Threat hunting op gerubriceerde netwerken: hypotheses, telemetrie, tradecraft

Een alert is iets wat een control al weet te herkennen. Een threat hunt is het tegenovergestelde: het is het doelbewuste zoeken naar de tegenstanderactiviteit die je controls nog niet herkennen. Op een gerubriceerd netwerk – een enclave die nationale-veiligheidsinformatie verwerkt, vaak air-gapped van het internet en van commerciële intelligence-feeds – is hunting geen optionele volwassenheidslaag. Het is de enige manier om te compenseren voor het feit dat de meest capabele tegenstanders die defensienetwerken aanvallen, gespecialiseerd zijn in het omzeilen van precies die detecties die die netwerken uitrollen. Dit artikel doorloopt hypothesegedreven hunting, de telemetrie die het mogelijk maakt, de tradecraft van het reduceren van ruis tot signaal, en de detection-engineering-lus die een eenmalige ontdekking omzet in permanente dekking – allemaal onder de beperkingen die uniek zijn voor een gerubriceerde enclave.

Wat threat hunting werkelijk is

Threat hunting is proactief en hypothesegedreven. De hunter begint vanuit de aanname dat een tegenstander mogelijk al aanwezig en onopgemerkt is, formuleert vervolgens een specifieke, falsificeerbare bewering over hoe die tegenstander zou kunnen opereren en toetst die tegen telemetrie. Dit is het omgekeerde van de workflow van een security operations center, waar een analist reageert op een alert dat een regel is afgegaan. De hunt kent geen triggerend alert; de hunter fabriceert de vraag zelf.

Dat onderscheid is operationeel van belang. Geautomatiseerde detectie dekt de technieken die je goed genoeg hebt voorzien om er een regel voor te schrijven. Het restrisico zit in alles wat je niet hebt voorzien: nieuwe living-off-the-land-ketens, credentialmisbruik dat eruitziet als gewoon beheer, en trage, laagvolume-activiteit die is afgestemd om onder de alerteringsdrempels te blijven. Hunting is de discipline die die restruimte systematisch verkent. Op een gerubriceerd netwerk is die restruimte groter en gevaarlijker, omdat de tegenstanders over de middelen beschikken om gepubliceerde detectielogica te bestuderen en te verslaan, en omdat het netwerk zelden de brede, luidruchtige commodity-malware ziet die een commerciële SOC bezig houdt. Stil betekent niet schoon.

Een nuttig denkmodel zijn de drie stijlen van hunt. Intelligence-gedreven hunts beginnen vanuit een gerapporteerde tactiek of campagne van een tegenstander en vragen of dat gedrag lokaal aanwezig is. Hypothesegedreven hunts beginnen vanuit de eigen redenering van de verdediger over hoe een techniek zich in de omgeving zou manifesteren. Baseline-gedreven hunts beginnen vanuit anomalie: wat is zeldzaam, wat is nieuw, wat wijkt af van de gevestigde norm. Volwassen programma's draaien alle drie, maar op een air-gapped enclave domineren de tweede en derde, omdat de eerste afhankelijk is van een gestage stroom verse externe intelligence die de enclave niet vrijelijk kan ontvangen.

Telemetrie: je kunt alleen hunten wat je kunt zien

Geen enkele hunt overleeft het contact met ontbrekende data. Voordat een hypothese het formuleren waard is, moet de hunter weten welke eventbronnen bestaan, hoe lang ze worden bewaard, en of ze compleet zijn. De fundamentele bronnen voor een defensie-enclave zijn consistent over programma's heen.

Endpoint-telemetrie. Procescreatie met volledige command lines, parent-child-proceslijn, module loads, registerwijzigingen, en het aanmaken van geplande taken. Een sensor zoals Sysmon of een endpoint detection and response-agent levert dit. Command-line- en parent-child-data is de hoogst waardevolle bron voor hunting, omdat het merendeel van de intrusietechnieken zich manifesteert als een ongebruikelijk proces dat uitvoert of een onverwacht proces dat een ander start.

Authenticatie- en directory-telemetrie. Kerberos-ticketverzoeken, NTLM-authenticatie, logon-type-events, en directoryservice-wijzigingen. Laterale beweging en credentialmisbruik – het hart van een persistente intrusie – zijn hier primair zichtbaar. Patronen zoals één account dat authenticeert tegen een abnormaal aantal hosts, of ticketverzoeken met anomale encryptietypes, zijn klassieke hunt-pivots.

