Azərbaycanca
Беларускі
Dansk
Deutsch
Española
Français
Indonesia
Italiana
日本語
Қазақ
Lietuvos
Nederlands
Português
Русский
සිංහල
แบบไทย
Türkçe
Українська
中國人
United State
Afrikaans
Полювання на кіберзагрозу (англ. cyber threat hunting) або полювання на загрозу (англ. threat hunting) є активною діяльністю в галузі кіберзахисту. Це «процес активного та ітеративного пошуку у мережах з метою виявлення та виділення просунутих загроз, які недосяжні для наявних рішень з безпеки». Цей підхід відрізняється від традиційних заходів з управління загрозами, таких, як брандмауери, системи виявлення вторгнень (англ. intrusion detection systems, IDS), ізолювання шкідливих програм (англ. malware sandbox) та системи SIEM, які, зазвичай, передбачають розслідування після попередження про можливу загрозу або коли інцидент вже стався.
Методологія
Полювання на загрозу традиційно було ручним процесом, в ході якого аналітик з питань безпеки аналізує різноманітну інформацію про дані, використовуючи свої власні знання та знайомство з мережею, щоб сформулювати гіпотези про можливі загрози, такі, як [en] від агентів загроз чи [en], але не обмежуючись цим. Для більшої ефективності пошук може бути частково автоматизований або автоматичний. У такому випадку аналітик використовує програмне забезпечення, яке використовує машинне навчання та аналіз поведінки користувачів (англ. user and entity behavior analytics, UEBA), які інформують аналітика про потенційні ризики. Аналітик досліджує потенційні ризики, відстежуючи підозрілу поведінку в мережі. Таким чином, полювання є ітераційним процесом, що означає, що його потрібно постійно виконувати в циклі, починаючи з гіпотези. Гіпотеза може зосереджувати увагу на відомих експлойтах, потенційних підозрілих суб'єктах (англ. bad actor) або цінних активах та даних. Використовуючи безпекові дані, галузеві звіти та іншу аналітичну інформацію, формується гіпотеза, і (англ. hunt team) намагається довести або спростувати свої здогадки.
У полюванні на кіберзагрози використовуються як автоматичні, так і ручні інструменти та методи.
Використовуються три типи гіпотез:
- Засновані на аналітиці: «Машинне навчання та аналіз поведінки, що використовуються для розробки агрегованих оцінок ризику, також можуть слугувати гіпотезами для полювання».
- Засновані на ситуаційній обізнаності: «Аналіз основних (англ. Crown Jewel), критично важливих для виконання місії компанії, , тенденції на рівні компанії або працівників».
- Засновані на розвідувальних даних: «Звіти розвідки небезпек, канали розвідки загроз, аналіз шкідливих програм, .
Аналітик досліджує свою гіпотезу, опрацьовуючи величезну кількість даних про мережу. Результати зберігаються таким чином, що вони можуть бути використані для покращення автоматичної частини системи виявлення загроз та слугують основою для майбутніх гіпотез.
Модель (англ. Detection Maturity Level), яка виражає показники загрози, може бути виявлена на різних семантичних рівнях. Високі , такі, як цілі та стратегії, або тактики, методи та процедури, є більш цінними для виявлення, ніж низькі семантичні показники, такі, як (англ. network artifacts) та , такі, як IP-адреси. Інструменти SIEM зазвичай надають лише індикатори на відносно низьких семантичних рівнях. Отже, існує необхідність розробляти інструменти SIEM, які можуть забезпечити на більш високих семантичних рівнях.
Постачальники ПЗ для полювання на кіберзагрози
Список значних постачальників програмного забезпечення та послуг:
- IBM
- SentinelOne
- Elastic [1]
- R9B
- 1E
- Panda Adaptive Defense
- Alert Logic
- Bulletproof
- Carbon Black
- SISA EOT
- Cisco Threat Hunting
- Corelight
- Countercept (by MWR InfoSecurity)
- CounterCraft
- CrowdStrike
- Cyberbit
- Cybereason
- Cyberoo
- Cynet
- CSIQ
- Darktrace
- Endgame, Inc.
