Le résumé de l'histoire jusqu'à présent
La série « Hunt or be Hunted » raconte toujours le même type d'histoire : un chasseur de menaces de HuntIQ se rend dans l'environnement d'un client, mène une opération de recherche et découvre quelque chose d'important. ShieldBreak. FalconFlank. RunMRU. Sous chacune de ces publications, on nous posait sans cesse la même question : comment puis-je exécuter cela dans mon propre environnement ?
C'est justement à cela que sert HuntIQ Tradecraft.
Qu'est-ce que HuntIQ Tradecraft ?
HuntIQ Tradecraft est une bibliothèque en constante expansion de guides stratégiques de chasse publiés sur TRC. Chaque article est rédigé par les mêmes chasseurs de menaces qui mènent les opérations de détection dans les environnements de nos clients, et chacun d'entre eux vous fournit les éléments nécessaires pour mettre en œuvre cette opération au sein de votre propre infrastructure :
- L'hypothèse — quel comportement des attaquants la chasse cherche-t-elle à détecter, et pourquoi ?
- La question relative au capteur — la requête Tanium exacte à exécuter.
- La méthode de filtrage « » : comment réduire le bruit sans perdre le signal.
- Carte de correspondance ATT&CK — afin que vous puissiez comparer avec ce que votre contenu existant couvre déjà.
- Les cas de faux positifs — les activités légitimes qui peuvent paraître suspectes, et comment les distinguer.
- Conditions préalables et limites — ce qui doit être vrai pour que la recherche fonctionne, et ce qu'elle vous apprendra ou ne vous apprendra pas.
Il ne s'agit pas de supports marketing. Guides pratiques. Rédigé à l'intention des défenseurs, dans le langage qu'ils utilisent.
Voici quelques exemples de ce que l'on y trouve
À suivre aujourd'hui :
- Quand le volume est l'indice — une chasse où c'est le volume de l'alerte lui-même qui constitue l'indice. À quoi ressemble ce schéma, pourquoi la détection basée sur des règles ne le repère-t-elle pas, et comment nous le mettons en évidence dans Tanium.
- Recherche de l'exécution de services à partir de répertoires modifiables par l'utilisateur avec Tanium — une technique de persistance et d'escalade de privilèges que la plupart des SOC ne recherchent jamais. Les capteurs Tanium concrets et les requêtes qui les mettent en évidence.
À venir dans les prochaines semaines :
- Rechercher une solution « TerminalFix » lorsqu'il n'y a pas de correctif disponible — que faut-il rechercher lorsque la solution concerne un comportement plutôt qu'un numéro de base de connaissances ?
- Traquez le détournement de COM et l'utilisation abusive des CLSID à l'aide de l' de Tanium — une technique de persistance discrète et très efficace qui échappe à la plupart des détections basées sur des règles.
- Recherche de flux de données alternatifs (ADS) — la partie du système de fichiers NTFS que la plupart des outils ne vérifient jamais.
- de chargement latéral de DLL — cette technique élémentaire de contournement des mesures de sécurité qui continue de fonctionner parce que tout le monde charge des DLL.
- de la persistance des abonnements aux événements WMI — le point d'ancrage d'un acteur sophistiqué qui échappe aux processus d'exécution automatique habituels.
- Exécutez RunMRU pour détecter les fuites d'identifiants — en ciblant les endroits où les utilisateurs saisissent réellement des informations, et en identifiant ce que cela permet de détecter au-delà de l'hypothèse pour laquelle vous l'avez conçu.
Le catalogue ne cessera de s'étoffer. Si une chasse a fait ses preuves dans un environnement client, elle finira par atterrir ici.
Le rôle du service HuntIQ
HuntIQ Tradecraft est une solution que tout client de Tanium peut facilement mettre en œuvre. Le service HuntIQ, ce sont les personnes qui l'ont développé.
Lorsque vous faites appel à HuntIQ, des experts en détection des menaces interviennent directement au sein de votre déploiement Tanium, à vos côtés. Ils utilisent les guides stratégiques dans HuntIQ Tradecraft. Ils optimisent vos contenus de détection. Ils mettent au point de nouvelles stratégies de détection en s'appuyant sur les techniques utilisées par les pirates ailleurs dans l'environnement. Et ils y parviennent grâce à Atlas — le système d'exploitation autonome de Tanium — qui déploie en parallèle toutes les fonctionnalités pertinentes de Tanium sur l'ensemble de votre parc dès qu'une hypothèse se dessine. Ce qui prenait auparavant des heures de tri, d'analyse, de mise en corrélation et de confinement s'effectue désormais en quelques minutes, avec un verdict structuré prêt à être validé d'un simple clic.
Les techniques opérationnelles sont accessibles à tous les clients de Tanium. Le jugement, c'est le service. Si vous souhaitez bénéficier des deux, c'est exactement ce qu'est HuntIQ.
Comment utiliser HuntIQ Tradecraft dans votre environnement
- Rendez-vous sur help.tanium.com (s'ouvre dans un nouvel onglet) et accédez à HuntIQ Tradecraft.
- Choisissez un guide stratégique qui réponde à une lacune de couverture dont vous avez conscience. Veuillez lire l'hypothèse. Appliquez cette question à votre propre patrimoine. Appliquez la méthode de filtrage.
- Consultez la correspondance entre le cadre ATT&CK et votre contenu existant. Si aucune des règles que vous utilisez déjà ne couvre cette technique de la même manière, vous devez ajouter une nouvelle règle de détection.
- Revenez régulièrement pour découvrir de nouveaux articles sur les techniques de renseignement, inspirés des découvertes actuelles de nos chasseurs.
Commencez la chasse
- Consultez les guides pratiques HuntIQ Tradecraft sur TRC : (s'ouvre dans un nouvel onglet),et (accès TRC réservé aux clients de Tanium).
- Découvrez le service HuntIQ sur.
- Découvrez la série « Hunt or be Hunted » ( ) sur le blog Tanium pour découvrir les témoignages anonymes de clients qui se cachent derrière ces techniques d'investigation.
