Mae chwilio am fygythiadau yn troi'r model diogelwch traddodiadol ar ei ben: yn lle aros am rybuddion, rydych chi'n rhagdybio'n weithredol bod yna ddigwyddiad a mynd i chwilio am dystiolaeth. Yn dda, mae'n dal gelynion sy'n llithro heibio i amddiffynfeydd awtomatig. Mae'r canllaw hwn yn cerdded trwy broses ymarferol, ailadroddadwy y gallwch chi ei chymhwyso ni waeth beth yw maint eich sefydliad na'r offer sydd gennych.
Pam Mae Chwilio yn Bwysig
Detection seiliedig ar lofnod a hyd yn oed y rhan fwyaf o ddadansoddiad ymddygiad yn unig yn dal patrymau "drwg hysbys" neu anormaleddau amlwg. Mae cyrchowyr medrus yn bwriadol yn gweithredu o dan y trothwy hwn, gan ddefnyddio offer dilys (binaries byw-oddi-ar-y-tir), manwoliaethau dilys, ac symudiad araf a diynedd. Mae chwilio am fygythiadau yn cau'r bwlch hwn trwy gael dadansoddwr dynol i ffurfio damcaniaethau am ymddygiad ymosodwyr ac i chwilio'n weithredol am dystiolaeth ategol yn eich telemetreg.
Adeiladu Proses Seiliedig ar Ddamcaniaeth
Mae helfeydd effeithiol yn dechrau gyda damcaniaeth benodol, y gellir ei phrofi, yn hytrach na "pysgota" ddi-nod. Yn nodweddiadol, mae damcaniaethau da yn dod o dri ffynhonnell:
- Heddlu bygythiad: Mae adroddiad newydd yn disgrifio techneg a ddefnyddir gan grŵp sy'n targedu eich diwydiant. Damcaniaeth: "Os yw'r grŵp hwn yn weithredol yn ein amgylchedd, byddem yn gweld PowerShell yn llwytho llwythi trwy batrwm penodol."
- Bylchau MITRE ATT&CK: Mapiwch eich terfyniad canfod cyfredol yn erbyn technegau ATT&CK a threfnu'r tâl ar gyfer technegau na allwch chi eu canfod yn awtomatig ar hyn o bryd.
- Chwilfrydedd wedi'i ysgogi gan anormal: Amserau mewngofnodi anghyffredin, perthynas rhiant-plentyn broses anaml, neu gysylltiadau allongarn annisgwyl nad ydynt yn triglo rybuddion ond sy'n edrych yn od wrth adolygu.
Dogfennwch bob damcaniaeth, y ffynonellau data y byddwch chi'n eu holi, a pha dystiolaeth fyddai'n ei gadarnhau neu ei wrthbrofi. Mae'r disgyblaethau hyn yn atal helfeydd rhag mynd yn fewnblyg ac yn gwneud canlyniadau yn ailadroddadwy.
Adnabod Eich Ffynonellau Data
Ni all helfaeth fod cystal â'r telemetreg y tu ôl iddi. Mae ffynonellau craidd yn cynnwys:
- Cofnodion Endpoint Detection and Response (EDR): creu proses, dadleuon llinell orchymyn, ysgrifennu ffeiliau, cysylltiadau rhwydwaith fesul proses.
- Cofnodion Digwyddiad Windows: yn enwedig Diogelwch (4624/4625 mewngofnodion), Sysmon (creu proses, rhwydwaith, cofrestr), a chofnodion gweithredol PowerShell.
- Data rhwydwaith: cofnodion NetFlow/Zeek ar gyfer metadata cysylltiad, cofnodion ymholiad DNS, a chofnodion dirprwy ar gyfer trafig gwe allongarn.
- Cofnodion dilysu: o ddarparwyr hunaniaeth, VPNau, a gwasanaethau trefnolaeth i nodi teithio amhosibl neu gamdefnyddio manwoliaethau.
- Cofnodion archwiliad y cwmwl: CloudTrail, Azure Activity Logs, neu Cofnodion Archwiliad GCP ar gyfer newidiadau braint ac ann-defnyddio API.
