Nắm Vững Threat Hunting: Hướng Dẫn Thực Tiễn

Threat hunting lật ngược mô hình bảo mật truyền thống: thay vì chờ đợi các cảnh báo, bạn chủ động giả định rằng đã bị xâm phạm và tìm kiếm bằng chứng. Khi thực hiện tốt, nó bắt được những kẻ tấn công vượt qua các phòng chống tự động. Hướng dẫn này hướng dẫn qua một quy trình thực tiễn, có thể lặp lại mà bạn có thể áp dụng bất kể kích thước hoặc bộ công cụ của tổ chức.

Tại Sao Hunting Lại Quan Trọng

Phát hiện dựa trên chữ ký và thậm chí hầu hết phân tích hành vi chỉ bắt được các mẫu đã biết là xấu hoặc bất thường rõ ràng. Những kẻ tấn công kỹ năng cao cố tình hoạt động dưới ngưỡng đó, sử dụng công cụ hợp pháp (living-off-the-land binaries), thông tin xác thực hợp lệ và chuyển động chậm, kiên nhẫn. Threat hunting lắp đầy khoảng trống đó bằng cách có một nhà phân tích con người hình thành giả thuyết về hành vi của kẻ tấn công và chủ động tìm kiếm bằng chứng trong telemetry của bạn.

Xây Dựng Quy Trình Dựa Trên Giả Thuyết

Các cuộc hunt hiệu quả bắt đầu với một giả thuyết cụ thể, có thể kiểm chứng thay vì cuộc câu cá vô định hướng. Các giả thuyết tốt thường đến từ ba nguồn:

• Threat intelligence: Một báo cáo mới mô tả một kỹ thuật được sử dụng bởi một nhóm nhắm vào ngành công nghiệp của bạn. Giả thuyết: "Nếu nhóm này hoạt động trong môi trường của chúng tôi, chúng tôi sẽ thấy PowerShell tải xuống payloads qua một mẫu cụ thể."
• MITRE ATT&CK gaps: Ánh xạ phạm vi phát hiện hiện tại của bạn so với các kỹ thuật ATT&CK và ưu tiên hunts cho các kỹ thuật bạn hiện không thể phát hiện tự động.
• Anomaly-driven curiosity: Thời gian đăng nhập bất thường, mối quan hệ process cha-con hiếm, hoặc các kết nối outbound không mong đợi không kích hoạt cảnh báo nhưng trông kỳ lạ khi xem xét.

Ghi chép từng giả thuyết, các nguồn dữ liệu bạn sẽ truy vấn, và bằng chứng gì sẽ xác nhận hoặc bác bỏ nó. Kỷ luật này ngăn hunts trở nên thiếu tập trung và làm cho kết quả có thể tái tạo được.

Hiểu Rõ Các Nguồn Dữ Liệu Của Bạn

Một hunt chỉ tốt bằng telemetry đằng sau nó. Các nguồn cốt lõi bao gồm:

• Endpoint Detection and Response (EDR) logs: quá trình tạo, đối số dòng lệnh, ghi file, kết nối mạng trên mỗi process.
• Windows Event Logs: đặc biệt là Security (4624/4625 logons), Sysmon (process creation, network, registry), và PowerShell operational logs.
• Network data: NetFlow/Zeek logs cho metadata kết nối, DNS query logs, và proxy logs cho lưu lượng web outbound.
• Authentication logs: từ các nhà cung cấp danh tính, VPNs, và directory services để phát hiện impossible travel hoặc credential abuse.
• Cloud audit logs: CloudTrail, Azure Activity Logs, hoặc GCP Audit Logs cho thay đổi quyền hạn và API abuse.

Tập trung hóa những cái này trong một SIEM hoặc data lake nơi bạn có thể chạy các truy vấn ad-hoc nhanh chóng. Nếu retention của bạn quá ngắn, hunts chống lại các cuộc xâm nhập lịch sử trở nên không thể—nhắm đến ít nhất 90 ngày nếu có thể.

Kỹ Thuật Hunting Thực Tiễn

Stack counting (frequency analysis): Đếm lần xuất hiện của một field—tên process cha, tên scheduled task, tên service—trên toàn bộ môi trường của bạn. Các ngoại lệ (một process chạy trên một host trong mười nghìn) thường chỉ ra điều gì đó đáng điều tra.

SELECT parent_process, COUNT(*) as cnt
FROM process_events
GROUP BY parent_process
ORDER BY cnt ASC
LIMIT 50;

Least frequency of occurrence (LFO): Tương tự như stacking nhưng áp dụng cho các kết hợp, chẳng hạn như các cặp (user, source_ip) cho xác thực, để bề mặt các mẫu truy cập hiếm.

Baseline deviation: Thiết lập những gì "bình thường" trông giống như cho một host hoặc user (giờ đăng nhập điển hình, các process phổ biến) và cờ lệch. Điều này yêu cầu một khoản đầu tư ban đầu trong profiling nhưng trả hoa lợi cho các hunts tiếp tục.

Pivoting on IOCs and TTPs: Bắt đầu từ một chỉ báo đã biết (hash, domain, IP) hoặc kỹ thuật (ví dụ, T1055 process injection) và tìm kiếm trên tất cả các logs có sẵn cho hoạt động liên quan, sau đó pivot hướng ra từ bất kỳ hits để tìm cơ sở hạ tầng liên quan hoặc hosts bị ảnh hưởng.

Các Công Cụ Đáng Học

• Sysmon + Sigma rules: Sysmon cung cấp rich endpoint telemetry; Sigma cung cấp cho bạn một định dạng rule có thể di động để phát hiện và hunt trên các nền tảng SIEM.
• Velociraptor or osquery: Để truy vấn live trên toàn bộ fleet khi bạn cần kiểm tra hàng trăm endpoints cho một artifact cụ thể ngay bây giờ.
• Zeek: Để phân tích giao thức mạng sâu ngoài NetFlow đơn giản.
• MITRE ATT&CK Navigator: Để theo dõi và hình dung hunt coverage theo thời gian.

Đóng Vòng Lặp

Mỗi hunt nên tạo ra một kết quả ngoài "không tìm thấy gì." Nếu bạn xác nhận hoạt động độc hại, đưa nó vào incident response. Nếu bạn tìm thấy khoảng trống trong khả năng hiển thị, hãy lập các vé detection engineering. Nếu một kỹ thuật hunt chứng minh là có giá trị, chuyển đổi nó thành một detection rule tự động để các instance trong tương lai kích hoạt cảnh báo mà không cần nỗ lực thủ công. Điều này biến threat hunting thành một công cụ cải thiện liên tục cho toàn bộ chương trình bảo mật của bạn thay vì một bài tập một lần.

Giữ một hunt log với các giả thuyết, các truy vấn được sử dụng, và các phát hiện—kiến thức thể chế này cộng gộp theo thời gian và làm cho việc onboarding các hunters mới nhanh hơn nhiều.

Sẵn sàng đi sâu hơn? Khám phá Digital Forensics và Blue Team segments của Korra Studio để xây dựng các kỹ năng phát hiện và điều tra kết hợp một cách tự nhiên với threat hunting.