Zum Hauptinhalt springen
Tanium Blog

Wie wir die mittlere Reaktionszeit verfolgen

Dies ist der letzte Teil unserer vierteiligen Blogreihe, in der wir erläutern, wie wir wichtige Kennzahlen erfassen. In dieser Folge erläutert Greg Pothier, SecOps-Ingenieur bei Tanium, wie wir auf Vorfälle reagieren, gibt Leitlinien zur durchschnittlichen Reaktionszeit vor und erklärt, warum schnelle Reaktionszeiten für jedes Unternehmen von entscheidender Bedeutung sind.

Wir setzen Tanium routinemäßig im Rahmen unserer Sicherheitsmaßnahmen ein, um unsere Abwehrfähigkeit zu stärken, wobei wir das Patchen sowohl als Maßnahme zur „ “ als auch als Prozess zur „ “ nutzen. Dadurch verringern wir unsere Angriffsfläche und fördern eine einheitliche Umgebung.

Bevor wir uns jedoch für unsere gute Arbeit auf die Schulter klopfen, ist es wichtig, wachsam zu bleiben. Wie Sie wissen, sind Angreifer einfallsreich; und sobald sie sich Zugang zu einem Netzwerk verschafft haben, zeigen öffentlich bekannt gewordene Sicherheitsvorfälle, dass sie monatelang unentdeckt bleiben können.

Die Auswirkungen und Kosten eines Sicherheitsvorfalls stehen in direktem Zusammenhang mit der Dauer, während der sich ein Angreifer im Netzwerk aufhält. Daher ist es von entscheidender Bedeutung, dass wir uns zum Ziel setzen, unsere durchschnittliche Zeit bis zur Behebung so weit wie möglich zu verkürzen. Um unsere Arbeitsabläufe effizienter und effektiver zu gestalten, setzen wir Tanium ein, um den Prozess der Erkennung und Alarmierung so weit wie möglich zu automatisieren. Diese automatisierten Erkennungen machen uns auf potenziell böswillige Aktivitäten aufmerksam; ab diesem Zeitpunkt können wir unsere Reaktionszeit messen.

Der typische Lebenszyklus eines Angriffs umfasst drei große Phasen:

  • Erstinfektion. Dies ist der Zeitpunkt, zu dem ein Angreifer erstmals erfolgreich schädlichen Code auf einem Endgerät ausführt, um sich Zugriff zu verschaffen.
  • Persistenz. Dies ist der Fall, wenn ein Angreifer Zugriff auf einen Endpunkt erlangt hat und diesen Zugriff auch über Systemneustarts hinweg aufrechterhalten kann.
  • Seitliche Bewegung und Zielerreichung. Angreifer landen selten genau dort, wo sie es beabsichtigen. Sobald Angreifer sich Zugang verschafft haben, nutzen sie diesen daher in der Regel dazu, sich seitlich von System zu System zu bewegen und dabei weitere Daten zu sammeln, bis sie schließlich ihr Ziel erreichen.

Im Folgenden finden Sie Beispiele dafür, wie wir Tanium einsetzen, um Aktivitäten in den einzelnen Phasen des Angriffslebenszyklus zu bewältigen, sowie unsere Erwartungen hinsichtlich der durchschnittlichen Reaktionszeit in jeder Phase.

Anfängliche Infektionsphase: Erkennung böswilliger Aktivitäten

Tanium ist eine Plattform, was bedeutet, dass wir nahtlos von der Erkennung und Alarmierung zur Erfassung des Ausmaßes und zur Untersuchung übergehen können – und das alles über eine einzige Konsole. Wir erfassen alle Erkennungen und potenziellen Erstinfektionen mithilfe von Tanium und Trace , um eine Verbindung zum Endgerät herzustellen und Zeitreihenaufzeichnungen sowie Analysen wichtiger forensischer Daten auf den Endgeräten zu erstellen. Zu diesen forensischen Artefakten zählen die Ausführung von Prozessen, Änderungen am Dateisystem und in der Registrierungsdatenbank, das Laden von Treibern, Sicherheitsereignisse sowie verschiedene weitere relevante Benutzer- und Systemereignisse.

Tanium Trace zeichnet die Aktivitäten an den Endgeräten kontinuierlich auf, unabhängig davon, ob das Endgerät online ist oder nicht. Mit „Trace“ können wir die Erkennung von Angriffsmustern auf Anomalien und verdächtige Ereignisse anwenden, die auf komplexen Angriffsmethoden basieren.

Zu den gängigsten Erkennungsmechanismen zählen unter anderem:

  • Skriptdateien in verdächtigen Pfaden;
  • Muster von Prozess- und Dateiberegnissen, die auf Makro-Malware in Microsoft Office hindeuten;
  • Adobe Acrobat Reader erzeugt ungewöhnliche Dateiformate; und
  • Befehlsshells, die von ungewöhnlichen übergeordneten Anwendungen gestartet werden.

