effiziente abwehr von cyber kriminalität...monitor, respond, learn –wissen auf die internen...
Post on 15-Jul-2020
1 Views
Preview:
TRANSCRIPT
Effiziente Abwehr von Cyber Kriminalität
Timo JobstHead of Cyber Defense Center
www.kapsch.net |
C:\whoami
25.02.2019 | FH Campus Wien 2
Timo Jobst
Cyber Defense, Incident Response, Threat Intel
CISSP, GCFA, GCTI, CCE,…
>15 Jahre in Cyber Security
Sport & Outdoor Fan
www.kapsch.net |
Was haben Sie 1986 gemacht?
www.kapsch.net |
Cliff Stoll - 1986
25.02.2019 | FH Campus Wien 4
www.kapsch.net |
A Long Story Short
25.02.2019 | FH Campus Wien 5
Hacker Hannover
Berkeley Laboratory
ARPANET / MILNET
www.kapsch.net |
A Long Story Short
25.02.2019 | FH Campus Wien 6
Hacker Hannover
Berkeley Laboratory
ARPANET / MILNET
www.kapsch.net |
Back to todays Cyber Defense
Back to the Future
www.kapsch.net |
Sliding Scale of Cyber Security
Grundbausteine
▪ Planung
▪ Entwicklung
▪ Design
Stellt die Basis für alles weitere her
Solange die Basis nicht stimmt, ist ein teures Invest von Security sinnlos
Falsch konfigurierte Hard- u. Software erzeugt viel Noise im Netzwerk
Gewartete und gepatchte Systeme bieten dem Angreifer weniger Angriffsfläche
25.02.2019 | FH Campus Wien 8
www.kapsch.net |
Sliding Scale of Cyber Security
25.02.2019 | FH Campus Wien 9
Typische Security Landschaft
▪ Firwalls, Anti-Malware Systeme, IPS, AV,…
Diese benötigen Wartung aber keine kontinuierliche menschliche Betreuung
Prevention und Protection können meist leicht umgangen werden
www.kapsch.net |
Sliding Scale of Cyber Security
25.02.2019 | FH Campus Wien 10
Gut geschulte Analysten benötigt um ebenfalls gut geschulte Angreifer zu
identifizieren
Gute Architektur und Passive Defense ist Grundvoraussetzung
Motivierter Angreifer wird es immer schaffen ein Netz zu kompromittieren
Monitor, Respond, Learn – Wissen auf die internen Netzwerke übertragen
Incident Response, Malware Reverse Engineering, Threat Analyse, NSM,….
Threat Hunting
Angreifer sind Wandlungsfähig, Defender müssen ebenso Intelligent und
Flexible sein.
www.kapsch.net |
Pew-Pew Maps
25.02.2019 | FH Campus Wien 11
www.kapsch.net |
Sliding Scale of Cyber Security
25.02.2019 | FH Campus Wien 12
Intelligence wird für effektive Active Defense benötigt
Analysierte und bewertete Information führt zu Intelligence
Tools erstellen keine Intelligence, nur Analysten können dies
Vom Angreifer lernen um daraus besser zu reagieren und zu identifizieren
www.kapsch.net |
Sliding Scale of Cyber Security
25.02.2019 | FH Campus Wien 13
Wird eher von Militär und großen Security Unternehmen durchgeführt
Kostenintensiv
www.kapsch.net |
Sliding Scale of Cyber Security
25.02.2019 | FH Campus Wien 14
www.kapsch.net |
Sliding Scale of Cyber Security
25.02.2019 | FH Campus Wien 15
www.kapsch.net |
Sliding Scale of Cyber Security
25.02.2019 | FH Campus Wien 16
www.kapsch.net |
Active Defense & Intelligence
Großer Technologie Stack
Viel Open Source und
einige kommerzielle
Produkte
Hardware
Woher kommt die Intel?
OSINT/Kommerziell?
Wo verarbeite ich die
Daten?
Wie produziere ich Intel?
Erfahrung im Security
Bereich
Analytisches Denken
Netzwerk & OS Knowhow
IR & Forensic Knowhow
Welche Daten braucht
man?
