SOC analistleri ve MSSP’ler için uygulamalı siber güvenlik tehdidi av kılavuzu

Bu kapsamlı rehber, SOC analistlerine ve MSSP ekiplerine gelişmiş tehdit istihbarat platformlarını kullanarak pratik tehdit avcılık teknikleri sunmaktadır. Modern tehdit aktörleri sürekli olarak sofistike kaçırma teknikleri geliştirerek geleneksel tespit yöntemlerini kapsamlı güvenlik operasyonları için yetersiz hale getirir.

Burada özetlenen stratejiler, ortaya çıkan tehditleri tanımlamak, ortalama yanıt süresini (MTTR) azaltmak ve çeşitli tehdit manzaralarında olay tepkisi etkinliğini artırmak için davranışsal göstergeler, MITER ATT & CK çerçeve entegrasyonundan ve gelişmiş sorgu özelliklerinden yararlanmaktadır.

Etkili tehdit avı, son derece spesifik ve bağlamsal aramalar için 40’tan fazla parametreyi destekleyen sofistike sorgu sözdizimini anlamakla başlar.

Temel yapı tipik olarak bir parametre, bir kolon ve bir değer içerir, genellikle tırnak işaretlerine alınır. Mantıksal operatörler, ve operatörün her iki koşulun da doğru olmasını gerektirdiği etkili sorguların oluşturulmasında önemli bir rol oynar, OR operatör en az bir koşulun tatmin edilmesini gerektirir ve operatör, belirli koşullarla eşleşen sonuçları hariç tutar.

Joker karakterler ve özel karakterler sorgu esnekliğini önemli ölçüde artırır. Yıldız işareti

Herhangi bir sayıda karakteri temsil eder, soru işareti (?) Tek bir karakteri temsil eder, Caret (^) bir dizenin başlangıcıyla eşleşir ve dolar işareti ($) bir dizenin sonuyla eşleşir.

Bu öğeler, analistlerin dosya özellikleri, süreç etkinlikleri, ağ iletişimi, kayıt defteri işlemleri ve tehdit sınıflandırmaları arasında kesin aramalar oluşturmalarını sağlar. Gibi tehdit istihbarat arama hizmetlerini kullanmak Any. run

15.000 kurumsal SOC ekibi de dahil olmak üzere, interaktif sanal alanının 500.000’den fazla kullanıcısı tarafından sürekli olarak güncellenen geniş bir kötü amaçlı yazılım veritabanına erişim sağlayan bir arama motorunda uzmanlaşmıştır.

Platformun sofistike sorgu sözdizimi, 40’tan fazla parametreyi destekleyerek, daha fazla araştırma için yüzlerce ilgili analiz oturumu, kötü amaçlı yazılım örnekleri veya göstergeleri sunabilen son derece spesifik ve bağlamsal aramalar sağlar.

Hizmet, davranışsal arama, general ATT & CK çerçeve entegrasyonu, dosya korelasyon yetenekleri ve Yara tabanlı tehdit avını içerecek şekilde geleneksel uzlaşma göstergelerinin (IOCS) ötesine uzanır.

Bu kapsamlı yaklaşım, analistlerin IP adresleri, dosya karmalar, URL’ler, alan adları, kayıt defteri değişiklikleri, süreç etkinlikleri ve ağ iletişimi gibi çeşitli göstergelere dayalı arama yapmalarını sağlar. Herhangi bir.run’un tehdit istihbarat araması

