Vai al contenuto principale
Blog Tanium

Come monitoriamo il tempo medio di risposta

This is the last in our four-part blog series illustrating how we track critical metrics. In this installment, Tanium SecOps Engineer Greg Pothier discusses how we respond to incidents, offers guidelines on mean time to respond and explains why rapid response times are key for every business.

Nell’ambito delle nostre pratiche di sicurezza informatica, ricorriamo sistematicamente all’ Tanium per rafforzare la nostra posizione difensiva, utilizzando l’applicazione delle patch sia come misura di “ ” sia come processo di “ ” . In questo modo si riduce la nostra superficie di attacco e si favorisce un ambiente omogeneo.

Prima di congratularci con noi stessi per il lavoro ben svolto, tuttavia, è importante rimanere vigili. Come sapete, gli autori degli attacchi sono creativi; e, una volta penetrati in una rete, i casi di violazione resi pubblici hanno dimostrato che possono rimanere inosservati per mesi.

L'impatto e il costo di una violazione sono direttamente correlati al tempo che un aggressore trascorre all'interno di una rete. Di conseguenza, è fondamentale che ci prefiggiamo di ridurre il più possibile il tempo medio necessario per risolvere i problemi. Per rendere le nostre attività più efficienti ed efficaci, utilizziamo Tanium per automatizzare il più possibile il processo iniziale di rilevamento e segnalazione. Questi rilevamenti automatici ci segnalano potenziali attività dannose, a quel punto possiamo iniziare a misurare i nostri tempi di risposta.

Il ciclo di vita tipico di un attacco si articola in tre fasi principali:

  • Infezione iniziale. Si verifica quando un malintenzionato riesce per la prima volta a eseguire codice dannoso su un endpoint per ottenerne l’accesso.
  • Persistenza. Si verifica quando un malintenzionato ha ottenuto l’accesso a un sistema endpoint ed è in grado di mantenere tale accesso anche dopo il riavvio del sistema.
  • Movimento laterale e raggiungimento dell’obiettivo. Gli attaccanti raramente atterrano dove desiderano. Pertanto, una volta ottenuto l’accesso, gli aggressori lo utilizzano in genere per spostarsi lateralmente da un sistema all’altro, raccogliendo ulteriori dati fino a quando non raggiungono il loro obiettivo.

Di seguito sono riportati alcuni esempi di come utilizziamo l’ Tanium per gestire le attività in ciascuna fase del ciclo di vita di un attacco, nonché le nostre previsioni relative al tempo medio di risposta in ciascuna fase.

Fase iniziale dell’infezione: individuazione delle attività dannose

Tanium È una piattaforma, il che significa che possiamo passare immediatamente dal rilevamento e dalla segnalazione alla definizione dell’ambito e all’analisi, il tutto da un’unica console. Analizziamo tutti i rilevamenti e le potenziali infezioni iniziali utilizzando Tanium,  , Tracee  per collegarci a endpoint e creare registrazioni cronologiche e analisi dei dati forensi chiave sugli endpoint. Tali elementi forensi comprendono l'esecuzione dei processi, le modifiche al file system e al registro di sistema, il caricamento dei driver, gli eventi di sicurezza, nonché numerosi altri eventi rilevanti relativi all'utente e al sistema.

Tanium Trace registra costantemente l'attività di endpoint , indipendentemente dal fatto che il sito endpoint sia online o meno. Trace ci consente di applicare il rilevamento dei modelli di attacco per individuare anomalie ed eventi sospetti basati su metodologie di attacco complesse.

Tra gli esempi di alcuni dei meccanismi di rilevamento più comuni figurano:

  • File di script presenti in percorsi sospetti;
  • Modelli di eventi relativi a processi e file indicativi della presenza di un malware sotto forma di macro di Office di Microsoft ;
  • Adobe Acrobat Reader crea tipi di file insoliti; e
  • Shell di comando generate da applicazioni padre insolite.

