Recommended
More Related Content
Similar to EISS-2022上海站 如何开展威胁狩猎.pptx
Similar to EISS-2022上海站 如何开展威胁狩猎.pptx (20)
EISS-2022上海站 如何开展威胁狩猎.pptx
- 3. 目录
- 4. 1. Threat Hunting 介绍
- 5. Ask 10 security professionals for the definition of threat hunting and you’ll get 11 answers 什么是威胁狩猎（定义）
- 6. 什么是威胁狩猎（定义） • Threat hunting uses new information on previously collected data to find signs of compromise evading detection. – SANS 2019 Building and Maturing Your Threat Hunting - David Szili (CTO @ Alzette Information Security) • Threat hunting是一个active/proactive活动，对象是所在组织的任何相关环境 (everything)，内容是发现任何失陷的信号(signs of being compromised)，输 出是否失陷的评估。- Chris Brenton – COO @ Active Countermeasures • Threat hunting不针对已经能检出的威胁，是专项的、周期性开展的建立在“假设”的 基础上的安全活动。- John Dwyer & Neil Wyler @ IBM X-Force – BlackHat US 2022 • Threat hunting is the practice of proactively searching for cyber threats that are lurking undetected in a network. - CrowdStrike • Threat hunting is the practice of searching for cyber threats that might otherwise remain undetected in your network. - CheckPoint
- 7. 什么是威胁狩猎（定义） • 是一种安全活动 • 基于防守已经失陷的假设 • 针对任何相关环境(Everything) • 致力于发现未被现有防御体系发现的失陷 • 由安全运营相关人员主动开展 • 活动是周期性的 • 有明确的结论（已失陷、未失陷） • 有确定的产出—Playbook（需要的数据源、分析规则/代码、转化检测规则） • 目标是解决安全防御体系中的痛苦金字塔（Pyramid of Pain）
- 10. 威胁狩猎在安全运营中的位置 [Security Operations Primer for 2022] (https://www.gartner.com/en/doc/759058-security- operations-primer-for-2022) 三个因素 四个领域 四个目标的闭环
- 11. 威胁狩猎在安全运营中的位置 Google 10x运营体系： - 事件收集(Event Logging) 和分析(Analyst)分成了不同 的阶段 - Threat Hunting一般作为更 高阶的运营活动，需要在一 定的建设基础之上开展 - 日志收集的完备性对 Threat Hunting的开展有一 定的影响 - Threat Hunting推进安全运 营、日志收集的完善和提高。 [ Google Cloud Summit 2022 ] https://services.google.com/fh/files/misc/googlecloud_autonomicsecurityoperations_soc10x.pdf
- 12. 威胁狩猎在安全运营中的位置 • 安全运营中的一项必须的安全活动 • 在安全检测（Detection）阶段开展，一般作为安全检测能力补充，但是活动会贯穿整个 安全运营生命周期 • 可以以Threat Intelligence作为输入，结果输出给Incident Response从而触发响 应流程 • 作为闭环的运营活动中的一环，对暴露面管理（ASM）、事件收集（EC）、检测引擎 （DE）、检测规则（DR）以及威胁情报（TI）改善有促进作用 • 作为闭环的运营活动中的一环，能够有效的提高团队的建设、人员的技能水平以及整个运 营活动的成熟度 • 效果依赖于现有事件日志、SIEM、TI等运营平台的完成度以及检测规则的优化 • 但是，并不是说，只有成熟的安全运营建设完成才能开展Threat Hunting • 处于安全运营的高阶阶段，解决痛苦金字塔（Pyramid of Pain）上层问题
- 13. 威胁狩猎为什么重要而且必须 一般发现失陷是事件的6个月后 多数的失陷事件是第三方安全厂 商发现的 现有的日志分析或SIEM平台只 能检出2.5%的事件 [What Is Threat Hunting and Why Is It so Important? – Video Blog] https://www.activecountermeasures.com/what-is-threat-hunting-and-why-is-it-so-important-video-blog/
