Kada istražujemo Linux sustav, naziv procesa nije dovoljan. Analitičar također mora razumjeti odakle dolazi izvršna datoteka, koji ju je korisnik pokrenuo, koje je dozvole imala, kojim je datotekama pristupala te je li uspostavila trajni pristup ili mrežnu komunikaciju.
Proces pokrenut iz direktorija /tmp ima drugačiji kontekst od procesa instaliranog pomoću službenog upravitelja paketa. Novi unos u datoteci /etc/sudoers ima drugačiji sigurnosni utjecaj od privremene aplikacijske datoteke. Proces čija je izvršna datoteka već obrisana zahtijeva drugačiju istragu od poznatog servisa pokrenutog iz očekivane lokacije.
Nijedno od tih zapažanja samo po sebi ne dokazuje da je sustav kompromitiran. Ono analitičaru daje smjer za daljnju istragu.
To je temelj serijala „Upoznaj normalno kako bi prepoznao neobično“. Prije nego što analitičar može prepoznati značajno odstupanje, mora razumjeti kako se operacijski sustav ponaša u normalnim uvjetima.
Linux je prisutan gotovo svugdje. Koristi se na web poslužiteljima, računalnim resursima u oblaku, spremnicima, poslužiteljima baza podataka, CI/CD infrastrukturi, mrežnim uređajima, sigurnosnim proizvodima i IoT uređajima.
Analitičar koji se dobro snalazi samo u Windows okruženju može imati ozbiljan nedostatak vidljivosti kada se sigurnosno upozorenje odnosi na Linux poslužitelj, sustav za upravljanje spremnicima ili radno opterećenje u oblaku.
Cilj nije postati Linux administrator prije pokretanja prve istrage. Cilj je razumjeti dijelove operacijskog sustava koji pružaju važan sigurnosni kontekst.
Gdje su definirani korisnički računi? Gdje se nalaze autentikacijski događaji? U koje direktorije obični korisnici mogu zapisivati? Kako se konfigurira zakazano izvršavanje naredbi? Gdje možemo pregledati proces čija je izvršna datoteka već obrisana?
Kada odgovori na ta pitanja postanu poznati, Linux istrage prestaju djelovati toliko nepoznato.
Windows odvaja prostore za pohranu pomoću oznaka kao što su C: i D:. Linux koristi jedno objedinjeno stablo direktorija koje počinje korijenskim direktorijem:
/Iz te se lokacije granaju svi važni direktoriji. Njihova je organizacija definirana standardom Filesystem Hierarchy Standard (eng.), poznatim kao FHS. Stvarna struktura ipak se može razlikovati između distribucija, verzija sustava i instaliranih aplikacija.
Linux veliku količinu informacija o stanju sustava izlaže kroz stvarne ili virtualne datoteke. Procesi, uređaji, podaci jezgre i brojne mrežne informacije predstavljeni su kroz datotečne putanje.
To je korisno tijekom istrage jer analitičar često može prikupiti vrijedne podatke bez grafičkog sigurnosnog alata. Ako zna gdje treba gledati, datotečni sustav postaje karta operacijskog sustava.
Putanja može povećati ili smanjiti razinu sumnje, ali sama ne može dokazati legitimnost ili kompromitaciju.
Nepoznata izvršna datoteka u direktoriju /tmp može biti sumnjiva. Međutim, može pripadati i legitimnom instalacijskom procesu. Datoteka u direktoriju /usr/bin može biti očekivana, ali pouzdana lokacija ne jamči da datoteka nije zamijenjena ili zloupotrijebljena.
Putanju treba povezati s vlasnikom, grupom, dozvolama, vremenskim oznakama, vrstom datoteke, SHA 256 sažetkom, nadređenim procesom, argumentima naredbenog retka, korisničkim kontekstom, mehanizmima trajnog pristupa i mrežnom aktivnošću.
