Кибератаки без вредоносного ПО, также известные как атаки без малвари (malwareless), могут использовать легитимные инструменты, уже доступные в системах, для выполнения вредоносных действий. Методы Living off the Land создают трудности при обнаружении, поскольку они задействуют ресурсы, обычно используемые IT-отделами, такие как PowerShell, WMI, Certutil, BITS, Bash или SSH. Столкнувшись с этим сценарием, кибербезопасность переходит к моделям, которые дополняют сигнатуры и шаблоны более высоким уровнем видимости, контекста и поведенческого анализа. Такие технологии, как EDR, XDR, SIEM и UEBA, наряду с принципами Zero Trust, способствуют такому подходу. Защита также требует надлежащих политик, правильной конфигурации, управления привилегиями и эффективных процедур мониторинга и реагирования.
Атаки Living off the Land используют легитимные инструменты, доступные в системах, поэтому их обнаружение требует анализа не только того, что именно запускается, но также контекста и поведения.
Многие годы мы привыкали полагаться на один факт: для заражения системы было необходимо передать и внедрить в нее вредоносное ПО. Будь то исполняемый файл, документ с макросами или скрипт, у нас всегда была вредоносная «база», с помощью которой злоумышленник заражал систему. Таким образом, если этот вредоносный элемент совпадал с известной сигнатурой или вел себя странно, срабатывали тревожные сигналы нашего бункера, и угрозу можно было обнаружить и нейтрализовать.
Однако это больше не единственный возможный сценарий.
Среди методов, используемых в определенных кибератаках, выделяются подходы без использования вредоносного ПО. Другими словами, доставлять вредоносный файл на устройство жертвы теперь требуется далеко не всегда. Вместо этого для выполнения вредоносных действий могут применяться собственные инструменты операционной системы.
Таким образом, проблема возникает на обоих фронтах: в атаке и в защите. Угрозу больше не обязательно создавать извне, чтобы затем передать на устройство; она может использовать мощь встроенных инструментов в качестве исполнительного механизма для нанесения ущерба. С точки зрения защиты это создает проблему, поскольку речь идет о легитимных инструментах, всеобщая блокировка которых может оказаться нецелесообразной в определенных средах из-за их применения в повседневных административных задачах.
Что такое Living off the Land в кибербезопасности и как это работает?
В таком сценарии важно ознакомиться с концепцией кибербезопасности Living off the Land. Термин означает «жизнь за счет земли» и происходит из сферы выживания, где человек живет исключительно за счет ресурсов, доступных в окружающей среде. Эта концепция хорошо описывает ситуацию, когда злоумышленник может прибегнуть к ресурсам, которые операционная система предоставляет изначально.
Говоря о кибербезопасности более техническим языком, легитимные исполняемые файлы, используемые для этих целей, известны как LOLBins (Living off the Land Binaries) или LOLBas (Living off the Land Binaries and Scripts), причем последнее понятие включает в себя системные скрипты и библиотеки.
Какие легитимные инструменты могут использоваться в атаках Living off the Land?
Речь идет о встроенных системных инструментах и атаках, которые не обязательно зависят от традиционного вредоносного ПО, но мы еще не дали им «имя и фамилию». Среди инструментов, которые могут быть использованы киберпреступниками, есть ресурсы, являющиеся базовыми для ежедневной работы IT-отдела:
- PowerShell: Это главная звезда шоу, с которой все хотят танцеть. Она обладает огромным потенциалом, поскольку способна практически полностью управлять средой Windows. Для IT-отдела это решение многих проблем; злоумышленник же может попытаться использовать ее для загрузки кода в память, выполнения задач сетевой разведки или загрузки полезной нагрузки (payloads) среди прочих действий.
- WMI и wmic: Это очень полезные утилиты для администратора, поскольку они позволяют управлять компонентами удаленно. Они также могут использоваться злонамеренно для попыток перемещения по сети (lateral movement).
- Certutil: Это инструмент для управления цифровыми сертификатами и центрами сертификации. Он имеет параметры, которые могут позволить скачивание удаленных файлов — способность, которая может быть использована в злонамеренных целях.
- BITS: Это служба фоновой передачи данных Windows, используемая, например, для загрузки обновлений в фоновом режиме. Она также может применяться не по назначению для передачи информации.
- Bash, SSH и утилиты Linux/Unix: На этом празднике жизни присутствует не только мир Windows. В системах Linux существует множество инструментов, таких как curl, wget или nc, которые также могут использоваться в злонамеренных целях.
Почему атаки Living off the Land представляют собой сложность для традиционной защиты?
Методы Living off the Land обладают характеристиками, которые могут затруднить их обнаружение с помощью подходов к безопасности, ориентированных главным образом на выявление вредоносных файлов:
- Уклонение от определенных средств защиты. Эти методы могут использовать доверие к легитимным системным инструментам. Такие решения, как PowerShell или Certutil, подписаны цифровой подписью Microsoft. Их легитимный характер может затруднить выявление определенной вредоносной активности с помощью подходов, основанных в основном на сигнатурах.
