Rediseño de la red para contrarrestar las tácticas de vivir de la tierra

A medida que los atacantes dependen cada vez más de herramientas legítimas para ocultar sus actividades maliciosas, los defensores empresariales deben repensar la arquitectura de la red para detectar y mitigar estos ataques.

Estas tácticas, conocidas como “Living Off the Land” (LotL), se refieren a cómo los atacantes aprovechan herramientas nativas y legítimas en el entorno de la víctima para llevar a cabo sus ataques. Cuando los atacantes introducen nuevas herramientas en el entorno utilizando su propio malware o herramientas, crean ruido en la red. Esto plantea la posibilidad de que estas herramientas puedan activar alarmas de seguridad y alertar a los defensores de que hay una persona no autorizada en la red y realizando actividades sospechosas. Los atacantes que aprovechan las herramientas existentes hacen que a los defensores les resulte más difícil distinguir las acciones maliciosas de las actividades legítimas.

Para obligar a los atacantes a crear más ruido en la red, los líderes de seguridad de TI deben repensar la red para que ya no sea tan fácil moverse por ella.

Identidades seguras, restringir movimientos

Un enfoque es aplicar controles de acceso estrictos y monitorear análisis de comportamiento privilegiado para que el equipo de seguridad pueda analizar el tráfico de la red y las solicitudes de acceso que se originan en sus propias herramientas. La «confianza cero» con fuertes controles de acceso privilegiado, como el principio de privilegio mínimo, dificulta que los atacantes se muevan por la red, dice Joseph Carson, científico jefe de seguridad y CISO consultor de Delinea.

«Esto los obliga a utilizar técnicas que crean más ruido y ondulaciones en la red», afirma. «Ofrece a los defensores de TI una mejor oportunidad de detectar el acceso no autorizado mucho antes en el ataque, antes de que tengan la oportunidad de implementar software malicioso o ransomware».

Otra opción es considerar las tecnologías Cloud Access Security Broker (CASB) y Secure Access Service Edge (SASE) para comprender quién (o qué) se está conectando a qué recursos y sistemas, lo que puede generar incidentes inesperados o sospechosos en la red. Las soluciones CASB están diseñadas para brindar seguridad y transparencia a las empresas que utilizan servicios y aplicaciones en la nube. Actúan como intermediario entre los usuarios finales y los proveedores de servicios en la nube, ofreciendo una variedad de controles de seguridad que incluyen prevención de pérdida de datos (DLP), control de acceso, cifrado y detección de amenazas.

SASE es un marco de seguridad que combina características de seguridad de red, como puertas de enlace web seguras, firewall como servicio y acceso a la red de confianza cero, con características de red de área amplia (WAN), como red de área amplia definida por software (SD-WAN). ).

“Debería haber un fuerte enfoque en abordar el problema [LotL] superficie de ataque”, afirma Gareth Lindahl-Wise, CISO de Ontinue. «Los atacantes prosperan cuando las herramientas y procesos integrados o implementados pueden ser utilizados por demasiados puntos finales y por demasiadas identidades».

Estas actividades son, por naturaleza, anomalías de comportamiento. Por lo tanto, es fundamental comprender lo que se monitorea y se introduce en las plataformas de correlación, afirma Lindahl-Wise. Los equipos deben garantizar la cobertura de los puntos finales y las identidades y luego enriquecerlos con información de conectividad de red a lo largo del tiempo. Examinar el tráfico de la red puede ayudar a descubrir otras técnicas, incluso si el tráfico en sí está cifrado.

Un enfoque basado en evidencia

Las organizaciones pueden y deben adoptar un enfoque basado en evidencia para priorizar qué fuentes de telemetría utilizan para obtener información sobre el uso indebido legítimo de los servicios públicos.

«El costo de almacenar fuentes de registros más grandes es un factor muy real, pero el gasto en telemetría debe optimizarse de acuerdo con las fuentes que brindan información sobre las amenazas, incluidas las utilidades abusadas, que se observan con mayor frecuencia en la naturaleza y se consideran relevantes para la empresa». se considera una amenaza”, afirma Scott Small, director de inteligencia de amenazas de Tidal Cyber.

Varios esfuerzos comunitarios hacen que este proceso sea más práctico que antes, incluido el proyecto de código abierto «LOLBAS», que rastrea las aplicaciones potencialmente maliciosas de cientos de utilidades clave, señala.

Mientras tanto, un catálogo cada vez mayor de recursos de MITRE ATT&CK, el Centro de Defensa Informada contra Amenazas y proveedores de herramientas de seguridad permiten que los mismos comportamientos adversarios se traduzcan directamente en fuentes de registros y datos discretos y relevantes.

«Para la mayoría de las organizaciones, no resulta práctico realizar un seguimiento completo de cada fuente de registro conocida en todo momento», señala Small. «Nuestro análisis de los datos del proyecto LOBAS muestra que estas utilidades LotL se pueden utilizar para prácticamente cualquier tipo de actividad maliciosa».

Estos van desde la evasión de defensa, la escalada de privilegios, la persistencia, el acceso a credenciales, la exfiltración y el impacto.

«Esto también significa que hay docenas de fuentes de datos discretas que podrían arrojar luz sobre el uso malicioso de estas herramientas; demasiados para ser registrados de manera realista y exhaustiva durante largos períodos de tiempo», dice Small.

