Eine häufig herangezogene Kennzahl bei der Untersuchung des aktuellen Stands der Erkennung und Reaktion auf Vorfälle ist die „Verweildauer“. Forschungs zeigen immer wieder, dass zwischen dem Zeitpunkt, zu dem ein Sicherheitsvorfall auftritt, und dem Zeitpunkt, zu dem das Opfer den Angriff schließlich bemerkt, eine erhebliche Zeitspanne – oft in Monaten gemessen – besteht.
Wir sind uns alle einig, dass diese Lücke als nützlicher Maßstab für den Erfolg eines Sicherheitsprogramms dient und dass die Verkürzung dieses Zeitraums entscheidend ist, um die potenziellen Auswirkungen von Angriffen auf das Unternehmen und die Infrastruktur zu verringern. Zunächst müssen wir jedoch den Zeitrahmen der „Verweildauer“ neu definieren und dessen Grenzen über den Zeitpunkt hinaus ausdehnen, zu dem ein Vorfall erkannt wird. Tatsächlich umfasst die Verweildauer den gesamten Verlauf der anschließenden Untersuchung und dauert letztendlich bis zum erfolgreichen Abschluss der Sanierungsmaßnahmen.
Was macht eine erfolgreiche Ermittlung aus?
Im Rahmen einer Untersuchung müssen die tatsächlichen geschäftlichen Auswirkungen des Sicherheitsvorfalls ermittelt und der Hergang der Ereignisse „nachgezeichnet“ werden. Die Ermittler beginnen damit, alle betroffenen Systeme und Geräte in einer Umgebung zu identifizieren und das Ausmaß der Angreiferaktivitäten auf jedem einzelnen davon zu ermitteln. Die Bedeutung der Bestandsaufnahme geht jedoch über die bloße Erfassung der Anzahl einzigartiger Malware-Exemplare, infizierter Rechner oder gestohlener Zugangsdaten hinaus. Die Ergebnisse einer Untersuchung sind wesentliche Grundlagen für kurz- und langfristige Sanierungspläne, die im Idealfall bereits vom ersten Tag an parallel zur Untersuchung erarbeitet werden sollten. Sollte auch nur ein einziges infiziertes System, eine einzige Backdoor-Command-and-Control-Adresse oder ein einziger Satz kompromittierter Benutzeranmeldedaten übersehen werden, könnte dies einem Angreifer potenziell ermöglichen, auf einfache Weise wieder Zugriff zu erlangen und die gesamten Bemühungen zur Behebung des Problems zunichte zu machen. Ebenso führt das Versäumnis, grundlegendere Schwachstellen, die während eines Vorfalls ausgenutzt wurden, zu identifizieren und zu beheben, dazu, dass sich die Sicherheitslage des Opfers unter dem Strich nicht verbessert.
Leider haben viele Organisationen Schwierigkeiten, in dieser entscheidenden Phase des Vorfallzyklus erfolgreich zu sein. Als Berater war ich sechs Jahre lang für die Leitung von Untersuchungs- und Sanierungsmaßnahmen in Unternehmen zuständig, die externe Unterstützung benötigten, insbesondere wenn die Umsetzung innerhalb eines kurzen Zeitraums erwartet wurde. Von einer Untersuchung hängt so viel ab, doch der Weg zur Abhilfe bleibt schwierig. Angesichts dessen, dass so viel auf dem Spiel steht, warum tun sich die Ermittler dann immer noch so schwer? Die Antwort liegt in der Regel in den klassischen Bereichen „Mitarbeiter“, „Prozesse“ und „Technologie“:
- „People“: Die Computerforensik erfordert umfangreiche technische Kenntnisse und eine fundierte Ausbildung – insbesondere, wenn dazu noch das Verständnis von Unternehmensnetzwerken, gängigen Technologien wie Active Directory sowie der Muster und Merkmale gängiger Angriffstechniken hinzukommt. Diese Qualifikationen sind derzeit Mangelware und werden es voraussichtlich auch auf absehbare Zeit bleiben.
- Vorgehensweise: Viele Organisationen legen erst dann festgelegte Verfahren für den Umgang mit gezielten Angriffen fest, wenn sie tatsächlich mit einem solchen konfrontiert wurden.
