Télécharger pour lire hors ligne
Chasse aux menaces - Hackfest Decate (2018)
- 1. La chasse aux menacesest ouverte Hackfest Decade (2018)
- 2. Bon Matin !!! EricM. Gagnon @T3kn1cs 10+ années en sécurité défensive 9 ans chez Desjardins -Gestion Vulnérabilité -Surveillance -Cyber Threat Intel -Threat Hunting -OSCP, OSCE 2
- 3. La chasse auxmenaces est ouverte ◎Qu’est-ce que le Threat Hunting? ◎Pourquoi en avons nous besoin? ◎Les différents niveaux de maturité ◎Méthodologies et approches ◎Ressources pour débuter En espérant vous apprendre quelques astuces pour partir à la chasse. 3
- 4. 1. Threat Hunting Qu’est-ce quec’est? Bien plus qu’un simple ‘BuzzWord’ 4
- 5. “ Toujours partir del’idée que votre entreprise est déjà compromise 5
- 6. 2. Threat Hunting Pourquoi enavons nous besoin? 6
- 7. Pourquoi en avonsnous besoin? ◎Facilité de contournement des solutions de détections conventionnelles. ◎Attaques de plus en plus évoluées et furtives. ◎Sans TH, nous attendons qu’une alerte lance le processus de gestion d’incident. ◎La période de détection (dwell time) est beaucoup trop grande (101 jours). 7 https://www.fireeye.com/content/dam/collateral/en/mtrends-2018.pdf
- 8. En quoi leThreat Hunting peut aider? ◎Obviously, réduire le Dwell Time ◎Expertise lors de réponse en incident ◎Trouver les vieilles et mauvaises pratiques ◎Amélioration des systèmes de détection ◎Identifier les angles morts de surveillance ◎Développement de signature personnalisée (AV, IDS, règles Yara et Snort) ◎Découverte de nouveaux IOCs ◎Transforme le Threat Intel en actions 8
- 9. La Pyramide dela Torture (Pyramid of Pain) Complexité de collecte et implémentation des IOCs. Difficulté pour l’attaquant de modifier son attaque. 9 IOC = Indicator of Compromise TTP = Tactics, Techniques and Procedures
- 10. 3. Threat Hunting Les différentsniveaux de maturité 10
- 11. Niveau de maturitédu Threat Hunting Niveau 1 Initial Niveau 2 Minimal Niveau 3 Procédurale Niveau 4 Innovateur Niveau 5 Leader Ressources Analyste sécurité Analyste sécurité Threat Hunter à temps partiel Équipe dédiée au TH Équipe de R&D Processus Réponse aux alertes Recherche IOC TH Réactif Exercice de TH Ex: 1 sem/mois TH proactif TH récurrent Automatisation de l’analyse des données Talents Sécurité générale DFIR de base Utilisation EDR Pro. EDR Infrastructure et réseau Expert EDR Threat Intel Sécurité Offensive DFIR avancé Expert en mégadonnées et apprentissage machine 11
- 12. 4. Threat Hunting Méthodologies etapproches 12
- 13.
- 14. Différentes approches Tactiques et Techniques Hypothèsebasée sur la tactique, technique et procédure. Outil: Mitre Att@ck Ex: User-Agent Crown Jewels Hypothèse que votre système le plus important est compromis Outil: Script de compromission Ex: Powershell Situation Anormale Hypothèse qu’un comportement anormal signifie une compromission. Outil: Visualisation de données Ex: Logs DHCP 14
- 15. Tactiques Techniques Concentrer les recherchessur une technique documentée, soit provenant d’un article, d’une analyse d’APT, ou de Threat Intel 15
- 16.
- 17.
