דוגמאות לשימוש ב-SIEM
חלק 2

תמלול ההרצאה: דוגמאות לשימוש ב-SIEM חלק 2

הטקסט המלא של הדקות הראשונות בהרצאה «דוגמאות לשימוש ב-SIEM חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   הדבר הבא שאנחנו צריכים לעשות במערכת ה-SIM שלנו זה לקבוע תוך כמה זמן אנחנו נגלה את האירוע, תוך כמה זמן אנחנו מגיבים, מה סדר העדיפויות שלנו בכל הסיכונים, על מה אנחנו נשים דגש.

2. 00:18

   אז יש לנו להחליט לגבי הזמנים, יש לנו להחליט ולכתוב נהלים ברורים, אנחנו צריכים לקבוע מי יהיה צוות התגובה, למי אנחנו מתקשרים כשיש בעיות, צריך גם להחליט מהו SLA.

3. 00:31

   SLA קובע את רמת הזמינות של השירות שלנו. האם אפשר לכבות משהו לחצי יום? האם אפשר לכבות משהו לחמש דקות? כמה זה רגיש? לדוגמה, מערכת עדכונים של Windows, נניח WSUS, אפשר לכבות ליומיים שלושה, לא יקרה כלום.

4. 00:48

   אבל מערכת של SQL, של דאטאבייס, זה קריטי שהיא תהיה זמינה מעל 99% מהזמן. צריך לקבוע פה את ה-SLA, את רמת הזמינות של שירותים באחוזים, כי מזה נגזרות הפעולות שאנחנו עושים.

5. 01:03

   ה-SLA הזה הוא לא רק בשירותים, אלא גם בזמינות של צוות התגובה. האם המומחה שאני אתקשר אליו יהיה לי זמין גם בלילה, או שהוא אומר, תקשיב, במשך שמונה שעות אני אענה לך לוואטסאפ או למייל שתשלח לי? תשלח לי מייל, תוך שמונה שעות אתה מקבל תשובה.

6. 01:20

   האם ה-SLA הזה מספיק טוב לי, או שאני רוצה להוסיף כסף שאני אוכל להתקשר אליו גם באמצע הלילה? הכל תלוי בגודל הארגון וברגישות שלו. בעיקר מסמכים והוא עושה גיבויים כל לילה אז גם אם יקרה משהו הם לא כאלו רגישים כי הם שולחים מיילים ויש להם גיבוי של כל המסמכים הדבר הכי גרוע שיכול להיות שכמה מסמכים אחרונים ילכו לאיבוד לא יותר מזה האם שווה להם לשלם

7. 01:46

   מיליונים במשך שנה בשביל שזה לא יקרה שאלה יפה נניח הם יכולים לעשות גיבוי לענן אוטומטי של כל מסמך שנוצר איזשהו גוגל דרייב ולהסתפק בגוגל דרייב פשוט הכל שאלה של כסף.

8. 02:01

   אפשר לעשות מערכת מתאימה וזה יהיה פשוט מאוד מאוד יקר. השאלה איפה מעבירים את הגבול. וכמובן אנחנו צריכים שיהיה לנו כלי ניהול שנדע מה לעשות עם איזה כלי ויהיה לנו הכל מתועד הכל צריך להיות מסודר.

9. 02:17

   בואו נראה דוגמה ממשית לסיפור הזה לדוגמה אנחנו מקבלים התראה על אפליקציה של אופיס ואנחנו בודקים את ההתראה ורואים שיש בזה סיכון גבוה ומי שיצר את ההתראה זה מייקרוסופט בילד.

10. 02:32

    מייקרוסופט בילד, MS בילד, זה כלי שלוקח פקודות של מתכנתים והופך אותן לשפת מכונה, זה קומפיילר, ואז התוקף יכול לקחת את הפקודות שלו וגם להפוך אותן לשפת מכונה ולהריץ אותן.

11. 02:48

    זה המקשר בין שפות יפות כמו C-Sharp או C++ באנגלית מובנת לשפת מכונה שהיא ממש לא ברורה ולא יפה ולא כיף לעבוד איתה. אז אם התוקף ישתמש ב-Microsoft build, זה נקרא להשתמש ב-Lolbins, Living of the land binaries, ביינריז זה קבצי אקזה, קבצי הרצה כמו msbuild.exe שחי בשטח של היוזר,

12. 03:13

    זאת אומרת שהפורץ לא הביא קובץ הרצה משלו, אלא ניצל קובץ הרצה קיים כדי להעריץ את הקוד הזדוני שלו. זה סוג ההתקפה שמסווגת כ-Defense Evasion, התחמקות ממערכות הגנה.

13. 03:28

    למה התחמקות? כי הוא לא מריץ אקזה זדוני, אלא את האקזה הלגיטימי. בואו תראו את זה פה. Defense Evasion, יש לנו 43 שיטות איך להתחמק מהגנות שונות.

14. 03:40

    לדוגמה, יש פה טקטיקות איך להתחמק מדיבאגר, ממישהו שמנסה לחקור אותנו, איך להתחמק על ידי Impersonation, התחזות ליוזר אחר, הרצת פקודות באופן לא ישיר, אבל במקרה שלנו זה נקרא Trusted Developer Utilities Proxy Execution, זאת אומרת הרצה של כלים שסומכים עליהם המתכנתים.

15. 04:04

    אני מנצל את כלי הפיתוח, הרי מתכנת אמור לרשום פקודות ב-C-Sharp ולעשות קומפילציה ולהפוך אותם לאקזל. אני מנצל את כלי הפיתוח, Trusted Developer Utilities, בגלל שהמערכת סומכת על MS-Building, נותנת לו לרוץ ולא בודקת שנתתי לו קוד מקור זדוני.

16. 04:23

    האקזה של MSבילד הוא לגיטימי, כל מתכנת משתמש בו. ואז האנטיווירוס לא תופס כי הוא לא רואה איזשהו קוד זדוני שרץ.

17. 04:31

    מבחינתו זה מתכנת כתב קוד רגיל. זאת שיטת התחמקות. אז אנחנו רואים שזה מסווג בקטגוריה, בטקטיקה של התחמקות 005, בטכניקה שנקראת Trusted Developer Utilities Proxy Execution.

18. 04:47

    טקטיקה מספר 1127. עכשיו אנחנו צריכים לקבל החלטה תוך כמה זמן מגלים את זה, לדוגמה אפשר להגיד שכל 5 דקות אנחנו עושים בדיקה על איזה בילדים קרו, נניח כל בילד שקורה הוא נכנס ללוג ואנחנו מנטרים את הלוג, בודקים את הלוג כל