これは、重要な指標の追跡方法を説明する4部構成のブログシリーズの最終話です。 この小節では、Tanium SecOpsエンジニアのGreg Pothierが、インシデントへの対応方法、対応の平均時間に関するガイドライン、迅速な対応がすべてのビジネスにとって重要な理由について説明します。
当社はセキュリティ・ハイジーンの実践で日常的にTaniumを使用して、パッチ適用を アクション として、また プロセスとして、防御態勢をまとめています。 そうすることで、攻撃対象領域が縮小され、均一な環境が促進されます。
しかし、よくやったジョブのために背を向ける前に、注意を怠らないことが重要です。 ご存知のように、攻撃者は創造的です。一度ネットワークに侵入すると、一般に公開された侵害は、何ヶ月も検知されないままであることを示しています。
侵害の影響とコストは、攻撃者がネットワーク内に留まる時間の長さに直接関係します。 その結果、可能な限り修正するの平均時間を短縮することが非常に重要です。 私たちの生活をより効率的かつ効果的にするために、当社はTaniumを使用して、初期検知およびアラートプロセスのできるだけ多くを自動化します。 これらの自動検知は、悪意のある活動の可能性をアラートし、その時点で応答時間の測定を開始できます。
一般的な攻撃ライフサイクルには3つの広範なフェーズがあります。
- 初期感染。 これは、攻撃者がエンドポイントで最初に悪意のあるコードを実行してアクセス権を取得する場合です。
- Persistence。 攻撃者がエンドポイントへのアクセス権を取得し、システム再起動全体でアクセス権を維持できる場合です。
- ラ横方向の移動と目標達成。 攻撃者が望む場所に上陸することはめったにありません。 このため、攻撃者は通常、アクセスを取得すると、そのアクセスを使用してシステムからシステムへと横方向に移動し、最終的に目的を達成するまでより多くのデータを収集します。
以下は、攻撃ライフサイクルの各フェーズでのアクティビティに対処するためにTaniumをどのように使用するか、また各フェーズの平均対応時間に対する期待の例です。
初期感染フェーズ：悪意のあるアクティビティのキャッチ
Taniumはプラットフォームです。つまり、検知やアラートからスコーピング、調査まで、すべてを1つのコンソールからすぐにピボットることができます。 Tanium Trace を使用してエンドポイントConnectし、エンドポイント上の主要なフォレンジックデータのタイムライン記録と分析を作成することで、すべての検知と初期感染の可能性を範囲します。 これらのフォレンジックアーティファクトには、プロセスの実行、ファイルシステムおよびレジストリの変更、ドライバの読み込み、セキュリティイベント、その他いくつかの関連するユーザおよびシステムイベントが含まれます。
Tanium Trace は、エンドポイントのアクティビティを継続的に記録します。 エンドポイント Traceを使用すると、複雑な攻撃方法に基づいて、異常や疑わしいイベントに対する攻撃パターン検知を適用できます。
より一般的な検知メカニズムには、次のようなものがあります。
- 不審なパスのスクリプトファイル
- Microsoft Officeマクロマルウェアを示すプロセスおよびファイルイベントのパターン
- Adobe Acrobat Readerが異常なファイルタイプを作成する
- 異常な親アプリケーションによって生成されたコマンドシェル。
Traceからエビデンスアーティファクトを収集する際、Tanium Detectを使用して、企業全体のこれらの侵害インジケータ(IOC)を検索できます。 Detectは、ローカル脅威検知リポジトリ、TAXIIストリーム、その他の脅威インテリジェンスフィードなど、さまざまなソースからIOCを取り込みます。 Detectを使用すると、エンドポイントの状態に基づいてスキャンをカスタマイズし、エンドポイントのオペレーティングシステム、ユーザグループ、または特権管理者を持つシステムに基づいて正確な対象設定を行うことができます。
Detectの場合、社内のセキュリティチームは、大手レピュテーションデータベースサービスや Palo Alto Networks WildFire （新しいタブで開く）など、脅威情報いくつかの外部ソースに登録しています。 Tanium Connect (新しいタブで開く)を使用すると、両方の製品のAPIとネイティブに連携して、実行中のプロセス、オートラン、ロードされたドライバのハッシュを数十のウイルス対策エンジンと照合できます。 悪意あるハッシュが特定されると、直ちにアラートが発せられ、チケットが自動的に生成されます。
Detectに加えて、Tanium Coreを使用して、すべてのエンドポイントで企業全体のアドホック検索を実行するだけで、同様のインジケータが他の場所にあるかどうかを判断できます。
Taniumを使用して感染したエンドポイントを Tanium 処置し、Findingsに応じて、TaniumアクションDeployして、悪意のある実行中プロセスを強制終了し、悪用され得るアプリケーションをアンインストールし、エンドポイントにその場で パッチ (新しいタブで開く) を適用することができます。 修正する
多くのインシデント対応調査はこの時点で終了します。 その場合は、初期検知から修正までの時間を停止し、プロセスにかかった時間を記録できます。 当社の目標は、可能な限り修正するの平均時間を短縮することです。