- Expel
- ExtraHop Networks
- FireEye
- Haystacks Technology
- Infocyte HUNT (by Infocyte)
- Mantix4
- Microsoft
- ONE eSecurity
- Paladion Networks
- RANK Software Inc
- RSA NetWitness® Platform
- S21Sec
- Secdo[недоступне посилання з вересня 2019]
- Secureworks Targeted Threat Hunting
- TalaTek Cyber Threat Hunting
- Texial Cyber Security
- TIP (Threat Intelligence Platform)
- Vectra Networks Inc.
- Verint
[en] проводив дослідження ефективності полювання на загрози для відстеження та зриву кіберзагроз якомога раніше. Згідно з опитуванням, опублікованим у 2017 році, «60% тих, хто полює за загрозами, повідомили про помітні покращення своїх програм по інформаційній безпеці, виходячи з докладених ними до полювання зусиль, а 91 % — про покращення швидкості та точності».
Індикатори
Є два типи індикаторів:
1) Індикатор компрометації (ІК) свідчить, що дія вже відбулась, і ви перебуваєте в реактивному режимі. Цей тип ІК формується зсередини, спираючись на власні дані з логів транзакцій або даних SIEM. Приклади ІК включають незвичайний мережевий трафік, незвичну привілейовану діяльність облікового запису користувача, аномалії входу в систему, збільшення обсягу читання бази даних, підозрілі зміни у системних файлах або реєстрі, незвичні запити DNS та вебтрафік, не властивий користувачам. Ці типи незвичайних дій дозволяють командам управління безпеки виявляти елементи, контрольовані зловмисниками, на ранніх етапах кібератаки.
2) Індикатор занепокоєння. За допомогою інтелектуального аналізу даних з загальнодоступних джерел (англ. Open-Source intelligence) отримати інформацію для виявлення кібератак та полювання на загрози.
Тактики, техніки та процедури
Інститут SANS вважає сталими такі моделі полювання за загрозами:
- Початкова (англ. Initial) — на рівні 0, організація процесу спирається, перш за все, на автоматичну звітність і робить малий або непостійний збір даних.
- Мінімальна (англ. Minimal) — на етапі зростання до 1 рівня організація процесу містить пошуки індикаторів загроз, має середній або високий рівень рутинного збору даних.
- Процедурна (англ. Procedural) — на 2-му рівні організація слідкує за процедурами аналізу, створеними іншими, та має високий або дуже високий рівень рутинного збору даних.
- Інноваційна (англ. Innovative) — на 3-му рівні організація створює нові процедури аналізу даних. Має високий або дуже високий рівень рутинного збору даних.
- Провідна (англ. Leading) — на зрілому, 5 рівні автоматизує більшість успішних процедур аналізу даних. Має високий або дуже високий рівень рутинного збору даних.
Час затримки відповіді
Кібератакери (англ. cyberattackers) працюють непоміченими в середньому 99 днів, але отримують облікові дані адміністратора менш ніж за три дні, згідно з Mandiant M-Trends Report. Дослідження також показують, що 53% випадків виявлення відбуваються лише після повідомлення від зовнішньої сторони.
Середній час до виявлення
За даними інституту Ponemon, середня компанія витрачає на виявлення розширеної загрози 170 днів, 39 днів для зменшення загрози та 43 дні для відновлення.
Див. також
Примітки
- Cyber threat hunting: How this vulnerability detection strategy gives analysts an edge - TechRepublic. TechRepublic. Процитовано 7 червня 2016.
- What is (cyber) threat hunting and where do you start? - Expel. Expel (амер.). 9 квітня 2018. Процитовано 26 травня 2018.
- Alsinawi, Baan. TalaTek Cyber Threat Hunting Services. TalaTek, LLC (амер.). Процитовано 12 листопада 2018.
