खतरे की शिकार में महारत: एक व्यावहारिक गाइड

खतरे की शिकार पारंपरिक सुरक्षा मॉडल को उलट देती है: सतर्कताओं की प्रतीक्षा करने के बजाय, आप सक्रिय रूप से समझौते को मान लेते हैं और सबूत खोजने जाते हैं। जब सही तरीके से की जाती है, तो यह उन विरोधियों को पकड़ता है जो स्वचालित रक्षा को भेद जाते हैं। यह गाइड एक व्यावहारिक, दोहराने योग्य प्रक्रिया के माध्यम से चलता है जिसे आप अपने संगठन के आकार या उपकरण सेट की परवाह किए बिना लागू कर सकते हैं।

शिकार क्यों महत्वपूर्ण है

हस्ताक्षर-आधारित पहचान और यहां तक कि अधिकांश व्यवहारिक विश्लेषण केवल ज्ञात-खराब पैटर्न या स्पष्ट विसंगतियों को पकड़ते हैं। कुशल हमलावर जानबूझकर उस सीमा के नीचे काम करते हैं, वैध उपकरण (land-off-the-land binaries) का उपयोग करते हैं, मान्य प्रमाण पत्र का उपयोग करते हैं, और धीमी, धैर्यपूर्ण गति बनाए रखते हैं। खतरे की शिकार एक मानव विश्लेषक को हमलावर के व्यवहार के बारे में परिकल्पना बनाने और आपके टेलीमेट्री में सक्रिय रूप से समर्थक साक्ष्य खोजने से इस अंतर को बंद करता है।

परिकल्पना-संचालित प्रक्रिया बनाएं

प्रभावी शिकार एक खुले सिरे वाली मछली पकड़ने की यात्रा के बजाय एक विशिष्ट, परीक्षण योग्य परिकल्पना के साथ शुरू होती है। अच्छी परिकल्पनाएं आमतौर पर तीन स्रोतों से आती हैं:

• खतरा बुद्धिमत्ता: एक नई रिपोर्ट एक समूह द्वारा उपयोग की जाने वाली तकनीक का वर्णन करती है जो आपके उद्योग को लक्षित करता है। परिकल्पना: "अगर यह समूह हमारे वातावरण में सक्रिय है, तो हम PowerShell को एक विशिष्ट पैटर्न के माध्यम से पेलोड डाउनलोड करते हुए देखेंगे।"
• MITRE ATT&CK अंतराल: अपने वर्तमान पहचान कवरेज को ATT&CK तकनीकों के विरुद्ध मैप करें और उन तकनीकों के लिए शिकार को प्राथमिकता दें जिन्हें आप स्वचालित रूप से पहचान नहीं सकते।
• विसंगति-संचालित जिज्ञासा: असामान्य लॉगिन समय, दुर्लभ parent-child प्रक्रिया संबंध, या अप्रत्याशित आउटबाउंड कनेक्शन जो सतर्कताएं ट्रिगर नहीं करते लेकिन समीक्षा पर अजीब लगते हैं।

प्रत्येक परिकल्पना, आप जिन डेटा स्रोतों को क्वेरी करेंगे, और क्या साक्ष्य इसकी पुष्टि या खंडन करेगा, इसे दस्तावेज़ित करें। यह अनुशासन शिकार को अनफोकस्ड होने से रोकता है और परिणाम को पुनरुत्पादन योग्य बनाता है।

अपने डेटा स्रोतों को जानें

शिकार केवल इसके पीछे की टेलीमेट्री जितनी अच्छी है। मुख्य स्रोतों में शामिल हैं:

• Endpoint Detection and Response (EDR) लॉग: प्रक्रिया निर्माण, कमांड-लाइन तर्क, फ़ाइल लेखन, प्रति प्रक्रिया नेटवर्क कनेक्शन।
• Windows Event Logs: विशेष रूप से Security (4624/4625 लॉगऑन), Sysmon (प्रक्रिया निर्माण, नेटवर्क, रजिस्ट्री), और PowerShell परिचालन लॉग।
• नेटवर्क डेटा: कनेक्शन मेटाडेटा के लिए NetFlow/Zeek लॉग, DNS क्वेरी लॉग, और आउटबाउंड वेब ट्रैफ़िक के लिए प्रॉक्सी लॉग।
• प्रमाणीकरण लॉग: असंभव यात्रा या प्रमाण पत्र दुरुपयोग को देखने के लिए पहचान प्रदाताओं, VPN, और निर्देशिका सेवाओं से।
• क्लाउड ऑडिट लॉग: विशेषाधिकार परिवर्तन और API दुरुपयोग के लिए CloudTrail, Azure Activity Logs, या GCP Audit Logs।

