شاخص های حمله (IOA) چیست؟ تفاوت آنها با IOC ها چیست؟
شاخص های حمله (IOA) اهداف پشت یک حمله سایبری و تکنیک های مورد استفاده توسط عامل تهدید برای دستیابی به اهداف خود را نشان می دهد.
تهدیدات سایبری خاصی که حمله را مسلح می کنند، مانند بدافزار، باج افزار یا تهدیدات پیشرفته، هنگام تجزیه و تحلیل IOA ها نگرانی چندانی ندارند. در عوض، تنها توالی رویدادهایی که منجر به استقرار یک تهدید سایبری می شود در این استراتژی امنیت سایبری در نظر گرفته شده است.
IOA ها به بهترین وجه در زمینه یک حمله سایبری درک می شوند، عملیاتی که می تواند به سه مرحله اصلی ساده شود.
یک حمله معمولا با یک کمپین فیشینگ شروع می شود - جایی که کارمندان فریب می خورند تا اعتبار داخلی خود را فاش کنند. مسلح به این اطلاعات، یک محیط فناوری اطلاعات نقض می شود.
در مرحله بعد، مهاجم به صورت جانبی در شبکه حرکت می کند و به دنبال اعتبارنامه های ممتازی است که دسترسی به منابع بسیار حساس را تسهیل می کند. هنگامی که این اعتبارنامه ها به خطر بیفتند، نقض داده ها رخ می دهد.
تمام آسیب های ناشی از این فرآیند - تغییرات در دیسک حافظه، اتصالات درب پشتی به سرورهای فرمان و کنترل و غیره - نشانه هایی از به خطر افتادن سیستم است اما به تیم های امنیتی کمک نمی کند تا حرکات آینده مهاجمان یا اعتراضات اصلی آنها را درک کنند.
IOA ها انگیزه های مهاجم را فاش می کنند، ابزارهای خاص مورد استفاده در هر فرآیند از اهمیت کمی برخوردار هستند.
IOA ها نگران "چرا" پشت هر مرحله حمله سایبری هستند، در حالی که IOC ها نگران "چگونه" >هستند.
نمونه هایی از شاخص های حملات
10 نمونه زیر از IOA ها بر اساس رفتارهای رایج مجرمان سایبری هستند:
- سرورهای عمومی که با میزبان های داخلی ارتباط برقرار می کنند. این می تواند نشان دهنده استخراج داده ها و ارتباطات از راه دور از سرورهای مجرمانه باشد.
- اتصالات از طریق پورت های غیر استاندارد به جای پورت 80 یا پورت 443.
- میزبانان داخلی با کشورهای خارج از محدوده کسب و کار ارتباط برقرار می کنند.
- ارتباطات بین میزبان در مدت زمان کوتاه. این می تواند نشان دهنده حرکت جانبی مجرمان سایبری یا فعالیت تهدید داخلی باشد (مرحله 2 را در شکل 1 ببینید).
- چندین هشدار Honeytoken از یک میزبان واحد (به ویژه خارج از ساعات کاری).
- ترافیک بیش از حد SMTP. می تواند شواهدی از استفاده از یک سیستم در معرض خطر برای راه اندازی حملات DDoS باشد.
- بدافزار در عرض چند دقیقه پس از حذف، دوباره آلوده می شود. این می تواند نشان دهنده یک تهدید مداوم پیشرفته باشد.
- ورود چندین کاربر از مناطق مختلف این می تواند نشان دهنده اعتبار کاربر به سرقت رفته باشد.
تفاوت بین شاخص سازش (IOC) و شاخص های حمله (IOA) چیست؟
شاخص سازش (IOC) شواهد دیجیتالی است که نشان می دهد یک حادثه سایبری رخ داده است. این اطلاعات توسط تیم های امنیتی در پاسخ به گمانه زنی های مربوط به نقض شبکه یا در طول ممیزی های امنیتی برنامه ریزی شده جمع آوری می شود.
از سوی دیگر، شاخص حمله (IOA) هر گونه شواهد دیجیتالی یا فیزیکی است که نشان می دهد احتمال وقوع یک حمله سایبری وجود دارد.
برخی از تفاوت های دیگر در زیر مورد بحث قرار گرفته است.
IOA ها قبل از نقض داده ها شناسایی می شوند
تفاوت اصلی بین این دو موقعیت آنها در جدول زمانی حمله سایبری است. از آنجایی که IOA ها قبل از نقض داده ها رخ می دهند، اگر پاسخ های حادثه به موقع فعال شوند، می توان از حادثه امنیتی رهگیری و جلوگیری کرد.
IOC ها استاتیک هستند اما IOA ها پویا هستند
ردپای حملات سایبری در طول زمان تغییر نمی کند. تمام اجزای یک حمله سایبری - درهای پشتی، اتصالات C&C، آدرس های IP، گزارش های رویداد، هش ها و غیره - یکسان باقی می مانند و اطلاعات تهدید لازم را برای کمک به تیم های امنیتی برای دفاع در برابر حملات آینده ارائه می دهند.
به همین دلیل است که روش های تشخیص مبتنی بر IOC به عنوان استاتیک طبقه بندی می شوند.
از سوی دیگر، داده های IOA پویا هستند زیرا حرکات مجرمان سایبری پویا هستند. قبل از اینکه نقض داده ها رخ دهد، یک هکر باید مراحل حمله متعددی را طی کند و بین چندین تکنیک حمله تغییر کند.
14 مرحله در حمله سایبری وجود دارد که هر کدام شامل مجموعه ای از تکنیک های متفاوت است. ماتریس Mitre Att&ck را ببینید.
