ITDR'de algılama kılavuzu

ITDR. TTP. AD.

Her ne kadar Quest'te güvenlikle yaşayıp nefes alsam da, siber güvenlik dünyasındaki çok sayıda kısaltma bunaltıcı olabiliyor.

Bu yazıda, bu terimleri ve tanımlarını açıklayacağız ve kimlik tehdidi tespit ve müdahalesine (ITDR) nasıl yaklaşılacağına dair gerçek dünyadan örnekleri inceleyeceğiz. Ayrıca kimlik doğrulamanın en yaygın biçimlerinden biri olan Active Directory kapsamındaki ilgili taktikleri, teknikleri ve prosedürleri de inceleyeceğiz.

Kimlik tehdidi algılama ve yanıtını anlama

Kimlik tehdidi algılama ve yanıt (ITDR), Gartner tarafından tanımlanan ve ağ algılama ve yanıt ile uç nokta algılama ve yanıtın kimliğin güvenlik dünyasına evrimi olarak tasarlanan nispeten yeni bir disiplindir. ITDR'nin genel bir özetini burada yazdım ama kısaca özetlemek gerekirse:

• ITDR, bir kuruluşun kimlik altyapısındaki ihlalleri tespit etmeye ve buna yanıt vermeye yönelik bir çerçevedir. Özellikle, kimlik güvenliğine yönelik genel yaklaşımın mutlaka önleyici kontrolleri içermesi gerekirken, ITDR bir ihlal olacağını varsayar ve onu nasıl bulacağınıza ve bulduğunuzda ne yapacağınıza öncelik verir.
• ITDR bir güvenlik ilkesi olarak Active Directory de dahil olmak üzere herhangi bir kimlik sistemine uygulanabilir. Bazı analistler, özellikle Active Directory için ITDR'ye atıfta bulunan AD TDR terimini kullanabilir. Active Directory güvenliğine atıfta bulunan bu makalenin bağlamında, sadece daha geniş bir terim olan ITDR'yi kullanacağım.

ITDR yaklaşımı bir ihlali nasıl tespit eder?

Gartner, algılamayı üç ana kategoriye ayırır:

1. Uzlaşma belirtileri (IOC'ler). Bunları, sanki belirli bir saldırının belirli bir göstergesini arıyormuşsunuz gibi düşünün. Örneğin: Mimikatz'ın bir uç noktada çalıştırıldığını tespit etmek.
2. Anormal davranış. Bu, yerleşik "normal" temel çizgisinden (genellikle bir tür makine öğrenimi kullanılarak) sapan davranış veya değişikliklere bakmakla ilgilidir.
3. Taktikler, teknikler ve prosedürler (TTP'ler). Bir sonraki bölümde TTP'leri derinlemesine inceleyeceğiz.

Gartner, kimliğe yönelik saldırıların TPP tabanlı tespitine odaklanılmasını önemle tavsiye ediyor. Hepsinin potansiyel değeri olmasına rağmen, IOC'lerin dar ve saldırganların yönlendirmesi kolay olduğunu ve anormal davranış tespitinin birçok yanlış pozitif sonuç verdiğini savunuyorlar.

Taktikler, teknikler ve prosedürler (TTP'ler)

Güvenlik savunması, yüksek riskli Taş, Kağıt, Makas oyununa benzer; saldırganın yalnızca bir kez haklı olması gerekirken, savunucuların her zaman haklı olması gereken bir oyundur. Bu amaçla, savunucuların "haklı" olmayı saldırganlar için mümkün olduğunca acı verici hale getirmesi önemlidir. Saldırganların taktikleri, teknikleri ve prosedürleri (TTP'ler), bu oyunu kazanmaya nasıl çalıştıklarını belirler.

Bir saldırganın TTP'lerine karşı savunma yapmak için savunmacıların bunları anlaması gerekir. Ancak TTP'leri "doğru soyutlama düzeyinde anlamak önemlidir. ” Yani TTP'lerin saldırıdan saldırıya çoğu zaman değişmeyen ortak unsurlarını anlamak.

Örneğin, Windows sürümüne ve mevcut güvenlik güçlendirmesine bağlı olarak bir Windows sunucusunun belleğinden kimlik bilgilerini ayıklamak için çeşitli teknikler vardır. Ancak kimlik bilgilerini atmak için kullanılan araçlara rağmen, soyut teknik aynıdır: Daha büyük ayrıcalığa sahip kimlik bilgilerini bellekten atarak yanal hareket yoluyla ayrıcalığı artırın.