Netwerk- en naamresolutie-telemetrie. Flow-records, interne DNS-resolutielogs, en proxylogs. Zelfs op een air-gapped netwerk zijn interne beaconing, ongebruikelijk oost-west-verkeer, en resolutie van niet-bestaande of nieuw aangemaakte interne namen betekenisvolle signalen.

Grens- en cross-domain-telemetrie. Dit is waar de gerubriceerde enclave het scherpst verschilt van een commercieel netwerk. Alle data die een air-gapped enclave binnenkomt of verlaat, moet een gecontroleerde grens passeren – een cross-domain solution, een datadiode, of een gelogde overdracht via verwijderbare media. Die grenzen zijn verplicht, en ze worden gelogd. Voor een hunter is dat een geschenk: ingress van tooling en exfiltratie van data moeten een klein aantal auditbare knelpunten passeren, dus de zoekruimte voor "hoe is het binnen- of buitengekomen" is veel smaller dan op een internetverbonden netwerk. De bijbehorende architecturale overwegingen komen aan bod in onze notitie over defensiegerichte intelligence-platforms die indicatoren over deze grenzen voeden.

Hunting onder air-gapped beperkingen

De bepalende beperking van een gerubriceerde enclave is isolatie. Er is geen live verbinding met een commerciële threat-intelligence-feed, geen cloud-gehoste marktplaats voor detectie-content, geen on-demand reputatie- of sandbox-lookup. Indicators of compromise en detectieregels komen alleen aan wanneer ze via een goedgekeurde cross-domain solution worden overgedragen, op een cadans gemeten in uren of dagen in plaats van seconden. Tegen de tijd dat een IP-adres- of bestandshash-indicator binnen de enclave belandt, kan deze al verouderd zijn.

Dit hervormt de hunt-strategie op twee manieren. Ten eerste duwt het het programma omhoog op de pyramid of pain – weg van atomaire indicatoren die tegenstanders goedkoop veranderen, en naar tactieken, technieken en procedures die voor een tegenstander duur zijn om te wijzigen. Gedragsdetectie van een techniek veroudert veel langzamer dan een hash of domein, wat precies de eigenschap is die je wilt wanneer je intelligence-verversing wordt afgeknepen door een overdrachtsschema. Ten tweede legt het een premie op een sterke interne baseline. Wanneer je de buitenwereld niet kunt vragen of iets kwaadaardig is, moet je "is dit normaal voor ons?" kunnen beantwoorden vanuit je eigen historische telemetrie. Baselining – welke processen op welke hosts draaien, welke accounts welke systemen aanraken, hoe het normale volume van cross-domain-overdrachten eruitziet – wordt de vervanger voor externe context.

Tooling moet ook volledig binnen de enclave leven. Het hunt-platform, zijn query-engine, zijn dataretentie, en zijn repository voor detectie-content draaien allemaal aan de klantzijde van de grens, identiek in geest aan elke andere SIEM- en SOAR-implementatie op gerubriceerde infrastructuur. Er is geen uitreiken naar een SaaS-analytics-back-end midden in een hunt. Bouw voor offline werking als een eersteklas vereiste, niet als bijzaak.

De realiteit van retentie en opslag

Hunting heeft historie nodig. Een tegenstander die geduldige, laagvolume-operaties uitvoert, raakt een host mogelijk één keer aan en keert wekenlang niet terug, dus een retentievenster van een paar dagen maakt hele klassen van hypotheses onttoetsbaar. Op een gerubriceerde enclave wordt opslag vaak beperkt door accreditatiegrenzen en fysieke capaciteit in plaats van alleen door kosten, wat doelbewuste afwegingen afdwingt: bewaar hoogwaardige, laagvolume-bronnen zoals procescreatie- en authenticatie-events vele maanden, terwijl je hoogvolume-bronnen zoals ruwe flow-data sampelt of samenvat. De hunter moet precies weten welke bronnen lang genoeg worden bewaard om hypotheses met lange dwell te ondersteunen, want een hunt die stilletjes tegen een gedeeltelijk venster draait, levert vals vertrouwen op – de slechtst mogelijke uitkomst op een netwerk waar de kosten van een gemiste intrusie worden gemeten in gecompromitteerde nationale-veiligheidsinformatie.

