Виявлення та реагування на загрози на кінцевих точках військових мереж: EDR у засекречених середовищах

Супротивник, що має постійний доступ до засекреченої військової робочої станції, не оголошує про себе. Він тихо діє всередині легітимних дерев процесів, зловживає довіреними системними бінарними файлами та переміщується по анклаву через протоколи, що нічим не відрізняються від адміністративного трафіку. Виявлення та реагування на загрози на кінцевих точках (EDR) — це дисципліна, покликана виявляти таку активність: збір детальної телеметрії з кожної кінцевої точки, застосування поведінкових моделей для ідентифікації шаблонів атак і надання аналітикам видимості на рівні процесів, необхідної для визначення масштабу компрометації та її ізоляції. Проте розгортання EDR у засекречених військових середовищах змушує переглянути кожне архітектурне припущення, на якому будуються комерційні продукти, — від хмарного конвеєра телеметрії до підписок на розвідку про загрози. Ця стаття розглядає обмеження засекречених мереж, що формують архітектуру EDR, механізми виявлення, найважливіші для протидії вдосконаленим загрозам, та шлях інтеграції від EDR до військового SIEM і автоматизованого реагування на інциденти.

Чому комерційні продукти EDR зазнають невдачі в засекречених військових середовищах

Комерційний ринок EDR будується на спільному архітектурному припущенні: агент кінцевої точки передає телеметрію до хмарного аналітичного бекенду постачальника, де пошук загроз, висновки машинного навчання та кореляція розвідувальних даних здійснюються у великих масштабах. Ця модель забезпечує можливості виявлення в режимі реального часу для корпоративних клієнтів з кінцевими точками, підключеними до інтернету, але принципово не може функціонувати в засекреченому військовому анклаві. Ізольовані мережі, суворе фільтрування вихідного трафіку та вимоги до обробки даних відповідно до рівня секретності виключають будь-який вихідний потік телеметрії до комерційної хмари. Щойно мережеве з'єднання розривається, більшість функцій виявлення комерційного продукту EDR відключається.

Окрім проблем підключення, комерційні продукти EDR залежать від безперервних керованих постачальником оновлень: щоденних або щогодинних каналів сигнатур, перенавчання поведінкових моделей на корпусі розвідки про загрози постачальника та автоматичних оновлень агента, що передаються через інтернет. У засекреченому середовищі кожне оновлення програмного забезпечення повинне проходити через затверджене міждоменне рішення або доставлятися на знімних носіях під процедурами двоосібної цілісності. Цикли оновлень, з якими комерційні продукти справляються автоматично за хвилини, у засекречених середовищах розтягуються на тижні. Канал сигнатур, застарілий на 30 днів, є оперативно марним проти супротивника-держави, що безперервно ротує інструментарій. EDR, що розгортається в засекречених середовищах, тому повинен бути спроектований з нуля для автономної роботи, а оновлення розвідки про загрози повинні розглядатися як навмисна, піддавана аудиту дія в ланцюжку постачання, а не фонова мережева транзакція.

Є також аспект ліцензування та доступу постачальника, якому приділяється менше уваги, ніж технічним обмеженням. Багато комерційних продуктів EDR надають постачальнику постійний дистанційний доступ до консолі управління або конфігурації агента для цілей підтримки та усунення несправностей. У засекреченій системі дистанційний доступ постачальника або повністю заборонений, або потребує вкрай обмежувальної угоди про контрольований доступ, яку більшість комерційних постачальників не спроможні або не готові підтримувати. Платформи EDR із відкритою архітектурою або розроблені за замовленням, якими клієнт повністю контролює — включно з інфраструктурою управління, моделлю виявлення та конвеєром оновлень, — є єдиним архітектурно чистим рішенням для найбільш чутливих засекречених програм.

