При обнаружении нарушения рабочий алгоритм включает обнаружение угроз, помещение в карантин и блокировку. Хотя все этапы могут произойти в течение первого часа после обнаружения, в некоторых случаях это уже слишком поздно.

Команды центра управления безопасностью (SOC) постоянно отслеживают новые угрозы. Чтобы отразить самые сложные угрозы, специалисты по безопасности активно «охотятся» за теми, которые ускользают от панелей управления их решений по обеспечению безопасности.

Однако продвинутые злоумышленники научились сливаться с окружением своей цели, оставаясь незамеченными в течение длительного времени.

Основываясь на многолетнем опыте, вот некоторые из основных способов поиска угроз, которые команда IBM X-Force использует для поиска этих субъектов.

Что такое поиск угроз (Threat Hunting)?

Поиск угроз — это упреждающий подход к выявлению ранее неизвестных или текущих не устраненных угроз в сети организации. Поиск угроз должен быть итеративным и управляемым человеком.

Эффективный поиск угроз требует определенного набора навыков. Успешный «охотник» за угрозами должен обладать хорошим гипотетическим мышлением и уметь строить предположения об исходных векторах и потенциальном воздействии.

Кроме того, ценными навыками для работы являются распознавание образов и дедуктивное мышление. Злоумышленники постоянно совершенствуются в поиске новых, творческих способов использования уязвимостей в операционных системах и приложениях. Вот почему «охотники» за угрозами должны искать закономерности, соответствующие тактике и необычному поведению.

Очень важно сформулировать и разработать логические теории о том, как получить доступ к сети или использовать систему для получения доступа к критически важной информации. После того, как теория создана, аналитик должен работать в обратном направлении, используя дедуктивные рассуждения, чтобы искать любые подсказки, оставленные злоумышленниками.

Кроме того, поиск угроз — это повторяющийся процесс. Хороший охотник за угрозами должен уметь быстро повторять те же самые шаги, потому что подобные атаки могут повториться снова.

Но самое главное, поиск угроз носит упреждающий характер. Чрезмерная зависимость только от предупреждений может в конечном итоге привести к туннельному видению.

Чем не является поиск угроз

По словам Нила Уайлера, глобального руководителя активных оценок угроз в IBM X-Force, не только важно определить, что такое поиск угроз, но и понять, чем он не является. Поиск угроз не является:

• Ctrl+F Индикатор компрометации (IOC) — поиск угроз не нажимает «Ctrl+F» IOC для обнаружения угроз. Вам следует изучить тактику, приемы и процедуры, которые злоумышленники используют в вашей среде. Когда охота идет, вам не нужно искать IP-адрес, имя хоста или хэш файла — эти элементы находятся ниже в пирамиде боли для поиска угроз. Вам нужно найти свидетельства того, что тактика и инструменты остаются после вас.
• Автоматизированный. Автоматизация, безусловно, может помочь после выявления угроз или интересующих наборов данных, но она не является отправной точкой.
• Новое. Поиск угроз в той или иной форме существует уже много лет, будь то поиск выбросов в журналах данных или сортировка по количеству в электронных таблицах Excel.
• Магия. Поиск угроз — это то, чем могут заниматься даже аналитики начального уровня. Вы можете знать только некоторые вещи об этом. Но если у вас пытливый ум, и вы задаете правильные вопросы, ваш опыт будет быстро развиваться.

Зачем искать угрозы?

Поиск угроз важен. Эффективный поиск угроз помогает сократить время от вторжения до обнаружения, сводя к минимуму ущерб, наносимый злоумышленниками. Чем дольше проходит время между сбоем системы и реакцией, тем больший ущерб понесет организация во время атаки.

Кроме того, поиск угроз может помочь вам:

• Находить ранее необнаруженные угрозы и сокращать время поимки (от заражения до обнаружения).
• Изучите среду безопасности, чтобы повысить скорость и точность реагирования. Это даст вам значительное преимущество перед злоумышленником.
• Улучшить общую организационную позицию. Не ждите, пока оповещение пройдет через ваш инструмент управления информацией и событиями безопасности (SIEM). Выявляйте неверные конфигурации, выявляйте пробелы и помогайте быстро уменьшать возможности для атак.

Нет ничего более ценного, чем учиться на реальных жизненных ситуациях и многолетнем практическом опыте. Если вы несколько лет занимаетесь безопасностью, то знаете, как трудно заставить аналитиков по безопасности, архитекторов и охотников за угрозами поделиться своими знаниями. Черные хакеры постоянно используют подпольные форумы для обмена своими знаниями. Так они развиваются и совершенствуют свою тактику. Так почему же мы, сила добра, не можем выработать эту привычку?

