La remédiation est sans doute l’étape la plus importante dans la réponse aux incidents, car elle garantit que les artefacts malveillants et autres restes d’activité des attaquants sont nettoyés pour s’assurer que l’environnement est plus résilient aux attaques similaires à l’avenir. Malheureusement, cette étape est souvent négligée ou les tâches sont réparties entre des équipes informatiques cloisonnées et peuvent se perdre dans l’éther. Tanium décompose ces silos avec une plateforme pour la détection, l’investigation et la remédiation en temps réel, le tout à partir d’une console unique. Une mise à jour récente du module Tanium Protect inclut de nouvelles fonctionnalités conçues pour accélérer le processus de remédiation et donner la confiance que ces menaces sont définitivement éradiquées. Cet article de blog décrira les étapes nécessaires pour guider les chasseurs de menaces lorsqu’ils parcourent leur environnement à la recherche d’artefacts malveillants et utilisent la nouvelle fonctionnalité de remédiation dans le module Tanium Protect.
Dès le début : un rapport de Threat Intelligence est publié
Une demande courante pour tout chasseur de menaces consiste à identifier la présence d’artefacts malveillants spécifiques, qu’ils proviennent de sources de renseignements payantes ou open source. Généralement, les chasseurs de menaces identifient les indicateurs de compromission (IOC) et recherchent dans leur environnement ces artefacts pour identifier s’ils sont affectés. Tanium dispose de plusieurs méthodes pour fournir cette fonctionnalité de recherche, et il n’a jamais été aussi facile de prendre des mesures sur les endpoints affectés. Dans cet exemple, nous couvrirons le workflow commun de renseignement sur les menaces provenant de sources de renseignement pour le nettoyage, en veillant à ce que les fichiers et autres IOC soient définitivement supprimés des endpoints affectés.
L’une des premières tâches à effectuer dans tout exercice de recherche de menaces est d’identifier les indicateurs ou les artefacts à rechercher dans l’environnement. Dans cet exemple, nous utiliserons un rapport de renseignements sur les menaces US-CERT pour Backoff Malware, un enregistreur de clés basé sur la mémoire qui est connu pour cibler les systèmes de point de vente dans le secteur de la vente au détail.
Figure 1 : extrait du rapport sur les logiciels malveillants de secours de l’US-CERT
Ce rapport fournit plusieurs IOC, y compris des noms de fichiers, des hachages de fichiers et des entrées de registre. Il est possible de copier l’ensemble de ce rapport et de créer une alerte Signal ou un indicateur OpenIOC pour rechercher l’environnement en quelques minutes. Cependant, à des fins de démonstration, nous validerons ces résultats manuellement à la place.
Recherche dans l’entreprise
Le premier artefact du système de fichiers à rechercher est le fichier malveillant « Javaw.exe », dans le chemin « C :\Users\\AppData\\Roaming\\OracleJava\\ ». Le sensor Tanium « Fichier de requête d’index et hachage » renvoie le chemin, le nom et le hachage des fichiers d’index qui correspondent aux paramètres de recherche fournis. Dans cet exemple, nous fournissons le chemin et le hachage à rechercher et toutes les instances sont renvoyées.
Figure 2 : Sortie du sensor « Index Query File and Hash » confirmant la présence de fichiers binaires Backoff
À partir de cette requête, nous pouvons voir qu’il y a plusieurs fichiers malveillants présents dans l’environnement qui doivent être supprimés. Avant de commencer la remédiation, explorons les autres indicateurs du rapport pour nous assurer que d’autres artefacts ne sont pas négligés.
Grâce au sensor « AutoRun Program Details », nous pouvons analyser rapidement tous les binaires persistants dans l’ensemble de l’entreprise. Étant donné que nous sommes intéressés par les entrées de registre qui se rapportent à notre rapport Backoff Intelligence, nous pouvons utiliser le filtre sur le côté droit, juste au-dessus de la grille de résultats, pour limiter les résultats à ceux qui incluent le hachage du logiciel malveillant. Nous savons maintenant qu’il existe plusieurs emplacements de persistance pour ce logiciel malveillant.
Figure 3 : Sortie du sensor « AutoRun Program Details », identifiant les mécanismes de persistance du backoff
Le sensor Tanium « Obtenir le contenu du dossier » fournit le contenu de tout dossier spécifié. En exécutant cela, nous pouvons voir que les autres IOC du rapport Backoff sont en fait présents.
Figure 4 : Sortie du sensor « Obtenir le contenu du dossier », confirmant les artefacts de retour supplémentaires
Créer une politique de remédiation pour le nettoyage
Pour résumer, nous avons validé que les artefacts du rapport Backoff Threat Intelligence sont présents dans l’environnement, et qu’un nettoyage est nécessaire. En utilisant les sensors référencés ci-dessus, nous avons les actions suivantes qui doivent être effectuées :
- Éliminez le processus javaw.exe
- Supprimer les fichiers javaw.exe et log.txt
- Supprimer les valeurs de registre :
- « HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service »
- « HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows NT Service »
Nous pouvons créer une nouvelle politique de remédiation Protect en accédant à la section Politiques dans le module Tanium Protect - l’option de créer une nouvelle politique se trouve dans le coin supérieur droit.
