Category: cyber bezbednost

Upozorenje se oglašava u 14:17.

Smatrate se srećnim što je ovo popodne, a ne ujutru. Ostavljate ono što radite, otvarate konzolu i počinjete da kopate.

Oh, značajan skok odlaznog saobraćaja sa Kubernetes čvora. Privilegovani servisni nalog se autentifikuje sa nepoznate IP adrese. Hmm, neki DNS zahtevi izgledaju… čudno, ali ne toliko čudno. Prelazite kroz kontrolne table, pratite izvor u svom SIEM-u, proveravate logove u oblaku, ispitujete podatke o identitetu, pa čak i povlačite logove kontejnera. Ništa definitivno. Nema potvrđenog kršenja. Ne pojavljuje se jasna priča.

Da li je to bilo pogrešno konfigurisano radno opterećenje? Programer koji testira skriptu za implementaciju? Legitiman posao automatizacije ili prvi korak bočnog kretanja od strane nekoga ko je već unutra? Indikatori se zamagljuju dok ne možete da razaznate da li ste uhvatili napad u toku ili još jedan lažno pozitivan rezultat u moru buke.

Dvadeset minuta kasnije, zatvarate tiket sa istom napomenom kao i prethodni: „Praćenje“.

Zamislite da to radite pedeset puta dnevno. Zaostatak raste kako se pretnje kreću kroz mrežu koristeći validne akreditive, mešajući se sa legitimnim aktivnostima, ostavljajući dvosmislene tragove. Mnogi bezbednosni timovi se suočavaju sa surovim realnošću: tradicionalni sistemi za detekciju hvataju poznate pretnje kao što su eksploatacije potpisa, anomalije i dokumentovani indikatori. Ali napadači sada imitiraju ponašanje korisnika, otimaju procese i okreću se dalje od pravila korelacije, preplavljujući upozorenja sa malo značajnih. Analitičari su preopterećeni jurenjem lažnih uzbuna dok stvarne pretnje ostaju neprimećene.

Bezbednost ne bi trebalo da se odnosi samo na zaustavljanje lošeg, već na razumevanje kako se loše zapravo dešava. Upoznajte MITRE ATT&CK okvir. Izgrađen na osnovu godina istraživanja pretnji iz stvarnog sveta, on nudi živu mapu kako protivnici funkcionišu, kreću se bočno i iskorišćavaju sisteme korak po korak. A kada se upari sa modernom analitičkom platformom, to razumevanje pretvara u delotvornu vidljivost pokazujući tačno gde je vaša odbrana jaka i, nasuprot tome, gde može biti slaba.

Ovaj članak objašnjava kako MITRE ATT&CK menja detekciju pretnji sa reaktivne na proaktivnu, kako moderne analitičke platforme podržavaju ovo i deli najbolje prakse za razvoj adaptivne logike detekcije.

Okvir ATT&CK
Većina bezbednosnih okvira počinje sa onim što je pošlo po zlu nakon što se dogodilo. MITRE ATT&CK počinje sa tim kako stvari uopšte krenu po zlu.

Korišćenje ATT&CK za bolje bezbednosne operacije
Prava snaga MITRE ATT&CK nije u njegovoj taksonomiji. U svojoj suštini, taksonomija ATT&CK je šema za suparničko ponašanje. Svaka taktika je poput faze u radnom procesu napadača, dok svaka tehnika opisuje specifičnu implementaciju tog koraka. To je struktura kako se napadi odvijaju, zasnovana na empirijskim dokazima iz stvarnih upada, a ne na teorijskim modelima. Ova taksonomija omogućava prelazak sa reaktivnog gašenja požara na proaktivnu odbranu.

Mnoge organizacije provode dane jureći upozorenja. Svako otkrivanje se tretira kao izolovani događaj umesto koraka u većoj naraciji. ATT&CK menja taj način razmišljanja. Mapiranjem aktivnosti na poznate suparničke taktike i tehnike, timovi počinju da razmišljaju kao napadači i time predviđaju šta sledi umesto da čekaju da im drugo upozorenje kaže.

Kada se kombinuje sa pravim alatom, ovaj način razmišljanja postaje operativan. Možete testirati hipoteze („Ako bi napadač dobio početni pristup putem fišinga, da li bismo videli njegovo bočno kretanje?“), validirati logiku otkrivanja i kontinuirano meriti poboljšanja tokom vremena. Ponovo, cilj nije prikupljanje više podataka same po sebi; već prikupljanje tačnih podataka i razumevanje šta vam oni govore u kontekstu.

Pošto se ATT&CK razvija zajedno sa protivnicima, vaša logika detekcije takođe može da raste. Nove tehnike se pojavljuju u okviru dok se posmatraju u praksi, dajući inženjerima prednost u ažuriranju pravila korelacije, kontrolnih tabli i priručnika za automatizaciju pre nego što se te taktike pojave u proizvodnim okruženjima.

