搜索

[15525] 2020-06-22_手工打造基于ATT&CK矩阵的EDR系统

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-06-22_手工打造基于ATT&CK矩阵的EDR系统 手 工 打 造 基 于 A T T & C K 矩 阵 的 E D R 系 统 l a n g y a j i e k o u   F r e e B u f   2 0 2 0 - 0 6 - 2 2 E D R ,   终 端 检 测 响 应 系 统 ， 也 称 为 终 端 威 胁 检 测 响 应 系 统 终 端 检 测 响 应 系 统 ， 也 称 为 终 端 威 胁 检 测 响 应 系 统   ( E T D R ) ， 是 一 种 集 成 的 终 端 安 全 解 决 方 案 ， 它 将 实 ， 是 一 种 集 成 的 终 端 安 全 解 决 方 案 ， 它 将 实 时 连 续 监 控 和 终 端 数 据 采 集 与 基 于 规 则 的 自 动 响 应 和 分 析 功 能 结 合 在 一 起 ， 是 一 种 用 于 检 测 和 调 查 主 机 和 终 端 时 连 续 监 控 和 终 端 数 据 采 集 与 基 于 规 则 的 自 动 响 应 和 分 析 功 能 结 合 在 一 起 ， 是 一 种 用 于 检 测 和 调 查 主 机 和 终 端 上 的 可 疑 活 动 的 新 兴 安 全 系 统 ， 该 系 统 采 用 高 度 自 动 化 ， 使 安 全 团 队 能 够 快 速 识 别 ， 定 位 和 应 对 威 胁 。 上 的 可 疑 活 动 的 新 兴 安 全 系 统 ， 该 系 统 采 用 高 度 自 动 化 ， 使 安 全 团 队 能 够 快 速 识 别 ， 定 位 和 应 对 威 胁 。 E D R 系 统 的 主 要 功 能 是 : 1 .   监 视 和 收 集 可 能 存 在 威 胁 的 终 端 的 活 动 数 据 2 .   分 析 采 集 到 的 数 据 ， 通 过 威 胁 模 型 进 行 关 联 识 别 3 .   作 为 取 证 和 分 析 的 工 具 ， 以 研 究 锁 定 的 威 胁 和 搜 索 可 疑 活 动 在 未 有 系 统 地 部 署 E D R 产 品 的 企 业 中 将 很 明 显 地 缺 乏 针 对 未 知 病 毒 的 监 控 手 段 以 及 事 件 回 溯 的 能 力 和 工 具 ， 仅 依 靠 单 一 的 杀 毒 软 件 能 够 回 馈 到 的 信 息 是 极 为 有 限 的 ， 甚 至 乎 根 本 就 无 能 为 力 。 主 要 原 因 在 于 其 缺 乏 日 志 级 的 监 控 工 具 以 供 回 溯 ， 所 以 S Y S M O N 的 正 确 部 署 能 够 有 效 地 帮 助 应 急 人 员 快 速 地 定 位 并 处 理 病 毒 和 攻 击 事 件 ， 也 能 提 供 非 常 丰 富 的 事 件 回 溯 。 具 体 S Y S M O N 的 介 绍 和 使 用 我 这 里 就 不 再 详 述 了 ， 大 家 可 以 参 考 F r e e b u f 中 的 文 章 ， 已 经 有 大 量 篇 幅 详 细 地 介 绍 了 S Y S M O N 的 情 况 。 但 是 ， 想 要 用 好 S Y S M O N 其 实 并 不 是 一 件 非 常 轻 松 和 简 单 的 事 情 ， 它 的 背 后 必 定 要 有 一 个 强 大 的 平 台 和 一 个 强 大 的 团 队 。 平 台 即 为 大 数 据 分 析 平 台 ， 可 为 E L K ， 可 为 G r a y L o g ， 可 为 日 志 易 ， 也 可 以 为 S p l u n k 。 因 为 S p l u n k 的 优 秀 搜 索 能 力 和 人 性 化 的 操 作 界 面 ， F r e e b u f 中 也 介 绍 了 非 常 多 的 文 章 如 何 利 用 S p l u n k + S Y S M O N 进 行 日 志 分 析 ， 从 而 协 助 安 全 人 员 进 行 分 析 。
要 想 用 好 的 另 外 一 个 条 件 是 要 有 专 业 的 人 手 ， 能 够 帮 你 从 大 量 日 志 中 筛 选 出 病 毒 向 量 ， 攻 击 向 量 ， 并 结 合 一 定 的 I O C 规 则 定 义 成 各 种 报 警 ， 报 表 和 可 视 图 表 。 这 个 工 作 是 异 常 繁 琐 和 重 复 的 ， 需 要 不 定 期 的 修 改 和 调 整 从 而 能 涵 盖 更 多 的 攻 击 场 面 ， 时 间 长 了 ， 使 用 S p l u n k + S Y S M O N 的 纯 粹 使 用 者 将 会 产 生 报 警 免 疫 ， 从 而 有 可 能 漏 过 真 实 报 警 。 那 么 有 没 有 一 种 方 法 可 以 快 速 定 位 问 题 还 能 涵 盖 更 多 的 攻 击 面 呢 ？ 