L'analisi di un allarme di sicurezza ha sempre richiesto agli analisti di agire rapidamente, tenendo ben presente una grande quantità di informazioni contestuali: comprendere il funzionamento di un comando “ PowerShell ” codificato, il motivo per cui è scattato l’allarme, il significato dell’albero dei processi correlati e quali azioni intraprendere successivamente. Per gli analisti alle prime armi, ci vogliono anni per costruire tale contesto. Per gli analisti senior, nemmeno un’esperienza approfondita è in grado di coprire ogni caso limite. Il risultato, come segnalano molti team di sicurezza, è un rallentamento delle indagini, una minore fiducia da parte degli analisti e una capacità limitata dei team. Le funzionalità di arricchimento e analisi basate sull’intelligenza artificiale di “ ”, disponibili su Tanium , Threat Response e , sono progettate per colmare tale divario direttamente all’interno del flusso di lavoro, proprio nel punto in cui si svolgono effettivamente le indagini.
Duncan illustra due nuove funzionalità di “ Threat Response”: l’arricchimento tramite riga di comando e l’analisi degli avvisi. La funzione di arricchimento decodifica i comandi codificati e scompone ogni componente di una riga di comando, spiegando la funzione di ciascun parametro e segnalando le implicazioni in materia di sicurezza in un linguaggio semplice e comprensibile. La funzione "Analizza" va oltre, considerando l'intero avviso come contesto e fornendo un riepilogo strutturato che include il motivo per cui l'avviso è stato generato, i risultati principali, una valutazione dell'impatto e le azioni raccomandate.
Se Le è mai capitato di perdere il filo dell’indagine passando da una finestra all’altra per verificare il significato di una riga di comando, oppure di avere difficoltà a spiegare a un analista alle prime armi perché un determinato avviso debba destare la sua attenzione, questa puntata illustra proprio le funzionalità che risolvono tali problemi. Guardi la guida completa nel video qui sotto.
Punti chiave
- Enrich decodifica e fornisce spiegazioni: Il pulsante "Enrich" all'interno di un avviso non si limita a decodificare un comando " PowerShell " codificato. Analizza ogni componente della riga di comando, spiega la funzione di ciascun parametro ed evidenzia le implicazioni in materia di sicurezza, quali ad esempio: «Utilizzato frequentemente in contesti malevoli per eludere i controlli basati su criteri».
- I cmdlet non standard vengono segnalati: Quando il processo di arricchimento rileva elementi quali
get-uac, identifica che non si tratta di un cmdlet integrato, ma probabilmente di una funzione personalizzata, e raccomanda di esaminare la fonte e l’attività precedente per individuare eventuali tentativi di staging. - Alert Analyze fornisce un contesto completo: La funzione Analyze prende come contesto l’intero avviso, inclusi l’albero genealogico dei processi, le righe di comando e i dettagli delle informazioni di intelligence, e fornisce una panoramica iniziale dell’avviso che spiega esattamente perché è scattato, i risultati chiave che evidenziano gli elementi insoliti, una valutazione dell’impatto e le azioni raccomandate.
“Perché se devo allontanarmi da qui per chiedere a un LLM o consultare Google per capire cosa significhi questa specifica riga di comando, mi allontano da qui e aumento il rischio di perdere il contesto quando tornerò, giusto? Allora, cosa stavo guardando? Qual era la cosa che c'era prima di questa? Quali erano le cose che avevo intenzione di fare dopo questo? Sto cercando di tenere tutto ben chiaro mentre mi allontano dalla console per recarmi altrove. Mantenere il contesto all’interno della console consente di rimanere concentrati e di non dover ricordare nuovamente ciò che si stava cercando di fare in precedenza; lo trovo quindi incredibilmente utile.”Tanium HuntIQ - Il cacciatore Duncan Miller
- Le azioni raccomandate richiedono un contesto ambientale: Duncan osserva che, sebbene le azioni raccomandate siano ragionevoli — quali l’isolamento dell’ endpoint, la chiusura e la messa in quarantena dell’ SQL nell’account Users splunkd e il blocco del traffico in uscita verso il dominio associato —, esse devono essere contestualizzate all’interno dell’ambiente. Isolare un controller di dominio fondamentale o un sistema che genera ricavi senza tenere conto di tale contesto potrebbe causare gravi problemi.
- L'arricchimento si estende alle connessioni dirette e alle griglie di dati: La stessa funzionalità di arricchimento disponibile negli avvisi è presente anche nelle connessioni dirette e all'interno della griglia di dati. Ovunque compaiano i simboli scintillanti, gli analisti possono integrare una riga di comando per ottenere ulteriori informazioni di contesto, comprese le righe di comando dei browser Chrome o Edge, che altrimenti risulterebbero difficili da interpretare.
“Direi di cercare i punti salienti e, se li individuate, potrete ottenere maggiori informazioni sul contesto.”Tanium HuntIQ - Il cacciatore Duncan Miller
- La disponibilità richiede l’attivazione delle funzionalità di “ Threat Response ”, “cloud” e “AI”: . Tali funzionalità sono attualmente disponibili senza costi aggiuntivi per i clienti in possesso di licenze per “” Threat Response , “”, che siano clienti cloud e abbiano attivato le funzionalità di intelligenza artificiale “ ” nel proprio ambiente.
Risorse aggiuntive
- In che modo HuntIQ di Tanium offre ai team di sicurezza un servizio di ricerca delle minacce guidato da esperti: Scoprite come i “hunters” di HuntIQ di Tanium'operano direttamente all’interno degli ambienti dei clienti per individuare in modo proattivo minacce sofisticate e migliorare il livello di sicurezza.
- Tanium Threat Response Panoramica della guida per l'utente del cloud: La pagina di panoramica della guida per l'utente del cloud di Tanium Threat Response , che costituisce il punto di accesso alla documentazione del prodotto per i clienti cloud.