- . Sqrrl (амер.). Архів оригіналу за 29 травня 2016. Процитовано 7 червня 2016.
- https://www.mitre.org/publications/systems-engineering-guide/enterprise-engineering/systems-engineering-for-mission-assurance/crown-jewels-analysis
- Stillions, Ryan (2014). The DML Model. Ryan Stillions security blog. Ryan Stillions.
- Bromander, Siri (2016). Semantic Cyberthreat Modelling (PDF). Semantic Technology for Intelligence, Defense and Security (STIDS 2016).
- . SANS Institute. 1 квітня 2017. Архів оригіналу за 20 лютого 2018. Процитовано 28 травня 2018.
- Lee, Robert. The Who, What, Where, When and How of Effective Threat Hunting. SANS Institute. SANS Institute. Процитовано 29 травня 2018.
- . Mandiant. Архів оригіналу за 30 травня 2018. Процитовано 28 травня 2018.
- . Ponemon Institute. Ponemon Institute. Архів оригіналу за 14 листопада 2018. Процитовано 29 травня 2018.
Вікіпедія, Українська, Україна, книга, книги, бібліотека, стаття, читати, завантажити, безкоштовно, безкоштовно завантажити, mp3, відео, mp4, 3gp, jpg, jpeg, gif, png, малюнок, музика, пісня, фільм, книга, гра, ігри, мобільний, телефон, android, ios, apple, мобільний телефон, samsung, iphone, xiomi, xiaomi, redmi, honor, oppo, nokia, sonya, mi, ПК, web, Інтернет
Polyuvannya na kiberzagrozu angl cyber threat hunting abo polyuvannya na zagrozu angl threat hunting ye aktivnoyu diyalnistyu v galuzi kiberzahistu Ce proces aktivnogo ta iterativnogo poshuku u merezhah z metoyu viyavlennya ta vidilennya prosunutih zagroz yaki nedosyazhni dlya nayavnih rishen z bezpeki Cej pidhid vidriznyayetsya vid tradicijnih zahodiv z upravlinnya zagrozami takih yak brandmaueri sistemi viyavlennya vtorgnen angl intrusion detection systems IDS izolyuvannya shkidlivih program angl malware sandbox ta sistemi SIEM yaki zazvichaj peredbachayut rozsliduvannya pislya poperedzhennya pro mozhlivu zagrozu abo koli incident vzhe stavsya Informacijna bezpekaKriteriyi ocinki informacijnoyi bezpekiCilisnist Dostupnist Konfidencijnist Sposterezhnist NevidmovnistNormativni dokumentiCOBIT ITIL ISO IEC 27001 2013 ZabezpechennyaPolitika SUIB KSZI SZIZahist informaciyiTehnichnij zahist informaciyi Inzhenernij zahist informaciyi Kriptografichnij zahist informaciyi Organizacijnij zahist informaciyiprMetodologiyaPolyuvannya na zagrozu tradicijno bulo ruchnim procesom v hodi yakogo analitik z pitan bezpeki analizuye riznomanitnu informaciyu pro dani vikoristovuyuchi svoyi vlasni znannya ta znajomstvo z merezheyu shob sformulyuvati gipotezi pro mozhlivi zagrozi taki yak en vid agentiv zagroz chi en ale ne obmezhuyuchis cim Dlya bilshoyi efektivnosti poshuk mozhe buti chastkovo avtomatizovanij abo avtomatichnij U takomu vipadku analitik vikoristovuye programne zabezpechennya yake vikoristovuye mashinne navchannya ta analiz povedinki koristuvachiv angl user and entity behavior analytics UEBA yaki informuyut analitika pro potencijni riziki Analitik doslidzhuye potencijni riziki vidstezhuyuchi pidozrilu povedinku v merezhi Takim chinom polyuvannya ye iteracijnim procesom sho oznachaye sho jogo potribno postijno vikonuvati v cikli pochinayuchi z gipotezi Gipoteza mozhe zoseredzhuvati uvagu na vidomih