- 15. 威胁狩猎为什么重要而且必须 • 将未知威胁转换为已知威胁，实现有效的威胁管控 • 更深入检验现有的数据采集、检测规则、情报成熟度等 • 更深入检验现有防御手段的覆盖面以及缺失面 • 更深入理解现有的安全防御环境，包括网络、机器、业务和人等 • 连接整体安全运营闭环，提高安全运营成熟度 • 提高团队人员技战术水平 • 做更有趣的事情 • 满足合规、治理需求 • 实现对威胁从What到Why的转换 • 验证Threat Intelligence针对当前组织的有效性，并识别针对当前组织的攻击团队以及手法 • 可以用作针对特定安全领域的专项研究，了解组织在该领域中的状况 • 增加管理者对当前网络环境的信任程度
- 16. 2. Movitation & Preparation
- 17. Where to Start？ GOST Framework Element Definitions GOALS OBJECTIVES STRATEGIES TACTICS Strategy Kiln GOST Framework 寻找失陷和未知威胁 理解当前安全态势 组织 团队 个人 提高技战术水平 提高安全运营闭环成熟 度 Everyone on the Same Page 外部威胁检测覆盖面增加n% 外部攻击组织手法TTP增加n% 失陷检出数（含模拟）x 实现n个TH Playbook 发现n个失陷和事件 转换n个检测规则 增加n个防护面和日志源 …… 分析n个APT组织和手法 开发、使用n个分析、攻击工具 …… TH作为SOC中的主导运营活动 清晰TH和TI、IR、DE关系 制定TH开展的周期（周/月/季） 组建TH团队 建立可重复、标准化、可测试、 可度量的TH活动 Miter ATT&CK Matrix ETDA(https://apt.etda.or.th/cgi -bin/aptsearch.cgi Filled By Yourself Filled By Yourself Filled By Yourself
- 18. 组织团队 • Team Lead • Host-based Analyst • Network-based Analyst • Treat Intelligence Analyst • …… • 可以同时兼任TI、IR成员，也可以 独立职能 • 扁平化，每个人为自己负责 • 欢迎独行侠 • 流程重于组织架构 • 规范重于内容和结果 [The foundation of Threat Hunting] https://www.amazon.com/Foundations-Threat-Hunting- Organize-effective/dp/180324299X [NICCS Cybersecurity Work Roles] https://niccs.cisa.gov/about-niccs/workforce-framework- cybersecurity-nice-framework-work-roles ☓
- 19. 准备工作 • Data Souce • 边界、纵深的防御设施 • Data Dictionary • Know Your Data • Data Reliability • 完备性、时效性、准确性、可验证性、持续性 • Technology Stack • OTHF Skills Matrix • Tools（一下仅为示例，更多看个人喜好） • 搭建实验室 • https://github.com/clong/DetectionLab • 分析工具 • https://github.com/microsoft/msticpy • https://github.com/ThreatHuntingProject/hunter • https://github.com/reprise99Sentinel-Queries • 自造数据 • https://securitydatasets.com/ SIEM
- 20. 威胁狩猎类型 Developing an Intelligence-Driven Threat Hunting Methodology Joe Slowik, Gigamon Applied Threat Research https://apt.etda.or.th/cgi-bin/listgroups.cgi https://attack.mitre.org/groups/ - 流量、进程、命令等基线 行为 从行为、基线出发
- 21. 3. 流程 Process
- 22. 流程 OTHF Process Kostas Medium Blog
- 24. 1. 开发假设 [Steps of the Scientific Method] https://www.sciencebuddies.org/science-fair- projects/science-fair/steps-of-the-scientific-method 科学方法是通过实验检验假设以回答问题的过程。 在医学、生物学、化学和物理学等领域的科学进步 中，它的使用可以追溯到数百年前。 "If _____[I do this] _____, then _____[this]_____ will happen."
