Der bisherige Verlauf der Geschichte
Die Reihe „Hunt or be Hunted“ erzählt stets dieselbe Art von Geschichte: Ein „Threat Hunter“ von HuntIQ begibt sich in die Umgebung eines Kunden, führt eine Hunt durch und entdeckt dabei etwas Aufschlussreiches. ShieldBreak. FalconFlank. RunMRU. Zu jedem einzelnen dieser Beiträge erhielten wir immer wieder dieselbe Frage: Wie kann ich dies in meiner eigenen Umgebung ausführen?
Genau dafür ist HuntIQ Tradecraft gedacht.
Was HuntIQ Tradecraft ist
HuntIQ Tradecraft ist eine stetig wachsende Sammlung von Strategien für die Jagd, die auf TRC veröffentlicht werden. Jeder Eintrag stammt von denselben Bedrohungsjägern, die die Jagd in Kundenumgebungen durchführen, und jeder einzelne liefert Ihnen die notwendigen Informationen, um sie in Ihrer eigenen Infrastruktur durchzuführen:
- Die Hypothese „ “ – nach welchem Verhalten von Angreifern wird bei der Jagd gesucht und warum?
- Die Frage zum Sensor – die genaue Tanium-Abfrage, die ausgeführt werden muss.
- Das Filterverfahren „ “ – wie man Rauschen reduziert, ohne das Signal zu verlieren.
- ATT&CK-Zuordnungs – damit Sie vergleichen können, welche Bereiche Ihre bestehenden Inhalte bereits abdecken.
- Muster für falsch-positive Ergebnisse – legitime Aktivitäten, die verdächtig erscheinen, und wie man den Unterschied erkennt.
- Voraussetzungen und Grenzen – was muss gegeben sein, damit die Suche funktioniert, und was erfahren Sie dadurch – und was nicht?
Keine Werbematerialien. Spielanleitungen. Geschrieben für Verteidiger, in der Sprache, die Verteidiger verwenden.
Einige Beispiele dafür, was darin enthalten ist
Heute live:
- Wenn die Lautstärke der Hinweis ist – eine Schnitzeljagd, bei der die Lautstärke des Signaltons selbst den Hinweis liefert. Wie das Muster aussieht, warum die regelbasierte Erkennung es übersieht und wie wir es in Tanium sichtbar machen.
- Ausführung von Hunting-Diensten aus vom Benutzer beschreibbaren Verzeichnissen mithilfe von Tanium – eine Primitive zur Persistenz und zur Ausweitung von Berechtigungen, die von den meisten SOCs nie untersucht wird. Die konkreten Tanium-Sensoren und die Abfragen, durch die diese offengelegt werden.
In den kommenden Wochen erhältlich:
- „Hunting TerminalFix“, wenn kein Patch verfügbar ist – wonach Sie suchen sollten, wenn es sich bei der Lösung eher um ein Verhaltensproblem als um eine KB-Nummer handelt.
- Aufspüren von COM-Hijacking und CLSID-Missbrauch mithilfe von Tanium – einer unauffälligen, äußerst wertvollen Persistenz-Primitivfunktion, die den meisten regelbasierten Erkennungsmechanismen entgeht.
- Suche nach Alternate Data Streams (ADS) – der Bereich des NTFS, den die meisten Tools nicht überprüfen.
- zum Sideloading von DLLs – die Methode zur Umgehung von Sicherheitsmaßnahmen, die weiterhin funktioniert, weil jeder DLLs lädt.
- Persistenz von WMI-Ereignisabonnements – der Zugangspunkt für raffinierte Angreifer, der außerhalb der üblichen Autostart-Prozesse liegt.
- Führen Sie RunMRU zur Aufdeckung von Anmeldedaten durch: – suchen Sie gezielt an den Stellen, an denen Benutzer tatsächlich etwas eingeben, und finden Sie heraus, was darüber hinaus noch erfasst wird, was über die Hypothese hinausgeht, für die Sie das Tool ursprünglich entwickelt haben.
Der Katalog wird kontinuierlich erweitert. Wenn sich eine Jagd in einer Kundenumgebung bewährt hat, wird sie hier enden.
Wo der HuntIQ-Dienst zum Einsatz kommt
HuntIQ Tradecraft ist eine Lösung, die jeder Tanium-Kunde sofort nutzen kann. Der Dienst „HuntIQ“ besteht aus den Menschen, die ihn entwickelt haben.
Wenn Sie HuntIQ beauftragen, arbeiten erfahrene Bedrohungsjäger direkt in Ihrer Tanium-Umgebung mit Ihnen zusammen. Sie wenden die Vorgehensanleitungen in HuntIQ Tradecraft an. Sie passen Ihre Erkennungsinhalte an. Sie entwickeln neue Erkennungsmaßnahmen, die auf die Techniken abzielen, die Angreifer an anderen Stellen der Sicherheitslandschaft einsetzen. Und dies geschieht mithilfe von Atlas – dem autonomen Betriebssystem von Tanium –, das alle relevanten Tanium-Funktionen parallel in Ihrer gesamten Infrastruktur einsetzt, sobald sich eine Hypothese abzeichnet. Was früher Stunden an Triage, Umfangsermittlung, Korrelation und Eindämmung in Anspruch nahm, ist nun in wenigen Minuten erledigt – mit einem strukturierten Ergebnis, das zur Freigabe per Mausklick bereitsteht.
Die Vorgehensweise ist für Tanium-Kunden öffentlich zugänglich. Das Urteil ist die Dienstleistung. Wenn Sie beides möchten, dann ist HuntIQ genau das Richtige für Sie.
So setzen Sie HuntIQ Tradecraft in Ihrer Umgebung ein
- Rufen Sie folgende Seiten auf: , help.tanium.com, (wird in einem neuen Tab geöffnet),, und navigieren Sie zu „HuntIQ Tradecraft“.
- Wählen Sie ein Spielbuch aus, das genau auf eine Deckungslücke zugeschnitten ist, von der Sie wissen, dass Sie sie haben. Lesen Sie die Hypothese. Prüfen Sie die Sensorfrage anhand Ihres eigenen Nachlasses. Arbeiten Sie die Filtermethode durch.
- Lesen Sie die Zuordnung zum ATT&CK-Modell in Bezug auf Ihre bestehenden Inhalte. Falls keine der von Ihnen bereits ausgeführten Maßnahmen diese Technik auf dieselbe Weise abdeckt, müssen Sie eine neue Erkennungsregel hinzufügen.
- Schauen Sie wieder vorbei, denn es erscheinen regelmäßig neue Beiträge zum Thema „Tradecraft“, die auf den aktuellen Erkenntnissen unserer „Hunter“ basieren.
Beginnen Sie mit der Jagd
- Lesen Sie die HuntIQ Tradecraft-Leitfäden auf TRC: (wird in einem neuen Tab geöffnet) (Zugang zu TRC als Tanium-Kunde erforderlich).
- Erfahren Sie mehr über den HuntIQ-Dienst unter.
- Informieren Sie sich über die Reihe „ : Hunt or be Hunted“ unter im Tanium-Blog, um die kundenanonymen Geschichten hinter den Ermittlungsmethoden zu erfahren.