Najvrjedniji nalazi uglavnom sadržavaju neku proturječnost. Servisni račun iznenada dobiva interaktivnu ljusku. Privremena izvršna datoteka stvara trajni mehanizam pokretanja. Sistemski servis pokreće datoteku iz direktorija u koji obični korisnici mogu zapisivati. Proces nastavlja raditi nakon što je njegova izvršna datoteka obrisana i pritom održava vanjsku mrežnu vezu.
Upravo na takvim proturječnostima istraga postaje vrijedna.
Direktorij /etc sadrži konfiguraciju operacijskog sustava i instaliranih servisa. Promjene u toj lokaciji mogu utjecati na korisničke račune, autentikaciju, privilegije, mrežne postavke, servise i zakazano izvršavanje naredbi.
Datoteke u direktoriju /etc mijenjaju se tijekom legitimne administracije, instalacije softvera, ažuriranja paketa i automatiziranog upravljanja konfiguracijom. Nedavna izmjena zato nije automatski zlonamjerna.
Analitičar treba utvrditi koja je datoteka promijenjena, koji je proces napravio promjenu, koji je korisnik bio odgovoran i odgovara li aktivnost odobrenom administratorskom zadatku.
Datoteka /etc/passwd sadrži podatke o lokalnim korisničkim i servisnim računima. Svaki unos uobičajeno uključuje korisničko ime, korisnički identifikator, grupni identifikator, opis računa, početni direktorij i zadanu naredbenu ljusku.
Datoteka se može pregledati naredbom:
cat /etc/passwdTijekom istrage traži novostvorene račune, neočekivane interaktivne ljuske, neuobičajene početne direktorije i račune s korisničkim identifikatorom 0.
Račun root uobičajeno ima UID vrijednost 0. Drugi račun s istom vrijednošću u praksi dobiva isti identitet i razinu ovlasti te zahtijeva hitnu istragu, osim ako postoji dokumentiran i vrlo specifičan razlog za njegovo postojanje.
Servisni računi često koriste ljuske kao što su:
/usr/sbin/nologin
/bin/falseTakva konfiguracija onemogućuje uobičajenu interaktivnu prijavu. Servisni račun koji je neočekivano promijenjen na /bin/bash ili drugu interaktivnu ljusku može predstavljati legitimnu administrativnu promjenu, ali i pokušaj održavanja pristupa.
Račun ne treba procjenjivati samo prema nazivu. Napadač može stvoriti korisnika koji imenom nalikuje legitimnom servisu ili sistemskom računu. Potrebno je pregledati UID vrijednost, ljusku, početni direktorij, kontekst nastanka i naknadne autentikacijske aktivnosti.
Suvremeni Linux sustavi zaštićene podatke povezane s lozinkama uglavnom pohranjuju u datoteci /etc/shadow, a ne u /etc/passwd. Datoteka sadrži sažetke lozinki te informacije o njihovoj starosti i isteku.
Pristup je ograničen jer bi napadač nakon krađe sažetaka mogao pokušati izvanmrežno probijanje lozinki.
Neočekivani proces koji pristupa datoteci /etc/shadow važan je signal mogućeg pristupa vjerodajnicama, ali nije automatski zlonamjeran. Legitimne autentikacijske komponente, alati za upravljanje lozinkama, identitetski sustavi i procesi sigurnosnog kopiranja mogu joj pristupati s povećanim privilegijama.
Potrebno je utvrditi koji je proces pristupio datoteci, koji ga je korisnik pokrenuo, koje je privilegije imao, je li pristup očekivan za tu aplikaciju te što se događalo prije i nakon pristupa.
Neprivilegirani proces u pravilu ne bi trebao moći čitati /etc/shadow. Uspješan pristup iz takvog konteksta može upućivati na pogrešne dozvole, iskorištenu ranjivost ili privilegije stečene u ranijoj fazi napada.
