Download to read offline
Uploaded byAdvanced monitoring
Threat Intelligence вам поможет, если его правильно приготовить…
Документ обсуждает концепцию threat intelligence (TI), подчеркивая ее значение в сборе, анализе и обмене данными об угрозах. Он выделяет различные типы TI, процессы ее использования, а также источники данных и форматы, используемые для обмена информацией. Основные потребители TI охватывают стратегический и операционный уровни управления, а данные TI помогают в обнаружении, реагировании и планировании на киберугрозы.
More Related Content
Threat Intelligence вам поможет, если его правильно приготовить…
- 1. Threat Intelligence вампоможет, если его правильно приготовить… Михаил Богатырёв Mikhail.Bogatyrev@AMonitoring.ru @am_rnd amonitoring.ru
- 2. ©2016, ОАО «ИнфоТеКС». ВозникновениеThreat Intelligence Конец прошлого века: • базы антивирусных сигнатур • правила для IDS • списки для спам-фильтров 2014–2015 гг.: поставщики уже используют термин «threat intelligence» и проводятся первые исследования рынка TI
- 3. ©2016, ОАО «ИнфоТеКС». Ктокак понимает Threat Intelligence Военный термин: система по сбору и обработке разведывательных данных о силах и средствах противника Threat Intelligence (TI) — это совокупность процессов сбора, анализа и обмена подкреплённой доказательствами информацией об угрозах
- 4. ©2016, ОАО «ИнфоТеКС». Ктокак понимает Threat Intelligence Признак Стратегическая TI Техническая TI Форма Отчёты, публикации, документы Правила, параметры настройки Создаётся Людьми Машинами или людьми совместно с машинами Потребляют Люди Машины и люди Сроки доставки до потребителя Дни — месяцы Секунды — часы Период полезности Долгий (год и более) Короткий (до появления нового эксплойта или уязвимости) Использование Планирование, принятие решений Обнаружение, приоритизация, реагирование
- 5. ©2016, ОАО «ИнфоТеКС». ПотребителиThreat Intelligence INSA Cyber Intelligence Task Force White Paper Уровень управления Операционный уровень Вдолгосрочной перспективе СТРАТЕГИ - Высшее руководство Высокоуровневая информация: • Финансовые аспекты, бюджетирование. • Тренды угроз и атак. • Киберриски. ТЕХНИКИ - Архитекторы и сисадмины Тактики, техники, процедуры (TTP): • Инструменты атакующих. • Цели атак. • Эксплойты и методы защиты. • Критичные обновления. Вкраткосрочнойисреднесрочной перспективе ТАКТИКИ - Руководители служб ИБ Детали конкретных готовящихся и проводимых атак: • Кто? • Зачем? • Где? • Когда? • Ресурсы и возможности атакующих. • Как общаются между собой? • Как маскируются? • Что произошло или может произойти? • Способы выявления. • Способы противодействия. ОПЕРАТОРЫ - персонал SOC, ГР, forensics Индикаторы атак и компрометации: • Образцы или хэш-суммы вредоносного кода. • YARA-rules. • Изменения ключей реестра. • Появление файлов, вредоносного кода. • Фиды вредоносных IP-адресов. • IP-адреса и домены Command & Control. • Почтовые индикаторы (темы, адреса, домены). • Векторы атак. • Изменения количества атакующих ресурсов. • Стадии развития атак. • Способы совершения преступлений.
