Black Hat Asia 2025: Innovatie in het SOC

redactie
Cisco
april 25, 2025
0 Reacties

Black Hat Asia 2025: Innovation in the SOC

Cisco is vereerd om partner te zijn van de Black Hat NOC (Network Operations Center), als de officiële Security Cloud Provider. Dit was ons 9e jaar dat we Black Hat Asia ondersteunden.

We werken samen met andere officiële providers om de hardware, software en ingenieurs te leveren die nodig zijn om het Black Hat-netwerk te bouwen en te beveiligen: Arista, Corelight, MyRepublic en Palo Alto Networks.

De primaire missie in de NOC is netwerkweerbaarheid. De partners bieden ook geïntegreerde beveiliging, zichtbaarheid en automatisering, een SOC (Security Operations Center) binnen de NOC.

Op schermen buiten de NOC gaven partnerdashboards deelnemers de kans om het volume en de beveiliging van het netwerkverkeer te bekijken.

Cisco trad in 2016 toe tot de Black Hat NOC als partner om geautomatiseerde malware-analyse te bieden met Threat Grid. De bijdragen van Cisco aan het netwerk- en beveiligingsbeheer evolueerden, met de behoeften van de Black Hat-conferentie, om meer componenten van de Cisco Security Cloud te omvatten.

Wanneer de partners zich klaarmaken voor elke conferentie, richten we in drie dagen een eersteklas netwerk- en beveiligingsoperatiecentrum in. Onze primaire missie is netwerkbeschikbaarheid, met betere geïntegreerde zichtbaarheid en automatisering. Black Hat heeft de keuze uit tools uit de beveiligingsindustrie en geen enkel bedrijf kan zijn weg kopen naar de NOC. Het is alleen op uitnodiging, met als doel diversiteit in partners en de verwachting van volledige samenwerking.

Als een NOC-team bestaande uit veel technologieën en bedrijven, innoveren en integreren we voortdurend om een algehele SOC-cyberbeveiligingsarchitectuuroplossing te bieden. 10: Black Hat automatiseringsscherm

Workflows Beschrijving

Met behulp van de Splunk Search API: Maak of Update XDR Incident

Fig. 11: Workflows voor XDR-incidentcreatie vanuit Splunk

Deze workflows zijn ontworpen om elke vijf minuten uit te voeren en de Splunk Cloud-instantie te doorzoeken naar nieuwe logs die voldoen aan bepaalde vooraf gedefinieerde criteria. Als er nieuwe logs zijn gevonden sinds de laatste run, worden de volgende acties uitgevoerd voor elk van hen:

Maak een waarneming in XDR private intelligence, inclusief verschillende informatie die nuttig is voor analyse tijdens een incidentonderzoek (bijv. bron-IP, bestemmings-IP en/of domein, bestemmingspoort, geautoriseerde of geblokkeerde actie, pakketpayload, enz.). Deze waarschuwingen kunnen vervolgens worden gebruikt om een incident te maken of bij te werken (zie volgende stappen), maar ook om het onderzoek van de analist te verrijken (XDR Investigate) zoals andere geïntegreerde modules.

Link de waarneming aan een bestaande of nieuwe dreigingsindicator

Maak een nieuw XDR-incident aan of werk een bestaand incident bij met de nieuwe waarneming en MITRE TTP.
- Om een bestaand incident bij te werken, maakt de workflow gebruik van de hieronder beschreven methode, waardoor de analist een volledig beeld krijgt van de verschillende stadia van een incident, en kan identificeren of het potentieel deel uitmaakt van een Trainingslab (meerdere Assets die dezelfde acties uitvoeren):
  - Als er een XDR-incident is met dezelfde observeerbaren die verband houden met dezelfde indicator, werk dan het incident bij.
  - Zo niet, controleer dan of er een XDR-incident is met dezelfde observeerbaren en alleen als het observeerbare type IP of Domein is, werk dan het incident bij.
  - Zo niet, controleer of er een XDR-incident bestaat met hetzelfde doelasset, werk dan het incident bij.
  - Zo niet, maak een nieuw incident aan.

Incident weergave — **Fig. 12**: Voorbeeld van incident gemaakt door de workflow

25: Hoog niveau overzicht van de workflow

Samenvoegen XDR-incident

Cisco XDR maakt gebruik van verschillende geavanceerde technieken om een keten van aanvallen te identificeren en verschillende gerelateerde beveiligingsdetecties samen te voegen in één incident. Soms kan echter alleen het eigen onderzoek van de analist de link tussen de twee onthullen. Het was belangrijk voor analisten om de optie te hebben om, wanneer ze deze link ontdekken, meerdere incidenten samen te voegen tot één en de eerder gegenereerde incidenten te sluiten.

