Threat hunting w sieciach niejawnych: hipotezy, telemetria, rzemiosło

Alert to coś, co kontrola już potrafi rozpoznać. Threat hunting jest przeciwieństwem: to celowe poszukiwanie aktywności przeciwnika, której twoje kontrole jeszcze nie rozpoznają. W sieci niejawnej – enklawie obsługującej informacje o znaczeniu dla bezpieczeństwa narodowego, często odizolowanej (air-gap) od internetu i komercyjnych kanałów wywiadowczych – polowanie nie jest opcjonalnym poziomem dojrzałości. To jedyny sposób, by zrekompensować fakt, że najzdolniejsi przeciwnicy atakujący sieci obronne specjalizują się w omijaniu dokładnie tych detekcji, które te sieci wdrażają. Ten artykuł przeprowadza przez polowanie oparte na hipotezach, telemetrię, która je umożliwia, rzemiosło redukowania szumu do sygnału oraz pętlę inżynierii detekcji, która zamienia jednorazowe odkrycie w trwałe pokrycie – wszystko w ramach ograniczeń charakterystycznych dla niejawnej enklawy.

Czym właściwie jest threat hunting

Threat hunting jest proaktywny i oparty na hipotezach. Myśliwy zaczyna od założenia, że przeciwnik może już być obecny i niewykryty, następnie formułuje konkretne, falsyfikowalne twierdzenie o tym, jak ten przeciwnik mógłby działać, i testuje je wobec telemetrii. Jest to odwrotność przepływu pracy centrum operacji bezpieczeństwa, gdzie analityk reaguje na alert wygenerowany przez regułę. Polowanie nie ma alertu wyzwalającego; myśliwy sam tworzy pytanie.

To rozróżnienie ma znaczenie operacyjne. Automatyczna detekcja pokrywa techniki, które przewidziałeś na tyle dobrze, by napisać dla nich regułę. Ryzyko szczątkowe tkwi we wszystkim, czego nie przewidziałeś: nowatorskich łańcuchach living-off-the-land, nadużyciach poświadczeń wyglądających jak zwykła administracja oraz powolnej, niskowolumenowej aktywności dostrojonej tak, by pozostać poniżej progów alarmowania. Polowanie to dyscyplina, która systematycznie eksploruje tę przestrzeń szczątkową. W sieci niejawnej przestrzeń szczątkowa jest większa i groźniejsza, bo przeciwnicy mają zasoby, by studiować i pokonywać opublikowaną logikę detekcji, a sieć rzadko widzi szerokie, hałaśliwe, masowe złośliwe oprogramowanie, które zajmuje komercyjne SOC. Cisza nie oznacza czystości.

Przydatnym modelem mentalnym są trzy style polowania. Polowania napędzane wywiadem zaczynają się od zgłoszonej taktyki lub kampanii przeciwnika i pytają, czy to zachowanie jest obecne lokalnie. Polowania oparte na hipotezach zaczynają się od własnego rozumowania obrońcy o tym, jak technika przejawiałaby się w środowisku. Polowania oparte na linii bazowej zaczynają się od anomalii: co jest rzadkie, co jest nowe, co odbiega od ustalonej normy. Dojrzałe programy prowadzą wszystkie trzy, ale w enklawie air-gap dominują drugi i trzeci, ponieważ pierwszy zależy od stałego strumienia świeżego zewnętrznego wywiadu, którego enklawa nie może swobodnie otrzymywać.

Telemetria: możesz polować tylko na to, co widzisz

Żadne polowanie nie przetrwa zderzenia z brakującymi danymi. Zanim hipoteza jest warta sformułowania, myśliwy musi wiedzieć, jakie źródła zdarzeń istnieją, jak długo są przechowywane i czy są kompletne. Fundamentalne źródła dla enklawy obronnej są spójne w różnych programach.

Telemetria punktów końcowych. Tworzenie procesów z pełnymi wierszami poleceń, rodowód proces rodzic–dziecko, ładowanie modułów, modyfikacje rejestru oraz tworzenie zadań zaplanowanych. Zapewnia to sensor taki jak Sysmon lub agent endpoint detection and response. Dane o wierszu poleceń i relacji rodzic–dziecko to najcenniejsze pojedyncze źródło dla polowania, ponieważ większość technik włamań przejawia się jako nietypowy uruchamiany proces lub nieoczekiwany proces tworzący kolejny.

Telemetria uwierzytelniania i usług katalogowych. Żądania biletów Kerberos, uwierzytelnianie NTLM, zdarzenia typu logowania oraz modyfikacje usług katalogowych. Ruch lateralny i nadużycie poświadczeń – serce trwałego włamania – są widoczne przede wszystkim tutaj. Wzorce takie jak pojedyncze konto uwierzytelniające się do nienormalnej liczby hostów albo żądania biletów z anomalnymi typami szyfrowania to klasyczne piwoty polowania.