- Маскировка под обычную активность. Такие инструменты, как PowerShell или WMI, могут запускаться тысячи раз в день в парке оборудования компании. Отличить легитимный запуск от потенциально вредоносного может оказаться особенно сложно, когда эти инструменты используются регулярно и интенсивно.
- Сокращение необходимых разработок. Создание вредоносного ПО, способного обходить средства контроля, обеспечивать персистентность, шифровать данные или извлекать информацию, может потребовать значительных усилий. С помощью LotL злоумышленник стремится использовать инструменты, которые уже находятся внутри компьютера, и применять их в целях, отличных от тех, для которых они были разработаны.
Почему кибератаки без вредоносного ПО бросают вызов традиционной безопасности?
Одна из проблем, с которыми сталкиваются определенные традиционные подходы, заключается в том, что они могут располагать меньшим контекстом для анализа действий, выполняемых с помощью легитимных инструментов. На протяжении десятилетий значительная часть безопасности опиралась на сигнатуры и шаблоны. Если программное обеспечение было подписано цифровой подписью из легитимного источника и соответствовало разрешенному решению, его запуск сам по себе мог не считаться подозрительным.
С другой стороны, всеобщая блокировка вышеупомянутых административных инструментов может оказаться нецелесообразной, поскольку они являются базовыми решениями в повседневной работе многих IT-отделов.
Поэтому защитник оказывается перед дилеммой: антивирусные подходы, ориентированные преимущественно на сигнатуры, могут располагать меньшим контекстом для идентификации такого типа активности, в то время как ограничение всех легитимных инструментов может повлиять на повседневные операции.
Итак, как же нам защититься? Какие подходы существуют? Чтобы справиться с этой задачей, необходимо располагать большей информацией о событиях: не только знать используемый инструмент, но и понимать, какие действия были выполнены, кто их совершил, в какой момент и в каком контексте. Иными словами, архитектура безопасности и ее решения должны эволюционировать.
Как видимость, контекст и поведение помогают обнаруживать угрозы?
Современная кибербезопасность может опираться на три ключевых понятия: видимость, контекст и поведение. Таким образом, защита эволюционирует от преимущественно статических подходов к более динамической безопасности, способной глубже анализировать происходящее в каждый момент времени.
Поиск шаблонов и сигнатуры остаются актуальными механизмами, но их может потребоваться дополнить более широкой видимостью, корреляцией информации и методами, основанными на поведении.
Какую роль играют EDR и XDR в обнаружении атак типа Living off the Land?
Первая линия обороны основана на понимании того, что происходит в системе, с высоким уровнем детализации. В этом контексте появляются решения EDR.
Инструменты этого типа делают шаг вперед по сравнению с антивирусными системами, основанными преимущественно на сигнатурах, поскольку они могут отслеживать и регистрировать активность оборудования для получения телеметрии. Таким образом, когда выполняется процесс, например «powershell.exe», EDR может собрать информацию о том, какой процесс его запустил, какие действия он выполняет и какие подпроцессы создает.
Этот уровень телеметрии может помочь выявить аномальное поведение, связанное с процессом, и облегчить создание оповещений или применение мер реагирования в зависимости от возможностей и конфигурации решения.
В качестве расширения этой модели мы располагаем решениями XDR. Они могут интегрировать информацию из различных областей, таких как устройства, сеть, облако, электронная почта или идентификационные данные. В зависимости от своих возможностей и интеграций они могут способствовать координации действий по реагированию в различных компонентах архитектуры безопасности.
Все основывается на телеметрии и наличии подробной информации, с помощью которой можно интерпретировать происходящее.
Как SIEM и UEBA используют контекст для обнаружения аномального поведения?
Получение телеметрии с тысяч устройств с помощью систем EDR может генерировать миллионы событий, которыми трудно управлять. Поэтому может оказаться важным внедрить в среду SIEM с возможностями UEBA.
Что это такое? SIEM — это система, предназначенная для централизации и обработки больших объемов информации. Таким образом, можно разработать различные сценарии использования, чтобы при выявлении определенного шаблона генерировалось оповещение.
Со своей стороны, возможности UEBA позволяют анализировать модели поведения пользователей и устройств и помогать выявлять действия, которые отклоняются от шаблонов, считающихся обычными.
Возможно, это немного сложно, поэтому лучше рассмотреть на примере. Представим, что пользователь из отдела бухгалтерии запускает «powershell.exe» в 3 часа ночи. В то же время наблюдаются подключения к другому серверу организации, выполненные тем же пользователем в то же время. Процесс легитимен, и в самих подключениях, если рассматривать их изолированно, не обязательно обнаруживается вредоносный сигнал. Однако такое поведение может не входить в обычный шаблон данного пользователя.
