이것은 중요 지표를 추적하는 방법을 보여주는 네 부분으로 구성된 블로그 시리즈의 마지막 부분입니다. 이 단계에서 Tanium SecOps 엔지니어 Greg Pothier는 사고에 대응하는 방법에 대해 논의하고, 평균 대응 시간에 대한 지침을 제공하며, 모든 비즈니스에서 빠른 대응 시간이 중요한 이유를 설명합니다.
당사는 보안 위생 관행에서 일상적으로 Tanium을 사용하여 방어 태세를 확대하고, 패치를 작업 및 프로세스로 사용합니다. 이렇게 하면 공격 표면이 줄어들고 균일한 환경이 조성됩니다.
하지만 잘한 일을 위해 뒤처진 자세를 취하기 전에 경계를 늦추지 않는 것이 중요합니다. 아시다시피, 공격자는 창의적입니다. 일단 네트워크에 들어오면 공개된 침해는 수개월 동안 탐지되지 않은 상태로 남아 있을 수 있음을 보여주었습니다.
침해의 영향과 비용은 공격자가 네트워크 내에 남아 있는 시간과 직접 관련이 있습니다. 결과적으로, 가능한 한 많은 복구 시간을 단축하는 것이 중요합니다. 보다 효율적이고 효과적인 삶을 만들기 위해 Tanium을 사용하여 초기 탐지 및 경고 프로세스를 최대한 자동화합니다. 이러한 자동 탐지는 잠재적인 악의적인 활동을 경고하며, 이 시점에서 대응 시간을 측정할 수 있습니다.
일반적인 공격 라이프사이클에는 세 가지 광범위한 단계가 있습니다.
- 초기 감염. 이는 공격자가 엔드포인트에서 악성 코드를 처음 성공적으로 실행하여 액세스 권한을 얻는 경우입니다.
- 지속성. 이는 공격자가 엔드포인트에 액세스하여 시스템 재부팅 전반에서 액세스를 유지할 수 있는 경우입니다.
- 측면 이동 및 목표 달성. 공격자는 원하는 곳에 착륙하는 경우가 거의 없습니다. 따라서, 일단 액세스하면 공격자는 일반적으로 해당 액세스를 사용하여 시스템에서 시스템으로 내부 이동하고, 결국 목표를 달성할 때까지 더 많은 데이터를 수집합니다.
다음은 Tanium을 사용하여 공격 라이프사이클의 각 단계에서 활동을 처리하는 방법의 예이며 각 단계에서 평균 대응 시간에 대한 기대치입니다.
초기 감염 단계: 악성 활동 포착
Tanium은 플랫폼입니다. 즉, 탐지 및 경고에서 범위 지정 및 조사로 즉시 전환할 수 있습니다. Tanium Trace를 사용하여 엔드포인트 에 연결하고 엔드포인트의 주요 포렌식 데이터에 대한 타임라인 기록 및 분석을 생성함으로써 모든 탐지 및 잠재적 초기 감염을 조사합니다. 이러한 포렌식 아티팩트에는 프로세스 실행, 파일 시스템 및 레지스트리 변경, 드라이버 로드, 보안 이벤트뿐만 아니라 기타 여러 관련 사용자 및 시스템 이벤트가 포함됩니다.
Tanium Trace는 엔드포인트가 온라인 상태인지 여부에 관계없이 엔드포인트 활동을 지속적으로 기록합니다. Trace를 사용하면 복잡한 공격 방법론을 기반으로 이상 및 의심스러운 이벤트에 대한 공격 패턴 탐지를 적용할 수 있습니다.
보다 일반적인 탐지 메커니즘의 예는 다음과 같습니다.
- 의심스러운 경로의 스크립트 파일
- Microsoft Office 매크로 멀웨어를 나타내는 프로세스 및 파일 이벤트 패턴
- 비정상적인 파일 유형을 생성하는 Adobe Acrobat Reader
- 명령 셸이 비정상적인 상위 응용 프로그램에 의해 생성되었습니다.