De tradecraft van een hunt

Het praktische werk van een hunt is reductie: het omzetten van miljoenen goedaardige events in een kleine, beoordeelbare set zonder de ene die ertoe doet weg te gooien. De technieken zijn welbekend.

Stacking en frequentieanalyse

Aggregeer een veld over het bestand en sorteer op zeldzaamheid. Stack namen van geplande taken, laadpaden van ondertekende binaries, parent-child-procesparen, of service-creatie-events, en de lange staart van count-of-one-vermeldingen is waar verdachte activiteit zich concentreert. Alomtegenwoordig gedrag is zelden de intrusie; het zeldzame is een menselijke blik waard. Frequentieanalyse is het werkpaard van hunting juist omdat tegenstander-tradecraft, hoe zorgvuldig ook, statistisch ongebruikelijk neigt te zijn tegen een grote baseline.

Gedragspivots boven indicatormatching

In plaats van te vragen "komt deze hash overeen met een known-bad-lijst," vraag "welk proces schreef een uitvoerbaar bestand naar een door gebruiker-beschrijfbare map en registreerde het vervolgens voor persistentie." Gedragsvragen overleven het verwisselen van tooling door de tegenstander, en ze overleven de trage intelligence-cadans van een air-gapped netwerk. Een goede hunt-query codeert een techniek, niet een artefact.

Gedisciplineerd scopen en documenteren

Wanneer een kandidaat er verdacht uitziet, pivot de hunter: hetzelfde account op andere hosts, hetzelfde binary elders, hetzelfde tijdvenster over het bestand. Het doel is om de activiteit volledig te scopen voordat een incident wordt verklaard, zodat incident response – diepgaand behandeld in ons stuk over militaire cyber-incident response – een complete tijdlijn erft in plaats van één host. Even belangrijk is het documenteren van de goedaardige-maar-zeldzame bevindingen. Een zeldzaam administratief hulpmiddel dat legitiem blijkt, moet worden vastgelegd zodat de volgende hunt het niet opnieuw onderzoekt, en zodat de baseline verbetert.

Detection engineering: de lus sluiten

Een hunt die iets vindt en vervolgens vergeet hoe hij het vond, heeft het grootste deel van zijn waarde verspild. Detection engineering is de discipline die een succesvolle hunt omzet in duurzame, geteste, versiebeheerde detectielogica. De lus is eenvoudig: een hunt genereert een hypothese en produceert, bij het bewijzen ervan, gelabelde voorbeelden van het gedrag. Dat gedrag wordt gecodeerd in een regel, de regel wordt gevalideerd tegen known-good- en known-bad-data om de false-positive- en true-positive-percentages te kwantificeren, en pas dan wordt deze bevorderd naar de productie-monitoringpijplijn via welk change-controlproces de enclave ook voorschrijft.

Detecties behandelen als engineering-artefacten – opgeslagen in versiebeheer, beoordeeld, getest vóór implementatie, en buiten gebruik gesteld wanneer ze verouderen – is wat voorkomt dat een hunt-team dezelfde techniek elk kwartaal handmatig opnieuw ontdekt. Het houdt ook de geautomatiseerde laag in de pas met het dreigingsmodel: elke hunt die slaagt, zou één permanent stuk dekking moeten achterlaten, zodat de menselijke hunters voortdurend worden vrijgemaakt om werkelijk nieuwe restruimte te verkennen in plaats van terrein opnieuw te belopen dat de regels nu bezitten.

Het meten van het programma volgt uit deze lus. Het ruwe aantal detecties is een misleidende kopmetriek op een stille enclave. Betere maatstaven zijn de dekking van de relevante MITRE ATT&CK-technieken, het aantal gevalideerde detecties dat per kwartaal wordt bevorderd, de gemiddelde tijd om een hypothese te onderzoeken, en de vermindering van dwell time voor elk incident dat zich voordoet – samen met de gedocumenteerde negatieve resultaten die assurance vormen.

Voor de bredere incident-handling-context waarin een hunt uitmondt, zie ons begeleidende artikel over digitale forensics in militaire cyber-incident response.