恰 恰 我 们 知 道 M I T R E A T T & C K 矩 阵 的 存 在 ， 这 个 编 排 了 几 乎 所 有 的 攻 击 可 能 载 体 的 矩 阵 图 ， 几 乎 市 面 上 所 有 的 S I E M 或 者 威 胁 检 测 供 应 商 都 已 经 开 始 将 他 们 的 产 品 对 准 M I T R E 的 A T T & C K 矩 阵 了 。 A T T & C K 矩 阵 在 F r e e b u f 里 面 也 是 有 如 明 星 帮 的 存 在 ， 太 多 话 题 提 到 了 ， 我 这 里 也 不 再 详 述 。 那 么 ， 我 们 是 不 是 有 可 能 将 S P L U N K + S Y S M O N + A T T & C K 关 联 起 来 ， 实 现 更 为 有 效 的 ， 更 为 简 单 的 I O C 的 编 写 和 侦 测 呢 ？ 确 实 ， 这 是 可 行 的 。 相 信 大 部 分 使 用 S Y S Y M O N 的 童 鞋 应 该 都 是 参 考 S w i f t O n S e c u r i t y 的 配 置 文 件 吧 ， 参 见 ： h t t p s : / / g i t h u b . c o m / S w i f t O n S e c u r i t y / s y s m o n - c o n f i g 但 是 ， 恰 恰 S w i f t O n S e c u r i t y 的 配 置 文 件 并 没 有 映 射 A T T & C K 矩 阵 ， 所 以 只 能 非 常 遗 憾 地 将 其 作 为 一 个 本 地 的 S Y S M O N 日 志 记 录 配 置 文 件 ； 而 另 外 一 位 大 佬 i o n - s t o r m ， 他 f o r k 的 T h r e a t I n t e l l i g e n c e   S I E M 的 S Y S M O N 配 置 文 件 却 刚 好 做 了 A T T & C K 矩 阵 的 映 射 ， 参 见 ： h t t p s : / / g i t h u b . c o m / i o n - s t o r m / s y s m o n - c o n f i g 。 如 此 ， 我 们 就 可 以 想 办 法 将 S P L U N K + S Y S M O N + A T T & C K 关 联 起 来 了 ， 很 可 惜 ， 这 位 大 佬 的 文 档 已 经 几 年 不 更 新 了 ， 所 以 他 的 配 置 文 件 需 要 自 行 修 改 。 而 与 此 同 时 ， 另 外 一 位 大 佬 o l a f h a r t o n g 编 写 了 “ s y s m o n - m o d u l a r ” ， 分 门 别 类 地 将 S Y S M O N 的 各 级 事 件 日 志 详 细 地 分 类 并 规 整 为 一 份 完 整 的 ， 系 统 的 A T T & C K 矩 阵 映 射 的 S Y S M O N 配 置 文 件 ， 参 见 ：
h t t p s : / / g i t h u b . c o m / o l a f h a r t o n g / s y s m o n - m o d u l a r ， 然 后 大 佬 再 开 发 了 一 个 名 为 ” T h r e a t H u n i n g ” 的 A P P 插 件 ， 参 见 ： h t t p s : / / g i t h u b . c o m / o l a f h a r t o n g / T h r e a t H u n t i n g ， 这 下 就 全 齐 活 了 。 插 件 可 以 在 S p l u n k b a s e 下 载 ， 参 见 ： h t t p s : / / s p l u n k b a s e . s p l u n k . c o m / a p p / 4 3 0 5 / ， 附 带 的 视 频 介 绍 非 常 清 晰 地 演 示 了 该 插 件 的 用 法 ， 参 见 ： h t t p s : / / y o u t u . b e / z c T r X P 7 s c T U 。 如 果 想 要 看 大 佬 对 S Y S M O N 的 演 讲 视 频 ， E n d p o i n t D e t e c t i o n   S u p e r   P o w e r s   i n   S p l u n k   D e m o ， 参 见 ： h t t p : / / w w w . i r o n g e e k . c o m / i . p h p ? p a g e = v i d e o s / d e r b y c o n 9 / s t a b l e - 3 6 - e n d p o i n t - d e t e c t i o n - s u p e r - p o w e r s - o n - t h e - c h e a p - w i t h - s y s m o n - o l a f - h a r t o n g 。 