⚔️ Cyber Kill Chain ceļvedis - uzbrukuma anatomija

MITRE ATT&CK Enterprise - 14 taktikas matricas secībā, katrai trīs tehniku piemēri

1. TA0043IzlūkošanaReconnaissanceKill Chain fāze: 1
   • Active Scanning
   • Gather Victim Identity Information
   • Search Open Websites/Domains
2. TA0042Resursu sagatavošanaResource DevelopmentKill Chain fāze: 2
   • Acquire Infrastructure
   • Compromise Accounts
   • Develop Capabilities
3. TA0001Sākotnējā piekļuveInitial AccessKill Chain fāze: 3
   • Phishing
   • Drive-by Compromise
   • Valid Accounts
4. TA0002IzpildeExecutionKill Chain fāze: 4
   • Command and Scripting Interpreter
   • User Execution
   • Scheduled Task/Job
5. TA0003NoturībaPersistenceKill Chain fāze: 5
   • Boot or Logon Autostart Execution
   • Create Account
   • Scheduled Task/Job
6. TA0004Tiesību paaugstināšanaPrivilege EscalationKill Chain fāze: 4-7
   • Abuse Elevation Control Mechanism
   • Access Token Manipulation
   • Exploitation for Privilege Escalation
7. TA0005Aizsardzības apiešanaDefense EvasionKill Chain fāze: 4-7
   • Obfuscated Files or Information
   • Indicator Removal
   • Impair Defenses
8. TA0006Piekļuves datu iegūšanaCredential AccessKill Chain fāze: 7
   • Brute Force
   • OS Credential Dumping
   • Steal Web Session Cookie
9. TA0007Vides izpēteDiscoveryKill Chain fāze: 7
   • Account Discovery
   • Network Service Discovery
   • Process Discovery
10. TA0008Pārvietošanās tīklāLateral MovementKill Chain fāze: 7
    • Remote Services
    • Internal Spearphishing
    • Lateral Tool Transfer
11. TA0009Datu vākšanaCollectionKill Chain fāze: 7
    • Email Collection
    • Data from Local System
    • Screen Capture
12. TA0011Vadība (C2)Command and ControlKill Chain fāze: 6
    • Application Layer Protocol
    • Encrypted Channel
    • Ingress Tool Transfer
13. TA0010Datu izvešanaExfiltrationKill Chain fāze: 7
    • Exfiltration Over C2 Channel
    • Exfiltration Over Web Service
    • Scheduled Transfer
14. TA0040IetekmeImpactKill Chain fāze: 7
    • Data Encrypted for Impact
    • Data Destruction
    • Service Stop

Kill Chain fāze ir aptuvena atbilstība. ATT&CK taktikas nav secīgas: uzbrucējs tās atkārto un apiet aizsardzību visā uzbrukuma laikā, tāpēc tiesību paaugstināšana un aizsardzības apiešana atbilst vairākām fāzēm.

No abstraktā uz konkrēto

1. 1. Taktika - kāpēcTacticuzbrucēja mērķis šajā solī, 14 taktikas
2. 2. Tehnika - kāTechniquevispārējs veids, ap 200 tehniku
3. 3. ApakštehnikaSub-techniquekonkrētāks variants, vairāk nekā 400
4. 4. ProcedūraProceduretas, ko konkrēta grupa darīja

Piemērs: TA0002 Execution → T1059 Command and Scripting Interpreter → T1059.001 PowerShell → konkrēta grupas komanda.

Unified Kill Chain - Paul Pols (2017, atjaunināts 2022)

A. Sākotnējā piekļuve In - Initial Foothold

Uzbrucējs iegūst pirmo pieturas punktu.

1. 1. IzlūkošanaReconnaissanceOSINT, skenēšana
2. 2. Resursu sagatavošanaResource Developmentinfrastruktūra, rīki
3. 3. PiegādeDeliverypikšķerēšana, USB
4. 4. Sociālā inženierijaSocial Engineeringmanipulācija
5. 5. EkspluatācijaExploitationievainojamība, makro
6. 6. NoturībaPersistenceautomātiskā palaišana
7. 7. Aizsardzības apiešanaDefense Evasionslēpšanās
8. 8. Vadība (C2)Command & Controlsaziņa ar uzbrucēju

B. Izplatīšanās tīklā Through - Network Propagation

Uzbrucējs paplašina piekļuvi un virzās uz mērķi.

1. 9. PārvirzīšanāsPivotingstarpniekserveris, tunelis
2. 10. Vides izpēteDiscoveryAD, tīkla karte
3. 11. Tiesību paaugstināšanaPrivilege EscalationUAC, sudo, token
4. 12. IzpildeExecutionPowerShell, WMI
5. 13. Piekļuves datu iegūšanaCredential AccessLSASS, paroļu jaucējvērtības
6. 14. Pārvietošanās tīklāLateral MovementRDP, SMB

C. Mērķu izpilde Out - Action on Objectives

Uzbrucējs sasniedz to, kāpēc atnāca: datus, izspiešanu vai sabotāžu.

