O que é IOC em segurança cibernética?

 

Indicador de comprometimento ou IOC é um termo forense que se refere à evidência em um dispositivo que aponta para uma violação de segurança. Neste artigo, discutimos como o IOC pode ser útil para sua equipe de segurança cibernética.

O que é um indicador de compromisso?

Indicador de comprometimento ou IOC é um termo forense que se refere à evidência em um dispositivo que aponta para uma violação de segurança . Os dados do IOC são coletados após um incidente suspeito , evento de segurança ou chamadas inesperadas da rede. Além disso, é uma prática comum verificar os dados do IOC regularmente para detectar atividades incomuns e vulnerabilidades . Com essa prática, é possível desenvolver ferramentas mais inteligentes, capazes de identificar e isolar arquivos duvidosos .

Os indicadores de comprometimento também podem servir como peças de informação que permitem aos membros das equipes de segurança da informação e TI detectar atividades malignas na rede em um estágio bastante inicial. Assim, essas atividades podem ser interrompidas antes que se transformem em ataques reais ou um comprometimento e ameacem toda a rede.

Por outro lado, nem sempre é fácil detectar indicadores de comprometimento, pois sua forma varia. Eles podem ser logs, metadados ou sequências complexas de códigos. É por isso que os profissionais de TI e as equipes de segurança da informação muitas vezes tentam colocar a informação dentro do contexto para dar sentido a ela e identificar desvios . Além disso, eles reúnem vários indicadores para encontrar uma correlação entre eles.

Quais são os exemplos de indicadores de compromisso?

Existem vários indicadores de comprometimento que as equipes de TI e segurança da informação devem observar. Abaixo, você pode encontrar os 15 indicadores mais importantes de compromisso.


    Anomalias encontradas na atividade do usuário privilegiado
    Sinalizadores vermelhos encontrados na atividade de login
    Solicitações de DNS desviantes
    Tráfego da web com comportamento desumano
    Atividade incomum no tráfego de saída da rede
    Anormalidades geográficas
    Aumento do volume de leitura do banco de dados
    Tamanhos incomuns de resposta HTML
    Mudanças nos perfis de dispositivos móveis
    Sinais de atividade DDoS
    Pacotes de dados mal colocados
    Tráfego de porta-aplicativo conflitante
    Mais solicitações do que o normal para o mesmo arquivo
    Alterações incomuns no registro e / ou arquivos do sistema
    Patching abrupto de sistemas

Qual é a diferença entre indicadores de comprometimento e indicadores de ataque?

Os indicadores de comprometimento servem para a detecção de eventos de segurança e comprometimentos, enquanto os indicadores de ataque servem para a detecção da intenção do invasor. Para conter e cessar o ataque com sucesso, é essencial saber o que o invasor está tentando realizar. É por isso que os indicadores de ataque são importantes.

Os indicadores de comprometimento ajudam os profissionais de TI e as equipes de segurança cibernética a detectar qualquer intrusão, mas para impedir essa intrusão, suas equipes de segurança precisam saber o que o invasor está planejando. Saber a próxima etapa e a intenção do invasor dá à equipe de segurança uma vantagem. É por isso que os dados coletados pelos indicadores de comprometimento devem ser apoiados por indicadores de ataque.

Como os indicadores de comprometimento podem ser usados ​​para melhorar a detecção e a resposta?

Ficar de olho nos indicadores de comprometimento permite que as organizações tenham um melhor desempenho na detecção e resposta a eventos de segurança. Coletar e correlacionar IOCs significa que suas equipes de segurança podem identificar qualquer atividade suspeita que poderia não ter sido detectada por outras ferramentas de segurança . Além disso, com os dados fornecidos por indicadores de comprometimento, sua equipe de segurança pode tomar decisões informadas com mais rapidez e precisão. Como resultado, eles podem agir sobre os problemas de segurança mais rapidamente - rápido o suficiente para contê-los antes que se espalhem e causem uma violação irreversível ou prejudicial .