Während wir Beweismaterial aus Trace sammeln, können wir mithilfe von Tanium „ Detect“ unternehmensweit nach diesen Indikatoren für eine Kompromittierung (IOC) suchen. Detect erfasst IOCs aus einer Vielzahl von Quellen, darunter lokale Repositorien zur Bedrohungserkennung, TAXII-Streams und andere Feeds mit Bedrohungsinformationen. Mit „Detect“ können wir Scans an den Status des Endgeräts anpassen und so eine präzise Ausrichtung auf das Betriebssystem des Endgeräts, die Benutzergruppe oder Systeme mit privilegierten Administratoren ermöglichen.

Für „Detect“ abonniert unser internes Sicherheitsteam mehrere externe Quellen für Bedrohungsdaten, darunter einen führenden Reputationsdatenbankdienst sowie , , Palo Alto Networks Wildfire (wird in einem neuen Tab geöffnet),und . Über Tanium Connect (wird in einem neuen Tab geöffnet) können wir nativ mit den APIs beider Produkte arbeiten, um die Hash-Werte aller laufenden Prozesse, Autostart-Einträge und geladenen Treiber anhand Dutzender Antiviren-Engines zu überprüfen. Wird ein bösartiger Hash identifiziert, werden wir umgehend benachrichtigt, und es wird automatisch ein Ticket erstellt.

Zusätzlich zu „Detect“ können wir feststellen, ob sich ähnliche Indikatoren an anderer Stelle befinden, indem wir einfach mit Tanium Core eine Ad-hoc-Suche unternehmensweit über alle unsere Endgeräte hinweg durchführen.

Wir nutzen Tanium, um den infizierten Endpunkt zu sanieren, und je nach unseren Erkenntnissen können wir Tanium-Maßnahmen ausführen, um bösartige laufende Prozesse zu beenden, unerwünschte Anwendungen zu deinstallieren und/oder den Endpunkt sofort zu patchen (öffnet in einem neuen Tab) .

Viele Untersuchungen im Rahmen der Incident-Response-Maßnahmen enden an dieser Stelle. Sollte dies der Fall sein, können wir die Zeit vom ersten Erkennen bis zur Behebung messen und festhalten, wie lange der Vorgang gedauert hat. Unser Ziel ist es, die durchschnittliche Zeit bis zur Behebung so weit wie möglich zu verkürzen.

Beharrlichkeit: Angreifer dort aufspüren, wo sie sich verstecken

Tanium bietet eine Vielzahl von Methoden zur Überwachung und Erkennung gängiger Persistenzmechanismen , darunter eigenständige ausführbare Dateien, betrügerische Dienst-DLLs, gehostete Dienstmodule und COM-Komponenten.

Dank der Echtzeit-Such- und Stapelfunktionen von Tanium können unsere Ermittlungsmaßnahmen effizient und effektiv durchgeführt werden, wenn es darum geht, die Persistenz von Malware  zu erkennen, die über gängige Angreifermethoden wie Windows Management Instrumentation (WMI) und geplante Aufgaben erfolgt. Das Echtzeit-Stacking ist zudem ein wesentlicher Bestandteil der Bedrohungssuche und ermöglicht die Analyse von Ausreißern bei allen persistenten Mechanismen.

Neue Persistenzmechanismen werden überprüft; sollten diese als bösartig eingestuft werden, wird mithilfe von Tanium eine „ “-Quarantäne -Maßnahme ergriffen, wodurch der infizierte Endpunkt isoliert wird, bis eine weitere Analyse und Behebung abgeschlossen werden können.

Nachdem die Erstinfektion nun eingedämmt wurde, müssen wir herausfinden, wie es überhaupt zu dieser Infektion gekommen ist.

Tanium Trace kann diese Fragen beantworten, indem es die Prozessausführung analysiert, den zugehörigen Prozessbaumverlauf bereitstellt und die forensischen Beweise nutzt, um Indikatoren für eine Kompromittierung zu erstellen, die uns dabei helfen, die nächste Frage zu beantworten: Wurde die erfolgreiche Persistenzmethode auch auf anderen Endgeräten versucht und war sie dort erfolgreich?

Wir erstellen automatisierte Erkennungsmaßnahmen mit „Detect“, indem wir unsere IOC- oder Yara-Regel einbinden und unternehmensweit nach Hinweisen auf die böswillige Aktivität suchen. Wir sind bestrebt, auf Scope-Warnmeldungen innerhalb der ersten 15 Minuten mit einer ersten Triage zu reagieren und innerhalb der ersten Stunde mithilfe der oben genannten Methoden detailliertere Informationen zu erheben.

