碳泽解读 | 如何进行威胁狩猎

目录

• 前言
  

• 什么是狩猎

• 开始狩猎需要什么
  

• 狩猎是否适合您的组织

01

前言

在信息安全的世界里，各种新名词层出不穷。这些名词在信息安全厂商之间开始传播，出现在各种会议上、厂商的网站上和展位上。最后信息安全行业中的每个人都在提及它们，但很少有人能准确理解它们的真正含义。通常它们被定义为定义者在做什么。这有点好笑。但事实并非如此。因为如果您负责让您的组织更安全，您就会想知道什么是真实的（最重要的）以及是否应该关注。

“狩猎”一词就是一个很好的例子。 自 2011 年首次提出以来，它已经有近七个年头。事实上，它比一些较新的流行语有更多的时间来打磨，这可能是它如此令人困惑的原因。无论出于何种原因，我们都希望揭开狩猎的神秘面纱。

02

什么是狩猎

简而言之，狩猎是一种主动的努力，它应用假设来发现可能被您的安全设备漏掉的可疑活动。

这并不意味着您不能使用您的安全工具进行狩猎（我们稍后会谈到）。 但是查看来自端点检测和响应 (EDR) 工具的告警并不是狩猎，那是告警管理。

狩猎与告警管理的对比:

—	狩猎	告警管理
方式	主动	被动
时间表	溯及既往	运气/碰巧
数据源	批量数据	特定安全事件

这是另一种思考方式。 通过狩猎，您假设某些事情已经失败并且您已经受到攻击。攻击者已经越过了边界（也就是进入了内部网络），而您正在寻找他们。由于您不知道攻击者隐藏在哪里或他们试图冒充谁，您需要从基于攻击者常用策略的理论开始。 

然后，一旦您知道您打算如何寻找攻击者，您就需要仔细观察以识别看起来有点不对劲的活动。看起来不正常的事情会成为分析师进一步审查的调查线索。

狩猎流程概览：

举例：查找被盗的用户凭据

攻击者使用许多不同的方法来窃取用户凭据，以便他们可以融入正常活动并避免怀疑。 但是，当攻击者使用这些被盗的凭据访问系统时，他们的位置通常与用户的真实位置大不相同。

例如，纽约的攻击者可以使用被盗的凭据登录，30分钟后，真正的用户可以在洛杉矶登录。飞机肯定飞不了那么快。通过查看用户登录的位置，可以识别地理上差异太大又无法证明合法用户旅行的登录活动。

狩猎技术示例：使用登录地理位置不可行性查找被盗帐户：

狩猎步骤	描述
步骤1：选择攻击者战术	凭据访问
步骤2：确定要验证的假设	如果攻击者要使用被盗的用户凭据，他们可能会从与合法用户不同的地理位置登录
步骤3：收集数据检验假设	VPN认证日志 Office 365日志 其他远程认证源
步骤4：过滤数据以发现不正常的活动	选择远程登录组合，用户必须比可能的速度更快地旅行 删除所有可能属于用户通勤的事件 从移动设备中删除身份验证尝试
步骤5：查看结果并改进、拒绝或确认假设	细化：如果结果和/或假设需要进一步细化以缩小发现范围，返回步骤2 确认：如果结果产生与您的假设相匹配的调查线索，对线索进行调查 拒绝：如果即使经过细化，结果也不能提供足够的数据来支持假设，返回步骤2

03

开始狩猎需要什么（基础知识）

既然我们已经讨论了什么是狩猎，那么让我们确定狩猎所需的基本工具。

1. 某人（或某些人）进行狩猎：狩猎需要合适的人。或者至少是需要人判断和评估收集的数据。但是，如果您的组织比较小，或者您的安全程序还没有成熟，您将不得不去寻找“某人”。 这可能很难。优秀的威胁猎手通常会在事件响应团队中工作过一段时间，他们渴望做一些取证，他们可能只是为了好玩而至少逆向过一个恶意软件。这样的人比较昂贵，也不容易找到。 一旦找到就需要尽量留住（说起来容易做起来难）。当然，如果您决定不想或找不到自己的猎手，那么有一系列安全供应商和托管检测和响应 (MDR) 提供商很乐意为您提供帮助。

