📚 Азиатские APT-группировки: тактики, техники и процедуры.

• 5 уникальных историй, которые легли в основу 370 страниц отчета:

- Инциденты с участием азиатских APT-группировок;
- Описание TTPs, обнаруженных нами у азиатских APT-группировок;
- Анализ действий атакующих на основе «Unified Kill Chain»;
- Описание митигаций рисков, основанное на перечисленных TTPs;
- Статистика по жертвам азиатских группировок в мире, включающая разделение по странам и индустриям;
- Sigma-правила.

➡️ Источник.

#Отчет #ИБ #SOC #DFIR

👨‍💻 Анализ логов хоста в контексте контейнерных угроз: как определить точку начала атаки.

• Контейнеры обеспечивают изолированность среды выполнения для приложений, однако уровень этой изоляции часто переоценивают. Хотя контейнеры включают все необходимые зависимости и обеспечивают единообразие среды, они все равно обращаются к ядру системы хоста, что создает определенные риски для безопасности.

• Среды с ограниченной видимостью затрудняют работу специалистов по киберугрозам и реагированию на инциденты, поскольку в них сложно однозначно отличить процессы, запущенные внутри контейнера, от тех, что выполняются непосредственно на хосте. Из-за этой неопределенности трудно установить, откуда на самом деле началась атака — в скомпрометированном контейнере или непосредственно на хосте.

• В этой статье мы разбираемся, как восстановить цепочку выполнения процессов внутри работающего контейнера на основе логов хоста. Описанные методы помогут специалистам по киберугрозам и реагированию на инциденты определять первопричину компрометации исключительно на основе логов, собранных на уровне хоста.

➡Риски для контейнеризованных сред;
➡Как создаются контейнеры и как они работают;
➡Как BusyBox и Alpine выполняют команды;
➡Примеры из реальных расследований.

➡️ https://securelist.ru/host-based-logs-container-based-threats/112780/

#ИБ #soc

• На хабре опубликовали хорошу статью по созданию лаборатории для исследования малвари, инструментов и процедур (PoC) в виртуальной среде для Linux-платформ.

• Материал пригодиться для понимания работы ВПО, написания митигации и детекции против них, а так же поиска паттернов в вашей инфраструктуре! На выходе мы получим список из артефактов, которые сможем использовать в работе.

• Ожидается, что мы сможем дампить сетевой трафик, а так же рассматривать открытый и закрытый исходный код сэмпла в поисках подозрительных паттернов.

• Преимущества такой лаборатории следующие:
➡Существует мало современных SandBox решений, которые могут предоставить детализированный сырой лог сетевой и системной активности для Linux-платформ;
➡Обычно SandBox очень легко обходят, уводя в сон вредонос, проверяя локации, раскладки и прочие атрибуты. В данном решении вы сможете увидеть, спит ли сэмпл, а так же использовать свои ресурсы, чтобы увеличить время трассировки в отличии от стандартных 500 секунд песка.
➡User execution очень органичен в стандартных решениях, необходимо использовать скрипты для выполнения дополнительных задач. В данном, ваша лаба полностью управляема вами.
➡Возможность имитировать ифнраструктуру вокруг сэмпла, часто может пригодиться для исследования инструментов.

• Все круто, но не без недостатков:
➡Остается возможность прикрутить движки для вывода вердиктов, но лаба предназначена для ручного анализа;
➡Нужна другая архитектура для тестирования атак на пространство ядра, так как здесь ядро ОС общее;
➡Использование собственных ресурсов, вместо сервисных;

• Архитектура представляет контур в рамках узла, где основные инструменты исследования будут развернуты в качестве драйвера pcap, бинарного файла strings, механизма eBPF и нормализатора на Python, а сэмпл будет воспроизводиться в контейнере.

• Для изоляции двух сред будем использовать возможности Podman, который создаст нам виртуальное пространство с новыми namespace. Они должны ограничить возможность коммуникации, с другими обьектами. Seccomp запретит заражение пространства ядра, ограничив bpf, pivot_root, unshare, setns. Чтобы процесс не мог выйти из своего namespace или создать новый. Сgroup позволит выдать нужное количество ресурсов, а iptables разграничит по сети.

➡ Читать статью [15 min].

#Malware #SOC #Песочница