- 18. HUNT-User-Agent Malicieux User-Agent #UtilisateursType Fureteur Système d’exploitation Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77 Safari/537.36 1337 Fureteur Chrome 70.0.3538.77 Windows 10 Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/68.0.3440.106 Safari/537.36 70 Fureteur Chrome 68.0.3440.106 Windows 7 Mozilla/5.0 (X11; Linux x86_64; rv:60.0) Gecko/20100101 Firefox/60.0 2 Fureteur Firefox 60 Linux Go-http-client/1.1 1 Script Go-Lang N/A 18 http://www.useragentstring.com/
- 19. Crown Jewels Concentrer vos efforts surce qui est le plus payant pour les attaquants 19
- 20. Crown Jewel Cache decompatibilité (Shimcache) Liste de binaire exécuté -Binaire avec 3 caractères ou moins -Exec. de %TEMP% -Typo dans le nom -Binaires malicieux HKEY_LOCAL_MACHINESYSTEM CurrentControlSetControlSession ManagerAppCompatCache Exécution à distance (PsExec) EventID 7045 “A service was installed in the system.” 2 Secondes... EventID 4624 “An account was successfully logged on” Binaires téléchargés Obtient les binaires qui ont été téléchargés. Alternate NTFS Data Stream Zone.Identifier = 3 20 https://github.com/TonyPhipps/THRecon https://github.com/Infocyte/PSHunt
- 21. Situation anormale Concentrer vos recherches surles événements qui sortent de l’ordinaire 21
- 22. 22 HUNT - LogsDHCP
- 23. Tactiques et Techniques HoneyUser HoneyToken HoneyFiles HoneyServiceAccount HoneyCredentials HoneyAll The Things 23 (HoneyPots)
- 24.
- 25. “ Toujours partir del’idée que votre entreprise est déjà compromise 25
- 26. RESSOURCES (Twitter) #threathunting @HuntOperator -Austin Taylor @Lee_Holmes - Lee Holmes @attrc - Andrew Case @SqrrlData - Sqrrl @sansforensics - SANS DFIR @TommyPastry - Tom Pace @DavidJBianco - David J. Bianco @ThreatHuntProj - threathunting.net 26
- 27. RESSOURCES (Web) Enterprise Detection& Response – David J. Bianco http://detect-respond.blogspot.ca/ The ThreatHunting Project – David J. Bianco https://www.threathunting.net/ Digital Forensics and Incident Response – Andrew Case http://dfir.org/ Threat Hunting Academy Resource Page https://threathunting.org/ Malware Archaeology and Logging Best Practices https://www.malwarearchaeology.com/ Invoke IR – Jared Atkinson http://www.invoke-ir.com/ Matt Graeber http://www.exploit-monday.com/ ATT&CK Matrix https://attack.mitre.org/wiki/ATT&CK_Matrix https://car.mitre.org/caret/#/ Security + Big Data + Machine Learning Papers http://www.covert.io/#machine-learning-and-security-papers Security Datasets http://www.secrepo.com/ 27
- 28. Merci! Des questions? Vous pouvezme trouver ici: @t3kn1cs Eric.m.gagnon@gmail.com 28
Notes de l'éditeur
- #2 khf https://attack.mitre.org/ CARET https://attack.mitre.org/caret/#/
- #8 La première chose que les evils hackers apprennes dans leur carrière de hacking, est comment contourner le système de protection à l’école. Living of the Lands - Utilisent les logiciels signé par Microsoft déjà présent sur les systèmes pour mener leurs attaques DWELL TIME Selon étude de fireeye 2018 https://www.fireeye.com/content/dam/collateral/en/mtrends-2018.pdf
- #9 N’affecte pas le opération des analystes en sécurités en surveillance - Utilise les feeds d’intélligence de menace et les transformes en actions concrette! Permet de détecter des angles morts de nos outils de surveillance.
- #18 MITRE ATT&CK™ est une BASE DE DONNÉE des différente TACTIQUE et TECHNIQUE Basé sur des OBSERVATION d’ATTAQUES REEL. https://attack.mitre.org/ Scheduled Task Demo : https://attack.mitre.org/techniques/T1053/ CARET https://attack.mitre.org/caret/#/
- #19 http://www.useragentstring.com/
- #20 Enquête numérique sur vos systèmes les plus critiques -Scheduled Tasks Logs -Connections réseaux (Netstat /ano et Netstat –e –s) -DNS (ipconfig /displaydns) -Security Logs (events 4624 4625 4634 4648 4678) -Files (MAC Time, hash) -Processes, Tasklistmodules, Tasklistservices -Registry CurrentVersion -Registry Persistence -Registry Services -Registry UserProfiles -Network Routes -Whoami -WMI Service