Seitliche Bewegung und Exfiltration: Angreifer im Keim ersticken

Während der Phase „ “ „Lateral Movement“ und „Achieve Objective“ **** nutzen wir Tanium, um gängige Techniken der Domänenauskundschaftung durch Angreifer zu erkennen und entsprechende Warnmeldungen zu generieren. So warnt uns Tanium beispielsweise, wenn ein Angreifer – oder auch ein böswilliger Insider – versucht, potenziell schädliche Aktivitäten durchzuführen, wie etwa die Nutzung von „net.exe“ zum Aufspüren von Benutzergruppen oder sogar den Versuch, einen neuen Benutzer hinzuzufügen.

PowerShell hat sich zu einem der beliebtesten Werkzeuge für Angreifer entwickelt, und wir nutzen Tanium, um verdächtiges PowerShell-Verhalten auf einfache Weise aufzuspüren, indem wir Prozessbäume, Befehlszeilen oder sogar HTTPS-Verbindungen untersuchen. Wir überwachen Anmeldungen vom Typ 3 im Netzwerk und geben entsprechende Warnmeldungen aus, darunter die Ausführung von Remote-Befehlen über „psexec“, die Ausführung von Remote-Befehlen über WMI, das verdächtige Einbinden von Freigaben sowie geplante Remote-Aufgaben. Da viele Angreifer aus Gründen der Tarnung bevorzugt Tools einsetzen, die sich hauptsächlich im Arbeitsspeicher befinden, nutzen wir Tanium Threat Response (wird in einem neuen Tab geöffnet) , um den Arbeitsspeicher der Endgeräte unternehmensweit zügig zu untersuchen.

Bei Versuchen, Daten zu entwenden, komprimieren Angreifer häufig Daten, um den Inhalt von Dateien und deren Namen zu verschlüsseln. Wir nutzen den Tanium- -Index, um nach Dateien mit verdächtigen Merkmalen zu suchen, darunter Name, Pfad, Hash-Wert und Header-Bytes. Wenn also ein Angreifer versucht, Dateien und deren Inhalte zu komprimieren und zu verschlüsseln, benachrichtigt uns Tanium Index über jede neu erstellte Datei, die eine verdächtige Bytefolge im Header enthält.

Bei der Reaktion auf potenzielle laterale Bewegungen oder Datenexfiltration bietet uns Tanium verschiedene Möglichkeiten, um unverzüglich Maßnahmen zur Behebung der böswilligen Aktivitäten einzuleiten. Wir können lokale Konten mit erweiterten Berechtigungen herabstufen und/oder löschen, ein Paket bereitstellen, um schädliche Prozesse zu beenden, kompromittierte Benutzeranmeldedaten zurücksetzen und nicht autorisierte Verbindungen bzw. Ports schließen.

Dieser Erkennungsworkflow, der innerhalb von Sekunden und in großem Maßstab erfolgt und auf der Fähigkeit basiert, Endpunkte unternehmensweit detailliert zu untersuchen, hält unsere durchschnittliche Reaktionszeit innerhalb des angestrebten Zielbereichs und versetzt uns in die Lage, Angreifer zu entlarven, bevor sie ihre Ziele umsetzen können. Die Tanium-Plattform ermöglicht es uns, in Sekundenschnelle, innerhalb von Minuten oder Stunden das zu erledigen, wofür Incident-Response-Teams normalerweise Tage, Wochen oder sogar Monate benötigen.

Dies ist der letzte Teil unserer vierteiligen Serie. Im ersten Teil von „ “ erläutere ich, wie wir bei Tanium kritische Sicherheitslücken nachverfolgen. In „ , Teil 2“ beschreibe ich, wie wir Tanium einsetzen, um wichtige Compliance-Kennzahlen zu überwachen. Im dritten Teil von „ “ erläutere ich, wie Tanium und Splunk gemeinsam genutzt werden können, um Daten zum Patch-Management bereitzustellen. Um zu erfahren, wie Tanium Ihnen dabei helfen kann, dies auch für Ihre Umgebung zu messen, melden Sie sich jetzt für einen „ “ an: , einen „Proof-of-Concept“: (wird in einem neuen Tab geöffnet),, oder  .*

Weiterlesen:

Über den Autor: Greg Pothier ist Sicherheitsingenieur bei Tanium und verfügt über Erfahrung in den Bereichen Sicherheitsautomatisierung, Datenanalyse, Penetrationstests und Softwareentwicklung. Vor seiner Tätigkeit bei Tanium war Greg als leitender Ingenieur bei mehreren US-Geheimdiensten und Regierungsbehörden tätig. Greg schloss sein Masterstudium der Informatik an der George Mason University ab, wo ihm das „NSA Information Assurance Cyber Scholarship“ verliehen wurde.