سلام و درود
شب بخیر
امروز سر کار بحث فنی بسیار جالبی و آموزنده ای داشتیم در خصوص شکار تهدیدات، حیفم آمد به اشتراک نذارم:

ما شکار تهدیدات رو به دو بخش تقسیم کردیم:
structured و unstructured!

شکار ساختار یافته (structured) مبتنی بر evidence هست. حالا این evidence میتونه یک ioa باشه، یه گزارش ti باشه، خروجی فعالیت purple teaming باشه.

شکار بدون ساختار (unstructured) مبتنی بر دیتا هست. حالا این دیتا میتونه از گزارشات امنیتی، از ti که هنوز تبدیل به Detection rule نشده، گزارشات red team، از حتی اخبار امنیتی باشه.

جفت این مدل‌ها، مارو هدايت میکنه سمت ایجاد فرضیه!

حالا این فرضیه میتونه بصورت ساختار یافته تو شبکه جستجو شه با اسکوپ مشخص (معمولا mitre att&ck رو به عنوان چارچوب کار انتخاب می‌کنند و متمرکز روی post exploitation)!
یا
فرضیه بدون ساختار خاصی و مبتنی بر discovery انجام شده پای مثلا یک سیستم ادامه پیدا کنه!

حالا این وسط soc میگه منم دارم فرایند Purple teaming رو میبرم جلو! ضعف هام رو شناسایی میکنم و براشون Detection rule مینویسم! از طرفی اگر هم visibility gap داشته باشم، اونم از گزارشات red team که purple teaming پردازش میکنه agent روش نصب میکنم و پوشش میدم! این وسط یه سوال ایجاد میشه که: چرا باید Hunting داشته باشیم؟ احیانا overlap نداره کارها؟ تو نگاه اول، claim بسیار منطقی هست! من خودم عمیق به فکر فرو رفتم! واقعا چرا hunting میخواهیم؟ نکنه overlap داریم واقعا؟!

برای پاسخ به این سوال، اول باید بفهمیم رویکرد hunting چیه؟ اون چیزی که من متوجه شدم از hunting، این هست که فعالیتی‌ست proactive جهت یافتن شواهد یا دیتایی از تهدیدات با پیش‌فرض دور خوردن مکانیزم‌های امنیتی!
از نگاه threat hunting، تمامی Detection rule ها، قابلیت دور خوردن دارند! حتی اونایی که با * نوشته شدن😁!

شکار هست که این گپ‌هارو کاور کنه و در نهایت کمک کنه به detection بهتر به عنوان یک لایه دیگه!

چرا یه لایه دیگه میخواهیم؟ بخاطر defense in depth؟
شاید اگر ‌کتاب Time-Based Security رو میخوندیم یا خلاصه ای که مهندس مولایی عزیز برای تنبل‌هایی مثل من گذاشته یه نگاهی بندازیم: معماری امن میگه شما باید معادله‌ی p>d+r رو برقرار کنی برای سیستم! وگرنه امنیت شما زیر سوال خواهد بود!
مثال بزنم:
اگر p که نشان از protection داره ۲ ساعت بتونه جلوی حملات سایبری دووم بیاره، یا اینطوری نگاهش کنیم که ۲ ساعت طول میکشه که دورش بزنن، سرعت detection و response ما باید الزاما زیر ۱ ساعت و ۵۹ دقیقه باشه که بتونیم ادعا کنیم سیستم امن مونده!

حالا سوال: چقدر طول میکشه قوانین detection ما دور بخوره؟
کی قراره این تیکه رو کاور کنه و proactice بگرده تو شبکه دنبال همین شواهد؟
کجا بهتر از soc میتونه از خروجی شکار نفع ببره؟
شکار تهدیدات به عنوان یک بازوی عملیاتی proactive برای soc میتونه تو کاهش سرعت detection تاثیر بسزایی در بهبود عملکرد soc داشته باشه!

برای شکار، visibility حرف اول رو میزنه! جایی که visibility نباشه، صِرف نصب کردن agent شما به detection نمیرسی! اگر اینطوری بود که همه agent نصب می‌کردند و امن می‌شدند و detection برقرار میشد براشون! برای تمام‌ حملات میشه detection نوشت؟ اگر اوکیه که من تمام detection ruleهای دنیا رو میدم بهتون بزنید تو سامانه‌هاتون و برید خونه بخوابید راحت!
این نگاه رو شما هم بهش فکر کنید نظر بدید!

یادمون نره نگاه شکار تهدیدات بر این مبنا بود که Detection های ما توسط مهاجم همین الان bypass شده!

این نتیجه‌ای بود که ما بعد از ۲ ساعت جلسه فنی سنگین با همکارامون گرفتیم!
حالا منتظر نظرات و ایده‌هاتون هستم ببینم کجای راه رو سمت شکار تهدیدات اشتباه رفتیم، اصلاحش کنیم!