-mails met *.HTA-bestanden aan boord verstuurt, dan zal het creëren van een detectieregel die naar dergelijke e-mailbijlagen zoekt, de aanvaller een harde klap geven. Ze zullen hun spamtactiek moeten wijzigen en mogelijk zelfs geld moeten uitgeven om 0-day- of 1-day-exploits te kopen die niet goedkoop zijn.

Tip 3. Stel niet te veel hoop op detectieregels die door iemand anders zijn gemaakt, omdat je deze regels moet controleren op valse positieven en fijn afstemmen

Als je begint met het maken van detectieregels, is er altijd de verleiding om gebruik te maken van gereed beschikbare regels. Sigma is een voorbeeld van een gratis repository. Het is een SIEM-onafhankelijk formaat van detectiemethoden dat je in staat stelt om regels van Sigma-taal te vertalen naar ElasticSearch, evenals Splunk- of ArcSight-regels. De repository bevat honderden regels. Het lijkt een geweldig ding, maar de duivel, zoals altijd, zit in de details.

Laten we eens kijken naar één van de mimikatz-detectieregels. Deze regel detecteert processen die hebben geprobeerd om de geheugen van de lsass.exe-proces te lezen. Mimikatz doet dit wanneer het probeert om NTLM-hashes te verkrijgen, en de regel zal de malware identificeren.

Echter, het is cruciaal voor ons – experts die niet alleen detecteren maar ook op incidenten reageren – om er zeker van te zijn dat het daadwerkelijk een kwaadaardige actor is. Helaas zijn er talloze legitieme processen die de lsass.exe-geheugen lezen (bijv. sommige antivirusprogramma’s). Daarom zal een regel als die in een real-world scenario meer valse positieven opleveren dan voordelen.

Ik wil niemand in deze kwestie beschuldigen – alle oplossingen genereren valse positieven; het is normaal. Niettemin moeten bedreigingsinformatiespecialisten begrijpen dat het dubbel controleren en fijn afstemmen van de regels die zijn verkregen uit zowel open als gesloten bronnen nog steeds noodzakelijk is.

Tip 4. Controleer domeinnamen en IP-adressen op kwaadaardig gedrag niet alleen bij de proxyserver en het firewall, maar ook in DNS-serverlogboeken – en zorg ervoor dat je zowel geslaagde als mislukte resolutiepogingen controleert

Kwaadaardige domeinnamen en IP-adressen zijn de optimale indicatoren vanuit het oogpunt van detectiesimpelheid en de hoeveelheid pijn die je de aanvaller oplevert. Echter, ze lijken alleen gemakkelijk te hanteren op het eerste gezicht. Ten minste, je moet jezelf de vraag stellen waar je de domeinlogboek moet ophalen.

Als je je werk beperkt tot het controleren van proxyserverlogboeken alleen, kun je kwaadaardige code missen die rechtstreeks het netwerk probeert te benaderen of een niet-bestaand domeinnaam gegenereerd met DGA, om nog maar te zwijgen over DNS-tunneling – geen van deze zal in de logboeken van een bedrijfsproxyserver worden vermeld. Criminelen kunnen ook VPN-diensten gebruiken met geavanceerde functies of aangepaste tunnels maken.

Tip 5. Monitor of blokkeer – beslis welke optie je kiest alleen nadat je hebt ontdekt welk type indicator je hebt ontdekt en de mogelijke gevolgen van het blokkeren

Ieder IT-beveiligingsexpert heeft een niet-triviale dilemma: een bedreiging blokkeren of de gedragingen ervan monitoren en onderzoeken zodra het waarschuwingen activeert. Sommige instructies moedigen ondubbelzinnig aan om te kiezen voor blokkeren, maar soms is dit een fout.

Als de indicator van compromissen een domeinnaam is die door een APT-groep wordt gebruikt, blokkeer het niet – begin met monitoren in plaats daarvan. De huidige tactieken van het inzetten van gerichte aanvallen gaan ervan uit dat er een aanvullend geheim verbindingskanaal is, zoals bijvoorbeeld cell tracking-apps die alleen door diepgaande analyse kunnen worden ontdekt. Automatisch blokkeren zal voorkomen dat je dat kanaal in deze scenario ontdekt; bovendien zullen de tegenstanders snel beseffen dat je hun streken hebt opgemerkt.