• Kapsamlı tehdit avı ve analizini sağlayan altı temel işlev sunar: IOC Aramaları
• IP adresleri, kriptografik karmalar (MD5, SHA-1, SHA-256), alan adları ve URL’ler dahil olmak üzere geleneksel uzlaşma göstergelerinin ayrıntılı araştırmalarını kolaylaştırarak temel tehdit tanımlama yetenekleri sağlıyor. Davranışsal arama
• Kayıt defteri modifikasyonları, süreç yürütmeleri, ağ iletişimi ve muteks yaratımları gibi sistem faaliyetlerini analiz ederek statik göstergelerin ötesine uzanır, bu da yerleşik imzalardan veya karaya oturma tekniklerinden yararlanan yeni tehditleri tespit etmek için özellikle etkilidir. Miter teknikleri algılama
• Fonksiyon, ATT & CK çerçevesini entegre ederek, belgelenmiş saldırı dizileri ile eşleşen parametreli aramalar aracılığıyla belirli düşman taktikleri, teknikleri ve prosedürleri (TTPS) için yapılandırılmış avlanmayı mümkün kılar. Dosya/Olay Korelasyonu
• Yetenekler, farklı saldırı bileşenleri arasındaki ilişkileri tanımlar, Mutex kreasyonları, kayıt defteri modifikasyonları ve ağ iletişimi gibi eserleri analiz oturumlarında bağlayarak kapsamlı tehdit zincirlerini ortaya çıkarır. Yara merkezli tehdit avı
• İkili desen eşleştirme yoluyla programlı algılama getirir ve daha önce gösterge bilgisine gerek kalmadan gizlemeye veya sürüm farklılıklarına rağmen temel kod tabanlarını paylaşan kötü amaçlı yazılım varyantlarının tanımlanmasına izin verir. Joker karakterler ve mantıksal operatörler

Çok karakterli eşleştirme için yıldız işaretleri, tek karakter ikamesi için soru işaretleri ve boole mantığı (ve/veya//veya değil), kesin tehdit hipotez testi için gruplandırma ile karmaşık sorgu yapısını etkinleştirin1. Bu işlevler, geleneksel IOC eşleşmesini davranışsal analiz ve çerçeveye duyarlı algılama metodolojileriyle birleştirerek ham analiz verilerini eyleme geçirilebilir zekaya dönüştürmektedir.

Coğrafi Tehdit Analizi

Ülke temelli tehdit tespiti, bölgesel tehdit manzaralarını anlamak ve jeopolitik olarak motive edilen saldırıları tanımlamak için temel bir tekniği temsil eder. Analistler, diğer göstergelerle birleştirilen SubmissionCountry parametresini kullanarak belirli bölgeleri hedefleyen belirli saldırı kampanyalarını etkili bir şekilde tanımlayabilir. submissionCountry:"br" AND threatName:"phishing"Örneğin, Brezilya’dan kimlik avı saldırılarını hedeflemek coğrafi ve tehdit sınıflandırma parametrelerini birleştirmeyi gerektirir:

Coğrafi Tehdit Analizi submissionCountry:"in" AND commandLine:"powershell" AND threatLevel:"malicious"Bu coğrafi yaklaşım, meşru sistem araçlarından yararlanan sofistike saldırıları analiz ederken özellikle değerli hale gelir. Hindistan’dan PowerShell komutlarını içeren kötü amaçlı başvuruların belirlenmesi şu şekilde gerçekleştirilebilir:

.

Bu tür sorgular, güvenlik ekiplerinin saldırganların tekniklerini bölgesel özelliklere ve altyapıya dayalı olarak nasıl uyarladıklarını anlamalarına yardımcı olur.

MITER TO & CK Çerçeve Entegrasyonu

MITER ATT & CK çerçevesinin dahil edilmesi, analistlerin tehdit aktörleri tarafından kullanılan belirli taktikleri, teknikleri ve prosedürleri aramasını ve tehdit avına daha yapılandırılmış bir yaklaşımı kolaylaştırmasını sağlar. MITRE:"T1059" AND (commandLine:"powershell" OR imagePath:"mshta.exe")En yaygın tekniklerden biri olan Komut ve Komut Dosyası Yürütme (T1059), PowerShell kullanımını veya HTML Uygulama Ana Bilgisayar Yürütmesini hedefleyen sorgularla tanımlanabilir:

MITER TO & CK Çerçeve Entegrasyonu MITRE:"T1547" AND registryKey:"CurrentVersion\\Run"Kayıt Defteri Tabanlı Kalıcılık (T1547), kötü amaçlı yazılımların sistem erişimini korumak için Windows kayıt defterini değiştirdiği başka bir kritik tekniği temsil eder. Analistler, RUN anahtarında değişiklikler arayarak bu tür etkinlikleri tanımlayabilir:

.

