RTFS SOC

Threat hunting i threat intelligence

Threat hunting oraz threat intelligence to zagadnienia, którymi zajmujemy się od dekady. Posiadamy realne techniczne kompetencje i dokonania związane z proaktywnym wyszukiwaniem zagrożeń jak i zaawansowaną analizą incydentów, w tym światowej klasy ataków APT (ang. Advanced Persistent Threat). Do realizacji usługi wykorzystujemy autorskie narzędzie RedEye.

W 2019 roku badania REDTEAM.PL doprowadziły do ujawnienia globalnego ataku badWPAD, którego ofiarami byli użytkownicy milionów komputerów na całym świecie. Nasze badanie zostało wyróżnione przez amerykański instytut SANS oraz otrzymaliśmy podziękowania od narodowych zespołów reagowania na incydenty m.in. Polski (CERT Polska, raport roczny 2019 str. 61/62), Estonii (CERT-EE) i Łotwy (CERT-LV). W 2020 roku opisaliśmy TTPs (ang. Tactics, Techniques, and Procedures) oraz IOC zaawansowanych ataków APT, które zostały przez nas zidentyfikowane i przeanalizowane – m.in. grupy cyberprzestępcze Sodinokibi / REvil oraz Black Kingdom. Efektem naszych działań była szeroko zakrojona współpraca z międzynarodowymi organami ścigania (również w roli biegłych sądowych).

Potrafimy nie tylko przeanalizować podatności 0-day (słabość oprogramowania na którą nie istnieją jeszcze poprawki bezpieczeństwa) ale również je znaleźć. Tylko na przełomie 2019/2020 roku otrzymaliśmy od firmy Google liczne podziękowania oraz łączną nagrodę wysokości $68,000 za zidentyfikowane i odpowiedzialnie zgłoszone podatności w przeglądarce Chrome. Ponadto w wyniku znalezionej przez nas podatności w mechanizmach firmy Apple pisały o nas światowe media, m.in. magazyn Forbes oraz ponownie zostaliśmy wyróżnieni przez amerykański instytut SANS – tym razem za badania ofensywne. Posiadamy również szereg podziękowań dostępnych na oficjalnych stronach internetowych podmiotów, którym już niespełna dekadę temu odpowiedzialnie zgłosiliśmy luki w zabezpieczeniach m.in. Adobe (2014), Apple (2012), BlackBerry (2012), Deutsche Telekom, Google (2013), Harvard University, Netflix (2013), Nokia (2013), Reddit, SoundCloud, Yandex (2013). Jesteśmy rozpoznawalnymi ekspertami, którzy od kilkunastu lat z powodzeniem zajmują się technicznymi aspektami cyberbezpieczeństwa.

Detekcja sieciowych zagrożeń

Typowe produkty do wykrywania sieciowych ataków nasłuchują komunikacji, a do detekcji wykorzystują setki wcześniej zdefiniowanych reguł. Podstawową wadą takiego rozwiązania jest brak zrozumienia dla większości zgłaszanych ostrzeżeń. Liczne alerty pojawiają się niezależnie od tego czy atak ma miejsce czy też nie. W ten sposób pomimo posiadania systemów bezpieczeństwa atak często pozostaje niezauważony, gdyż nie jest dostrzegany w gąszczu setek ostrzeżeń, które pojawiają się stale w produkcyjnym środowisku.

Hakerzy w trakcie ataków wykorzystują natywne mechanizmy systemów Windows w celu uzyskania poświadczeń. Oprogramowanie antywirusowe nie wykrywa obecności atakującego, który loguje się jako użytkownik. Detekcja oprogramowania antywirusowego polega na analizie działania oprogramowania, a nie użytkownika. Cyberprzestępcy wykorzystują to i wykonują ataki nie na podatne oprogramowanie, co z dużym prawdopodobieństwem mogłoby zostać wykryte przez systemy typu EDR (ang. Endpoint Detection and Response) lub SOAR (ang. Security Orchestration, Automation, and Response), ale na standardowe mechanizmy systemów Windows. Tego typu ataki nie są wykrywane przez zainstalowane na stacjach klienckich oprogramowanie, ponieważ wykonywane są na poziomie sieci wewnętrznej pomiędzy stacjami znajdującymi się w domenie Windows. W ten sposób grupy APT (ang. Advanced Persistent Threat) są w stanie uzyskać dostęp do danych pomimo posiadania przez organizację różnego rodzaju mechanizmów zabezpieczających stacje robocze.

Zaimplementowane w oprogramowaniu RedEye podejście firmy REDTEAM.PL do wyszukiwania zagrożeń (threat hunting) bazuje na znajomości technik ataków (TTPs) oraz narzędzi wykorzystywanych przez zaawansowanych adwersarzy. Jest to jedyne rozwiązanie, które może wykryć zaawansowane ataki na środowisko Windows i usługę Active Directory (AD) bez konieczności posiadania agenta lub uprawnień. Dzięki zrozumieniu zarówno aspektów ofensywnych jak i defensywnych w oprogramowaniu RedEye zaimplementowane są reguły pozwalające wykryć ataki, które nie są identyfikowane przez oprogramowanie typu EDR. Z tego względu rozwiązanie RedEye stanowi uzupełnienie do oprogramowania antywirusowego i pokrewnych rozwiązań.

Badania cyberbezpieczeństwa

Zespół ekspertów REDTEAM.PL opublikował na techblogu liczne artykuły na temat technicznych aspektów cyberbezpieczeństwa:

• Threat hunting using DNS firewalls and data enrichment – Jak zbudować silnik DNS firewall.
• Internal domain name collision – Jak doprowadzić do kolizji wewnętrznej domeny DNS.
• Sodinokibi / REvil / Maze ransomware (TTPs & IOC) – Udało nam się zabezpieczyć i przeanalizować serwery użyte w atakach APT.
• DNS for red team purposes – Jak wykorzystać DNS w trakcie ataków.
• Deceiving blue teams using anti-forensic techniques – Jak można zwodzić blueteam.
• Bypassing LLMNR/NBT-NS honeypot – Jak oszukać honeypot rekomendowany przez MITRE ATT&CK.

Na zaproszenie Ministerstwa Obrony Singapuru firma REDTEAM.PL jako ofensywny zespół brała udział w międzynarodowych ćwiczeniach Critical Infrastructure Security Showdown 2020 (CISS2020-OL) organizowanych przez Politechnikę w Singapurze (iTrust SUTD). Celem ćwiczenia był atak na infrastrukturę krytyczną w postaci stacji uzdatniania wody (SWaT). W trakcie ćwiczeń zespół REDTEAM.PL skutecznie przełamał informatyczne zabezpieczenia i przejął bezpośrednią kontrolę nad systemem SCADA HMI.

Jako jedyny polski zespół SOC łączymy realne i wysokie kompetencje zarówno z zakresu ataku jak i obrony, a nasze badania cyberbezpieczeństwa są szeroko uznane na świecie.