Uso di un socaas cover Giacomo Lanzi

Casi d’uso di un SOCaaS per le aziende parte 2

Estimated reading time: 5 minuti

Nell’articolo precedente abbiamo visto i più comuni casi d’uso di un SOCaaS, spiegando in che modo può essere utile per le aziende avvalersi di questo strumento per prevenire attacchi informatici e spiegando inoltre quali sono i Threat Models più comuni.

In questo articolo, invece, vedremo più da vicino alcuni dei più comuni indicatori di compromissione (IOC). Prima vedremo brevemente i modelli di minaccia malware che l’uso di un SOCaaS può prevenire e bloccare. Per come funziona, un SOCaaS può essere molto duttile e analizzare molti dati contemporaneamente, fornendo così risultati approfonditi e precisi.

uso di un socaas network

Malware Threat Models

È importante saper distinguere e classificare le diverse tipologie di malware per capire in che modo possono infettare sistemi e dispositivi, il livello di minaccia che rappresentano e come proteggersi da essi. Noi di SOD consigliamo di adottare l’uso di un SOCaaS in modo da poter classificare l’intera gamma di malware o di oggetti potenzialmente indesiderati. I malware vengono catalogati in base all’attività che svolgono sui sistemi infetti.

Rilevamento malware Wannacry

Grazie a questo modello di minaccia è possibile rilevare il comportamento del noto malware Wannacry.
Il malware Wannacry è un ransomware che attacca il sistema crittografando file di particolare importanza per un’organizzazione in modo da renderli illeggibili.

Il rilevamento tempestivo di un ransomware è probabilmente l’azione più efficace che si possa svolgere per difendersi. Esistono anche servizi che riescono a bloccare l’azione del malware e ripristinare gli eventuali file già cifrati con quelli di un backup, per esempio Acronis Cyber Protect Cloud.

Anomalia del network seguita da infiltrazioni di dati

Identifica i tentativi di aggregazione dei dati di rete che hanno avuto successo, seguiti da segni di infiltrazione dei dati. Qui di seguito vediamo alcune delle anomalie e di come l’uso di un SOCaaS possa individuare indizi importanti per contrastare le minacce.

Durante una scansione della rete è possibile notare enumerazioni di account e privilegi AD, conteggio dei servizi LDAP fuori dalla rete aziendale e un numero sospetto di richieste di ticket al protocollo Kerberos. Inoltre, altri indicatori possono essere un picco nel traffico LDAP e l’enumerazione dei servizi SMB.

Per quello che riguarda le anomalie dell’unità di rete, l’uso di un SOCaaS è in grado di controllare gli accessi allo sharepoint in modo da individuare un numero insolito di accessi ad elementi condivisi. Questo anche in relazione agli utenti e al loro livello di accesso.

Sotto l’aspetto di Data Aggregation e di infiltrazione di dati, sono monitorati le quantità di byte scaricati dalle porte dei server e tramite protocolli FTP, così come una quantità inconsueta di byte trasmessi verso l’esterno.

Rilevamento Petrwrap/Goldeneye/Amalware

Questo modello di minaccia ha lo scopo di rilevare il malware Petrwrap. L’uso di un SOCaaS può rilevare attività di network scanning tramite il monitoring del numero di attività SMBv1, così come le anomalie in queste attività. Anche il tentativo di raggiungere un host mai raggiunto prima potrebbe essere un indicatore.

Un altro modo in cui è possibile individuare queste minacce con l’uso di un SOCaaS è il controllo delle attività con privilegi sospette. Per esempio si verifica che non ci sia un’escaletion di privilegi, un accesso insolito in una zona admin o anche la manomissione dei file di log.

Indicatori di rischio in generale

Gli indicatori di rischio sono metriche utilizzate per mostrare che l’organizzazione è soggetta o ha un’elevata probabilità di essere soggetta a un rischio.

Questi indicatori vengono usati per classificare il tipo di comportamento o minaccia per una policy e possono essere utilizzati in più policy per diverse funzionalità in base all’origine dei dati. Gli indicatori di rischio possono essere concatenati con i modelli di minaccia per identificare attacchi sofisticati su più fonti di dati.

Si tratta, in sostanza, di indizi o campanelli di allarme che indicano eventi a cui gli operatori di sicurezza di un’azienda dovrebbero prestare particolare attenzione. L’uso di un SOCaaS può aiutare a individuare questi indizi grazie all’analisi di grandi quantità di dati e log in tempi ridotti.

Qui di seguito vediamo un elenco non esaustivo di alcuni degli indicatori di minaccia più comuni che sono individuabili tramite l’uso di un SOCaaS. Li divideremo in diversi ambiti, per chiarezza.

Accessi

Le anomalie che riguardano l’accesso o comunque l’account includono il rilevamento di accesso allo sherepoint amministrativo anomalo ma anche tempi di caricamento delle applicazioni anomali. Anche applicazioni che utilizzano una quantità inconsueta di memoria potrebbero essere indicatori di compromissione.

Per quello che riguarda gli account, ovviamente, il blocco di un account risulta un campanello di allarme, così come un numero inconsueto di account creati o un numero spropositato di autenticazioni fallite. Infine, l’uso di un SOCaaS potrebbe indicare come IOC un numero sospetto di account in esecuzione contemporaneamente.

Uso di un socaas cover

Reti

I campanelli di allarme che riguardano le reti sono, ovviamente, quelli più comuni. Essendo le reti come “le strade” di un’infrastruttura aziendale, è normale che i comportamenti anomali in queste siano particolarmente rilevanti.