Telemetria sieci i rozwiązywania nazw. Rekordy przepływów, wewnętrzne logi rozwiązywania DNS oraz logi proxy. Nawet w sieci air-gap wewnętrzny beaconing, nietypowy ruch wschód–zachód oraz rozwiązywanie nieistniejących lub świeżo utworzonych nazw wewnętrznych są znaczącymi sygnałami.

Telemetria granic i cross-domain. To tutaj niejawna enklawa najmocniej różni się od sieci komercyjnej. Wszelkie dane wchodzące do enklawy air-gap lub ją opuszczające muszą przekroczyć kontrolowaną granicę – rozwiązanie cross-domain, diodę danych lub logowany transfer nośnika wymiennego. Te granice są obowiązkowe i są logowane. Dla myśliwego to dar: wprowadzanie narzędzi i eksfiltracja danych muszą przejść przez niewielką liczbę możliwych do audytu wąskich gardeł, więc przestrzeń poszukiwań „jak to weszło lub wyszło” jest znacznie węższa niż w sieci podłączonej do internetu. Odpowiadające im rozważania architektoniczne omawiamy w naszej notatce o platformach wywiadowczych klasy obronnej, które dostarczają wskaźniki przez te granice.

Polowanie w ograniczeniach air-gap

Definiującym ograniczeniem niejawnej enklawy jest izolacja. Nie ma połączenia na żywo z komercyjnym kanałem threat intelligence, nie ma hostowanego w chmurze marketplace'u treści detekcyjnych, nie ma sprawdzania reputacji ani sandboxa na żądanie. Wskaźniki kompromitacji i reguły detekcji docierają tylko wtedy, gdy zostaną przeniesione przez zatwierdzone rozwiązanie cross-domain, w rytmie mierzonym w godzinach lub dniach, a nie sekundach. Zanim wskaźnik adresu IP lub hasha pliku trafi do enklawy, może być już przestarzały.

Przekształca to strategię polowania na dwa sposoby. Po pierwsze, przesuwa program w górę piramidy bólu – z dala od atomowych wskaźników, które przeciwnicy zmieniają tanio, w stronę taktyk, technik i procedur, których zmiana jest dla przeciwnika kosztowna. Behawioralna detekcja techniki starzeje się znacznie wolniej niż hash czy domena, co jest dokładnie tą właściwością, jakiej chcesz, gdy odświeżanie twojego wywiadu jest dławione harmonogramem transferów. Po drugie, stawia to nacisk na silną wewnętrzną linię bazową. Gdy nie możesz zapytać świata zewnętrznego, czy coś jest złe, musisz umieć odpowiedzieć „czy to jest dla nas normalne?” na podstawie własnej historycznej telemetrii. Tworzenie linii bazowej – jakie procesy działają na których hostach, które konta dotykają których systemów, jak wygląda normalny wolumen transferów cross-domain – staje się substytutem zewnętrznego kontekstu.

Narzędzia również muszą żyć w całości wewnątrz enklawy. Platforma polowania, jej silnik zapytań, retencja danych i repozytorium treści detekcyjnych – wszystko działa po stronie klienta granicy, w duchu identycznym jak każde inne wdrożenie SIEM i SOAR na infrastrukturze niejawnej. Nie ma sięgania do zaplecza analitycznego SaaS w trakcie polowania. Buduj z myślą o działaniu offline jako wymaganiu pierwszej klasy, a nie dodatku.

Realia retencji i przechowywania

Polowanie potrzebuje historii. Przeciwnik prowadzący cierpliwe, niskowolumenowe operacje może dotknąć hosta raz i nie wrócić przez tygodnie, więc okno retencji kilku dni czyni całe klasy hipotez niemożliwymi do przetestowania. W niejawnej enklawie pamięć masowa jest często ograniczona granicami akredytacji i pojemnością fizyczną, a nie samym kosztem, co wymusza celowe kompromisy: przechowywać wartościowe, niskowolumenowe źródła, takie jak zdarzenia tworzenia procesów i uwierzytelniania, przez wiele miesięcy, jednocześnie próbkując lub podsumowując źródła wysokowolumenowe, takie jak surowe dane przepływów. Myśliwy musi dokładnie wiedzieć, które źródła są przechowywane na tyle długo, by wspierać hipotezy o długim czasie przebywania, ponieważ polowanie, które po cichu działa na częściowym oknie, daje fałszywą pewność – najgorszy możliwy rezultat w sieci, gdzie koszt przeoczonego włamania mierzy się w skompromitowanych informacjach o znaczeniu dla bezpieczeństwa narodowego.