1. 15. Datu vākšanaCollectionsagatavošana, saspiešana
2. 16. Datu izvešanaExfiltrationmākonis, DNS, e-pasts
3. 17. IetekmeImpactšifrēšana, iznīcināšana, DoS
4. 18. Mērķu sasniegšanaObjectivesstratēģiskais rezultāts

Posmi atkārtojas: pēc katras pārvietošanās tīklā uzbrucējs bieži atkal sāk ar izpēti un tiesību paaugstināšanu.

Courses of Action (CoA) - sešas rīcības katrā no septiņām fāzēm (Hutchins, Cloppert, Amin 2011)

Diamond Model of Intrusion Analysis - Caltagirone, Pendergast, Betz (2013)

Katru incidentu apraksta četri stūri. Atrodot vienu, var atrast pārējos.

No piegādes fāzes uzbrukums atstāj pēdas hostā: ierakstus žurnālā, jaunu servisu, plānotu uzdevumu. Tās ir vietas, kur ķēdi var ieraudzīt un pārtraukt. Cietināšana (ko izslēgt iepriekš) ir uzbrukuma virsmas ceļvedī.

Apakšējā rinda ir vietas, kur skatīties - komandas zemāk. Skaitļi ir Windows notikumu ID, kodi - MITRE ATT&CK tehnikas.

1. Žurnāli - skatīt un sekot reāllaikā

Get-WinEvent -LogName Security -MaxEvents 20 |
  Format-Table TimeCreated, Id -AutoSize

$since = Get-Date
while ($true) {
  Start-Sleep 5; $now = Get-Date
  Get-WinEvent -FilterHashtable @{
    LogName='Security'; StartTime=$since
  } -ErrorAction SilentlyContinue |
    Format-Table TimeCreated, Id -AutoSize
  $since = $now
}

log show --last 1h --style compact \
  --predicate 'eventMessage CONTAINS[c] "fail"'

log stream --style compact \
  --predicate 'process == "sshd"'

journalctl --since "1 hour ago" -p warning

journalctl -f
sudo tail -F /var/log/auth.log   # Debian/Ubuntu
sudo tail -F /var/log/secure     # RHEL/Fedora

2. Servisi - atrast jaunu un apturēt

Get-Service | Where-Object Status -eq Running
Get-WinEvent -FilterHashtable @{
  LogName='System'; Id=7045 } -MaxEvents 10

Stop-Service <serviss>
Set-Service <serviss> -StartupType Disabled

Set-Service <serviss> -StartupType Manual
Start-Service <serviss>

launchctl list | grep -v com.apple
ls /Library/LaunchDaemons /Library/LaunchAgents \
   ~/Library/LaunchAgents

sudo launchctl bootout system \
  /Library/LaunchDaemons/<label>.plist
sudo launchctl disable system/<label>

sudo launchctl enable system/<label>
sudo launchctl bootstrap system \
  /Library/LaunchDaemons/<label>.plist

systemctl list-units --type=service --state=running
systemctl list-unit-files --state=enabled

sudo systemctl disable --now <serviss>

sudo systemctl enable --now <serviss>

3. Plānotie uzdevumi - pārskatīt un iestatīt savu

Get-ScheduledTask | Where-Object State -ne Disabled |
  Select-Object TaskPath, TaskName, State

$a = New-ScheduledTaskAction -Execute powershell.exe `
  -Argument '-NoProfile -File C:\Scripts\check.ps1'
$t = New-ScheduledTaskTrigger -Daily -At 06:00
Register-ScheduledTask -TaskName DailyCheck `
  -Action $a -Trigger $t -User 'NT AUTHORITY\SYSTEM'

Unregister-ScheduledTask -TaskName DailyCheck -Confirm:$false

crontab -l
launchctl list | grep -v com.apple

(crontab -l 2>/dev/null
 echo '0 6 * * * /usr/local/bin/check.sh') | crontab -

crontab -l | grep -v /usr/local/bin/check.sh | crontab -

systemctl list-timers --all
crontab -l; ls /etc/cron.d /etc/cron.daily

sudo systemd-run --unit=daily-check \
  --on-calendar='*-*-* 06:00:00' /usr/local/bin/check.sh

sudo systemctl stop daily-check.timer

Direktīva (ES) 2022/2555 23. pants, Latvijā - Nacionālās kiberdrošības likums. Termiņi skaitāmi no brīža, kad subjekts uzzina par būtisku incidentu.

1. 24 h Agrīnais brīdinājumsEarly Warning, 23(4)(a)vai ir aizdomas par ļaunprātīgu darbību un pārrobežu ietekmi
2. 72 h Incidenta paziņojumsIncident Notification, 23(4)(b)sākotnējais novērtējums: smagums, ietekme, IoC, ja ir
3. pēc pieprasījuma StarpziņojumsIntermediate Report, 23(4)(c)ja CSIRT vai uzraugošā iestāde to prasa
4. 1 mēnesis Gala ziņojumsFinal Report, 23(4)(d)mēneša laikā pēc paziņojuma: cēlonis, pasākumi, ietekme

Ja incidents gala ziņojuma termiņā vēl turpinās, iesniedz progresa ziņojumu un gala ziņojumu - mēneša laikā pēc incidenta beigām.