![57
發現可用來快篩的特徵
• 產生*ex.dll之惡意元件。
Search: sourcetype = MFTDump FileName=*ex.dll
• 反轉字元的scr檔案。
Search: sourcetype=MFTdump Filename=*?*.scr
• Listen在UDP 123及1025。
Search: sourcetype = netstat AND “:123” AND “:1025”
• 具Key logger功能，檔案寫入c:Document &
SettingsAll Usersnetlog
Search: sourcetype=strings AND“netlog”AND [end]](https://image.slidesharecdn.com/splunk-optimized-140430054342-phpapp02/75/Splunk-57-2048.jpg)
Uploaded byChing-Lin Tao
Splunk資安智慧分析平台
文档讨论了APT（高级持续性威胁）的特性和防御策略，强调了传统防御机制的不足，以及提升企业面对此类威胁的能力所需的措施。提出了Splunk作为一种数据分析平台的有效性，特别是在安全事件监控和管理中的应用。强调了面对未知威胁时的应对策略和Splunk在企业安全管理中的价值。
![Graylog Open 打造資安戰情中心經驗分享 [2024/05/16] @台灣資安大會 @台北南港展覽二館](https://cdn.slidesharecdn.com/ss_thumbnails/graylogopen-240516142111-0736bd2f-thumbnail.jpg?width=640&height=640&fit=bounds)
![採用開源軟體打造企業資安監測系統 [2022/10/06] @InfoSec Taiwan 2022](https://cdn.slidesharecdn.com/ss_thumbnails/random-221006155126-27e1c84e-thumbnail.jpg?width=640&height=640&fit=bounds)
![以開源軟體打造新創公司基礎資訊建設 [2020/08/01] @COSCUP2020](https://cdn.slidesharecdn.com/ss_thumbnails/random-200801094816-thumbnail.jpg?width=640&height=640&fit=bounds)
![從開源軟體的角度來聊聊資安應用 [2023/06/27] @資安五四三](https://cdn.slidesharecdn.com/ss_thumbnails/543-230627142214-a44b4373-thumbnail.jpg?width=640&height=640&fit=bounds)
Splunk資安智慧分析平台
- 1. 1 Splunk 資安智慧分析平台 陶靖霖 (WiselyTao) 精誠資訊 Splunk 產品經理
- 2.
- 3. 3 APT的特性 • 高度客製化，非常具有針對性 • 對傳統防禦機制具有欺騙性與隱蔽性 •具有持續行為，不達目的不罷休 • 沒有終極解決方案 • 非單一產品可以應對
- 4. 4 APT的防禦策略 • 保密防諜，人人有責 –資安意識訓練 (Awareness Training) – Human Firewall ?! – 人永遠是弱點 – 治本的好方法 – 緩不濟急 – 越是APT目標的人越需要 – 越是個咖越困難 要一個人學會不開啟APT檔案，是非常不人道的事情。 - by 某資安專家
- 5. 5 APT的防禦策略 • 禦敵於國土之外 –邊界防禦 (Edge Security) – 既有資安產品成效有限 – 所有客戶的期待，眾家資安廠商努力的領域 – 面對APT的第一道防線，非常容易遭到針對性反制
- 6. 6 APT的防禦策略 • 滯敵於圯地之中 -縱深防禦 (Defense in Depth) – 邊界防禦失效以後的倚賴 – 攻擊是一個流程，縱深防禦的目的在切斷流程 – 也許會有損失，但可以減輕或減緩損失的發生
- 7.
- 8.
- 9. 9 監控與稽核 9 • 狀態管理(監控) &變更管理(稽核) • 目的都是為了發現異常行為
- 10. 10 面對APT事件，企業優先關注的是？ 「點」的深入 • 攻擊路徑、方法與突破點 • 惡意程式行為與隱蔽技術 •中繼站與攻擊來源追查 • … 「線」、「面」的掌握 • 受影響程度與範圍 • 隔離、排查與損害控制 • 災損調查與復原措施 • …
- 11. 11 讓專業的來！ • 組合語言、C語言、Script… • 反組譯與逆向工程 •脫殼技術 • Rootkit 技術 • 弱點利用與 Exploit 研究 • Shellcode • 木馬技術與掛馬技術 • 記憶體分析 • 惡意程式知識 • 大量實戰經驗 找不到 養不起 待不住 非核心業務 還是讓專業的團隊來吧！
- 12.
- 13.
- 14. 14 把 SIEM 當IDS 用 把 Logger 當 DW 用
- 15.
- 16.
- 17.
- 18.
- 19. 19 資安應變團隊需要配備升級 • CSIRT ，或稱為SOC – 監控資安事件 – 處理資安事故 – 管理資安狀態 • 「通常」會配備 SIEM 協助管理與分析
- 20. 20 資安應變團隊需要配備升級 擴充性與效能 • 先天架構限制 • 事件查找耗時 •需專家持續協助優化 資料收集與正規化 • 格式種類多變 • 一般日誌的需求 • 非結構化日誌 導入與調整 • 誤報漏報難兼顧 • 規則設計需要專業 趨勢與分析報表 • 報表產生耗時費力 • 格式缺乏調整彈性 規則導向設計 • 未涵蓋非資安日誌 • 難應對未知威脅 攻擊型態與面向的改變，傳統的SIEM已經不敷使用
- 21.