Savunmacılar TTP'nin soyut doğasını anlarlarsa, saldırganın işi oldukça zorlaşacaktır. Önceki örneğe devam edersek, Mimikatz infazının belirli işaretlerini veya Chalumeau infazının işaretlerini vb. aramak yerine; savunmacılar, hem yüksek ayrıcalıklı hem de daha az ayrıcalıklı kullanıcılar tarafından oturum açmanın gerçekleştiği bilgisayarlara dikkat etmelidir. Yalnızca Mimikatz'ın yürütülmesini zorlaştıran kedi fare oyununa odaklanmayın, bunun yerine daha geniş kapsamlı İşletim Sistemi Kimlik Bilgisi Boşaltma TTP'sine odaklanın.

Bir TTP'nin nasıl tespit edileceğine dair bir hipotez oluşturmak bir savunmacının görevidir; bu hipotez, işe yaramayacak kadar geniş değil, ancak kolayca gözden kaçırılacak kadar da spesifik değildir. Neyse ki Mitre ATT&CK çerçevesi, gerçek dünya gözlemine dayalı, önceden tanımlanmış, endüstri standardında bir TTP bilgi tabanıdır. Bu araştırma grubu, savunuculara tespit hipotezlerini oluşturmaya başlamaları için sağlam bir temel sağlıyor.

TTP'leri Anlamak: Active Directory ile pratik örnekler

ITDR'ye daha derinlemesine bakmak ve TPP'lere dayalı tehditleri avlamak için yukarıdaki bağlantıları okumanızı şiddetle tavsiye ederim. ITDR ve TTP tabanlı kimlik tehdidi avcılığı, Active Directory'den çok daha fazlası olsa da, dünyada en çok kullanılan kimlik sistemlerinden biridir. İşletmelerin %95'inden fazlası Active Directory kullanıyor ve milyonlarca kişi kimlik doğrulama ve yetkilendirme sistemi olarak Entra ID'yi kullanıyor; bu nedenle birkaç TTP örneği vereceğim ve örnek olarak en çok benimsenen kimlik sistemi olan Active Directory'yi kullanacağım.

Sanırım bunu okuyorsanız, Active Directory'ye geçici bir aşinalıktan daha fazlasına sahip olduğunuzdan şüpheleniyorum, ancak sadece temellerimizi özetlemek gerekirse: Active Directory, Microsoft tarafından 1999 baharında piyasaya sürülen bir kimlik doğrulama ve yetkilendirme dizinidir. LDAP'yi temel alır, ancak birkaç eklemeyle: sıkı Windows istemci entegrasyonu, Kerberos kimlik doğrulaması ve Grup İlkesi sistem yönetimi. Active Directory şüphesiz en öne çıkan şirket içi kimlik platformudur. Güvenlik açısından daha masum bir çağda tasarlandığı için "olgunluğu" nedeniyle saldırganların hedefi olma eğilimindedir.

Active Directory'ye uygulanan iki Mitre TTP örneğine bakalım. Her TTP için iki hipotez geliştireceğiz; biri hedefi biraz kaçırdığını düşünüyorum, diğeri ise en azından benim görüşüme göre hedefe daha yakın.

Hipotez #1: İmtiyaz Yükseltmesi - T1098 Hesabının Manipüle Edilmesi

Varsayım: Bir saldırgan, üzerinde denetimi olan bir hesabı, Yöneticiler Active Directory grubunun bir üyesi haline getirecek şekilde yönlendirecektir.

Bir savunmacı olarak, bir saldırganın kullanabileceği TPP'leri anlamaya çalışıyoruz. Yukarıdaki hipotez fena değil. Saldırganların hesapları manipüle etmek için çeşitli tekniklere sahip olduğunu biliyoruz. Ayrıca Magic Hound gibi tehdit gruplarının ve ServHelper gibi yazılımların arka kapı kullanıcılarını Yöneticiler grubuna eklediğini de biliyoruz.

Ancak bu, bir saldırganın basit bir değişiklikten kolayca kaçınamayacağına dair daha geniş bir hipotez geliştirme ihtiyacının mükemmel bir örneğidir. Yönetici grubunun yeni üyeleri için bir uyarı yapılandırabiliriz ancak bu, bir Active Directory etki alanı üzerinde ayrıcalık verebilen tek Active Directory grubu değildir. Arka kapı kullanıcısını Etki Alanı Yöneticilerine, Kurumsal Yöneticilere vb. eklemek için Magic Hound'u değiştirmek basit olacaktır. Bundan daha da kötüsü, birçok kuruluşun Active Directory üzerinde kontrol uygulayabilen ve dolayısıyla bir saldırgan tarafından yararlanılabilen özel grupları vardır.