eksplojtah potencijnih pidozrilih sub yektah angl bad actor abo cinnih aktivah ta danih Vikoristovuyuchi bezpekovi dani galuzevi zviti ta inshu analitichnu informaciyu formuyetsya gipoteza i angl hunt team namagayetsya dovesti abo sprostuvati svoyi zdogadki U polyuvanni na kiberzagrozi vikoristovuyutsya yak avtomatichni tak i ruchni instrumenti ta metodi Vikoristovuyutsya tri tipi gipotez Zasnovani na analitici Mashinne navchannya ta analiz povedinki sho vikoristovuyutsya dlya rozrobki agregovanih ocinok riziku takozh mozhut sluguvati gipotezami dlya polyuvannya Zasnovani na situacijnij obiznanosti Analiz osnovnih angl Crown Jewel kritichno vazhlivih dlya vikonannya misiyi kompaniyi tendenciyi na rivni kompaniyi abo pracivnikiv Zasnovani na rozviduvalnih danih Zviti rozvidki nebezpek kanali rozvidki zagroz analiz shkidlivih program Analitik doslidzhuye svoyu gipotezu opracovuyuchi velicheznu kilkist danih pro merezhu Rezultati zberigayutsya takim chinom sho voni mozhut buti vikoristani dlya pokrashennya avtomatichnoyi chastini sistemi viyavlennya zagroz ta sluguyut osnovoyu dlya majbutnih gipotez Model angl Detection Maturity Level yaka virazhaye pokazniki zagrozi mozhe buti viyavlena na riznih semantichnih rivnyah Visoki taki yak cili ta strategiyi abo taktiki metodi ta proceduri ye bilsh cinnimi dlya viyavlennya nizh nizki semantichni pokazniki taki yak angl network artifacts ta taki yak IP adresi Instrumenti SIEM zazvichaj nadayut lishe indikatori na vidnosno nizkih semantichnih rivnyah Otzhe isnuye neobhidnist rozroblyati instrumenti SIEM yaki mozhut zabezpechiti na bilsh visokih semantichnih rivnyah Postachalniki PZ dlya polyuvannya na kiberzagroziSpisok znachnih postachalnikiv programnogo zabezpechennya ta poslug IBM SentinelOne Elastic 1 R9B 1E Panda Adaptive Defense Alert Logic Bulletproof Carbon Black SISA EOT Cisco Threat Hunting Corelight Countercept by MWR InfoSecurity CounterCraft CrowdStrike Cyberbit Cybereason Cyberoo Cynet CSIQ Darktrace Endgame Inc Expel ExtraHop Networks FireEye Haystacks Technology Infocyte HUNT by Infocyte Mantix4 Microsoft ONE eSecurity Paladion Networks RANK Software Inc RSA NetWitness Platform S21Sec Secdo nedostupne posilannya z veresnya 2019 Secureworks Targeted Threat Hunting TalaTek Cyber Threat Hunting Texial Cyber Security TIP Threat Intelligence Platform Vectra Networks Inc Verint en provodiv doslidzhennya efektivnosti polyuvannya na zagrozi dlya vidstezhennya ta zrivu kiberzagroz yakomoga ranishe Zgidno z opituvannyam opublikovanim u 2017 roci 60 tih hto polyuye za zagrozami povidomili pro pomitni pokrashennya svoyih program po informacijnij bezpeci vihodyachi z dokladenih nimi do polyuvannya zusil a 91 pro pokrashennya shvidkosti ta tochnosti IndikatoriYe dva tipi indikatoriv 1 Indikator komprometaciyi IK svidchit sho diya vzhe vidbulas i vi perebuvayete v reaktivnomu rezhimi Cej tip IK formuyetsya zseredini spirayuchis na vlasni dani z logiv tranzakcij abo danih SIEM Prikladi IK vklyuchayut nezvichajnij merezhevij trafik nezvichnu privilejovanu diyalnist oblikovogo zapisu koristuvacha anomaliyi vhodu v sistemu zbilshennya obsyagu chitannya bazi danih pidozrili