Sin embargo, un análisis más detallado muestra dónde hay agrupaciones (y fuentes únicas); por ejemplo, sólo seis de 48 fuentes de datos son relevantes para más de tres cuartas partes (82%) de las técnicas relacionadas con LOLBAS.

«Esto brinda la oportunidad de integrar u optimizar la telemetría directamente en línea con las mejores técnicas de vida fuera de la tierra o técnicas específicas relacionadas con servicios públicos que la organización considera una máxima prioridad», dice Small.

Pasos prácticos para los líderes de seguridad de TI

Los equipos de seguridad de TI pueden tomar muchas medidas prácticas y sensatas para detectar atacantes que viven fuera del país, siempre que tengan visibilidad de lo que está sucediendo.

«Si bien la visibilidad de la red es excelente, los eventos provenientes de puntos finales (tanto estaciones de trabajo como servidores) son igualmente valiosos cuando se usan correctamente», afirma Randy Pargman, director de inteligencia de amenazas de Proofpoint.

Por ejemplo, una de las técnicas LotL utilizadas recientemente por muchos actores de amenazas es instalar software legítimo de administración y monitoreo remoto (RMM).

Los atacantes prefieren las herramientas RMM porque son confiables, están firmadas digitalmente y no activan alertas de antivirus ni de detección y respuesta de endpoints (EDR). Además, son fáciles de usar y la mayoría de los proveedores de RMM ofrecen una prueba gratuita con todas las funciones.

La ventaja para los equipos de seguridad es que todas las herramientas RMM tienen un comportamiento muy predecible, incluidas firmas digitales, claves de registro modificadas, nombres de dominio que buscar y nombres de procesos que buscar.

«He tenido un gran éxito al detectar el uso de herramientas RMM por parte de intrusos simplemente escribiendo firmas de detección para todas las herramientas RMM disponibles gratuitamente y haciendo una excepción para la herramienta aprobada, si está disponible», dice Pargman.

Es útil si solo hay un proveedor de RMM autorizado para su uso y siempre se instala de la misma manera (por ejemplo, en la imagen del sistema o con un script especial) para que sea fácil diferenciar entre una instalación autorizada y una autorizada. Agrega que un actor de amenazas engaña a un usuario para que ejecute la instalación.

“Hay muchas otras opciones de detección como esta, comenzando con la lista en LOLBÁS«Al ejecutar consultas de búsqueda de amenazas en todos los eventos de endpoints, los equipos de seguridad pueden determinar los patrones de uso normal en sus entornos y luego crear consultas de alerta personalizadas para detectar patrones de uso anormales».

También hay formas de limitar el abuso de las herramientas integradas preferidas por los atacantes, como: B. cambiar el programa predeterminado para abrir archivos de script (extensiones de archivo .js, .jse, .vbs, .vbe, .wsh, etc.). que no se abren en WScript.exe al hacer doble clic.

«Esto ayuda a evitar que se engañe a los usuarios finales para que ejecuten un script malicioso», afirma Pargman.

Reducir la dependencia de las credenciales

Según Rob Hughes, CIO de RSA, las organizaciones necesitan reducir su dependencia de las credenciales para establecer conexiones. Del mismo modo, las organizaciones deben generar alertas sobre intentos anómalos y fallidos y valores atípicos para brindar a los equipos de seguridad visibilidad en las áreas donde la visibilidad cifrada está en juego. Comprender cómo se ven lo «normal» y lo «bueno» en la comunicación del sistema e identificar valores atípicos es una forma de detectar ataques LotL.

Un área que a menudo se pasa por alto y que recibe cada vez más atención son las cuentas de servicios, que tienden a no estar reguladas y débilmente protegidas y son un objetivo principal de los ataques rurales.

“Ejecutan nuestras cargas de trabajo en segundo plano. Tendemos a confiar en ellos, probablemente demasiado”, afirma Hughes. «También desea inventario, propiedad y mecanismos de autenticación sólidos para estas cuentas».

La última parte puede ser más difícil de lograr porque las cuentas de servicio no son interactivas y, por lo tanto, los mecanismos habituales de autenticación multifactor (MFA) en los que confían las empresas con los usuarios no están en juego.

«Como ocurre con cualquier autenticación, existen grados de solidez», dice Hughes. “Recomendaría elegir un mecanismo sólido y garantizar que los equipos de seguridad registren y respondan a todos los inicios de sesión interactivos desde una cuenta de servicio. Eso no debería suceder».

Se requiere un compromiso de tiempo adecuado

Crear una cultura de seguridad no tiene por qué ser costoso, pero sí se necesita un liderazgo dispuesto a apoyar y defender la causa.

Según Hughes, a veces la mayor inversión es la inversión de tiempo. Pero implementar controles de identidad sólidos en toda la organización no tiene por qué ser una tarea costosa en comparación con la reducción de riesgos que logra.

«La seguridad se nutre de la estabilidad y la coherencia, pero no siempre podemos controlar eso en un entorno empresarial», afirma. «Hacer inversiones inteligentes para reducir la deuda técnica en sistemas que no son compatibles ni cooperativos con la MFA o controles de identidad estrictos».

Lo que más importa es la velocidad de detección y respuesta, afirma Pargman.

«En muchos casos que he investigado, la mayor diferencia positiva para los defensores fue la rápida respuesta de un analista alerta de SecOps que notó algo sospechoso, investigó y descubrió la intrusión antes de que el actor de la amenaza tuviera la oportunidad de extender su influencia», dijo. dice.