Die Untersuchung eines Sicherheitsalarms erforderte von Analysten schon immer, schnell zu handeln und dabei zahlreiche Zusammenhänge im Kopf zu behalten: Sie müssen verstehen, was ein verschlüsselter PowerShell-Befehl bewirkt, warum ein Alarm ausgelöst wurde, welche Bedeutung die übergeordnete Prozessstruktur hat und welche nächsten Schritte zu ergreifen sind. Für Nachwuchsanalysten dauert es Jahre, bis sich dieser Kontext herausbildet. Selbst für erfahrene Analysten reicht selbst umfassende Erfahrung nicht aus, um jeden Sonderfall abzudecken. Das Ergebnis sind, wie viele Sicherheitsteams berichten, langsamere Untersuchungen, ein geringeres Vertrauen der Analysten und eingeschränkte Teamkapazitäten. Die KI-gestützten Funktionen zur Datenanreicherung und -analyse von „ “ innerhalb von „Tanium Threat Response“ wurden entwickelt, um diese Lücke direkt innerhalb des Arbeitsablaufs zu schließen, in dem die Untersuchungen tatsächlich stattfinden.
Duncan stellt zwei neue Funktionen von „Threat Response“ vor: die Anreicherung über die Befehlszeile und die Analyse von Warnmeldungen. Die Anreicherungsfunktion entschlüsselt verschlüsselte Befehle und zerlegt jede Komponente einer Befehlszeile in ihre Einzelteile, wobei die Funktion die jeweilige Funktion jedes Parameters erläutert und auf Sicherheitsrisiken in verständlicher Sprache hinweist. Die Funktion „Analysieren“ geht noch einen Schritt weiter: Sie betrachtet eine gesamte Warnmeldung als Kontext und liefert eine strukturierte Zusammenfassung, die den Grund für die Auslösung der Warnmeldung, die wichtigsten Erkenntnisse, eine Folgenabschätzung sowie empfohlene Maßnahmen enthält.
Falls Sie schon einmal den Faden bei Ihrer Untersuchung verloren haben, weil Sie das Fenster gewechselt haben, um nachzuschlagen, was ein Befehl in der Befehlszeile bedeutet, oder wenn Sie Schwierigkeiten hatten, einem Nachwuchsanalysten zu erklären, warum eine bestimmte Warnmeldung für ihn von Bedeutung sein sollte, dann behandelt diese Folge genau die Funktionen, mit denen sich diese Probleme lösen lassen. Sehen Sie sich die vollständige Anleitung im folgenden Video an.
Wichtige Erkenntnisse
- „Enrich“ entschlüsselt und erläutert: Die Schaltfläche „Enrich“ innerhalb einer Warnmeldung entschlüsselt nicht nur einen verschlüsselten PowerShell-Befehl. Es schlüsselt jede Komponente der Befehlszeile auf, erläutert die Funktion der einzelnen Parameter und weist auf sicherheitsrelevante Aspekte hin, wie beispielsweise: „Wird häufig in böswilligem Kontext verwendet, um richtlinienbasierte Kontrollen zu umgehen.“
- Nicht standardmäßige Cmdlets werden markiert: Wenn die Anreicherung auf etwas wie
get-uacstößt, erkennt sie, dass es sich nicht um ein integriertes Cmdlet, sondern wahrscheinlich um eine benutzerdefinierte Funktion handelt, und empfiehlt, die Quelle und die vorangegangenen Aktivitäten auf mögliche Vorbereitungsmaßnahmen zu untersuchen. - „Alert Analyze“ liefert den vollständigen Kontext: Die „Analyze“-Funktion betrachtet den gesamten Alarm als Kontext, einschließlich Prozessabstammung, Befehlszeilen und Informationsdetails, und liefert eine erste Alarmübersicht, in der genau erläutert wird, warum der Alarm ausgelöst wurde, sowie wichtige Erkenntnisse, die ungewöhnliche Elemente hervorheben, eine Auswirkungsanalyse und empfohlene Maßnahmen.
„Denn wenn ich diesen Raum verlassen und einen LLM befragen oder bei Google nachschlagen muss, um herauszufinden, was diese bestimmte Befehlszeile bedeutet, verlasse ich diesen Raum und erhöhe damit die Wahrscheinlichkeit, dass ich den Kontext verliere, wenn ich zurückkomme, nicht wahr? Was habe ich mir also angesehen? Was war denn davor? Was hatte ich danach noch vor? Ich versuche, den Überblick über all das zu behalten, während ich mich von der Konsole entferne, um woanders hinzugehen. Wenn man den Kontext innerhalb der Konsole beibehält, kann man sich besser konzentrieren und muss sich nicht erst wieder ins Gedächtnis rufen, was man zuvor tun wollte; daher finde ich dies unglaublich hilfreich.”Tanium HuntIQ-Jäger Duncan Miller
- Empfohlene Maßnahmen erfordern einen Bezug zur jeweiligen Umgebung: Duncan merkt an, dass die empfohlenen Maßnahmen zwar sinnvoll sind – wie beispielsweise die Isolierung des Endpunkts, die Beendigung und Quarantäne des SQL-Befehls in „Users splunkd“ sowie die Blockierung des ausgehenden Datenverkehrs zur zugehörigen Domain –, jedoch im Kontext der jeweiligen Umgebung betrachtet werden müssen. Die Isolierung eines wichtigen Domänencontrollers oder eines umsatzgenerierenden Systems ohne Berücksichtigung dieses Kontexts könnte schwerwiegende Probleme verursachen.
- Die Anreicherung erstreckt sich auch auf direkte Verbindungen und Datentabellen: Die gleichen Anreicherungsfunktionen, die in Warnmeldungen verfügbar sind, stehen auch bei direkten Verbindungen und innerhalb der Datentabelle zur Verfügung. Überall dort, wo die Glitzer-Symbole erscheinen, können Analysten eine Befehlszeile um zusätzliche Kontextinformationen ergänzen, einschließlich Browser-Befehlszeilen aus Chrome oder Edge, die ansonsten schwer zu interpretieren sind.
„Ich würde sagen, halten Sie Ausschau nach den Glitzerpartikeln, und wenn Sie diese sehen, können Sie mehr Kontext dazu gewinnen.“Tanium HuntIQ-Jäger Duncan Miller
- Für die Verfügbarkeit müssen die Funktionen „Threat Response“, „Cloud“ und „KI“ aktiviert sein: Diese Funktionen stehen derzeit ohne zusätzliche Kosten für Kunden zur Verfügung, die über eine Lizenz für „ “ und „Threat Response“ verfügen, Cloud-Kunden sind und die KI-Funktionen von „ “ in ihrer Umgebung aktiviert haben.
Weitere Ressourcen
- Wie Tanium HuntIQ Sicherheitsteams eine von Experten geleitete Bedrohungssuche bietet: Erfahren Sie, wie die HuntIQ-Experten von Tanium direkt in den Kundenumgebungen tätig werden, um proaktiv nach komplexen Bedrohungen zu suchen und die Sicherheitslage zu verbessern.
- Übersicht über das Tanium Threat Response Cloud-Benutzerhandbuch: Die Übersichtsseite zum Tanium Threat Response Cloud-Benutzerhandbuch, die den Einstiegspunkt in die Produktdokumentation für Cloud-Kunden darstellt.