- Technologie: Die überwiegende Mehrheit der Tools, die zur Durchführung von Untersuchungen eingesetzt werden – insbesondere zur „Jagd“ auf Endpunkte und zur Forensik –, ist langsam, übermäßig komplex und nicht in der Lage, in großen, verteilten Umgebungen zu skalieren (oder mit einem aktiven Angriff Schritt zu halten). Darüber hinaus entstehen viele Produkte aus Punktlösungen, die ursprünglich nur auf einen kleinen Teilbereich der Aufgaben zur Erkennung oder Reaktion auf Vorfälle ausgerichtet waren und daher bei der nachträglichen Anpassung an weitere IR-Anwendungsfälle auf Unternehmensebene rasch an Leistungsfähigkeit einbüßen.
Ich bin begeistert von der Möglichkeit, Unternehmen mit Technologien auszustatten, die als Kraftverstärker dienen und die Kompetenzen sowie Ressourcen bestehender Sicherheitsteams erweitern, um Angriffe jeglichen Ausmaßes abzuwehren. Daher freue ich mich sehr, Ihnen die neueste Funktion von Tanium, „Tanium Trace“, vorstellen zu dürfen und Sicherheits- sowie Incident-Response-Teams dabei zu unterstützen, den Zeit- und Arbeitsaufwand für die Erkennung, Untersuchung und Reaktion auf Sicherheitsvorfälle drastisch zu reduzieren.
Ein genauerer Blick auf Tanium Trace
Tanium Trace (Trace) ergänzt eine Reihe bestehender Funktionen zur Erkennung und Reaktion auf Vorfälle, die bereits in der Tanium Endpoint Platform enthalten sind. Dazu gehören die Möglichkeit, Daten zum „aktuellen Zustand“ aller Endgeräte schnell abzufragen und zu erfassen, nach strukturierten Indikatoren für Kompromittierungen (Indicators of Compromise) zu suchen sowie umfangreichere forensische Artefakte – wie beispielsweise ein Speicherabbild oder einen Auszug der Metadaten des Dateisystems – von den betroffenen Systemen zu erfassen. Trace baut auf diesen Funktionen auf und bietet drei wesentliche Komponenten: den Trace Collector, die Trace Workbench und die Trace-Sensoren.
Trace Collector
Trace Collector ist dafür zuständig, wichtige forensische Beweismittel auf jedem Endgerät kontinuierlich aufzuzeichnen. Das Programm überwacht den Windows-Kernel und andere Low-Level-Subsysteme, um eine Vielzahl von Ereignissen zu erfassen, darunter: Prozessausführung, Aktivitäten im Dateisystem, Änderungen an der Registrierungsdatenbank, Netzwerkverbindungen, das Laden von Treibern und die Benutzerauthentifizierung. Diese Daten können sich schnell ansammeln – selbst ein System im Leerlauf erzeugt ständig Aktivitäten –, weshalb Trace ähnliche Ereignisse intelligent zusammenfasst und sie effizient in einer lokalen Datenbank speichert. Dank dieser Optimierungen können in der Standardkonfiguration historische Daten von bis zu mehreren Wochen gespeichert werden. Tanium-Administratoren können den von Trace belegten lokalen Speicherplatz weiter anpassen sowie die Arten der aufgezeichneten Beweismittel filtern, um sie an die gewünschten Anwendungsfälle anzupassen.
Zum Vergleich: Herkömmliche Techniken der Festplatten- und Speicherforensik können zwar Fragmente der Endpunktaktivität erfolgreich rekonstruieren, sind jedoch auf die Beweismittel beschränkt, die vom zugrunde liegenden Betriebssystem nativ gespeichert werden – Beweismittel, deren Zustand sich mit fortschreitender Zeit nach dem betreffenden Zeitraum rasch verschlechtern kann. Trace führt ein vollständiges, leicht nachvollziehbares Protokoll der Ereignisse, das es Analysten ermöglicht, die Zeit zurückzudrehen und die jüngsten Vorgänge auf einem System noch einmal abzuspielen.
Darüber hinaus ergänzt Trace jedes der aufgezeichneten Ereignisse um zusätzliche Kontextinformationen und Metadaten. Zu den Ereignissen bei der Prozessausführung gehören beispielsweise die vollständige Befehlszeile, der Hash-Wert, die Befehlszeile des übergeordneten Prozesses und der Benutzerkontext. Datei-, Netzwerk- und Registrierungsereignisse werden alle zusammen mit dem zugehörigen Prozess und dem Benutzerkontext, in dem sie aufgetreten sind, protokolliert. Sicherheitsereignisse, wie beispielsweise An- und Abmeldungen, werden unabhängig von Ereignisprotokollen gespeichert, die möglicherweise zurückgesetzt wurden. Dadurch ist es unglaublich einfach, einem Ermittlungsansatz nachzugehen und schnell den Kontext zu ermitteln, in dem ein Vorfall auf einem Endgerät stattgefunden hat.