روش های تشخیص IOA با هدف تشخیص این فعالیت در حین تکامل آن انجام می شود.
داده های IOA در زمان واقعی نظارت می شود
از آنجایی که داده های IOA با پیشرفت مهاجم در چرخه عمر حمله سایبری تغییر می کند، داده ها باید در زمان واقعی نظارت شوند.
داده های IOA می تواند نشان دهد که چگونه یک شبکه نقض شده است، درهای پشتی ایجاد شده و اعتبارنامه های ممتازی که به خطر افتاده اند - اطلاعاتی که به تیم های امنیتی کمک می کند تا یک حمله سایبری را در حین توسعه رهگیری کنند و زمان ماندگاری مهاجم را کاهش دهند.
بنابراین، IOA ها از یک رویکرد پیشگیرانه برای امنیت سایبری پشتیبانی می کنند، در حالی که IOC در پاسخ های واکنشی مبتنی بر پزشکی قانونی استفاده می شود.
محدودیت های مکانیسم های تشخیص مبتنی بر IOC
روش های تشخیص IOC قادر به رهگیری تهدیدات سایبری نیستند که با امضاهای استاتیک مشخص نمی شوند.
تهدیدات سایبری نوظهور، مانند سوء استفاده های روز صفر، این شانس را نداشته اند که امضا به آنها اختصاص داده شود و بنابراین با تکیه بر تشخیص امضا از کنترل های امنیتی عبور می کنند.
>نمونه ای از کنترل امنیت سایبری مبتنی بر امضای استاتیک، نرم افزار آنتی ویروس است.
برخی از گونه های بدافزار برای جلوگیری از اسکن آنتی ویروس روی دیسک نمی نویسند. تنها راهی که راه حل های امنیتی آنتی ویروس می توانند به طور بالقوه چنین تهدیدی را کشف کنند این است که حافظه سیستم با امضای به روز شده تهدید اسکن شود.
حتی اگر یک امضای به روز شده در دسترس باشد (که بسیار بعید است زمانی که یک 0 روز به طور فعال مورد سوء استفاده قرار می گیرد)، اسکن حافظه باید چندین بار در هفته انجام شود تا شانس شناسایی داشته باشد.
همه فروشندگان AV قادر به انجام اسکن حافظه نیستند و حتی اگر بتوانند، عملکرد نقطه پایانی در طول فرآیند مختل می شود. بنابراین راه حل های مبتنی بر IOC، مانند نرم افزار آنتی ویروس، دفاع قابل اعتمادی در برابر تهدیدات نوظهور نیستند.
یکی دیگر از محدودیت های راه حل های مبتنی بر IOC، برنامه های اسکن سطح حمله قابل پیش بینی آنها است.
تهدیدات پیچیده، مانند تهدیدات مداوم پیشرفته (APT)، می توانند فعالیت مهاجم را در طول اسکن های امنیت اطلاعات متوقف کرده و پس از اتمام هر اسکن به آنها ادامه دهند.
آینده امنیت سایبری: ترکیبی از استراتژی های مبتنی بر IOC و IOA
اگر به تنهایی اجرا شوند، هر دو استراتژی IOC و IOA کمبودهایی را در برنامه های امنیت سایبری ایجاد می کنند.
- IOC ها نمی توانند به شرایط امنیتی کمک کنند تا تلاش های حمله سایبری را رهگیری کنند. IOC همچنین اغلب هشدارهای کاذب را ایجاد می کند و موارد بالایی از موارد مثبت کاذب ایجاد می کند.
- IOA ها اطلاعات پزشکی قانونی کافی را پس از یک حادثه سایبری ارائه نمی دهند.
اما وقتی ترکیب می شوند، نقاط قوت یک استراتژی به راحتی کمبودهای استراتژی دیگر را برطرف می کند.
برای نشان دادن این رابطه مکمل، یک عامل تهدید را در نظر بگیرید که در مراحل Mitre Att&ck پیشرفت می کند.
در مرحله شناسایی حمله، حساب های کاربران از یک پایگاه داده دزدیده شده منتشر شده در وب تاریک گرفته می شود. این فرآیند یک شاخص TTP (تاکتیک ها، تکنیک ها و رویه ها) و همچنین یک IOA است.
سپس مهاجمان سایبری از این اعتبارنامه ها برای نفوذ به محیط شبکه هدف استفاده می کنند و به مرحله دسترسی اولیه حمله می روند.
پس از آگاهی از این فعالیت توسط ابزارهای مبتنی بر IOA، تیم های تحقیقاتی امنیتی شروع به تحقیق می کنند.
آنها متوجه می شوند که اعتبارنامه های دزدیده شده برای ورود به شبکه از یک آدرس IP در یک مکان روسی که به دلیل راه اندازی حملات باج افزار شناخته شده است، استفاده شده است. چنین اطلاعاتی به عنوان IOC طبقه بندی می شود، جایی که نوع نشانگر تهدید برای این IOC یک آدرس IP است.
اکنون که انگیزه های حملات سایبری مشخص است، تیم های امنیتی می توانند بردار حمله ای را که معمولا در چنین حملاتی مورد سوء استفاده قرار می گیرد، ایمن کنند و تلاش های پاسخگویی خاص عملیات باج افزار را به کار گیرند.
ترکیبی از IOC ها و IOA ها زمینه بیشتری را برای عوامل شکار تهدید فراهم می کند و به آنها کمک می کند تا اهداف اولیه حمله را درک کنند تا بتوان آسیب های ناشی از هر حادثه سایبری را کاهش داد.