Anderszijds, als de IOC een domein is dat door crypto-ransomware wordt gebruikt, moet het onmiddellijk worden geblokkeerd. Maar vergeet niet om alle mislukte pogingen om de geblokkeerde domeinen op te vragen te monitoren – de configuratie van de kwaadaardige encoder kan meerdere Command en Control-server-URL’s omvatten. Sommige daarvan kunnen niet in de feeds staan en zullen dus niet worden geblokkeerd. Op een gegeven moment zal de infectie contact opnemen met hen om de encryptiesleutel te verkrijgen die onmiddellijk zal worden gebruikt om de host te versleutelen. De enige betrouwbare manier om ervoor te zorgen dat je alle C&Cs hebt geblokkeerd, is door het monster om te keren.

Tip 6. Controleer alle nieuwe indicatoren op relevantie voordat je ze monitort of blokkeert

Houd in gedachten dat bedreigingsgegevens worden gegenereerd door mensen die onderhevig zijn aan fouten, of door machine leeralgoritmen die niet foutloos zijn. Ik heb gezien dat verschillende aanbieders van betaalde rapporten over de activiteit van APT-groepen per ongeluk legitieme voorbeelden aan de lijst van kwaadaardige MD5-hashes toevoegen. Gezien het feit dat zelfs betaalde bedreigingsrapporten lage kwaliteit IOCs bevatten, moeten die verkregen via open-source-inlichtingen zeker worden gecontroleerd op relevantie. TI-analisten controleren hun indicatoren niet altijd op valse positieven, wat betekent dat de klant het controlewerk voor hen moet doen.

Als je bijvoorbeeld een IP-adres hebt verkregen dat door een nieuwe iteratie van TrickBot wordt gebruikt, moet je, voordat je het in je detectiesystemen gebruikt, controleren of het niet deel uitmaakt van een hostingservice of afkomstig is van je eigen IP. Anders zul je te maken krijgen met talloze valse positieven wanneer gebruikers die een site op die hostingservice bezoeken, naar volledig onschuldige webpagina’s gaan.

Tip 7. Automatiseer alle bedreigingsgegevenswerkstromen tot het maximum. Begin met het volledig automatiseren van de controle van valse positieven via een waarschuwingslijst, terwijl je de SIEM instructie geeft om de IOCs te monitoren die geen valse positieven activeren

Om een groot aantal valse positieven te vermijden die verband houden met inlichtingen en afkomstig zijn van open bronnen, kun je een voorlopige zoekopdracht uitvoeren naar deze indicatoren in waarschuwingslijsten. Om deze lijsten te maken, kun je de top 1000 websites per verkeer, adressen van interne subnetten, evenals de domeinen die door grote dienstverleners zoals Google (GOOGL ), Amazon (AMZN ) AWS, MS Azure en anderen worden gebruikt. Het is ook een goed idee om een oplossing te implementeren die dynamisch veranderende waarschuwingslijsten maakt die bestaan uit de topdomeinen / IP-adressen die de medewerkers van het bedrijf in de afgelopen week of maand hebben bezocht.

Het maken van deze waarschuwingslijsten kan problematisch zijn voor een middelgrote SOC, dus het is verstandig om te overwegen om zogenaamde bedreigingsinformatieplatforms te adopteren.

Tip 8. Scan het hele bedrijf op hostindicatoren, niet alleen de hosts die zijn aangesloten op SIEM

Als regel zijn niet alle hosts in een bedrijf aangesloten op SIEM. Daarom is het onmogelijk om ze te controleren op een kwaadaardig bestand met een specifieke naam of pad door alleen de standaard SIEM-functionaliteit te gebruiken. Je kunt dit probleem op de volgende manieren oplossen:

1. Gebruik IOC-scanners zoals Loki. Je kunt SCCM gebruiken om het op alle bedrijfshosts uit te voeren en vervolgens de resultaten naar een gedeelde netwerkmap doorsturen.
2. Gebruik kwetsbaarheidsscanners. Sommige daarvan hebben compliance-modi die je in staat stellen om het netwerk te controleren op een specifiek bestand in een specifiek pad.
3. Schrijf een Powershell-script en voer het uit via WinRM.

Zoals hierboven vermeld, is dit artikel niet bedoeld als een uitgebreide kennisbasis over hoe je bedreigingsinformatie correct moet doen. Maar aan de hand van onze ervaring zullen deze eenvoudige regels nieuwe gebruikers in staat stellen om kritieke fouten te vermijden bij het omgaan met verschillende indicatoren van compromissen.