Хотя каждое действие по отдельности может казаться легитимным, инструмент анализа поведения мог бы сгенерировать оповещение, учитывая полный контекст и совокупность наблюдаемых действий.
Что дает модель Zero Trust в борьбе с такими кибератаками?
Модель, которая объединяет многие из рассмотренных нами мер, — это Zero Trust. В традиционных моделях, когда пользователь или инструмент проходит проверку безопасности, он может получить доступ без обязательного применения новых проверок на протяжении всей сессии.
Zero Trust предлагает иную схему, основанную на принципе наименьших привилегий и применении постоянных проверок с помощью различных средств контроля безопасности.
Продолжая предыдущий пример, один из первых вопросов был бы таким: нужно ли пользователю из отдела бухгалтерии запускать PowerShell? Если ответ «нет», приложения, разрешения и инструменты могут быть адаптированы к потребностям, связанным с каждым типом пользователя.
Прохождения проверки безопасности только в начале соединения может быть недостаточно. Подход Zero Trust направлен на применение постоянных проверок и принципа наименьших привилегий с помощью различных средств контроля, чтобы можно было выявлять и устранять возможные отклонения от политик безопасности.
Хочу подчеркнуть, что Zero Trust — это не конкретный инструмент. Это модель, образ мышления или методология, которая охватывает множество решений с различными целями, такими как политики доступа, управление идентификацией, защита устройств или сегментация, среди прочего.
Какое изменение подхода требуется в кибербезопасности перед лицом Living off the Land?
Методы Living off the Land показывают, что для кибератаки не всегда нужно внедрять обычное вредоносное ПО в системы организации. Можно использовать легитимные инструменты, имеющиеся в наличии, и разрешения, полученные злоумышленником, для осуществления вредоносной деятельности.
Это стимулирует переход к подходу, основанному на анализе данных и поведения пользователей и оборудования. Поиск шаблонов и сигнатуры остаются актуальными механизмами, но их может потребоваться дополнить более глубокой видимостью, корреляцией информации и методами, основанными на поведении.
Однако одной технологии недостаточно. Крайне важно установить соответствующие политики, поддерживать системы в правильно настроенном состоянии, пересматривать привилегии и иметь эффективные процедуры мониторинга и реагирования.
Ключ заключается не в том, чтобы запретить использование всех легитимных инструментов, а в том, чтобы иметь видимость и средства контроля, необходимые для того, чтобы отличить их обычное использование от потенциально вредоносной активности.
В этом контексте кибербезопасность также является важным элементом для продвижения к доступу к цифровым технологиям, основанному на доверии. Telefónica берет на себя неоспоримую задачу стать лучшим способом доступа граждан к цифровым технологиям — цель, которая подразумевает дальнейшее развитие инноваций, сетей, услуг и возможностей, сопровождающих трансформацию цифровой среды.
Часто задаваемые вопросы
Что такое атака Living off the Land?
Это подход, при котором злоумышленник использует ресурсы и инструменты, изначально доступные в операционной системе, для осуществления вредоносной деятельности, вместо того чтобы обязательно полагаться на внедрение традиционного вредоносного ПО.
Что такое LOLBins и LOLBas?
LOLBins относится к легитимным исполняемым файлам, используемым в этих целях. LOLBas расширяет эту концепцию до Living off the Land Binaries and Scripts, включая также системные скрипты и библиотеки.
Какие инструменты могут использоваться в атаке Living off the Land?
Среди инструментов, которые могут быть задействованы, — PowerShell, WMI, wmic, Certutil и BITS, а также утилиты из окружений Linux и Unix, такие как Bash, SSH, curl, wget или nc.
Почему сложно обнаружить атаку без вредоносного ПО?
Потому что она может использовать легитимные инструменты, которые также регулярно применяются IT-командами. Задача заключается в том, чтобы на основе контекста отличить нормальное использование от потенциально вредоносного поведения.
Какую роль играют EDR и XDR?
EDR может обеспечить детальную видимость активности процессов на устройствах. XDR может расширить этот подход, интегрируя информацию из таких областей, как устройства, сеть, облако, почта или учетные данные, в зависимости от возможностей и интеграций конкретного решения.
Для чего служат SIEM и UEBA в этом контексте?
SIEM позволяет централизовать и обрабатывать большие объемы информации, а также генерировать оповещения, связанные с определенными паттернами. Возможности UEBA могут анализировать поведение пользователей и устройств для выявления активности, отклоняющейся от привычных паттернов.
Что такое Zero Trust?
Zero Trust — это модель, образ мышления или методология, которая объединяет различные средства контроля безопасности и применяет такие принципы, как непрерывная верификация и наименьшие привилегии.
Достаточно ли одной технологии для защиты организации?
Нет. Помимо технологий, необходимо установить надлежащие политики, поддерживать системы правильно сконфигурированными, пересматривать привилегии и иметь эффективные процедуры мониторинга и реагирования.
