Wprowadzenie do problemu / definicja
Ocena skuteczności zabezpieczeń nadal bardzo często opiera się na tym, czy narzędzia ochronne wykrywają znane próbki malware, hashe, domeny lub inne wskaźniki kompromitacji. Taki model pozostaje potrzebny, ale nie oddaje pełnej odporności organizacji na współczesne ataki. Coraz większe znaczenie ma bowiem analiza zachowań napastnika, czyli weryfikacja, czy kontrola bezpieczeństwa potrafi zatrzymać samą technikę działania, niezależnie od użytego pliku, narzędzia czy kompilacji.
W praktyce oznacza to przejście od pytania „czy system rozpoznał znany artefakt?” do pytania „czy system potrafił zablokować ten sam cel operacyjny realizowany inną metodą?”. To właśnie w tej różnicy ujawniają się najpoważniejsze luki w nowoczesnych programach bezpieczeństwa.
W skrócie
- Średnia skuteczność mechanizmów prewencyjnych miała wzrosnąć do 69%, ale wynik ten nie pokazuje pełnego obrazu odporności.
- W testach tej samej techniki pozyskiwania poświadczeń wyniki znacząco się różniły w zależności od wariantu wykonania.
- Klasyczny odczyt pamięci LSASS był blokowany znacznie częściej niż alternatywne ścieżki dostępu do danych uwierzytelniających.
- Po uzyskaniu dostępu do środowiska skuteczność blokowania działań post-compromise pozostawała wyraźnie niższa.
- Wniosek jest prosty: wysoka skuteczność wobec znanych próbek nie musi oznaczać wysokiej odporności na rzeczywiste TTP przeciwnika.
Kontekst / historia
Przez lata rynek cyberbezpieczeństwa rozwijał się wokół mechanizmów wykrywania opartych na sygnaturach, reputacji i znanych wskaźnikach kompromitacji. Taki model był szczególnie skuteczny na brzegu sieci, gdzie bramki pocztowe, systemy proxy, zapory i inne rozwiązania filtrujące mogły szybko rozpoznawać wcześniej sklasyfikowane zagrożenia.
Problem pojawia się jednak wtedy, gdy atakujący nie zmienia celu, lecz jedynie sposób jego realizacji. Jeśli przeciwnik chce zdobyć poświadczenia, wykonać rekonesans domenowy lub przygotować ruch lateralny, może użyć innego narzędzia, zmodyfikowanej kompilacji albo natywnego komponentu systemowego. Z punktu widzenia bezpieczeństwa biznesowego skutek pozostaje ten sam, ale system ochronny oparty głównie na sygnaturach może takiej aktywności nie rozpoznać.
To właśnie dlatego coraz większy nacisk kładzie się na walidację TTP, czyli technik, taktyk i procedur przeciwnika. W tym podejściu nie bada się jedynie konkretnego pliku lub narzędzia, lecz odporność organizacji na zachowanie atakującego jako takie.
Analiza techniczna
Kluczowa różnica przebiega między testami IOC-based a testami behavioral lub TTP-based. W pierwszym modelu sprawdza się, czy system rozpoznaje znany artefakt. W drugim bada się, czy zabezpieczenie wykryje i zatrzyma określone działanie niezależnie od sposobu jego implementacji.
Dobrym przykładem jest pozyskiwanie poświadczeń w systemie Windows. Klasyczny odczyt pamięci procesu LSASS jest od lat intensywnie monitorowany przez rozwiązania EDR i AV. Dzieje się tak dlatego, że scenariusz ten generuje charakterystyczne zdarzenia, takie jak otwarcie uchwytu do procesu, dostęp do pamięci oraz sekwencje operacji dobrze znane systemom telemetrycznym.
Znacznie trudniej wygląda sytuacja, gdy napastnik wybiera inną ścieżkę techniczną. Odczyt alternatywnych lokalizacji w pamięci albo pobranie LSA Secrets z rejestru może nie generować równie wyrazistego zestawu sygnałów alarmowych. Jeżeli produkt bezpieczeństwa został zoptymalizowany pod kątem jednego, najpopularniejszego wzorca, może nie wykryć innej implementacji tej samej techniki.