- 22. 22 Splunk 其實不是資安產品 22 全球最佳 BigData 創新應用公司
- 23. 23 但總是會跟資安扯在一起 Gartner 2013 MQfor SIEM 進入領導者象限
- 24.
- 25.
- 26. 26 機器資料可以拿來做什麼？ 26 避險 節流 開源 日誌管理 資安稽核 法規遵循 個資法 ISO27001 / ISO20000 資安監控 資安事件分析 網站分析 App分析 使用者行為分析 商業情報分析 精準行銷 BusinessInsight (CEM)用戶經驗管理 IT 與系統狀態監控 效能與資源監控 應用系統管理/監控 故障查找排除 異常問題調查 資源規劃
- 27.
- 28.
- 29.
- 30.
- 31. 31 有多種分析用 Apps 數值變化的學習與預測 檢查是否有連線到釣魚網站 檢查IP 黑名單 與 Reputation 建立與測試資料關聯性
- 32.
- 33.
- 34.
- 35. 35 SIEM/Logging 的歷史與挑戰 • 大量資料需要分析處理 •為數眾多的資料類型需要收集 • 資料處理需要彈性 • 搜尋速度與報表要快 • 要能滿足資安分析師的搜尋需求
- 36. 36 全球佈署架構 • 25 indexers/ 7 clusters • HA, load balanced, & scalable • Index up to 1TB/day • 150 TB Storage
- 37.
- 38. 38 搜尋功能也滿足需求 • 關鍵字搜尋 • 欄位搜尋 •正規表示式搜尋 • 資料關連 • 子查詢與 Join • 資料加工處理 • 資料運算與統計 • 資料標記(Tag)與事件類型 (Event Type)管理 • 排版與樞紐分析
- 39.
- 40.
- 41. 41 Honeynet 成員的分析工具 • 將所有Honeypots, Honeyclients, 以及分析工 具透過 HPFeeds protocol 集中到 Splunk 上 • 利用 Splunk 的 Javascript SDK 與 d3.js lib 客製開發 一個資料呈現與分析介面 Acapulco – Building Clustered Parallel Coordinates Graphs from HPFeeds data
- 42. 42 呈現不同維度資料的關聯性 以 saddr, sport,dport, daddr, url 等欄位來分析關聯性 作者也把 source code 釋出，安裝後即可使用
- 43. 43 中華電信以 Splunk 快篩APT 事件 Livedump Uploading.. 50% Users Security experts
- 44. 44 攻擊足跡收集的工具 階段 足跡 收集的工具 植入特製後門程式• Run key • Dropped files • Suspicious process Autoruns.exe MFTdump.exe PSList.exe 偷取帳號與密碼 • Hook API • Password dump API • NetBIOS cache dump API Strings.exe 打包重要資料 • PDF/Word/Excel Lass access time MFTDump.exe 網路探勘 • Net flows • Browser caches Firewall Log IECacheView 入侵其他主機 • Event log • Remote Job • Suspicious accounts /shares Psloglist.exe PsLoggedon.exe Net user/share
- 45. 45 自動化採樣工具介紹 • LiveDump – 由中華電信研究院 資通安全研究所 開發 – 可自動收集系統資訊，簡化APT足跡收集程序 – 操作簡單方便，”阿姨”也可快速上手 – 具Silent mode，可透過AD部署
- 46.
- 47. 47 SourceType examples File storagestructure Autorun Network connection Process and DLLs RDP Log
- 48. 48 APT快篩概念 流感快篩：用已知的抗體偵測流感病毒的表面抗原， 再以免疫沈澱的方式呈色肉眼判讀。 APT快篩：寧可誤判也不要漏報。 Livedump 2Livedump 1 Livedump3 Livedump 4 ……………….. Livedump N
- 49. 49 步驟一：檢查Autorun簽章未驗證項目 host="20120918_192.168.1.3" sourcetype="autoruns" NOT"(Verified)" 從服務說明看起來是微軟的服務，應該有簽章才對
- 50.
- 51.
- 52. 52 步驟四：檢查檔案產生時間 檔案植入在2012/9/18 2012/09/18 下午 02:1677,824 VM-XP-PRO-SP1Administor6to4ex.dll host="20120918_192.168.1.3" sourcetype="filesinsystem32" 6to4ex.dll
- 53.
- 54.
- 55.
- 56. 56 分析6to4ex.dll找出更多特徵 產生 *ex.dll 結尾之元件 寫入C:Document & SettingsAll Usersnetlog
- 57. 57 發現可用來快篩的特徵 • 產生*ex.dll之惡意元件。 Search: sourcetype= MFTDump FileName=*ex.dll • 反轉字元的scr檔案。 Search: sourcetype=MFTdump Filename=*?*.scr • Listen在UDP 123及1025。 Search: sourcetype = netstat AND “:123” AND “:1025” • 具Key logger功能，檔案寫入c:Document & SettingsAll Usersnetlog Search: sourcetype=strings AND“netlog”AND [end]
- 58.
- 59. 59 結論 • 「預防」只是理想，「應變」才是現實 • 資安管理進入大數據時代 •資安事件分析有可操作性與時效性的需求 • Splunk 可以補強傳統 SIEM 的不足
- 60.