Canoli'r rhain mewn SIEM neu lyn data lle gallwch chi redeg ymholiad ad-hoc yn gyflym. Os yw eich cadwraeth yn rhy fyr, mae helfeydd yn erbyn treiddiadau hanesyddol yn dod yn amhosibl—anelwch am o leiaf 90 diwrnod lle bo hynny'n bosibl.
Technegau Chwilio Ymarferol
Cyfrif pentwr (dadansoddiad amledd): Cyfrwch ddigwyddiadau maes—enwau proses rhiant, enwau tasg wedi'i amserlennu, enwau gwasanaeth—ar draws eich amgylchedd. Mae allgoriad (proses yn rhedeg ar un lleoliad allan o ddeg mil) yn aml yn nodi rhywbeth sy'n werth ei ymchwilio.
SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;Amledd lleiaf mynychder (LFO): Yn debyg i bentyrru ond yn gymwys i gyfuniadau, megis parau (defnyddiwr, source_ip) ar gyfer dilysu, i arwyneb patrymau mynychder anaml.
Gwyriad llinell sylfaen: Sefydlu yr hyn sy'n "normal" ar gyfer lleoliad neu ddefnyddiwr (oriau mewngofnodi nodweddiadol, prosesau cyffredin) ac anffyddloni gwyriadau. Mae hyn yn gofyn am fuddsodiad cychwynnol mewn proffilio ond yn talu ar gyfer helfeydd parhaus.
Troi tuag at IOCs a TTPs: Dechrau o ddangosydd hysbys (hash, parth, IP) neu dechneg (e.e., T1055 mewnbwytho proses) a chwilio ar draws holl gofnodion sydd ar gael am weithgarwch cysylltiedig, yna troi'n allongarn o unrhyw daro i ddod o hyd i seilwaith cysylltiedig neu leoliadau yr effeithiwyd arnynt.
Offer sy'n Werth eu Dysgu
- Sysmon + Rheolau Sigma: Mae Sysmon yn darparu telemetreg endpoint cyfoethog; mae Sigma yn rhoi fformat rheol symudol i chi i ganfod a chwilio ar draws llwyfannau SIEM.
- Velociraptor neu osquery: Ar gyfer ymholi byw ar draws y fflyd pan fydd angen i chi wirio cannoedd o ddiwyddiannau am ddarn penodol o dystiolaeth nawr.
- Zeek: Ar gyfer dadansoddiad protocal rhwydwaith dwfn y tu hwnt i NetFlow syml.
- MITRE ATT&CK Navigator: I olrhain a ffigureddoli terfyniad chwilio dros amser.
Cau'r Ddolen
Dylai pob helfaeth cynhyrchu canlyniad y tu hwnt i "ddim wedi dod o hyd i ddim byd." Os ydych chi'n cadarnhau gweithgarwch maleisus, bwydiaid yn mewn i ymateb digwyddiad. Os ydych chi'n dod o hyd i fwlchau mewn gwelediad, rhowch ticedi peirianneg canfod iddynt. Os yw techneg helfaeth yn profi'i bod yn werthfawr, trosi iddi yn rheol canfod awtomatig fel bod digwyddiadau yn y dyfodol yn triglo rybuddion heb ymdrech â llaw. Mae hyn yn troi chwilio am fygythiadau yn injan gwelliant parhaus ar gyfer eich rhaglen diogelwch gyfan yn hytrach na ymarfer untro.
Cadw cofnod helfaeth gyda damcaniaethau, ymholiad a ddefnyddiwyd, a chanfyddiadau—mae'r gwybodaeth sefydliadol hon yn cyfansoddi dros amser ac yn gwneud cyflwyno helwyr newydd lawer yn gyflymach.
Yn barod i fynd yn ddyfnach? Archwiliodd segmentau Digital Forensics a Blue Team Korra Studio i adeiladu'r sgiliau canfod ac ymchwilio sy'n paru'n naturiol gyda chwilio am fygythiadau.