Архітектура агента EDR: збір телеметрії без ризику ексфільтрації даних

Агент EDR — це програмний компонент на рівні ядра або гіпервізора, встановлений на кожній кінцевій точці, що інструментує операційну систему для запису подій, що стосуються безпеки: створення та завершення процесів з повними аргументами командного рядка, запис файлів у виконувані локації та місця розташування скриптів, модифікації реєстру в шляхах ключів збереження стану, мережеві з'єднання з адресою та портом призначення, а також події завантаження драйверів і DLL з хешем та інформацією про підпис. У засекреченому середовищі агент повинен виконувати цю інструментацію без ризику ексфільтрації даних, що означає: конвеєр телеметрії повинен бути повністю внутрішнім для засекреченого анклаву, а сам агент — перевірено позбавленим нерозкритих каналів мережевого зв'язку.

Розгортання агента на засекречених військових кінцевих точках вимагає процесу забезпечення безпеки ланцюжка постачання програмного забезпечення, що суттєво суворіший за комерційну корпоративну практику. Бінарний файл агента повинен бути перевірений — через аудит вихідного коду, бінарний аналіз або обидва способи — для підтвердження відсутності каналів телеметрії, крім задокументованих, відсутності автоматичних механізмів оновлення та відсутності криптографічного ключового матеріалу, що міг би використовуватись для встановлення прихованих комунікацій. Ця перевірка повинна повторюватись для кожного оновлення версії агента перед розгортанням. Навантаження на перевірку є основною причиною, чому засекречені розгортання EDR надають перевагу платформам з відкритою архітектурою, де клієнт має доступ до повного коду, а не комерційним агентам «чорної скриньки», внутрішня поведінка яких повинна виводитись з моніторингу поведінки.

Область збору телеметрії повинна бути ретельно налаштована для засекреченого середовища. Збір вмісту сирих файлів або повних дампів пам'яті у потоковому конвеєрі телеметрії є оперативно недоцільним: обсяг є надзвичайним, класифікаційний рівень обробки зібраних матеріалів може бути вищим за власний рівень секретності кінцевої точки, а інфраструктура зберігання та обробки, необхідна для обробки повного потоку телеметрії у масштабі, може бути недоступною в межах анклаву. Промислові засекречені розгортання EDR збирають структуровані записи подій — дерева процесів, зведення мережевих потоків, записи шляхів і хешів файлів — і резервують отримання сирої пам'яті для криміналістичного збору на вимогу, ініційованого підтвердженим сповіщенням. Ця архітектура підтримує керований безперервний обсяг телеметрії, зберігаючи при цьому можливість збору насичених криміналістичних даних у разі потреби.

Поведінкове виявлення проти сигнатурного зіставлення: що кожен виявляє і пропускає

Сигнатурне зіставлення — порівняння хешів файлів або байтових послідовностей з базою даних відомих шкідливих артефактів — є швидким, не дає хибних спрацьовань для розпізнаних загроз і накладає мінімальне обчислювальне навантаження на кінцеву точку. Воно також структурно сліпе до будь-якої загрози, що не відповідає відомій сигнатурі: нові шкідливі програми, модифіковані або перекомпільовані інструменти, безфайлові техніки атак, що виконуються повністю з пам'яті, та техніки «living-off-the-land», що використовують легітимні бінарні файли операційної системи, які ніколи не з'являться в жодній базі даних сигнатур шкідливого ПЗ. Проти супротивника-держави, що діє проти засекречених військових систем, сигнатурне зіставлення саме по собі практично не забезпечує покриття виявлення для первинного вторгнення, яке незмінно використовує інструментарій, розроблений спеціально і раніше ніколи не спостережений.

Поведінкове виявлення відмовляється від питання про те, чи є конкретний бінарний файл відомо шкідливим, на користь питання про те, чи становить послідовність дій на системному рівні відому техніку атаки. Процес, що породжує дочірній процес з аргументом командного рядка у кодуванні base64, який потім встановлює мережеве з'єднання із зовнішньою IP-адресою, яка потім записує DLL до системного каталогу, демонструє поведінковий шаблон, пов'язаний із дроппером, незалежно від того, чи спостерігалися раніше будь-які залучені бінарні файли. Правила поведінкового виявлення виражаються в термінах дерев процесів, послідовностей подій і шаблонів системних викликів та узагальнюються по всьому сімейству інструментів, що реалізують дану техніку. Фреймворк MITRE ATT&CK надає структуровану таксономію технік супротивника, що слугує референтним словником для розробки правил поведінкового виявлення, відображаючи кожну техніку на спостережувані події телеметрії, що видають її використання.

