Die Bedrohungssuche ist eine der ressourcenintensivsten Aktivitäten im Arbeitsablauf des Sicherheitsbetriebs. Dies erfordert qualifizierte Analysten, die Hypothesen aufstellen, in einer umfangreichen Umgebung nach Anhaltspunkten suchen, Störsignale herausfiltern und die Ergebnisse so dokumentieren können, dass andere darauf reagieren können. Das HuntIQ-Team von Tanium arbeitet praxisnah in den Umgebungen der Kunden, und Threat Navigator wurde direkt auf der Grundlage dieser realen Arbeitsabläufe entwickelt und in die Tanium-Konsole integriert, sodass der Prozess schneller, kooperativer und besser wiederholbar wird.
Duncan erläutert nacheinander die drei Kernkomponenten von Threat Navigator: Suchvorgänge, Hypothesen und MITRE-Techniken. Er veranschaulicht, wie Suchvorgänge mithilfe der IOC- oder Signal-Syntax die Umgebung in Echtzeit abfragen, ohne dass Informationen vorab verteilt werden müssen oder auf die Aggregation von Protokollen gewartet werden muss. Er zeigt zudem, wie Jäger durch iterative Verfahren die Ergebnisse schrittweise filtern können, um das Wesentliche herauszuarbeiten, und wie abgeschlossene Suchvorgänge direkt in Signale für die fortlaufende Erkennung umgewandelt werden können.
Falls Sie die „ “-Maßnahmen zur Bedrohungssuche leiten oder erfahren möchten, wie Tanium proaktive Sicherheit auf Unternehmensebene zugänglicher macht, behandelt diese Folge die konkreten Funktionsweisen von Threat Navigator – von der Markierung einzelner Befunde bis hin zum Export von Hypothesen zur Verwendung in anderen Tracking-Tools. Sehen Sie sich die gesamte Folge unten an.
Wichtige Erkenntnisse
- Entwickelt auf der Grundlage realer HuntIQ-Arbeitsabläufe: Der Threat Navigator wurde in Zusammenarbeit mit den HuntIQ-Spezialisten von Tanium ( ) entwickelt, wobei die von ihnen in Kundenumgebungen – häufig außerhalb der Konsole – verwendeten Arbeitsabläufe in die Tanium-Konsole integriert wurden.
„“ Dabei geht es darum, unsere Arbeitsabläufe, die wir in Kundenumgebungen – häufig außerhalb der Konsole – nutzen, in die Tanium-Konsole zu integrieren.“Duncan Miller, Senior Threat Hunter bei Tanium
- Suchvorgänge werden in der gesamten Umgebung durchgeführt, ohne dass zuvor Informationen verteilt werden: Mithilfe der IOC- oder Signal-Syntax werden Suchvorgänge in der gesamten Umgebung durchgeführt, ohne dass zuvor Informationen verteilt werden, ohne dass Protokolle erfasst werden und ohne dass Warnmeldungen generiert werden. Dadurch eignen sie sich besser für die Suche nach Bedrohungen als für die Auslösung von Warnmeldungen.
„Sie können die IOC-Syntax oder die Signal-Syntax verwenden, um eine Suche zu erstellen, die Ihre gesamte Umgebung abdeckt, ohne dass Sie zuvor Informationen verteilen, Protokolle sammeln oder auf deren Aggregation warten müssen.“Duncan Miller, Senior Threat Hunter bei Tanium
- Durch Iterationen werden die Ergebnisse schrittweise eingegrenzt: Bei jeder aktiven Suche werden bis zu fünf Iterationen der Daten gespeichert. So können Suchende bereits als korrekt identifizierte Ergebnisse ausschließen und die Suche erneut durchführen, um die tatsächlich relevanten Ergebnisse zu ermitteln, wobei die Gesamtzahl der Ergebnisse auf 10 000 begrenzt ist und pro Host maximal 100 Ergebnisse angezeigt werden.