We hebben deze workflow met dat in gedachten ontworpen.

Tijdens de identificatiefase kan de analist deze uitvoeren vanuit de “incident samenvoegen” taak in het Incident playbook van een van hen.

**Fig. 26**: Initieel incident vóór de samenvoegingsactie

Tijdens uitvoering worden analisten gevraagd om de observatieven te selecteren die deel uitmaken van het huidige incident waarin ze willen zoeken naar andere incidenten die ze bevatten.

**Fig. 28**: Selecteer observaties bij taakuitvoering

Vervolgens zoekt de workflow in XDR naar andere incidenten met dezelfde observaties en meldt de gevonden incidenten in de notities van het huidige incident.

Vervolgens worden analisten via een prompt uitgenodigd om te beslissen en de criteria aan te geven op basis waarvan ze de samenvoeging zouden willen baseren.

De prompts bevatten:

Alle incidenten – Accepteer de lijst van gevonden incidenten en voeg ze allemaal samen
Handmatige lijsten van incidenten – Voer handmatig de identificatie van de incidenten in die u wilt samenvoegen; de lijst kan de identificatie van een incident bevatten dat is ontdekt door de workflow of een ander incident dat is ontdekt door de analist
Samenvoegen in een nieuw incident of In het meest recente
Sluit andere incidenten – Ja/Nee

Vervolgens haalt de workflow alle informatie uit het geselecteerde incident en creëert een nieuw incident met al deze informatie (of bijwerkt het meest recente incident).

**Fig. 31**: Nieuw incident na samenvoeging

Om het leven van onze bedreigingsjagers rijker te maken met meer context van onze en onze partners’ tools, hebben we Splunk Enterprise Security Cloud geïntroduceerd op het laatste Black Hat Europe 2024-evenement om detecties van Cisco XDR, Secure Malware Analytics, Umbrella, ThousandEyes, Corelight OpenNDR en Palo Alto Networks Panorama in te laden en te visualiseren in functionele dashboards voor executive rapportage. De Splunk Cloud-instantie was geconfigureerd met de volgende integraties:

Cisco XDR en Cisco Secure Malware Analytics, met behulp van de Cisco Security Cloud-app
Cisco Umbrella, met behulp van de Cisco Cloud Security App voor Splunk
ThousandEyes, met behulp van de Splunk HTTP Event Collector (HEC)
Corelight, met behulp van de Splunk HTTP Event Collector (HEC)
Palo Alto Networks, met behulp van de Splunk HTTP Event Collector (HEC)

De ingeladen data voor elk geïntegreerd platform werd gedeponeerd in hun respectievelijke indexes. Dat maakte gegevenszoekopdrachten voor onze bedreigingsjagers overzichtelijker. Zoeken naar gegevens is waar Splunk uitblinkt! En om dat allemaal te laten zien, werden belangrijke gegevens uit deze dataset omgezet in verschillende dashboards in Splunk Dashboard Studio. Het team gebruikte het SOC-dashboard van het laatste Black Hat Europe 2024 als basis en verbeterde het. Het aanvullende werk bracht meer informatieve widgets met zich mee die de SOC-dashboard opsplitsen in de volgende 4 gebieden voor gestroomlijnde rapportage:

1. Incidenten

Splunk Incidenten — **Fig. 32**: Incidenten dashboard

2. DNS

3. Netwerkinbraak

Splunk Netwerkinbraak — **Fig. 34**: Netwerkinbraak-dashboard

4. Netwerkmetrieken

Splunk Netwerkmetrieken — **Fig. 35**: Netwerkmetrieken-dashboard

Met als doel voor ons op Black Hat een ‘SOC binnen een NOC’ te zijn, waren de executive dashboards een weerspiegeling van het samenbrengen van netwerk- en beveiligingsrapportage. Dit is heel krachtig en zal worden uitgebreid bij toekomstige Black Hat-evenementen, om meer functionaliteit toe te voegen en het gebruik ervan uit te breiden als een van de primaire consoles voor onze bedreigingsjagers, evenals rapportagedashboards op grote schermen in het NOC.

Bedreigingsjagershoek

Geschreven door: Aditya Raghavan en Shaun Coulter

In de Black Hat Asia 2025 NOC, werkte Shaun de ochtenddiensten en Aditya de middagdiensten zoals gebruikelijk. In tegenstelling tot eerdere jaren hadden beide jagers veel konijnenholen om in te duiken en kwamen ze terecht op een plek van “betrokken vreugde” voor beiden.