Практичним обмеженням поведінкового виявлення є хибні спрацьовування. Легітимні адміністративні інструменти, агенти управління патчами та інсталятори місіонерських застосунків утворюють шаблони дерев процесів, що поверхово нагадують техніки атак. Скрипт PowerShell, що зчитує з мережевого ресурсу, декодує рядок base64 та викликає збірку .NET, є або інструментом розгортання програмного забезпечення, або дроппером шкідливого ПЗ — поведінкова сигнатура є ідентичною. Управління хибними спрацьовуваннями на засекречених військових кінцевих точках вимагає ретельного базового дослідження: запуску рушія поведінкового виявлення в режимі аудиту протягом тижнів для картографування повного діапазону легітимної активності для кожного класу кінцевих точок, а потім створення правил придушення, що охоплюють відомі нешкідливі шаблони, зберігаючи при цьому виявлення для тих самих шаблонів у несподіваних контекстах. Це налаштування є трудомістким і повинне повторюватися щоразу, коли базовий рівень програмного забезпечення на кінцевих точках суттєво змінюється.

Криміналістика пам'яті та виявлення ін'єкцій процесів на військових кінцевих точках

Безфайлові шкідливі програми та вдосконалені імпланти функціонують повністю в оперативній пам'яті запущених процесів, не записуючи на диск жодних файлів, які традиційні засоби безпеки кінцевих точок могли б виявити. Імплант, завантажений через рефлективну ін'єкцію DLL у легітимний процес — наприклад, браузер або місіонерський застосунок, — буде існувати невизначено довго, не створюючи жодного артефакту на диску. Єдиним надійним способом виявлення такого імпланта є безпосередня перевірка пам'яті запущених процесів — пошук виконуваних регіонів пам'яті, не підкріплених жодним файлом на диску, ланцюжків хуків API, що перенаправляють системні виклики через код зловмисника, та невідповідностей між образами завантажених бібліотек у пам'яті та на диску. Криміналістика пам'яті, таким чином, є не опціональним покращенням можливостей засекречених військових розгортань EDR — вона є основним рівнем виявлення найскладніших і найстійкіших загроз, з якими стикається середовище.

Виявлення ін'єкцій процесів зосереджується на конкретному наборі добре охарактеризованих технік. Рефлективна ін'єкція DLL завантажує бібліотеку в адресний простір процесу, виконуючи самодостатній завантажувальний stub, який розв'язує імпорти та застосовує переміщення без використання стандартного завантажувача операційної системи — залишаючи регіон пам'яті, що є виконуваним, записуваним і не відображеним жодним файлом. Process hollowing замінює виконуваний образ щойно створеного легітимного процесу на шкідливий код до відновлення виконання, утворюючи процес, чий образ на диску не відповідає його виконуваному вмісту в пам'яті. Thread hijacking впроваджує код у контекст виконання існуючого потоку, змінюючи збережений стан регістрів потоку. Кожна з цих технік залишає характерну сигнатуру пам'яті, яку агент EDR може виявити, обходячи адресний простір процесу, перевіряючи атрибути регіонів пам'яті та порівнюючи виконуваний вміст у пам'яті з образом відповідного файлу на диску. На засекречених військових кінцевих точках, де базовий рівень процесів є відносно стабільним і добре вивченим, ці перевірки мають високу сигнальну достовірність з керованими рівнями хибних спрацьовувань.

Процедури ізоляції: ізолювання скомпрометованої кінцевої точки без порушення операцій

Першим імпульсом при виявленні підтвердженої компрометації є відключення мережевого кабелю — повна ізоляція, негайно. Ця реакція є оперативно прийнятною для корпоративного ІТ-середовища, де робочі станції є взаємозамінними. У засекреченому військовому середовищі скомпрометована кінцева точка може виконувати активний застосунок C2, що забезпечує місію, процес агрегування сенсорних даних, службу управління криптографічними ключами або ретранслятор зв'язку. Повна мережева ізоляція такого хоста може бути оперативно рівнозначна знищенню обладнання в середині місії. Рішення про ізоляцію тому повинне враховувати операційну роль ураженого хоста, а платформа EDR повинна підтримувати градуйовані політики ізоляції, що балансують між реагуванням на загрозу та операційною безперервністю.