Datoteka /etc/sudoers i dodatne datoteke u direktoriju /etc/sudoers.d određuju koji korisnici i grupe mogu izvršavati naredbe s povećanim privilegijama pomoću alata sudo.
Neovlaštena izmjena može omogućiti trajan privilegirani pristup bez potrebe za procesom koji stalno radi i privlači pozornost.
Metapodaci se mogu pregledati naredbom:
ls -la /etc/sudoers /etc/sudoers.dAko analitičar ima odgovarajuće ovlasti, sadržaj se može pregledati pomoću:
sudo cat /etc/sudoers
sudo ls -la /etc/sudoers.dPrioritetno provjeri nova pravila koja koriste opciju NOPASSWD, naredbe koje omogućuju pokretanje ljuske, neočekivane korisnike s proširenim pravima i pravila koja korisniku praktično daju neograničen root pristup.
Nedavna izmjena tijekom sumnjivog vremenskog razdoblja kritičan je nalaz, ali istraga mora uzeti u obzir automatizirano upravljanje konfiguracijom, uvođenje novih korisnika, održavanje i druge odobrene promjene.
Linux koristi cron za zakazano izvršavanje naredbi i skripti. Relevantne lokacije mogu uključivati:
/etc/crontab
/etc/cron.d/
/etc/cron.hourly/
/etc/cron.daily/
/var/spool/cron/
/var/spool/cron/crontabs/Točne lokacije ovise o distribuciji.
Cron se legitimno koristi za održavanje, sigurnosno kopiranje, nadzor, rotaciju zapisnika i aplikacijske zadatke. Napadač ga može koristiti za redovito pokretanje zlonamjerne datoteke, preuzimanje sadržaja ili ponovno uspostavljanje pristupa nakon zaustavljanja procesa.
Cron unos postaje zanimljiviji ako se izvršava svakih nekoliko minuta, pokreće naredbenu ljusku, koristi curl ili wget, izvršava kodirani sadržaj ili pokreće datoteku iz direktorija /tmp, /var/tmp, /dev/shm ili korisničkog direktorija.
Cron naredbu ne treba analizirati izolirano. Potrebno je identificirati vlasnika, raspored izvršavanja, datoteku ili skriptu koju poziva, njezine dozvole i mrežna odredišta.
Direktorij /var sadrži promjenjive podatke koji nastaju tijekom rada sustava. To uključuje zapisnike, aplikacijsku predmemoriju, redove elektroničke pošte, podatke servisa i druge radne podatke.
Za analitičara je /var/log jedna od najvažnijih lokacija. Dostupne datoteke ovise o Linux distribuciji, konfiguraciji bilježenja i instaliranim servisima.
Suvremeni sustavi mogu važne događaje pohranjivati i u systemd dnevniku, što znači da se dokazi ne moraju nalaziti samo u tradicionalnim tekstualnim datotekama unutar /var/log.
Na sustavima temeljenima na distribucijama Debian i Ubuntu autentikacijske aktivnosti često se nalaze u:
/var/log/auth.logNa distribucijama temeljenima na RHEL sustavu, uključujući Rocky Linux i AlmaLinux, često se koristi:
/var/log/secureTi zapisi mogu sadržavati neuspjele i uspješne SSH prijave, korištenje alata sudo, PAM aktivnosti i podatke o korisničkim sesijama.
Ne treba ih opisivati kao izravnu zamjenu za Windows telemetriju o stvaranju procesa. Autentikacijski zapisi primarno objašnjavaju aktivnosti povezane s identitetima i privilegijama. Detaljnija vidljivost procesa i sistemskih poziva može zahtijevati auditd, EDR ili drugi izvor telemetrije.
Korisni obrasci za proaktivno traženje prijetnji uključuju ponavljane neuspjele SSH prijave, pokušaje prema velikom broju računa, uspješnu prijavu nakon niza neuspjeha, pristup s neuobičajene IP adrese i sudo aktivnosti korisnika koji inače ne administrira sustav.
