Um Hacker zu fangen, die vom Land leben, braucht es mehr als nur Protokolle

Wenn Angreifer ein Remote Administration Tool (RAT) in Ihrem Netzwerk einsetzen können, wird es für sie viel einfacher. RATs machen es den Bösewichten luxuriös; Es ist, als wären Sie direkt in Ihrem Netzwerk. RATs können Tastenanschläge protokollieren, Bildschirme erfassen, eine RDP-ähnliche Fernsteuerung bereitstellen, Passwort-Hashes stehlen, Netzwerke scannen, nach Dateien suchen und diese wieder nach Hause hochladen. Wenn Sie also Angreifern den Einsatz von RATs verwehren können, haben Sie ihnen das Leben nur noch schwerer gemacht.

Wir werden immer besser darin, sogenannte Advanced Persistent Threats abzufangen, indem wir die Malware erkennen, die sie auf kompromittierten Systemen verbreiten. Wir können dies sagen, weil Experten sehen, dass mehr Angreifer „vom Land leben“. „Das Leben außerhalb des Landes bedeutet, dass ein Angreifer frei von Malware ist und sich stattdessen auf die Dienstprogramme, Skript-Engines, Befehlsshells und andere native Ressourcen verlässt, die auf Systemen verfügbar sind, über die er einen Einstiegspunkt erhält.

Da sie vom Land leben, bleiben sie viel unauffälliger. Sie werden nicht so stark durch Anwendungskontrolle und Whitelisting-Kontrollen gestoppt. Es gibt keine Malware, die von Antivirenprogrammen erkannt werden kann.

Und Windows stellt dieser Art von Angreifern zahlreiche native Ressourcen zur Verfügung. (Linux und UNIX tun das auch, aber ich konzentriere mich auf Windows, da Client-Endpunkte, auf die heutige Angreifer ursprünglich abzielten, meist unter Windows laufen.) Sie werden überrascht sein, wie viel Sie mit einfachen Batch-Dateien machen können, ganz zu schweigen von PowerShell. Und dann ist da noch WMI. Sowohl PowerShell als auch WMI bieten eine unglaubliche Menge an Funktionalität. Sie können auf Remote-Systeme zugreifen und grundsätzlich eine Schnittstelle zu jeder API des Betriebssystems herstellen. Sie können Netzwerkverbindungen öffnen, um „nach Hause zu telefonieren“, Server zu steuern und zu steuern und vieles mehr. Das sind alles Dinge, für die früher eine EXE- oder DLL-Datei erforderlich war. Jetzt können Sie im Grunde alles tun, was eine benutzerdefinierte EXE-Datei kann, ohne jedoch das Dateisystem zu berühren, auf dem so viele unserer aktuellen Sicherheitstechnologien basieren.

Wie verhindert man solche Angriffe? PowerShell verfügt über optionale Sicherheitseinschränkungen, die Sie implementieren können, um den API-Zugriff zu verhindern und die Skriptausführung auf signierte Skriptdateien zu beschränken. Bei WMI ist es nicht so klar. Offensichtlich spielen alle normalen Endpunktsicherheitstechnologien eine Rolle.

Aber konzentrieren wir uns auf die Erkennung. Es ist unmöglich, alles zu verhindern und jede Schwachstelle zu mindern. Daher können wir die Erkennung nicht vernachlässigen. Die Herausforderung bei der Erkennung von Angreifern, die auf dem Land leben, ist zweierlei. Die Aktivitäten, die Sie überwachen müssen:

1. Werden nicht in den Protokollen gefunden
2. Passieren auf Client-Endpunkten

Beides stellt große Herausforderungen dar. Lassen Sie uns zuerst über Nummer 1 sprechen. EIN. Ananth und ich beschreiben in „5 Indicators of Evil on Windows Hosts using Endpoint Threat Detection and Response“ die Arten von Aktivitäten, die Hinweise darauf geben, dass ein möglicher Angreifer außer Kontrolle geraten könnte. Ich empfehle Ihnen, sich diese Sitzung anzusehen, die voller guter technischer Tipps ist. Der Punkt ist jedoch, dass das, worauf Sie achten müssen, nicht im Windows-Sicherheitsprotokoll oder anderen Protokollen steht. Stattdessen erfordert die Erkennung eine Kombination aus Dateiscans, Konfigurationsprüfungen, Abfragen laufender Prozesse usw. - alles Dinge, die die Ausführung von Code auf dem lokalen System oder einen sehr leistungsstarken und komplexen Fernzugriff erfordern. Wenn wir nur über Server sprechen würden, könnten wir die Bereitstellung eines Agenten in Betracht ziehen. Aber um die heutigen Bedrohungen abzuwehren, müssen Sie überwachen, wo sie beginnen, nämlich auf den Client-Endpunkten - den Desktops und Laptops Ihrer Mitarbeiter. Und es gibt keine Möglichkeit, aus der Ferne in Echtzeit auf so viele Systeme zuzugreifen, selbst wenn man die technischen Hürden eines solchen Fernzugriffs überwunden hat. Übrig bleiben also Agenten, die immer einen gewissen Widerstand hervorrufen.

Aber es ist an der Zeit, sie nicht mehr als Agenten zu bezeichnen. Was wir heute an Endpunkten brauchen, sind Sensoren. Es ist ein subtiler, aber wichtiger Wandel in der Denkweise. In der physischen Welt versteht jeder den Bedarf an Sensoren und dass Sensoren dort eingesetzt werden müssen, wo der Zustand überwacht wird. Wenn Sie wissen möchten, wann jemand nachts Ihr Gebäude betritt, benötigen Sie einen Sensor an jeder Tür. Wenn Sie eine frühestmögliche Warnung erhalten möchten, dass Ihre Organisationen kompromittiert wurden, benötigen Sie einen Sensor an jedem Endpunkt.

Daher ermutige ich Sie, darüber nachzudenken und zu sprechen, wie Sie Ihre Endpunkte als Sensoren nutzen können und nicht als ein weiteres System, das einen Agenten erfordert. Und suchen Sie nach Sicherheitsanbietern, die dies verstehen. EventTracker hat großartige Arbeit geleistet und seinen Agenten zu einem leistungsstarken und unersetzlichen Endpoint-Sicherheitsagenten weiterentwickelt, der Dinge „sieht“, die auf andere Weise einfach nicht zu sehen sind.