Upload File

threat hunting as soc process

11
THREAT HUNTING КАК ПРОЦЕСС SOC «SOC В РОССИИ», МАРТ 2017 Sergey Soldatov, Head of SOC

Upload: sergey-soldatov

Post on 05-Apr-2017

443 views

Category:

Technology


0 download

Report

TRANSCRIPT

Page 1: Threat hunting as SOC process

THREAT HUNTING КАК ПРОЦЕСС SOC«SOC В РОССИИ», МАРТ 2017

Sergey Soldatov, Head of SOC

Page 2: Threat hunting as SOC process

ПЛАН

Причины актуальности

Контекст угроз

Два подхода к обнаружению

ТН в процессах SOC

Page 3: Threat hunting as SOC process

ПРИЧИНЫ АКТУАЛЬНОСТИ

Выше зависимость от ИТ

Выше уровень безопасности

– Выше сложность атаки

Больше рисков в области ИТ (мотивация)

Выше стоимость атаки

Процессы и организация

Разведка и подготовка

Профессионализм атакующих

Много векторов, технологий, инструментов

Скрытность

Атакующий:

- Пентест

- Нет права на ошибку

Page 4: Threat hunting as SOC process

КОНТЕКСТ УГРОЗЫ

Антифоренсика

Бестелесность

Применение легальных

инструментов и технологий

Многоэтапность

Свежие, загадочные ТТР (горизонтальные перемещения,

закрепление, пр.)

http://reply-to-all.blogspot.ru/2017/03/blog-post.html

Page 5: Threat hunting as SOC process

КОНТЕКСТ УГРОЗЫ – ОПРЕДЕЛЯЕТ ЗАЩИТУ

Постоянный сбор артефактов

Детекты на память

Контекст среды, Исследования,

Неточные сигнатуры

Хранение сырых данных

Исследования

Антифоренсика

Бестелесность

Применение легальных

инструментов и технологий

Многоэтапность

Свежие, загадочные ТТР (горизонтальные перемещения,

закрепление, пр.)

Page 6: Threat hunting as SOC process

КОНТЕКСТ УГРОЗЫ – ОПРЕДЕЛЯЕТ ЗАЩИТУ

Предотвращение

Своевременное

обнаружение

Реакция и

восстановление

Ресурсы атакующего –

безграничны!

http://reply-to-all.blogspot.ru/2017/03/blog-post_22.html

Page 7: Threat hunting as SOC process

ДВА ПОДХОДА К ОБНАРУЖЕНИЮ

МОНИТОРИНГ (ALERTING):

Реактивно – обнаружение

известного

Уничтожает после поиска

сигнатуры

ПОИСК УГРОЗ (HUNTING):

Проактивно – обнаружение

неизвестного

Хранит все данные – многократная

проверка («Машина времени»)

Вендор

ITWIRAlerting

Гипотеза HuntingMA

DF

Alerting IRВендор

ITW

http://reply-to-all.blogspot.ru/2016/07/blog-post.html

Page 8: Threat hunting as SOC process

ВЗАИМНОЕ ДОПОЛНЕНИЕ

Цели

Приоритеты

Сценарии

обнаружения

Распространение

сценариев

ОбнаружениеСбор

доказательств

Анализ

данных

Подтверждение

Классификация

Приоритезация

Сбор общей

информации

Дамп

памяти

Дамп диска

Анализ

вредоносных

образцов

Анализ общей

информации

Криминалистика

Сетевая

криминалистика

Хостовая

криминалистика

Threat hunting:

• Поиск неизвестных угроз

• Угроз использование легитимных инструментов

• Сбор данных для расследования

SOC:

• Обнаружение

известных угроз

(Alerting)

• Контроль работы

превентивных мер

Page 9: Threat hunting as SOC process

КАК И ПОЧЕМУ ЭТО РАБОТАЕТ

Дан

ны

е

Детекты*

Поведение

процессов

События ОС

Микрокорреляция:

Все технологии в составе EP со

всеми базами

Репутация

Макрокорреляция, гипотезы:

Все знания о ТТР:

Внутренние исследования GReAT, AMR,

TARG, SOC, SSR

Анализ защищенности

Расследование инцидентов (DF, MA, IR)