Trace Workbench
Trace Workbench ist eine webbasierte Benutzeroberfläche, die direkt in die Tanium-Konsole integriert ist. Es bietet die Möglichkeit, eine Verbindung zu Remote-Systemen herzustellen und detaillierte Analysen anhand des umfangreichen Datensatzes durchzuführen, der vom Trace Collector erfasst wurde. Alle Analysen können über eine Live-Verbindung innerhalb von Sekunden durchgeführt werden, ohne dass zeitaufwändige Datenübertragungen oder -auswertungen erforderlich sind; Benutzer können zudem Momentaufnahmen der Trace-Datenbank eines Systems zur Speicherung und gemeinsamen Analyse auf dem Tanium-Server sichern. Zudem bietet es die Möglichkeit, Trace-Einstellungen – wie beispielsweise die maximale Datenbankgröße und die Aufbewahrungsdauer des Verlaufs – für alle Endpunkte problemlos neu zu konfigurieren.
Benutzer können zunächst die gesamte Trace-Datenbank eines Systems anhand von Stichwörtern oder eines anfänglichen Zeitraums durchsuchen. Die Suchergebnisse werden in einer herkömmlichen Rasteransicht dargestellt, die nach einzelnen Spalten neu sortiert und gefiltert werden kann, um den Benutzern das Aussortieren irrelevanter Daten zu erleichtern.
Durch einen Doppelklick auf ein beliebiges Suchergebnis gelangt der Benutzer zu einer detaillierten Prozessübersichtsseite für den Prozess, der für das ausgewählte Ereignis verantwortlich ist. Dadurch verlagert sich der Schwerpunkt der Analyse im Wesentlichen auf den Verlauf eines einzelnen Prozesses im Zeitverlauf, anstatt auf die Gesamtheit aller Ereignisse, die den ursprünglichen Suchkriterien entsprechen. Die Prozessübersicht zeigt alle vom aktuell untersuchten Prozess ausgelösten Aktivitäten in Bezug auf Dateien, Netzwerk, Registrierung und untergeordnete Prozesse sowohl in einer visuellen Zeitleiste als auch in einer tabellarischen Ansicht an. Auf dieser Seite finden Sie außerdem den vollständigen Bildpfad und die Argumente des Prozesses, den Benutzerkontext, den Hash sowie die übergeordnete Befehlszeile. Benutzer können die ausführbare Datei auch zur weiteren Analyse herunterladen. Benutzer können zudem durch eine interaktive Baumansicht navigieren, in der die übergeordneten, untergeordneten und gleichrangigen Knoten des aktuellen Prozesses angezeigt werden.
Trace Sensors
Bei der Analyse eines einzelnen Systems, das Teil eines umfassenderen Vorfalls ist, neigt man leicht dazu, den Blick zu verengen. Ermittler müssen in der Lage sein, unternehmensweit nach Erkenntnissen und Beweismitteln zu suchen, die im Rahmen eingehender forensischer Untersuchungen aufgedeckt wurden. Im Idealfall sollte jede Ad-hoc-Suche und jeder Testfall nicht mit dem Aufwand für die Erstellung und Bereitstellung von IOCs verbunden sein. Abfragen nach einfachen Elementen, wie beispielsweise einem Prozess, einem Registrierungsschlüssel oder einer Datei, sollten ressourcenschonend sein und sofortige Ergebnisse liefern. Dabei geht es nicht nur darum, nach „bekanntlich fehlerhaften“ Elementen zu suchen, sondern auch darum, „bekanntlich einwandfreie“ Elemente zu erkennen und zu bewerten. Jeder, der schon einmal eine forensische Analyse durchgeführt hat, kennt das Gefühl, auf Beweismaterial zu stoßen, das zwar verdächtig erscheint, aber möglicherweise auch ein Artefakt des normalen Systemverhaltens ist, das zeitgleich mit den Handlungen eines Angreifers auftrat. Die Möglichkeit, sofort zu beurteilen, „wie häufig dieses ‚Ding‘“ in einer Umgebung vorkommt, kann den Aufwand für die Untersuchung eines Systems erheblich reduzieren und dazu beitragen, genauere und robustere Indikatoren für die zukünftige Nutzung zu entwickeln.