Para saber mais sobre os recursos da solução de inteligência de segurança Logsign, por favor, clique no link abaixo;

Referências:

https://digitalguardian.com/blog/what-are-indicators-compromise

https://www.optiv.com/cybersecurity-dictionary/ioc

https://www.crowdstrike.com/blog/indicators-attack-vs-indicators-compromise/

https://searchsecurity.techtarget.com/definition/Indicators-of-Compromise-IOC

Imagem de Darwin Laganzon por Pixabay

Black Hat: Hackers estão usando chaves mestra para atingir fornecedores de chips.

  Crédito da imagem:ZDNet

A Operação Chimera se concentra no roubo de valiosos projetos de propriedade intelectual e semicondutores.

Ataques direcionados contra empresas de semicondutores em Taiwan podem não ser bem conhecidos, mas isso não significa que o efeito cascata de um hack bem-sucedido não seja sentido em todo o mundo.

Na última década, Taiwan se estabeleceu lentamente como um viveiro para empresas de chips, tanto em desenvolvimento quanto em produção. A Taiwan Semicondutor Manufacturing Company (TSMC) é uma empresa importante no campo e, com o tempo, o valor de mercado do setor de fabricação de equipamentos e semicondutores em geral aumentou no país.

O setor de tecnologia é o principal alvo de grupos avançados de ameaças persistentes (APT), dada a propriedade intelectual frequentemente lucrativa e valiosa - e também os dados dos clientes - que as empresas do setor protegem.

Na Black Hat USA na quinta-feira, os pesquisadores da CyCraft Technology Chung-Kuan Chen e Inndy Lin descreveram um conjunto de ataques que se acredita terem sido conduzidos pelo mesmo grupo APT chinês na busca por designs de semicondutores, código-fonte, kits de desenvolvimento de software (SDKs), e outras informações proprietárias.

"Se esses documentos forem roubados com sucesso, o impacto pode ser devastador", disseram os pesquisadores. "O motivo por trás desses ataques provavelmente vem de concorrentes ou mesmo de países que buscam obter uma vantagem competitiva sobre os rivais."

De acordo com a equipe, ataques foram lançados contra vários fornecedores de semicondutores localizados no Parque Industrial Hsinchu Science em Taiwan. Até o momento, acredita-se que pelo menos sete fornecedores - bem como suas subsidiárias - foram atacados pelo mesmo grupo APT no que a equipe chama de "ataques precisos e bem coordenados".

Chamada de Operação Chimera, também conhecida como Esqueleto, a APT lançou uma série de ataques ao longo de 2018 e 2019 com uma variedade de ferramentas, incluindo Cobalt Strike - uma ferramenta legítima de teste de penetração que os agentes de ameaças abusam - e uma chave de esqueleto personalizada derivado do código extraído do Dumpert e do Mimikatz.

Em dois estudos de caso descritos no white paper da CyCraft (.PDF), uma variedade de endpoints e contas de usuário foram comprometidas no momento em que as infecções por malware foram detectadas.

O acesso inicial veio de uma ID corporativa válida - potencialmente roubada em uma violação de dados separada - e uma conexão de rede privada virtual (VPN) no primeiro caso.

"Muitas empresas muitas vezes negligenciar este vetor de ataque, por padrão confiando conexões VPN e acolhendo-os em sua intranet, e Quimera é um dos atores mais ameaças qualificados que temos visto em abusar políticas VPN", os pesquisadores adicionados .

No estágio seguinte da cadeia de ataque, um protocolo de desktop remoto (RDP) foi usado para obter acesso aos servidores da empresa.

Durante o segundo ataque Chimera, anormalidades foram descobertas durante uma atualização de rede em que a carga de malware foi injetada diretamente na memória do sistema, possibilitada por scripts PowerShell codificados.

Depois de carregado em uma rede comprometida, uma versão adaptada do Cobalt Strike mascarada como uma função do Google Update (GoogleUpdate.exe), ao mesmo tempo em que estabelece beacons backdoor e mecanismos de persistência.