Prije donošenja zaključka potrebno je uzeti u obzir automatizaciju, skenere ranjivosti, sustave za upravljanje i zajedničku administratorsku infrastrukturu.
Na sustavima koji koriste systemd, naredba journalctl omogućuje pregled sistemskog dnevnika.
Opći pregled može započeti naredbom:
journalctlMoguće je odabrati i određeno vremensko razdoblje:
journalctl --since "2026-08-30 10:00:00"
journalctl --until "2026-08-30 12:00:00"SSH događaji mogu se nalaziti pod nazivom ssh ili sshd, ovisno o distribuciji:
journalctl -u ssh
journalctl -u sshdAktivnosti povezane s alatom sudo mogu se pretraživati naredbom:
journalctl _COMM=sudoDostupni podaci i razdoblje čuvanja ovise o konfiguraciji. Prazan rezultat ne dokazuje da se događaj nije dogodio. Servis se možda koristi drugim nazivom, događaj može biti pohranjen na drugoj lokaciji ili su podaci možda već izbrisani zbog pravila čuvanja.
Linux revizijski sustav može bilježiti pristup datotekama, sistemske pozive, pokretanje procesa, aktivnosti povezane s privilegijama i promjene osjetljive konfiguracije.
Kada je auditd instaliran i pravilno konfiguriran, događaji se često pohranjuju u:
/var/log/audit/audit.logStatus servisa može se provjeriti naredbom:
systemctl status auditdAktivna revizijska pravila mogu se pregledati naredbom:
auditctl -lPrimjeri pretrage uključuju:
ausearch -f /etc/shadow
ausearch -f /etc/sudoers
ausearch -m USER_LOGIN
ausearch -m USER_CMDPrisutnost auditd servisa ne znači da se bilježi svaka sigurnosno važna radnja. Vrijednost podataka ovisi o pravilima koja su bila aktivna kada se promatrana aktivnost dogodila.
Ako nijedno pravilo nije nadziralo pristup datoteci /etc/shadow, odsutnost revizijskog događaja ne dokazuje da datoteci nitko nije pristupio.
Direktorij /tmp koristi se za privremene datoteke i uobičajeno omogućuje zapisivanje lokalnim korisnicima. Operacijski sustav, aplikacije, instalacijski procesi i korisničke sesije svakodnevno ga koriste.
Datoteka u direktoriju /tmp nije automatski sumnjiva.
Izvršavanje iz direktorija /tmp zahtijeva kontekst.
Legitimni instalacijski proces može raspakirati i pokrenuti privremenu komponentu iz direktorija /tmp. Takvo ponašanje može biti očekivano ako nadređeni proces pripada poznatom upravitelju paketa ili instalacijskom programu, datoteka odgovara odobrenom paketu i nakon izvršavanja ne nastaju sumnjivi mehanizmi trajnog pristupa ili mrežne veze.
Nepoznata izvršna datoteka u direktoriju /tmp postaje značajnija kada ima nasumičan naziv, izvršava se s povećanim privilegijama, preuzeta je pomoću alata curl ili wget, uspostavlja trajni pristup, povezuje se s vanjskim odredištem ili se briše ubrzo nakon izvršavanja.
Početni pregled može uključivati:
ls -la /tmp
find /tmp -type f -lsNaredbe kao što je find na opterećenim sustavima mogu proizvesti velik broj rezultata. Prije širokog pretraživanja produkcijskog sustava potrebno je procijeniti mogući operativni utjecaj.
Lokacija /dev/shm najčešće predstavlja datotečni sustav tmpfs koji se koristi za zajedničku memoriju i privremeni sadržaj.
Napadači ga mogu koristiti za spremanje i izvršavanje kratkotrajnih datoteka jer je često dostupan za zapisivanje i prima manje pozornosti od standardnih aplikacijskih direktorija.
