מה זה השירות
חיפוש יזום ומכוון במערכות שלכם אחר תוקף שכבר נמצא בפנים ולא הפעיל אף התראה.
רוב הארגונים מגלים שנפרצו רק כשמישהו מבחוץ מודיע להם. עדיף שזה לא יהיה לקוח.
כלי האבטחה שלכם תופסים את מה שהם נבנו לזהות. הציד מחפש את מה שהם לא: פעילות שקטה שנראית לגיטימית לגמרי. התחברות תקינה ממקום לא צפוי, כלל העברת דואר שאיש לא יצר, כלי ניהול שרץ בשעה מוזרה.
למי זה מיועד
ציד איומים מיועד לארגונים שרוצים לדעת אם כבר נפרצו, גם כשאין התראות ואין שום סימן גלוי לתקיפה. הסיבות הנפוצות לפנייה:
- פריצה בענף שלכם. ספק, שותף או מתחרה נפרץ, ואתם רוצים לדעת אם גם אצלכם
- פרטי התחברות שדלפו. סיסמאות של עובדים שצצות בדליפה, או שנגנבו בידי תוכנה זדונית שאוספת סיסמאות מהמחשב
- רכישה או מיזוג. רכשתם או מיזגתם חברה, ואף אחד לא באמת יודע מה עבר על הסביבה שלה
- התראה שנסגרה ומעולם לא הוסברה. תויגה כ-false positive, בלי ראיה לכאן או לכאן
- התרעה ממערך הסייבר. הגיעה אליכם התרעה, ואתם צריכים לדעת אם היא נוגעת אליכם בפועל
- ודאות אחרי אירוע. הוכחה שהתוקף באמת יצא ולא רק שקט
- דרישה מבחוץ. מבטח סייבר בחידוש הפוליסה, שאלון אבטחה של לקוח ארגוני, היערכות ל-ISO 27001 או לתיקון 13 לחוק הגנת הפרטיות. כולם רוצים תשובה מבוססת ראיות, לא הצהרה
- אף אחד מעולם לא באמת בדק. הסיבה הנפוצה מכולן
ממצאים מצידים קודמים
בציד שערכתי בבנק בחו"ל התגלה עובד שבמשך חודשים התקין דלתות אחוריות על מחשבים שנשארו פתוחים וללא השגחה. שום דבר בסביבה לא סימן את זה.
אצל לקוח אחר נמצא webshell שנכתב במיוחד עבור התקיפה, ישב על שרת במשך חצי שנה וגנב מידע של לקוחות.
אף אחד מהשניים לא התגלה בגלל התראה. שניהם התגלו כי מישהו חיפש.
מה מקבלים
- דוח ציד. כל השערה שנבדקה, הנתונים שנבחנו עבורה והמסקנה, כך שגם התוצאות הנקיות מתועדות
- ממצאים וראיות. כל ממצא מאושר או חשוד, עם הראיה שמאחוריו, עד לאן הגיע ומה לעשות קודם
- פערי גילוי: איפה אתם פשוט לא רואים. מקורות לוג חסרים, חלונות שמירת נתונים קצרים מדי, והמקומות בסביבה שבהם תוקף לא ייראה
- מפת כיסוי. טכניקות התקיפה שנבדקו, ממופות ל-MITRE ATT&CK, ואלה שהנתונים הקיימים אצלכם לא אפשרו לכסות, כדי שתדעו מה נבדק ומה לא
- שאילתות ציד לשימוש חוזר. השאילתות עצמן עוברות אליכם, כדי שהצוות שלכם או ספק השירות שלכם יריצו אותן שוב בעצמם. ואם אתם מעדיפים לא להחזיק את זה אצלכם, אני יכול להריץ אותן עבורכם מדי תקופה
- תוכנית פעולה לפי סדר עדיפויות. לפי כמה סיכון כל סעיף מוריד ביחס למאמץ שהוא דורש, ולא לפי תווית חומרה
- תקציר מנהלים. כתוב כך שהנהלה לא טכנית יכולה להחליט ולפעול לפיו
איך זה עובד
ציד אינו סריקה ואינו כלי שמפעילים על הרשת. הוא מתנהל כמעגל: מנסחים השערה ספציפית שאפשר לבדוק, איך תוקף היה פועל דווקא בסביבה שלכם, ואז מחפשים בנתונים את העקבות שהיא מנבאת. כל תשובה מחדדת את השאלה הבאה.
