\n| Po\u0142\u0105czenia z kontrolerami domeny, po kt\u00f3rych nast\u0119puje ruch do serwer\u00f3w<\/td>\n | Mog\u0105 wskazywa\u0107 na rozpoznanie danych uwierzytelniaj\u0105cych lub katalogu przed lateral movement<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n <\/p>\n Kluczowe znaczenie ma \u015bwiadomo\u015b\u0107 roli systemu. Protoko\u0142y administracyjne nie s\u0105 domy\u015blnie z\u0142o\u015bliwe. Staj\u0105 si\u0119 podejrzane, gdy \u017ar\u00f3d\u0142o, cel, czas, cz\u0119stotliwo\u015b\u0107 lub sekwencja nie odpowiadaj\u0105 normalnemu modelowi operacyjnemu.<\/p>\n Skuteczne dochodzenie koncentruje si\u0119 na nowych relacjach: parach host\u00f3w, kt\u00f3rych wcze\u015bniej nie obserwowano, portach administracyjnych u\u017cywanych poza oknami maintenance oraz dost\u0119pie wewn\u0119trznym rozpoczynaj\u0105cym si\u0119 kr\u00f3tko po podejrzanym po\u0142\u0105czeniu zewn\u0119trznym lub alercie z endpointa.<\/p>\n Wewn\u0119trzne reconnaissance i skanowanie<\/h3>\nAtakuj\u0105cy musz\u0105 zrozumie\u0107, gdzie si\u0119 znajduj\u0105. Po przej\u0119ciu systemu mog\u0105 enumerowa\u0107 hosty, skanowa\u0107 porty, odpytywa\u0107 us\u0142ugi katalogowe, identyfikowa\u0107 udzia\u0142y, poszukiwa\u0107 baz danych, wykrywa\u0107 systemy backupowe lub mapowa\u0107 segmenty sieci. Cz\u0119\u015b\u0107 tej aktywno\u015bci mo\u017ce odbywa\u0107 si\u0119 za pomoc\u0105 polece\u0144 wykonywanych na endpointach, ale wynikaj\u0105ca z niej komunikacja jest widoczna w sieci.<\/p>\n Dane flow mog\u0105 ujawnia\u0107 reconnaissance poprzez wzorce takie jak:<\/p>\n \n- jedno \u017ar\u00f3d\u0142o kontaktuj\u0105ce si\u0119 z wieloma wewn\u0119trznymi celami;<\/li>\n
- wiele kr\u00f3tkich po\u0142\u0105cze\u0144 do r\u00f3\u017cnych port\u00f3w;<\/li>\n
- sekwencyjny dost\u0119p do zakres\u00f3w adres\u00f3w IP;<\/li>\n
- nag\u0142y wzrost liczby nieudanych lub nieuko\u0144czonych sesji;<\/li>\n
- pierwsza w historii komunikacja z wra\u017cliwymi segmentami;<\/li>\n
- ruch zwi\u0105zany z DNS lub us\u0142ugami katalogowymi, po kt\u00f3rym nast\u0119puje szerszy dost\u0119p wewn\u0119trzny;<\/li>\n
- skanowanie wykonywane przez host, kt\u00f3ry normalnie nie realizuje zada\u0144 administracyjnych.<\/li>\n<\/ul>\n
Przydatn\u0105 metod\u0105 detekcji jest monitorowanie nowych par komunikacyjnych w czasie. W stabilnym \u015brodowisku wi\u0119kszo\u015b\u0107 system\u00f3w komunikuje si\u0119 z przewidywalnym zestawem peer\u00f3w. Stacja robocza, kt\u00f3ra normalnie \u0142\u0105czy si\u0119 z kontrolerem domeny, proxy i kilkoma serwerami aplikacyjnymi, nie powinna nagle pr\u00f3bowa\u0107 nawi\u0105zywa\u0107 po\u0142\u0105cze\u0144 z dziesi\u0105tkami serwer\u00f3w, baz danych lub interfejs\u00f3w zarz\u0105dzaj\u0105cych.<\/p>\n Wewn\u0119trzne reconnaissance mo\u017ce by\u0107 subtelne. Powolne skanowanie roz\u0142o\u017cone na wiele godzin mo\u017ce unikn\u0105\u0107 prostych alert\u00f3w opartych na warto\u015bciach progowych. Flow analytics nadal mo\u017ce zidentyfikowa\u0107 zmian\u0119, je\u015bli platforma utrzymuje baseline\u2019y zachowania host\u00f3w, wykorzystywanych port\u00f3w i relacji pomi\u0119dzy peerami.<\/p>\n C2\u00a0beaconing<\/span><\/b>\u00a0<\/span><\/h3>\nRuch command-and-control cz\u0119sto wykorzystuje powszechne protoko\u0142y, takie jak HTTP, HTTPS lub DNS, poniewa\u017c s\u0105 one dozwolone w wi\u0119kszo\u015bci \u015brodowisk. Narz\u0119dzia takie jak Cobalt Strike pozwalaj\u0105 operatorom konfigurowa\u0107 cz\u0119stotliwo\u015b\u0107 beacon\u00f3w, w tym sleep intervals i jitter, dzi\u0119ki czemu ruch nie zawsze przyjmuje posta\u0107 idealnie regularnych check-in\u00f3w.<\/p>\n Na poziomie flow C2 beaconing mo\u017ce wygl\u0105da\u0107 jak powtarzaj\u0105ce si\u0119 po\u0142\u0105czenia z wewn\u0119trznego hosta do tego samego zewn\u0119trznego celu lub domeny. Ruch mo\u017ce mie\u0107 niski wolumen, podobn\u0105 liczb\u0119 przesy\u0142anych bajt\u00f3w, powtarzaj\u0105ce si\u0119 sesje TLS, okresowe zapytania DNS lub sta\u0142e odst\u0119py czasowe z niewielkimi odchyleniami.<\/p>\n Flow-based indicators obejmuj\u0105:<\/p>\n \n \n\n\n| Wska\u017anik beaconingu<\/th>\n | Obserwacja w danych flow<\/th>\n<\/tr>\n<\/thead>\n | \n\n| Sta\u0142y interwa\u0142<\/td>\n | Po\u0142\u0105czenia powtarzaj\u0105 si\u0119 co okre\u015blon\u0105 liczb\u0119 minut.<\/td>\n<\/tr>\n | \n| Interwa\u0142 z jitterem<\/td>\n | Po\u0142\u0105czenia powtarzaj\u0105 si\u0119 wok\u00f3\u0142 \u015bredniego interwa\u0142u z pewnym odchyleniem.<\/td>\n<\/tr>\n | \n| Aktywno\u015b\u0107 low-and-slow<\/td>\n | Niewielkie ilo\u015bci danych s\u0105 przesy\u0142ane przez d\u0142ugi czas.<\/td>\n<\/tr>\n | \n| Nadu\u017cycie powszechnego protoko\u0142u<\/td>\n | HTTP, HTTPS lub DNS s\u0105 wykorzystywane do komunikacji atakuj\u0105cego.<\/td>\n<\/tr>\n | \n| Rzadki cel<\/td>\n | Host komunikuje si\u0119 z zewn\u0119trznym adresem IP lub ASN rzadko obserwowanym w \u015brodowisku.<\/td>\n<\/tr>\n | \n| Wzorzec obejmuj\u0105cy wiele host\u00f3w<\/td>\n | Kilka system\u00f3w wewn\u0119trznych zaczyna komunikowa\u0107 si\u0119 z tym samym celem.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n <\/p>\n Wykrywanie beaconingu powinno by\u0107 traktowane jako analiza behawioralna, a nie proste dopasowywanie sygnatur. Wiele legalnych narz\u0119dzi r\u00f3wnie\u017c generuje okresowy ruch, w tym us\u0142ugi aktualizacji, agenty telemetryczne, aplikacje chmurowe oraz platformy monitoringowe. R\u00f3\u017cnic\u0119 zwykle mo\u017cna znale\u017a\u0107 w kombinacji rzadko\u015bci, czasu, roli hosta, reputacji celu, relacji z inn\u0105 podejrzan\u0105 aktywno\u015bci\u0105 oraz trwa\u0142o\u015bci wzorca w czasie.<\/p>\n Dane flow dobrze nadaj\u0105 si\u0119 do tego rodzaju analizy, poniewa\u017c umo\u017cliwiaj\u0105 przechowywanie wzorc\u00f3w komunikacji przez d\u0142ugi czas. Pojedyncze po\u0142\u0105czenie wychodz\u0105ce mo\u017ce by\u0107 niejednoznaczne. Trwaj\u0105cy trzy tygodnie wzorzec okresowych po\u0142\u0105cze\u0144 z tego samego endpointa do nietypowego celu zewn\u0119trznego stanowi znacznie silniejszy dow\u00f3d.<\/p>\n <\/span>Mapowanie do MITRE ATT&CK<\/span><\/h2>\nMapowanie lateral movement i aktywno\u015bci post-compromise do MITRE ATT&CK pomaga uporz\u0105dkowa\u0107 dochodzenie i prze\u0142o\u017cy\u0107 techniczne ustalenia na wsp\u00f3lny j\u0119zyk. Dane flow wspieraj\u0105 mapowanie ATT&CK na poziomie behawioralnym. Pokazuj\u0105 wzorce komunikacji, kt\u00f3re mog\u0105 odpowiada\u0107 okre\u015blonym taktykom i technikom, szczeg\u00f3lnie gdy s\u0105 \u0142\u0105czone z danymi z endpoint\u00f3w, identity i log\u00f3w.<\/p>\n \n \n\n\n| Wska\u017anik beaconingu<\/th>\n | Obserwacja w danych flow<\/th>\n<\/tr>\n<\/thead>\n | \n\n| Sta\u0142y interwa\u0142<\/td>\n | Po\u0142\u0105czenia powtarzaj\u0105 si\u0119 co okre\u015blon\u0105 liczb\u0119 minut.<\/td>\n<\/tr>\n | \n| Interwa\u0142 z jitterem<\/td>\n | Po\u0142\u0105czenia powtarzaj\u0105 si\u0119 wok\u00f3\u0142 \u015bredniego interwa\u0142u z pewnym odchyleniem.<\/td>\n<\/tr>\n | \n| Aktywno\u015b\u0107 low-and-slow<\/td>\n | Niewielkie ilo\u015bci danych s\u0105 przesy\u0142ane przez d\u0142ugi czas.<\/td>\n<\/tr>\n | \n| Nadu\u017cycie powszechnego protoko\u0142u<\/td>\n | HTTP, HTTPS lub DNS s\u0105 wykorzystywane do komunikacji atakuj\u0105cego.<\/td>\n<\/tr>\n | \n| Rzadki cel<\/td>\n | Host komunikuje si\u0119 z zewn\u0119trznym adresem IP lub ASN rzadko obserwowanym w \u015brodowisku.<\/td>\n<\/tr>\n | \n| Wzorzec obejmuj\u0105cy wiele host\u00f3w<\/td>\n | Kilka system\u00f3w wewn\u0119trznych zaczyna komunikowa\u0107 si\u0119 z tym samym celem.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Sformu\u0142owanie ko\u0144cowego raportu powinno odr\u00f3\u017cnia\u0107 obserwacj\u0119 od interpretacji. Dane flow mog\u0105 pokaza\u0107, \u017ce host zainicjowa\u0142 nowe sesje RDP z wieloma serwerami po komunikacji z podejrzanym zewn\u0119trznym celem. Taka obserwacja mo\u017ce wspiera\u0107 hipotez\u0119 dotycz\u0105c\u0105 lateral movement, szczeg\u00f3lnie po skorelowaniu z logami uwierzytelniania lub dowodami z EDR. Najsilniejsze raporty \u0142\u0105cz\u0105 dowody flow z danymi dotycz\u0105cymi u\u017cytkownik\u00f3w, proces\u00f3w i system\u00f3w, aby pokaza\u0107 zar\u00f3wno \u015bcie\u017ck\u0119 komunikacji, jak i mechanizm stoj\u0105cy za dzia\u0142aniem.<\/p>\n <\/span>Od ochrony perymetrycznej do widoczno\u015bci wewn\u0119trznej \u2014 NDR jako warstwa dzia\u0142aj\u0105ca za firewallem <\/span><\/span><\/h2>\nNetwork Detection and Response nie zast\u0119puje firewalli, EDR, SIEM ani identity security. Jego rol\u0105 jest zapewnienie widoczno\u015bci w warstwie komunikacyjnej, kt\u00f3ra \u0142\u0105czy te mechanizmy. W architekturze defense-in-depth NDR staje si\u0119 warstw\u0105 pomagaj\u0105c\u0105 wykrywa\u0107 to, co dzieje si\u0119 po omini\u0119ciu zabezpiecze\u0144 prewencyjnych lub wtedy, gdy zaufany system wewn\u0119trzny staje si\u0119 cz\u0119\u015bci\u0105 \u015bcie\u017cki ataku.<\/p>\n Narz\u0119dzia perymetryczne odpowiadaj\u0105 na pytania dotycz\u0105ce ruchu wchodz\u0105cego do \u015brodowiska i wychodz\u0105cego z niego. EDR odpowiada na pytania dotycz\u0105ce zachowania na poziomie hosta tam, gdzie obecne s\u0105 sensory. SIEM koreluje zdarzenia z wielu \u017ar\u00f3de\u0142. NDR koncentruje si\u0119 na zachowaniu komunikacji w ramach \u015bcie\u017cek wewn\u0119trznych i zewn\u0119trznych.<\/p>\n Ma to szczeg\u00f3lne znaczenie w detekcji post-compromise, poniewa\u017c atakuj\u0105cy s\u0105 zale\u017cni od przemieszczania si\u0119. Musz\u0105 nawi\u0105zywa\u0107 po\u0142\u0105czenia, uwierzytelnia\u0107 si\u0119, przeprowadza\u0107 enumeracj\u0119, wykonywa\u0107 transfery, staging i komunikacj\u0119. Dzia\u0142ania te pozostawiaj\u0105 dowody sieciowe nawet wtedy, gdy u\u017cywane narz\u0119dzia s\u0105 legalne.<\/p>\n Dojrza\u0142y model widoczno\u015bci wewn\u0119trznej powinien obejmowa\u0107:<\/p>\n | | |