Schwachstellen
Wie kommt man an diese
Daten?
Wo speichert man sie?
25.02.2019 | Titel der Präsentation 17
www.kapsch.net |
Beurteilung Data Sources
Host/Network Proactive/Live
Pivots
Pro
Con
25.02.2019 | Kapsch Managed Defense Service 18
Criteria Grade
Retention
Context
Search
Acquisition
Pivot Fields
GRADE
www.kapsch.net |
Packet Capture (PCAP)
Network Proactive
IP, Port, Protocol Fields, Payload
Pro
• Highest contex network data source
• Wide level of tool support
• Likely already examined by IDS
Con
• Large disk footprint limits retention
• Limited value when encryption is used
• Significant extraneous data
• Slow to retrieve and filter
25.02.2019 | Kapsch Managed Defense Service 19
Criteria Grade
Retention D
Context A+
Search C
Acquisition D
Pivot Fields A+
GRADE B-
www.kapsch.net |
Network Flow Data
Network Proactive
IP, Port
Pro
• Possible to store for a long time
• Very fast and flexible to search
• Can be generated from network devices or
sensors
• Ideal starting point
Con
• Virtually no context
• Several formats can produce different results
25.02.2019 | Kapsch Managed Defense Service 20
Criteria Grade
Retention A+
Context D
Search A+
Acquisition A
Pivot Fields D
GRADE A-
www.kapsch.net |
Memory Image
Host Live
Too Many to Name
Pro
• Incredibly context rich
• Often the only way to find certain types of
malware or hidden processes
• Individual dumps are easy to navigate with
some tools
Con
• Time consuming to acquire and parse
• Not feasible for proactive collection or long
retention
25.02.2019 | Kapsch Managed Defense Service 21
Criteria Grade
Retention F
Context A
Search B
Acquisition D
Pivot Fields A+
GRADE B
www.kapsch.net |
DetectionsPyramid of Pain
25.02.2019 | FH Campus Wien 22
Behavioral based detection
Automation of traditional indicators
Signature
Source: http://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
www.kapsch.net |
MITRE ATT&CKMITRE´s Adversarial Tactics, Techniques, and Common Knowledge
25.02.2019 | FH Campus Wien 23
An adversary model and framework for describing the actions an adversary may take to
compromise and operate within an enterprise network
Focus on the last for steps of the Cyber Attack Lifecycle
www.kapsch.net |
MITRE ATT&CK
11 Tactics
Derived from later stages (expoit,
control, maintain and execute) of a
seven-stage Attack Lifecycle
Categories contain list of
techniques adversary could use to
perform that tactic
25.02.2019 | FH Campus Wien 24
www.kapsch.net |
MITRE ATT&CK
11 Tactics
Derived from later stages (expoit,
control, maintain and execute) of a
seven-stage Attack Lifecycle
Categories contain list of
techniques adversary could use to
perform that tactic
~223 Techniques
Windows, Mac, Linux
Techniques provide technical,
description, indicators, useful
defensive sensor data, detection
analytics, and potentioal mitigations
25.02.2019 | FH Campus Wien 25
www.kapsch.net |
APT28, Sofacy, Fancy Bear
25.02.2019 | Titel der Präsentation 26
www.kapsch.net |
APT28, Sofacy, Fancy Bear
25.02.2019 | FH Campus Wien 27
www.kapsch.net |
APT29, Cozy Bear
25.02.2019 | Titel der Präsentation 28
www.kapsch.net |
APT29, Cozy Bear
25.02.2019 | FH Campus Wien 29
www.kapsch.net |
Kombination APT28/APT29
