Un indicatore spesso citato quando si esamina lo stato attuale del rilevamento e della risposta agli incidenti è il “tempo di permanenza”. Le ricerche evidenziano costantemente un divario significativo — spesso misurato in mesi — tra il momento in cui si verifica una violazione e quello in cui la vittima si accorge infine dell’intrusione.
Siamo tutti d’accordo sul fatto che tale divario costituisca un utile indicatore per misurare il successo di un programma di sicurezza e che ridurre tale lasso di tempo sia fondamentale per minimizzare il potenziale impatto degli attacchi sull’attività aziendale e sulle infrastrutture. Ma innanzitutto dobbiamo ridefinire l’intervallo di tempo denominato “tempo di permanenza”, estendendone i confini oltre il momento in cui viene rilevato un incidente. Infatti, il tempo di permanenza comprende l’intero svolgimento dell’indagine successiva, protrattasi infine fino al completamento con esito positivo dell’intervento correttivo.
Cosa contraddistingue un’indagine di successo?
Un’indagine deve individuare l’effettivo impatto aziendale della violazione e “raccontare la vicenda” di quanto accaduto. Gli investigatori iniziano individuando tutti i sistemi e i dispositivi compromessi presenti in un ambiente e determinando la portata dell'attività degli autori dell'attacco su ciascuno di essi. Tuttavia, l’importanza della valutazione della portata va oltre il semplice conteggio dei campioni di malware unici, degli host infetti o delle credenziali rubate. I risultati di un’indagine costituiscono elementi fondamentali per la definizione di un piano di bonifica a breve e a lungo termine, che idealmente dovrebbe essere elaborato parallelamente all’indagine sin dal primo giorno. La mancata individuazione di un singolo sistema infetto, di un indirizzo di comando e controllo di una backdoor o di un insieme di credenziali utente compromesse potrebbe potenzialmente consentire a un aggressore di riottenere facilmente l’accesso e vanificare l’intero intervento di bonifica. Allo stesso modo, la mancata individuazione e risoluzione delle vulnerabilità più fondamentali sfruttate nel corso di un incidente non comporta alcun miglioramento effettivo del livello di sicurezza della vittima.
Purtroppo, molte organizzazioni hanno difficoltà a gestire con successo questa fase cruciale del ciclo di vita di un incidente. In qualità di consulente, ho trascorso sei anni a guidare attività di indagine e risanamento per organizzazioni che necessitavano di assistenza esterna, in particolare quando era richiesto di agire entro tempi ristretti. Da un’indagine dipende davvero molto, ma il percorso verso la risoluzione del problema rimane arduo. Con così tanto in gioco, perché gli investigatori continuano ad avere difficoltà? La risposta risiede solitamente nei classici ambiti delle risorse umane, dei processi e della tecnologia:
- : L’informatica forense richiede competenze tecniche e una formazione di alto livello, in particolare se a ciò si aggiunge la necessità di comprendere le reti aziendali, le tecnologie più diffuse come Active Directory, nonché i modelli e le caratteristiche delle tecniche di intrusione più comuni. Queste competenze sono, e probabilmente continueranno ad essere, scarse nel prossimo futuro.
- Procedura: Molte organizzazioni non stabiliscono mai procedure definite per la gestione di un’intrusione mirata finché non se ne trovano di fronte una.
- Tecnologia: La stragrande maggioranza degli strumenti utilizzati per condurre indagini, in particolare per la “ricerca” di endpoint e le analisi forensi, risulta lenta, eccessivamente complessa e incapace di adattarsi ad ambienti di grandi dimensioni e distribuiti (o di tenere il passo con un’intrusione in corso). Inoltre, molti prodotti nascono da soluzioni puntuali destinate ad affrontare solo una piccola parte delle attività di rilevamento o risposta agli incidenti e, di conseguenza, perdono rapidamente efficacia quando vengono adattati a ulteriori casi d’uso dell’ IR su scala aziendale.
Mi entusiasma l’opportunità di fornire alle aziende una tecnologia in grado di fungere da moltiplicatore di forza, potenziando le competenze e le risorse dei team di sicurezza esistenti per far fronte ad attacchi di qualsiasi entità. Sono quindi lieto di presentarvi l’ultima funzionalità di “ Tanium”, denominata “ Tanium Trace”, e di fornire ai team di sicurezza e di risposta agli incidenti gli strumenti necessari per ridurre drasticamente i tempi e gli sforzi richiesti per l’ Detect, l’analisi e la risposta alle intrusioni.
Uno sguardo più approfondito a “ Tanium Trace”
Tanium Trace (Trace) si aggiunge a una serie di funzionalità esistenti di rilevamento e risposta agli incidenti già incluse nella piattaforma Endpoint di Tanium , tra cui la possibilità di interrogare e raccogliere rapidamente dati sullo “stato attuale” di tutti gli endpoint, di cercare indicatori di compromissione (Indicators of Compromise) strutturati e di acquisire artefatti forensi di grandi dimensioni, quali un’immagine di memoria o un dump dei metadati del file system, dai sistemi presi di mira. Trace si basa su queste funzionalità e si arricchisce di tre elementi chiave: il Collector “ Trace ”, il Workbench “ Trace ” e i sensori “ Trace ”.