Başka bir deyişle, hipotezimiz çok spesifik ve çok kolay yönlendirilebiliyor.

Hipotezimizi tekrar deneyelim:

Varsayım: Bir saldırgan, üzerinde kontrol sahibi olduğu bir hesabı, Seviye 0 grubunun üyesi olacak şekilde yönlendirecektir.

Bu daha çok buna benziyor. Bu hipotezde, Active Directory'nin kendisi üzerinde kontrol sahibi olabilecek tüm grupları "Kademe 0" kategorisine sınıflandırıyoruz. Buna olağan şüpheliler de dahildir: Yöneticiler, Etki Alanı Yöneticileri, Kurumsal Yöneticiler ve diğer gruplar. Gruplara, temel Grup İlkesi Nesneleri üzerinde denetim devredildi. Etki Alanı Denetleyicileri grubu. Bunların hepsine iç içe üyelikler.

Grup tanımının tamamındaki değişiklikleri tespit edip uyarıda bulunarak, bu TPP'yi doğru soyutlama düzeyinde tutabiliriz.

Hipotez #2: Savunmadan kaçınma - T1484 alan adı politikasında değişiklik

Varsayım: Bir saldırgan, savunmalardan kaçınmak veya ayrıcalıkları yükseltmek için Grup İlkesini değiştirecektir.

Görünüşte bu başka bir sağlam hipotezdir. Grup İlkesi, başlangıcından itibaren Active Directory'ye entegre edilmiş ve her Active Directory kurulumunun bir parçası olan bir sistem yönetimi teknolojisidir. Active Directory'ye katılmış bir bilgisayarda Windows masaüstü arka planını ayarlamaktan sistem denetim günlüğü ilkesini değiştirmeye kadar hemen hemen her şeyi yapmak için kullanılabilir.

Saldırganların hem savunmadan kaçmak hem de ayrıcalıkları artırmak için Grup İlkesi'ni kullanmayı sevdiklerini de biliyoruz. Örneğin, Grup Politikasının kötüye kullanılması, Mango Sandstorm'un saldırılarında belirgin bir şekilde ortaya çıktı.

Hipotezimizin sorunu, çoğu kuruluşta Grup İlkesinde düzenli olarak meydana gelen çok sayıda iyi huylu değişikliğin olmasıdır. Herhangi bir tür Grup İlkesi manipülasyonunu ararsak, yararlı herhangi bir şeyi tespit edemeyecek kadar çok sayıda hatalı pozitif sonuçla karşılaşırız.

Ancak hipotezimizin kapsamını biraz daraltırsak:

Varsayım: Bir saldırgan, zamanlanmış görevler oluşturmak, yazılım yüklemek veya komut dosyalarını çalıştırmak için Grup İlkesini değiştirecektir.

Grup İlkesi'nin çok sayıda seçeneği vardır, ancak bunların çoğu saldırganın aradığı şey olmayacaktır. Güvenlik araştırmacıları, zamanlanmış görevin kötüye kullanılmasının bir Windows bilgisayarında kalıcılık sağlamak için en popüler tekniklerden biri olduğunu ve Grup İlkesi'nin zamanlanmış görevleri yapılandırmak için merkezi bir araç sağladığını belirtiyor. Her ne kadar o kadar popüler olmasa da, ciddi sorunlara yol açabilecek diğer birkaç politika ayarını da tespit etmek zor değil. Etki alanı politikalarında bu tür değişiklikleri aramak, çok sayıda hatalı pozitif sonuçla boğuşmadan, geniş bir yelpazedeki saldırıları tespit etmemizi sağlar.

Özetle

ITDR'deki TTP'lere ilişkin bu anlayışı anlamak ve kullanmak, kimlik tabanlı bir ihlali etkili bir şekilde tespit etmek ve buna yanıt vermek için önemli bir bileşendir. Savunmacıların, saldırgan davranışına ilişkin son derece spesifik göstergeler aramaktan saldırganın amacının ne olduğuna odaklanmaları gerekir. Örneğin Active Directory ile ne yapmak istiyorlar? Kalıcılık oluşturmak, ayrıcalıkları artırmak, savunmalardan kaçınmak mı? Daha sonra saldırganların bu hedeflere ulaşmak için kullanabileceği TTP'ler hakkında hipotezler geliştiriyoruz ve bu TTP'lerin araçtan araca ve teknikten tekniğe değişme olasılığı en düşük olan yönlerini arıyoruz. Bunu yapmak saldırganın işini çok daha zorlaştıracaktır.