La bonifica rappresenta senza dubbio la fase più importante della risposta agli incidenti, poiché garantisce che gli artefatti dannosi e le altre tracce dell’attività degli aggressori vengano eliminati, assicurando così che l’ambiente risulti più resiliente ad attacchi simili in futuro. Purtroppo, questa fase viene spesso trascurata oppure i compiti vengono distribuiti tra team IT operanti in modo isolato e rischiano di andare persi nel nulla. Tanium elimina tali compartimenti stagni grazie a una piattaforma che consente il rilevamento, l’analisi e la risoluzione dei problemi in tempo reale, il tutto da un’unica console. Un recente aggiornamento del modulo " Tanium Protect " include nuove funzionalità pensate per accelerare il processo di risoluzione dei problemi e garantire che tali minacce vengano eliminate in modo definitivo. Questo articolo del blog illustrerà i passaggi necessari per guidare i “threat hunter” nell’analisi del proprio ambiente alla ricerca di elementi dannosi e nell’utilizzo della nuova funzionalità di correzione all’interno del modulo “ Tanium Protect ”.
Fin dall’inizio: viene pubblicato un rapporto sulle minacce informatiche
Una richiesta ricorrente per qualsiasi specialista nella ricerca delle minacce consiste nell’identificare la presenza di specifici artefatti dannosi, provenienti sia da fonti di intelligence a pagamento che da fonti open source. In genere, gli specialisti nella ricerca delle minacce individuano gli indicatori di compromissione (IOC) e analizzano il proprio ambiente alla ricerca di tali elementi per verificare se siano stati compromessi. Tanium offre diverse modalità per fornire questa funzionalità di ricerca e ora intervenire sugli endpoint interessati non è mai stato così semplice. In questo esempio, illustreremo il flusso di lavoro standard relativo alle informazioni sulle minacce provenienti da fonti di intelligence ai fini della pulizia, assicurando che i file e gli altri indicatori di compromissione (IOC) vengano rimossi in modo definitivo dagli endpoint interessati.
Uno dei primi compiti da svolgere in qualsiasi attività di ricerca delle minacce consiste nell’identificare gli indicatori o gli artefatti da individuare nell’ambiente. In questo esempio utilizzeremo un rapporto di intelligence sulle minacce redatto dall’US-CERT relativo al malware Backoff, un keylogger basato sulla memoria noto per prendere di mira i sistemi dei punti vendita nel settore della vendita al dettaglio.
Figura 1: Estratto del rapporto sul malware Backoff pubblicato dall’US-CERT
Il presente rapporto fornisce diversi indicatori di compromissione (IOC), tra cui nomi di file, hash dei file e voci del Registro di sistema. È possibile copiare l'intero rapporto e creare un avviso Signal o un indicatore OpenIOC per effettuare una ricerca nell'ambiente in pochi minuti. Tuttavia, a scopo dimostrativo, provvederemo invece a verificare tali risultati manualmente.
Ricerca all'interno dell'azienda
Il primo elemento del file system da cercare è il file dannoso “javaw.exe”, presente nel percorso “C:\Users\\AppData\\Roaming\\OracleJava\\”. Il sensore “Index Query File and Hash” di Tanium restituisce il percorso, il nome e l’hash dei file presenti su Index che corrispondono ai parametri di ricerca specificati. In questo esempio si specificano il percorso e l'hash da cercare e vengono restituite tutte le istanze.
Figura 2: Risultato fornito dal sensore “Index Query File and Hash” che conferma la presenza dei file binari di Backoff
Da questa query si evince che nell'ambiente sono presenti diversi file dannosi che devono essere rimossi. Prima di procedere con le azioni correttive, esaminiamo gli altri indicatori presenti nel rapporto per assicurarci che non vengano trascurati altri elementi rilevanti.
Grazie al sensore “Dettagli del programma AutoRun”, è possibile analizzare rapidamente tutti i file binari persistenti presenti in tutta l’azienda. Poiché ci interessano le voci del Registro di sistema relative al nostro rapporto di intelligence su Backoff, possiamo utilizzare il filtro situato sul lato destro, appena sopra la griglia dei risultati, per limitare i risultati a quelli che includono l’hash del malware. Ora sappiamo che esistono diverse posizioni di persistenza per questo malware.
Figura 3: Dati in uscita dal sensore “Dettagli del programma AutoRun”, che identificano i meccanismi di persistenza del backoff
Il sensore “Get Folder Contents” di Tanium fornisce il contenuto di qualsiasi cartella specificata. Eseguendo questo comando, possiamo constatare che gli altri IOC riportati nel rapporto Backoff sono effettivamente presenti.
Figura 4: Dati in uscita dal sensore “Get Folder Contents”, che confermano la presenza di ulteriori artefatti di backoff
Elaborazione di una politica di bonifica per la pulizia
In sintesi, abbiamo verificato che nell’ambiente siano presenti elementi provenienti dal rapporto di intelligence sulle minacce “Backoff” ed è necessario procedere alla loro rimozione. Utilizzando i sensori sopra citati, è necessario eseguire le seguenti operazioni:
- Terminare il processo javaw.exe
- Elimini i file javaw.exe e log.txt
- Eliminare i valori del Registro di sistema:
- “HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service”
- “HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service”
È possibile creare una nuova politica di correzione Protect accedendo alla sezione “Politiche” all’interno del modulo “ Tanium Protect ”: l’opzione per la creazione di una nuova politica si trova nell’angolo in alto a destra.