Man mano che raccogliamo elementi di prova da Trace, possiamo utilizzare Tanium Detect per individuare tali indicatori di compromissione (IOC) in tutta l’azienda. Detect acquisisce gli IOC da una varietà di fonti, tra cui archivi locali di rilevamento delle minacce, flussi TAXII e altri feed di intelligence sulle minacce. Detect ci consente di personalizzare le scansioni in base allo stato dell’ endpoint, permettendo un targeting preciso in base al sistema operativo endpoint , al gruppo di utenti o ai sistemi con amministratori dotati di privilegi.

Per quanto riguarda Detect, il nostro team di sicurezza interno si avvale di diverse fonti esterne di dati sulle minacce, tra cui un servizio leader nel settore dei database di reputazione e Palo Alto Networks Wildfire (si apre in una nuova scheda). Tramite Tanium  Connect (si apre in una nuova scheda), possiamo utilizzare in modo nativo le API di entrambi i prodotti per verificare gli hash di ogni processo in esecuzione, delle applicazioni ad avvio automatico e dei driver caricati, confrontandoli con decine di motori antivirus. Quando viene individuato un hash sospetto, riceviamo immediatamente una notifica e viene generato automaticamente un ticket.

Oltre alla funzione “Detect”, possiamo verificare se indicatori simili siano presenti altrove semplicemente utilizzando “ Tanium Core ” per effettuare una ricerca ad hoc a livello aziendale su tutti i nostri endpoint.

Utilizziamo Tanium per risolvere il problema del sito infetto endpoint e, a seconda dei risultati ottenuti, possiamo attuare Tanium azioni volte a terminare i processi dannosi in esecuzione, disinstallare le applicazioni non autorizzate e/o applicare le patch (si apre in una nuova scheda) al endpoint immediatamente.

Molte indagini relative alla risposta agli incidenti si concludono a questo punto. Se così fosse, potremmo misurare il tempo trascorso dal rilevamento iniziale alla risoluzione del problema e registrare la durata dell’intero processo. Il nostro obiettivo è quello di ridurre il più possibile il tempo medio necessario per risolvere i problemi.

Perseveranza: individuare gli autori degli attacchi là dove si nascondono

Tanium offre una varietà di metodi per monitorare e Detect i più comuni meccanismi di persistenza, tra cui eseguibili autonomi, DLL di servizi non autorizzati, moduli di servizi ospitati e componenti COM.

Le funzionalità di ricerca e aggregazione in tempo reale di Tanium consentono alle nostre operazioni di individuazione di essere efficienti ed efficaci nel rilevare la persistenza del malware attraverso metodi comunemente utilizzati dagli autori degli attacchi, quali Windows Management Instrumentation (WMI) e le attività pianificate. L'analisi in tempo reale è inoltre una componente fondamentale della ricerca delle minacce, in quanto consente di analizzare i valori anomali di tutti i meccanismi persistenti.

Vengono esaminati i nuovi meccanismi di persistenza e, qualora risultassero dannosi, si ricorre a Tanium per implementare un’azione di quarantena  , isolando il sistema infetto endpoint fino al completamento delle ulteriori analisi e delle operazioni di riparazione.

Ora che l’infezione iniziale è stata contenuta, dobbiamo stabilire in che modo si sia verificata in primo luogo.

Tanium Trace È possibile rispondere a queste domande tramite analizzando l’esecuzione dei processi, fornendo la cronologia dell’albero dei processi associato e sfruttando le prove forensi per creare indicatori di compromissione, che ci aiuteranno a rispondere alla domanda successiva: il metodo di persistenza utilizzato con successo è stato tentato e ha avuto esito positivo anche su altri endpoint?

Creiamo azioni di rilevamento automatizzate con Detect, inserendo il nostro file “ IOC ” o la nostra regola Yara ed effettuando una ricerca a livello aziendale alla ricerca di prove dell’attività dannosa. Il nostro obiettivo è quello di rispondere agli avvisi relativi all’ambito di applicazione effettuando una valutazione iniziale entro i primi 15 minuti e procedendo a una raccolta più dettagliata di informazioni, avvalendoci dei metodi sopra indicati, entro la prima ora.

