La storia fino ad ora
La serie “Hunt or be Hunted” ha sempre raccontato un unico tipo di storia: un “threat hunter” di HuntIQ si reca presso la sede di un cliente, conduce un’operazione di ricerca e individua qualcosa di significativo. ShieldBreak. FalconFlank. RunMRU. In ciascuno di quei post ci veniva posta sempre la stessa domanda: come posso eseguire questa operazione nel mio ambiente?
È proprio a questo che serve HuntIQ Tradecraft.
Che cos’è HuntIQ Tradecraft
HuntIQ Tradecraft è una raccolta in continua espansione di guide operative pubblicate su TRC. Ogni voce è redatta dagli stessi esperti di sicurezza informatica che conducono le operazioni di individuazione delle minacce negli ambienti dei clienti, e ciascuna di esse Le fornisce gli elementi necessari per metterla in pratica all’interno del Suo ambiente:
- L’ipotesi “ ” — quale comportamento degli autori degli attacchi si sta cercando di individuare nell’ambito della caccia agli autori degli attacchi e perché.
- La domanda relativa al sensore — la query esatta da eseguire su Tanium .
- Il metodo di filtraggio “ ”: come ridurre il rumore senza perdere il segnale.
- Mappatura ATT&CK — in modo da poterla confrontare con gli argomenti già trattati nei vostri contenuti esistenti.
- I casi di falsi positivi — le attività legittime che possono apparire sospette e come distinguerle.
- Prerequisiti e limiti — quali condizioni devono essere soddisfatte affinché la ricerca funzioni, e cosa vi rivelerà e cosa no.
Non si tratta di materiale promozionale. Manuali tattici. Scritto per i difensori, nel linguaggio che i difensori utilizzano.
Alcuni esempi di ciò che contiene
In diretta oggi:
- Quando il volume è l’indizio — una caccia in cui è proprio il volume degli avvisi a costituire l’indizio. Come si presenta questo modello, perché il rilevamento basato su regole non lo individua e come lo mettiamo in evidenza in “ Tanium”.
- Individuazione dell’esecuzione di servizi da directory modificabili dall’utente tramite Tanium — una tecnica di persistenza e di escalation dei privilegi che la maggior parte dei SOC non individua mai. I sensori Tanium specifici e le query che li rendono accessibili.
In arrivo nelle prossime settimane:
- Ricerca di soluzioni definitive quando non vi sono patch disponibili — cosa cercare quando la soluzione riguarda il comportamento del sistema piuttosto che un numero KB.
- Indagine sul dirottamento COM e sull’abuso dei CLSID tramite l’ Tanium — una tecnica di persistenza poco evidente ma di grande efficacia, in grado di eludere la maggior parte dei sistemi di rilevamento basati su regole.
- Ricerca di flussi di dati alternativi (ADS) — l’ NTFS , un aspetto che la maggior parte degli strumenti non esamina mai.
- Caricamento laterale di DLL — la tecnica di elusione delle difese che continua a funzionare perché tutti caricano le DLL.
- Persistenza dell’abbonamento agli eventi WMI — il punto d’appoggio di un attore sofisticato che opera al di fuori dei normali processi di avvio automatico.
- Eseguite RunMRU per individuare l’esposizione delle credenziali — individuando i punti in cui gli utenti digitano effettivamente i dati e ciò che viene rilevato al di là dell’ipotesi per cui lo avete creato.
Il catalogo continuerà ad ampliarsi. Se una campagna pubblicitaria si è dimostrata efficace in un contesto orientato al cliente, finirà qui.
In quali contesti si inserisce il servizio HuntIQ
HuntIQ Tradecraft è uno strumento che qualsiasi cliente di Tanium può utilizzare immediatamente. Il servizio HuntIQ è costituito dalle persone che lo hanno creato.
Quando si ricorre ai servizi di HuntIQ, esperti nella ricerca delle minacce lavorano a stretto contatto con voi all’interno della vostra implementazione di Tanium . Utilizzano i playbook in HuntIQ Tradecraft. Si occupano di ottimizzare i Suoi contenuti di rilevamento. Elaborano nuove strategie di rilevamento basate sulle tecniche utilizzate dagli autori degli attacchi in altri contesti. E lo fanno grazie ad Atlas — il sistema operativo autonomo di Tanium — che distribuisce in parallelo tutte le funzionalità pertinenti di “ Tanium ” alla vostra flotta nel momento stesso in cui un’ipotesi prende forma. Ciò che un tempo richiedeva ore di valutazione iniziale, analisi approfondita, correlazione e contenimento, ora viene completato in pochi minuti, con un verdetto strutturato pronto per la Sua approvazione con un solo clic.
Le tecniche operative sono di dominio pubblico per i clienti dell’ Tanium . Il giudizio è il servizio. Se desiderate entrambe le cose, HuntIQ è proprio ciò che fa al caso vostro.
Come utilizzare HuntIQ Tradecraft nel proprio ambiente
- Visiti i seguenti siti: , help.tanium.com, (si apre in una nuova scheda),, e acceda a HuntIQ Tradecraft.
- Scegliete uno schema di gioco che risponda a una lacuna nella copertura di cui siete consapevoli. Legga l'ipotesi. Si applichi il criterio del “sensore” alla propria situazione patrimoniale. Si applichi il metodo di filtraggio.
- Legga la mappatura ATT&CK rispetto ai Suoi contenuti esistenti. Se nessuna delle soluzioni che sta già utilizzando copre tale tecnica allo stesso modo, dovrà aggiungere un nuovo meccanismo di rilevamento.
- Tornate a trovarci: pubblicheremo regolarmente nuovi articoli sulle tecniche operative, basati su ciò che i nostri analisti stanno scoprendo in questo momento.
Iniziate la caccia
- Legga le guide operative di HuntIQ Tradecraft su TRC (si apre in una nuova scheda) (è richiesto l’accesso a TRC per i clienti di Tanium ).
- Scoprite il servizio HuntIQ all’indirizzo.
- Scoprite la serie “ : Hunt or be Hunted” all’indirizzo sul blog Tanium per conoscere le storie, in cui l’identità dei clienti rimane anonima, che si celano dietro le tecniche di vendita.
