Sieć nie kłamie: jak wykryć atakujących, którzy już ominęli firewall

W tym miejscu kluczowe znaczenie zyskuje wykrywanie lateral movement. Po uzyskaniu początkowego dostępu atakujący rzadko kierują się bezpośrednio do swojego ostatecznego celu. Eksplorują środowisko, identyfikują wartościowe systemy, ponownie wykorzystują dane uwierzytelniające, testują ścieżki dostępu, przemieszczają się ze stacji roboczych na serwery i ustanawiają kanały komunikacji, które wtapiają się w normalny ruch. Duża część tej aktywności może mieć miejsce już po tym, jak firewall wykonał swoje zadanie zgodnie z obowiązującą polityką: zezwolił na wyglądający legalnie ruch pochodzący z zaufanego źródła wewnętrznego.

Ruch sieciowy pozostaje jednym z najbardziej wiarygodnych źródeł dowodów dotyczących aktywności post-compromise. Endpointy mogą zostać zmanipulowane, logi mogą zostać nadpisane w wyniku rotacji, dane uwierzytelniające mogą wyglądać na prawidłowe, a narzędzia administracyjne mogą zostać wykorzystane do złośliwych celów. Sieć nadal rejestruje komunikację pomiędzy systemami. Pokazuje, który host połączył się z jakim celem, jakie porty zostały wykorzystane, kiedy nastąpiła aktywność, jak często się powtarzała oraz jaka ilość danych została przesłana.

Dla zespołów SOC i architektów bezpieczeństwa oznacza to zmianę modelu detekcji. Pytanie nie ogranicza się już do tego, czy perymetr powstrzymał atak. Ważniejsze jest to, czy organizacja potrafi wykryć atakującego już po uzyskaniu przez niego dostępu.

Mit perymetru — dlaczego assume breach powinno być punktem wyjścia

Perymetr nadal jest ważny, ale nie stanowi już pełnej granicy bezpieczeństwa organizacji. Współczesne środowiska obejmują użytkowników zdalnych, cloud workloads, aplikacje SaaS, VPN-y, dostęp stron trzecich, infrastrukturę hybrydową, niezarządzane zasoby oraz systemy wewnętrzne komunikujące się pomiędzy wieloma strefami sieciowymi. Atakujący mogą uzyskać dostęp poprzez phishing, skradzione dane uwierzytelniające, wystawione usługi, przejętych dostawców, podatne aplikacje lub nadużycie ścieżek zdalnego dostępu.

Po uzyskaniu początkowego dostępu firewall ma ograniczoną widoczność tego, co dzieje się wewnątrz środowiska. Tradycyjne mechanizmy ochrony perymetrycznej są najskuteczniejsze w analizowaniu ruchu north-south, czyli komunikacji wchodzącej do organizacji lub ją opuszczającej. Lateral movement często odbywa się w ramach ruchu east-west pomiędzy systemami wewnętrznymi, a urządzenia perymetryczne mogą w ogóle nie obserwować takich połączeń.

Tworzy to niebezpieczną lukę w widoczności. Przejęta stacja robocza może łączyć się z udziałami plikowymi, kontrolerami domeny, serwerami aplikacyjnymi, bazami danych, systemami backupowymi lub stacjami roboczymi administratorów bez wywoływania alertu na perymetrze. Legalna sesja Remote Desktop pomiędzy dwoma wewnętrznymi hostami może być dozwolona przez politykę bezpieczeństwa. Ruch SMB może wyglądać normalnie, ponieważ protokół ten jest powszechnie używany. PowerShell Remoting, WMI, narzędzia typu PsExec oraz porty administracyjne mogą być częścią rutynowych operacji IT.

Assume breach jest więc praktycznym modelem operacyjnym, a nie pesymistycznym sloganem. Model ten zakłada, że mechanizmy prewencyjne mogą zawieść, dane uwierzytelniające mogą zostać skradzione, a zaufane systemy mogą stać się elementem infrastruktury atakującego. W takim modelu zespoły bezpieczeństwa potrzebują możliwości obserwowania tego, co dzieje się po uzyskaniu pierwszego przyczółka: wewnętrznego rozpoznania, przemieszczania się z wykorzystaniem danych uwierzytelniających, ruchu command-and-control, rozszerzania uprawnień oraz przygotowywania danych do wyprowadzenia. Sieć staje się warstwą dowodową łączącą te zdarzenia.

Dlaczego atakujący ograniczają aktywność po uzyskaniu początkowego dostępu

Po uzyskaniu dostępu doświadczeni atakujący często ograniczają generowany przez siebie szum. Unikają oczywistego uruchamiania malware, korzystają z legalnych narzędzi, poruszają się za pomocą prawidłowych kont i preferują protokoły, które już funkcjonują w środowisku. Strategia ta jest powszechnie określana jako living off the land: wykorzystywanie zaufanych plików binarnych, narzędzi administracyjnych i wbudowanych funkcji systemu operacyjnego do realizowania złośliwych działań w sposób, który wtapia się w normalne operacje.

Korzyść dla atakującego jest oczywista. Narzędzia bezpieczeństwa częściej zezwalają na aktywność przypominającą zatwierdzone działania administracyjne. Zdalne logowanie przy użyciu prawidłowych danych uwierzytelniających może wyglądać mniej podejrzanie niż uruchomienie malware. Polecenie PowerShell wykonane przez konto administratora może wyglądać jak automatyzacja. SMB, RDP, WMI, WinRM, SSH i HTTPS są powszechnie wykorzystywane w legalnych środowiskach, dlatego ich całkowite zablokowanie rzadko jest możliwe.

Endpoint detection może identyfikować wiele takich zachowań, szczególnie wtedy, gdy dostępna jest odpowiednia telemetria, a atakujący pozostawia ślady związane z procesami, command line, pamięcią lub systemem plików. Atakujący wiedzą jednak również, jak uderzyć w widoczność endpointów. Mogą wyłączać sensory, manipulować logami, przemieszczać się przez niezarządzane systemy, wykorzystywać techniki bring-your-own-vulnerable-driver, nadużywać podpisanych narzędzi, działać z serwerów objętych słabszym monitoringiem lub korzystać z danych uwierzytelniających, aby ich aktywność wyglądała na autoryzowaną.

Zachowania sieciowe są trudniejsze do ukrycia, ponieważ prawie każdy cel realizowany po przejęciu środowiska wymaga komunikacji. Atakujący musi wykrywać systemy, łączyć się z usługami wewnętrznymi, uwierzytelniać się na zdalnych hostach, przenosić narzędzia lub dane, utrzymywać C2, docierać do lokalizacji stagingowych albo eksfiltrować informacje. Nawet gdy ruch wykorzystuje legalne protokoły, jego wzorzec może nadal odróżniać się od normalnego baseline’u. Cichy atakujący może uniknąć sygnatur malware. Nadal jednak musi się przemieszczać.

Jedyna rzecz, której atakujący nie może uniknąć — sieć

Widoczność sieci wewnętrznej zmienia wykrywanie aktywności post-compromise z problemu zależnego od konkretnego narzędzia w problem analizy wzorców komunikacji. Zamiast polegać wyłącznie na ocenie, czy dany proces wygląda złośliwie, analitycy mogą sprawdzić, czy system zachowuje się zgodnie ze swoim normalnym profilem.

Stacja robocza działu finansowego, która nagle po godzinach łączy się z wieloma serwerami przez SMB, zachowuje się inaczej niż wynikałoby to z jej normalnej roli. Serwer WWW inicjujący sesje RDP z systemami wewnętrznymi może wymagać natychmiastowej weryfikacji. Endpoint użytkownika, który w krótkim czasie nawiązuje połączenie z kontrolerem domeny, następnie z serwerem plików, a później z zewnętrznym dostawcą VPS, tworzy sekwencję możliwą do odtworzenia na podstawie metadanych sieciowych.

Dane flow są tutaj szczególnie przydatne, ponieważ pozwalają na analizowanie komunikacji na dużą skalę. NetFlow, IPFIX, sFlow i podobna telemetria mogą pokazać źródło, cel, porty, protokoły, timestampy, czas trwania, liczbę bajtów, pakietów oraz kierunek komunikacji. Informacje te wystarczają do wykrywania wielu wzorców lateral movement nawet bez dostępu do payloadu pakietów.

Ruch east-west — blind spot bezpieczeństwa perymetrycznego

Ruch east-west to komunikacja pomiędzy systemami wewnątrz środowiska. Może odbywać się w ramach tego samego VLAN-u, pomiędzy subnetami, między segmentami data center, pomiędzy cloud workloads lub za pośrednictwem wewnętrznych warstw routingu i firewalli. W dobrze posegmentowanej sieci ruch east-west powinien przebiegać oczekiwanymi ścieżkami. W sieci płaskiej lub tylko częściowo posegmentowanej może stać się preferowaną warstwą przemieszczania się atakującego.

Zabezpieczenia perymetryczne często nie widzą tej aktywności, ponieważ ruch nigdy nie przekracza granicy internetowej. Firewall może blokować złośliwy ruch przychodzący, a jednocześnie zapewniać niewielką widoczność ruchu workstation-to-server, pivotingu pomiędzy serwerami lub wewnętrznych skanów. Nawet jeśli stosowane są wewnętrzne firewalle, ich logi mogą być trudne do skorelowania z kontekstem endpointów, tożsamości i aplikacji.

Flow-based monitoring ruchu east-west pomaga identyfikować:

• nowe połączenia host-to-host;
• nietypowy dostęp do portów administracyjnych;
• wzorce skanowania one-to-many wewnątrz sieci;
• komunikację pomiędzy segmentami, które powinny pozostawać odizolowane;
• nieoczekiwany ruch z sieci użytkowników do sieci serwerowych;
• serwery inicjujące połączenia ze stacjami roboczymi;
• systemy wewnętrzne kontaktujące się z rzadkimi zewnętrznymi celami po lateral movement;
• zmiany w wolumenie, częstotliwości lub kierunku ruchu.

Wartość wynika z porównania. Pojedyncze połączenie RDP może być normalne dla stacji roboczej administratora, a podejrzane dla laptopa pracownika działu finansowego. Ruch SMB może być oczekiwany pomiędzy serwerami plików i klientami, ale nietypowy pomiędzy dwiema niepowiązanymi stacjami roboczymi. Wykrywanie ruchu east-west staje się skuteczniejsze, gdy baseline sieciowy uwzględnia role zasobów, strefy, normalne ścieżki komunikacji oraz historyczne zachowanie.

Dlaczego wykrywanie oparte wyłącznie na endpointach nie wystarcza

EDR jest jednym z najważniejszych mechanizmów bezpieczeństwa we współczesnych środowiskach. Zapewnia widoczność procesów, detekcję behawioralną, możliwości reakcji oraz dowody na poziomie hosta, których telemetria sieciowa nie może zastąpić. Problemem nie jest to, czy endpoint detection ma znaczenie. Problemem jest to, czy widoczność ograniczona wyłącznie do endpointów wystarcza po tym, jak atakujący uzyskał już dostęp do środowiska.

W wielu rzeczywistych środowiskach telemetria endpointów jest niekompletna. Niektóre systemy są niezarządzane. Część serwerów ma ograniczone sensory ze względu na wymagania wydajnościowe lub problemy z kompatybilnością. Niektóre systemy legacy nie mogą obsługiwać nowoczesnych agentów. Część cloud workloads istnieje jedynie przez krótki czas. Niektóre działania atakującego są wykonywane za pomocą prawidłowych kont i zatwierdzonych narzędzi administracyjnych. Niektóre urządzenia sieciowe, appliance’y i systemy infrastrukturalne w ogóle nie dostarczają telemetrii typowej dla endpointów.

Analiza network flow działa jako dodatkowa warstwa zabezpieczająca. Nie musi znać nazwy procesu, aby pokazać, że host połączył się z dziesięcioma wewnętrznymi serwerami przez SMB w ciągu pięciu minut. Nie potrzebuje payloadu, aby wykazać powtarzające się wychodzące sesje HTTPS do tego samego, rzadko obserwowanego celu. Nie wymaga pokrycia każdego zasobu przez endpoint security, aby ujawnić, że ruch przekroczył niedozwoloną granicę strefy.

Najsilniejsza architektura detekcji łączy EDR i NDR. Telemetria endpointów wyjaśnia, co wydarzyło się na hoście. Telemetria sieciowa pokazuje, w jaki sposób systemy się komunikowały. Logi tożsamości wyjaśniają, które konta zostały wykorzystane. Logi z firewalli i proxy dostarczają kontekstu dotyczącego polityk i perymetru. Łącznie źródła te tworzą pełniejszy timeline niż jakakolwiek pojedyncza warstwa.

Sygnatury lateral movement w danych network flow

Lateral movement rzadko jest pojedynczym zdarzeniem. Zwykle stanowi sekwencję wzorców komunikacji, które rozwijają się po uzyskaniu początkowego dostępu. Dane flow pomagają zidentyfikować tę sekwencję, pokazując, w jaki sposób atakujący przemieszcza się z jednego systemu do kolejnego, które usługi wykorzystuje oraz w jaki sposób komunikacja odbiega od baseline’u.

Przemieszczanie się oparte na danych uwierzytelniających

Credential-based movement jest powszechne, ponieważ prawidłowe dane uwierzytelniające zmniejszają liczbę przeszkód napotykanych przez atakującego. Techniki takie jak Pass-the-Hash, Pass-the-Ticket, credential dumping, po którym następuje zdalne logowanie, lub nadużywanie kont administratorów mogą generować ruch wykorzystujący legalne usługi. Na poziomie sieci sama technika może nie być bezpośrednio widoczna, ale wzorzec przemieszczania się często można zaobserwować.

Flow-based indicators obejmują:

Kluczowe znaczenie ma świadomość roli systemu. Protokoły administracyjne nie są domyślnie złośliwe. Stają się podejrzane, gdy źródło, cel, czas, częstotliwość lub sekwencja nie odpowiadają normalnemu modelowi operacyjnemu.

Skuteczne dochodzenie koncentruje się na nowych relacjach: parach hostów, których wcześniej nie obserwowano, portach administracyjnych używanych poza oknami maintenance oraz dostępie wewnętrznym rozpoczynającym się krótko po podejrzanym połączeniu zewnętrznym lub alercie z endpointa.

Wewnętrzne reconnaissance i skanowanie

Atakujący muszą zrozumieć, gdzie się znajdują. Po przejęciu systemu mogą enumerować hosty, skanować porty, odpytywać usługi katalogowe, identyfikować udziały, poszukiwać baz danych, wykrywać systemy backupowe lub mapować segmenty sieci. Część tej aktywności może odbywać się za pomocą poleceń wykonywanych na endpointach, ale wynikająca z niej komunikacja jest widoczna w sieci.

Dane flow mogą ujawniać reconnaissance poprzez wzorce takie jak:

• jedno źródło kontaktujące się z wieloma wewnętrznymi celami;
• wiele krótkich połączeń do różnych portów;
• sekwencyjny dostęp do zakresów adresów IP;
• nagły wzrost liczby nieudanych lub nieukończonych sesji;
• pierwsza w historii komunikacja z wrażliwymi segmentami;
• ruch związany z DNS lub usługami katalogowymi, po którym następuje szerszy dostęp wewnętrzny;
• skanowanie wykonywane przez host, który normalnie nie realizuje zadań administracyjnych.

Przydatną metodą detekcji jest monitorowanie nowych par komunikacyjnych w czasie. W stabilnym środowisku większość systemów komunikuje się z przewidywalnym zestawem peerów. Stacja robocza, która normalnie łączy się z kontrolerem domeny, proxy i kilkoma serwerami aplikacyjnymi, nie powinna nagle próbować nawiązywać połączeń z dziesiątkami serwerów, baz danych lub interfejsów zarządzających.

Wewnętrzne reconnaissance może być subtelne. Powolne skanowanie rozłożone na wiele godzin może uniknąć prostych alertów opartych na wartościach progowych. Flow analytics nadal może zidentyfikować zmianę, jeśli platforma utrzymuje baseline’y zachowania hostów, wykorzystywanych portów i relacji pomiędzy peerami.

C2 beaconing 

Ruch command-and-control często wykorzystuje powszechne protokoły, takie jak HTTP, HTTPS lub DNS, ponieważ są one dozwolone w większości środowisk. Narzędzia takie jak Cobalt Strike pozwalają operatorom konfigurować częstotliwość beaconów, w tym sleep intervals i jitter, dzięki czemu ruch nie zawsze przyjmuje postać idealnie regularnych check-inów.

Na poziomie flow C2 beaconing może wyglądać jak powtarzające się połączenia z wewnętrznego hosta do tego samego zewnętrznego celu lub domeny. Ruch może mieć niski wolumen, podobną liczbę przesyłanych bajtów, powtarzające się sesje TLS, okresowe zapytania DNS lub stałe odstępy czasowe z niewielkimi odchyleniami.

Flow-based indicators obejmują:

Wykrywanie beaconingu powinno być traktowane jako analiza behawioralna, a nie proste dopasowywanie sygnatur. Wiele legalnych narzędzi również generuje okresowy ruch, w tym usługi aktualizacji, agenty telemetryczne, aplikacje chmurowe oraz platformy monitoringowe. Różnicę zwykle można znaleźć w kombinacji rzadkości, czasu, roli hosta, reputacji celu, relacji z inną podejrzaną aktywnością oraz trwałości wzorca w czasie.

Dane flow dobrze nadają się do tego rodzaju analizy, ponieważ umożliwiają przechowywanie wzorców komunikacji przez długi czas. Pojedyncze połączenie wychodzące może być niejednoznaczne. Trwający trzy tygodnie wzorzec okresowych połączeń z tego samego endpointa do nietypowego celu zewnętrznego stanowi znacznie silniejszy dowód.

Mapowanie do MITRE ATT&CK

Mapowanie lateral movement i aktywności post-compromise do MITRE ATT&CK pomaga uporządkować dochodzenie i przełożyć techniczne ustalenia na wspólny język. Dane flow wspierają mapowanie ATT&CK na poziomie behawioralnym. Pokazują wzorce komunikacji, które mogą odpowiadać określonym taktykom i technikom, szczególnie gdy są łączone z danymi z endpointów, identity i logów.

Sformułowanie końcowego raportu powinno odróżniać obserwację od interpretacji. Dane flow mogą pokazać, że host zainicjował nowe sesje RDP z wieloma serwerami po komunikacji z podejrzanym zewnętrznym celem. Taka obserwacja może wspierać hipotezę dotyczącą lateral movement, szczególnie po skorelowaniu z logami uwierzytelniania lub dowodami z EDR. Najsilniejsze raporty łączą dowody flow z danymi dotyczącymi użytkowników, procesów i systemów, aby pokazać zarówno ścieżkę komunikacji, jak i mechanizm stojący za działaniem.

Od ochrony perymetrycznej do widoczności wewnętrznej — NDR jako warstwa działająca za firewallem

Network Detection and Response nie zastępuje firewalli, EDR, SIEM ani identity security. Jego rolą jest zapewnienie widoczności w warstwie komunikacyjnej, która łączy te mechanizmy. W architekturze defense-in-depth NDR staje się warstwą pomagającą wykrywać to, co dzieje się po ominięciu zabezpieczeń prewencyjnych lub wtedy, gdy zaufany system wewnętrzny staje się częścią ścieżki ataku.

Narzędzia perymetryczne odpowiadają na pytania dotyczące ruchu wchodzącego do środowiska i wychodzącego z niego. EDR odpowiada na pytania dotyczące zachowania na poziomie hosta tam, gdzie obecne są sensory. SIEM koreluje zdarzenia z wielu źródeł. NDR koncentruje się na zachowaniu komunikacji w ramach ścieżek wewnętrznych i zewnętrznych.

Ma to szczególne znaczenie w detekcji post-compromise, ponieważ atakujący są zależni od przemieszczania się. Muszą nawiązywać połączenia, uwierzytelniać się, przeprowadzać enumerację, wykonywać transfery, staging i komunikację. Działania te pozostawiają dowody sieciowe nawet wtedy, gdy używane narzędzia są legalne.

Dojrzały model widoczności wewnętrznej powinien obejmować:

• szeroki monitoring ruchu east-west;
• baseline’y normalnej komunikacji host-to-host;
• wykrywanie nowych lub rzadkich połączeń wewnętrznych;
• monitoring protokołów administracyjnych;
• analizę C2 i beaconingu;
• walidację segmentacji;
• widoczność ścieżek sieciowych w środowiskach cloud i hybrid;
• długoterminową retencję danych flow na potrzeby lookbacku i dochodzeń;
• korelację z danymi z endpointów, identity, firewalli i proxy.

Celem nie jest generowanie większej liczby alertów. Celem jest zapewnienie analitykom kontekstu potrzebnego do odróżniania normalnych operacji od zachowań post-compromise oraz rekonstruowania ścieżki ataku na podstawie dowodów.

Wykrywanie lateral movement za pomocą analizy flow w Sycope

W Sycope analiza flow może wspierać wykrywanie lateral movement poprzez przekształcanie komunikacji sieciowej w przeszukiwalne, historyczne i zorientowane behawioralnie dowody. NetFlow, IPFIX, sFlow i powiązana telemetria mogą być wykorzystywane do monitorowania ruchu east-west, wykrywania nietypowej komunikacji host-to-host oraz analizowania podejrzanych sekwencji po pojawieniu się alertu.

Praktyczny workflow może wyglądać następująco:

1. Rozpocznij od alertu, podejrzanego hosta, IOC lub nietypowego wzorca ruchu.
2. Przeanalizuj wszystkie wewnętrzne i zewnętrzne połączenia hosta w odpowiednim przedziale czasowym.
3. Porównaj aktualną komunikację z historycznym baseline’em zachowania.
4. Zidentyfikuj nowe pary hostów, nowe porty, nowe cele i nowe ścieżki pomiędzy strefami.
5. Przeanalizuj protokoły administracyjne, takie jak SMB, RDP, SSH, WMI lub WinRM.
6. Sprawdź, czy inne hosty wykazują podobne zachowanie C2 lub beaconing.
7. Określ ilościowo każdy transfer wychodzący następujący po ruchu wewnętrznym.
8. Zbuduj timeline łączący pierwszy alert, lateral movement, C2 i potencjalną eksfiltrację.

Wartość tego workflow wynika z możliwości pivotingu. Pojedynczy alert z endpointa może prowadzić do hosta. Host może prowadzić do wszystkich systemów wewnętrznych, z którymi się komunikował. Systemy te mogą prowadzić do kolejnych celów zewnętrznych lub nowych ścieżek wewnętrznych. Dane flow pozwalają analitykowi rozszerzać dochodzenie bez uzależniania się wyłącznie od pierwszego narzędzia, które wygenerowało alert.

Sycope może również wspierać detekcję opartą na baseline’ach. W stabilnych środowiskach wiele połączeń wewnętrznych jest przewidywalnych. Gdy stacja robocza nagle komunikuje się z serwerami, z którymi nigdy wcześniej nie miała kontaktu, gdy serwer zaczyna inicjować połączenia wychodzące do rzadkich celów lub gdy ruch przekracza granicę segmentu, który powinien pozostać ograniczony, analiza flow może ujawnić tę zmianę.

Dla zespołów SOC pomaga to wykrywać atakujących, którzy już ominęli firewall. Architektom bezpieczeństwa dostarcza dowodów wskazujących, czy segmentacja i mechanizmy wewnętrzne rzeczywiście działają w praktyce. Zespołom Incident Response pomaga rekonstruować timeline ataku od pierwszej podejrzanej komunikacji aż po szerszy blast radius.

Rezultatem jest praktyczna warstwa widoczności post-compromise. Firewalle pomagają kontrolować dostęp na perymetrze. EDR pomaga wyjaśniać aktywność na chronionych endpointach. Flow-based NDR pomaga pokazać, w jaki sposób atakujący przemieszczał się po sieci po ominięciu pierwszego mechanizmu zabezpieczającego.

FAQ 

Jak wykryć atakującego, który już ominął firewall?

Detekcja aktywności za firewallem wymaga widoczności wewnętrznej. Zespoły bezpieczeństwa powinny monitorować ruch east-west, protokoły administracyjne, nowe połączenia host-to-host, wzorce C2 beaconingu, nietypowe cele zewnętrzne oraz odchylenia od normalnych baseline’ów komunikacji.

Firewalle nadal są ważne, ale często koncentrują się na ruchu north-south. Gdy atakujący działa już z zaufanego hosta wewnętrznego, analiza network flow i NDR pomagają identyfikować podejrzaną komunikację wewnątrz środowiska.

Jak lateral movement wygląda w ruchu sieciowym?

Lateral movement często objawia się jako nowa lub nietypowa komunikacja wewnętrzna. Typowe oznaki obejmują ruch SMB, RDP, SSH, WMI lub WinRM z nieoczekiwanych źródeł, jeden host łączący się z wieloma systemami wewnętrznymi, komunikację cross-zone, połączenia poza oknami maintenance oraz nowe pary hostów, które nie występowały w historycznym baseline’ie.

Najważniejszym czynnikiem jest kontekst. Ten sam protokół może być normalny dla stacji roboczej administratora, a podejrzany dla zwykłego endpointa użytkownika.

Czy NetFlow może wykrywać command-and-control lub beaconing?

NetFlow może pomagać w wykrywaniu C2 i beaconingu poprzez pokazywanie powtarzających się wzorców komunikacji. Może ujawnić, że host łączy się z tym samym celem w regularnych odstępach czasu, używa powszechnych protokołów, takich jak HTTP, HTTPS lub DNS, przez długi czas przesyła niewielkie ilości danych albo kontaktuje się z rzadko obserwowaną infrastrukturą zewnętrzną.

NetFlow nie pokazuje zawartości zaszyfrowanego payloadu. Jego wartość wynika z analizy czasu, częstotliwości, kierunku, czasu trwania oraz wolumenu komunikacji.

EDR czy NDR w wykrywaniu lateral movement — czy potrzebujesz obu?

Tak, w większości dojrzałych programów bezpieczeństwa EDR i NDR powinny się wzajemnie uzupełniać. EDR dostarcza dowodów na poziomie hosta, takich jak procesy, command line, aktywność plików oraz zachowanie malware. NDR dostarcza dowodów na poziomie sieci, takich jak ścieżki komunikacji wewnętrznej, wzorce C2, ruch east-west oraz naruszenia segmentacji.

Wykorzystanie obu rozwiązań zapewnia analitykom silniejszy timeline. EDR wyjaśnia, co wydarzyło się na hoście, natomiast NDR pokazuje, w jaki sposób host komunikował się z pozostałą częścią środowiska.

Czym jest ruch east-west i dlaczego stanowi blind spot?

Ruch east-west to komunikacja pomiędzy systemami wewnątrz środowiska, na przykład workstation-to-server, server-to-server lub workload-to-workload. Może stać się blind spotem, gdy monitoring bezpieczeństwa koncentruje się przede wszystkim na perymetrze.

Atakujący często wykorzystują ruch east-west po uzyskaniu początkowego dostępu, ponieważ muszą przemieścić się od pierwszego przejętego hosta w kierunku bardziej wartościowych systemów. Monitorowanie tego ruchu pomaga wykrywać lateral movement, reconnaissance oraz naruszenia wewnętrznych polityk bezpieczeństwa.