La remise en état constitue sans doute l'étape la plus importante de la réponse aux incidents, car elle garantit l'élimination des artefacts malveillants et autres traces laissées par l'activité des attaquants, afin de rendre l'environnement plus résilient face à des attaques similaires à l'avenir. Malheureusement, cette étape est souvent négligée, ou bien les tâches sont réparties entre des équipes informatiques cloisonnées et risquent de se perdre en chemin. Tanium met fin à ces cloisonnements grâce à une plateforme permettant la détection, l'analyse et la correction en temps réel, le tout à partir d'une seule et même console. Une mise à jour récente du module Tanium Protect intègre de nouvelles fonctionnalités destinées à accélérer le processus de correction et à garantir que ces menaces sont définitivement éliminées. Cet article de blog présentera les étapes nécessaires pour aider les chasseurs de menaces à passer au crible leur environnement à la recherche d'éléments malveillants et à utiliser la nouvelle fonctionnalité de correction disponible dans le module Tanium Protect.
Depuis le début : publication d'un rapport sur les renseignements relatifs aux menaces
Une demande courante adressée à tout chasseur de menaces consiste à identifier la présence d'artefacts malveillants spécifiques, qu'ils proviennent de sources de renseignements payantes ou open source. En règle générale, les chasseurs de menaces identifient les indicateurs de compromission (IOC) et recherchent ces éléments dans leur environnement afin de déterminer s'ils sont affectés. Tanium propose plusieurs méthodes pour mettre en œuvre cette fonctionnalité de recherche, et il n'a jamais été aussi simple d'intervenir sur les terminaux concernés. Dans cet exemple, nous aborderons le processus habituel de traitement des informations sur les menaces provenant de sources de renseignement, en vue d'un nettoyage, afin de garantir que les fichiers et autres indicateurs de compromission (IOC) soient définitivement supprimés des terminaux affectés.
L'une des premières tâches à accomplir dans le cadre de tout exercice de recherche de menaces consiste à identifier les indicateurs ou les éléments à rechercher dans l'environnement. Dans cet exemple, nous utiliserons un rapport de l'US-CERT sur les menaces concernant le logiciel malveillant Backoff, un enregistreur de frappe fonctionnant en mémoire qui cible, comme on le sait, les systèmes de point de vente dans le secteur de la grande distribution.
Figure 1 : Extrait du rapport de l'US-CERT sur le logiciel malveillant « Backoff »
Ce rapport fournit plusieurs indicateurs de compromission (IOC), notamment des noms de fichiers, des hachages de fichiers et des entrées de registre. Il est possible de copier l'intégralité de ce rapport et de créer une alerte Signal ou un indicateur OpenIOC afin d'effectuer une recherche dans l'environnement en quelques minutes. Toutefois, à des fins de démonstration, nous allons plutôt valider ces résultats manuellement.
Recherche au sein de l'entreprise
Le premier élément du système de fichiers à rechercher est le fichier malveillant « javaw.exe », situé dans le chemin « C:\Users\\AppData\\Roaming\\OracleJava\\ ». Le capteur Tanium « Fichier d'index et hachage » renvoie le chemin d'accès, le nom et l'hachage des fichiers d'index qui correspondent aux paramètres de recherche fournis. Dans cet exemple, nous indiquons le chemin d'accès et le hachage à rechercher, et toutes les instances sont renvoyées.
Figure 2 : Résultats fournis par le capteur « Index Query File and Hash » confirmant la présence de fichiers binaires Backoff
Cette requête nous permet de constater que l'environnement contient plusieurs fichiers malveillants qui doivent être supprimés. Avant de commencer les mesures correctives, examinons les autres indicateurs figurant dans le rapport afin de nous assurer qu'aucun autre élément n'a été négligé.
Grâce au capteur « Détails du programme AutoRun », vous pouvez analyser rapidement l'ensemble des fichiers binaires persistants au sein de l'entreprise. Comme nous nous intéressons aux entrées de registre liées à notre rapport de veille « Backoff », nous pouvons utiliser le filtre situé à droite, juste au-dessus du tableau de résultats, pour limiter les résultats à ceux qui contiennent uniquement le hachage du logiciel malveillant. Nous savons désormais que ce logiciel malveillant dispose de plusieurs emplacements de persistance.
Figure 3 : Données fournies par le capteur « Détails du programme AutoRun », identifiant les mécanismes de persistance du « backoff »
Le capteur Tanium « Get Folder Contents » fournit le contenu de n'importe quel dossier spécifié. En exécutant cette commande, vous pouvez constater que les autres IOC du rapport Backoff sont bel et bien présents.
Figure 4 : Données fournies par le capteur « Get Folder Contents », confirmant la présence d'artefacts de « Backoff » supplémentaires
Élaboration d'une politique d'assainissement en vue du nettoyage
Pour résumer, nous avons confirmé la présence dans l'environnement d'éléments provenant du rapport de veille sur les menaces « Backoff », et un nettoyage s'impose. En utilisant les capteurs mentionnés ci-dessus, les actions suivantes doivent être effectuées :
- Arrêtez le processus javaw.exe
- Supprimez les fichiers javaw.exe et log.txt
- Supprimer les valeurs du registre :
- « HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service »
- « HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service »
Vous pouvez créer une nouvelle politique de correction Protect en accédant à la section « Politiques » du module Tanium Protect ; l'option permettant de créer une nouvelle politique se trouve dans le coin supérieur droit.