- 6. ©2016, ОАО «ИнфоТеКС». Типыпоставщиков Threat Intelligence Комплексная TI TI для пользователей стратегического уровня Фиды угроз Приоритизация Техническая аналитика Контекст Статистика Индикаторы угроз Сигнатуры Правила
- 7. ©2016, ОАО «ИнфоТеКС». Гдеприменяются результаты TI Тип СЗИ Интеграция TI Межсетевые экраны / UTM 39.2% IPS/IDS 41.1% Управление уязвимостями 30.4% SIEM 31.6% Хостовые средства безопасности 34.8% Средства безопасности приложений 27.2% IAM / IDM 25.9% Расследование инцидентов 17.7% Аналитические платформы, отличные от SIEM (например, BI) 21.5% Big data 13.9% 2015 г. опрос SANS Institute
- 8. ©2016, ОАО «ИнфоТеКС». Источникиданных для Threat Intelligence • Технологические собственные (структурированные, необработанные) • Открытые (человекочитаемые, реже машиночитаемые) • Фиды (машиночитаемые) • Закрытые • Социальные медиа (человекочитаемые) • Личные контакты • «Глубокий» и «Тёмный» веб (разные)
- 9. ©2016, ОАО «ИнфоТеКС». Технологические собственные Сетевыеустройства Маршрутизаторы Свичи Прокси WiFi VPN СЗИ IPSIDS Хостовые IPSIDS DLP Межсетевые экраны Антивирусы IAM Сканеры уязвимостей Серверы Приложений БД Почта Веб «Песочницы» (Sandbox) Honeypots Логи СКУД Операционные системы Приложения Технологические собственные
- 10. ©2016, ОАО «ИнфоТеКС». Открытые Whitepapers Статьи и публикации Новостные потоки Выставки и конференции Государственные и индустриальные сообщества обмена результатами TI Отчёты об исследованиях Сообщества обмена информацией для машин Вендоры ИТ и ИБ Фирмы, предоставляющие услуги TI Открытые
- 11. ©2016, ОАО «ИнфоТеКС». Фиды IPи DNS адреса вредоносных сайтов спам-серверов серверов С&C Узлы анонимных сетей p2p сетей SSL-сертификаты вредоносных сайтов Заголовки и метаданные писем (спам и фишинг) Образцы и хэши вредоносного кода Ключи реестра и файловые артефакты ОС Фиды уязвимостей (CVE, CWE и т.д) Базы эксплойтов Фиды
- 12. ©2016, ОАО «ИнфоТеКС». Форматыи языки описания • Open Threat Exchange (OTX) — 51% • Structured Threat Information Expression (STIX) — 46% • Collective Intelligence Framework (CIF) — 39% • Open Indicators of Compromise (OpenIOC) framework — 33% • Trusted Automated eXchange of Indicator Information (TAXII) — 33% • Traffic Light Protocol (TLP) — 28% • Cyber Observable eXpression (CybOX) — 26% • Incident Object Description and Exchange Format (IODEF) — 23% • Vocabulary for Event Recording and Incident Sharing (VERIS) — 20% SANS Institute
- 13. ©2016, ОАО «ИнфоТеКС». Закрытые Доверенная третьясторона B2B обмен Закрытые
- 14. ©2016, ОАО «ИнфоТеКС». Социальные медиа Соцсети Форумы Блоги Чаты IRC Pasteсайты Репозитории кода Социальные медиа
- 15. ©2016, ОАО «ИнфоТеКС». Источникиданных для Threat Intelligence • Личные контакты • «Глубокий» и «Тёмный» веб Искусство возможного …
- 16. ©2016, ОАО «ИнфоТеКС». ThreatIntelligence от ПМ (ГК InfoTecs) Правила Продукты Услуги Фиды IDS VipNet IDS + TIAS Мониторинг IP и домены HIDS VipNet HIDS Реагирование ВПО FW/UTM VipNet HW Расследование IOC SIEM SIEM Создание ЦМ Уязвимости
- 17. ©2016, ОАО «ИнфоТеКС». Чемпомогло TI 2015 г. IDC 329 компаний 1% 2% 5% 5% 6% 10% 13% 30% 30% 40% 42% 43% 55%Создание профиля нормального поведения Выявление внешних угроз использования ВПО Создание правил для антифрод систем Выявление нарушения политик ИБ Выявление скомпрометированных учётных записей Уменьшение количества ложных срабатываний Ускорение обнаружения и реагирования на атаки Видимость сетевой и АРМ активности Мониторинг и менеджмент соответствия стандартам Обнаружение инсайдеров Улучшение видимости угроз и атак Обнаружение новых или неизвестных угроз Понимание угроз и атак
- 18.
