Руководство по разработке правил корреляции on Alertix

Общие сведения о правилах

Mon, 01 Jan 0001 00:00:00 +0000

Правила автоматизированного выявления (далее – "правила сигнал") – это набор инструкций в формате YAML, передаваемых сервису сигнал Платформы (подробнее о сервисе в руководстве администратора Платформы), с целью поиска в непрерывно накапливаемых данных от источников событий значимых отдельных событий, превышения заданных пороговых значений или последовательностей (цепочек) событий, являющихся признаками инцидентов ИБ. Поисковые запросы выполняются с различной, определяемой для каждого правила периодичностью и имеют заданный ожидаемый критерий результатов выполнения. Если результат выполнения запроса удовлетворяет критерию, сервис формирует подозрение на инцидент и может уведомлять аналитиков об этом посредством электронной почты или в мессенджер (настройка уведомлений о подозрении осуществляется администратором Платформы). Каждому подозрению присваивается комплексный показатель опасности, который является произведением назначенных для каждого правила значений параметров: достоверность, важность и приоритет. Подробнее об этих параметрах далее в этом разделе.

Введение в язык запросов Query DSL

Mon, 01 Jan 0001 00:00:00 +0000

Язык запросов Query DSL (Domain Specific Language) основан на синтаксисе JSON.

Существуют следующие типы запросов:

Leaf query – поиск определенных значений в определенном поле;
Compound query – составные запросы, используются для логического объединения нескольких запросов.

Полнотекстовые запросы позволяют осуществлять поиск по анализируемым текстовым полям. Выделяют следующие основные виды полнотекстовых запросов:

Match query – возвращает документы, которые соответствуют указанному тексту, числу, дате или логическому значению;
Match phrase query – возвращает документы, которые соответствуют указанной фразе); в отличие от match query, в данном запросе строка интерпретируется как единое целое "this is a test";
Query string – возвращает документы на основе строки запроса, используя синтаксический анализатор со строгим синтаксисом); запрос использует синтаксис для анализа и разделения строки запроса на основе аналитиков "AND" и "OR"; затем независимо анализируется каждая разделенная часть текста.

Цикл пересмотра и разработки правил

Mon, 01 Jan 0001 00:00:00 +0000

В связи с постоянно меняющимся профилем выявляемых инцидентов, необходим регулярный пересмотр существующих правил. Обычно клиентов интересуют в большей степени новые правила, разрабатываемые на основе метода Hunting. Вместе с тем важно уделять не меньше внимания адаптации и тюнингу уже имеющихся правил: списки исключений, значения важности и достоверности, пороги срабатывания – все это необходимо постоянно актуализировать для поддержания эффективности выявления. Этого требует постоянно изменяющиеся "ветра" вредоносной активности, и злоумышленники не редко пользуются правилом "новое – это хорошо забытое старое". Аналитиками NGR Softlab, проводится постоянная оптимизация базы правил с целью покрытия актуальных тактик и техник злоумышленников. Обновление правил производится исходя из следующих принципов:

Покрытие матрицы MITRE ATT&CK базовым пакетом правил

Mon, 01 Jan 0001 00:00:00 +0000

В настоящее время имеющийся набор правил Signal закрывает в разной степени все из 14 возможных тактик злоумышленников. Базовый набор правил Signal, представленный в личном кабинете производителя, обеспечивает покрытие 81 из 201 [40%] техник MITRE Enterprise v14.1. Затронутые правилами техники MITRE ATT&CK нанесены на матрицу в Навигаторе и представлены на рисунке.

Рисунок 1.

Существующий базовый набор правил обнаружения можно условно категоризировать следующими блоками:

неправомерный доступ к учетным данным (обращения к файлам с чувствительной информацией, использование специальных утилит, потенциальные эксплуатации уязвимостей);
попытки повышения привилегий (при помощи штатного системного инструментария, с использованием специальных утилит, эксплуатация различных уязвимостей LPE);
эксплуатация вредоносных программ (потенциальная активность ВПО, попытки различных инъекций);
эксфильтрация данных по сети (использование non-C2 протоколов, эксплуатация уязвимостей смежных систем);
модификация системы (изменение системных настроек, в т.ч. модификация реестра, создание потенциально опасных файлов/скриптов встроенными и внешними средствами ОС);
подозрительные процессы (запуск подозрительных процессов и команд, в т.ч. потенциально аномальная активность легитимных процессов);
удаленное выполнение (удаленное управление хостом, удаленное выполнение кода, удаленное внесение модификаций в конфигурации системы);
обход средств безопасности (отключение важных компонентов системы, различные способы обхода UAC, манипуляции с ключами);
эксплуатация уязвимостей (компонентов системы, протоколов, Exchange и др.)
контроль и управление (средствами, поставляемыми извне, а также посредством штатного инструментария)
анализ сети (использование утилит для анализа сетевого трафика, подозрительные сетевые соединения, попытки проведения сетевой разведки);

Описание Стадий и кейсов модели Cyber-Kill Chain Alertix

Mon, 01 Jan 0001 00:00:00 +0000

Стадия	Кейс	Severity	Описание
Разведка	Сканирование	2	Сканирование хостов, портов, энумерация и т.п.
	Брутфорс	3	Перебор учетных записей, паролей
	Разведывательная деятельность	3	Запуск разведывательных команд, сбор информации о пользователях, системе, окружении и т.п.

