Baixado 27 vezes
Carregado porRodrigo Montoro
Bsides threat hunting
O documento discute como frameworks como Cyber Kill Chain e ATT&CK podem ajudar a criar cenários e detectar ameaças. Ele explica o que é threat hunting, apresenta os principais frameworks e fornece um exemplo de como eles podem ser usados para analisar dados e validar defesas contra ameaças.
Bsides threat hunting
- 1. Threat Hunting –Como os frameworks podem te ajudar a criar cenários e detectar ameaças Rodrigo ”Sp0oKeR” Montoro @spookerlabs
- 2.
- 3. Agenda • Motivação • ThreatHunting • Cyber Kill Chain ™ • ATT&CK (Mitre) • Cenário / Caçando • Conclusão
- 4. Motivação • Conhecimento dosatacantes • Superfície de ataque • Dificuldade para mapear as ameaças • Demora detectar os invasores
- 5. O que éThreat Hunting ?
- 6. Primeiramente o quenão é! • Utilizar Threat Intel • Resposta a incidentes • Instalar ferramentas e esperar alertas • Análise forense
- 7.
- 8. Hipóteses • Indicadores deComprometimentos (IoC) • Táticas, Técnicas e Procedimentos (TTP) • Time Ofensivo (Red Team) • Experiência / Maldade / Feelings
- 9. Fontes de dados •Netflow • Firewall • Eventos sistema (EventID, AuditD) • Logs Aplicações • Algo que gere informação interessante
- 10.
- 11. Tudo junto emisturado ...
- 12.
- 13.
- 14.
- 15. Sobre Cyber KillChain ™ • Criado Lockheed Martin • Dividido em 7 etapas • Detecção fases iniciais é melhor • Reanalisar não detecção fases anteriores
- 16. Reconhecimento Municiamento EntregaExploração Instalação Comando e Controle (c2) Ações Objetivos E-mails Domínios Usuários Vagas Serviços expostos Vazamentos Ferramentas Phishing Payloads Malwares E-mail Websites Wifi Dispositivos Móveis Humana Software Hardware Cliente/Servidor 0day Backdoors Webshells Serviços Covert Channels Updates Elevação privilégio Movimento lateral Roubo dados Destruir sistemas Modificar dados Coletar usuarios Cyber Kill Chain ™
- 17. ATT&CK (Adversarial Tactics, Techniques& Common Knowlodge )
- 18.
- 19. Sobre ATT&CK • Frameworkcriado pelo Mitre • Técnicas usadas após exploração • 10 táticas / 130+ técnicas • Foco comportamento não em ferramentas • Pesquisa constante (último update abril)
- 21.
- 22.
- 23.
- 24.
- 25.
- 26.
- 27.
- 28. Ofensivo (Teste deinvasão)
- 29.
- 30.
- 31. Conclusões • Frameworks facilitama criação de cenários menores • Entenda os atacantes • Valide suas proteções • Não espera alguém te avisar da invasão • Sempre ache o Wally!
- 32.