Trace에서 증거 아티팩트를 수집할 때 Tanium Detect를 사용하여 전체 엔터프라이즈에서 이러한 침해 지표(IOC)를 검색할 수 있습니다. Detect는 로컬 위협 탐지 저장소, TAXII 스트림 및 기타 위협 인텔리전스 피드를 포함한 다양한 소스에서 IOC를 수집합니다. Detect를 사용하면 엔드포인트의 상태를 기반으로 스캔을 맞춤화할 수 있으므로 권한이 있는 관리자가 있는 엔드포인트 운영 체제, 사용자 그룹 또는 시스템을 기반으로 정확한 타겟팅이 가능합니다.
Detect의 경우, 당사의 내부 보안 팀은 주요 평판 데이터베이스 서비스 및 Palo Alto Networks Wildfire (새 탭에서 열림)를 포함한 여러 외부 위협 데이터 소스에 가입합니다. TaniumConnect (새 탭에서 열림)를 통해 기본적으로 두 제품의 API와 협력하여 모든 실행 프로세스의 해시를 확인하고 수십 개의 바이러스 백신 엔진에 대해 자동으로 실행하고 드라이버를 로드할 수 있습니다. 악성 해시가 식별되면 즉시 경고를 받고 티켓이 자동으로 생성됩니다.
Detect 외에도 Tanium Core를 사용하여 모든 엔드포인트에서 임시적인 전사적 검색을 수행하여 유사한 지표가 다른 곳에 있는지 여부를 확인할 수 있습니다.
Tanium을 사용하여 감염된 엔드포인트를 복구하고, 결과에 따라 Tanium 작업을 배포하여 악성 실행 프로세스를 죽이고, 악성 응용 프로그램 및/또는 패치 (새 탭에서 열림) 를 현장에서 제거할 수 있습니다.
많은 사고 대응 조사가 이 시점에서 종료됩니다. 이 경우, 초기 탐지에서 복구까지 시간을 중지하고 프로세스가 얼마나 오래 걸렸는지 기록할 수 있습니다. 우리의 목표는 평균 복구 시간을 최대한 단축하는 것입니다.
지속성: 공격자가 공격하는 곳 찾기
Tanium은 독립 실행 파일, 비인가 서비스 DLL, 호스팅된 서비스 모듈 및 COM 구성 요소를 포함하여 일반적인 지속성 메커니즘을 모니터링하고 감지하는 다양한 방법을 제공합니다.
Tanium의 실시간 검색 및 스태킹을 통해 Windows Management Instrumentation(WMI) 및 예약된 작업과 같은 일반적인 공격자 방법을 통해 멀웨어 지속성 을 탐지할 때 헌팅 작업이 효율적이고 효과적일 수 있습니다. 또한 실시간 스태킹은 위협 헌팅의 중요한 구성 요소로서 모든 영구 메커니즘에 대한 이상치 분석을 제공합니다.
새로운 지속성 메커니즘이 검토되고, 악성으로 확인되는 경우 Tanium은 격리 작업을 배포하는 데 사용되며, 추가 분석 및 복구가 완료될 때까지 감염된 엔드포인트를 격리합니다.
이제 초기 감염이 억제되었으므로, 감염이 어떻게 발생했는지를 처음부터 확인해야 합니다.
Tanium Trace는 프로세스 실행을 분석하고, 관련 프로세스 트리 기록을 제공하고, 포렌식 증거를 활용하여 침해 지표를 생성하여 다음 질문에 답변하는 데 도움이 될 수 있습니다. 성공적인 지속성 방법을 시도했으며 다른 엔드포인트에서 성공했습니까?
당사는 IOC 또는 Yara 규칙을 연결하고 악의적인 활동의 증거를 찾기 위해 기업 전체에서 검색하여 Detect를 사용하여 자동 탐지 작업을 생성합니다. 첫 15 분 내에 초기 분류를 통해 범위 경고에 대응하고, 첫 1시간 내에 위의 방법을 사용하여 보다 상세한 정보를 수집하는 것을 목표로 합니다.