- 1 · אפיון ובסיס
- 2 · השערות
- 3 · ביצוע הציד
- 4 · מיון ואימות
- 5 · דיווח ומסירה
מעגל: המיון מזין קצוות חוט חדשים בחזרה להשערות, והמסירה מזינה את הציד הבא
| שלב | מה קורה בו |
|---|---|
| 1 · אפיון ובסיס | הבנת הסביבה, מה קריטי בה, ואיזו טלמטריה קיימת בפועל, ולכמה זמן. הגדרת "נורמלי", כי הציד הוא במידה רבה היכולת לזהות את החריג. |
| 2 · השערות | רשימת השערות מתועדפת, שכל אחת מהן ניתנת לבדיקה ("תוקף עם סיסמה תקינה קורא דואר דרך כלל העברה", "כלי גישה מרחוק הותקן ומופעל מחוץ לשעות"), על בסיס מודיעין איומים רלוונטי לתחום שלכם, הארכיטקטורה שלכם והתנהגות תוקפים מוכרת. |
| 3 · ביצוע הציד | מריצים שאילתות על נתוני הזהויות, הדואר, נקודות הקצה והרשת, ומחפשים את העקבות שכל השערה מנבאת. כל דבר חריג שלא מתאים לאף השערה נבדק גם הוא. שם צידים מוכיחים את עצמם לרוב. |
| 4 · מיון ואימות | הפרדה בין הסבר תמים לממצא אמיתי. כל קצה חוט מקבל הסבר או עולה להמשך טיפול, שום דבר לא נשאר "כנראה בסדר", וממצאים חדשים מוזנים בחזרה למערך ההשערות. |
| 5 · דיווח ומסירה | ממצאים כתובים, פערי הגילוי, השאילתות לשימוש חוזר, תוכנית מתועדפת וסקירה לצוות הטכני ולהנהלה. |
מה אני צריך מכם
זה משתנה מלקוח ללקוח, אבל בפועל מדובר בשני דברים:
- גישת קריאה בלבד ללוגים ולנתוני הפעילות שלכם. זהויות, דואר, נקודות קצה ורשת, וכל מקור לוג נוסף שנשמר אצלכם. הגישה היא לקריאה בלבד: שום דבר בסביבה לא משתנה, ואין צורך להתקין סוכן או כלי כלשהו כדי לבצע את הציד
- איש קשר טכני או איש אבטחה אחד מצדכם. מי שיכול לאשר את הגישה, להרחיב אותה כשהציד מעלה שאלות חדשות, ולהגיד לי מה נחשב נורמלי בסביבה שלכם
ציד סטנדרטי אורך כעשרה ימי עסקים. מעבר למתן הגישה בהתחלה ולמענה על שאלה פה ושם, איש ה-IT שלכם כמעט לא מעורב בזמן שהציד רץ. אחריו, כמות העבודה שתיפול על הצוות שלכם תלויה במה שנמצא.
מי מבצע את העבודה
אני מוביל את העבודה בעצמי. יש לכם איש קשר אחד מתחילת הדרך ועד סופה. כשהעבודה דורשת ידיים נוספות או התמחות ספציפית, אני מצרף אנשי מקצוע שעבדתי איתם בעבר, תחת אותם תנאי סודיות, ואתם תמיד יודעים מי נוגע במערכות שלכם.
סודיות
מה שתספרו לי, ומה שאמצא, נשאר בינינו. סודיות מלאה מובטחת לאורך כל העבודה וגם אחריה, ואפשר לחתום על הסכם סודיות עוד לפני שנכנסים לפרטים. הנתונים שלכם יושבים אצלי רק כל עוד העבודה דורשת זאת. אחרי שנעבור יחד על הדוח, הם נמחקים מהמערכות שלי.
התקנים שלפיהם העבודה מתבצעת
- MITRE ATT&CK. שפה משותפת לתיאור התנהגות תוקפים, ובסיס למפת הכיסוי
- TaHiTI. Targeted Hunting integrating Threat Intelligence: מתודולוגיית הציד המובנית שמונחית מודיעין
- PEAK. מבנה ציד מבוסס היפותזה, כולל תיעוד של מה נשלל ולא רק של מה נמצא
- NIST CSF 2.0. הפונקציות שאליהן ממופים הממצאים והפערים
אחרי הציד
רוב פעילויות הציד מסתיימות ברשימה קצרה של פערים. סגירת הפערים, בין אם לוגים ושמירת נתונים, חיזוק זהויות, כיוונון EDR, הפיכת ממצאים להתראות אוטומטיות או ציד חוזר במחזוריות קבועה, זמינה כהמשך עבודה, ולעולם לא כתנאי להתקשרות.