Persistence: 潜んでいる攻撃者を見つける
Taniumは、スタンドアロンの実行可能ファイル、悪用され得るサービスDLL、ホストサービスモジュール、COMコンポーネントなど、 共通のメカニズムを監視およびDetectするさまざまな方法を提供します。
Taniumのリアルタイム検索とスタッキングにより、Windows Management Instrumentation (WMI)やスケジュール済みタスクなどの一般的な攻撃者メソッドを使用して マルウェアの永続性 を検知するハンティング操作を効率的かつ効果的に行うことができます。 リアルタイムスタッキングも脅威ハンティングコンポーネントの重要な要素であり、すべての永続的なメカニズムの異常分析を提供します。
新しい永続化メカニズムがレビューされ、悪意のあることが判明した場合は、Taniumを使用して 隔離 アクションDeployし、感染したエンドポイントをさらに分析して修正できるまで隔離します。
最初の感染が封じ込められたので、そもそも感染がどのように起きたかを判断する必要があります。
Tanium Traceは、プロセス実行 を分析し、関連するプロセスツリー履歴を提供し、フォレンジックエビデンスを活用して侵害の兆候を作成することで、次のQuestionに答えることができます。他のエンドポイントで成功した永続化メソッドが試みられ、成功しましたか？
IOCまたはYARAルールをプラグインし、企業で悪意ある活動の証拠を検索することで、Detectを使用して自動検知アクションを作成します。 当社は、最初の 15 分で最初のトリアージで範囲アラートに対応し、最初の1時間以内に上記の方法を使用してより詳細な情報を収集することを目指しています。
ラ横方向の移動とエクスフィルトレーション：攻撃者の軌道停止
横方向の移動と目標達成 フェーズ**では、Taniumを使用して、一般的な攻撃者ドメインの偵察技術Detectし、アラートを作成します。 たとえば例、攻撃者、あるいは悪用され得るインサイダーがnet.EXEを使用してユーザアカウントグループDiscoverしたり、新規ユーザを追加しようとしたりするなど、悪意ある活動を実行しようとすると、Taniumは警告します。
PowerShellは攻撃者のトップツールとなり、Taniumを使用して、プロセスツリー、コマンドライン、さらにはHTTPSConnectionsを調べることで、疑わしいPowerShellの動作を簡単に検索します。 当社は、psexecリモートコマンドの実行、WMIリモートコマンドの実行、不審な共有のマウント、スケジュールされたリモートタスクなど、ネットワークタイプ 3 のログインを監視およびアラートします。 多くの攻撃者は、ステルス用に主にメモリに存在するツールを使用することを好みます。そのため、Tanium Threat Response (新しいタブで開く) を使用して企業全体のエンドポイントメモリを高速に調査します。
流出の試みでは、攻撃者は多くの場合、ファイルを圧縮してファイルの内容とファイル名を暗号化します。 Tanium TaniumIndexを使用して、名前、パス、ハッシュ、ヘッダーバイトなどの不審なインジケータを持つファイルを検索します。 このため、攻撃者がファイルとそのコンテンツを圧縮および暗号化しようとすると、Tanium Indexは不審なヘッダーバイトシーケンスを含む新しく作成されたファイルを警告します。
ラ横方向の移動や流出の可能性に対応する際、Taniumは悪意のあるアクティビティ修正するするための即時アクションをプッシュするいくつかのオプションを提供します。 当社は、アクセス権限が昇格したローカルアカウントを降格および/または削除し、パッケージDeployして悪意のあるプロセスを強制終了し、侵害されたユーザ資格情報をリセットし、不正なConnections/ポートを終了することができます。
この検知ワークフローは、企業全体のエンドポイントにドリルダウン権限に基づいて、数秒でスケールに、目標範囲内に応答する平均時間を維持し、攻撃者が目的を実行する前に攻撃者を権限捕捉する能力を提供します。 Taniumはプラットフォームとして、数秒、数分、数時間で実行できます。通常、インシデント対応チームには数日、数週間、さらには数か月かかります。
これは、当社の4部構成シリーズの最後の分割です。 パート1では、Taniumで重要な脆弱性を追跡する方法Reveal。 パート2_では、Taniumを使用して重要なコンプライアンス指標を追跡する方法を説明します。 パート3では、TaniumとSplunkを一緒に使用してパッチ管理データを提供する方法についてお話します。 Taniumがお客様の環境に合わせて測定を開始する方法を確認するには、 今すぐ概念実証 (新しいタブで開く) にサインアップしてください。*
詳細を読む：
作成者について：Greg Pothierはセキュリティの自動化、データ分析、ペネトレーションテスト、ソフトウェア開発エクスペリエンスを持つTaniumセキュリティエンジニアです。 Taniumに入社する前は、いくつかの米国インテリジェンスおよび政府機関でシニアエンジニアを務めていました。 ジョージ・メイソン大学でコンピュータ科学のマスタ号を取得し、NSA情報保証サイバー奨学金を受賞しました。