Activiteiten met betrekking tot malware die zou worden geblokkeerd op een bedrijfsnetwerk, moeten worden toegestaan, binnen de grenzen van de Black Hat Gedragscode.

Vissen met malware: Wie heeft de vis gevangen?

Alles begon met ongebruikelijke netwerkactiviteit die afkomstig was van een apparaat in een laboratoriumklas. Gebeurt dat niet altijd?

“Kijk verder dan het eindpunt.”

Een gezegde dat dagelijks tot leven komt op Black Hat

Er werd een apparaat gevonden dat verbinding maakte met een website die als verdacht werd aangemerkt door dreigingsinlichtingssystemen. Vervolgens werd deze website benaderd via een direct IP-adres, wat nogal ongebruikelijk is. En om het allemaal af te maken, wisselde het apparaat inloggegevens uit in platte tekst.

Klinkt als uw typische phishing-incident, en het deed de wenkbrauwen van onze jagers fronsen. De initiële hypothese was dat een apparaat was gecompromitteerd in een phishing-aanval. Gezien de aard van het verkeer – bi-directionele communicatie met een bekende verdachte website – leek dit op een klassiek geval van een phishing-exploit. We gebruikten Cisco XDR om deze detecties te correleren in een incident en de betrokken verbindingen te visualiseren.

**Fig. 36**: Mogelijk succesvol scherm voor phishing

Zoals blijkt uit de onderstaande screenshot, startte een detectie van Corelight OpenNDR voor mogelijke phishing dit op. Verder onderzoek onthulde vergelijkbare verkeerspatronen van andere apparaten binnen de conferentiezaal, dit keer op het algemene Wi-Fi-netwerk ook.

**Fig. 37**: Corelight OpenNDR-detecties

De bestemming voor al deze apparaten, 139.59.108.141, was door alphaMountain.ai dreigingsinlichtingen aangemerkt als verdacht.

Dankzij de geïmplementeerde automatisering om Umbrella Identities te bevragen, werd de locatie van het apparaat snel bevestigd als behorend tot de klasse Advanced Malware Traffic Analysis. De jagers gebruikten deze functie telkens met succes, waardoor werd besloten om dit workflow te automatiseren en voor elke incident uit te voeren, zodat de jagers deze data direct bij de hand hebben als eerste stap bij het onderzoeken van het incident.

Als volgende stap doken onze bedreigingsjagers zoals verwacht in Cisco Splunk Cloud om de logs te onderzoeken voor aanvullende context. Dit onderzoek bracht belangrijke inzichten aan het licht, zoals dat het verkeer van het apparaat in platte tekst was, waardoor de payload kon worden geëxtraheerd. Deze ontdekking was essentieel omdat het onthulde dat dit geen typische phishingaanval was, maar onderdeel van een trainings oefening.

Daarnaast werd ontdekt dat verschillende andere apparaten uit hetzelfde subnet ook communiceerden met dezelfde verdachte bestemming. Deze apparaten vertoonden bijna identieke verkeerspatronen, wat de theorie ondersteunde dat dit deel uitmaakte van een laboefening.

De variatie in het verkeersvolume van de verschillende apparaten suggereerde dat verschillende studenten zich in verschillende stadia van het lab bevonden. 44: DNS-zoekvolume naar het verdachte domein

Christian Clasen breidde het onderzoek uit buiten de categorie “Phishing” en vond veel zoekopdrachten voor domeinen binnen een kort tijdsbestek voor twijfelachtige categorieën van adware, malware en adult sites.

Op dit apparaat werd dit gevolgd door een omweg naar een piratenwebsite voor het streamen van video’s (mogelijk per ongeluk geklikt). Deze website startte vervolgens een reeks pop-ups naar verschillende websites overal inclusief meer dan 700 DNS-zoekopdrachten naar adult sites. We hebben Secure Malware Analytics gebruikt om de website te controleren, zonder zelf geïnfecteerd te raken.

Gezien deze mogelijke keten van acties op dat apparaat, werd hetzelfde observeerbare getest in Splunk Attack Analyzer voor dynamische interactie en analyse. Het rapport voor de videosite toonde een twijfelachtige reputatie van de site samen met indicatoren voor phishingkits en crypto-betalingen die aanwezig waren.