측면 이동 및 유출: 추적에서 공격자 차단
내부 이동 및 목표 달성 단계** 동안 Tanium을 사용하여 일반적인 공격자 도메인 정찰 기술을 탐지하고 이에 대한 경고를 생성합니다. 예를 들어, Tanium은 공격자 또는 심지어 비승인 내부자가 net.exe를 활용하여 사용자 계정 그룹을 검색하거나 심지어 새 사용자를 추가하려고 시도하는 것과 같은 가능한 악성 활동을 수행하려고 할 때 경고합니다.
Powershell은 공격자에게 가장 중요한 도구가 되었으며 Tanium을 사용하여 프로세스 트리, 명령줄 또는 HTTPS 연결을 검사하여 의심스러운 Powershell 동작을 쉽게 검색합니다. 당사는 psexec 원격 명령 실행, WMI 원격 명령 실행, 의심스러운 공유 장착 및 예약된 원격 작업을 포함하여 네트워크 유형 3 로그인을 모니터링하고 경고합니다. 많은 공격자는 주로 스텔스를 위해 메모리에 상주하는 도구를 사용하는 것을 선호하므로 Tanium Threat Response (새 탭에서 열림) 를 사용하여 전체 엔터프라이즈에서 엔드포인트 메모리를 신속하게 검사합니다.
유출을 시도하는 동안 공격자는 종종 데이터를 압축하여 파일 콘텐츠와 파일 이름을 암호화합니다. Tanium Index를 사용하여 이름, 경로, 해시 및 헤더 바이트를 포함하여 의심스러운 표시기가 있는 파일을 검색합니다. 따라서 공격자가 파일과 그 콘텐츠를 압축하고 암호화하려고 할 때 Tanium Index는 의심스러운 헤더 바이트 시퀀스를 포함하는 새로 생성된 파일을 알려줍니다.
잠재적인 내부 이동 또는 유출에 대응할 때 Tanium은 악의적인 활동을 복구하기 위해 즉각적인 조치를 취할 수 있는 몇 가지 옵션을 제공합니다. 높은 권한이 있는 로컬 계정을 강등 및/또는 삭제하고, 패키지를 배포하여 악성 프로세스를 차단하고, 손상된 사용자 자격 증명을 재설정하고, 승인되지 않은 연결/포트를 닫을 수 있습니다.
기업 전반에 걸쳐 엔드포인트를 심층 분석하는 기능을 기반으로 몇 초 안에 대규모로 탐지하는 이 워크플로는 평균 대응 시간을 목표 범위 내로 유지하며 공격자가 목표를 실행하기 전에 이를 포착할 수 있는 기능을 제공합니다. Tanium as a Platform을 사용하면 몇 초, 몇 분, 몇 시간 만에 작업을 수행할 수 있습니다. 일반적으로 사고 대응 팀은 며칠, 몇 주, 심지어 몇 달이 걸립니다.
네 부분으로 구성된 시리즈의 마지막 할부입니다. 1 부에서는 Tanium이 중요한 취약성을 추적하는 방법을 설명합니다. 파트 2_에서는 Tanium을 사용하여 중요한 규정 준수 지표를 추적하는 방법을 설명합니다. 3 부에서는 Tanium과 Splunk를 함께 사용하여 패치 관리 데이터를 제공하는 방법에 대해 이야기합니다. Tanium이 환경에 대해 동일한 측정을 시작하는 데 어떻게 도움이 되는지 보려면 지금 개념 증명 (새 탭에서 열림) 에 가입하십시오.*
자세히 보기:
저자 소개: Greg Pothier는 Tanium의 보안 엔지니어로, 보안 자동화, 데이터 분석, 침투 테스트 및 소프트웨어 개발 경험이 있습니다. Tanium 이전에 Greg은 여러 미국 인텔리전스 및 정부 기관에서 선임 엔지니어로 근무했습니다. Greg은 George Mason University에서 컴퓨터 과학 석사 학위를 취득했으며, NSA Information Assurance Cyber Scholarship을 수상했습니다.