Para exfiltrar dados de uma máquina infectada, o Chimera usa uma versão antiga do RAR, um programa de arquivamento legítimo, que também foi adulterado para fins maliciosos. A ferramenta personalizada, batizada de ChimeRAR, arquiva os dados coletados de uma rede e os transfere para um servidor de comando e controle (C2) controlado pelos ciberataques.

Para mascarar ainda mais sua atividade, o grupo de ameaças também hospedou vários C2s na plataforma Google Cloud e por meio do Microsoft Azure, bem como por meio de outros serviços de nuvem pública.

A chave mestra, no entanto, é talvez a arma mais interessante no arsenal de Chimera. A Unidade de Contador de Ameaças da Dell Secureworks documentou pela primeira vez o uso de uma chave-esqueleto capaz de contornar as verificações de autenticação nos servidores Active Directory (AD) em 2015, dando aos cibercriminosos acesso irrestrito a serviços de acesso remoto.

A ferramenta da Chimera, chamada "SkeletonKeyInjector", foi projetada para ser implantada em servidores AD e controladores de domínio (DC), permitindo que os ciberataques se movam lateralmente por uma rede e façam chamadas diretas, evitando assim o software de segurança existente.

Os trechos de código retirados do Mimikatz e do Dumpert fornecem ao malware a capacidade de contornar o monitoramento de API, um mecanismo de defesa comum usado pelas soluções atuais de proteção antivírus e de endpoint. 

"O malware alterou o programa de autenticação do New Technology LAN Manager (NTLM) e implantou uma chave de esqueleto para permitir que os invasores se conectassem sem a necessidade de credenciais válidas", disseram os pesquisadores. "Uma vez que o código na memória foi alterado, os invasores ainda podem obter acesso às máquinas comprometidas, mesmo após redefinir as senhas."

A equipe acrescenta que, como as máquinas AD raramente recebem uma reinicialização, isso pode significar que as chaves de esqueleto podem passar despercebidas por longos períodos e também facilitar os desejos dos agentes de ameaças de se moverem lateralmente pelas redes sem detecção. Em um dos estudos de caso da empresa, o grupo APT esteve presente por cerca de um ano antes de ser removido da rede comprometida.

"Com base nos dados roubados, inferimos que o objetivo do ator era colher segredos comerciais da empresa", diz CyCraft. "O motivo pode estar relacionado à competição empresarial ou à estratégia industrial de um país."

A ZDNet entrou em contato com os pesquisadores para fazer perguntas adicionais e será atualizada quando tivermos uma resposta

Fonte:ZDNet
Por Charlie Osborne para Zero Day | 6 de agosto de 2020 às 21:59 GMT (14:59 PDT) | Tópico: Security

O que é o Malware Outbreak?

O malware é uma ameaça iminente para as organizações. Para proteger seus sistemas, você precisa ser informado sobre isso. Neste artigo, examinaremos mais de perto os malwares e os surtos de malware.

O que é um malware?

Malware, também conhecido como 'software malicioso' , é um termo que se refere a qualquer tipo de código ou software que visa prejudicar os sistemas. O único objetivo do malware é impedir o bom funcionamento do sistema. Como resultado, sua natureza é hostil e intrusiva. Ele constantemente procura pontos vulneráveis ​​de sua defesa e tenta penetrar. Uma vez que consegue encontrar seu caminho em seus sistemas, o malware faz todo o possível para causar danos ao sistema. Ele pode até bloquear você nesse meio tempo.

Semelhante aos vírus, o único objetivo do malware é invadir e tornar inoperantes dispositivos, sistemas, operações e redes. Para atingir seu objetivo, o malware pode assumir o controle total ou parcial das operações. Quase todos os tipos de malware têm como alvo os dados. Ele tenta roubar e / ou alterar as informações valiosas em seus sistemas. Pode até tentar criptografar os dados para que você não possa acessá-los. Além disso, um malware pode espionar secretamente sua atividade para roubar informações furtivamente ou até chantagear você.

