MITRE ATT&CK
Laterale Bewegung und C2-Beaconing erkennen
Laterale Bewegung heißt, dass sich ein Angreifer vom ersten kompromittierten Rechner auf weitere ausbreitet, meist durch Anmeldungen mit gestohlenen Zugangsdaten an Remote-Diensten. C2-Beaconing (Command-and-Control) heißt, dass kompromittierte Software sich in regelmäßigen Abständen beim Server des Angreifers meldet, um Anweisungen abzuholen. Beides muss über das Netzwerk laufen, also lässt sich beides im Netzwerkverkehr erkennen, auch wenn er verschlüsselt ist: laterale Bewegung als ungewöhnliche Sitzungen zwischen Hosts über Administrationsprotokolle, Beaconing als gleichmäßiger Takt kleiner Verbindungen zu einem Ziel.
Der Fakt, mit dem Sie planen sollten
In einer gemeinsamen Handreichung vom 7. Februar 2024 warnten CISA, NSA, FBI und Partnerbehörden, dass Angreifer, die „von den Ressourcen des Opfers leben“ (Living off the Land), dieselben legitimen Werkzeuge wie Administratoren verwenden und ihre Aktivität deshalb im normalen Betrieb untergeht. Sie empfahlen, Baselines der normalen Netzwerk-, Benutzer- und Administratoraktivität zu führen, um Abweichungen zu erkennen.
So erkennen Sie beides
Vier Praktiken, die mit jedem Werkzeug funktionieren und die NetSenX automatisiert.
01Eine Baseline führen, wer mit wem spricht
Laterale Bewegung wird erst vor dem Hintergrund des Normalen sichtbar. Halten Sie fest, welche Hosts sich üblicherweise mit welchen Servern über welche Ports verbinden: Ein Arbeitsplatzrechner, der plötzlich SMB- oder RDP-Sitzungen zu zehn Servern öffnet, fällt vor dieser Baseline auf.
02Ost-West-Verkehr beobachten, nicht nur den Perimeter
Verkehr zwischen Hosts im LAN läuft nie über die Internet-Firewall. Setzen Sie einen SPAN- oder TAP-Port oder einen Sensor in jedes Segment, das Sie sehen müssen.
03Auf den Takt achten, nicht auf den Inhalt
Beaconing zeigt sich als Verbindungen zu einem Ziel in nahezu konstanten Abständen, oft mit kleinen, gleich großen Nachrichten und etwas zufälligem Jitter. Zeitpunkte und Volumen bleiben sichtbar, auch wenn die Sitzung verschlüsselt ist.
04Über Hosts hinweg korrelieren
Mehrere Hosts, die dieselbe neue Domain anfunken, oder ein Host, der erst scannt und sich dann an den gescannten Rechnern anmeldet, sind ein stärkeres Signal als jede einzelne Verbindung.
Zugeordnet zu MITRE ATT&CK
Namen und IDs der Techniken stammen von MITRE. Die letzte Spalte nennt die Erkennungskategorie von NetSenX, zu der dieser Verkehr gehört; sie bedeutet nicht, dass jede Variante der Technik erkannt wird.
| Technik | Wie es im Netzwerk aussieht | Erkennung in NetSenX |
|---|---|---|
| T1046 Network Service DiscoveryDiscovery | Ein Host verbindet sich in kurzer Zeit mit vielen internen Adressen oder Ports. | Scans |
| T1021 Remote ServicesLateral Movement | Ein Arbeitsplatzrechner öffnet SMB-, RDP-, SSH- oder WinRM-Sitzungen zu Servern oder anderen Rechnern, die er nie zuvor genutzt hat. | Laterale Bewegung |
| T1071 Application Layer ProtocolCommand and Control | Kleine, regelmäßige Verbindungen zum selben externen Ziel über HTTPS, Tag und Nacht. | C2-Beaconing |
| T1573 Encrypted ChannelCommand and Control | Derselbe Takt innerhalb von TLS: Zeitpunkte, Volumen, Ziel und Handshake bleiben ohne Entschlüsselung sichtbar. | C2-Beaconing, aus Metadaten |
| T1041 Exfiltration Over C2 ChannelExfiltration | Ein Host, der Beacons sendet, schickt plötzlich über denselben Kanal viel mehr Daten nach außen. | Ungewöhnliches ausgehendes Datenvolumen |
| T1048 Exfiltration Over Alternative ProtocolExfiltration | Große ausgehende Übertragungen über ein Protokoll, das der Host dafür normalerweise nicht nutzt. | Ungewöhnliches ausgehendes Datenvolumen |
Was NetSenX heute leistet
- Erkennt Scans, laterale Bewegung, C2-Beaconing und ungewöhnliches ausgehendes Datenvolumen anhand des Netzwerkverhaltens, in jedem Plan, auch im Free-Plan.