没 有 梯 子 的 同 学 就 只 能 看 我 搬 砖 过 来 的 P D F 文 件 了 ， 链 接 : h t t p s : / / p a n . b a i d u . c o m / s / 1 S g _ U 4 S t y B J a e l f k A U P l A t g 提 取 码 :   n d q x ， 这 份 P P T 我 就 不 翻 译 了 ， 因 为 P P T 已 经 是 非 常 简 洁 ， 清 晰 ， 漂 亮 的 一 份 指 南 ， 将 如 何 使 用 S P L U N K 结 合 S Y S M O N 映 射 A T T & C K 矩 阵 实 现 E D R 功 能 介 绍 的 清 清 楚 楚 。 当 装 好 了 T h r e a t H u n t i n g 插 件 后 ， 我 们 就 可 以 在 S P L U N K 中 启 用 这 个 A P P ， 如 下 图 所 示 ， 这 张 图 通 过 A T T & C K 的 映 射 一 一 展 现 了 系 统 被 命 中 的 威 胁 指 标 情 况 。 针 对 主 要 的 几 个 界 面 ， 我 简 单 的 做 下 介 绍 ： 这 个 页 面 将 主 要 做 数 据 追 踪 使 用 ， 将 计 算 机 ， 用 户 ， 文 件 创 建 ， 网 络 连 接 ， 管 道 ， 父 子 进 程 等 做 了 非 常 详 细 的 一 个 聚 合 ， 可 以 很 轻 易 的 将 你 关 心 的 数 据 信 息 呈 现 出 来 。 例 如 ： 该 主 机 分 析 面 板 上 将 主 机 的 所 有 活 动 进 程 进 行 聚 合 ， 可 以 非 常 清 晰 地 了 解 到 什 么 时 间 ， 什 么 用 户 ， 执 行 了 什 么 程 序 ， 什 么 参 数
是 否 检 测 到 了 M i m i k a t z 的 可 疑 加 载 又 有 哪 些 进 程 的 对 外 连 接 等 等 而 这 个 网 络 子 面 板 通 过 搜 索 源 目 标 和 目 的 目 标 可 以 构 建 一 张 描 叙 了 所 有 网 络 连 接 的 定 向 图 ， 显 示 了 所 有 的 网 络 通 信 流 量 所 记 录 到 的 主 机 这 张 将 显 示 D N S 申 请 ， 可 以 知 道 D N S 申 请 是 由 哪 台 机 ， 哪 个 进 程 发 起 的 等 等 。
同 样 ， 可 以 对 内 网 横 向 移 动 指 标 进 行 追 踪 ， 将 哪 些 文 件 宏 也 一 一 进 行 筛 选 ， 如 果 计 算 机 中 出 现 了 未 知 的 文 件 （ N e w l y o b s e r v e d h a s h e s ） ， 也 将 可 以 进 行 标 记 ， 从 而 判 断 是 否 属 于 病 毒 的 新 型 变 种 或 者 攻 击 者 使 用 的 某 种 新 型 工 具 等 等 。 列 出 宏 文 件 的 处 理 时 间 当 然 ， 使 用 S Y S M O N 必 然 会 有 很 多 噪 音 以 及 误 报 ， 所 以 需 要 大 量 的 人 力 去 进 行 配 置 的 维 护 和 规 则 的 处 理 ， 这 个 强 大 的 白 名 单 机 制 可 以 减 轻 大 量 的 人 工 操 作 ， 简 单 ， 快 捷 而 有 效 。
T h r e a t H u n t e r 的 功 能 非 常 强 大 和 实 用 ， 而 更 多 的 功 能 和 使 用 方 法 还 需 要 大 家 自 己 去 挖 掘 ， 如 果 有 条 件 ， 也 可 以 将 W i n d o w s 的 事 件 日 志 通 过 U n i v e r s a l F o r w a r d e r 发 送 给 S p l u n k ， 再 结 合 E v e n t I D . n e t 的 S P L U N K 插 件 即 可 实 现 事 件 日 志 审 计 ， 参 见 ： h t t p s : / / s p l u n k b a s e . s p l u n k . c o m / a p p / 3 0 6 7 / 最 终 ， 这 套 简 单 有 效 的 T h r e a t H u n t i n g 组 件 透 过 S Y S M O N 和 S P L U N K 轻 易 地 将 A T T & C K 矩 阵 映 射 成 为 实 际 可 用 的 一 套 E D R 系 统 ， 抛 弃 一 些 其 他 E D R 系 统 华 而 不 实 的 功 能 ， 专 注 于 威 胁 追 踪 ， 猎 杀 和 事 件 回 溯 ， 可 以 很 有 效 地 帮 助 企 业 提 升 对 抗 病 毒 ， 恶 意 攻 击 的 能 力 ! * 本 文 作 者 ： 本 文 作 者 ： l a n g y a j i e k o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理