Figura 5: Pagina di configurazione dei criteri di “ Tanium Protect ”
Una volta effettuata la selezione, verrà caricata la pagina di configurazione “Aggiungi politica”. In questa sezione è possibile specificare il nome, la descrizione e il tipo della politica. Inserisca i dati e selezioni “Rimedio” come tipo di politica.
Figura 6: Pagina di creazione della politica di correzione di Tanium Protect
Una volta selezionato il tipo di politica di correzione, sotto di esso vengono visualizzate una serie di opzioni per configurare la politica. Selezionando “Aggiungi attività” verranno visualizzate le opzioni per eseguire operazioni sugli endpoint. Come illustrato in precedenza, le operazioni necessarie per il nostro esempio sono: terminare un processo, eliminare un file ed eliminare una chiave di registro.
In primo luogo, selezioneremo “Termina processo” e inseriremo il nome del processo. All’interno del flusso di lavoro di correzione sono disponibili un’opzione per specificare un periodo di timeout e la possibilità di impostare un numero di tentativi di riprova. Una volta inserita un’attività, è possibile selezionare “Aggiungi attività” per aggiungere ulteriori passaggi alla politica di correzione. L'operazione successiva è “Elimina file”. Inserisca il percorso da eliminare. È possibile inserire ulteriori attività, come illustrato nella schermata qui sotto, per eseguire ulteriori operazioni.
Si noti che nel percorso è possibile utilizzare caratteri jolly per gestire variabili quali i profili utente. Inoltre, una volta inserite più attività, è possibile modificarne l'ordine selezionando l'area accanto al numero dell'attività e trascinandola nella posizione desiderata. È possibile impostare la gestione degli errori per ciascuna attività, in modo che la procedura possa terminare o essere ignorata qualora si verifichi un errore. Una volta inserite tutte le attività, selezioni il pulsante “Crea” e la politica verrà creata.
Figura 7: L'attività di bonifica completa creata per rimuovere le tracce del malware Backoff.
Il passo successivo consiste nel decidere quali sistemi o gruppi di computer debbano Enforce la politica. Selezioni il pulsante “Aggiungi misura di applicazione”.
Figura 8: La politica di bonifica dopo la creazione ma prima dell’attuazione.
In questa pagina vengono fornite diverse opzioni per selezionare gruppi dinamici di computer o singoli computer in base al nome ai fini dell'applicazione delle misure correttive. È possibile eseguire le operazioni di applicazione una sola volta oppure pianificarne la ripetizione a intervalli prestabiliti, al fine di garantire che eventuali sistemi appena interessati vengano corretti.
Figura 9: Le opzioni di applicazione della politica di correzione.
Una volta applicata la politica, i computer interessati segnaleranno quali operazioni erano applicabili e sono state eseguite con successo. Nello screenshot riportato di seguito, si può notare che la politica è stata applicata con successo; analizzando i risultati in modo più approfondito, si può inoltre constatare che tutte le attività sono state eseguite
Figura 10: Pagina dei risultati della politica che mostra lo stato dell'applicazione e altri dettagli relativi alla politica.
Ora che sappiamo quanto sia semplice creare e gestire le attività di correzione, l’ultimo passo consiste nel verificare che l’attività sia stata completata con successo. Si ricordi che le attività di correzione possono essere impostate in modo da essere eseguite nuovamenteEnforce a intervalli regolari. Qualora uno degli elementi elencati nell'attività di correzione dovesse ricomparire, nello stato dell'attività verrà segnalato un conflitto per informare l'utente di un potenziale problema. Grazie a questa nuova funzionalità, possiamo integrare la fase di risoluzione di un incidente nei nostri flussi di lavoro di Tanium .
Figura 11: Analisi dettagliata dei risultati della correzione, con una descrizione di ciascuna fase della procedura e delle azioni intraprese.
Mettere tutto insieme
Queste nuove funzionalità consentono agli addetti alla gestione degli incidenti di organizzare e gestire più politiche di risoluzione dei problemi. Ciò trasforma un processo notoriamente complesso in un flusso di lavoro semplice e ottimizzato. Accelerando la fase di bonifica, gli addetti alla gestione degli incidenti possono passare rapidamente alle attività di ripristino e continuare a garantire la resilienza della rete.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
Informazioni sull’autore: Aaron Goldstein è direttore del team Endpoint Detection and Response (EDR) di Tanium. È entrato a far parte di Tanium dopo 9 anni di attività di consulenza nel campo della risposta agli incidenti e della gestione delle informazioni sulle minacce. Quando non è impegnato a garantire la sicurezza del mondo, Aaron ama recarsi in luoghi remoti e fare escursioni.
