Die Geschichte bisher
Die Serie „Hunt or be Hunted“ erzählt eine Art von Geschichte: ein HuntIQ-Bedrohungsjäger geht in eine Kundenumgebung, führt eine Jagd aus und findet etwas Sinnvolles. SchirmBreak. FalconFlank. LaufMRU. Bei jedem dieser Beiträge haben wir immer die gleiche Frage erhalten: Wie kann ich das in meiner eigenen Umgebung ausführen?
Dafür ist HuntIQ Tradecraft.
Was ist HuntIQ Tradecraft?
HuntIQ Tradecraft ist eine wachsende Bibliothek von Jagd-Playbooks, die auf TRC veröffentlicht werden. Jeder Eintrag wird von den gleichen Bedrohungsjägern geschrieben, die die Jagd in Kundenumgebungen durchführen, und jeder gibt Ihnen das, was Sie benötigen, um ihn gegen Ihren eigenen Bestand auszuführen:
- Die Hypothese – welches Angreiferverhalten die Jagd sucht und warum.
- Die Sensorfrage – die genaue Tanium-Abfrage, die ausgeführt werden soll.
- Die Filtermethode – wie Sie Rauschen reduzieren, ohne das Signal zu verlieren.
- ATT&CK-Zuordnung – damit Sie mit dem vergleichen können, was Ihre vorhandenen Inhalte bereits abdecken.
- Falsch-positive Muster – die legitime Aktivität, die verdächtig aussieht, und wie man den Unterschied erkennt.
- Vorbedingungen und Grenzen – was muss wahr sein, damit die Jagd funktioniert, und was sie Ihnen sagen wird und was nicht.
Keine Marketingstücke. Playbooks. Für Verteidiger in der Sprache verfasst, die Verteidiger verwenden.
Einige Beispiele dafür, was sich im Inneren befindet
Leben Sie noch heute:
- Wenn Volumen der Befund ist – eine Jagd, bei der das Alarmvolumen selbst der Hinweis ist. Wie das Muster aussieht, warum die regelbasierte Erkennung es verpasst, wie wir es in Tanium aufdecken.
- Die Ausführung von Jagddiensten aus vom Benutzer beschreibbaren Verzeichnissen mit Tanium – ein Grundelement für Persistenz und Privilegeskalation, das die meisten SOCs niemals jagen. Die konkreten Tanium-Sensoren und Abfragen, die sie freilegen.
Landung in den kommenden Wochen:
- TerminalFix jagen, wenn es nichts zu patchen gibt – wonach zu jagen ist, wenn der Fix verhaltensorientiert ist, anstatt eine KB-Nummer.
- Die Suche nach COM-Hijacking und CLSID-Missbrauch mit Tanium – ein rauscharmes, hochwertiges Persistenzprimitive, das die meisten regelbasierten Erkennungen überlebt.
- Alternative Datenstromsuche (ADS) – die NTFS-Oberfläche, die die meisten Werkzeuge nie überprüfen.
- DLL-Nebenlastung – das Grundelement der Verteidigungshinterziehung, das weiterhin funktioniert, weil jeder DLLs lädt.
- WMI Event Subscription Persistenz – Der ausgeklügelte Aktor-Fußhalt, der außerhalb normaler Autoläufe lebt.
- RunMRU für Berechtigungsexposition – Jagd nach dem Ort, den Benutzer tatsächlich eingeben, und was das über die Hypothese hinausfängt, für die Sie es erstellt haben.
Der Katalog wird weiter wachsen. Wenn sich eine Jagd ihren Bestand in einer Kundenumgebung verdient hat, wird sie hier landen.
Wo der HuntIQ-Service passt
HuntIQ Tradecraft ist das, was jeder Tanium-Kunde abholen und ausführen kann. HuntIQ, der Service, ist die Person, die ihn geschrieben hat.
Wenn Sie HuntIQ beauftragen, arbeiten erfahrene Bedrohungsjäger in Ihrer Tanium-Verteilung mit Ihnen praktisch zusammen. Sie führen die Playbooks in HuntIQ Tradecraft aus. Sie passen Ihren Erkennungsinhalt an. Sie bauen neue Jagden gegen die Techniken auf, die Angreifer an anderer Stelle in der Landschaft verwenden. Und sie tun dies mit Atlas, dem autonomen Betriebssystem von Tanium, und disponieren jede relevante Tanium-Funktion parallel über Ihre Flotte, sobald eine Hypothese Gestalt annimmt. Was früher Stunden an Triage, Scoping, Korrelation und Eindämmung in Anspruch nahm, endet jetzt in wenigen Minuten, wobei ein strukturiertes Urteil für Ihre Ein-Klick-Genehmigung bereitgestellt wurde.
Das Handwerk ist öffentlich für Tanium-Kunden. Das Urteil ist die Leistung. Wenn Sie beide möchten, ist das, was HuntIQ ist.
Wie Sie HuntIQ Tradecraft in Ihrer Umgebung verwenden
- Gehen Sie zu help.tanium.com (wird in einer neuen Registerkarte geöffnet) und navigieren Sie zu HuntIQ Tradecraft.
- Wählen Sie ein Playbook aus, das einer Abdeckungslücke zugeordnet ist, von der Sie wissen, dass Sie sie haben. Lesen Sie die Hypothese. Führen Sie die Sensorfrage gegen Ihren eigenen Bestand aus. Arbeiten Sie die Filtermethode durch.
- Lesen Sie die ATT&CK-Zuordnung mit Ihren vorhandenen Inhalten. Wenn nichts, was Sie ausführen, diese Technik bereits auf die gleiche Weise abdeckt, müssen Sie eine neue Erkennung hinzufügen.
- Kommen Sie zurück, während neue Handwerkspfosten in einer regelmäßigen Trittfrequenz landen, die aus dem stammt, was unsere Jäger gerade finden.
Beginnen Sie mit der Jagd
- Lesen Sie die HuntIQ Tradecraft-Playbooks auf TRC (öffnet sich in einer neuen Registerkarte) (Tanium-Kunden-TRC-Zugriff erforderlich).
- Erfahren Sie mehr über den HuntIQ-Service.
- Sehen Sie sich die Serie „Hunt“ oder „Be Hunted “ im Tanium-Blog an, um die kundenanonymen Geschichten hinter dem Handwerk zu erhalten.