Proaktivna bezbednost je proces, a ne stacionarno stanje. Sa ATT&CK kao vašim planom i pravim alatom kao vašim sočivom, vaš tim može da pređe sa reagovanja na upozorenja na predviđanje ponašanja napadača. To je razlika između toga da vas iznenadi kršenje bezbednosti i da li je to detektovano pre nego što postane.

MITRE ATT&CK je vaš plan
Bezbednost nije izgradnja viših zidova; već razumevanje kako se napadači kreću unutar njih. Sledeći put kada se upozorenje u 14:17 aktivira, ne mora da se završi sa „Praćenjem“. Okvir MITRE ATT&CK funkcioniše jer je zasnovan na načinu na koji stvarni protivnici razmišljaju i deluju.

Sa MITRE ATT&CK kao vašim planom i pravim alatom kao vašim sočivom, ti isti signali postaju kontekst, a ne haos. Znaćete koja su ponašanja važna, gde se nalaze vaše odbrambene mere i kako da ih ojačate pre nego što se napadači mogu prilagoditi. Zajedno, oni transformišu bezbednost od reaktivnog upravljanja bukom u ciklus kontinuiranog učenja i proaktivne odbrane, zbog čega ATT&CK nastavlja da radi u praksi, a ne samo u teoriji.

Nakon što je čitao moje dnevne vesti usred sve lošijeg zdravlja, moj deda je stekao naviku da putuje po svetu – sve iz svog stola i invalidskih kolica. Kada sam išao na putovanja, uvek je imao snažna mišljenja i preporuke za mene, kao da je već bio tamo. „Putovao sam u stotine zemalja“, govorio bi mi. „Zove se Google Earth. Danas idem u Jermeniju.“ Strast mog dede za teleportacijom putem Google Street View-a uvek je bila jedna od mojih najlepših uspomena i nikada me nije napustila.

Zato sam, prirodno, kada sam saznao da Dejv Mas iz Fondacije za elektronske granice vodi virtuelne ture tehnologije nadzora duž granice SAD i Meksika, morao da to ostvarim. Bavim se tehnologijom na preseku imigracije, krivičnog pravosuđa, socijalne pravde i odgovornosti vlade, a Masova tura se poklapa sa mojim radom dok istražujem nadzor granica.

Moje putovanje je počelo u maloj, tihoj konferencijskoj sali u Homestead Cybrarium-u, hibridnoj virtuelnoj javnoj biblioteci gde sam pozajmio opremu za virtuelnu stvarnost. Čim sam stavio slušalice na lice i obilazak je počeo, bio sam prebačen na plažu u San Dijegu. Sat i po kasnije, prešao sam 1.500 milja gradova i pustinja i završio u Braunsvilu, u Teksasu.

Tokom tog vremena, pogledali smo tehnologiju nadzora u 27 različitih gradova sa obe strane granice. Neka od tehnologija koju sam video bili su autonomni tornjevi, aerostatski dirižabli, nebeski tornjevi, automatizovani čitači registarskih tablica i granični kontrolni punktovi.

Nakon ekskurzije, razgovarao sam sa Masom, bivšim novinarom, o iskustvu. Naš razgovor je izmenjen radi kratkoće i jasnoće.

7 stanica na Dejvovoj Masovoj turneji za virtuelni nadzor na granici SAD i Meksika
Sledeći linkovi vas vode do Google Street View-a.

📍 Granica SAD i Meksika na plaži u San Dijegu, sa druge strane Tihuane

📍 Ista granica u Tihuani, sa druge strane San Dijega

📍 Andurilov nadzorni toranj u Kaleksiku, Kalifornija

📍 Automatizovani čitači registarskih tablica prerušeni u saobraćajne čunjeve u Jumi, Arizona

📍 Aerostatski balon (uvećajte!) u Sijera Visti, Arizona

📍 Kontrolni punkt američke granične patrole u ​​Bruniju, Teksas

📍 Sistemi za daljinski video nadzor u naselju Braunsvil, Teksas

Monik O. Madan: Počeli ste tako što ste me ostavili u San Dijegu, Kalifornija, i bilo je intenzivno. Recite mi zašto ste izabrali lokaciju za početak ovog iskustva.

Dejv Mas: Dakle, obično počinjem turneju u San Dijegu iz dva razloga. Jedan je zato što je to najzapadniji deo granice, pa je prirodno mesto za početak. Ali što je još važnije, to je takav oštar kontrast moći skakati sa jedne strane na drugu, sa strane San Dijega na stranu Tihuane.

Kada ste u San Dijegu, nalazite se u ovom veoma militarizovanom parku koji je potpuno prazan, sa patrolnim vozilima i ovim veoma svirepim zidom i džinovskim osmatračnim tornjem iznad vaše glave. Zaista možete da steknete osećaj za razmere.