Dodatkowo skuteczność ochrony opartej na sygnaturach można relatywnie łatwo osłabić. Wystarczy rekompilacja narzędzia, zmiana ciągów znaków, użycie ładowania refleksyjnego, rezygnacja z zapisu na dysk albo zastąpienie znanego narzędzia innym komponentem. Dla obrońcy końcowy rezultat pozostaje niebezpieczny: przeciwnik nadal uzyskuje dostęp do materiału uwierzytelniającego, choć robi to mniej oczywistą drogą.
Analizowany materiał pokazuje też istotną dysproporcję między ochroną perymetru a ochroną po przełamaniu pierwszej linii obrony. Głośniejsze i bardziej jednoznaczne działania, takie jak obejście UAC czy część scenariuszy ruchu lateralnego, bywają wykrywane częściej. Wyraźnie gorzej wypadają natomiast działania ciche, pasywne i przypominające legalną administrację, w tym rekonesans domenowy, kolekcjonowanie plików oraz odczyt sekretów z rejestru.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem takiego stanu rzeczy jest fałszywe poczucie bezpieczeństwa. Organizacja może uznać wysoki wynik blokowania znanych próbek za dowód pełnej odporności, mimo że po uzyskaniu dostępu do środowiska napastnik nadal ma szerokie możliwości działania.
To z kolei bezpośrednio zwiększa ryzyko scenariuszy ransomware, kradzieży poświadczeń uprzywilejowanych, przejęcia Active Directory oraz długotrwałej obecności przeciwnika w infrastrukturze. Jeżeli kontrola nie blokuje alternatywnych metod dostępu do poświadczeń, to nawet niewielka modyfikacja procedury ataku może wystarczyć do ominięcia zabezpieczeń.
Z perspektywy zespołów SOC i blue teamów oznacza to także ryzyko operacyjne. Reguły skuteczne wobec znanych narzędzi nie muszą wygenerować alertu przy niemal identycznym celu realizowanym inną metodą. W efekcie luki w pokryciu detekcyjnym pozostają niewidoczne aż do momentu realnego incydentu.
Rekomendacje
Organizacje powinny rozdzielić ocenę skuteczności ochrony perymetru od oceny odporności na działania post-compromise. Oba obszary są istotne, ale mierzą zupełnie inne właściwości systemu bezpieczeństwa.
- Utrzymywać testy oparte na znanych IOC dla warstw brzegowych, takich jak secure email gateway, proxy, firewall czy WAF.
- Regularnie prowadzić walidację behawioralną obejmującą różne warianty tej samej techniki ataku.
- Mapować pokrycie detekcyjne do technik MITRE ATT&CK, a nie wyłącznie do nazw rodzin malware i konkretnych narzędzi.
- Rozszerzać telemetrię hostową o zdarzenia związane z dostępem do pamięci procesów, rejestru, tokenów uprzywilejowanych, usług systemowych i narzędzi administracyjnych.
- Analizować sekwencje działań wskazujące na credential access, discovery i przygotowanie do eskalacji uprawnień.
- Dla każdej wykrytej luki podejmować decyzję operacyjną: załatać, ograniczyć, monitorować albo świadomie zaakceptować ryzyko.
Szczególnie ważne jest testowanie nie jednej popularnej ścieżki ataku, ale całego zestawu wariantów. Tylko wtedy można realnie ocenić, czy kontrola bezpieczeństwa rozpoznaje zachowanie przeciwnika, czy jedynie zapamiętany wcześniej wzorzec.
Podsumowanie
Skuteczność zabezpieczeń nie powinna być oceniana wyłącznie przez pryzmat wykrywania znanych zagrożeń. W praktyce o odporności organizacji coraz częściej decyduje to, czy system potrafi rozpoznać i zablokować zachowanie napastnika, nawet jeśli ten zmienia narzędzie, kompilację lub ścieżkę wykonania.
Różnice między wysoką skutecznością wykrywania klasycznego odczytu LSASS a słabym blokowaniem alternatywnych metod pozyskiwania poświadczeń pokazują, jak duża może być przepaść między ochroną opartą na sygnaturach a rzeczywistą obroną przed TTP. Dla organizacji oznacza to konieczność przejścia od testowania znanych artefaktów do ciągłej walidacji zachowań atakujących wewnątrz środowiska.
Źródła
- https://www.bleepingcomputer.com/news/security/your-controls-block-known-attacks-what-about-the-behavior/
- https://attack.mitre.org/techniques/T1003/
- https://learn.microsoft.com/en-us/windows-server/security/credentials-protection-and-management/configuring-additional-lsa-protection