Καλώς ήρθατε πίσω.
Τώρα που ξέρετε τον ρόλο του threat detection,
είναι ώρα να εστιάσουμε στα στοιχεία στα οποία βασίζονται οι ομάδες ασφαλείας για να εντοπίσουν επιθέσεις.
Indicators of compromise ή IOCs.
Αυτά είναι τα ψηφιακά αποτυπώματα που αφήνει πίσω της η malicious activity.
Σε αυτό το μάθημα, θα αναλύσουμε τι είναι τα IOCs.
Θα δείξουμε πραγματικά παραδείγματα και θα εξερευνήσουμε πώς χρησιμοποιούνται για τον εντοπισμό απειλών σε εξέλιξη.
Τα Indicators of compromise είναι αποδεικτικά στοιχεία που υποδηλώνουν
ότι ένα σύστημα ή δίκτυο έχει παραβιαστεί (breached) ή βρίσκεται υπό επίθεση.
Βοηθούν τους αναλυτές να απαντήσουν σε ερωτήσεις όπως τι συνέβη;
Πότε συνέβη;
Πού ξεκίνησε;
Αυτοί οι δείκτες βρίσκονται σε logs, αρχεία δραστηριότητας συστήματος,
network traffic, και μερικές φορές στη συμπεριφορά των χρηστών.
Εδώ είναι μερικά από τα πιο κοινά IOCs.
Οι ομάδες ασφαλείας παρακολουθούν ύποπτες διευθύνσεις IP
που είναι γνωστό ότι συνδέονται με threat actors.
File hashes που ταιριάζουν με γνωστό malware,
αλλαγές registry ή ρυθμίσεων σε endpoints.
Νέοι admin accounts που δημιουργήθηκαν απροσδόκητα
ασυνήθιστες ώρες
login ή πρόσβαση από περίεργες τοποθεσίες.
Κάθε IOC είναι ένα στοιχείο ότι κάτι μπορεί να πηγαίνει στραβά.
Τα IOCs προέρχονται από μια ποικιλία πηγών,
logs συστήματος και εφαρμογών.
Εργαλεία EDR endpoint detection and response
Πλατφόρμες SIEM που συγκεντρώνουν δεδομένα
Ροές threat intelligence που
μοιράζονται γνωστά IOCs σε όλο τον κλάδο.
Οι ομάδες ασφαλείας συλλέγουν και συσχετίζουν αυτούς τους δείκτες
για να ερευνήσουν απειλές γρήγορα και διεξοδικά.
Να πώς χρησιμοποιούνται τα IOCs στον κύκλο ζωής του εντοπισμού.
Ένα: εντοπισμός (detect) - ενεργοποιείται ένα IOC, π.χ.
βρέθηκε ένα γνωστό κακό hash. Δύο: επικύρωση (validate).
Ο αναλυτής ερευνά.
Είναι πραγματική απειλή ή false positive;
Τρία: κλιμάκωση (escalate) - αν είναι πραγματική, η ειδοποίηση περνά στους incident responders.
Τέσσερα: απόκριση (respond).
Η ομάδα αναλαμβάνει δράση.
Περιορισμός. Αφαίρεση. Ανάκαμψη.
Η αποτελεσματική ανάλυση IOC επιτρέπει γρήγορο και εστιασμένο incident response.
Ας δούμε μια βασική ροή επίθεσης χρησιμοποιώντας IOCs.
Ένα: ασυνήθιστο login στις τρεις π.μ. από ξένη IP.
IOC νούμερο ένα.
Δύο: άγνωστο εκτελέσιμο εμφανίζεται σε φακέλους συστήματος IOC νούμερο δύο.
Τρία: εξερχόμενη σύνδεση σε γνωστό command and control
C2 server IOC νούμερο τρία.
Κάθε δείκτης μόνος του μπορεί να είναι ύποπτος.
Μαζί λένε μια ιστορία και αυτή η ιστορία ενεργοποιεί το incident response.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη τι είναι ένα indicator of compromise;
Α μια ρύθμιση firewall.
Β ένας τύπος καλωδίου δικτύου.
Γ αποδεικτικά στοιχεία που υποδηλώνουν ότι ένα σύστημα μπορεί να έχει παραβιαστεί.
Δ ένα κρυπτογραφημένο μήνυμα.
Παύση.
Η σωστή απάντηση είναι Γ ένα IOC είναι ένα σήμα
ότι malicious activity μπορεί να συμβαίνει ή έχει ήδη συμβεί.
Ερώτηση δύο ποιο από αυτά είναι ένα κοινό παράδειγμα ενός IOC;
Α υπενθύμιση λήξης κωδικού πρόσβασης.
Β Ένας νέος admin account που δημιουργήθηκε απροσδόκητα.
Γ συνδεδεμένος χρήστης που ελέγχει email.
Δ Μια ειδοποίηση ενημέρωσης λογισμικού.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι Β
μη εξουσιοδοτημένο privilege escalation είναι ένα ισχυρό indicator of compromise.
Τελευταία ερώτηση πού βρίσκονται συνήθως τα IOCs;
Α μόνο σε αρχειοθετημένα emails.
Β σε threat intelligence feeds, logs και endpoint δεδομένα.
Γ φυσικά ντουλάπια αρχείων.
Δ αναρτήσεις στα social media.
Σκεφτείτε το καλά.
Η σωστή επιλογή απάντησης είναι.
Β τα IOCs συλλέγονται από πολλαπλές πηγές.
Logs, εργαλεία ασφαλείας, και κοινόχρηστο threat intelligence.
Εξαιρετική δουλειά.
Τώρα καταλαβαίνετε τι είναι τα indicators of compromise,
πώς εντοπίζονται, και πώς υποστηρίζουν την ταχεία απόκριση σε απειλές.
Στο επόμενο μάθημά μας, θα δούμε πώς οι οργανισμοί παρακολουθούν
για αυτές τις απειλές σε πραγματικό χρόνο χρησιμοποιώντας SIEMs και εργαλεία παρακολούθησης ασφαλείας.
Ας συνεχίσουμε να χτίζουμε το κιτ εργαλείων εντοπισμού σας.