「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」榮獲Computex Best Choice Award 金獎
產品與服務

【實務案例】實戰威脅狩獵所面臨的挑戰

2024.05.27Global Support & Service
Share:

資安人員的痛點及挑戰

威脅狩獵是一種主動的資安策略,其方法在於透過收集系統日誌及資料,發掘組織環境中的潛在威脅。
說來簡單,但在實務執行上卻困難重重-資安人員該如何在龐大的日誌中,有效率地找到潛在威脅?

本文將結合 TeamT5 多年的威脅偵測應變代管服務(Managed Detection Service)經驗,以及在實際場域中執行威脅狩獵時所面臨的瓶頸及其應對思路。最後也將分享常見的攻擊手法案例,使讀者能夠更好地理解威脅狩獵的運作方式,並思索強化資安部署,克服潛在威脅的挑戰。
在之前的部落格文章中,我們分享了威脅狩獵的概念、運作方式,以及如何透過威脅狩獵來強化企業組織的資安韌性。(延伸閱讀:什麼是威脅狩獵?
更精確地說,威脅狩獵是一個結構化的操作過程。根據 Sqrrl 團隊提出的 Threat Hunting Loop,威脅狩獵包含以下幾個主要階段:
image1_challenges-of-threat-hunting.png
圖片來源:NIST

提出假設 Hypotheses

資安人員根據自身知識和對場域架構的熟悉度,建立潛在威脅的假設,為威脅狩獵訂定方向。例如,假設某個使用套件可能存在安全漏洞。

執行調查 Investigate

匯集所有必要的資料後,資安人員根據場域設置行為規則和入侵指標 (IoC) 進行偵測,驗證先前提出的假設。

發掘蹤跡 Uncover

在調查階段識別出隱藏的惡意威脅後,進一步確認事件對整個場域的影響和範圍,解析對方的戰術、技術和程序 (TTPs)。

汲取經驗 Inform & Enrich

根據調查結果採取對應措施,例如將攻擊者使用的中繼站加入資安設備黑名單列表,或為套件進行安全性更新。並且,將這些應變措施的經驗納入日常維運工作中,防止未來遭遇類似的攻擊。
接著,持續重複這個過程。威脅狩獵不是一次性的工作,而是需要隨著攻擊活動的增加持續進行,甚至成為日常操作的一部分,才能不斷提升場域的防禦能力。



威脅狩獵的關鍵環節

在資料分類和提取有效內容的過程中,是整個狩獵過程中最重要(也是最痛苦)的任務。我們可以將這些原始資料分為不同階段(如下圖),每個階段對應的信心指數也各不相同:
images3_challenges-of-threat-hunting.png
  • 信心指數:低
這個階段大部分資料都是內部人員正常活動的紀錄,雖然無法直接幫助威脅狩獵,但可以作為基準點來判斷可疑指令是否為惡意操作。
  • 信心指數:中
經過初步篩選後資料量有所減少,但仍包含大量無法提供實質性幫助的資訊。由於數量龐大,資安人員需要花費更多時間進一步篩選,以找出潛在的威脅指標。
  • 信心指數:中高
進一步篩選後,資料開始顯現出一定的相關性,能提供有價值的線索。可根據這些較為集中且相關的資料進行初步調查,找出可能的威脅來源並進行分析。
  • 信心指數:高
最終階段的篩選結果是高度相關且有用的資料,能直接用於深入分析和尋找潛在威脅。人員可以利用這些具有高度信心指數的資料,進行深入調查和處理。透過逐步篩選出最重要的資訊,使得威脅狩獵的過程更加精準和高效。



從策略的角度來看,將威脅狩獵納入日常維運工作中確實是個好辦法,但實際上使用這方法的資安人員卻不多,為什麼呢?當我們面對平台上收集回來的大量資訊時,可能會發現以下問題:
  • 沒有足夠的時間:日常工作繁忙,人員沒有多餘的時間來分析和處理大量資料,難以主動進行威脅狩獵。
  • 沒有足夠的收斂性:資料大量呈現在畫面上,資安人員往往不知道從何處開始調查,缺乏清晰的指引和重點,導致調查工作難以進行。
  • 沒有足夠的資源:缺乏快速標示和分類每一筆資料屬性的方法,無法有效篩選和處理潛在威脅。

因此,使用符合狩獵需求的工具非常重要,這樣才能加速作業過程,而不僅僅是將資料收集回來。可以參考過去我們發表的威脅狩獵工具指南,文中使用由 TeamT5 所開發的 ThreatSonar,是以幫助資安人員有效地執行威脅狩獵所設計。(延伸閱讀:威脅狩獵工具 ThreatSonar 完整指南



實務案例

本章節與大家分享 TeamT5 團隊在真實場域中,如何透過威脅狩獵替客戶找到潛藏的攻擊者蹤跡。
Sysinternals、RDP 和 VPN 等工具程式在企業廣泛地被用來執行日常維運。然而,攻擊者也常利用這些工具程式進行惡意行為,因為這些工具程式通常具有合法的數位簽章,不會被防護軟體判斷為惡意程式,大幅降低攻擊行動被發現的機會。