Доставка	Доставка ВПО через WEB	3	Загрузка вредоносного файла или переход по вредоносной ссылке
	Доставка ВПО через Email	3	Получение письма с вредоносным вложением или ссылкой
	Доставка ВПО через внешние носители	3	Копирование или запуск вредоносного файла с внешнего носителя
	Фишинг	3	Ввод корпоративных учетных данных на фишинговом ресурсе

Заражение	Эксплуатация уязвимостей	3	Эксплуатация уязвимостей ОС, служб, приложений
	Эксплуатация уязвимостей веб-сервисов	3	Эксплуатация уязвимости веб-сервисов
	Реакция антивирусного ПО	5	Все события с антивирусного ПО
	Подозрительные команды и скрипты	4	Подозрительные команды или скрипты, запускаемые из командной оболочки или командным интерпретатором
	Подозрительная активность процесса	4	Подозрительные действия процесса, когда он что-либо запускает, загружает, устанавливает сетевые соединения + lolbins/lolbas
	Использование хакерских утилит	5	Запуск и использование различных хакерских утилит, утилит для пентеста и т.п.
	Распространение ВПО	4	Копирование вредоносного ПО на файловые шары, удаленный хост
	Заражение ВПО	4	Общая категория для стадии Заражение (все, что не подошло под кейсы стадии Заражение)

Закрепление	Изменение параметров в реестре	2	Изменение и создание ключей в ветках реестра
	Изменение параметров автозагрузки	3	Добавление файла в каталог автозагрузки или в ветки реестра, отвечающие за автозагрузку
	Изменение параметров службы	2	Изменение параметров существующей или создание новой службы
	Создание задачи планировщика	3	Создание или изменение задач по расписанию
	Создание учетной записи	5	Создание локальной или доменной учетной записи
	Использование средств удаленного администрирования	5	Запуск и использование средств удаленного администрирования
	Подмена данных	5	Подмена dll, com, системных файлов, маскарадинг
	Изменение конфигурации операционной системы	2	Более общая категория для событий изменения чего-либо в системе
	Закрепление	3	Общая категория для стадии Закрепление

Повышение привилегий	Манипуляции с учетной записью	3	Изменение прав учетной записи, отключение, включение, блокировка, добавление или удаление из групп и т.п.
	Добавление в группу Администраторов	5	Включение пользователя в группу локальных, доменных или сервисных администраторов
	Повышение контекста выполнения процесса	5	Повышение привилегий выполнения процесса, как правило, до системных
	Повышение привилегий	5	Общая категория для стадии Повышение привилегий

Предотвращение обнаружения	Обход СЗИ	4	Использование различных механизмов обхода систем защиты, UAC
	Изменение конфигурации СЗИ	4	Изменение настроек систем защиты
	Отключение СЗИ	4	Отключение или удаление систем защиты
	Удаление признаков активности из системы	4	Очистка/затирание истории команд и журналов регистрации событий
	Предотвращение обнаружения	4	Общая категория для стадии Предотвращение обнаружения

Доступ к учетным данным	Получение доступа к учетным данным	5	Аутентификация с чужими учетными данными, PTH, дамп паролей, керберостинг, извлечение паролей из хранилищ и т.п.
	Прослушивание сетевого трафика	4	Перехват сетевого трафика для сбора учетных данных, отправляемых по незащищенным протоколам.

Связь с C&C	Подключение к адресам с низкой репутацией	2	Подключения к хостам с низкой репутацией, а также к C2 и TOR

Воздействие на систему	Изменение конфигурации ИС	1	Изменение настроек информационных систем
	Выключение системы	1	Выключение или перезагрузка операционной системы
	Уничтожение следов	5	Уничтожение данных, шифрование информации
	Попытка вызова отказа в обслуживании	5	Увеличение сетевого трафика
	Публикация чувствительной или негативной информации	4	Публикация внутренней корпоративной информации и/или заведомо ложной/негативной информации на веб-сайтах организации и/или подпольных/ общедоступных форумах

Другое	Ошибки конфигурации ИС	2	События ошибок в работе или отсутствие данных от информационных систем
	Ошибки конфигурации СЗИ	5	События ошибок в работе или отсутствие данных от систем защиты
	Использование нелегитимного ПО	2	Запуск и использование различного неразрешенного ПО: облачные сервисы, P2P, игры и т.п.
	Массовый алерт	5	Массовая сработка правил по одному хосту/ip-адресу
	Обнаружение новой уязвимости	3	Обнаружение сканером уязвимостей новой уязвимости в инфраструктуре организации
	Рассылка спам сообщений	3	Рассылка спама с подконтрольных хостов
	Другое	3	Различные нелегитимные события

Стадия

Кейс

Severity

Описание

Разведка

Сканирование

Сканирование хостов, портов, энумерация и т.п.

