Wskaźnik naruszenia bezpieczeństwa (, IoC) – dająca się zaobserwować cecha, na podstawie której można stwierdzić, że w systemie lub sieci doszło do działania napastnika. Wskaźnikami bywają m.in. sumy kontrolne złośliwych plików, adresy IP i nazwy domen wykorzystywanej przez niego infrastruktury, charakterystyczne wzorce ruchu sieciowego oraz ślady pozostawiane w systemie operacyjnym.
Wskaźniki wykorzystuje się w wykrywaniu incydentów, analizie powłamaniowej i wymianie informacji o zagrożeniach – zespoły reagowania publikują je w raportach, aby inne organizacje mogły sprawdzić, czy padły ofiarą tego samego napastnika.
Rodzaje wskaźników David Bianco w opublikowanej w 2013 roku analizie wyróżnił sześć poziomów wskaźników, uporządkowanych według trudności, jaką ich wykrycie sprawia napastnikowi: sumy kontrolne – skróty MD5, SHA-1 lub podobne, odpowiadające konkretnym plikom; adresy IP lub całe podsieci; nazwy domen, w tym poddomeny; artefakty sieciowe – ślady działania napastnika widoczne w ruchu sieciowym, np. charakterystyczne wzorce adresów URL, sposób zakodowania komunikacji z infrastrukturą sterującą czy nietypowe wartości nagłówków HTTP; artefakty systemowe – ślady na zaatakowanej maszynie, takie jak wpisy w rejestrze, pliki zapisywane w określonych katalogach lub nazwy tworzonych usług; narzędzia – oprogramowanie przynoszone przez napastnika, na przykład narzędzia do tworzenia złośliwych dokumentów, tylne wejścia czy programy do łamania haseł.
Na szczycie tego uporządkowania Bianco umieścił taktyki, techniki i procedury (TTP), czyli same zachowania napastnika, wykraczające poza pojęcie pojedynczego wskaźnika.
Piramida bólu Zestawienie to znane jest jako piramida bólu (). Jego zasadniczą tezą jest twierdzenie, że wskaźniki nie są równorzędne: im wyżej w piramidzie znajduje się wykryty typ, tym więcej wysiłku kosztuje napastnika obejście takiego wykrycia.
Sumę kontrolną wystarczy zmienić o jeden bajt w pliku, a adresy IP i domeny bywają wymieniane rutynowo. Wykrycie artefaktu sieciowego zmusza napastnika do znalezienia i poprawienia własnego narzędzia. Skuteczne wykrywanie samych narzędzi wymusza poszukiwanie lub napisanie nowych, co oznacza koszt badań, wytworzenia i nauki obsługi. Najwyżej znajdują się TTP – reagowanie na tym poziomie dotyczy zachowań, a nie oprogramowania, i wymusza na napastniku nauczenie się nowego sposobu działania albo rezygnację.
Bianco sformułował tę analizę po opublikowaniu przez firmę Mandiant raportu o grupie określanej jako APT1, zwracając uwagę, że odbiorcy raportów skupiają się na najłatwiejszych do wykorzystania wskaźnikach – listach domen i adresów – pomijając zawarte tam opisy zachowań, które są dla obrony cenniejsze.
Zobacz też Advanced persistent threat Informatyka śledcza System wykrywania włamań
Przypisy
Kategoria:Bezpieczeństwo komputerowe