MITRE ATT&CK
Laterale beweging en C2-beaconing detecteren
Laterale beweging is een aanvaller die zich vanaf de eerste gecompromitteerde machine naar andere verspreidt, meestal door met gestolen inloggegevens in te loggen op diensten voor externe toegang. C2-beaconing (command-and-control) is gecompromitteerde software die met vaste tussenpozen contact opneemt met de server van de aanvaller voor instructies. Beide moeten over het netwerk, dus beide zijn in het netwerkverkeer te detecteren, ook als het versleuteld is: laterale beweging als ongebruikelijke sessies tussen hosts via beheerprotocollen, beaconing als een vast ritme van kleine verbindingen met één bestemming.
Het feit om mee te plannen
In een gezamenlijke handleiding van 7 februari 2024 waarschuwden CISA, NSA, FBI en partnerorganisaties dat aanvallers die 'living off the land' toepassen dezelfde legitieme tools gebruiken als beheerders, waardoor hun activiteit opgaat in de normale werking, en adviseerden ze baselines bij te houden van normale netwerk-, gebruikers- en beheeractiviteit om afwijkingen te zien.
Zo detecteert u ze
Vier werkwijzen die met elk hulpmiddel werken, en die NetSenX automatiseert.
01Houd een baseline bij van wie met wie praat
Laterale beweging is alleen zichtbaar tegen wat normaal is. Leg vast welke hosts gewoonlijk met welke servers verbinding maken en op welke poorten: een werkplek die plotseling SMB- of RDP-sessies opent naar tien servers, valt dan op.
02Kijk naar oost-westverkeer, niet alleen naar de rand
Verkeer tussen hosts binnen het LAN komt nooit langs de internetfirewall. Plaats een SPAN- of TAP-poort, of een sensor, in elk segment dat u moet zien.
03Zoek naar ritme, niet naar inhoud
Beaconing verschijnt als verbindingen met één bestemming met bijna vaste tussenpozen, vaak met kleine berichten van vergelijkbare grootte en wat willekeurige jitter. Tijdstippen en volume blijven zichtbaar als de sessie versleuteld is.
04Correleer over hosts heen
Meerdere hosts die naar hetzelfde nieuwe domein beaconen, of één host die eerst scant en daarna inlogt op de machines die hij scande, is een sterker signaal dan welke losse verbinding ook.
Gekoppeld aan MITRE ATT&CK
Namen en ID's van de technieken zijn die van MITRE. De laatste kolom noemt de detectiecategorie van NetSenX waaronder dit verkeer valt; dat betekent niet dat elke variant van de techniek wordt gezien.
| Techniek | Hoe het eruitziet op het netwerk | Detectie in NetSenX |
|---|---|---|
| T1046 Network Service DiscoveryDiscovery | Eén host die binnen korte tijd verbinding maakt met veel interne adressen of poorten. | Scans |
| T1021 Remote ServicesLateral Movement | Een werkplek die SMB-, RDP-, SSH- of WinRM-sessies opent naar servers of andere werkplekken die hij nooit eerder gebruikte. | Laterale beweging |
| T1071 Application Layer ProtocolCommand and Control | Kleine, regelmatige verbindingen met dezelfde externe bestemming via HTTPS, dag en nacht. | C2-beaconing |
| T1573 Encrypted ChannelCommand and Control | Hetzelfde ritme binnen TLS: tijdstippen, volume, bestemming en handshake blijven zichtbaar zonder ontsleuteling. | C2-beaconing, uit metadata |
| T1041 Exfiltration Over C2 ChannelExfiltration | Een host die beacons verstuurt en plotseling via hetzelfde kanaal veel meer data naar buiten stuurt. | Ongebruikelijk uitgaand datavolume |
| T1048 Exfiltration Over Alternative ProtocolExfiltration | Grote uitgaande overdrachten via een protocol dat de host daar normaal niet voor gebruikt. | Ongebruikelijk uitgaand datavolume |
Wat NetSenX vandaag doet
- Detecteert scans, laterale beweging, C2-beaconing en ongebruikelijk uitgaand datavolume op basis van netwerkgedrag, op elk abonnement, ook Free.
- Verbindt vanaf het Pro-abonnement hosts tot een graaf van wie met wie communiceert, zodat een scan gevolgd door nieuwe externe sessies, of meerdere hosts die naar één bestemming beaconen, als één verhaal verschijnen in plaats van als losse meldingen.
- Noemt in de melding de MITRE ATT&CK-techniek wanneer een detectie daarmee overeenkomt, en toont in een dekkingsoverzicht welke technieken uw actieve detecties afdekken.
- Analyseert versleuteld verkeer op basis van tijdstippen, volume en bestemmingen, vanaf het Starter-abonnement ook op basis van de TLS-handshake, en ontsleutelt het nooit. De handshake is alleen zichtbaar waar de agent pakketten vastlegt: op Linux of als sensor op een SPAN- of TAP-poort, niet in de basismodus op macOS.
Wat NetSenX niet doet
NetSenX ziet laterale beweging alleen waar die een bewaakt segment passeert: een sessie tussen twee hosts in een onbewaakt segment, of activiteit die binnen één machine blijft, valt buiten zijn zicht. Het leest de inhoud van versleutelde sessies niet, vervangt geen incidentrespons en beweert niet elke variant te zien van elke ATT&CK-techniek op deze pagina.
Vragen van kopers
Wat is laterale beweging in cybersecurity?
Laterale beweging is de manier waarop een aanvaller zich vanaf de eerste gecompromitteerde machine naar andere verspreidt, meestal met gestolen inloggegevens via diensten zoals SMB, RDP, SSH of WinRM. MITRE ATT&CK beschrijft het als tactiek TA0008; Remote Services is techniek T1021.
Hoe detecteer je C2-beaconing?
Zoek naar een host die met bijna regelmatige tussenpozen, de klok rond, verbinding maakt met dezelfde externe bestemming en daarbij kleine berichten van vergelijkbare grootte stuurt. Het patroon is zichtbaar in flowdata en firewalllogs, ook bij versleuteld verkeer, omdat tijdstip, volume en bestemming niet versleuteld zijn.
Is laterale beweging te detecteren in versleuteld verkeer?
Grotendeels wel: wie met wie verbinding maakt, op welke poort, wanneer en hoeveel data er gaat, is zichtbaar zonder ontsleuteling. Verborgen blijft de inhoud van de sessie, zoals de opdrachten in een versleutelde externe sessie.
Welke MITRE ATT&CK-technieken ziet netwerkdetectie?
De technieken die verkeer tussen machines veroorzaken, bijvoorbeeld Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) en Exfiltration Over C2 Channel (T1041). Technieken die binnen één host blijven, zijn voor endpointtools.
Bronnen
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
Deze pagina is algemene informatie en geen juridisch advies. Controleer uw verplichtingen bij uw nationale toezichthouder of uw juridisch adviseur.
Gerelateerde pagina's
Probeer NetSenX op uw eigen netwerk
Begin met het Free-abonnement voor maximaal 3 apparaten, of boek een demo van 20 minuten.