Usługa threat huntingu z RedEye

Detekcja cyberataków

Typowe produkty do wykrywania sieciowych ataków nasłuchują komunikacji, a do detekcji wykorzystują setki wcześniej zdefiniowanych reguł. Podstawową wadą takiego rozwiązania jest brak zrozumienia dla większości zgłaszanych ostrzeżeń. Liczne alerty pojawiają się niezależnie od tego czy atak ma miejsce czy też nie. W ten sposób pomimo posiadania systemów bezpieczeństwa atak często pozostaje niezauważony, gdyż nie jest dostrzegany w gąszczu setek ostrzeżeń, które pojawiają się stale w produkcyjnym środowisku.

W detekcji aktywnego ataku nie chodzi o to aby wykryć każdy krok atakującego, ale aby wykryć kluczowe etapy ataku, bez których realizacja udanego ataku jest niemożliwa. Istotne jest również aby ostrzeżenia wyświetlały się jedynie w przypadku gdy rzeczywiście atak ma miejsce, a ilość błędnych alertów powinna być jak najbliższa zeru. W przeciwnym przypadku nawet jeśli system wykryje atak to informacja ta może być zbagatelizowana.

Wyszukiwanie zagrożeń

Oprogramowanie RedEye stworzone przez firmę REDTEAM.PL posiada szereg unikalnych reguł detekcji, które zostały przygotowane na bazie wieloletniego doświadczenia zarówno w ofensywnym jak i defensywnym cyberbezpieczeństwie. Doświadczenie to poparte jest realnymi osiągnięciami takimi jak praca na wiodących technicznych stanowiskach w międzynarodowych przedsiębiorstwach, licznymi certyfikatami z zakresu technicznego cyberbezpieczeństwa i referencjami od znanych podmiotów oraz publikacjami naukowymi, a także uznanymi publicznie dostępnymi badaniami nad cyberbezpieczeństwem. Firma REDTEAM.PL na co dzień zajmuje się świadczeniem usług takich jak testy penetracyjne oraz symulacje realnych scenariuszy ataków (red teaming). Posiadanie praktycznej wiedzy z zarówno realizacji ataków (ang. TTPs – Tactics, Techniques, and Procedures), jak i informatyki śledczej oraz reagowania na incydenty, w tym analizy powłamaniowej (ang. DFIR – Digital Forensics and Incident Response) pozwala na stworzenie najlepszych rozwiązań do proaktywnej detekcji ataków (threat hunting).

Jednym z przykładowych wykrywanych ataków jest badWPAD, którego implementacja na szeroką skalę atakowała od 10 lat miliony komputerów na całym świecie, w tym również z Polski. Atak ten został wykryty przez firmę REDTEAM.PL w maju 2019 roku, za co otrzymaliśmy podziękowania od europejskich narodowych zespołów reagowania na incydenty, wliczając w to CERT Polska, CERT Estonii oraz CERT Łotwy. Badanie to zostało także wyróżnione w SANS Daily Network Security Podcast (Stormcast). Pomimo ataku trwającego wiele lat nie udało się go wcześniej wykryć przy pomocy dziesiątek tysięcy popularnych reguł do analizy bezpieczeństwa ruchu sieciowego. W wykrywaniu adwersarzy nie liczy się ilość, a jakość metod detekcji, która wynika bezpośrednio z doświadczenia i szerokich technicznych kompetencji zespołu tworzącego RedEye.

RedEye Case Study – infekcja iDRAC

RedEye wykrył skanowanie części podsieci wykonane z modułu iDRAC. Szczegółowa analiza pozwoliła ustalić, iż moduł ten został zaatakowany przy pomocy podatności CVE-2018-1207. Warto zwrócić uwagę, iż atakujący w ten sposób posiadali dostęp do kontrolera domeny Windows (AD) znajdującego się na serwerze Dell, a detekcja przy pomocy oprogramowania HIDS (ang. Host-based intrusion detection system) typu SIEM czy EDR nie byłaby możliwa z uwagi, iż infekcja miała miejsce w nadrzędnym systemie nadzorcy, do którego użytkownik nie ma dostępu i nie może na nim instalować własnego oprogramowania. Co więcej, w tym przypadku RedEye był w stanie wykryć skanowanie pomimo tego, iż nasze urządzenie nie zostało przeskanowane.