O que nos leva ao nosso ponto final sobre malware: pode ser muito, muito furtivo. É por isso que pode ser tarde demais quando você descobrir que um malware ganhou controle sobre seus sistemas. Assim, ser capaz de detectar e eliminar ameaças de malware é uma das práticas essenciais de segurança cibernética. Também é útil aprender sobre a análise de malware

O que é um surto de malware?

A definição de um surto de malware é bastante direta: quando um determinado malware é encontrado em mais de um dispositivo e / ou sistema, ele é chamado de 'surto de malware'. Existem três tipos diferentes de um surto de malware:

Surto interno: quando um determinado malware está presente em mais de um computador na mesma rede, a situação é chamada de surto interno. Para decidir se está ocorrendo um surto interno, é necessário definir um limite antecipadamente, como "mais de 5 incidentes devido ao mesmo malware nos dispositivos da mesma rede em duas horas ou menos".

Surto regional: quando um determinado malware é encontrado em mais de uma rede, mas a distribuição dessas redes é limitada a uma área geográfica específica, o incidente é chamado de surto regional. Por exemplo, um código de malware específico pode se espalhar rapidamente em um país sem chegar a outros países. Em tais incidentes, um surto regional é declarado pelas autoridades. No entanto, dependendo da velocidade e natureza do malware, a possibilidade de um surto global deve ser considerada para que sejam tomadas as ações preventivas necessárias.

Surto global: quando um determinado malware é encontrado em várias redes e / ou dispositivos em todo o mundo, o incidente é chamado de surto global de malware. Esse tipo de surto é severamente perigoso e pode se espalhar muito rapidamente. É por isso que os surtos globais de malware exigem ação imediata para serem contidos e eliminados. Um surto pode ser considerado um surto global se tiver espalhado várias geografias ou tiver o potencial de fazê-lo.

Não há sinais ou estações prováveis ​​para que um surto aconteça. É por isso que é muito importante tomar as medidas preventivas necessárias e ter um protocolo de emergência.

Referências :

http://docs.trendmicro.com/all/smb/wfrm/v2.6/en-us/wfrm_2.6_olh/__WFRM/Chap_5_-_Monitoring_Threat_Status/VirusOutbreak.htm

https://www.zdnet.com/article/what-is-malware-everything-you-need-to-know-about-viruses-trojans-and-malicious-software/

https://www.malwarebytes.com/malware/

https://it.ubc.ca/malware-outbreak

http://www.cyren.com/security-center/malware-outbreak-detection

Crédito sda imagem (Imagem de kalhh por Pixabay)

Ciclo de vida do gerenciamento de vulnerabilidades

 

Como uma das práticas mais importantes de segurança cibernética, o gerenciamento de vulnerabilidades não é um processo de uma etapa. Ele deve continuar evoluindo de acordo com o crescimento da sua rede. É por isso que examinaremos mais de perto o ciclo de vida do gerenciamento de vulnerabilidades neste artigo.

O gerenciamento de vulnerabilidades é um dos pilares da segurança cibernética . Ajuda sua organização a ter uma segurança cibernética mais forte e permite que sua equipe de segurança lide melhor com possíveis ataques.

No entanto, as práticas de gerenciamento de vulnerabilidades são processos bastante envolvidos. Eles incluem a identificação de falhas e a execução de testes com frequência, mas há mais. Neste artigo, examinaremos mais de perto o ciclo de gerenciamento de vulnerabilidades, uma parte importante das práticas de gerenciamento de vulnerabilidades.

O que é uma vulnerabilidade?

Na cibersegurança, vulnerabilidade significa uma fraqueza ou inadequação da segurança que permite que um invasor obtenha acesso aos dados valiosos da sua organização. Para chamar uma fraqueza de vulnerabilidade, ela deve conter os três elementos que ajudam os profissionais de segurança cibernética a identificar e verificar vulnerabilidades .

O primeiro desses elementos é uma fraqueza do sistema. Uma fraqueza do sistema é uma deficiência que torna seus sistemas frágeis. Através dessa fraqueza, um invasor pode atingir toda a sua rede e sistemas.

