紫队与威胁检测
什么是紫队
紫队是一个虚拟的职能团队,由网络威胁情报、红队和蓝队组成,共同测试、测量和改进防御安全态势。其成员包括:
- 网络威胁情报:研究并提供对手战术、技术和相关程序(TTPs)
- 红队:模拟对手和TTP的攻击团队
- 蓝队:安全运营中心(SOC)、威胁狩猎、取证和事件响应(DFIR)或托管安全服务提供商(MSSP)
紫队演练流程
紫队演练流程包括以下步骤:
- 桌面推演:期望执行的TTP和安全控制演练,协调当前对手TTP和技术细节
- 红队模拟:模拟TTP并共享屏幕,以便所有人了解攻击样子
- 检测工程调整:对安全控制和日志记录进行调整,提高可见性
- 重复过程:重复上述步骤并记录结果,移至下一条TTP
- 蓝队跟踪:跟踪TTP检测流程与响应,分享屏幕内容以便人工鉴别
紫队运营
紫队运营主要包括以下方面:
- 检测工程:调整安全控制、日志记录、处置编排
- 组建TTPs:分析并编写TTPs
- 桌面推演:编排攻击仿真和安全控制流程
- 攻击仿真:模拟执行TTP及衍生绕过
- 威胁情报:收集新的网络威胁情报或TTPs
威胁组成部分
制造威胁所需的技术资源、能力和目的,包括:
- 目的:确认对手意图
- 能力:充分利用漏洞或薄弱环节
- 机会:情况机会
网络威胁情报收集
网络威胁情报收集包括:
- 开源&非共享威胁情报:识别对手
- 分析&甄别威胁:提炼TTPs
- 输出TTPs:通过分析提取特征
TTPs金字塔
TTPs金字塔分为三个层次:
- 战术:代表对手目标手段(如TA-006 - 凭据访问)
- 技术:代表战术目标过程(如T1003.001-OS 凭证转储 LSASS内存)
- 过程:此项技术是如何实施的(如攻击者使用procdump -ma lsass.exe lsass_dump过程)
TTP提取过程
以微软发现威胁攻击者针对SolarWinds Serv-U软件的0-day漏洞利用为例:
- 攻击者使用MSHTA.exe连接互联网
- 执行whoami并输出.txt文件
检测工程流程
紫队运营的检测工程流程包括:
- 信息收集:验证是否在事件产生周围收集了数据,检查日志是否存在可见性差距
- 处理:基于假设开展检测,通过广撒网验证假设,缩小搜索范围
- 传播:交付最终相关人员,包括安全运营、管理层、攻击能力团队等
检测工程的重点
检测工程的重点包括:
- 信息收集:收集与武器化漏洞利用、初始访问、部署C2目标上的行动相关的信息
- 处理:基于假设开展检测,通过广撒网验证假设,缩小搜索范围
- 传播:交付最终相关人员,包括安全运营、管理层、攻击能力团队等
核心驱动力
- 分析师及工具之间的熟练程度与能力:运营能力对于威胁理解程度,决定当前检测项与能力
- 威胁理解:了解当前的威胁形势至关重要
数据收集
数据采集包括:
- 需要收集的数据:确定需要收集的数据类型和位置
- 数据源优先级:确定数据源的优先级
运营能力
分析人员与工具之间的熟练度与能力,优秀的分析师和工具可以提高效率
威胁理解
了解当前的威胁形势至关重要,例如如果不知道Power Shell可以用于恶意活动,则不会作为检测项去检测它
检测工程:信息收集
验证是否在事件产生周围收集了数据,检查日志是否存在可见性差距,如果确定存在差距,则应将其修复或记录此问题
检测工程:处理
基于假设开展检测,通过广撒网验证假设,缩小搜索范围
开展假设
以微软发现威胁攻击者针对SolarWinds Serv-U软件的0-day漏洞利用为例,分析攻击者的行为和可能的检测方法
传播:结果产出
交付最终相关人员,包括安全运营、管理层、攻击能力团队等
传播:内容结构
利用警报和检测框架(ADS框架),包含目标、分类、战略摘要、技术背景、盲点和假设、误报、验证、优先、回复等部分
关注我们
安世加专注于网络安全行业,通过互联网平台、线上线下沙龙、峰会、人才招聘等多种形式,致力于创建亚太地区最好的甲乙双方交流学习的平台,培养安全人才,提升行业的整体素质,助推安全生态圈的健康发展。