Download as PDF, PPTX
![НОВЫЙ GOZI
Смотрели
[нелегальные]
инжекты](https://image.slidesharecdn.com/ciso17-th-170509164139/85/slide-19-320.jpg)
Uploaded bySergey Soldatov
Трудовые будни охотника на угрозы
Документ рассматривает трудовые будни охотника на угрозы в контексте современных угроз кибербезопасности, подчеркивая важность проактивного подхода и постоянного мониторинга для выявления и предотвращения атак. Основное внимание уделяется аналитическим инструментам, техникам реагирования и профессионализму атакующих, а также важности сбора и анализа данных для повышения уровня безопасности. Рассматриваются различные контексты угроз и технологии, используемые для их анализа и обнаружения.
More Related Content
Similar to Трудовые будни охотника на угрозы
Трудовые будни охотника на угрозы
- 1. ТРУДОВЫЕ БУДНИ ОХОТНИКАНА УГРОЗЫ «CISO FORUM 2017», АПРЕЛЬ 2017 Sergey Soldatov, Head of SOC
- 2. ПЛАН Причины актуальности Контекст угроз(ТТР) Как работает ТН Подход к реагированию ТТР в примерах Реагирование
- 3. ПРИЧИНЫ АКТУАЛЬНОСТИ Выше зависимостьот ИТ Выше уровень безопасности – Выше сложность атаки Больше рисков в области ИТ (мотивация) Выше стоимость атаки Процессы и организация Разведка и подготовка Профессионализм атакующих Много векторов, технологий, инструментов Скрытность Атакующий: - Pentest-like - Нет права на ошибку
- 4. КОНТЕКСТ УГРОЗЫ –ОПРЕДЕЛЯЕТ ЗАЩИТУ Постоянный сбор артефактов Анализ памяти Контекст среды, Исследования, Неточные сигнатуры Хранение сырых данных Исследования Непрерывный мониторинг, Исследования Антифоренсика Бестелесность Применение легальных инструментов и технологий Многоэтапность Свежие, загадочные ТТР (горизонтальные перемещения, закрепление, пр.) Pentest-like
- 5. http://reply-to-all.blogspot.ru/2017/03/blog-post_22.html КОНТЕКСТ УГРОЗЫ –ОПРЕДЕЛЯЕТ ЗАЩИТУ Предотвращение Своевременное обнаружение Реакция и восстановление Ресурсы атакующего – безграничны!
- 6. ДВА ПОДХОДА КОБНАРУЖЕНИЮ МОНИТОРИНГ (ALERTING): Реактивно – обнаружение известного Уничтожает после поиска сигнатуры ПОИСК УГРОЗ (HUNTING): Проактивно – обнаружение неизвестного Хранит все данные – многократная проверка («Машина времени») Вендор ITW IRAlerting Гипотеза Hunting MA DF Alerting IR Вендор ITW http://reply-to-all.blogspot.ru/2016/07/blog-post.html Инструменты Инструменты и Поведение
- 7. КОНКРЕТНАЯ ЦЕННОСТЬ Поиск новыхатак, ВПО, APT Поиск атак без применения ВПО 100% релевантность «Машина времени» Возможность оперативной защиты РискИБдопримененияконтролей Автоматизи- рованные средстваСервисОстаточныйриск Продукты SOС Threat hunting
- 8. КАК И ПОЧЕМУЭТО РАБОТАЕТ Данные Детекты* Поведение процессов События ОС Микрокорреляция: Все технологии в составе EP со всеми базами: поведение, неточные сигнатуры, подозрительная активность, пр. Анализ трафика с периметра События ОС и приложений Репутация Макрокорреляция, гипотезы: Все знания о ТТР: Внутренние исследования Анализ защищенности Расследование инцидентов Мониторинг SOC Постоянноесовершенствование http://reply-to-all.blogspot.ru/2016/10/bis-summit.html Зацепки! (Hunt)
- 9. ЗАЦЕПКИ ЗА {KILLCHAIN}*
- 10.
- 11. COBALT ГОБЛИНS Антифоренсика –sdelete, очистка журналов, … Бестелесность – powershell Легальные инструменты – ps, mipko, psexec, … Pentest-like – Cobalt Strike+
- 12. MIPKO & PS MEM:Trojan.Script.AngryPower.gen, MEM:Backdoor.Win32.Carbanak.gen,… Службы Сетевые входы Инструменты … Служба ps cmd Служба с с$ Сетевой вход с… под УЗ ..
- 13. AUTOIT Подозрительная активность «белых» инструментов… Гдеsvchost Где AutoIt Планировщик задач… Планировщик vbs cmd autoit svchost Планировщик
- 14. PROXYCHANGER Почему-то все процессыидут в Интернет… … на сайт МН
- 15. СЛЕДЫ BUHTRAP Легальный LiteManager,но по нестандартному пути Опционально – руткит для сокрытия иконки
- 16. ТОЖЕ «БЕЛЫЙ ФАЙЛ» Закрепление черезbitsadmin http://0xthem.blogspot.ru/2014/03/t-emporal-persistence-with-and-schtasks.html
- 17. ENFAL/PLUGX/ZERO.T Офис по почтевыбрасывает PE PE грузит из Интернет остальное…
- 18.
- 19.
- 20. РЕАГИРОВАНИЕ Вычислить все C2 Всесразу отключить Можно не спеша вычищаться, контролируя С2 & Lateral movement («поддержка с воздуха»)
- 21. ПОСЛЕСЛОВИЕ: ВПО АРТ AV AAPT & TH Точно и Сразу Неточно и Спустя время Полностью автоматически С участием Человека Обнаруживать инструменты Обнаруживать ТТР атакующих Глобальный Intelligence - популярность, репутация, взаимосвязи, fuzzy-хеши, т.п. Машобуч, нейросети и т.п. Аккумуляция опыта - SOC, Security assessment & pentest, Anit- malware research, Incident response, Targeted attack research, …
- 22. ПОГОВОРИМ? Sergey Soldatov, CISA,CISSP Head of Security Operations Center