Figure 5 : Page de configuration de la politique Tanium Protect
Une fois cette option sélectionnée, la page de configuration « Ajouter une politique » s'affichera. Ici, vous pouvez indiquer le nom, la description et le type de la politique. Remplissez les informations requises, puis sélectionnez « Remédiation » comme type de politique.
Figure 6 : Page de création d'une politique de correction dans Tanium Protect
Une fois le type de stratégie de correction sélectionné, une série d'options permettant de configurer la stratégie s'affiche ci-dessous. En sélectionnant « Ajouter une tâche », vous accéderez à des options permettant d'effectuer des actions sur les terminaux. Comme indiqué ci-dessus, les tâches à effectuer dans notre exemple sont les suivantes : arrêter un processus, supprimer un fichier et supprimer une clé de registre.
Tout d'abord, nous allons sélectionner « Tuer le processus » et indiquer le nom du processus. Le workflow de correction vous permet de définir un délai d'expiration ainsi que le nombre de tentatives de réessai. Une fois qu'une tâche a été saisie, vous pouvez sélectionner « Ajouter une tâche » pour ajouter des étapes supplémentaires à la politique de correction. La tâche suivante est « Supprimer un fichier ». Veuillez saisir le chemin d'accès à supprimer. Vous pouvez saisir des tâches supplémentaires, comme le montre la capture d'écran ci-dessous, afin d'effectuer d'autres actions.
Veuillez noter que des caractères génériques peuvent être utilisés dans le chemin d'accès pour gérer des variables telles que les profils utilisateur. De plus, une fois que plusieurs tâches ont été saisies, il est possible de modifier leur ordre en sélectionnant la zone située à côté du numéro de la tâche et en la faisant glisser vers l'emplacement souhaité. La gestion des erreurs peut être configurée pour chaque tâche, de sorte que la politique puisse être interrompue ou ignorée en cas d'erreur. Une fois toutes les tâches saisies, cliquez sur le bouton « Créer » pour que la politique soit créée.
Figure 7 : La tâche de remédiation complète créée pour éliminer les traces du logiciel malveillant Backoff.
L'étape suivante consiste à déterminer quels systèmes ou groupes d'ordinateurs doivent appliquer cette politique. Cliquez sur le bouton « Ajouter une règle d'application ».
Figure 8 : La politique de remédiation après sa création, mais avant sa mise en œuvre.
Sur cette page, plusieurs options vous sont proposées pour cibler des groupes d'ordinateurs dynamiques ou des ordinateurs spécifiques par nom dans le cadre de l'application des mesures correctives. Les opérations de mise en conformité peuvent être exécutées une seule fois ou programmées pour se répéter à intervalles réguliers, afin de garantir que tout nouveau système concerné fasse l'objet d'une mise en conformité.
Figure 9 : Les options d'application de la politique de correction.
Une fois la stratégie appliquée, les ordinateurs concernés indiqueront quelles tâches étaient concernées et ont été appliquées avec succès. Sur la capture d'écran ci-dessous, vous pouvez constater que la stratégie a été appliquée avec succès ; en examinant les résultats plus en détail, vous pouvez également constater que toutes les tâches ont été exécutées
Figure 10 : Page des résultats de la politique présentant l'état d'application de celle-ci ainsi que d'autres détails la concernant.
Maintenant que nous savons à quel point il est facile de créer et de gérer des tâches de correction, la dernière étape consiste à vérifier que la tâche s'est bien déroulée. N'oubliez pas que les tâches de correction peuvent être configurées pour être réitérées à intervalles réguliers. Si l'un des éléments répertoriés dans la tâche de correction venait à réapparaître, un conflit serait indiqué dans le statut de la tâche afin d'alerter l'utilisateur d'un problème potentiel. Grâce à cette nouvelle fonctionnalité, nous pouvons intégrer la phase de correction d'un incident dans nos workflows Tanium.
Figure 11 : Présentation détaillée des résultats de la correction, décrivant chaque étape de la politique et les mesures prises.
Tout mettre en perspective
Ces nouvelles fonctionnalités permettent aux équipes chargées de la gestion des incidents d'organiser et de gérer plusieurs politiques de correction. Cela transforme un processus réputé pour être fastidieux en un flux de travail simple et rationalisé. En accélérant la phase de remédiation, les équipes chargées de la gestion des incidents peuvent rapidement se concentrer sur les efforts de rétablissement et continuer à assurer la résilience du réseau.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
À propos de l'auteur: Aaron Goldstein est directeur au sein de l'équipe Endpoint Detection and Response (EDR) de Tanium. Il a rejoint Tanium après avoir exercé pendant 9 ans dans le domaine du conseil en gestion des incidents et de la gestion des renseignements sur les menaces. Lorsqu'il n'est pas occupé à veiller à la sécurité du monde, Aaron aime voyager dans des endroits reculés et faire de la randonnée.