O segundo elemento é a capacidade do invasor de acessar essa fraqueza. Se é possível admitir essa fraqueza, mais cedo ou mais tarde um invasor encontrará seu caminho.

O elemento final de uma vulnerabilidade é a capacidade do invasor de abusar dessa fraqueza. Um invasor cibernético pode empregar uma ferramenta, um malware ou uma técnica para usar esse crack na fachada de sua segurança.

Se um ponto fraco contiver todos esses três elementos mencionados acima, será chamado de vulnerabilidade e deverá ser resolvido o mais rápido possível por sua equipe de segurança cibernética. Uma vulnerabilidade em suas medidas de segurança é como uma bomba-relógio. Pode explodir a qualquer momento, e a pior parte é que pode demorar um pouco antes que você perceba e conserte. Os sistemas SOAR disponíveis para ajudar a equipe de segurança são fazer um gerenciamento eficiente de vulnerabilidades.

Por que o gerenciamento de vulnerabilidades é importante?

Suas medidas de segurança são tão fortes quanto suas vulnerabilidades. É por isso que as vulnerabilidades na sua fachada de segurança devem ser atenuadas antes de serem percebidas por uma parte mal-intencionada.

Simplificando, as vulnerabilidades são as aberturas em sua cerca. Se você não tratá-los, qualquer um pode encontrar o caminho. Além disso, alguns invasores cibernéticos se infiltram nos seus sistemas de maneira furtiva, o que lhes permite passar despercebidos por longos períodos de tempo. Em outras palavras, alguém pode roubar seus dados vulneráveis ​​ou bloquear você da sua própria rede antes mesmo que você os note. É por isso que o gerenciamento de vulnerabilidades é um dos componentes mais importantes da segurança cibernética.

O que é o Ciclo de Vida do Gerenciamento de Vulnerabilidades?

O gerenciamento de vulnerabilidades não é uma tarefa única que você realiza e depois esquece. É um processo que leva tempo e esforço para ser bem sucedido.

Todos os dias, hackers e invasores criam novas ferramentas e técnicas para se infiltrar nas organizações. É por isso que você sempre precisa estar em dia com suas medidas de segurança e suas vulnerabilidades. Como resultado, o gerenciamento de vulnerabilidades tem um ciclo de vida. Há seis etapas que você precisa revisitar com frequência. Abaixo, você pode encontrar essas etapas e o que elas se referem.

1. Você precisa verificar regularmente seus sistemas e identificar vulnerabilidades . Para fazer isso, você precisa estabelecer uma linha de base da rede e reconhecer desvios.
2. Priorização dos ativos. Não é segredo que alguns ativos são mais valiosos que outros. Você deve classificar seus ativos em unidades e determinar o valor individual dessas unidades. Seus protocolos de segurança devem considerar essa priorização.
3. Você deve atribuir um perfil de risco de linha de base para seus ativos. Assim, você pode trabalhar o seu caminho através de ameaças e riscos no que diz respeito à categorização de ativos e fatalidade das ameaças.
4. Você deve categorizar e classificar os riscos que dizem respeito aos seus ativos. Então você precisa desenvolver um plano de segurança, iniciar a análise de malware e ilustrar as vulnerabilidades estabelecidas.
5. Você precisa aliviar as vulnerabilidades que ameaçam sua segurança, mas precisa começar da vulnerabilidade mais arriscada e fatal ao mínimo.
6. Após o processo de correção, você precisa verificar se as vulnerabilidades foram aliviadas com êxito.

Referências:

https://www.cdc.gov/cancer/npcr/tools/security/vmlc.htm

https://www.alertlogic.com/assets/whitepapers/Defense-Throughout-the-Vulnerability-Life-Cycle-3.pdf

https://www.qualys.com/offer/automation-your-vulnerability-management-lifecycle-depends-solid-solution

https://www.gartner.com/en/documents/1528018/understanding-vulnerability-management-life-cycle-functi

https://searchsecurity.techtarget.com/magazineContent/Framework-for-building-a-vulnerability-management-lifecycle-program

https://cyberchasse.com/vulnerability-lifecycle-management/