Вот несколько передовых методов поиска угроз, продемонстрированных на примере реальной истории.

Проблемные области поиска угроз

Большинство реальных историй об охоте за угрозами имеют общие черты и закономерности, которые можно обобщить в следующих проблемных областях:

• Туннельное видение — оставьте предвзятость за дверью и будьте объективны в своем расследовании. Туннельное зрение может заставить вас игнорировать присутствие злоумышленника.
• Внутренние угрозы. Не забывайте следить за поведением внутри вашей сети, даже если ваш приоритет — внешние угрозы. Самоуспокоенность в отношении внутренних угроз может привести к тому, что один забытый веб-сервер станет оружием противника.
• Плохой контроль доступа — сегментация и шифрование играют важную роль в поиске угроз. Не облегчайте задачу злоумышленникам.
• Прямая связь по IP — убедитесь, что вы правильно настраиваете клиентов виртуальной частной сети. Знайте, что находится на другом конце этого IP-адреса. Создайте фиды и привяжите их к ресурсам.
• Без изоляции хоста — ничему не доверяйте. Вы не всегда находитесь в корпоративной сети. Сегментируйте свои сети и изолируйте хосты.

5 золотых правил поиска угроз

Вы знаете, что искать и где искать? Вот пять правил успешного поиска угроз:

1. Соберите журналы из ключевых областей.

Журналы имеют решающее значение для поиска угроз. Собирайте журналы из ваших ключевых областей, включая коммутаторы, маршрутизаторы, брандмауэры, прокси-серверы, веб-серверы, приложения, события операционной системы, команды PowerShell, аудиты и EMET. Вам не обязательно отправлять их в SIEM, но по крайней мере рассмотрите возможность их записи на диск.

2. Мониторинг сетевых данных.

Знайте точки входа и выхода данных в вашей среде. Знайте, как настроены ваши роли в подсети, и установите направленность. Выполняйте полный захват пакетов с минимум тремя днями необработанных данных и двумя месяцами метаданных.

3. Проанализируйте данные о поведении конечных точек.

Инвентаризируйте все процессы, запланированные задачи, неожиданные службы, доступ к реестру, а также файловые и сетевые данные. Убедитесь, что вы охотитесь за Amcache и Shimcache — кладезями интересных данных. Понимание того, что выглядит нормально, поможет вам определить, когда возникает аномалия.

4. Практикуйте ситуационную осведомленность.

Что вы будете делать после того, как соберете все эти данные? Вы используете ситуационную осведомленность.

• Понимать, как выглядит нормально на ваших хостах и в сети. Создайте базовый уровень для сравнения.
• Осознайте, что является нормальным, чтобы, когда возникает аномалия, она торчала наружу, как больной палец.
• Каждый раз, когда вы что-то видите, это не значит, что это злоумышленник. Но вы кое-чему научитесь из этого опыта.

5. Оставьте предвзятое мнение за дверью.

Поиск угроз — это не волшебство. Потратьте время на то, чтобы стать лучше в том, что вы делаете. Не начинайте с IOC. Начните с вопроса: если данные покидают среду, куда они, скорее всего, пойдут? Как бы я проник снаружи, если бы я был злоумышленником?

Источник:
https://securityintelligence.com/posts/5-golden-rules-threat-hunting-x-force/

Автор:
Olga Hout
Senior Product Marketing Manager

По мере роста числа субъектов угроз частота атак, наблюдаемых во всем мире, будет продолжать расти в геометрической прогрессии. Многочисленные случаи, которые освещаются сегодня в новостях, демонстрируют, что ни одна организация не застрахована от рисков взлома.

Что такое план реагирования на инциденты?
Реагирование на инциденты (IR) относится к подходу, процессам и технологиям организации для обнаружения кибератак и реагирования на них.

План IR определяет, как следует выявлять, сдерживать и устранять кибератаки. Это позволяет организациям действовать быстро и эффективно даже в стрессовых ситуациях взлома, смягчая дальнейшее воздействие.
В конечном счете, цель IR состоит в том, чтобы снизить риски и последствия кибератак, а также смягчить последствия взлома и управлять ими, чтобы свести время и затраты на восстановление к минимуму.

Нужен ли организациям план IR?
Исторически сложилось так, что организации, которые разрабатывали и тестировали план IR, получали значительную экономию средств. Согласно отчету IBM о стоимости утечки данных за 2022 год, организации с командой IR, которая регулярно тестировала свой план IR, сэкономили в среднем 2,66 миллиона долларов на утечке данных по сравнению с организациями, не имевшими плана.

В случае кибератаки время имеет решающее значение. Команды по кибербезопасности должны действовать быстро, чтобы сдерживать угрозы и эффективно восстанавливать поврежденные системы при одновременном снижении затрат.