Trace , collezionista
Trace Il responsabile della raccolta è incaricato di registrare costantemente le prove forensi fondamentali relative a ciascun endpoint. Funziona monitorando il kernel Windows e altri sottosistemi di basso livello per rilevare una serie di eventi, tra cui: l’esecuzione dei processi, l’attività del file system, le modifiche al Registro di sistema, le connessioni di rete, il caricamento dei driver e l’autenticazione degli utenti. Questi dati possono accumularsi rapidamente — anche un sistema inattivo genera un’attività costante — pertanto Trace raggruppa in modo intelligente gli eventi simili e li archivia in modo efficiente in un database locale. Grazie a queste ottimizzazioni, la configurazione predefinita consente di conservare fino a diverse settimane di dati storici. Tanium Gli amministratori possono personalizzare ulteriormente la quantità di spazio di archiviazione locale occupata da Trace, nonché filtrare i tipi di prove registrate, in modo da adattarsi ai casi d’uso desiderati.
A titolo di confronto, le tecniche tradizionali di analisi forense dei dischi e della memoria consentono di ricostruire con successo frammenti dell’attività dell’ endpoint , ma sono limitate alle prove conservate in modo nativo dal sistema operativo sottostante — prove che possono deteriorarsi rapidamente con il passare del tempo rispetto al periodo di interesse. Trace conserva una cronologia completa e di facile interpretazione degli eventi, che consente agli analisti di tornare indietro nel tempo e rivedere ciò che è accaduto di recente su un sistema.
Inoltre, Trace arricchisce ciascuno degli eventi registrati con ulteriori informazioni contestuali e metadati. Ad esempio, gli eventi relativi all'esecuzione dei processi includono la riga di comando completa, l'hash, la riga di comando del processo padre e il contesto utente. Gli eventi relativi a file, rete e registro vengono tutti registrati insieme al processo associato e al contesto utente in cui si sono verificati. Gli eventi di sicurezza, quali gli accessi e le disconnessioni, vengono conservati indipendentemente dai registri degli eventi che potrebbero essere stati azzerati. Ciò rende incredibilmente semplice seguire una pista investigativa e accertare rapidamente il contesto in cui si è verificato l’evento su un endpoint.
Trace di Workbench
Trace Workbench è un'interfaccia utente basata sul web integrata direttamente nella console di Tanium . Consente di connettersi a sistemi remoti e di effettuare analisi approfondite sulla ricca serie di dati acquisiti dal Collector di Trace . Tutte le analisi possono essere condotte tramite una connessione in tempo reale in pochi secondi, senza che siano necessari trasferimenti di dati o operazioni di analisi che richiedono molto tempo; gli utenti possono inoltre salvare istantanee del database “ Trace ” di un sistema per l’archiviazione e l’analisi collaborativa sul server Tanium . Offre inoltre la possibilità di riconfigurare facilmente le impostazioni di Trace , quali la dimensione massima del database e la cronologia di conservazione, su tutti gli endpoint.
Gli utenti possono iniziare effettuando una ricerca nell’intero database “ Trace ” di un sistema, sulla base di parole chiave o di un intervallo di tempo iniziale. I risultati della ricerca vengono presentati in una griglia tradizionale che può essere riordinata e filtrata per singola colonna, per aiutare gli utenti a eliminare i dati superflui.
Facendo doppio clic su un qualsiasi risultato della ricerca, l'utente viene reindirizzato a una pagina di panoramica dettagliata del processo responsabile dell'evento selezionato. Ciò sposta sostanzialmente l'analisi sull'ambito di un singolo processo nel corso del tempo, anziché sull'ambito di tutti gli eventi che corrispondono ai criteri di ricerca iniziali. La panoramica dei processi mostra tutte le attività relative a file, rete, registro di sistema e processi figli avviate dal processo attualmente esaminato, sia in una sequenza temporale visiva che in una griglia. Questa pagina fornisce inoltre il percorso completo del processo, gli argomenti, il contesto utente, l’hash e la riga di comando principale. Gli utenti possono inoltre scaricare il file eseguibile per un’ulteriore analisi. Gli utenti possono inoltre navigare in una visualizzazione ad albero interattiva che mostra i nodi padre, figlio e pari del processo corrente.