- 25. 1. 开发假设 • Example： - Intelligence驱动的Hunting：组织是否面临APT-X组织攻击？ - TTP驱动的Hunting：环境中，是否存在通过Microsoft Word启动恶意进程？ - Mitre ATT&CK ID: T1204.002 (Execution) - Anomaly驱动的Hunting：环境中，是否存在从系统目录启动的未知二进制可执行文件？ • 更多案例 • https://github.com/ThreatHuntingProject/ThreatHunting • https://threathunterplaybook.com/intro.html
- 26. 2. 建立证据 了解攻击手法 采集数据源 - 了解攻击背景 - 了解常用方式和手段TTPs - 采集完善攻击指标(IOA) - 针对未披露攻击建设实验 室环境 - 确定Hunting需要的数据源 - 确认数据源是否完备，是否存在 缺失 - 确定所需的字段 - TDQM(Total Data Quality Management)
- 27. 3. 执行分析 [ Threat Hunting Tactics & Techniques by CyborgSecurity] https://www.cyborgsecurity.com/blog/threat-hunting-tactics- techniques/ • 制定策略 • Volumetric Analysis • Frequency Analysis • Clustering Analysis • Grouping Analysis • Ectd. • 验证假设 • 输出规则 • [Sentinel](https://github.com/DanielChronlund/DCSecurityOperati ons) • [Bert-Jan](https://github.com/Bert-JanP/Hunting-Queries- Detection-Rules) • https://threathunterplaybook.com/
- 28. 4. 归档 • 假设内容 • 背景 • 数据集 • 情报 • 数据源（缺失数据） • 必须字段 • 分析Playbook • 分析1… Query 1 • 分析2… Query 2 • …… • 结论 • 转换检测规则 • False Positives • Reference
Editor's Notes
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性
- 而在[NIST的安全框架IPDRR[16]](https://www.nist.gov/cyberframework)中，将将安全活动分为`Identify`、`Protect`、`Detect`、`Respond`、`Recover`的闭环活动，覆盖了针对企业资产的完整信息安全保护的周期，简称IPDRR框架 其中`DE.CM`阶段表示`Security Continuous Monitoring: The information system and assets are monitored to identify cybersecurity events and verfy the effectiveness of protective measures`，他在`DE.DP`之前，`DE.DP`阶段主要内容包括`Detection processes and procedures are maintained and tested to ensure awareness of anomalous events`。而Threat Hunting涉及了DE.CM-1、DE.CM-2、DE.CM-3、DE.CM-6、DE.CM-7，用于发现环境和组织中潜在的恶意威胁，同时Threat Hunting的结果也会反馈DE.DP-5 `Detection processes are continuously improved`。
- NIST 信息安全事件处置指南NIST.SP.800-61r2 [18]中，将事件响应(Incident Response)的生命周期分为准备、检测和分析、阻止、消除和恢复、后事件处置活动四个阶段。在The Foundations of Threat Hunting [17]这本书中，列举了IR生命周期每个阶段中会包含的安全运营活动列表，其中Threat Hunting归纳到了事件响应生命周期的检测和分析阶段，他将Threat Huting作为威胁检出的一项手段，也就是做为使用规则进行威胁发现和告警聚合的一种补充，主要目标还是尽可能的增加威胁的检出率，如下图所示。
- 我们再来看Gartner的安全运营模型，在Gartner [Security Operations Primer for 2022 [19]](https://www.gartner.com/en/doc/759058-security-operations-primer-for-2022)这篇文章中，安全运营包含三个因素、四个领域和四个目标的闭环，如下图： 三个因素是Gartner一直强调的人、流程、技术，安全的所有活动和目标都是围绕这三个因素开展，现代化的安全运营中心的建设同样是需要从这三个因素展开。Gartner的安全运营模型的四个领域包括：治理和运营、安全服务、安全监控/检测/响应技术、威胁和暴露面管理。其中，治理和运营主要强调安全团队的建设，安全人员的素质以及安全流程的规范，突出了人在信息安全运营过程中的作用；威胁和暴漏面管理则强调对保护的资产的范围确认，了解组织资产面临的威胁和风险；监控/检测和响应则更加注重安全事件的发现和处置闭环，强调处置的平台、流程和技术的建设；而安全服务的内容则是突出一系列的安全活动，如威胁狩猎、威胁情报、红蓝对抗，在威胁保护、响应之外，仍然需要一系列的安全活动来提高组织安全防护水平，关注于解决信息安全痛苦金字塔[13]顶端的内容。
