Lo que ha sucedido hasta ahora
La serie «Hunt or be Hunted» ha venido contando un tipo de historia: un cazador de amenazas de HuntIQ se adentra en el entorno de un cliente, lleva a cabo una búsqueda y descubre algo relevante. ShieldBreak. FalconFlank. RunMRU. En cada una de esas publicaciones, nos seguían planteando la misma pregunta: ¿cómo puedo ejecutar esto en mi propio entorno?
Para eso sirve HuntIQ Tradecraft.
En qué consiste HuntIQ Tradecraft
HuntIQ Tradecraft es una biblioteca en constante crecimiento de guías de estrategias de búsqueda publicadas en TRC. Cada entrada ha sido redactada por los mismos cazadores de amenazas que llevan a cabo la búsqueda en los entornos de los clientes, y cada una de ellas le proporciona lo necesario para llevarla a cabo en su propio entorno:
- La hipótesis « »: qué tipo de comportamiento de los atacantes se busca en la investigación y por qué.
- La pregunta sobre el sensor : la consulta exacta que debe ejecutarse en Tanium.
- El método de filtrado « »: cómo reducir el ruido sin perder la señal.
- Correlación con el marco ATT&CK — para que pueda comparar con lo que ya abarca su contenido actual.
- Patrones de falsos positivos : la actividad legítima que puede parecer sospechosa y cómo distinguirla.
- Condiciones previas y limitaciones : qué debe cumplirse para que la búsqueda funcione, y qué le revelará y qué no.
No se trata de material publicitario. Manuales tácticos. Escrito para los defensores, en el lenguaje que utilizan los defensores.
Algunos ejemplos de lo que contiene
Hoy en directo:
- Cuando el volumen es la clave — una búsqueda en la que el propio volumen de las alertas es la pista. Cómo se presenta el patrón, por qué la detección basada en reglas no lo detecta y cómo lo ponemos de manifiesto en Tanium.
- Detección de la ejecución de servicios desde directorios en los que el usuario puede escribir mediante Tanium : una técnica básica de persistencia y escalada de privilegios que la mayoría de los SOC nunca detectan. Los sensores de Tanium concretos y las consultas que los revelan.
Próximamente, en las próximas semanas:
- Cómo localizar una solución de TerminalFix cuando no hay ningún parche disponible — qué hay que buscar cuando la solución se refiere al comportamiento y no a un número de base de conocimientos.
- Detección del secuestro de COM y el uso indebido de CLSID mediante Tanium — una técnica de persistencia discreta y de gran valor que elude la mayoría de los sistemas de detección basados en reglas.
- Búsqueda de flujos de datos alternativos (ADS) : la superficie del sistema de archivos NTFS que la mayoría de las herramientas nunca analiza.
- Carga lateral de DLL : la técnica básica de elusión de defensas que sigue funcionando porque todo el mundo carga DLL.
- Persistencia de la suscripción a eventos WMI : el punto de apoyo de un actor sofisticado que se encuentra al margen de los procesos de ejecución automática habituales.
- Ejecute RunMRU para detectar la exposición de credenciales : analice los lugares donde los usuarios escriben realmente y lo que se detecta más allá de la hipótesis para la que lo ha creado.
El catálogo seguirá ampliándose. Si una campaña publicitaria ha dado sus frutos en un entorno de clientes, acabará aquí.
Dónde encaja el servicio HuntIQ
HuntIQ Tradecraft es una herramienta que cualquier cliente de Tanium puede empezar a utilizar de inmediato. El servicio HuntIQ lo conforman las personas que lo han creado.
Cuando contrata los servicios de HuntIQ, un equipo de expertos en la detección de amenazas trabaja de forma activa junto a usted en su implementación de Tanium. Ejecutan los guiones estratégicos en HuntIQ Tradecraft. Se encargan de ajustar su contenido de detección. Desarrollan nuevas estrategias de detección basadas en las técnicas que utilizan los atacantes en otros puntos del entorno. Y lo hacen con Atlas —el sistema operativo autónomo de Tanium—, que activa todas las funciones pertinentes de Tanium en paralelo en toda su flota en el momento en que surge una hipótesis. Lo que antes requería horas de clasificación, análisis, correlación y contención, ahora se resuelve en cuestión de minutos, con un veredicto estructurado listo para que lo apruebe con un solo clic.
Las técnicas de seguridad son de dominio público para los clientes de Tanium. La sentencia es el servicio. Si desea ambas cosas, eso es precisamente lo que ofrece HuntIQ.
Cómo utilizar HuntIQ Tradecraft en su entorno
- Acceda a , help.tanium.com, (se abre en una nueva pestaña),y , y vaya a «HuntIQ Tradecraft».
- Elija una estrategia que se adapte a una laguna en su cobertura que sepa que tiene. Lea la hipótesis. Aplique esta pregunta sobre el sensor a su propio patrimonio. Aplique el método de filtrado.
- Consulte la correspondencia con el marco ATT&CK en relación con su contenido actual. Si ninguna de las reglas que ya tiene en funcionamiento cubre esa técnica de la misma manera, deberá añadir una nueva regla de detección.
- Vuelva a visitarnos, ya que publicaremos nuevas entradas sobre técnicas de investigación con regularidad, basadas en lo que nuestros investigadores están descubriendo en estos momentos.
Empiece a buscar
- Lea las guías prácticas de HuntIQ Tradecraft en TRC: (se abre en una nueva pestaña),y (se requiere acceso a TRC como cliente de Tanium).
- Obtenga más información sobre el servicio HuntIQ en.
- Póngase al día con la serie « : Hunt or be Hunted» (: Cazar o ser cazado) en el blog de Tanium, donde encontrará historias —en las que se mantiene el anonimato de los clientes— que se esconden tras las técnicas de trabajo.