- Durch das „Pinnen“ werden Befunde zu einem bestimmten Zeitpunkt festgehalten: Jäger können bestimmte Elemente aus den Suchergebnissen „pinnen“, um sie auch dann zu speichern, wenn diese Daten gelöscht werden. Auf diese Weise bleibt ein Zeitstempel für wichtige Befunde erhalten, die einer weiteren Untersuchung bedürfen oder als bösartig bestätigt wurden. Wenn Sie einen Eintrag anheften, wird diese Iteration automatisch gespeichert.
- Hypothesen bündeln Suchanfragen und ermöglichen den Export: Hypothesen dienen als Sammelbehälter für mehrere miteinander verbundene Suchanfragen und können als Markdown-Datei exportiert werden, wodurch Suchende eine Zusammenfassung erhalten, die sie direkt in andere Tracking-Tools einfügen können. Ein PDF-Export ist ebenfalls geplant.
- Die gemeinsame Suche baut institutionelles Wissen auf: Da die Tanium-Konsole den Suchverlauf und die einzelnen Suchschritte speichert, können Teammitglieder dort weitermachen, wo andere aufgehört haben. So entsteht eine „ “-Umgebung für die gemeinsame Suche , in der jeder im Team sehen kann, was bereits getan wurde, und interessante Artefakte finden oder Suchvorgänge wesentlich schneller verfeinern kann.
- Hunts werden schnell zur Erkennung: Sobald ein Hunt etwas Bösartiges findet, kann die Suche mithilfe der Schaltfläche „Signal erstellen“ in ein Signal umgewandelt werden, wodurch aus einem einmaligen Hunt eine wiederholbare, automatisierte Erkennung wird, ohne dass jedes Mal eine Person die Daten überprüfen muss.
„“ Die Jagd ist grundsätzlich eine kostspielige Freizeitbeschäftigung. Es muss eine Person geben, die die Daten überprüft. Sie müssen verstehen, was Sie da vor sich sehen. Sobald ich eine Suche abgeschlossen habe und dabei etwas Schädliches gefunden habe, führe ich die Suche möglicherweise erneut durch, aber dabei sollte ich doch nicht genau das finden, was ich zuvor bereits gefunden habe, oder?”Duncan Miller, Senior Threat Hunter bei Tanium
Weitere Ressourcen
- Tanium Threat Response für die Erkennung, Untersuchung und Behebung von Bedrohungen auf Endgeräten: Erfahren Sie, wie Tanium Threat Response Sicherheitsteams in die Lage versetzt, Bedrohungen auf allen Endgeräten in der Umgebung zu erkennen, zu untersuchen und darauf zu reagieren.
- Wie HuntIQ ein von Experten geleitetes „Threat Hunting“- bereitstellt: Ein Einblick, wie der HuntIQ-Dienst von Tanium die Sicherheitsabläufe durch ein von Experten geleitetes „Threat Hunting“ stärkt, das darauf ausgelegt ist, komplexe Bedrohungen aufzudecken, bevor sie Schaden anrichten.
- Anwendungsbeispiele aus der Praxis zur Erkennung mit Tanium Threat Response: Der erste Teil einer dreiteiligen Serie, in der erläutert wird, wie Kunden Tanium einsetzen, um Vorfälle, Sicherheitslücken und Sicherheitsverstöße zu erkennen – von der verhaltensbasierten Bedrohungssuche über das Scannen von IOCs bis hin zur Nutzung mehrerer Quellen für Bedrohungsinformationen im gesamten Unternehmen.
Die Aussagen und Inhalte von Tanium bezüglich seiner Pläne, Ausrichtungen und Absichten können sich nach alleinigem Ermessen von Tanium ohne vorherige Ankündigung ändern. Informationen zu potenziellen zukünftigen Produkten oder Funktionen sollen die allgemeine Produktausrichtung von Tanium skizzieren und sollten nicht als Grundlage für Kaufentscheidungen herangezogen werden, noch sind sie Bestandteil eines Vertrags. Es handelt sich weder um eine Zusage, ein Versprechen noch um eine rechtliche Verpflichtung. Die Entwicklung, Veröffentlichung und der Zeitplan zukünftiger Produkte oder Funktionen liegen ausschließlich im Ermessen von Tanium.