I kada se naviknete na to, prebacujem vas na drugu stranu zida. Odjednom možete da vidite kako je vreme za žurku u Tihuani, kako su ofarbali zid, i kako postoje restorani i štandovi sa hranom i ljudi koji se igraju na plaži i svi ti Instagram trenuci.

Pa ipak, sa druge strane je američka militarizovana granica, znate, koja u suštini špijunira sve koji jednostavno žive svoje živote na meksičkoj strani.

To takođe služi kao način da se pokaže moć virtuelne realnosti. Da nema zida, mogli biste to preći za minut. Ali zbog graničnog zida, morate da idete sve do graničnog prelaza, a zatim da se vratite celim putem. I govorimo o, potencijalno, satima da biste mogli da pređete tu razdaljinu.

Madan: Osećao sam se kao da sam na dva različita mesta, ali to je zapravo bilo isto mesto, samo nekoliko metara jedno od drugog. Videli smo sisteme za daljinski video nadzor, one koji se mogu premeštati. Videli smo integrisane fiksne tornjeve, autonomne tornjeve za nadzor, nebeske tornjeve, aerostatske radarske sisteme, a zatim i tajne automatizovane čitače registarskih tablica. Kako naterati prosečnu osobu da shvate šta sve te stvari zapravo znače?

Maas: Ja i neke kolege u EFF-u, tražili smo kako bismo mogli da koristimo virtuelnu stvarnost da pomognemo ljudima da razumeju nadzor. Smislili smo veoma osnovnu igru pod nazivom „Pronađi nadzor“, gde možete da stavite slušalice i ona vas stavlja na jednu lokaciju sa pogledom kamere od 360 stepeni. Fotografisali smo ugao u San Francisku koji je već imao mnogo nadzora, ali smo takođe fotošopirali i druge delove nadzora. Ideja je bila da ljudi pogledaju okolo i pokušaju da pronađu nadzor.

Kada bi pronašli jedan, on bi pingovao i rekao bi vam šta tehnologija može da uradi. I otkrili smo da je to pomoglo ljudima da nauče da traže ove tehnologije u svom okruženju, da ih razumeju. Dakle, to je ljudima dalo bolju predstavu o tome kako postojimo u okruženju drugačije nego kada bi im se pokazala slika ili PowerPoint prezentacija koja je glasila: „Ovako izgleda čitač registarskih tablica. Ovako izgleda dron.“

Zato, kada smo na turneji po južnoj granici, postoje određena mesta gde vam ne pokazujem tehnologiju. Molim vas da pogledate okolo i vidite da li možete sami da je pronađete.

Ponekad počinjem sa onim gde je iznad glave jer ljudi gledaju okolo. Pokazuju na radio-toranj, pokazuju na nešto drugo. Potrebno im je neko vreme pre nego što zaista pogledaju u nebo i vide da je iznad njihove glave ova džinovska špijunska rulja. Ali, da, jedna od drugih su ovi čitači registarskih tablica koji su skriveni u saobraćajnim čunjevima. Ljudi ih tamo ne primećuju jer su to samo ti saobraćajni čunjevi koji su toliko sveprisutni duž autoputeva i ulica da zapravo ne razmišljaju o tome.

Madan: Ljudi imaju utisak da se operacije nadzora obavljaju samo u militarizovanim okruženjima. Možete li mi reći da li je to istina?

Maas: Kada počnete da gledate i mapirate ove kule širom zemlje, počinjete da primećujete da postoji veliki broj kula koje jednostavno vise u vazduhu. Svakako postoje kule usred pustinje. Svakako postoje kule koje se nalaze u udaljenim ili ruralnim područjima. Ali jednostavno ih je toliko mnogo u urbanim sredinama, od velikih gradova do malih mesta.

Umesto samo krupnog plana kule, kada je zaista vidite i možete da pogledate kuda su kamere usmerene, počinjete da vidite stvari poput kula koje mogu da gledaju u zadnje prozore ljudi, i kula koje mogu da gledaju u dvorišta ljudi, i čitavih zajednica koje će stalno imati pogled na svoje naselje.

Ali tako retko se u razgovoru pominje uticaj na zajednice koje žive i na američkoj i na meksičkoj strani granice, i koje su stalno tamo pokušavajući da se snađu i imaju, znate, normalan san o prosperitetu i podizanju porodice.

Madan: Šta ovo znači sa stanovišta privatnosti, ljudskih prava i građanskih sloboda?

Mas: Nema mnogo transparentnosti oko pitanja tehnologije. To je jedna od glavnih mana, kako za ljudska prava, tako i za građanske slobode, ali je to i mana za one koji veruju da će tehnologija rešiti bilo koji amorfni problem koji su identifikovali ili nisu uspeli da identifikuju u vezi sa bezbednošću granica i migracijama. Zato je teško znati kada se ovo zloupotrebljava i kako.

Ali ono što možemo reći jeste da kako [vlada] primenjuje sve više veštačke inteligencije na svoj sistem kamera, ona je u stanju da dokumentuje obrazac života ljudi koji žive duž granice.