- Google在今年的云峰会上分享了优化安全运营的议题，主张通过自动化等各种手段进行安全运营加速(10x SOC概念)，在提升安全运营效率的同时注重安全运营的持续改进的闭环活动。在Google的运营体系中，将日志收集(Event Logging)和分析(Analyst)分成了不同的阶段，Threat Hunting一般作为更高阶的运营活动，在建设的后期开展进行。或者我们也可以理解Google认为开展Threat Hunting是需要在一定的建设基础之上的，日志收集的完备性对Threat Hunting的开展有一定的影响。当然，Threat Hunting的一个作用也是会推进安全运营、日志收集的完善和提高。Google的持续检测和持续响应闭环如下。
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性
- Chris Brenton在文章[what is threat hunting and why is it so important [7]](https://www.activecountermeasures.com/what-is-threat-hunting-and-why-is-it-so-important-video-blog/)中描述了威胁狩猎的重要性，他认为：Threat Hunting是连接安全防护和安全响应的活动、一般发现失陷是事件的6个月后、多数的失陷事件是第三方安全厂商发现的、现有的日志分析或SIEM平台只能检出2.5%的事件等等。 不得不说Chris Brenton在这里的数据有些过于夸张，我也不认为国内已经有专职开展安全运营活动的公司能容忍安全事件的检出水平低到这个级别。但现实中我们面临的情况也并不那么乐观，Chris Brenton的数据虽然夸张，但是观点并不错误。
- 我们需要明确一个核心观点，就是被动的检测无法发现所有的威胁。在这里，被动的检测是指部署在各个区域的传感器、集中的SIEM系统以及事件响应IR活动，这也是目前最常见的`检测->研判->响应`流程。无法完全发现的原因有很多，总结起来是两个方面：1.信息安全是一门对抗的学科，它不是考试做所有题都有答案答对就能拿到满分，它也没有一成不变的铁律让安全从业人员按图索骥的开展建设。我们看到这些年CS在不断更新隐蔽特征，新的0Day总是在不合时宜的时间出现，APT组织的不断演化，都意味着防御手段和方法也要不断进化。2. 安全防御仍然是木桶效应，企业的防御水平取决于做的最差的那项，攻击者天然的占据优势。如是否所有的资产都能梳理清楚并有足够的人员和预算来覆盖安全防护，边界的防御和纵深的防御同样重要，核心资产和边缘资产不一致的防护级别可能导致同样严重的结果。这些都注定了信息安全防御很容易达到一个及格线，但是想获得优秀甚至向九十分迈进，都需要花费巨量的资源。
- team level benifits • Turns unknown risks into known risks and allows them to be managed effectively • Identifies adversarial activities that made it through existing defenses • Provides an increased understanding of what threats current defenses have visibility into and where those defenses could be lacking • Increases understanding of the enterprise for all personnel involved • Validates/develops a documented network baseline and map • Provides insight into potential system and network misconfigurations • Identifies gaps in logging and network visibility high level begifits • Improves adherence to legal and regulatory requirements • Aides in risk management decisions before or after major network reconfigurations, such as mergers with other organizations • Validates threat intelligence reporting specific to the organization and the threat actors that are targeting them • Can be utilized as a proof point for any investment adjustments into specific network security areas • Re-enforces stakeholders' trust in the confidentiality, integrity, and availability of the network
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性
- Active Countermeasures的COO、SANS的讲师Chris Brenton在Youtube上发表了一系列的教程[视频[14]](https://www.youtube.com/watch?v=lt1ld62Fids)来讲述Threat Hunting活动。Chris Brenton在2020年的文章[what is threat hunting and why is it so important [7]](中简要讲了对Threat Hunting的理解以及重要性