Leer overleven op aarde met survivaltechnieken

Veel organisaties worden al lange tijd over het hoofd gezien als een bedreigingsoppervlak en maken zich steeds meer zorgen over hun netwerkinfrastructuur en over aanvallers die deze apparaten gebruiken in combinatie met LOTL-technieken (Living Off The Land) om hun verschillende kwaadaardige doelen te bereiken. Een van die actoren, genaamd Salt Typhoon, haalde eerder dit jaar de krantenkoppen en bracht dit vaak over het hoofd geziene bedreigingsoppervlak op de voorgrond van de hoofden van veel mensen.

De analyse van Salt Typhoon door Cisco Talos heeft vastgesteld dat bedreigingsactoren, vaak met behulp van geldige gestolen inloggegevens, in verschillende gevallen toegang hebben gekregen tot de kernnetwerkinfrastructuur en die infrastructuur vervolgens hebben gebruikt om een verscheidenheid aan informatie te verzamelen, gebruikmakend van LOTL-technieken. Enkele tips voor het detecteren en/of beschermen van uw omgevingen zijn:

• Controleer uw omgeving op ongebruikelijke veranderingen in gedrag of configuratie.
• Profielen (vingerafdrukken via NetFlow en poortscannen) van uw netwerkapparaten voor een verschuiving in de oppervlakteweergave, inclusief het openen/sluiten van nieuwe poorten en verkeer van/naar (geen traversal).
• Ontwikkel waar mogelijk NetFlow-zichtbaarheid om ongebruikelijke volumetrische veranderingen te identificeren.
• Versleutel al het monitoring- en configuratieverkeer (SNMPv3, HTTPS, SSH, NETCONF, RESTCONF).
• Voorkom en bewaak de blootstelling van administratieve of ongebruikelijke interfaces (bijv. SNMP, SSH, HTTP(s)).

Hieronder zullen we bekijken hoe sommige van deze monitoring- en detectieacties kunnen worden uitgevoerd met Cisco Secure Network Analytics (SNA).

Netwerkbedreigingen detecteren met Cisco Secure Network Analytics

Door netwerkmetagegevens te verzamelen, voornamelijk NetFlow/IPFIX, biedt Cisco SNA netwerkzichtbaarheid op bedrijfsniveau en gedragsanalyses om afwijkingen te detecteren die indicatief zijn voor de activiteit van bedreigingsactoren, zoals LOTL-technieken die door sommige van deze geavanceerde bedreigingsactoren worden gebruikt. Met een beetje afstemming en aanpassing kunnen dreigingsanalyses en -detectie worden uitgevoerd om op betrouwbare wijze dreigingsactoren te identificeren die netwerkapparatuur misbruiken.

Bij het optimaliseren van SNA voor dit soort detecties zullen we drie hoofdtaken uitvoeren:

1. Configureer hostgroepen voor uw infrastructuur
2. Maak aangepaste beveiligingsgebeurtenissen en rolbeleid
3. Maak een netwerkdiagram voor monitoring

1. Configureer hostgroepen voor uw infrastructuur

• Definieer Hostgroepen in SNA om netwerkinfrastructuurapparaten zoals routers, switches en jumphosts te classificeren. Deze groepering maakt gerichte monitoring en eenvoudiger identificatie van verdachte communicatie met betrekking tot kritieke infrastructuur mogelijk.

2. Maak aangepaste beveiligingsgebeurtenissen en rolbeleid

• Maak gebruik van Cisco Talos-dreigingsinformatie, inclusief indicatoren van compromissen (IOC) en gedragspatronen die worden beschreven in de Salt Typhoon-analyse.
• Bouw Aangepaste beveiligingsgebeurtenissen in SNA om verdachte of verboden communicatie te detecteren, zoals ongebruikelijke of verboden verkeerspatronen. Voorbeelden hiervan zijn het monitoren van werknemers die verbinding maken met hostgroepen van de infrastructuur, het gebruik van verouderde beheerprotocollen zoals telnet en verdachte communicatie tussen netwerkbeheervlakken (bijvoorbeeld SSH-sessies tussen switches).

• Definieer Rolbeleid om belangrijke gebeurtenissen verder te optimaliseren om verdachte en/of afwijkende activiteiten beter te detecteren door schakelaars te beheren die kunnen wijzen op laterale beweging, gegevensaccumulatie en/of exfiltratie.

3. Ontwikkel een netwerkdiagram voor monitoring

• Gebruik de netwerkdiagramfunctionaliteit van SNA om een netwerktopologievisualisatie te creëren om een gedetailleerd diagram van uw infrastructuurhosts en hun communicatiepaden te simuleren. Met dit visuele hulpmiddel kunt u snel abnormale zijwaartse bewegingen of onverwachte gegevensstromen opmerken waarbij hoppende hosts of infrastructuurapparaten betrokken zijn.

Activiteit van bedreigingsactoren monitoren

Nu we een deel van het detectiesysteem hebben geïnstalleerd, kunnen we beginnen met actieve monitoring. Houd er rekening mee dat u op elk gewenst moment terug kunt gaan en aangepaste beveiligingsgebeurtenissen kunt bewerken of alarmdrempels in het rollenbeleid kunt aanpassen om uw omgeving beter te kunnen monitoren. Wanneer we de LOTL-activiteit van deze bedreigingsactoren monitoren, observeren we uiteindelijk netwerkbeheervlakverkeer en/of andere (vaak niet-gecontroleerde) infrastructuurapparaten op ogenschijnlijk verdachte en/of kwaadaardige activiteiten. Het is altijd vermeldenswaard dat uw beveiligingsbeleid een aanzienlijke impact kan hebben op wat als verdacht en/of kwaadaardig wordt beschouwd.

Wanneer er alarmen optreden, kunt u deze bekijken op de hostpagina: in het volgende voorbeeld host [10.1.1.1] behorend tot de Catalyst Switches-hostgroep brachten talrijke beleidsschendingen tot uitdrukking: de bovenstaande aangepaste beveiligingsgebeurtenissen, evenals Data Hoarding (het verzamelen van veel gegevens van een intern systeem) en Target Data Hoarding (het verzenden van grote hoeveelheden gegevens naar een ander systeem), wat aangeeft dat een kwaadwillende actor op afstand toegang heeft tot dit apparaat en het beheervlak ervan gebruikt om verkeer te downloaden en door te sturen.

Analyse van de stroomrecords voor beveiligingsgebeurtenissen die bij de bovenstaande stap horen, bevestigt dat er een grote hoeveelheid gegevens van de bottellijn is gedownload en naar een niet-gecontroleerde beheerdesktop is geüpload.

Conclusie

Met enkele slimme tools kan Cisco SNA effectief worden gebruikt om de infrastructuur te monitoren en, via netwerkgedragsanalyse, geavanceerde bedreigingsactoren in de omgeving te detecteren. De soorten landleven en technieken die SNA effectief kan detecteren op infrastructuur zijn onder meer:

• Ongeautoriseerde of verdachte toegang tot netwerkapparaten.
• Verdachte zijdelingse beweging tussen infrastructuurhosts.
• Accumulatie, doorzending en andere ongebruikelijke gegevensstromen.
• Pogingen om gegevens te exfiltreren via niet-gecontroleerde hosts op het netwerk

Door SNA gegenereerde waarschuwingen zijn verrijkt met context zoals gebruikersidentiteit, apparaat, locatie en tijdstempel, waardoor beveiligingsteams onderzoek kunnen doen en effectief kunnen reageren.