Treta Hunting - Cris Barbosa
•Transferir como PPTX, PDF•
0 gostou•62 visualizações
O documento discute threat hunting, incluindo conceitos como a pirâmide de dor e técnicas de ataque iniciais como password spraying. Ele também descreve o processo de threat hunting, começando com a formulação de hipóteses, testes de injeção de ameaças e análise de logs para validar a visibilidade de ameaças. O documento fornece um exemplo de como detectar password spraying usando logs do Active Directory.
Recomendados
Recomendados
Mais conteúdo relacionado
Mais procurados
Mais procurados (16)
Semelhante a Treta Hunting - Cris Barbosa
Semelhante a Treta Hunting - Cris Barbosa (20)
Mais de Test Girls
Mais de Test Girls (10)
Treta Hunting - Cris Barbosa
- 1. 09/10/2018 #AdaOpenLace THREAT TRETA HUNTING Cris Barbosa Analista de Segurança da Informação
- 3. #AdaOpenLace CENÁRIO IDS IPS ANTI-MALWARE FIREWALLCONTROLE DE ACESSO NAC CRIPTOGRAFIA DE DISCOCOFRE DE SENHAS PROXY
- 5. #AdaOpenLace OBJETIVO Como? • Criando hipóteses de ataques que estejam acontecendo no ambiente • Analisando logs, buscando ameaças no ambiente • Automatizando a detecção sempre que possível O principal objetivo do time de Threat Hunting é detectar ameaças que evadem as ferramentas de segurança. 5
- 7. #AdaOpenLace PYRAMID OF PAIN Indicators of Compromise File Hashes IP Addresses Domain Names Network/Host Artifacts Tools TTPs 7
- 8. #AdaOpenLace PYRAMID OF PAIN Threat Hunting T e c h n i q u e s Initial Access Execution Persistence Privilege Escalation Defense Evasion Credential Access Discovery Lateral Movement Collection Exfiltration Command and Control Mitre CKC Indicators of compromise 8
- 10. #AdaOpenLace HIPÓTESES 1. Quais logs podem ser gerados com essa técnica? 2. Quais logs eu já tenho? 3. De que forma posso detectar esse ataque? 4. Como posso melhorar a assertividade? 10
- 12. #AdaOpenLace Logs Mitre ATT&CK Artigos Threat Intel Pentest Threat Injection backlog de hipóteses desenvolvimento teste Descarte Incorporação SOC Internalização CICLO DE VIDA DA HIPÓTESE 1
- 13. #AdaOpenLace EXEMPLO: PASSWORD SPRAY Testar um pequeno conjunto de senhas prováveis para vários usuários. Conceito Tentativas de login no AD Informações necessárias Muitas tentativas de login no AD a partir das mesmas origens, para muitos usuários diferentes. Como detectar Premissa: ataque de força bruta Um usuário, várias senhas joana@hotmail.co m Senha1 Senha 123 niverdamamãe verde verde2 verde3 verde123 Verde123! Empresa: Lanchonete Verde 13
- 14. #AdaOpenLace index=active_directory AND LogonType=3 AND (EventID=4625 OR EventID=4624) | stats count, dc(TargetUserName) as distinct_usrs, values(TargetUserName) by SourceIP | search distinct_usrs > 5 | fields SourceIP, values(TargetUserName), distinct_usrs EXEMPLO: PASSWORD SPRAY 14 SourceIP values(TargetUserNam e) distinct_usrs 10.0.0.1 Cris Paula Lucas Adriano Douglas Alan 6 10.0.0.2 Alvaro Bruno Camila George Fabio Cristiano … 105 #AdaOpenLace index=active_directory AND LogonType=3 AND (EventID=4625 OR EventID=4624) | stats count, dc(TargetUserName) as distinct_usrs, values(TargetUserName) by SourceIP | search distinct_usrs > 5 | fields SourceIP, values(TargetUserName), distinct_usrs EXEMPLO: PASSWORD SPRAY 12 SourceIP values(TargetUserName) distinct_usrs 10.0.0.1 Cris Paula Lucas Adriano Douglas Alan 6 10.0.0.2 Alvaro Bruno Camila George Fabio Cristiano … 105 #AdaOpenLace index=active_directory AND LogonType=3 AND (EventID=4625 OR EventID=4624) | stats count, dc(TargetUserName) as distinct_usrs, values(TargetUserName) by SourceIP | search distinct_usrs > 5 | fields SourceIP, values(TargetUserName), distinct_usrs EXEMPLO: PASSWORD SPRAY 12 SourceIP values(TargetUserName) distinct_usrs 10.0.0.1 Cris Paula Lucas Adriano Douglas Alan 6 10.0.0.2 Alvaro Bruno Camila George Fabio Cristiano … 105
- 15. #AdaOpenLace Logs Mitre ATT&CK Artigos Threat Intel Pentest Threat Injection backlog de hipóteses desenvolvimento teste Descarte Incorporação SOC Internalização CICLO DE VIDA DA HIPÓTESE 1
- 17. #AdaOpenLace Logs Mitre ATT&CK Artigos Threat Intel THREAT INJECTION backlog priorização ataque análise da resposta feedback assessment da visibilidade novas correlações planos de ação relatórios 1
- 18. #AdaOpenLace ENTRADA: MITRE ATT&CK + VISIBILIDADE Data Sources Númeo de técnicas Network intrusion detection system 12 Process monitoring 365 User interface 10 File monitoring 220 Network device logs 10 Process command-line parameters 187 Email gateway 9 Process use of network 101 Kernel drivers 9 Packet capture 89 Host network interface 9 API monitoring 72 Services 7 Netflow/Enclave netflow 71 Detonation chamber 6 Authentication logs 66 Mail server 6 Windows Registry 64 Named Pipes 6 Network protocol analysis 52 Environment variable 5 Binary file metadata 46 MBR 5 DLL monitoring 30 BIOS 4 Windows event logs 27 Web logs 3 SSL/TLS inspection 27 DNS records 3 (blank) 23 Asset Management 3 Malware reverse engineering 22 Browser extensions 3 Loaded DLLs 21 Digital Certificate Logs 3 Anti-virus 21 Web application firewall logs 3 System calls 19 Access Tokens 2 Data loss prevention 18 VBR 2 Application Logs 14 PowerShell logs 1 Windows Error Reporting 12 WMI Objects 1 Web proxy 12 Sensor health and status 1 Third-party application logs 12 EFI 1 18
- 20. #AdaOpenLace FLUXO COMPLETO HIPÓTESE • Assumir a presença do atacante DESENVOLVIME NTO • Correlação de logs com o intuito de encontrar ameaças PHASE OUT • Passar a regra para produção INJEÇÃO DE AMEAÇA • Testar o real nível de visibilidade para aquela técnica
- 21. #AdaOpenLace MODELO DE MATURIDADE Hunt Evil: Your Practical Guide to Threat Hunting SQRRL 2
Notas do Editor
- NETWORK ATIFACTS - USER AGENTS