Die Bereinigung ist wohl der wichtigste Schritt bei der Reaktion auf Sicherheitsvorfälle, da sie sicherstellt, dass schädliche Artefakte und andere Spuren der Angreiferaktivitäten beseitigt werden, um die Umgebung künftig widerstandsfähiger gegen ähnliche Angriffe zu machen. Leider wird dieser Schritt oft übersehen, oder die Aufgaben werden auf isoliert arbeitende IT-Teams verteilt und gehen unter Umständen unter. Tanium überwindet diese Silos mit einer Plattform, die die Erkennung, Untersuchung und Behebung von Sicherheitsvorfällen in Echtzeit über eine einzige Konsole ermöglicht. Ein kürzlich veröffentlichtes Update des Tanium Protect-Moduls enthält neue Funktionen, die darauf ausgelegt sind, den Behebungsprozess zu beschleunigen und die Gewissheit zu vermitteln, dass diese Bedrohungen dauerhaft beseitigt sind. In diesem Blogbeitrag werden die notwendigen Schritte beschrieben, die Bedrohungsjägern als Leitfaden dienen sollen, wenn sie ihre Umgebung nach schädlichen Artefakten durchsuchen und die neuen Funktionen zur Behebung von Problemen im Tanium Protect-Modul nutzen.
Von Anfang an: Ein Bericht zur Bedrohungsanalyse wird veröffentlicht
Eine häufige Anforderung an jeden Threat Hunter ist es, das Vorhandensein bestimmter bösartiger Artefakte zu identifizieren, unabhängig davon, ob diese aus kostenpflichtigen oder Open-Source-Informationsquellen stammen. In der Regel identifizieren Bedrohungsjäger die Indikatoren für eine Kompromittierung (IOCs) und durchsuchen ihre Umgebung nach diesen Anzeichen, um festzustellen, ob sie betroffen sind. Tanium bietet verschiedene Möglichkeiten, diese Suchfunktion bereitzustellen, und es war noch nie so einfach, Maßnahmen an den betroffenen Endgeräten zu ergreifen. In diesem Beispiel werden wir den üblichen Workflow der Bedrohungsanalyse anhand von Informationsquellen zur Bereinigung behandeln und sicherstellen, dass Dateien und andere IOCs dauerhaft von den betroffenen Endgeräten entfernt werden.
Eine der ersten Aufgaben bei jeder Bedrohungssuche besteht darin, Indikatoren oder Artefakte zu identifizieren, nach denen in der Umgebung gesucht werden muss. In diesem Beispiel werden wir einen Bedrohungsbericht des US-CERT zur „Backoff“-Malware heranziehen, einem speicherbasierten Keylogger, der bekanntermaßen auf Kassensysteme im Einzelhandel abzielt.
Abbildung 1: Auszug aus dem Bericht von US-CERT zur „Backoff“-Malware
Dieser Bericht enthält verschiedene Indikatoren für eine Bedrohung (IOCs), darunter Dateinamen, Datei-Hashes und Registrierungseinträge. Sie können diesen gesamten Bericht kopieren und innerhalb weniger Minuten eine Signal-Benachrichtigung oder einen OpenIOC-Indikator erstellen, um die Umgebung zu durchsuchen. Zu Demonstrationszwecken werden wir diese Ergebnisse jedoch stattdessen manuell überprüfen.
Durchsuchen des Unternehmens
Das erste Dateisystem-Artefakt, nach dem Sie suchen sollten, ist die schädliche Datei „javaw.exe“ im Pfad „C:\Users\\AppData\\Roaming\\OracleJava\\“. Der Tanium-Sensor „Index-Abfragedatei und Hash“ gibt den Pfad, den Namen und den Hash von Indexdateien zurück, die den angegebenen Suchparametern entsprechen. In diesem Beispiel geben wir den Pfad und den Hash an, nach denen gesucht werden soll, und es werden alle Instanzen zurückgegeben.
Abbildung 2: Ausgabe des Sensors „Index Query File and Hash“, die das Vorhandensein von Backoff-Binärdateien bestätigt
Aus dieser Abfrage geht hervor, dass sich in der Umgebung mehrere schädliche Dateien befinden, die entfernt werden müssen. Bevor wir mit der Behebung beginnen, sollten wir uns die übrigen Indikatoren im Bericht genauer ansehen, um sicherzustellen, dass keine weiteren Artefakte übersehen werden.