Come indicatori comuni ci sono i trasferimenti anomali di zone DNS o le richieste non riuscite fatte al firewall. Ma anche un numero anomalo di host in esecuzione o di connessioni ICMP. Tramite l’uso di un SOCaaS è controllato anche il traffico in generale, in modo che ogni movimento sospetto di dati sia analizzato o comunque verificato. Un esempio di questo sono i movimenti di pacchetti verso porte critiche, i tentativi di connessione RDP, SSH o a un server DHCP. Questi eventi indicano spesso dei tentativi anomali di connessione a oggetti o a condivisioni di rete.

Tramite l’uso di un SOCaaS è molto semplice anche controllare il comportamento degli account che spesso mostrano di per sé dei campanelli di allarme. Per esempio, un account che accede a un host per la prima volta, la creazione di un account o l’aggiunta di privilegi.

Conclusioni

Affidarsi alla fortuna per catturare le minacce è una follia, come ci ha dimostrato l’attacco SolarWinds.

Create la vostra fortuna con la nostra soluzione SOCaaS, assicurandovi di individuare le minacce prima che accadano incident e di essere abbastanza “fortunati” da contrastarle.

Contattaci per sapere come i nostri servizi possono rafforzare le difese della tua azienda, saremo lieti di rispondere a ogni domanda.

Link utili:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading

RSS Full Disclosure

  • Backdoor.Win32.Hellza.120 / Authentication Bypass Settembre 20, 2022
    Posted by malvuln on Sep 19Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/2cbd0fcf4d5fd5fb6c8014390efb0b21_B.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Hellza.120 Vulnerability: Authentication Bypass Description: The malware listens on TCP ports 12122, 21. Third-party adversarys who can reach infected systems can logon using any username/password combination....
  • Backdoor.Win32.Hellza.120 / Unauthorized Remote Command Execution Settembre 20, 2022
    Posted by malvuln on Sep 19Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/2cbd0fcf4d5fd5fb6c8014390efb0b21.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Hellza.120 Vulnerability: Unauthorized Remote Command Execution Description: The malware listens on TCP ports 12122, 21. Third-party adversarys who can reach infected systems can issue commands made available by the...
  • Trojan.Ransom.Ryuk.A / Arbitrary Code Execution Settembre 20, 2022
    Posted by malvuln on Sep 19Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/5ac0f050f93f86e69026faea1fbb4450.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan.Ransom.Ryuk.A Vulnerability: Arbitrary Code Execution Description: The ransomware looks for and executes DLLs in its current directory. Therefore, we can potentially hijack a vuln DLL execute our own code, […]
  • Trojan-Dropper.Win32.Corty.10 / Insecure Credential Storage Settembre 20, 2022
    Posted by malvuln on Sep 19Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2022 Original source: https://malvuln.com/advisory/f72138e574743640bdcdb9f102dff0a5.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan-Dropper.Win32.Corty.10 Vulnerability: Insecure Credential Storage Description: The malware stores its credentials in cleartext within the Windows registry. Family: Corty Type: PE32 MD5: f72138e574743640bdcdb9f102dff0a5 Vuln ID:...
  • Re: over 2000 packages depend on abort()ing libgmp Settembre 20, 2022
    Posted by Matthew Fernandez on Sep 19What is the security boundary being violated here? As a maintainer of some of the packages implicated here, I’m unsure what my actionable tasks are. The threat model(s) for my packages does not consider crashes to be a security violation. On the other side, things like crypto code frequently […]
  • SEC Consult SA-20220915-0 :: Local Privilege Escalation im SAP® SAPControl Web Service Interface (sapuxuserchk) Settembre 16, 2022
    Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on Sep 15SEC Consult Vulnerability Lab Security Advisory < 20220915-0 > ======================================================================= title: Local privilege escalation product: SAP® SAPControl Web Service Interface (sapuxuserchk) vulnerable version: see section "Vulnerable / tested versions" fixed version: see SAP security note 3158619 CVE number: CVE-2022-29614...
  • SEC Consult SA-20220914-0 :: Improper Access Control in SAP® SAProuter Settembre 16, 2022
    Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on Sep 15SEC Consult Vulnerability Lab Security Advisory < 20220914-0 > ======================================================================= title: Improper Access Control product: SAP® SAProuter vulnerable version: see section "Vulnerable / tested versions" fixed version: see SAP security note 3158375 CVE number: CVE-2022-27668 impact: high homepage:...
  • over 2000 packages depend on abort()ing libgmp Settembre 16, 2022
    Posted by Georgi Guninski on Sep 15ping world libgmp is library about big numbers. it is not a library for very big numbers, because if libgmp meets a very big number, it calls abort() and coredumps. 2442 packages depend on libgmp on ubuntu20. [email protected]:~/prim$ apt-cache rdepends libgmp10 | wc -l 2442 gawk crash: [email protected]:~/prim$ gawk […]
  • APPLE-SA-2022-09-12-5 Safari 16 Settembre 12, 2022
    Posted by Apple Product Security via Fulldisclosure on Sep 12APPLE-SA-2022-09-12-5 Safari 16 Safari 16 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213442. Safari Extensions Available for: macOS Big Sur and macOS Monterey Impact: A website may be able to track users through Safari web extensions Description: A logic issue […]
  • APPLE-SA-2022-09-12-4 macOS Monterey 12.6 Settembre 12, 2022
    Posted by Apple Product Security via Fulldisclosure on Sep 12APPLE-SA-2022-09-12-4 macOS Monterey 12.6 macOS Monterey 12.6 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213444. ATS Available for: macOS Monterey Impact: An app may be able to bypass Privacy preferences Description: A logic issue was addressed with improved state management. […]

Customers

Newsletter