การตรวจสอบประเภทและตัวอย่างเหตุการณ์ด้านความปลอดภัย (2023)

การเข้าใจว่าเหตุการณ์หนึ่งเป็นเหตุการณ์ที่เกิดขึ้นจริงหรือไม่ ทำให้ฉันนึกถึงสำนวนทั่วไปที่ว่า “ฉันรู้เมื่อเห็นมัน” ซึ่งมีชื่อเสียงโดยสจ๊วตผู้พิพากษาศาลฎีกาสหรัฐ เขาหมายถึงความลามกอนาจารมากกว่าการตอบสนองต่อเหตุการณ์ แต่ความเข้าใจผิดทั่วไปที่ว่า "รู้เมื่อคุณเห็น" มักจะทำให้เกิดภัยพิบัติต่อผู้เผชิญเหตุที่ตั้งใจดีที่สุด

ความจริงที่ไม่สบายใจคือคุณอาจไม่รู้เมื่อเห็น เพราะเครื่องมือและเทคนิคล่าสุดของผู้โจมตีนั้นมีลักษณะลับๆ ล่อๆ มากขึ้นเรื่อยๆ และมักจะซ่อนตัวอยู่ในสายตา เคล็ดลับคือการดูเครือข่ายและการดำเนินงานของคุณจากมุมมองของผู้โจมตี โดยมองหาตัวบ่งชี้หลักและพื้นที่ที่เปิดเผยก่อนที่จะถูกโจมตี และทั้งหมดนี้ขึ้นอยู่กับว่าคุณจะทำ Triage เหตุการณ์ได้อย่างมีศิลปะเพียงใด

โดยทั่วไปจะใช้ในชุมชนทางการแพทย์ Triage ที่มีประสิทธิภาพช่วยชีวิตโดยช่วยให้บุคลากรทางการแพทย์ฉุกเฉินประเมินความรุนแรงของบาดแผลหรือความเจ็บป่วยอย่างรวดเร็ว และสร้างโปรโตคอลที่ถูกต้องตามลำดับที่ถูกต้อง เพื่อลดการบาดเจ็บและรักษาสุขภาพของผู้ป่วยและการฟื้นตัว ท่ามกลางวิกฤตที่ทุกวินาทีมีค่า

ในบทนี้ เราจะมอบเครื่องมือเพื่อสร้างความสามารถของคุณในการคัดแยกประเภทเหตุการณ์ด้านความปลอดภัยข้อมูล คุณจะได้เรียนรู้วิธีระบุเหตุการณ์ด้านความปลอดภัยประเภทต่างๆ โดยทำความเข้าใจว่าการโจมตีเกิดขึ้นได้อย่างไร และวิธีรับมืออย่างมีประสิทธิภาพก่อนที่จะตกไปอยู่ในมือ

เวที:

1) การลาดตระเวนและการสืบสวนสอบสวน

เป้าหมายของผู้โจมตี:

• ค้นหาเป้าหมาย
• พัฒนาแผนการโจมตีตามโอกาสในการแสวงหาผลประโยชน์

เวที:

2) การจัดส่งและการโจมตี

เป้าหมายของผู้โจมตี:

• วางกลไกการจัดส่งออนไลน์
• ใช้วิศวกรรมสังคมเพื่อชักจูงให้เป้าหมายเข้าถึงมัลแวร์หรือการแสวงประโยชน์อื่นๆ

เวที:

3) การแสวงหาประโยชน์และการติดตั้ง

เป้าหมายของผู้โจมตี:

• ใช้ประโยชน์จากช่องโหว่ในระบบเป้าหมายเพื่อรับการเข้าถึง
• ยกระดับสิทธิ์ของผู้ใช้และติดตั้งเพย์โหลดการคงอยู่

เวที:

4) การประนีประนอมของระบบ

เป้าหมายของผู้โจมตี:

• กรองข้อมูลมูลค่าสูงอย่างเงียบๆ และรวดเร็วที่สุด
• ใช้ระบบที่ถูกบุกรุกเพื่อรับการเข้าถึงเพิ่มเติม "ขโมย" ทรัพยากรคอมพิวเตอร์ และ/หรือใช้ในการโจมตีผู้อื่น

ประเภทเหตุการณ์:

กิจกรรมการสแกนพอร์ต* (เหตุการณ์ก่อนหน้า)

ด่าน Kill Chain:

การลาดตระเวนและการสืบสวนสอบสวน

ระดับความสำคัญ:

ต่ำ

การดำเนินการที่แนะนำ:

ละเว้นเหตุการณ์ส่วนใหญ่เหล่านี้ เว้นแต่ว่า IP ต้นทางมีชื่อเสียงไม่ดี และมีหลายเหตุการณ์จาก IP เดียวกันนี้ในกรอบเวลาเล็กๆ

เคล็ดลับโบนัส: Open Threat Exchange® ของ AlienVaultเป็นวิธีที่ดีในการตรวจสอบคะแนนชื่อเสียงของ IP

ประเภทเหตุการณ์:

การติดเชื้อมัลแวร์

ด่าน Kill Chain:

การจัดส่งและการโจมตี

ระดับความสำคัญ:

ต่ำ-กลาง

การดำเนินการที่แนะนำ:

แก้ไขการติดมัลแวร์โดยเร็วที่สุดก่อนที่จะดำเนินการ สแกนเครือข่ายที่เหลือของคุณเพื่อหาตัวบ่งชี้การบุกรุกที่เกี่ยวข้องกับการแพร่ระบาดนี้ (เช่น แฮช MD5)

ประเภทเหตุการณ์:

การปฏิเสธการให้บริการแบบกระจาย

ด่าน Kill Chain:

การใช้ประโยชน์ & การติดตั้ง

ระดับความสำคัญ:

สูง

การดำเนินการที่แนะนำ:

กำหนดค่าเว็บเซิร์ฟเวอร์เพื่อป้องกันคำขอฟลัด HTTP และ SYN ประสานงานกับ ISP ของคุณระหว่างการโจมตีเพื่อบล็อก IP ต้นทาง

ประเภทเหตุการณ์:

การปฏิเสธการให้บริการแบบกระจาย

ด่าน Kill Chain:

การใช้ประโยชน์ & การติดตั้ง

ระดับความสำคัญ:

สูง

การดำเนินการที่แนะนำ:

บางครั้งมีการใช้ DDoS เพื่อเบี่ยงเบนความสนใจจากการพยายามโจมตีที่รุนแรงกว่าครั้งอื่น เพิ่มการตรวจสอบและตรวจสอบกิจกรรมที่เกี่ยวข้องทั้งหมด และทำงานอย่างใกล้ชิดกับ ISP หรือผู้ให้บริการของคุณ

ประเภทเหตุการณ์:

การเข้าถึงโดยไม่ได้รับอนุญาต

ด่าน Kill Chain:

การใช้ประโยชน์ & การติดตั้ง

ระดับความสำคัญ:

ปานกลาง

การดำเนินการที่แนะนำ:

ตรวจจับ ตรวจสอบ และตรวจสอบความพยายามในการเข้าถึงโดยไม่ได้รับอนุญาต โดยให้ความสำคัญกับภารกิจที่สำคัญและ/หรือมีข้อมูลที่ละเอียดอ่อน

ประเภทเหตุการณ์:

การละเมิดภายใน

ด่าน Kill Chain:

การประนีประนอมของระบบ

ระดับความสำคัญ:

สูง

การดำเนินการที่แนะนำ:

ระบุบัญชีผู้ใช้ที่ได้รับสิทธิพิเศษสำหรับโดเมน เซิร์ฟเวอร์ แอป และอุปกรณ์ที่สำคัญทั้งหมด ตรวจสอบให้แน่ใจว่าเปิดใช้งานการตรวจสอบสำหรับทุกระบบและสำหรับเหตุการณ์ของระบบทั้งหมด และตรวจสอบให้แน่ใจว่ามีการป้อนโครงสร้างพื้นฐานการตรวจสอบบันทึกของคุณ (เครื่องมือ USM หรือ SIEM ของคุณ)

ประเภทเหตุการณ์:

การเพิ่มระดับสิทธิ์โดยไม่ได้รับอนุญาต

ด่าน Kill Chain:

การใช้ประโยชน์ & การติดตั้ง

ระดับความสำคัญ:

สูง

การดำเนินการที่แนะนำ:

กำหนดค่าระบบที่สำคัญของคุณเพื่อบันทึกเหตุการณ์การยกระดับสิทธิพิเศษทั้งหมด และตั้งค่าการเตือนสำหรับความพยายามในการยกระดับสิทธิ์โดยไม่ได้รับอนุญาต

ประเภทเหตุการณ์:

การโจมตีทำลายล้าง

ด่าน Kill Chain:

การประนีประนอมของระบบ

ระดับความสำคัญ:

สูง

การดำเนินการที่แนะนำ:

สำรองข้อมูลและระบบที่สำคัญทั้งหมด ทดสอบ จัดทำเอกสาร และอัปเดตขั้นตอนการกู้คืนระบบ ระหว่างที่ระบบถูกบุกรุก - รวบรวมหลักฐานอย่างระมัดระวัง และจัดทำเอกสารขั้นตอนการกู้คืนทั้งหมด ตลอดจนข้อมูลหลักฐานทั้งหมดที่รวบรวมได้

ประเภทเหตุการณ์:

ภัยคุกคามต่อเนื่องขั้นสูงหรือการโจมตีหลายขั้นตอน

ด่าน Kill Chain:

ทุกขั้นตอน

ระดับความสำคัญ:

สูง

การดำเนินการที่แนะนำ:

เหตุการณ์เอกพจน์รายการใดรายการหนึ่งที่ระบุไว้ในที่นี้อาจเป็นส่วนหนึ่งของเหตุการณ์ด้านความปลอดภัยประเภทที่เลวร้ายที่สุดเท่าที่จะจินตนาการได้… APT ที่น่าสะพรึงกลัว สิ่งสำคัญคือการดูแต่ละเหตุการณ์ผ่านบริบทที่ใหญ่ขึ้น ซึ่งเป็นเหตุการณ์ที่รวมข้อมูลภัยคุกคามล่าสุด (ดูด้านล่างสำหรับข้อมูลเพิ่มเติมเกี่ยวกับความต้องการข่าวกรองภัยคุกคาม)

ประเภทเหตุการณ์:

สัญญาณเตือนที่ผิดพลาด

ด่าน Kill Chain:

ทุกขั้นตอน

ระดับความสำคัญ:

ต่ำ

การดำเนินการที่แนะนำ:

งานส่วนใหญ่ของผู้เผชิญเหตุถูกใช้ไปกับการกำจัดข้อมูลที่ไม่เกี่ยวข้องและลบผลบวกลวง คุณจะต้องปรับจูนวิทยุของการตรวจสอบความปลอดภัยอย่างต่อเนื่องเพื่อให้ได้สัญญาณที่ถูกต้อง

ประเภทเหตุการณ์:

อื่น

ด่าน Kill Chain:

ทุกขั้นตอน

ระดับความสำคัญ:

สูง

การดำเนินการที่แนะนำ:

การตอบสนองเหตุการณ์คือระเบียบวินัยของการปรับปรุงอย่างต่อเนื่อง เมื่อคุณเห็นว่าเหตุการณ์กลายเป็นเหตุการณ์มากขึ้นเรื่อยๆ คุณจะค้นพบวิธีใหม่ๆ ในการจัดหมวดหมู่เหตุการณ์เหล่านั้น รวมถึงวิธีใหม่ๆ ในการป้องกันไม่ให้เหตุการณ์นั้นเกิดขึ้นตั้งแต่แรก

เว้นแต่ว่าโครงสร้างพื้นฐานของคุณจะคงที่และไม่มีการเปลี่ยนแปลง ช่องโหว่และความเสี่ยงใหม่ ๆ จะถูกสร้างขึ้นตลอดเวลา

กระบวนการจัดการด้านไอทีและการรักษาความปลอดภัยที่ดีจะพยายามอย่างเต็มที่เพื่อลดสิ่งเหล่านี้ให้เหลือน้อยที่สุด แต่นักวิเคราะห์ด้านความปลอดภัยยังคงต้องตระหนักถึงสิ่งเหล่านี้เพื่อวางสิ่งอื่นๆ ในบริบท

การเปลี่ยนแปลงการกำหนดค่าที่ไม่คาดคิดกับระบบสามารถเปิดเผยได้เมื่อฝ่ายที่ไม่เป็นมิตรเข้าควบคุมระบบผ่านข้อมูลประจำตัวและวิธีการที่ถูกต้อง

ตัวเลือกการกำหนดค่าจำนวนมากเกี่ยวข้องกับมาตรฐานการปฏิบัติตามข้อกำหนดบางประการ การแจ้งเตือน (หรือการรายงาน) เกี่ยวกับสิ่งเหล่านี้เป็นวิธีที่ดีกว่าในการจัดการมากกว่าการรอให้ตรวจพบในระหว่างการตรวจสอบครั้งต่อไปของคุณ

คุณไม่สามารถทำการรักษาความปลอดภัยเพียงแค่มองหาการโจมตีและการแสวงหาผลประโยชน์ คุณต้องตรวจสอบสิ่งที่เกิดขึ้นบนเครือข่ายของคุณและรู้ว่าระบบที่คุณปรับใช้

ไปที่บทที่ 4 เครื่องมือตอบสนองเหตุการณ์