Dus, terug naar de vraag: Zijn deze allemaal met elkaar verbonden? Kijkend naar de verschillende gevallen van dergelijke verdachte DNS-zoekopdrachten, verzamelde Christian de websites die werden opgevraagd en de IP-adressen waar ze werden gehost. DNS-zoekopdrachten naar:

adherencemineralgravely[.]com
cannonkit[.]com
cessationhamster[.]com
pl24999848[.]profitablecpmrate[.]com
pl24999853[.]profitablecpmrate[.]com
playsnourishbag[.]com
resurrectionincomplete[.]com
settlementstandingdread[.]com
wearychallengeraise[.]com
alarmenvious[.]com
congratulationswhine[.]com
markshospitalitymoist[.]com
nannyirrationalacquainted[.]com
pl24999984[.]profitablecpmrate[.]com
pl25876700[.]effectiveratecpm[.]com
quickerapparently[.]com
suspectplainrevulsion[.]com

Die leidden naar bekende infrastructuur-IP’s:

172[.]240[.]108[.]68
172[.]240[.]108[.]84
172[.]240[.]127[.]234
192[.]243[.]59[.]13
192[.]243[.]59[.]20
192[.]243[.]61[.]225
192[.]243[.]61[.]227
172[.]240[.]108[.]76
172[.]240[.]253[.]132
192[.]243[.]59[.]12

Die bekend zijn in verband te staan met de ApateWeb scareware/adware-campagne. De nameservers voor deze domeinen zijn:

ns1.publicdnsservice[.]com
ns2.publicdnsservice[.]com
ns3.publicdnsservice[.]com
ns4.publicdnsservice[.]com

Dit zijn de autoriteiten voor honderden bekende malvertising domeinen:

Gezien dat een getroffen persoon heeft erkend dat ze op een verdachte link hebben geklikt, wat resulteerde in een van de gebeurtenissen, geloven we dat deze niet gerelateerd zijn aan training en eigenlijk niet gerelateerd zijn aan elkaar. Voor een lijst van IOC’s die verband houden met deze campagne kan verwezen worden naar een Unit42-blog. Unit42’s bericht merkt op: “Het effect van deze campagne op internetgebruikers kan groot zijn, aangezien enkele honderden aanvaller-gecontroleerde websites in Tranco’s top 1 miljoen website rankinglijst zijn gebleven.” Nou, dat is een echte positief in het SOC hier.

Trufflehunter Monero Mining Aanvallen

Geschreven door: Ryan MacLennan

Als onderdeel van extra tests en het bieden van een betere effectiviteit voor ons XDR-product, hebben we een proof-of-value Firepower Threat Defense (FTD) en Firepower Management Center (FMC) geïmplementeerd. Het ontving dezelfde SPAN-verkeer als onze sensor voor XDR Analytics, maar het biedt een compleet ander scala aan mogelijkheden, namelijk de mogelijkheden voor Intrusion Detection.

Hieronder kunnen we meerdere triggers zien, vanuit een enkele host, op de FTD over een Trufflehunter Snort-handtekening. De verzoeken gaan naar meerdere externe IP-adressen met dezelfde bestemmingspoort.

**Fig. 50**: Verzoeken die naar externe IP-adressen gaan

Dit was interessant omdat het lijkt alsof deze gebruiker op het netwerk probeerde deze externe servers aan te vallen. De vraag was, wat is Trufflehunter, zijn deze servers kwaadaardig, is de aanval opzettelijk, of is het legitiem verkeer hier bij Black Hat voor een trainingsessie of demo?

Door een van de IP-adressen in de lijst in te voeren in VirusTotal, bleek dat het niet kwaadaardig was. Maar het gaf wel meerdere subdomeinen terug die gerelateerd waren aan dat IP. Door het top-level domein van die subdomeinen te nemen, kunnen we een verder onderzoek doen met behulp van Umbrella.

Umbrella Onderzoek geeft aan dat dit domein een laag risico is en freeware/shareware is. Op dit punt kunnen we zeggen dat Command and Control niet in het spel is. Dus waarom zien we hits naar dit willekeurige IP/domein?

Door het domein voor dit onderzoek in te voeren in Splunk Attack Analyzer (SAA), kunnen we de site verkennen. Eigenlijk is de eigenaar van dit domein een fervent onderzoeker van kennis en houdt ervan om met technologie te knutselen, het hoofddomein werd gebruikt om hun blog te hosten. De vele subdomeinen die ze hadden vermeld, waren voor de verschillende services die ze voor zichzelf hosten op hun site. Ze hadden een e-mailservice, Grafana, beheerderslogin en vele andere services hier gehost. Ze hadden zelfs een over-sectie zodat je de eigenaar beter kon leren kennen. Voor de privacy van de domeineigenaar zal ik hun website en andere informatie weglaten.

Nu we weten dat dit IP en domein hoogstwaarschijnlijk niet kwaadaardig zijn, bleef de vraag waarom ze het doelwit waren. Kijkend naar hun IP-adres in Shodan, stond hun IP als open met poort 18010.