Мониторинг SOC

По

ст

оя

нн

ое с

ов

ер

шен

ст

во

ван

ие

http://reply-to-all.blogspot.ru/2016/10/bis-summit.html

Page 10: Threat hunting as SOC process

TH В ПРОЦЕССАХ SOC

Инвентаризация

Управление уязвимостями

Анализ угроз

Повышение осведомленности

Обнаружение атак

Управление инцидентами

Реагирование на инциденты

Анализ результатов и совершенствование

…

Обнаружение

необнаруживаемого

автоматически

Page 11: Threat hunting as SOC process

ПОГОВОРИМ?Sergey Soldatov, CISA, CISSP

Head of Security Operations Center


Introduction into Threat Hunting - Sri Lanka CERT|CC · What is Threat Hunting Cyber threat hunting is an active cyber defence activity. It is "the process of proactively and iteratively

Threat Hunting - csirt.jabarprov.go.id

THREAT HUNTING- IOCs VS TTPs- Happiest Minds

IOT: EXPLORING THE THREAT SURFACEintro the big idea securing the edge ... » elasticsearch. threat hunting and response | security consulting 05 | securing the data. threat hunting

Threat hunting workshop

Examples and Goals of Threat Hunting - USALearning · Examples and Goals of Threat Hunting. ... //. ... and they need to answer questions

Threat Hunting with Splunk Hands-on

BSides Zurich 17.09.2016 Advanced Detection using Sysmon€¦ · Tom Ueltschi Swiss Post CERT / SOC / CSIRT, since 2007 –Focus: Malware Analysis, Threat Intel, Threat Hunting, Red

Abstract Tools for Effective Threat Hunting

Workshop threat-hunting

The State of the SOC - ACE Pac · 4. Threat hunting is an elite operation that exists only in the largest and most sophisticated organizations . Threat hunting is a recent innovation

Threat Hunting 102: Beyond the Basics

“Threat Hunting in Active Directory Environment”

Enabling Efficient Cyber Threat Hunting with Cyber Threat

FALCON OVERWATCH MANAGED THREAT HUNTING · Director of Information Technology, TransPak. CrowdStrike Products FALCON OVERWATCH MANAGED THREAT HUNTING CROWDSTRIKE MANAGED THREAT HUNTING

TTPs for Threat Hunting in Refineries · TTPs for Threat Hunting in Refineries Dan Gunter | Twitter: @dan_gunter Principal Threat Analyst @ Dragos October 2018. ... •Not Red Teaming

Hunting Threat Actors with TLS Certificates · HUNTING THREAT ACTORS WITH TLS CERTIFICATES MARK PARSONS DEVELOPER/THREAT ANALYST KING AND UNION [email protected]. ... to put new

Threat hunting with MITRE ATT&CK

Proactive Threat Hunting Combining the use of …Proactive Threat Hunting Combining the use of threat intelligence, analytics and automated security tools with human smarts Benefits

SACON - Threat hunting (Chandra Prakash)

Enabling a Threat Hunting Capability in AWS

The awakening of cyber threat hunting: Intelligence

Threat Hunting

Threat Hunting with ELK training - Intellectual Point

Threat Hunting Guide - Broadcom Inc

Threat Hunting with Splunk

DEMYSTIFYING THREAT HUNTING · 2021. 1. 26. · We wanted to clear up the confusion. Demystifying Threat Hunting will explain: • What threat hunting is – and what it isn’t

The Elastic Guide to Threat Hunting - copyright

Threat Hunting with Qualys€¦ · Threat Hunting with Qualys: Going Beyond Your EDR Solutions. Adversary Threat Tactics are Changing Early 2010s Zero ... Rapidly weaponizing newly-disclosed

分析主導型 SOC の構築 · ツールチェーンエンジニアリング 脅威インテリジェンス(利用と作成) Threat Hunting 脆弱性管理 レッドチーム SOC

GUIDE TO CYBER THREAT HUNTING - Tyler Technologies

Kaspersky Threat Hunting · • Immediate protection against any detected threat through automatic antivirus database updates. • Retrospective analysis of incidents and threat hunting,

WHITE PAPER A Framework for Cyber Threat Huntingsqrrl.com/media/Framework-for-Threat-Hunting-Whitepaper.pdfevolution of the modern Security Operations Center (SOC), but they remain

Industrial Control System Cyber Threat Hunting

Building a Successful Threat Hunting Program