Gelişmiş korelasyon teknikleri, süreç enjeksiyonunu, kalıcılık mekanizmalarını ve sistem bilgisi keşfi kullanan sofistike saldırı modellerini tanımlamak için birden fazla genergi tekniğinin birleştirilmesini içerir.

Gizli dosya davranışlarını tespit etmek

Kötü amaçlı yazılım yazarları, kötü amaçlı kodu gizlemek ve analizden kaçmak için sık sık gizleme teknikleri kullanırlar. Standart olmayan dizinlerde yürütülebilir ürünlerin tanımlanması, dikkatli sorgu yapısı ile tespit edilebilen ortak bir kaçaklama tekniğini temsil eder. fileExtension:"exe" AND NOT filePath:"Windows*" AND NOT filePath:"Program Files*"Standart Windows dizinleri dışında yürütülebilir dosyalar arayarak analistler potansiyel olarak şüpheli etkinlikleri belirleyebilir:

Gizli dosya davranışlarını tespit etmek commandLine:"powershell" and fileExtension:"js" Script tabanlı gizleme, özellikle JavaScript dosyaları çok aşamalı saldırılarda PowerShell komutlarını yürüttüğünde başka bir zorluk sunar. Sorgu

Bu tür gizleme girişimlerini etkili bir şekilde tanımlar.

Bu yaklaşım, analistlerin saldırganların tespitten kaçınırken hedeflerine ulaşmak için farklı teknolojileri nasıl katmanlarını anlamalarına yardımcı olur.

Kalıcılık mekanizmaları

Kalıcılık mekanizmaları syncObjectName:"rmc"Kötü amaçlı yazılımlar tarafından tekil bir yürütme sağlamak için kullanılan Mutex nesneleri, senkronizasyon nesnesi parametreleri aracılığıyla araştırılabilir. Örneğin, “RMC” Mutex’i aramak, Remcos Truva atı ile bağlantıları ortaya çıkarır:

.

Etki alanı üretimi algoritması algılama

Etki alanı üretim algoritmaları (DGA’lar), kötü amaçlı yazılımların komut ve kontrol iletişimi için dinamik olarak alan adları oluşturduğu sofistike kaçırma tekniklerini temsil eder. domainName:".top" OR domainName:".xyz" AND (destinationPort:"80" OR destinationPort:"443") AND threatLevel:"malicious"DGA tabanlı kötü amaçlı yazılımların tanımlanması, etki alanı özelliklerine ve iletişim modellerine odaklanmayı gerektirir1. Aktif iletişim ile nadir görülen üst düzey alanların hedeflenmesi DGA aktivitesini ortaya çıkarabilir:

Etki alanı üretimi algoritması algılama domainName:".workers.dev" AND threatLevel:"malicious"Modern saldırganlar, kötü niyetli içeriklere ev sahipliği yapmak için Cloudflare çalışanları gibi meşru hizmetleri giderek daha fazla kötüye kullanıyor. Analistler bu tür kötüye kullanımı hedeflenen aramalarla tanımlayabilirler:

. Bu yaklaşımın, meşru altyapı üzerinde barındırılan yüzlerce kimlik avı alanının belirlenmesinde etkili olduğu kanıtlanmıştır.

Sofistike sorgu yetenekleri yoluyla gelişmiş tehdit avı, SOC analistlerinin ve MSSP ekiplerinin tehditleri daha etkili bir şekilde tespit etmelerini, önceliklendirmesini ve içermesini sağlar.

Coğrafi analiz, MITER ATT & CK çerçeve teknikleri, davranışsal örüntü tanıma ve kalıcı izleme entegrasyonu kapsamlı savunma stratejileri yaratır.

Are you from SOC/DFIR Teams! - Interact with malware in the sandbox and find related IOCs. - Request 14-day free trial