Movimenti laterali ed esfiltrazione: bloccare gli aggressori sul nascere

Durante la fase di movimento laterale e di raggiungimento dell’obiettivo **,** utilizziamo Tanium per Detect le tecniche di ricognizione dei domini più comunemente impiegate dagli autori degli attacchi e per generare avvisi al riguardo. Ad esempio, Tanium ci avvisa quando un malintenzionato – o anche un dipendente disonesto – tenta di compiere possibili azioni dannose, quali l’utilizzo di net.exe per individuare i gruppi di account utente, o addirittura il tentativo di aggiungere un nuovo utente.

PowerShell è diventato uno degli strumenti principali utilizzati dagli autori degli attacchi e noi utilizziamo Tanium per individuare facilmente comportamenti sospetti di PowerShell, esaminando gli alberi dei processi, le righe di comando o persino le connessioni HTTPS. Monitoriamo e segnaliamo gli accessi di tipo 3 alla rete, tra cui l’esecuzione di comandi remoti tramite psexec, l’esecuzione di comandi remoti tramite WMI, il montaggio sospetto di condivisioni e le attività remote pianificate. Molti autori di attacchi preferiscono utilizzare strumenti che risiedono prevalentemente in memoria per garantire la propria invisibilità; pertanto, utilizziamo Tanium Threat Response (si apre in una nuova scheda) per esaminare endpoint la memoria a livello aziendale in modo rapido.

Durante i tentativi di esfiltrazione, gli autori degli attacchi spesso comprimono i dati per crittografare il contenuto dei file e i nomi degli stessi. Utilizziamo l’indice “ Tanium” ( ) per individuare i file che presentano indicatori sospetti, tra cui nome, percorso, hash e byte di intestazione. Pertanto, quando un malintenzionato tenta di comprimere e crittografare i file e il loro contenuto, Tanium index ci avvisa della presenza di qualsiasi file di nuova creazione contenente una sequenza di byte di intestazione sospetta.

Nel rispondere a potenziali movimenti laterali o esfiltrazioni, Tanium ci offre diverse opzioni per avviare azioni immediate volte a porre rimedio all’attività dannosa. Possiamo ridurre il livello di autorizzazione e/o eliminare gli account locali con privilegi elevati, distribuire un pacchetto per terminare eventuali processi dannosi, reimpostare le credenziali degli utenti compromessi e chiudere le connessioni e le porte non autorizzate.

Questo flusso di lavoro di rilevamento, che avviene in pochi secondi e su larga scala, basato sulla capacità di analizzare in profondità gli endpoint a livello aziendale, mantiene il nostro tempo medio di risposta entro i limiti previsti e ci consente di individuare gli autori degli attacchi prima che riescano a portare a termine i propri obiettivi. Tanium in quanto piattaforma ci consente di svolgere in pochi secondi, minuti e ore ciò che solitamente richiede ai team di risposta agli incidenti giorni, settimane o addirittura mesi.

Questa è l’ultima puntata della nostra serie in quattro parti. Nella prima parte di “ ”, vi svelo in che modo noi di Tanium monitoriamo le vulnerabilità critiche. In “ , seconda parte”, descrivo come utilizziamo Tanium per monitorare gli indicatori chiave di conformità. Nella terza parte di “ ”, illustro come utilizzare congiuntamente Tanium e Splunk per fornire dati relativi alla gestione delle patch. Per scoprire in che modo Tanium può aiutarLa a iniziare a misurare questi aspetti nel Suo ambiente, si registri ora per una prova di concetto ( ) (si apre in una nuova scheda) .*

Per saperne di più:

Informazioni sull’autore: Greg Pothier è un ingegnere della sicurezza presso Tanium e vanta esperienza nei settori dell’automazione della sicurezza, dell’analisi dei dati, dei test di penetrazione e dello sviluppo software. Prima di entrare a far parte di Tanium, Greg ha ricoperto il ruolo di ingegnere senior presso diverse agenzie governative e di intelligence statunitensi. Greg ha conseguito il master in Informatica presso la George Mason University, dove gli è stata conferita la borsa di studio “NSA Information Assurance Cyber Scholarship”.