Во время сдерживания плана IR приоритетом группы безопасности является изоляция любых зараженных устройств и быстрое устранение угроз. У организации должны иметь возможности для автономного обнаружения и устранения угроз практически в режиме реального времени, чтобы вести успешную борьбу с ними.

Полное руководство IBM Security по программам-вымогателям подробно описывает процесс IR.

3 причины, по которым ваш план IR должен включать EDR
1. EDR (endpoint detection and response) — Инструмент обнаружения и реагирования, который может обнаруживать атаки на конечные точки на ранних стадиях, уменьшая потенциальные широкомасштабные последствия.
Используйте возможности автоматизации. Программы-вымогатели и другие типы кибератак происходят с беспрецедентной скоростью. Злоумышленники могут полностью зашифровать данные организации всего за несколько минут. Обнаружение в режиме реального времени особенно важно для выявления и остановки злоумышленников до того, как будет нанесен масштабный ущерб.

Наличие инструмента EDR на базе искусственного интеллекта (ИИ), который использует автоматизацию безопасности, важно для обнаружения и остановки атаки на ее ранних стадиях. Используя поведенческие механизмы, специалисты по безопасности могут отслеживать каждый компонент атаки практически в режиме реального времени. С помощью искусственного интеллекта и машинного обучения, современная EDR может изначально выявлять аномальные действия, такие как поведение программ-вымогателей, и автоматически прекращать эти процессы при обнаружении.

2. EDR может помочь изолировать зараженные устройства и остановить горизонтальное перемещение.
Злоумышленники сегодня хорошо умеют уклоняться от обнаружения и перемещаться по скомпрометированной инфраструктуре. Организации, которые полагаются на устаревшие решения, такие как антивирус, находятся в невыгодном положении. Эти методы обеспечивают ограниченную видимость и могут блокировать только угрозы на основе сигнатур.

И наоборот, современный EDR предлагает организациям всестороннюю видимость всех конечных точек и активности угроз. Он также предлагает возможности, необходимые для обнаружения бокового движения.

Инструмент EDR может помочь идентифицировать устройства, использованные во время взлома, и тщательно изолировать затронутые ресурсы. Такие функции, как мониторинг распространения, избавляют от догадок, связанных с изучением воздействия и распространения зараженных артефактов в организации, поэтому аналитики могут помещать зараженные устройства в карантин, чтобы ограничить ущерб и свести к минимуму сбои в работе.

Наличие EDR также помогает обеспечить безопасность изолированных инфраструктур без необходимости ежедневного обновления сигнатур. EDR обеспечивает надежную защиту конечных точек, обнаруживая и блокируя угрозы даже при отсутствии подключения к Интернету.

3. EDR может помочь с анализом основных причин в рамках цикла восстановления.
Сценарии после взлома трудно анализировать, поскольку информация всегда неполная, что затрудняет реконструкцию инцидента.

Решение EDR может предоставить специалистам по безопасности возможности поиска угроз, чтобы понять основную причину нарушений, найти нулевого пациента и идентифицировать конечные точки и учетные записи, которые были скомпрометированы. Поиск угроз позволяет быстро провести расследование, сокращая время, затрачиваемое на разведку угроз и оценку результатов анализа. IR позволяет экономить время после взлома, смягчая последствия и снижая затраты для организаций.

Сбор данных в режиме, близком к реальному времени, помогает реконструировать сценарий взлома для эффективного вскрытия. Комплексный охват криминалистических данных, собранных решением EDR, обеспечивает защиту от атак в будущем, поскольку позволяет командам быстро определить полный масштаб нарушения, зная, как и где злоумышленники проникли в инфраструктуру.

EDR предлагает комплексный подход к обеспечению безопасности

Наличие современного инструмента EDR является обязательным в арсенале любой команды безопасности. Он обеспечивает целостный подход к безопасности, необходимый для успешной борьбы в текущей ситуации с угрозами.

EDR обеспечивает важные краткосрочные меры сдерживания, предотвращая дальнейший ущерб сети от взлома. Кроме того, наличие решения EDR предлагает стратегические долгосрочные преимущества, позволяя организациям укрепить свою систему безопасности, чтобы они могли защищаться от новых неизвестных угроз.

В Руководстве покупателя IBM Security ReaQta EDR содержится полезная информация о том, какие вопросы вам следует задавать, и выделяются основные функции, когда вы выбираете правильное решение EDR для своего бизнеса.

Источник:
https://securityintelligence.com/posts/3-reasons-make-edr-incident-response-plan/

Автор:
Serge Woon
Technical Director for IBM Security ReaQta