25.02.2019 | Titel der Präsentation 30
www.kapsch.net |
Kombination APT28/APT29
25.02.2019 | FH Campus Wien 31
Die BedrohungGezielte Angriffe
www.kapsch.net |
Das Ziel: Energieversorgung WaldviertelOperation Powerhouse
25.02.2019 | FH Campus Wien 33
www.kapsch.net |
Der Plan: NetzwerkzugriffOperation Powerhouse
25.02.2019 | FH Campus Wien 34
Mailserver
Versuch #1
www.kapsch.net |
Versuch #1Operation Powerhouse
25.02.2019 | FH Campus Wien 36
www.kapsch.net |
Versuch #1Operation Powerhouse
25.02.2019 | Business Breakfast 2018 37
www.kapsch.net |
Versuch #1Operation Powerhouse
25.02.2019 | FH Campus Wien 38
www.kapsch.net |
Versuch #1Operation Powerhouse
25.02.2019 | FH Campus Wien 39
www.kapsch.net |
Das Problem: Die SandboxOperation Powerhouse
25.02.2019 | FH Campus Wien 40
Mailserver Sandbox
www.kapsch.net |
Versuch #1Operation Powerhouse
25.02.2019 | FH Campus Wien 41
www.kapsch.net |
Versuch #1Operation Powerhouse
25.02.2019 | FH Campus Wien 42
Versuch #2
www.kapsch.net |
Versuch #2Operation Powerhouse
25.02.2019 | FH Campus Wien 44
www.kapsch.net |
Versuch #2Operation Powerhouse
25.02.2019 | FH Campus Wien 45
www.kapsch.net |
Versuch #2Operation Powerhouse
25.02.2019 | FH Campus Wien 46
www.kapsch.net |
Die Lösung: Environmental KeyingOperation Powerhouse
25.02.2019 | FH Campus Wien 47
Mailserver Sandbox
www.kapsch.net |
Versuch #2Operation Powerhouse
25.02.2019 | FH Campus Wien 48
www.kapsch.net |
Versuch #2Operation Powerhouse
25.02.2019 | FH Campus Wien 49
www.kapsch.net |
Versuch #2Operation Powerhouse
25.02.2019 | FH Campus Wien 50
www.kapsch.net |
Versuch #2Operation Powerhouse
25.02.2019 | FH Campus Wien 51
FazitPrevention Fails
www.kapsch.net |25.02.2019 | 53
www.kapsch.net |
Defensible Network
25.02.2019 | FH Campus Wien 55
Mailserver Sandbox
Cyber Defense Technologie Stack
NSM
EDR
Log
Vuln Scanning
www.kapsch.net |
Defensible Network
25.02.2019 | Business Breakfast 2018 56
Mailserver Sandbox
Cyber Defense Technologie Stack
NSM
EDR
Log
Vuln Scanning
Threat Intel
Ticketing
www.kapsch.net |
Defensible Network
25.02.2019 | FH Campus Wien 57
Mailserver Sandbox
Cyber Defense Technologie Stack
NSM
EDR
Log
Vuln Scanning
Threat Intel
Ticketing
Hunting
www.kapsch.net |
Defensible Network
25.02.2019 | FH Campus Wien 58
Mailserver Sandbox
Cyber Defense Technologie Stack
NSM
EDR
Log
Vuln Scanning
Threat Intel
Ticketing
Hunting
Timo Jobst
Cyber Security Analyst
Kapsch BusinessCom
Kapsch BusinessCom
Wienerbergstrasse 53
1120 Wien, Österreich
Phone: +43 50 811 5791
E-Mail: timo.jobst@kapsch.net
www.kapsch.net
59
Operation Powerhouse
1. NSM - Network Monitoring
2. EDR – Endpoint
3. LOG – Logging
www.kapsch.net |
NSM Alert Overview
25.02.2019 |
www.kapsch.net |
NSM Alert Overview
25.02.2019 |
www.kapsch.net |
NSM Alert Overview
25.02.2019 |
www.kapsch.net |
NSM Alert Intel-ADDR 62.218.147.233
25.02.2019 |
www.kapsch.net |
NSM Alert SSL Connection
25.02.2019 |
www.kapsch.net |
STATUS
25.02.2019 |
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – Beacon?
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – Beacon?
- Domain: bbtt.login-portal.at -
Unknown – Free SSL CERT
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – Beacon?