Editor's Notes
- #3 К 2014–2015 годам поставщики всего, что можно считать TI, решили, что надо продвигать свои продукты, используя модный термин «threat intelligence». Это очень чёткий тренд, его можно отследить по тематике выступлений на RSA Conference. Провайдеры TI старательно «подогревали» интерес к своим продуктам, и у потенциальных потребителей сформировался спрос на исследования в этой области: кто лидер, что предлагают, какие услуги и решения существуют. Поэтому первые исследования рынка TI появились только в 2014–2015 годах.
- #6 В Таблице Потребители TI перечислены основные группы потребителей результатов TI, признаки интересующей их информации, конкретные данные, которые потребители хотели бы получать от TI. Данная модель подразумевает обмен информацией между целевыми группами, который показан стрелками. Один и тот же набор результатов TI может быть интересен различным целевым группам.
- #7 Поставщики индикаторов угроз Большое количество СЗИ-вендоров и мейнтейнеров open-source проектов поставляют на регулярной основе индикаторы, сигнатуры и правила обнаружения атак для межсетевых экранов, антивирусов, IPS/IDS, UTM. В некоторых случаях это сырые данные, в других — дополненные оценкой риска или репутации. Индикаторы угроз критичны для технического уровня TI, но часто не предоставляют контекста для реагирования на инцидент. Поставщики фидов угроз Технологические вендоры и ИБ-компании предоставляют свои фиды угроз. Они включают в себя проверенные и приоритизированные индикаторы угроз и технический анализ образцов вредоносного кода, информацию о ботнетах, DDoS атаках и других инструментах и видах вредоносной активности. Часто такие фиды дополняются статистикой и прогнозами: например, «ТОП-10 троянов» или «Список крупнейших ботнетов» и т.п. К основным недостаткам таких фидов относят отсутствие отраслевой или региональной специфики и малую ценность для пользователей TI стратегического уровня. Поставщики комплексной Threat Intelligence Небольшое число компании предоставляют по-настоящему комплексную TI: проверенные, актуальные для потребителя индикаторы угроз, фиды угроз и TI стратегического уровня. Сюда обычно входят: Проверенные и размеченные (тэгированные) индикаторы угроз. Детальная техническая аналитика инструментов атак. Глубокие исследования противника, дополненные информацией на «подпольных» сайтах и из частных источников. Оценка ландшафта угроз для отрасли и отдельного предприятия. Помощь в выработке требований к TI. TI, специально подготовленная для пользователей разных уровней внутри одной организации.
- #8 SANS Institute попросил сотрудников ИБ-служб назвать системы, к которым они применяют результаты TI. Как видно из таблицы, область применения не ограничивается одними IDS
- #10 В эту группу вошли технологические источники, контролируемые самой компанией, которая заинтересована в получении результатов TI. Данные от этих источников могут передаваться в аналитическую систему либо напрямую в виде логов, либо через специализированные ПАК сбора данных.
- #11 В эту группу вошли источники TI, которые доступны всем. Их может использовать любая организация. Эти источники могут платными и бесплатными. Платность источника не означает, что он не является открытым, ведь доступ к ним не ограничивается как-то искусственно.
- #12 В этой группе источников — формализованные стандартизированные потоки машиночитаемых данных, правил и сигнатур.
- #13 Для описания угроз, атак и уязвимостей в понятном машинам виде существует множество форматов, синтаксисов и стандартов. Среди тех потребителей и поставщиков TI, кто использует стандартные форматы, наиболее популярны (согласно исследованию SANS Institute):
- #14 Основное отличие этой группы источников — к ним подключиться могут не все. Участников объединяет либо одна отрасль, либо принадлежность к одному холдингу, либо некая «тусовка» руководителей служб ИБ, в которой они обмениваются информацией. При B2B обмене результатами TI, стороны действуют напрямую, известен источник и получатель информации. Если в обмене участвует доверенная третья сторона, то она, как правило, анонимизирует источник данных, проверяет и рассылает информацию всем участникам объединения.
- #15 Paste сайты — это площадки для быстрого размещения текста (например, Pastebin). Обычно для мониторинга таких сайтов используют их API вкупе с какими-либо анализаторами исходного кода, которые позволяют находить потенциально вредоносный код, который размещается на таких площадках.
- #16 Данные источники непостоянны, с ними связаны некоторые риски.