關鍵步驟

在進行威脅狩獵時,我們會採取以下思路和方法,這些步驟將幫助我們更有效地確認標的:
  • 縮小調查範圍:根據威脅情報和可疑活動,鎖定重點目標,逐步縮小範圍,以便更專注地分析潛在威脅。我們的目標是將大量事件減少到可管理的範圍。
  • 觀察活動頻率:分析可疑活動的頻率,並與正常操作行為的頻率進行比對,以識別是否存在異常行為。
  • 進行樣本分析:深入分析樣本,確認可疑檔案和事件的來源及特徵。
  • 透過經驗判斷:根據對於場域環境的了解,識別異常行為的真實性及其潛在影響。



現在以 SoftEther VPN 為例,嘗試從真實場域中找出惡意濫用的行為。由於 SoftEther VPN 具備以下功能,使其成為攻擊者常用於場域中橫向移動的工具之一:
  • 具有合法數位簽章,有效避免防護軟體偵測
  • 具備 NAT 穿透防火牆(VPN-over-HTTPS)的功能

透過合法安裝的 SoftEther VPN,我們可以發現以下一些特徵:
  • 預設安裝路徑:C:\Program Files\SoftEther VPN Client
  • 詳細資料 - 公司:Co Soft Ether Vpn Project At University Of Tsukuba, Japan
  • 數位簽章名稱:Soft Ether Corporation
image2_challenges-of-threat-hunting.png

實際應用

接下來,我們將採取前面提到的思路和操作:
縮小調查範圍
首先,從資料集中找出可能為 SoftEther VPN 的檔案,並對已經具有屬性標籤的資料進行篩選。篩選條件如下:
  • 公司:Co Soft Ether Vpn Project At University Of Tsukuba, Japan
  • 數位簽章名稱:Soft Ether Corporation
發現了一個名為 conhost.exe 的檔案,數位簽章名稱正確,但檔案名稱似乎是異常的。
image4_challenges-of-threat-hunting.PNG
詳細檢視檔案性質後,發現 conhost.exe 的安裝路徑並非預設路徑,而是在 C:\Windows\IME\en-US\conhost.exe。這大幅提高了我們對於威脅狩獵結果的信心程度,但要如何證明它確實遭到惡意利用呢?
是否有其他更多的基準可以進行判斷?
觀察活動頻率
我們需要檢查該檔案是否在內部人員可能進行操作的時間被執行,或者是否在程式排程執行的固定時間執行。透過檢視事件時間軸,我們可以比對在這個時間點的前後,是否有異常登入、可疑指令執行、或可疑程序等事件。
檢查程式本身的建立時間,發現該檔案建立於 13:23,看起來十分合理。接著,比對這個時間的前後是否有異常執行紀錄,我們發現了以下資訊:
  • 2023-08-29 11:38:40 多次 Logon failure
    src:10.57.21.58 Source Workstation:WIN-QKASG1C5 Target User: Thomas
    src:10.57.21.58 Source Workstation:WIN-QKASG1C5 Target User: ldapower
  • 2023-08-29 12:40:22 Logon Successfully
    src:10.57.21.58 Source Workstation:WIN-QKASG1C5 Target User: useless
  • 2023-08-29 12:40:38 Start Service PsExec
    service image path: %SystemRoot%\PSEXESVC.EXE
  • 2023-08-29 13:27:24 Start Service SoftEther VPN
    service image path: "C:\windows\ime\en-us\conhost.exe" /service

透過經驗判斷
首先,有來源多次嘗試使用各個帳號登入失敗,最終在 12:40 登入成功,並嘗試執行 PsExec 服務。最後,在檔案建立後 (13:23),於 13:27 執行了 SoftEther 的服務。
基於以上觀察,我們有足夠的信心指出這個名稱為 conhost.exe 的 SoftEther VPN 檔案確實是遭到惡意利用的。

結語

在這篇部落格中,我們探討了如何通過威脅狩獵有效識別和應對潛在的惡意活動。 首先,我們介紹了合法工具程式被攻擊者濫用的情況,並強調這類型僅憑檔案存在難以識別其惡意行為。
我們採取了一系列步驟,包括縮小調查範圍、觀察操作頻率和進行樣本分析。以 SoftEther VPN 為例,我們發現了一個可疑的 conhost.exe 檔案,通過分析其建立時間和周邊活動,確定其具有惡意性。這一過程展示了威脅狩獵在真實場域中的有效性。
持續的威脅狩獵可以顯著提升企業的資安韌性,迅速應對新興威脅,減少攻擊者入侵帶來的損害。更多關於企業使用威脅狩獵的優勢,可以參閱 TeamT5 過去的部落格文章。
2024.05.27Global Support & Service
Share:

Related Post

為提供您最佳的服務體驗,本網站使用 Cookies。當您使用本網站,即表示您同意 Cookies 技術支援。更多資訊請參閱隱私權與Cookies使用政策。