- Domain: bbtt.login-portal.at -
Unknown – Free SSL CERT
Next Step
Query Intel
www.kapsch.net |
Intel Check – login-portal.at
25.02.2019 |
www.kapsch.net |
Intel Check – 62.218.147.233
25.02.2019 |
www.kapsch.net |
Intel Check – Known Domains
25.02.2019 |
www.kapsch.net |
Intel Check – Shared Events
25.02.2019 |
Operation Powerhouse
www.kapsch.net |
Intel Check – Shared Events
25.02.2019 |
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – Beacon?
- Domain: bbtt.login-portal.at -
Unknown – Free SSL CERT
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Unknown – Free SSL CERT
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Completely Unknown – Fresh – Bad Hoster
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Completely Unknown – Fresh – Bad Hoster
- a.exe -
Unknown – Unseen – No Hash
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Completely Unknown – Fresh – Bad Hoster
- a.exe -
Unknown – Unseen – No Hash
Next Step
Check Client
www.kapsch.net |
EDR Alert
25.02.2019 |
www.kapsch.net |
EDR Alert – Overview
25.02.2019 |
Operation Powerhouse
www.kapsch.net |
EDR Alert – Connection Overview
25.02.2019 |
www.kapsch.net |
EDR Alert – Exploit Overview - Origin
25.02.2019 |
www.kapsch.net |
EDR Alert – Exploit Overview – Process Tree
25.02.2019 |
www.kapsch.net |
EDR Alert – Powershell – 2nd Stage Download
25.02.2019 |
www.kapsch.net |
EDR Alert – a.exe
25.02.2019 |
www.kapsch.net |
EDR Alert – Microsoft Word Updater.exe
25.02.2019 |
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Completely Unknown – Fresh – Bad Hoster
- a.exe -
Unknown – Unseen – No Hash
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Completely Unknown – Fresh – Bad Hoster
- a.exe -
2nd Stage Downloader - LEONIE
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Completely Unknown – Fresh – Bad Hoster
- a.exe -
2nd Stage Downloader - LEONIE
- Microsoft Word Updater.exe -
Persistent – Reverse Shell – LEONIE
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Botnet Site – C2 Established
- a.exe -
2nd Stage Downloader - LEONIE
- Microsoft Word Updater.exe -
Persistent – Reverse Shell – LEONIE
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Botnet Site – C2 Established
- a.exe -
2nd Stage Downloader - LEONIE
- Microsoft Word Updater.exe -
Persistent – Reverse Shell – LEONIE
Next Step
Block Client / FW - Check Behavior
www.kapsch.net |
Splunk - Logging Active Directory Alerts
25.02.2019 |
www.kapsch.net |
Splunk - Logging Internal Network Behavior
25.02.2019 | 93
www.kapsch.net |
Splunk - Logging Rev. Shell Indikator (Time)
25.02.2019 | 94
www.kapsch.net |
Splunk - Logging Rev. Shell Indikator (Bytes)
25.02.2019 | 95
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Botnet Site – C2 Established
- a.exe -
2nd Stage Downloader - LEONIE
- Microsoft Word Updater.exe -
Persistent – Reverse Shell – LEONIE
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Botnet Site – C2 Established
- a.exe -
2nd Stage Downloader - LEONIE
- Microsoft Word Updater.exe -
Persistent – Reverse Shell – LEONIE
- Bruteforce vs. AD -
Failed Logins
www.kapsch.net |
STATUS
25.02.2019 |
- IP: 62.218.147.233 -
Intel Alert – APT Waldviertel
- Domain: bbtt.login-portal.at -
Botnet Site – C2 Established
- a.exe -
2nd Stage Downloader - LEONIE
- Microsoft Word Updater.exe -
Persistent – Reverse Shell – LEONIE
- Bruteforce vs. AD -
Failed Logins
- Lateral Movement -
SMB Spreading
www.kapsch.net |
FAZIT
25.02.2019 | Titel der Präsentation 99
cdc@kapsch[.]net
Questions?
Timo Jobst
Head of Cyber Defense Center
Kapsch BusinessCom
Kapsch BusinessCom
Wienerbergstrasse 53
1120 Wien, Österreich
Phone: +43 50 811 5791
E-Mail: timo.jobst@kapsch.net
www.kapsch.net
100
top related