Kijkend naar een paar andere IP’s die werden aangevallen, hadden ze allemaal diezelfde poort open. Dus, waar wordt die poort voor gebruikt en naar welke CVE verwijst de Snort-handtekening?

Shodan weergave van aangevallen IP's — **Fig. 54**: Shodan weergave van aangevallen IP’s

We zien hieronder dat de Trufflehunter-handtekening gerelateerd is aan CVE-2018-3972. Het is een kwetsbaarheid die code-uitvoering toestaat als een specifieke versie van de Epee-bibliotheek wordt gebruikt op de host. In dit geval wordt de kwetsbare bibliotheek vaak gebruikt in de Monero mining applicatie.

Een zoekopdracht op Google toonde aan dat poort 18080 vaak wordt gebruikt voor Monero peer-to-peer verbindingen in een miningpool. Maar dat is gebaseerd op de AI-samenvatting. Kunnen we dat echt vertrouwen?

Als we de resultaten bekijken, vinden we de officiële Monero-documenten en zij zeggen zeker om poort 18080 naar de wereld te openen als je deel wilt uitmaken van een miningpool.

Black Hat Cisco Breach Protection Cisco Meraki Systems Manager Cisco Secure Access Cisco Security Cloud Cisco Talos Cisco User Protection Cisco XDR Mobile Device Management MDM Network Operations Center (NOC)Security Operations Center SOC Splunk Enterprise Security ThousandEyes

redactie

Bericht navigatie

Vijf tips voor een succesvolle ICT-carrière
Veiligheid voor gedistribueerd personeel met Cisco Sase

Verwante vermeldingen

redactie

Cisco

oktober 16, 2025

0 views

Ontdek de impact van generatieve AI in cyberbeveiliging

Terwijl we in oktober de Cyber Security Awareness Month vieren, duiken we in een onderwerp dat iedereen bezighoudt: de transformerende kracht van kunstmatige intelligentie (AI) en de impact ervan op…

Verder lezen

redactie

Cisco

oktober 16, 2025

3 views

Waarom de innovatiestrategie van Cisco de routekaart van uw partners moet bepalen in het volgende decennium

Wanneer partners kiezen voor een technologiealliantie, gokken ze op een looptijd van tien jaar. De vraag is niet alleen: “Wat kan deze leverancier vandaag de dag te bieden hebben?” Het…

Verder lezen

Geef een reactie Reactie annuleren
Je e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *
Reactie *
Naam *

E-mail *

Site

Mijn naam, e-mail en site opslaan in deze browser voor de volgende keer wanneer ik een reactie plaats.

Δ

Zoek op

Laatste nieuws

Nintendo streeft naar 25 miljoen Switch 2’s tegen maart 2026.

CNN’s nieuwe All Access-streamingdienst lijkt nog niet volledig geïntegreerd in CNN’s aanbod

Ouders ondersteunen, tieners veiligstellen: Meta’s aanpak van AI-veiligheid

Vakbondspersoneel EA ontevreden over Saoedisch gesteund overnamevoorstel

Nieuwe live shopping-functie op Twitch door Amazon Ads

Recente opmerkingen

Geen reacties om te tonen.

Categorieën

AMD

Apple

Asus

Cisco

Dell

Google

Lenovo

Meta

Microsoft

MSI

Nieuws

Nvidia

Oracle

Samsung

Vivo

Xiaomi

Juridische kennisgeving

Privacybeleid

Of bekijk onze populaire categorieën...

Of bekijk onze populaire categorieën...

Black Hat Asia 2025: Innovatie in het SOC

Workflows Beschrijving

Samenvoegen XDR-incident

Bedreigingsjagershoek

Vissen met malware: Wie heeft de vis gevangen?

Trufflehunter Monero Mining Aanvallen

Snort ML Triggered Onderzoek

Identity Intelligence

redactie

Verwante vermeldingen

Ontdek de impact van generatieve AI in cyberbeveiliging

Waarom de innovatiestrategie van Cisco de routekaart van uw partners moet bepalen in het volgende decennium

Geef een reactie Reactie annuleren

Ben je verdwaald?

Nintendo streeft naar 25 miljoen Switch 2’s tegen maart 2026.

CNN’s nieuwe All Access-streamingdienst lijkt nog niet volledig geïntegreerd in CNN’s aanbod

Ouders ondersteunen, tieners veiligstellen: Meta’s aanpak van AI-veiligheid

Vakbondspersoneel EA ontevreden over Saoedisch gesteund overnamevoorstel

Nieuwe live shopping-functie op Twitch door Amazon Ads

Waarom heeft Amazon vijf tv-streamers nodig?