zmini u sistemnih fajlah abo reyestri nezvichni zapiti DNS ta vebtrafik ne vlastivij koristuvacham Ci tipi nezvichajnih dij dozvolyayut komandam upravlinnya bezpeki viyavlyati elementi kontrolovani zlovmisnikami na rannih etapah kiberataki 2 Indikator zanepokoyennya Za dopomogoyu intelektualnogo analizu danih z zagalnodostupnih dzherel angl Open Source intelligence otrimati informaciyu dlya viyavlennya kiberatak ta polyuvannya na zagrozi Taktiki tehniki ta proceduriInstitut SANS vvazhaye stalimi taki modeli polyuvannya za zagrozami Pochatkova angl Initial na rivni 0 organizaciya procesu spirayetsya persh za vse na avtomatichnu zvitnist i robit malij abo nepostijnij zbir danih Minimalna angl Minimal na etapi zrostannya do 1 rivnya organizaciya procesu mistit poshuki indikatoriv zagroz maye serednij abo visokij riven rutinnogo zboru danih Procedurna angl Procedural na 2 mu rivni organizaciya slidkuye za procedurami analizu stvorenimi inshimi ta maye visokij abo duzhe visokij riven rutinnogo zboru danih Innovacijna angl Innovative na 3 mu rivni organizaciya stvoryuye novi proceduri analizu danih Maye visokij abo duzhe visokij riven rutinnogo zboru danih Providna angl Leading na zrilomu 5 rivni avtomatizuye bilshist uspishnih procedur analizu danih Maye visokij abo duzhe visokij riven rutinnogo zboru danih Chas zatrimki vidpovidiKiberatakeri angl cyberattackers pracyuyut nepomichenimi v serednomu 99 dniv ale otrimuyut oblikovi dani administratora mensh nizh za tri dni zgidno z Mandiant M Trends Report Doslidzhennya takozh pokazuyut sho 53 vipadkiv viyavlennya vidbuvayutsya lishe pislya povidomlennya vid zovnishnoyi storoni Serednij chas do viyavlennyaZa danimi institutu Ponemon serednya kompaniya vitrachaye na viyavlennya rozshirenoyi zagrozi 170 dniv 39 dniv dlya zmenshennya zagrozi ta 43 dni dlya vidnovlennya Div takozhProaktivnij zahist Informacijna zagroza Zagrozi informacijnoyi bezpeki Hakerska ataka Chornij kapelyuh Bilij kapelyuh Komp yuterna bezpekaPrimitkiCyber threat hunting How this vulnerability detection strategy gives analysts an edge TechRepublic TechRepublic Procitovano 7 chervnya 2016 What is cyber threat hunting and where do you start Expel Expel amer 9 kvitnya 2018 Procitovano 26 travnya 2018 Alsinawi Baan TalaTek Cyber Threat Hunting Services TalaTek LLC amer Procitovano 12 listopada 2018 Sqrrl amer Arhiv originalu za 29 travnya 2016 Procitovano 7 chervnya 2016 https www mitre org publications systems engineering guide enterprise engineering systems engineering for mission assurance crown jewels analysis Stillions Ryan 2014 The DML Model Ryan Stillions security blog Ryan Stillions Bromander Siri 2016 Semantic Cyberthreat Modelling PDF Semantic Technology for Intelligence Defense and Security STIDS 2016 SANS Institute 1 kvitnya 2017 Arhiv originalu za 20 lyutogo 2018 Procitovano 28 travnya 2018 Lee Robert The Who What Where When and How of Effective Threat Hunting SANS Institute SANS Institute Procitovano 29 travnya 2018 Mandiant Arhiv originalu za 30 travnya 2018 Procitovano 28 travnya 2018 Ponemon Institute Ponemon Institute Arhiv originalu za 14 listopada 2018 Procitovano 29 travnya 2018