इन्हें एक SIEM या डेटा झील में केंद्रीकृत करें जहां आप तेजी से ad-hoc क्वेरी चला सकें। यदि आपकी प्रतिधारण बहुत कम है, तो ऐतिहासिक घुसपैठ के विरुद्ध शिकार असंभव हो जाती है—जहां संभव हो कम से कम 90 दिन का लक्ष्य रखें।

व्यावहारिक शिकार तकनीकें

Stack counting (frequency analysis): एक फ़ील्ड—parent प्रक्रिया नाम, अनुसूचित कार्य नाम, सेवा नाम—के आपूर्तियों को आपके पूरे वातावरण में गिनें। Outliers (एक प्रक्रिया दस हजार में से एक होस्ट पर चल रही है) अक्सर कुछ जांच के लायक इंगित करते हैं।

SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;

Least frequency of occurrence (LFO): Stacking के समान लेकिन संयोजन पर लागू किया गया, जैसे प्रमाणीकरण के लिए (user, source_ip) जोड़े, दुर्लभ पहुंच पैटर्न को सामने लाने के लिए।

Baseline deviation: एक होस्ट या उपयोगकर्ता के लिए "सामान्य" क्या दिखता है (विशिष्ट लॉगिन समय, सामान्य प्रक्रियाएं) और विचलन को चिह्नित करें। यह प्रोफाइलिंग में प्रारंभिक निवेश की आवश्यकता है लेकिन चल रही शिकार के लिए भुगतान करता है।

Pivoting on IOCs and TTPs: एक ज्ञात संकेतक (hash, domain, IP) या तकनीक (जैसे, T1055 प्रक्रिया इंजेक्शन) से शुरू करें और सभी उपलब्ध लॉग में संबंधित गतिविधि के लिए खोजें, फिर संबंधित बुनियादी ढांचे या प्रभावित होस्ट खोजने के लिए किसी भी हिट से बाहर की ओर pivot करें।

सीखने के लायक उपकरण

• Sysmon + Sigma rules: Sysmon समृद्ध endpoint टेलीमेट्री प्रदान करता है; Sigma आपको SIEM प्लेटफॉर्म में पहचानने और शिकार के लिए एक पोर्टेबल नियम प्रारूप देता है।
• Velociraptor or osquery: जब आप सैकड़ों endpoint को अभी के लिए एक विशिष्ट कलाकृति के लिए जांचने की आवश्यकता हो तो fleet-wide लाइव क्वेरीिंग के लिए।
• Zeek: साधारण NetFlow से परे गहन नेटवर्क प्रोटोकॉल विश्लेषण के लिए।
• MITRE ATT&CK Navigator: समय के साथ शिकार कवरेज को ट्रैक और visualize करने के लिए।

लूप को बंद करना

प्रत्येक शिकार "कुछ नहीं मिला" से परे एक परिणाम का उत्पादन करना चाहिए। यदि आप दुर्भावनापूर्ण गतिविधि की पुष्टि करते हैं, तो इसे घटना प्रतिक्रिया में फीड करें। यदि आप दृश्यमानता में अंतराल पाते हैं, तो उन्हें पहचान इंजीनियरिंग टिकट के रूप में फ़ाइल करें। यदि एक शिकार तकनीक मूल्यवान साबित होती है, तो इसे एक स्वचालित पहचान नियम में बदलें ताकि भविष्य की instances मैनुअल प्रयास के बिना सतर्कता को ट्रिगर करें। यह खतरे की शिकार को एक एकबारा व्यायाम के बजाय आपके पूरे सुरक्षा कार्यक्रम के लिए एक निरंतर सुधार इंजन में बदल देता है।

परिकल्पनाओं, उपयोग की गई क्वेरी, और निष्कर्षों के साथ एक शिकार लॉग रखें—यह संस्थागत ज्ञान समय के साथ जमा होता है और नई शिकार की अनबोर्डिंग को बहुत तेजी से बनाता है।

गहरे में जाने के लिए तैयार हैं? Korra Studio के Digital Forensics और Blue Team segments को देखें ताकि पहचान और जांच कौशल बनाए जा सकें जो खतरे की शिकार के साथ प्राकृतिक रूप से जोड़ी जाती हैं।