Trace Sensori
È facile cadere nella visione ristretta quando si analizza un singolo sistema che fa parte di un incidente più ampio. Gli investigatori devono essere in grado di effettuare ricerche a livello aziendale per individuare i risultati e gli elementi emersi nel corso di analisi forensi approfondite. Idealmente, ogni ricerca ad hoc e ogni caso di test non dovrebbero comportare l’onere di creare e implementare gli IOC. Le query relative ad artefatti semplici, quali un processo, una chiave di registro o un file, dovrebbero essere leggere e fornire risultati immediati. Lo scopo non è solo quello di individuare ciò che è “notoriamente difettoso”, ma anche di aiutare a riconoscere e valutare ciò che è “notoriamente in ordine”. Chiunque abbia svolto analisi forensi conosce bene la sensazione che si prova quando ci si imbatte in una serie di prove che sembrano sospette, ma che potrebbero anche essere il risultato del normale comportamento del sistema, verificatosi in concomitanza con le azioni di un intruso. La capacità di valutare istantaneamente «quanto sia diffusa questa “cosa”» in un determinato ambiente può ridurre drasticamente lo sforzo necessario per esaminare un sistema e per elaborare indicatori più accurati e resilienti da utilizzare in futuro.
Trace Rende possibile questa funzionalità grazie ai sensori che alimentano la funzione principale di “ Tanium”, ovvero “Chiedi a un Question”. Tutti i dati raccolti da Trace su ogni endpoint possono essere consultati su larga scala con lo stesso tempo di risposta di 15 secondi che si otterrebbe con qualsiasi altra interrogazione su Tanium . Allo stesso modo, gli stessi dati di Trace possono essere recuperati tramite ricerche ricorrenti o tramite SOAP API, e i risultati possono essere salvati, aggregati nel tempo o reindirizzati verso altre soluzioni di analisi della sicurezza o di archiviazione, come SIEM , tramite Tanium Connect.
Quando si esaminano i dettagli di un processo all’interno di un Work Trace , qualsiasi riga relativa a un’attività può essere trasformata in una ricerca contestuale con un solo clic. Ad esempio, selezionando una riga per un’operazione CreateProcess, viene richiesto di cercare un processo corrispondente in base al percorso, all’hash MD5 o alla riga di comando completa; selezionando una riga relativa a un file o al Registro di sistema, viene richiesto di effettuare la ricerca in base al tipo di operazione e al percorso dell’elemento. Gli utenti possono inoltre creare manualmente query più articolate che sfruttano l’intero set di dati “ Trace ” e offrono opzioni avanzate quali i vincoli relativi all’intervallo di tempo e la corrispondenza tramite espressioni regolari.
Trace I sensori — in particolare quando vengono utilizzati a supporto di ricerche ricorrenti e salvate — possono inoltre costituire un meccanismo efficace per il monitoraggio proattivo di un ambiente al fine di individuare attività anomale. Tra gli esempi di ricerche “ Trace ” che gli utenti possono facilmente creare, personalizzare e integrare con altre soluzioni di sicurezza figurano:
- Accessi di tipo 3 (Rete) e di tipo 10 (RemoteInteractive) effettuati da un insieme selezionato di account, sistemi di origine e/o sistemi di destinazione
- Eventi relativi alla creazione di file che utilizzano la corrispondenza con espressioni regolari per monitorare l’attività in directory specifiche (come le posizioni comunemente utilizzate dagli autori degli attacchi come base operativa) o la creazione di tipi di file specifici (come gli archivi RAR)
- Creazione o modifica di chiavi e valori del Registro di sistema spesso utilizzati per garantire la persistenza del malware, quali i parametri o i valori relativi a Windows Service ServiceDLL presenti nelle chiavi “Run”
- Combinazioni uniche di processi padre e figlio che potrebbero essere indicative di attività di comando e controllo, come ad esempio una shell di comando generata da un processo padre atipico quale “svchost.exe”
- Esecuzione di comandi nativi di “ Windows ” utilizzati raramente dagli utenti finali comuni, ma spesso sfruttati dagli autori degli attacchi a fini di ricognizione e movimento laterale, quali “net.exe”, “at.exe” e “wmic.exe”
- Flussi di rete anomali, quali tentativi di connessione in uscita verso server HTTP/s su Internet da controller di dominio interni isolati, oppure traffico SMB o RDP verso postazioni di lavoro di amministratori con privilegi o server chiave provenienti da sottoreti di origine atipiche.
Con l’aggiunta di “ Trace”, la piattaforma Endpoint di Tanium offre una soluzione davvero completa per l’intero ciclo di vita della risposta agli incidenti — una soluzione in grado di garantire rapidità, affidabilità e facilità di gestione a qualsiasi livello di scalabilità. Trace può essere implementato in pochi minuti utilizzando la piattaforma Tanium , e l’aggiunta di tutte queste funzionalità Trace a un’implementazione esistente non richiede hardware aggiuntivo. Con pochi clic, gli utenti possono installare Trace su un sottoinsieme di endpoint o sull’intero ambiente, monitorare lo stato dell’installazione e iniziare a utilizzare il workbench e i sensori di Trace .
RYAN KAZANCIYAN, ex responsabile della sicurezza informatica presso
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