Градуйована модель ізоляції застосовує цільову ізоляцію, а не суцільне блокування мережі. Найбільш поширеними векторами поширення атак зі скомпрометованої кінцевої точки є файлові ресурси SMB, канали дистанційного виконання коду RPC і DCOM та інструменти бокового переміщення, що використовують адміністративні протоколи. Блокування саме цих протоколів на брандмауері хоста — при збереженні потоків на рівні застосунку, необхідних для операційної функції кінцевої точки (канал даних TAK Server, інтерфейс сенсора, голосові комунікації), — порушує здатність зловмисника переміщатися по мережі, зберігаючи при цьому оперативну придатність хоста. Агент EDR застосовує цю політику на рівні Windows Filtering Platform або iptables, застосовуючи правила, криптографічно підписані консоллю управління і такі, що не можуть бути видалені процесом, що виконується в просторі користувача, навіть таким, що працює під скомпрометованим обліковим записом адміністратора.

Розробка сценаріїв ізоляції вимагає тісної координації між командою кіберзахисту та оперативним персоналом, що розуміє, що насправді робить кожен клас робочих станцій у мережі. Заздалегідь затверджений профіль ізоляції для кожної ролі кінцевої точки — робоча станція, сервер автентифікації, агрегатор сенсорів, термінал C2 — повинен існувати ще до будь-якого інциденту, переглянутий і схвалений як офіцером безпеки, так і оперативним командиром. Коли спрацьовує підтверджене сповіщення, аналітик вибирає відповідний заздалегідь затверджений профіль ізоляції зі сценарію SOAR, а не імпровізує власну політику ізоляції під тиском часу. Час від підтвердження сповіщення до застосування політики ізоляції повинен бути менше п'яти хвилин, а процедура відкату для відновлення повного мережевого доступу повинна бути задокументована і виконувана менш ніж за дві хвилини для підтримки швидкого оперативного відновлення після того, як розслідування встановить, що сповіщення було хибним або загрозу нейтралізовано.

Інтеграція з військовим SIEM та автоматизована оркестрація реагування

Телеметрія EDR є найефективнішою, коли корелюється з даними інших сенсорів безпеки: записами мережевих потоків, журналами подій автентифікації, результатами сканування вразливостей і даними систем фізичного контролю доступу. Військовий SIEM є точкою інтеграції, де ці потоки даних сходяться, і якість інтеграції EDR-SIEM визначає, чи зможуть аналітики скласти повну картину інциденту, що охоплює кілька кінцевих точок і мережевих сегментів. Події EDR повинні пересилатися до SIEM у форматі, що чітко відображається на загальну схему подій SIEM, з нормалізованими ідентифікаторами процесів, ідентифікаторами хостів і мітками часу, щоб подія виконання процесу з EDR могла автоматично об'єднуватися з відповідною подією автентифікації в журналі подій безпеки Windows і відповідним записом мережевого потоку з брандмауера. Без цього шару нормалізації запити кореляції вимагають ручного відображення полів, що вносить затримку та помилки аналітика в процес визначення масштабу інциденту.

Автоматизована оркестрація реагування — шар SOAR поверх SIEM — замикає цикл від виявлення до ізоляції без необхідності отримання схвалення людини для кожної окремої дії. Для добре охарактеризованих типів сповіщень з високою достовірністю автоматизоване реагування скорочує час від виявлення до ізоляції з годин (очікування обробки черги сповіщень аналітиком) до секунд. Стандартними кандидатами для автоматизації в засекреченому військовому розгортанні EDR є: завершення процесу та карантин для виявлень виконання шкідливого ПЗ вище порогу достовірності, блокування бокового переміщення на рівні хоста для виявлень викрадання облікових даних та збір знімків для криміналістичного перегляду пам'яті при виявленні аномального регіону пам'яті. Кожна автоматизована дія повинна реєструватися з ідентифікатором ініціюючого сповіщення, конкретно вжитою дією та підтвердженням агента застосування дії, створюючи слід аудиту, що підтримує перегляд після інциденту та вимоги до формальної звітності військового реагування на кіберінциденти.