Trace ermöglicht diese Funktion durch Sensoren, die die zentrale „Ask a Question“-Funktion von Tanium unterstützen. Alle von Trace auf jedem Endpunkt erfassten Daten lassen sich in großem Umfang durchsuchen – und zwar mit derselben Antwortzeit von 15 Sekunden, die auch bei jeder anderen Tanium-Abfrage erzielt würde. Ebenso können dieselben Trace-Daten über wiederkehrende Abfragen oder eine SOAP-API abgerufen werden, und die Ergebnisse können gespeichert, über einen bestimmten Zeitraum aggregiert oder über Tanium Connect an andere Lösungen für die Sicherheitsanalyse oder -speicherung, wie beispielsweise SIEM, weitergeleitet werden.
Bei der Überprüfung von Prozessdetails in der Trace Workbench lässt sich jede Aktivitätszeile mit einem einzigen Klick in eine kontextsensitive Suche umwandeln. Wählen Sie beispielsweise eine Zeile für einen „CreateProcess“-Vorgang aus, werden Sie aufgefordert, nach einem passenden Prozess anhand des Pfads, des MD5 -Hashwerts oder der vollständigen Befehlszeile zu suchen; wählen Sie eine Datei- oder Registrierungszeile aus, werden Sie aufgefordert, anhand des Vorgangstyps und des Elementpfads zu suchen. Benutzer können zudem manuell komplexere Abfragen erstellen, die den gesamten Trace-Datensatz nutzen und erweiterte Optionen wie Zeitbereichseinschränkungen und den Abgleich mit regulären Ausdrücken bieten.
Trace-Sensoren – insbesondere wenn sie zur Unterstützung wiederkehrender, gespeicherter Suchvorgänge eingesetzt werden – können zudem einen wirksamen Mechanismus zur proaktiven Überwachung einer Umgebung auf anomale Aktivitäten darstellen. Zu den Beispielen für Trace-Suchen, die Nutzer problemlos erstellen, anpassen und in andere Sicherheitslösungen integrieren können, gehören unter anderem:
- Anmeldungen vom Typ 3 (Netzwerk) und vom Typ 10 (RemoteInteractive) durch eine ausgewählte Gruppe von Konten, Quellsystemen und/oder Zielsystemen
- Ereignisse zur Dateierstellung unter Verwendung von regulären Ausdrücken, um Aktivitäten in bestimmten Verzeichnissen (wie beispielsweise häufig genutzten Staging-Verzeichnissen von Angreifern) oder die Erstellung bestimmter Dateitypen (wie beispielsweise RAR-Archive) zu überwachen
- Erstellung oder Änderung von Registrierungsschlüsseln und -werten, die häufig zur dauerhaften Speicherung von Malware verwendet werden, wie beispielsweise Parameter der Windows-Dienste „ServiceDLL“ oder Werte unter den „Run“-Schlüsseln
- Einzigartige Kombinationen aus Eltern- und Kindprozessen, die auf Command-and-Control-Aktivitäten hindeuten können, wie beispielsweise eine Befehlsshell, die von einem untypischen Elternprozess wie „svchost.exe“ gestartet wird
- Ausführung nativer Windows-Befehle, die von gewöhnlichen Endnutzern nur selten verwendet werden, von Angreifern jedoch häufig zur Erkundung und zur lateralen Bewegung genutzt werden, wie beispielsweise „net.exe“, „at.exe“ und „wmic.exe“
- Anomale Netzwerkdatenflüsse, wie beispielsweise Versuche, ausgehende Verbindungen zu HTTP/S-Servern im Internet von isolierten internen Domänencontrollern aus herzustellen, oder SMB- oder RDP-Datenverkehr zu privilegierten Administrator-Arbeitsplätzen oder wichtigen Servern aus untypischen Quell-Subnetzen.
Durch die Integration von Trace bietet die Tanium Endpoint Platform eine wirklich umfassende Lösung für den gesamten Lebenszyklus der Vorfallreaktion – und zwar eine, die unabhängig vom Umfang schnell, zuverlässig und einfach zu verwalten bleibt. Trace lässt sich mithilfe der Tanium-Plattform innerhalb weniger Minuten bereitstellen, und die Erweiterung einer bestehenden Bereitstellung um alle diese Trace-Funktionen erfordert keine zusätzliche Hardware. Mit nur wenigen Klicks können Benutzer Trace auf einer Teilmenge von Endgeräten oder in der gesamten Umgebung installieren, den Installationsstatus überwachen und mit der Nutzung der Trace-Workbench und der Sensoren beginnen.
RYAN KAZANCIYAN, ehemaliger Chefarchitekt für Sicherheit bei
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