Брутфорс

Перебор учетных записей, паролей

Разведывательная деятельность

Запуск разведывательных команд, сбор информации о пользователях, системе, окружении и т.п.

Доставка

Доставка ВПО через WEB

Загрузка вредоносного файла или переход по вредоносной ссылке

Доставка ВПО через Email

Получение письма с вредоносным вложением или ссылкой

Доставка ВПО через внешние носители

Копирование или запуск вредоносного файла с внешнего носителя

Фишинг

Ввод корпоративных учетных данных на фишинговом ресурсе

Заражение

Эксплуатация уязвимостей

Эксплуатация уязвимостей ОС, служб, приложений

Эксплуатация уязвимостей веб-сервисов

Эксплуатация уязвимости веб-сервисов

Реакция антивирусного ПО

Все события с антивирусного ПО

Подозрительные команды и скрипты

Подозрительные команды или скрипты, запускаемые из командной оболочки или командным интерпретатором

Подозрительная активность процесса

Подозрительные действия процесса, когда он что-либо запускает, загружает, устанавливает сетевые соединения + lolbins/lolbas

Использование хакерских утилит

Запуск и использование различных хакерских утилит, утилит для пентеста и т.п.

Распространение ВПО

Копирование вредоносного ПО на файловые шары, удаленный хост

Заражение ВПО

Общая категория для стадии Заражение (все, что не подошло под кейсы стадии Заражение)

Закрепление

Изменение параметров в реестре

Изменение и создание ключей в ветках реестра

Изменение параметров автозагрузки

Добавление файла в каталог автозагрузки или в ветки реестра, отвечающие за автозагрузку

Изменение параметров службы

Изменение параметров существующей или создание новой службы

Создание задачи планировщика

Создание или изменение задач по расписанию

Создание учетной записи

Создание локальной или доменной учетной записи

Использование средств удаленного администрирования

Запуск и использование средств удаленного администрирования

Подмена данных

Подмена dll, com, системных файлов, маскарадинг

Изменение конфигурации операционной системы

Более общая категория для событий изменения чего-либо в системе

Закрепление

Общая категория для стадии Закрепление

Повышение привилегий

Манипуляции с учетной записью

Изменение прав учетной записи, отключение, включение, блокировка, добавление или удаление из групп и т.п.

Добавление в группу Администраторов

Включение пользователя в группу локальных, доменных или сервисных администраторов

Повышение контекста выполнения процесса

Повышение привилегий выполнения процесса, как правило, до системных

Повышение привилегий

Общая категория для стадии Повышение привилегий

Предотвращение обнаружения

Обход СЗИ

Использование различных механизмов обхода систем защиты, UAC

Изменение конфигурации СЗИ

Изменение настроек систем защиты

Отключение СЗИ

Отключение или удаление систем защиты

Удаление признаков активности из системы

Очистка/затирание истории команд и журналов регистрации событий

Предотвращение обнаружения

Общая категория для стадии Предотвращение обнаружения

Доступ к учетным данным

Получение доступа к учетным данным

Аутентификация с чужими учетными данными, PTH, дамп паролей, керберостинг, извлечение паролей из хранилищ и т.п.

Прослушивание сетевого трафика

Перехват сетевого трафика для сбора учетных данных, отправляемых по незащищенным протоколам.

Связь с C&C

Подключение к адресам с низкой репутацией

Подключения к хостам с низкой репутацией, а также к C2 и TOR

Воздействие на систему

Изменение конфигурации ИС

Изменение настроек информационных систем

Выключение системы

Выключение или перезагрузка операционной системы

Уничтожение следов

Уничтожение данных, шифрование информации

Попытка вызова отказа в обслуживании

Увеличение сетевого трафика

Публикация чувствительной или негативной информации

Публикация внутренней корпоративной информации и/или заведомо ложной/негативной информации на веб-сайтах организации и/или подпольных/
общедоступных форумах

Другое

Ошибки конфигурации ИС

События ошибок в работе или отсутствие данных от информационных систем

Ошибки конфигурации СЗИ

События ошибок в работе или отсутствие данных от систем защиты

Использование нелегитимного ПО

Запуск и использование различного неразрешенного ПО: облачные сервисы, P2P, игры и т.п.

Массовый алерт

Массовая сработка правил по одному хосту/ip-адресу

Обнаружение новой уязвимости

Обнаружение сканером уязвимостей новой уязвимости в инфраструктуре организации

Рассылка спам сообщений

Рассылка спама с подконтрольных хостов

Другое

Различные нелегитимные события