2. 收集数据的安全设备：一旦您解决了人的问题，下一个任务就是为他们提供一些数据。 为此，您需要安全设备。端点检测和响应 (EDR) 工具是一个很好的起点，但它们并不是全部。端点是真相的来源，但您的防火墙、SIEM或网络取证工具也会收集包含关键细节的数据，以识别恶意活动和充实故事。您收集的数据越多，可以狩猎的就越多。但不要沉迷于工具。至少，如果您拥有端点或网络工具，那么您就拥有了开始所需的一切。

3. 要狩猎的清单：最后，您需要决定要狩猎的东西。 了解您想要探查的策略将指导您需要收集的数据以及寻找哪些异常值。

MITRE ATT&CK框架是一个很好的起点。事实上，这就是我们在使用的。它概述了攻击者在攻击生命周期的每个阶段通常使用的战术和技术。当您考虑要狩猎什么时，您必须确保您拥有可以为您提供所需特定类型数据的工具。对您有多少时间要实事求是。

如果您选择外包您的狩猎能力，请确保您要求您的服务提供商解释他们将如何狩猎以及他们的技术如何与您拥有的安全工具保持一致。 如果他们的答案模糊不清，就可以考虑下一家了。

04

狩猎是否适合您的组织

既然我们希望或者说已经从狩猎中解开了一些谜团，您可能想知道它是否应该成为您关注的点。 虽然它确实提供了额外的安全级别，但并不是每个组织都能实施狩猎计划。

我们建议您评估您的风险和资源，以确定您是否应该制定狩猎计划。 如果您在高风险（攻击者的常见目标）的环境中运营——比如银行、政府、基础设施和存储大量个人和财务信息的企业——那么狩猎可能是有意义的，因为有很多对手试图渗透您的网络。

但是，如果您的组织的风险状况是中低风险，那么您很可能是恶意软件的目标，并且应该评估最需要您的资源的地方。 

在这种情况下，狩猎可能会占用大量时间，并分散您对优先级列表中可能更高的事情的注意力，例如有效的反网络钓鱼控制、资产管理、第三方评估以及构成的无数其他事情有效的网络风险计划。做正确的安全是困难的，当您应该专注于建立更安全的基础时，专注于狩猎实际上会让您变得更不安全。

不管怎样，您都应该有意识地决定自己是否在狩猎。不要因为您的员工开始追逐新东西，并发现他们在网络中寻找可疑的活动而意外地开始狩猎。

也就是说，如果您认为一个正式的狩猎计划是有意义的，那么这里有两个好的起点：您在狩猎什么以及如何找到它。

您在狩猎什么	如何找到它
战术：横向移动 假设： 使用特权凭据横向移动的攻击者将访问与合法用户不同的机器。	收集：包含认证事件的日志。 理想状态是包含下列日志： 登录使用的用户名和IP 目标主机明/IP 登录时间 过滤器： 将新用户身份验证事件与已知基线进行比较，并调查在新访问的机器中显示出显著上升的用户。
战术：执行 假设： 攻击者使用本地工具的行为看起来不同，发生频率低于合法活动。	收集：进程执行事件。 存在很多事件。但它们可能是一座金矿。 关注以下流程的子集： Powershell.exe Cscript.exe Python.exe Regsvr32.exe 过滤器： 从进程路径或参数中删除可能不代表新活动（用户名、GUID、数字）的任何唯一字段，然后按计数对所有唯一事件进行排序，并删除任何超过特定阈值的事件

在接下来的两篇我们将与大家分享【开始威胁狩猎计划必须要做的三件事】以及【如何在威胁狩猎中发现异常进程关系】，请持续关注！

End

碳泽信息

        新一代智能安全运营平台 

       电话：400-1788-258

销售咨询：[e-mail]

技术支持：[e-mail]

官网：http://www.tanze.net.cn

往期推荐: