تحلیلگر باید در همین حجم تصمیم بگیرد کدام هشدار به یک حمله واقعی مربوط است و کدام فقط نویز. Threat Intelligence دقیقاً در همین نقطه وارد کار می‌شود. گروه آتنا در پروژه‌های امنیتی سازمان‌ها بارها با این الگو روبه‌رو شده است.
سازمان ابزارهای خوبی خریده، اما خروجی آن‌ها بدون اطلاعات بیرونی و بدون زمینه قابل‌اتکا، به تصمیم عملی تبدیل نمی‌شود. در این مقاله توضیح می‌دهیم Threat Intelligence چیست، چه انواعی دارد، در عمل چطور استفاده می‌شود و چه معیارهایی کیفیت آن را مشخص می‌کند. اگر برای شناخت بهتر ابزارها و خدمات کسپرسکی به منابع فارسی نیاز دارید، پورتال کسپرسکی فارسی نقطه شروع مناسبی است.
تعریف Threat Intelligence و تفاوت آن با داده خام تهدید
Threat Intelligence یعنی اطلاعاتی درباره مهاجمان، ابزارها، روش‌ها و زیرساخت‌های آن‌ها که جمع‌آوری، تحلیل و با شرایط یک سازمان خاص تطبیق داده شده باشد، به شکلی که بتوان بر اساس آن تصمیم گرفت. کلمه کلیدی در این تعریف «تصمیم» است. اطلاعاتی که به هیچ اقدامی منجر نشود، هر قدر هم حجیم باشد، فقط داده است. داده خام تهدید چیزی شبیه این است: یک آدرس IP، یک دامنه، یک هش فایل یا یک رشته در ترافیک شبکه.
به همین دلیل تعریف Threat Intelligence به فهرستی از IPها و هش‌های مخرب محدود نمی‌شود. این فهرست‌ها یکی از ورودی‌ها و یکی از خروجی‌های کار هستند و کل ماجرا نیستند. سازمان‌ها معمولاً از دو مسیر به این اطلاعات می‌رسند. مسیر اول تیم داخلی است که از رخدادهای خود سازمان یاد می‌گیرد. مسیر دوم منابع بیرونی است که با شبکه‌ای از حسگرها، پژوهشگران و تحلیلگران، تصویری بسیار وسیع‌تر از چشم‌انداز تهدید دارند.
در سرویس هوش تهدید یا Threat Intelligence کسپرسکی مجموعه‌ای از این ابزارها کنار هم قرار گرفته است، از جمله فیدهای داده تهدید، جست‌وجوی تهدید (Threat Lookup)، تحلیل فایل در محیط ایزوله ابری و بررسی انتساب بدافزار به گروه‌های شناخته‌شده. انتخاب هر کدام به بلوغ تیم و نوع نیاز سازمان بستگی دارد.
انواع اطلاعات تهدید
اطلاعات تهدید معمولاً در چهار سطح دسته‌بندی می‌شود. هر سطح مخاطب و افق زمانی متفاوتی دارد و یک سازمان بالغ از همه آن‌ها استفاده می‌کند.
اطلاعات راهبردی
مخاطب این سطح CISO، CIO و هیئت‌مدیره است. موضوعش روندهای کلان است: کدام گروه‌ها صنعت شما را هدف گرفته‌اند، انگیزه آن‌ها مالی است یا جاسوسی، و تغییر قوانین یا تنش‌های ژئوپلیتیک چه ریسکی ایجاد می‌کند. خروجی معمولاً گزارش مدیریتی است و در تصمیم‌هایی مثل بودجه، اولویت پروژه‌ها و بیمه سایبری به کار می‌آید.
اطلاعات عملیاتی
این سطح درباره کمپین‌ها و نیت مهاجم است. مثلاً یک گروه مشخص در هفته‌های اخیر با ایمیل‌های جعلی مربوط به صورت‌حساب به شرکت‌های لجستیکی حمله می‌کند. مدیر SOC با این اطلاعات می‌تواند تصمیم بگیرد کدام سناریوها را در اولویت پایش قرار دهد و تیم شکار تهدید از کجا شروع کند.
اطلاعات تاکتیکی
اینجا تمرکز روی تاکتیک‌ها، تکنیک‌ها و رویه‌های مهاجم (TTP) است. مرجع رایج برای توصیف آن‌ها چارچوب MITRE ATT&CK است. برای مثال، مهاجم پس از نفوذ اولیه از PowerShell با پارامترهای رمزگذاری شده استفاده می‌کند، با ابزارهای داخلی ویندوز حرکت جانبی انجام می‌دهد و پیش از رمزگذاری، داده را از طریق یک سرویس ذخیره‌سازی ابری خارج می‌کند. تحلیلگر SOC از این توصیف‌ها برای نوشتن قواعد تشخیص استفاده می‌کند.
اطلاعات فنی
این سطح همان نشانگرهای قابل‌خواندن توسط ماشین است: هش فایل، دامنه، آدرس IP، URL و کلیدهای رجیستری. عمر این نشانگرها کوتاه است و به‌سرعت منسوخ می‌شوند، اما برای مسدودسازی خودکار و جست‌وجوی سریع در لاگ‌ها ارزشمندند. مشکل زمانی پیش می‌آید که سازمان فقط به همین سطح بسنده کند.
کاربرد IOCها، تحلیل رفتار مهاجم و اولویت‌بندی هشدارها
IOCها چه زمانی کار می‌کنند
IOC یا نشانگر مخاطره وقتی مفید است که با سیاق همراه باشد. فرض کنید EDR روی یک سرور فایلی هشداری با هش یک فایل ناشناس صادر کرده است. تحلیلگر هش را در منبع Threat Intelligence جست‌وجو می‌کند و می‌فهمد این فایل به یک لودر شناخته‌شده تعلق دارد که معمولاً مرحله اول یک زنجیره آلودگی است و بعد از آن بدافزار دیگری دانلود می‌شود. حالا می‌داند باید دنبال ارتباطات خروجی مشکوک هم بگردد و فقط به قرنطینه کردن همان فایل اکتفا نکند. از طرف دیگر، IOCهای قدیمی یا بدون برچسب زمانی خطای کاذب تولید می‌کنند. فیدی که تاریخ اولین و آخرین مشاهده و میزان اطمینان را ارائه نمی‌دهد، بار اضافی روی تیم می‌گذارد.
تحلیل رفتار مهاجم
مهاجم هش و دامنه‌اش را به‌راحتی عوض می‌کند، اما عادت‌هایش را سخت‌تر تغییر می‌دهد. روش دسترسی اولیه، ابزارهای ترجیحی، ساعت فعالیت و نحوه پاک‌سازی ردپا اغلب در چند کمپین تکرار می‌شود. وقتی قواعد تشخیص بر اساس رفتار نوشته شوند، مثلاً اجرای یک فرایند فرزند مشکوک از مرورگر یا ایجاد وظیفه زمان‌بندی‌شده از مسیر غیرمعمول، حتی با تغییر نشانگرهای فنی هم کار می‌کنند. انتساب یک حمله به یک گروه خاص نیز همیشه با احتیاط انجام می‌شود، چون مهاجمان گاهی عمداً ردپای گروه دیگری را جعل می‌کنند و نتیجه‌گیری قطعی معمولاً ممکن نیست.
اولویت‌بندی هشدارها
تیم‌ها معمولاً هشدارهای بیشتری از ظرفیت بررسی دارند. اطلاعات تهدید کمک می‌کند ترتیب بررسی منطقی‌تر شود. هشداری که با یک کمپین فعال علیه صنعت شما هم‌پوشانی دارد و روی یک دارایی حیاتی رخ داده، باید جلوتر از هشدار مشابهی در یک ایستگاه آزمایشی باشد. چنین اولویت‌بندی‌ای به سه چیز نیاز دارد: فهرست دقیق دارایی‌ها، طبقه‌بندی اهمیت آن‌ها و اطلاعات تهدیدی که به آن دارایی‌ها و فناوری‌ها مربوط باشد.
چرخه جمع‌آوری، تحلیل، اعتبارسنجی و استفاده از اطلاعات تهدید
Threat Intelligence یک محصول یک‌باره نیست و یک چرخه است. مراحل آن معمولاً به این شکل پیش می‌رود.
تعیین نیازمندی‌ها
اول باید مشخص شود سازمان چه سؤالی دارد. «کدام گروه‌ها به صنعت بانکی منطقه حمله می‌کنند؟» و «کدام آسیب‌پذیری‌های VPN در حال سوءاستفاده فعال است؟» دو نیازمندی متفاوت هستند و منبع و قالب پاسخشان هم فرق می‌کند. بدون این مرحله، سازمان به جمع‌کردن فیدهای متعدد می‌رسد که کسی وقت خواندنشان را ندارد.
جمع‌آوری
منابع شامل لاگ‌ها و رخدادهای داخلی، فیدهای تجاری، منابع باز، همکاری با مراکز اشتراک اطلاعات مثل ISAC و گزارش‌های پژوهشی است. تبادل فنی معمولاً با فرمت‌هایی مثل STIX و TAXII انجام می‌شود و بسیاری از پلتفرم‌ها (TIP) هم‌چون MISP برای مدیریت این ورودی‌ها به کار می‌روند.
پردازش و تحلیل
داده‌ها نرمال‌سازی می‌شوند، تکراری‌ها حذف می‌شوند و با اطلاعات دیگر مقایسه می‌شوند. تحلیلگر در این مرحله تصمیم می‌گیرد کدام نشانگر به کدام کمپین مربوط است و چه میزان اطمینانی به آن دارد.
جمع بندی
Threat Intelligence زمانی ارزش دارد که به تصمیمی مشخص منجر شود: اولویت یک هشدار، یک قاعده تشخیص تازه، یک فرضیه شکار یا یک تصمیم مدیریتی درباره سرمایه‌گذاری. برای رسیدن به این نقطه، سازمان به سؤال‌های روشن، منابع قابل‌اتکا، فرایند اعتبارسنجی و اتصال درست به SOC و ابزارهای موجود نیاز دارد. شروع کار لازم نیست بزرگ باشد. تیمی که چند منبع محدود اما مرتبط را به SIEM و فرایند تریاژ خود وصل کند و نتیجه را اندازه بگیرد، معمولاً بیشتر از تیمی یاد می‌گیرد که ده فید را بدون برنامه فعال کرده است.
نظر شما چیست؟