- Verknüpft ab dem Pro-Plan Hosts zu einem Graphen, wer mit wem kommuniziert. Ein Scan mit anschließenden neuen Remote-Sitzungen oder mehrere Hosts, die dasselbe Ziel anfunken, erscheinen so als eine Geschichte statt als verstreute Alarme.
- Nennt im Alarm die Technik aus MITRE ATT&CK, wo eine Erkennung ihr entspricht, und zeigt in einer Abdeckungsansicht, welche Techniken Ihre aktiven Erkennungen abdecken.
- Analysiert verschlüsselten Verkehr anhand von Zeitpunkten, Volumen und Zielen, ab dem Starter-Plan auch anhand des TLS-Handshakes, und entschlüsselt ihn nie. Der Handshake ist nur sichtbar, wo der Agent Pakete mitschneidet: unter Linux oder als Sensor an einem SPAN- oder TAP-Port, nicht im Basismodus unter macOS.
Was NetSenX nicht leistet
NetSenX sieht laterale Bewegung nur dort, wo sie ein überwachtes Segment durchläuft: Eine Sitzung zwischen zwei Hosts in einem nicht überwachten Segment oder Aktivität, die einen Rechner nie verlässt, liegt außerhalb seiner Sicht. Es liest keine Inhalte verschlüsselter Sitzungen, ersetzt keine Incident Response und behauptet nicht, jede Variante jeder hier genannten ATT&CK-Technik zu erkennen.
Fragen von Käufern
Was ist laterale Bewegung in der Cybersicherheit?
Laterale Bewegung ist der Weg, auf dem sich ein Angreifer vom ersten kompromittierten Rechner auf weitere ausbreitet, typischerweise mit gestohlenen Zugangsdaten über Remote-Dienste wie SMB, RDP, SSH oder WinRM. MITRE ATT&CK führt sie als Taktik TA0008; Remote Services ist die Technik T1021.
Wie erkennt man C2-Beaconing?
Achten Sie auf einen Host, der sich in nahezu regelmäßigen Abständen rund um die Uhr mit demselben externen Ziel verbindet und dabei kleine Nachrichten ähnlicher Größe schickt. Das Muster zeigt sich in Flow-Daten und Firewall-Logs, auch bei verschlüsseltem Verkehr, denn Zeitpunkte, Volumen und Ziel sind nicht verschlüsselt.
Lässt sich laterale Bewegung in verschlüsseltem Verkehr erkennen?
Weitgehend ja: Wer sich mit wem verbindet, über welchen Port, wann und wie viele Daten fließen, ist ohne Entschlüsselung sichtbar. Verborgen bleibt der Inhalt der Sitzung, etwa die Befehle in einer verschlüsselten Remote-Sitzung.
Welche Techniken aus MITRE ATT&CK sieht Netzwerkerkennung?
Die, die Verkehr zwischen Rechnern erzeugen, zum Beispiel Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) und Exfiltration Over C2 Channel (T1041). Techniken, die einen Host nie verlassen, sind Sache von Endpunkt-Werkzeugen.
Quellen
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
Diese Seite dient der allgemeinen Information und ist keine Rechtsberatung. Klären Sie Ihre Pflichten mit Ihrer nationalen Behörde oder Ihrer Rechtsberatung.
Verwandte Seiten
NetSenX im eigenen Netzwerk testen
Starten Sie mit dem Free-Plan für bis zu 3 Geräte oder buchen Sie eine 20-minütige Demo.