MITRE ATT&CK
Jak wykryć ruch lateralny i beaconing C2
Ruch lateralny to przechodzenie atakującego z pierwszej przejętej maszyny na kolejne, zwykle przez logowanie skradzionymi poświadczeniami do usług zdalnych. Beaconing C2 (command-and-control) to przejęte oprogramowanie, które w regularnych odstępach melduje się na serwerze atakującego po instrukcje. Jedno i drugie musi przejść przez sieć, więc oba da się wykryć w ruchu sieciowym, nawet szyfrowanym: ruch lateralny jako nietypowe sesje między hostami w protokołach administracyjnych, beaconing jako stały rytm małych połączeń z jednym celem.
Fakt, od którego warto zacząć
We wspólnych wytycznych z 7 lutego 2024 r. CISA, NSA, FBI i agencje partnerskie ostrzegły, że atakujący „żyjący z zasobów ofiary” (living off the land) używają tych samych legalnych narzędzi co administratorzy, przez co ich działania wtapiają się w normalną pracę, i zaleciły utrzymywanie linii bazowych normalnej aktywności sieci, użytkowników i administratorów, by wychwytywać odstępstwa.
Jak je wykrywać
Cztery praktyki, które działają z każdym narzędziem i które NetSenX automatyzuje.
01Utrzymuj linię bazową tego, kto z kim się komunikuje
Ruch lateralny widać tylko na tle normy. Zapisz, które hosty zwykle łączą się z którymi serwerami i na jakich portach: stacja robocza, która nagle otwiera sesje SMB lub RDP do dziesięciu serwerów, wyraźnie odstaje od tej linii.
02Obserwuj ruch wschód–zachód, nie tylko brzeg sieci
Ruch między hostami w sieci LAN nigdy nie przechodzi przez firewall brzegowy. Umieść port SPAN lub TAP albo sensor w każdym segmencie, który musisz widzieć.
03Szukaj rytmu, nie treści
Beaconing widać jako połączenia z jednym celem w niemal stałych odstępach, często z małymi wiadomościami podobnej wielkości i niewielkim losowym jitterem. Czas i wolumen pozostają widoczne, gdy sesja jest szyfrowana.
04Koreluj zdarzenia między hostami
Kilka hostów wysyłających beacony do tej samej nowej domeny albo jeden host, który najpierw skanuje, a potem loguje się na przeskanowane maszyny, to silniejszy sygnał niż pojedyncze połączenie.
Mapowanie na MITRE ATT&CK
Nazwy i identyfikatory technik pochodzą od MITRE. Ostatnia kolumna podaje kategorię detekcji NetSenX, do której należy taki ruch; nie oznacza, że wykrywany jest każdy wariant techniki.
| Technika | Jak to wygląda w sieci | Detekcja NetSenX |
|---|---|---|
| T1046 Network Service DiscoveryDiscovery | Jeden host łączy się w krótkim czasie z wieloma adresami lub portami wewnętrznymi. | Skanowanie |
| T1021 Remote ServicesLateral Movement | Stacja robocza otwiera sesje SMB, RDP, SSH lub WinRM do serwerów albo innych stacji, z których nigdy wcześniej nie korzystała. | Ruch lateralny |
| T1071 Application Layer ProtocolCommand and Control | Małe, regularne połączenia z tym samym celem zewnętrznym przez HTTPS, dniem i nocą. | Beaconing C2 |
| T1573 Encrypted ChannelCommand and Control | Ten sam rytm wewnątrz TLS: czas, wolumen, cel i handshake są widoczne bez odszyfrowania. | Beaconing C2, z metadanych |
| T1041 Exfiltration Over C2 ChannelExfiltration | Host wysyłający beacony nagle przesyła tym samym kanałem dużo więcej danych na zewnątrz. | Nietypowy wolumen danych wychodzących |
| T1048 Exfiltration Over Alternative ProtocolExfiltration | Duże transfery wychodzące protokołem, którego host normalnie do tego nie używa. | Nietypowy wolumen danych wychodzących |
Co NetSenX robi już dziś
- Wykrywa skanowanie, ruch lateralny, beaconing C2 i nietypowy wolumen danych wychodzących na podstawie zachowania w sieci, w każdym planie, także Free.
- Od planu Pro łączy hosty w graf tego, kto z kim się komunikuje, więc skanowanie, po którym pojawiają się nowe sesje zdalne, albo kilka hostów wysyłających beacony do jednego celu układają się w jedną historię zamiast w rozproszone alerty.
- Podaje w alercie technikę MITRE ATT&CK, jeśli detekcja jej odpowiada, i pokazuje w widoku pokrycia, których technik dotyczą włączone detekcje.
- Analizuje ruch szyfrowany na podstawie czasu, wolumenu i celów, a od planu Starter także handshake'u TLS, nigdy go nie odszyfrowując. Handshake jest widoczny tylko tam, gdzie agent przechwytuje pakiety: na Linuksie lub jako czujnik na porcie SPAN albo TAP, nie w trybie podstawowym używanym na macOS.
Czego NetSenX nie robi
NetSenX widzi ruch lateralny tylko tam, gdzie przechodzi on przez monitorowany segment: sesja między dwoma hostami w niemonitorowanym segmencie albo działanie, które nie opuszcza jednej maszyny, są poza jego zasięgiem. Nie odczytuje treści szyfrowanych sesji, nie zastępuje reagowania na incydenty i nie twierdzi, że wychwytuje każdy wariant każdej techniki ATT&CK wymienionej na tej stronie.
Pytania kupujących
Czym jest ruch lateralny w cyberbezpieczeństwie?
Ruch lateralny to sposób, w jaki atakujący przechodzi z pierwszej przejętej maszyny na kolejne, zwykle ze skradzionymi poświadczeniami przez usługi zdalne, takie jak SMB, RDP, SSH czy WinRM. MITRE ATT&CK opisuje go jako taktykę TA0008; usługi zdalne to technika T1021.
Jak wykryć beaconing C2?
Szukaj hosta, który łączy się z tym samym celem zewnętrznym w niemal regularnych odstępach, przez całą dobę, wysyłając małe wiadomości podobnej wielkości. Ten wzorzec widać w danych o przepływach i logach firewalla, a także w ruchu szyfrowanym, bo czas, wolumen i cel nie są szyfrowane.
Czy ruch lateralny da się wykryć w ruchu szyfrowanym?
W dużej mierze tak: kto łączy się z kim, na jakim porcie, kiedy i ile danych przesyła, widać bez odszyfrowania. Ukryta pozostaje treść sesji, np. polecenia wysyłane w szyfrowanej sesji zdalnej.
Które techniki MITRE ATT&CK widzi detekcja sieciowa?
Te, które wytwarzają ruch między maszynami, np. Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) i Exfiltration Over C2 Channel (T1041). Techniki, które nie wychodzą poza jeden host, to zadanie narzędzi na urządzeniach końcowych.
Źródła
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.
Powiązane strony
Wypróbuj NetSenX we własnej sieci
Zacznij od planu Free dla maksymalnie 3 urządzeń albo umów 20-minutowe demo.