Mit dem Sensor „AutoRun-Programmdetails“ können wir alle persistenten Binärdateien im gesamten Unternehmen schnell analysieren. Da wir an den Registrierungseinträgen interessiert sind, die sich auf unseren „Backoff“-Intelligence-Bericht beziehen, können wir den Filter auf der rechten Seite, direkt über der Ergebnistabelle, verwenden, um die Ergebnisse auf diejenigen zu beschränken, die den Hashwert der Malware enthalten. Wir wissen nun, dass es mehrere Speicherorte für diese Malware gibt.
Abbildung 3: Ausgabe des Sensors „AutoRun-Programmdetails“ zur Identifizierung von Backoff-Persistenzmechanismen
Der Tanium-Sensor „Get Folder Contents“ liefert den Inhalt eines beliebigen angegebenen Ordners. Wenn wir dies ausführen, können wir feststellen, dass die anderen IOCs aus dem Backoff-Bericht tatsächlich vorhanden sind.
Abbildung 4: Ausgabe des Sensors „Get Folder Contents“, die zusätzliche Backoff-Artefakte bestätigt
Erstellung einer Sanierungsrichtlinie für die Sanierung
Zusammenfassend lässt sich sagen, dass wir bestätigt haben, dass Artefakte aus dem „Backoff“-Bedrohungsbericht in der Umgebung vorhanden sind und eine Bereinigung erforderlich ist. Unter Verwendung der oben genannten Sensoren müssen folgende Maßnahmen durchgeführt werden:
- Beenden Sie den Prozess „javaw.exe“
- Löschen Sie die Dateien „javaw.exe“ und „log.txt“
- Registrierungswerte löschen:
- „HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service“
- „HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service“
Sie können eine neue „Protect“-Korrekturrichtlinie erstellen, indem Sie im Tanium-Protect-Modul zum Abschnitt „Richtlinien“ navigieren – die Option zum Erstellen einer neuen Richtlinie befindet sich in der oberen rechten Ecke.
Abbildung 5: Die Konfigurationsseite für Tanium Protect-Richtlinien
Nach der Auswahl wird die Konfigurationsseite „Richtlinie hinzufügen“ geladen. Hier können Sie den Namen, die Beschreibung und den Typ der Richtlinie angeben. Geben Sie die Details ein und wählen Sie als Richtlinientyp „Behebung“ aus.
Abbildung 6: Seite zur Erstellung von Abhilfemaßnahmenrichtlinien in Tanium Protect
Sobald der Typ der Sanierungsrichtlinie ausgewählt ist, werden darunter eine Reihe von Optionen zur Konfiguration der Richtlinie angezeigt. Wenn Sie „Aufgabe hinzufügen“ auswählen, werden Ihnen Optionen für Maßnahmen an Endgeräten angezeigt. Wie oben dargelegt, bestehen die für unser Beispiel erforderlichen Aufgaben darin, einen Prozess zu beenden, eine Datei zu löschen und einen Registrierungsschlüssel zu löschen.
Zunächst wählen wir „Prozess beenden“ aus und geben den Prozessnamen ein. Im Rahmen des Korrektur-Workflows stehen eine Option zur Festlegung einer Zeitüberschreitungsdauer sowie die Möglichkeit zur Einstellung der Anzahl der Wiederholungsversuche zur Verfügung. Sobald eine Aufgabe eingegeben wurde, können Sie „Aufgabe hinzufügen“ auswählen, um der Behebungsrichtlinie weitere Schritte hinzuzufügen. Die nächste Aufgabe lautet „Datei löschen“. Geben Sie den Pfad ein, der gelöscht werden soll. Wie im folgenden Screenshot zu sehen ist, können zusätzliche Aufgaben eingegeben werden, um weitere Aktionen auszuführen.
