Киберқауіпсіз аң аулау - Cyber threat hunting

Киберқауіпсіз аң аулау бұл кибер қорғаныстың белсенді қызметі. Бұл «қолданыстағы қауіпсіздік шешімдерінен жалтаратын озық қатерлерді табу және оқшаулау үшін желілер арқылы белсенді және итеративті іздеу процесі».[1] Сияқты қауіп-қатерді басқарудың дәстүрлі шараларынан айырмашылығы бар брандмауэрлер, кіруді анықтау жүйелері (IDS), зиянды бағдарлама құм жәшігі (компьютер қауіпсіздігі) және SIEM әдетте дәлелді деректерді тергеуді қамтитын жүйелер кейін ықтимал қауіп туралы ескерту болды.[2][3]

Әдістемелер

Қауіп-қатерді аулау дәстүрлі түрде қолмен жүретін үрдіс болды, онда қауіпсіздік талдаушысы өздерінің білімдері мен желімен таныс болуын қолдана отырып, әр түрлі мәліметтерді сүзіп өтеді, мысалы ықтимал қауіптер туралы гипотезалар жасайды, бірақ олармен шектелмей, Бүйірлік қозғалыс арқылы Қатерлі актерлер.[4] Алайда одан да тиімді және тиімді болу үшін қауіп-қатерді аулау ішінара автоматтандырылуы немесе машинаның көмегімен жүзеге асырылуы мүмкін. Бұл жағдайда талдаушы левереджді бағдарламалық жасақтаманы қолданады машиналық оқыту және пайдаланушы мен тұлғаның мінез-құлқын талдау (UEBA) талдаушыға ықтимал тәуекелдерді хабарлау. Содан кейін талдаушы осы ықтимал тәуекелдерді зерттейді, желідегі күдікті әрекеттерді қадағалайды. Осылайша аң аулау - бұл қайталанатын процесс, яғни оны гипотезадан бастап үздіксіз цикл түрінде жүргізу керек.

  • Талдауға негізделген: «Машиналық оқыту және UEBA, аң аулау гипотезасы ретінде қызмет ете алатын тәуекелдердің жиынтық балын жасау үшін қолданылады»
  • Ситуациялық-хабардар болу: «Crown Jewel талдауы, кәсіпорын тәуекелдерін бағалау, компания немесе қызметкерлер деңгейіндегі үрдістер»
  • Зияткерлікке негізделген: «Қауіп туралы ақпараттар, қауіп-қатер туралы ақпарат беру, зиянды бағдарламалық жасақтаманы талдау, осалдықтарды сканерлеу»

Аналитик желі туралы көптеген мәліметтер арқылы олардың гипотезаларын зерттейді. Нәтижелер кейіннен оларды анықтау жүйесінің автоматтандырылған бөлігін жақсарту үшін және болашақ гипотезалар үшін негіз бола алатындай етіп сақталады.

Анықтаудың жетілу деңгейі (DML) моделі [5] әр түрлі семантикалық деңгейде қауіп индикаторларын анықтауға болады. Мақсат пен стратегия немесе тактика, техникалар мен процедуралар (TTP) сияқты жоғары семантикалық индикаторлар желілік артефактілер мен IP-адрестер сияқты атомдық индикаторлар сияқты төмен семантикалық индикаторларға қарағанда маңызды.[дәйексөз қажет ] SIEM құралдар әдетте индикаторларды салыстырмалы түрде төмен семантикалық деңгейлерде ғана қамтамасыз етеді. Сондықтан жоғары семантикалық деңгейде қауіп индикаторларын қамтамасыз ете алатын SIEM құралдарын әзірлеу қажет.[6]

Көрсеткіштер

Көрсеткіштердің екі түрі бар:

  1. Компромисс көрсеткіші - Компромисс индикаторы (ХОК) сізге әрекет болғанын және сіз реактивті режимде екеніңізді айтады. ХОК-тың бұл түрі транзакциялар журналынан немесе SIEM деректерінен өзіңіздің жеке мәліметтеріңізді қарау арқылы жасалады. ХОК мысалдары қатарына әдеттегіден тыс желілік трафик, пайдаланушының тіркелгісіндегі ерекше артықшылықтар, кіру ауытқулары, мәліметтер қорының оқылу көлемінің артуы, күдікті тізілім немесе жүйелік файлдардың өзгеруі, DNS-тен тыс сұраныстар және адамдық емес әрекеттерді көрсететін веб-трафик жатады. Бұл әдеттен тыс әрекеттер қауіпсіздік әкімшілігінің топтарына зиянкестерді ертерек байқауға мүмкіндік береді кибершабуыл процесс.
  2. Мазасыздық көрсеткіші - пайдалану Ашық ақпарат көзі (OSINT), деректерді кибершабуылды анықтау және қауіп-қатерді аулау үшін пайдалану үшін жалпыға қол жетімді көздерден жинауға болады.

Тактика, әдістер мен процедуралар (TTP)

SANS институты қауіпті аң аулаудың жетілу моделін былайша анықтайды:[7]

  • Бастапқы - 0 деңгейінде ұйым, ең алдымен, автоматтандырылған есептілікке сүйенеді және күнделікті мәліметтер жинамайды немесе мүлдем жасамайды.
  • Минималды - жетілудің 1 деңгейінде ұйым қауіп-қатер барлау индикаторларын іздейді. Оның күнделікті немесе орташа деңгейлі деректерді жинау деңгейі бар.
  • Процедуралық - 2-ші деңгейде ұйым басқалар жасаған талдау процедураларын орындайды. Ол әдеттегі деректерді жинаудың жоғары немесе өте жоғары деңгейіне ие.
  • Инновациялық - 3-ші деңгейде ұйым мәліметтерді талдаудың жаңа процедураларын жасайды. Ол әдеттегі деректерді жинаудың жоғары немесе өте жоғары деңгейіне ие.
  • Жетекші - 4-деңгейде, деректерді талдаудың сәтті процедураларының көпшілігін автоматтандырады. Ол әдеттегі деректерді жинаудың жоғары немесе өте жоғары деңгейіне ие.

Уақыт

Кибершабуылшылар орта есеппен 99 күн жұмыс істемейді, бірақ Mandiant M-Trends Report-ке сәйкес үш күннен аз уақыт ішінде әкімшінің тіркелгі деректерін алады.[8] Зерттеу көрсеткендей, шабуылдардың 53% -ы сыртқы тараптың хабарламасынан кейін ғана ашылады.[9]

Анықтауға дейінгі орташа уақыт

Понемон институтының хабарлауынша, 2016 жылы орташа қауіпті қауіпті анықтау үшін 170 күн, жұмсарту үшін 39 күн және қалпына келтіру үшін 43 күн қажет болды.[10]

Есептер мысалы

Қауіпті аң аулаудың мысалы

Сондай-ақ қараңыз

Әдебиеттер тізімі

  1. ^ «Киберқауіптілікпен аң аулау: осалдығын анықтау стратегиясы талдаушыларға қалай мүмкіндік береді - TechRepublic». TechRepublic. Алынған 2016-06-07.
  2. ^ «MITER Kill Chain». Алынған 2020-08-27.
  3. ^ «Киберқылмыскерлерге қарсы соғысқа қатысты қауіп-қатер туралы ақпарат платформасы». Алынған 2019-02-17.
  4. ^ «Төменгі қабықтағы киберқауіпті интеллект (CTI)». Алынған 2020-07-27.
  5. ^ Stillions, Ryan (2014). «DML моделі». Ryan Stillions блогы. Райан Стиллионс.
  6. ^ Bromander, Siri (2016). «Семантикалық киберқауіпті модельдеу» (PDF). Интеллект, қорғаныс және қауіпсіздік үшін семантикалық технология (STIDS 2016).
  7. ^ Ли, Роберт. «Кім, не, қайда, қашан және қалай тиімді қорқыту». SANS институты. SANS институты. Алынған 29 мамыр 2018.
  8. ^ «Қауіпті аң аулау (TH)» (PDF). бір қауіпсіздік.
  9. ^ «Зиянды бағдарламаны анықтау және алдын-алу жағдайы». Понемондар институты. Понемондар институты. Алынған 29 мамыр 2018.