Figure 5 : la page de configuration de la politique Tanium Protect
Une fois sélectionnée, la page de configuration Ajouter une politique se chargera. Ici, il est possible de fournir le nom, la description et le type de la politique. Remplissez les détails et sélectionnez Type de politique comme remédiation.
Figure 6 : page de création de la politique de remédiation de Tanium Protect
Une fois le type de politique de remédiation sélectionné, un ensemble d’options pour configurer la politique s’affiche ci-dessous. Sélectionner « Ajouter une tâche » fournira des options pour prendre des mesures contre les endpoints. Comme indiqué ci-dessus, les tâches nécessaires pour notre exemple sont de supprimer le processus, de supprimer le fichier et de supprimer la clé de registre.
Tout d’abord, nous sélectionnerons « Processus de destruction » et fournirons le nom du processus. Une option pour spécifier une période de délai d’expiration, ainsi que la possibilité de définir un certain nombre de tentatives de nouvelle tentative, sont disponibles dans le workflow de remédiation. Une fois qu’une tâche est saisie, il est possible de sélectionner « Ajouter une tâche » pour ajouter des étapes supplémentaires à la politique de remédiation. La tâche suivante est « Supprimer le fichier ». Saisissez le chemin à supprimer. Des tâches supplémentaires peuvent être saisies comme indiqué dans la capture d’écran ci-dessous pour effectuer plus d’actions.
Notez que les caractères génériques peuvent être utilisés dans le chemin pour gérer des variables telles que les profils d’utilisateur. De plus, une fois que plusieurs tâches sont saisies, l’ordre des tâches peut être modifié en sélectionnant la zone à côté du numéro de tâche et en la faisant glisser vers l’emplacement souhaité. La gestion des erreurs peut être définie sur chaque tâche afin que la politique puisse se fermer ou être ignorée en cas d’erreur. Une fois toutes les tâches saisies, sélectionnez le bouton Créer et la politique sera créée.
Figure 7 : la tâche de remédiation complète créée pour nettoyer les artefacts de malware Backoff.
L’étape suivante consiste à décider quels systèmes ou groupes d’ordinateurs doivent appliquer la politique. Sélectionnez le bouton « Ajouter une mise en œuvre ».
Figure 8 : la politique de remédiation après la création, mais avant l’application.
Sur cette page, plusieurs options sont fournies pour cibler des groupes d’ordinateurs dynamiques ou des ordinateurs spécifiques par nom pour l’application de la remédiation. Les mises en œuvre peuvent être exécutées une fois ou planifiées pour se répéter à un intervalle défini pour s’assurer que tous les systèmes nouvellement affectés sont corrigés.
Figure 9 : les options d’application de la politique de remédiation.
Une fois la politique appliquée, les ordinateurs affectés signaleront les tâches applicables et appliquées avec succès. Dans la capture d’écran ci-dessous, nous pouvons voir que la politique a été appliquée avec succès ; en approfondissant les résultats, nous pouvons également voir que toutes les tâches ont été effectuées
Figure 10 : page des résultats de la politique montrant le statut de l’application et d’autres détails sur la politique.
Maintenant que nous savons à quel point il est facile de créer et de gérer des tâches de remédiation, la dernière étape consiste à valider que la tâche a été effectuée avec succès. N’oubliez pas que les tâches de remédiation peuvent être configurées pour être réappliquées sur un intervalle récurrent. Si l’un des artefacts répertoriés dans la tâche de remédiation réapparaît, un conflit sera répertorié dans le statut de la tâche pour informer l’utilisateur d’un problème potentiel. Grâce à cette nouvelle fonctionnalité, nous pouvons intégrer la phase de remédiation d’un incident dans nos workflows Tanium.
Figure 11 : analyse approfondie des résultats de remédiation décrivant chaque étape de la politique et les mesures prises.
Rassembler tout cela
Ces nouvelles fonctionnalités permettent aux intervenants en cas d’incident d’organiser et de gérer plusieurs politiques de remédiation. Cela convertit un processus notoirement ardu en un workflow simple et rationalisé. En accélérant la phase de remédiation, les intervenants aux incidents peuvent rapidement basculer vers les efforts de récupération et continuer à maintenir un réseau résilient.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
À propos de l’auteur : Aaron Goldstein est directeur de l’équipe de détection et de réponse des endpoints (EDR) de Tanium. Il a rejoint Tanium après 9 ans de conseil en réponse aux incidents et de gestion des renseignements sur les menaces. Lorsqu’il n’est pas déterminé à sécuriser le monde, Aaron aime se rendre dans des endroits reculés et faire de la randonnée.