Bitte beachten Sie, dass im Pfad Platzhalter verwendet werden können, um Variablen wie beispielsweise Benutzerprofile zu berücksichtigen. Sobald mehrere Aufgaben eingegeben wurden, kann die Reihenfolge der Aufgaben geändert werden, indem Sie den Bereich neben der Aufgabennummer auswählen und an die gewünschte Stelle ziehen. Für jede Aufgabe kann eine Fehlerbehandlung festgelegt werden, sodass die Richtlinie beendet oder ignoriert werden kann, falls ein Fehler auftritt. Sobald alle Aufgaben eingegeben sind, klicken Sie auf die Schaltfläche „Erstellen“, woraufhin die Richtlinie erstellt wird.
Abbildung 7: Die vollständige Sanierungsaufgabe, die zur Beseitigung der Backoff-Malware-Spuren erstellt wurde.
Der nächste Schritt besteht darin, zu entscheiden, auf welchen Systemen oder in welchen Computergruppen die Richtlinie durchgesetzt werden soll. Klicken Sie auf die Schaltfläche „Durchsetzung hinzufügen“.
Abbildung 8: Die Sanierungsrichtlinie nach ihrer Erstellung, jedoch vor ihrer Umsetzung.
Auf dieser Seite stehen Ihnen verschiedene Optionen zur Verfügung, um dynamische Computergruppen oder bestimmte Computer anhand ihres Namens für die Durchsetzung von Korrekturmaßnahmen anzusprechen. Die Durchsetzungsmaßnahmen können einmalig ausgeführt oder so geplant werden, dass sie in festgelegten Intervallen wiederholt werden, um sicherzustellen, dass alle neu betroffenen Systeme behoben werden.
Abbildung 9: Die Durchsetzungsoptionen für die Korrekturrichtlinie.
Sobald die Richtlinie durchgesetzt wurde, melden die betroffenen Computer, welche Aufgaben relevant waren und erfolgreich umgesetzt wurden. Auf dem folgenden Screenshot ist zu erkennen, dass die Richtlinie erfolgreich angewendet wurde; wenn wir die Ergebnisse genauer betrachten, können wir zudem feststellen, dass alle Aufgaben ausgeführt wurden
Abbildung 10: Seite mit den Richtlinienergebnissen, auf der der Status der Durchsetzung sowie weitere Details zur Richtlinie angezeigt werden.
Da wir nun wissen, wie einfach es ist, Korrekturmaßnahmen zu erstellen und zu verwalten, besteht der letzte Schritt darin, zu überprüfen, ob die Maßnahme erfolgreich abgeschlossen wurde. Bitte beachten Sie, dass Korrekturmaßnahmen so eingestellt werden können, dass sie in regelmäßigen Abständen wiederholt werden. Sollte eines der in der Behebungsaufgabe aufgeführten Artefakte erneut auftreten, wird im Status der Aufgabe ein Konflikt vermerkt, um den Benutzer auf ein potenzielles Problem hinzuweisen. Mit dieser neuen Funktion können wir die Behebungsphase eines Vorfalls in unsere Tanium-Workflows integrieren.
Abbildung 11: Detaillierte Darstellung der Behebungsergebnisse, in der die einzelnen Schritte der Richtlinie und die ergriffenen Maßnahmen aufgeführt sind.
Alles unter einen Hut bringen
Diese neuen Funktionen ermöglichen es den Mitarbeitern im Vorfallmanagement, mehrere Abhilfemaßnahmen zu organisieren und zu verwalten. Dadurch wird ein bekanntermaßen mühsamer Prozess in einen einfachen, optimierten Arbeitsablauf umgewandelt. Durch die Beschleunigung der Behebungsphase können die für die Vorfallbewältigung zuständigen Mitarbeiter rasch zu den Wiederherstellungsmaßnahmen übergehen und weiterhin für ein widerstandsfähiges Netzwerk sorgen.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
Über den Autor: Aaron Goldstein ist Leiter des Endpoint Detection and Response (EDR)-Teams bei Tanium. Er kam zu Tanium, nachdem er 9 Jahre lang im Bereich Incident Response-Beratung und Threat-Intelligence-Management tätig gewesen war. Wenn er sich nicht gerade darauf konzentriert, die Welt zu retten, reist Aaron gerne an abgelegene Orte und unternimmt Wanderungen.