Архітектура інтеграції SIEM і SOAR для військових мереж повинна також враховувати рівень секретності самої телеметрії EDR. Події створення процесів, що записують повні аргументи командного рядка кожного процесу на засекреченій кінцевій точці, можуть самі по собі містити засекречену інформацію: шляхи до засекречених даних, імена користувачів персоналу з допуском та фрагменти назв засекречених документів. Конвеєр телеметрії повинен класифікувати кожний запис події на відповідному рівні й обробляти його відповідно, що на практиці означає: консоль управління EDR та SIEM повинні бути акредитовані на вищому рівні секретності будь-якої кінцевої точки, яку вони моніторять. Побудова єдиної уніфікованої платформи EDR, що охоплює кілька рівнів секретності, є технічно складним завданням і зазвичай вирішується через модель окремих екземплярів з одностороннім експортом даних через затверджене міждоменне рішення.

Виклики акредитації: проходження процесу затвердження EDR у засекреченій системі

Отримання дозволу на експлуатацію (ATO) для розгортання EDR у засекреченій військовій системі є одним із найбільш трудомістких і технічно вимогливих процесів акредитації програмного забезпечення в оборонному секторі. Основний виклик полягає в тому, що EDR за своєю природою є привілейованим системним компонентом з доступом на рівні ядра до кожного процесу, файлу та мережевого з'єднання на хості. Агент EDR, що містить нерозкриту функціональність — прихований канал, прихований потік телеметрії або можливість дистанційного виконання, — являв би собою катастрофічну компрометацію ланцюжка постачання всього засекреченого анклаву. Тому орган акредитації вимагає рівня верифікації гарантій програмного забезпечення, що значно перевищує той, що застосовується до більшості програмного забезпечення на рівні застосунків: повна перевірка вихідного коду (або, для продуктів лише у бінарному форматі, бінарний статичний аналіз у поєднанні з динамічним моніторингом поведінки), криптографічний процес верифікації збірки та визначена процедура верифікації кожного оновлення перед його застосуванням до засекречених кінцевих точок.

Моделі поведінкового виявлення та набори правил у системі EDR створюють вторинне занепокоєння щодо акредитації, менш очевидне, але однаково важливе. Правила виявлення кодують знання про те, що становить аномальну поведінку на засекречених кінцевих точках — які процеси отримують доступ до яких файлів, які мережеві з'єднання очікуються, які шляхи реєстру модифікуються легітимними операціями. Якщо супротивник отримає копію набору правил виявлення, він отримає точну специфікацію того, які поведінки EDR позначатиме, а які — ні, що дасть йому можливість проектувати операції вторгнення, що залишаються повністю в межах «білого простору» правил. Правила виявлення та поведінкові моделі тому повинні бути засекречені на відповідному рівні та оброблятися як конфіденційні дані конфігурації з суворим контролем доступу і процесом управління змінами, що відстежує кожну модифікацію.

Практичні строки акредитації EDR у засекречених системах зазвичай становлять від 12 до 24 місяців для нових продуктів, що раніше не проходили оцінку. Продукти, що вже пройшли оцінку для однієї засекреченої програми, іноді можуть використовувати попередні артефакти оцінки для прискорення подальших акредитацій — процес, який Міністерство оборони США формалізує через механізм Continuous ATO (cATO) для засобів кібербезпеки. Вибір продукту або платформи EDR, що вже має досвід засекречених системних розгортань та наявну документацію оцінки, суттєво скорочує строки акредитації. Для програм, що не можуть чекати повного ATO, функціонування EDR у режимі лише моніторингу (збір та аналіз телеметрії без автоматизованого реагування) під тимчасовим дозволом на тестування (IATT) дозволяє команді операцій безпеки розпочати формування можливостей виявлення та поведінкового базового рівня під час обробки повного ATO.