Herausforderungen mit Threat Intelligence oder warum ein Honeynet eine gute Idee ist
Gemeinsame Bedrohungsinformationen sind ein attraktives Konzept. Die Guten tauschen Erfahrungen darüber aus, was die Bösen tun, und schwächen so Angriffe ab. Dazu gehören öffentlich-private Partnerschaften wie InfraGard, eine Partnerschaft zwischen dem FBI und dem privaten Sektor, die sich dem Austausch von Informationen und Geheimdienstinformationen widmet, um feindselige Handlungen gegen die USA zu verhindern.
Die Analogie kann zu Casinos gezogen werden, die über das Gaming Board oder das Griffin Book Informationen über Betrüger und ihre Eigenschaften untereinander austauschen. Wenn Sie die Informationen teilen, gewinnen alle außer dem Betrüger. Warum also nicht dasselbe auch für die Cybersicherheit?
Zum einen haben Sie es mit anonymen Gegnern zu tun, die zu schnellen Veränderungen fähig sind, im Gegensatz zum Casino-Analog, wo die Gesichtserkennung eine Person identifizieren kann, selbst wenn ihr Aussehen verändert ist. Auch das Verhalten der Casino-Betrüger ist tendenziell ähnlich (z. B. am Craps-Tisch sitzen oder beim Blackjack Karten zählen wie bei Rain Man). In der Welt der Cybersicherheit muss der Verteidiger lediglich die Art des Angriffs (Malware, Phishing, Ransomware), einen IP-Bereich und möglicherweise einen Domänennamen angeben. Die Kompromittierungsindikatoren (Indicators of Compromise, IOCs), die gemeinsam genutzt werden können, sind also Datei-Hashes, Domänennamen und Absender-E-Mail-Domänen, die sich alle in digitaler Geschwindigkeit vervielfachen und verändern. Bei der Größe und Geschwindigkeit des Internets ist es sehr schwierig, die IOCs global zu teilen.
Wenn die Guten außerdem die IOCs teilen, tun sie dies auf eine Art und Weise, die auch für die Bösen sichtbar ist (z. B. indem sie verdächtige Dateien auf Virus Total hochladen). Dies wird von den Bösewichten ausgenutzt, um den Fortschritt der Verteidiger zu kennen und so ihren Angriff anzupassen.
So was jetzt?
Eine Lösung besteht darin, lokale Bedrohungsinformationen mit einem Honeynet zu implementieren, einem Cyber-Abwehrprodukt, das Versuche von Angreifern vereitelt, Informationen über ein privates Netzwerk zu erlangen. Honeynets bestehen aus mehreren virtualisierten Lockvögeln, die strategisch über das Netzwerk verteilt sind, um böswillige Akteure anzulocken, und können Informationen über böswillige Aktivitäten im Netzwerk liefern. Diese Lösung ist wirksam, um böswillige Akteure, einschließlich Insider, anhand ihres Verhaltens in Ihrer Nachbarschaft zu identifizieren. In diesem Blog wird beschrieben, wie sie sich von Threat Intelligence unterscheiden.