Rzemiosło polowania

Praktyczna praca polowania to redukcja: zamiana milionów łagodnych zdarzeń w mały, możliwy do przejrzenia zbiór bez odrzucenia tego jednego, który ma znaczenie. Techniki są dobrze ugruntowane.

Stacking i analiza częstości

Zagreguj pole w całym środowisku i posortuj według rzadkości. Stackuj nazwy zadań zaplanowanych, ścieżki ładowania podpisanych plików binarnych, pary procesów rodzic–dziecko lub zdarzenia tworzenia usług, a długi ogon wpisów występujących pojedynczo to miejsce, w którym koncentruje się podejrzana aktywność. Wszechobecne zachowanie rzadko jest włamaniem; rzadkie jest warte ludzkiego spojrzenia. Analiza częstości jest koniem roboczym polowania właśnie dlatego, że rzemiosło przeciwnika, jakkolwiek ostrożne, bywa statystycznie nietypowe na tle dużej linii bazowej.

Piwoty behawioralne ponad dopasowywaniem wskaźników

Zamiast pytać „czy ten hash pasuje do listy znanych-złych”, zapytaj „jaki proces zapisał plik wykonywalny do katalogu zapisywalnego przez użytkownika, a następnie zarejestrował go do persystencji”. Pytania behawioralne przetrwają wymianę narzędzi przez przeciwnika i przetrwają powolny rytm wywiadu w sieci air-gap. Dobre zapytanie polowania koduje technikę, a nie artefakt.

Zdyscyplinowane określanie zasięgu i dokumentacja

Gdy kandydat wygląda podejrzanie, myśliwy wykonuje piwot: to samo konto na innych hostach, ten sam plik binarny gdzie indziej, to samo okno czasowe w całym środowisku. Celem jest pełne określenie zasięgu aktywności przed ogłoszeniem incydentu, aby reagowanie na incydenty – omówione szczegółowo w naszym tekście o wojskowym reagowaniu na incydenty cybernetyczne – odziedziczyło kompletną oś czasu, a nie pojedynczy host. Równie ważne jest dokumentowanie ustaleń łagodnych-ale-rzadkich. Rzadkie narzędzie administracyjne, które okazuje się legalne, powinno zostać zapisane, aby następne polowanie nie badało go ponownie i aby linia bazowa się poprawiała.

Inżynieria detekcji: zamknięcie pętli

Polowanie, które coś znajduje, a potem zapomina, jak to znalazło, zmarnowało większość swojej wartości. Inżynieria detekcji to dyscyplina przekształcająca udane polowanie w trwałą, przetestowaną, kontrolowaną wersjami logikę detekcyjną. Pętla jest prosta: polowanie generuje hipotezę i, dowodząc jej, wytwarza oznaczone przykłady zachowania. To zachowanie jest kodowane w regułę, reguła jest walidowana wobec danych znanych jako dobre i znanych jako złe, aby skwantyfikować jej odsetek fałszywych i prawdziwych trafień, i dopiero wtedy zostaje wprowadzona do produkcyjnego potoku monitorowania przez jakikolwiek proces kontroli zmian wymagany przez enklawę.

Traktowanie detekcji jako artefaktów inżynierskich – przechowywanych w kontroli wersji, recenzowanych, testowanych przed wdrożeniem i wycofywanych, gdy ulegają degradacji – jest tym, co powstrzymuje zespół polowania przed ręcznym ponownym odkrywaniem tej samej techniki co kwartał. Utrzymuje też wzrost warstwy automatycznej w zgodzie z modelem zagrożeń: każde udane polowanie powinno pozostawić po sobie jeszcze jeden trwały element pokrycia, tak aby ludzcy myśliwi byli stale uwalniani do eksploracji naprawdę nowej przestrzeni szczątkowej, zamiast ponownie deptać teren, który reguły już posiadają.

Pomiar programu wynika z tej pętli. Surowa liczba detekcji to myląca metryka nagłówkowa w cichej enklawie. Lepszymi miarami są pokrycie istotnych technik MITRE ATT&CK, liczba zwalidowanych detekcji wdrażanych na kwartał, średni czas zbadania hipotezy oraz redukcja czasu przebywania dla każdego incydentu, który się wydarzy – razem z udokumentowanymi wynikami negatywnymi, które stanowią zapewnienie.

Aby poznać szerszy kontekst obsługi incydentów, który zasila polowanie, zobacz nasz towarzyszący artykuł o informatyce śledczej w wojskowym reagowaniu na incydenty cybernetyczne.