지금까지의 이야기
‘사냥하거나 사냥당하거나(Hunt or be Hunted)’ 시리즈는 줄곧 한 가지 유형의 이야기를 다루어 왔습니다. 바로 HuntIQ 위협 탐지 전문가가 고객사의 환경에 진입해 사냥 작전을 수행하고, 의미 있는 정보를 발견하는 이야기입니다. ShieldBreak. FalconFlank. RunMRU. 그 게시물들마다 우리는 계속해서 같은 질문을 받았습니다. “내 환경에서 이걸 어떻게 실행하나요?”
바로 그 점이 HuntIQ Tradecraft의 존재 이유입니다.
HuntIQ 트레이드크래프트란 무엇인가
HuntIQ Tradecraft는 TRC에 게시된 헌트 플레이북으로 구성된, 지속적으로 확장되고 있는 자료 모음입니다. 각 항목은 고객 환경에서 위협 탐지 작업을 직접 수행하는 위협 탐지 전문가들이 직접 작성한 것으로, 각 항목은 여러분이 자신의 인프라 환경에서 해당 조치를 실행하는 데 필요한 정보를 제공합니다:
- 가설 — 헌트 팀이 어떤 공격자의 행동을 찾고 있는지, 그리고 그 이유는 무엇인지.
- 센서 관련 질문 — 실행해야 할 정확한 Tanium 쿼리입니다.
- 필터링 기법 — 신호를 손실하지 않고 노이즈를 줄이는 방법.
- ATT&CK 매핑 — 이를 통해 기존 콘텐츠에서 이미 다루고 있는 내용과 비교해 볼 수 있습니다.
- 오탐 패턴 — 정상적인 활동임에도 의심스럽게 보일 수 있는 경우와 이를 구별하는 방법.
- 전제 조건 및 한계 — 이 검색이 제대로 작동하기 위해 충족되어야 할 조건과, 이 검색을 통해 알 수 있는 것과 알 수 없는 것.
마케팅 자료가 아닙니다. 플레이북. 방어 전문가들을 위해, 그들이 사용하는 언어로 작성되었습니다.
내용물의 몇 가지 예시
오늘 생방송:
- ‘볼륨’이 바로 단서일 때 — 경보 볼륨 자체가 단서가 되는 사냥. 패턴의 모습, 규칙 기반 탐지가 이를 놓치는 이유, 그리고 Tanium에서 이를 어떻게 파악하는지.
- Tanium 을 사용하여 사용자가 쓰기 권한이 있는 디렉터리에서 실행되는 서비스를 탐지하는 것 — 대부분의 SOC가 결코 탐지하지 않는 지속성 및 권한 상승 기법입니다. Tanium의 구체적인 센서 및 이를 노출시키는 쿼리.
앞으로 몇 주 동안 출시될 예정:
- 패치할 내용이 없을 때 TerminalFix를 찾는 방법 — KB 번호가 아닌 동작상의 수정 사항일 때 무엇을 찾아야 하는지.
- Tanium의 ‘ ’을 활용한 COM 하이재킹 및 CLSID 악용 탐지 — 대부분의 규칙 기반 탐지를 우회하는, 탐지 신호가 적으면서도 가치가 높은 지속성 기법입니다.
- 대체 데이터 스트림(ADS) 탐색 — 대부분의 도구가 검사하지 않는 NTFS의 숨겨진 영역.
- 의 DLL 사이드로딩 — 모두가 DLL을 로드하기 때문에 계속해서 효과가 있는 방어 회피 기법.
- WMI 이벤트 구독 지속성 — 일반적인 자동 실행 범위를 벗어난 정교한 공격자의 교두보.
- RunMRU를 활용한 인증 정보 유출 분석 — 사용자가 실제로 입력하는 곳을 추적하고, 이를 통해 원래 가설에서 예상했던 것 이상의 정보를 포착하는 방법.
이 카탈로그는 계속해서 확장될 것입니다. 고객 환경에서 제 몫을 다한 헌트라면, 결국 이곳으로 오게 될 것입니다.
HuntIQ 서비스가 적합한 분야
HuntIQ Tradecraft는 모든 Tanium 고객이 바로 익혀서 사용할 수 있는 솔루션입니다. HuntIQ라는 서비스는 바로 이 서비스를 개발한 사람들입니다.
HuntIQ를 도입하시면, 전문 위협 탐지 전문가들이 귀사의 Tanium 환경 내에서 귀사와 함께 직접 작업합니다. 그들은 HuntIQ Tradecraft에서 플레이북을 실행합니다. 이들은 귀하의 탐지 콘텐츠를 조정합니다. 그들은 공격자들이 해당 환경의 다른 곳에서 사용하고 있는 기법에 대응하여 새로운 탐지 규칙을 구축합니다. 그리고 이들은 Tanium의 자율 운영 체제인 ‘아틀라스(Atlas)’를 통해, 가설이 구체화되는 순간 관련 Tanium 기능을 모두 고객사의 전체 시스템에 걸쳐 동시에 배포합니다. 예전에는 분류, 범위 파악, 상관관계 분석, 차단 조치에 몇 시간이 걸리던 작업이 이제는 단 몇 분 만에 완료되며, 한 번의 클릭으로 승인할 수 있도록 체계적으로 정리된 결과가 제시됩니다.
Tanium 고객에게는 해당 기술 정보가 공개되어 있습니다. 판결이 곧 봉사입니다. 두 가지를 모두 원하신다면, 바로 HuntIQ가 그 해답입니다.
사용자 환경에서 HuntIQ Tradecraft를 활용하는 방법
- , help.tanium.com, (새 탭에서 열림),, 으로 이동한 후 HuntIQ Tradecraft로 이동하십시오.
- 자신이 가지고 있다고 확신하는 커버리지 공백에 맞춰진 플레이북을 선택하세요. 가설을 읽어보세요. 자신의 부동산에 대해 센서 관련 질문을 적용해 보십시오. 필터링 방법을 단계별로 적용해 보세요.
- 기존 콘텐츠에 대한 ATT&CK 매핑을 확인해 보세요. 이미 실행 중인 것 중 그 기법을 동일한 방식으로 처리하는 것이 없다면, 새로운 탐지 규칙을 추가해야 합니다.
- 저희 헌터들이 현재 파악하고 있는 정보를 바탕으로, 새로운 정보 수집 기법 관련 게시물이 정기적으로 올라올 예정이니 다시 방문해 주세요.
사냥을 시작하세요
- TRC에서 HuntIQ Tradecraft 플레이북을 읽어보세요. (새 탭에서 열림) (Tanium 고객용 TRC 접속 권한 필요).
- HuntIQ 서비스에 대해 알아보세요..
- Tanium 블로그에서 ‘ : Hunt or be Hunted’ 시리즈( )를 확인해 보세요. 이 시리즈에서는 보안 기법 뒤에 숨겨진, 고객 신원을 밝히지 않은 실제 사례들을 만나보실 수 있습니다.
