La storia finora
La serie Hunt or be Hunted ha raccontato un tipo di storia: un cacciatore di minacce HuntIQ entra nell'ambiente di un cliente, esegue una caccia e trova qualcosa di significativo. ScudoInterruzione. FalcoFalco. EseguiMRU. In ognuno di questi post, abbiamo continuato a ricevere la stessa domanda: come faccio a farlo nel mio ambiente?
Questo è lo scopo di HuntIQ Tradecraft.
Che cos'è HuntIQ Tradecraft
HuntIQ Tradecraft è una libreria in crescita di playbook di caccia pubblicati su TRC. Ogni voce è scritta dagli stessi cacciatori di minacce che eseguono la caccia negli ambienti dei clienti e ognuno ti dà ciò di cui hai bisogno per eseguirla contro la tua proprietà:
- L'ipotesi : quale comportamento dell'aggressore sta cercando la caccia e perché.
- La domanda del sensore : l’esatta query Tanium da eseguire.
- Il metodo di filtraggio : come ridurre il rumore senza perdere il segnale.
- Mappatura ATT&CK , in modo da poter confrontare ciò che i tuoi contenuti esistenti coprono già.
- Modelli falsi positivi : l'attività legittima che sembrerà sospetta e come dire la differenza.
- Precondizioni e limiti : cosa deve essere vero perché la caccia funzioni, e cosa ti dirà e non ti dirà.
Non pezzi di marketing. Playbook. Scritto per i difensori, nella lingua usata dai difensori.
Alcuni esempi di cosa c’è dentro
In diretta oggi:
- Quando il volume è il risultato : una ricerca in cui il volume di avviso stesso è il tell. Che aspetto ha il pattern, perché il rilevamento basato su regole manca, come lo emergiamo in Tanium.
- Esecuzione di servizi di ricerca da directory scrivibili dall’utente con Tanium : una primitiva di persistenza e di escalation dei privilegi che la maggior parte dei SOC non cerca mai. I sensori Tanium per calcestruzzo e le query che lo espongono.
Atterraggio nelle prossime settimane:
- Hunting TerminalFix quando non c'è nulla da correggere - cosa cercare quando la correzione è comportamentale piuttosto che un numero KB.
- Caccia al dirottamento COM e all’abuso di CLSID con Tanium , un primitivo di persistenza a basso rumore e alto valore che sopravvive alla maggior parte dei rilevamenti basati su regole.
- Caccia al flusso di dati alternativo (ADS): la superficie NTFS non ispeziona mai la maggior parte degli strumenti.
- DLL sideloading : il primitivo di evasione della difesa che continua a funzionare perché tutti caricano DLL.
- Persistenza di WMI Event Subscription : il punto d'appoggio di un attore sofisticato che vive al di fuori dei normali autorun.
- RunMRU per l'esposizione delle credenziali - cacciare il luogo in cui gli utenti effettivamente digitano, e ciò che cattura oltre l'ipotesi per cui l'hai costruito.
Il catalogo continuerà a crescere. Se una caccia ha guadagnato la sua tenere in un ambiente cliente, finirà qui.
Dove si inserisce il servizio HuntIQ
HuntIQ Tradecraft è ciò che qualsiasi cliente Tanium può raccogliere e gestire. HuntIQ, il servizio, è la gente che l'ha scritto.
Quando utilizzi HuntIQ, esperti threat hunter lavorano con te all’interno della tua implementazione Tanium . Gestiscono i playbook in HuntIQ Tradecraft. Sintonizzano i contenuti di rilevamento. Costruiscono nuove cacce contro le tecniche che gli aggressori stanno usando altrove nel paesaggio. E lo fanno con Atlas, il sistema operativo autonomo di Tanium, che invia in parallelo tutte le capacità Tanium rilevanti attraverso la tua flotta nel momento in cui un’ipotesi prende forma. Ciò che prima richiedeva ore di triage, scoping, correlazione e contenimento ora termina in pochi minuti, con un verdetto strutturato predisposto per l’approvazione con un clic.
Il tradecraft è pubblico per i clienti Tanium . Il giudizio è il servizio. Se volete entrambi, questo è HuntIQ.
Come utilizzare HuntIQ Tradecraft nel tuo ambiente
- Vai su help.tanium.com (si apre in una nuova scheda) e vai su HuntIQ Tradecraft.
- Scegli un playbook che mappa un divario di copertura che sai di avere. Leggi l’ipotesi. Eseguire la domanda del sensore contro il proprio patrimonio. Lavorare attraverso il metodo di filtraggio.
- Leggi la mappatura ATT&CK rispetto ai tuoi contenuti esistenti. Se nulla di ciò che si esegue copre già quella tecnica allo stesso modo, è necessario aggiungere un nuovo rilevamento.
- Ritorna quando i nuovi post di mestiere atterrano a cadenza regolare, attingendo da ciò che i nostri cacciatori stanno trovando in questo momento.
Inizia la caccia
- Leggi i playbook HuntIQ Tradecraft su TRC (si apre in una nuova scheda) (è richiesto l’accesso al TRC per i clienti Tanium ).
- Informazioni sul servizio HuntIQ.
- Segui la serie Hunt or be Hunted sul blog di Tanium per scoprire le storie anonime dei clienti dietro la tradecraft.