Ponekad se opisuje kao lokacija koja jamči potpuno izvršavanje bez dodira s diskom. Takav opis nije uvijek tehnički precizan. Tmpfs je primarno smješten u memoriji, ali ovisno o konfiguraciji može koristiti zamjenski prostor. Datoteka je također dostupna kroz uobičajenu putanju dok postoji.
Važnija sigurnosna činjenica jest da kratkotrajni sadržaj u direktoriju /dev/shm može imati slabiju vidljivost alatima usmjerenima na skeniranje trajne pohrane.
Početni pregled može uključivati:
ls -la /dev/shm
find /dev/shm -type f -lsPrioritetno provjeri nepoznati izvršni sadržaj, skripte s nasumičnim nazivima, datoteke koje nestaju ubrzo nakon izvršavanja i procese koji uspostavljaju vanjsku mrežnu komunikaciju.
Uobičajene datoteke zajedničke memorije ne treba označiti zlonamjernima samo zato što se nalaze u direktoriju /dev/shm.
Direktorij /proc virtualni je datotečni sustav koji prikazuje informacije o jezgri i aktivnim procesima.
Svaki aktivni proces ima direktorij nazvan prema svom identifikatoru:
/proc/<PID>/Naredbeni redak procesa može se pregledati pomoću:
cat /proc/<PID>/cmdlineBudući da su argumenti odvojeni nul znakovima, čitljiviji rezultat često daje:
tr '\0' ' ' < /proc/<PID>/cmdlineIzvršna datoteka povezana s procesom može se provjeriti pomoću:
ls -la /proc/<PID>/exeTrenutačni radni direktorij dostupan je kroz:
ls -la /proc/<PID>/cwdOtvoreni opisnici datoteka mogu se pregledati kroz:
ls -la /proc/<PID>/fdMemorijska preslikavanja mogu biti dostupna kroz:
cat /proc/<PID>/mapsPristup tim podacima ovisi o dozvolama, sigurnosnim kontrolama i konfiguraciji sustava. Analitičar ne bi trebao očekivati da će s neprivilegiranog računa moći pregledati sve informacije o svakom procesu.
Na Linux sustavu proces može nastaviti raditi nakon što je njegova izvršna datoteka uklonjena iz direktorija. Proces već ima otvorenu referencu na datoteku, pa brisanje njezina direktorijskog unosa ne mora zaustaviti izvršavanje.
Poveznica unutar /proc tada može prikazivati:
/proc/1842/exe -> /tmp/.update (deleted)To predstavlja vrijedan signal za istragu, osobito ako je proces pokrenut iz direktorija /tmp ili /dev/shm i održava nepoznatu vanjsku mrežnu vezu.
Nalaz nije automatski dokaz zlonamjernog programa. Legitimno ažuriranje paketa može zamijeniti ili ukloniti izvršnu datoteku dok stari proces nastavlja raditi.
Analitičar treba provjeriti je li se provodilo ažuriranje paketa, koji je korisnik pokrenuo proces, što proces trenutačno radi te odgovaraju li njegove mrežne aktivnosti i mehanizmi trajnog pristupa očekivanoj aplikaciji.
Identifikatori aktivnih procesa mogu se izlistati pomoću:
ls /proc | grep -E '^[0-9]+$'Za početni pregled često su praktičnije naredbe:
ps aux
ps -efSumnjivi proces potrebno je povezati s njegovim mrežnim vezama.
Korisne naredbe mogu uključivati:
ss -plant
ss -panu
lsof -iNeki podaci o procesima zahtijevaju povećane privilegije.
Provjeri lokalnu i udaljenu adresu, port, stanje veze, identifikator procesa i naziv programa. Nepoznati proces iz direktorija /tmp ili /dev/shm koji održava vanjsku vezu značajniji je od privremene datoteke koja nikada nije izvršena.
U obzir treba uzeti i ulogu sustava. Vanjska komunikacija može biti očekivana za proxy poslužitelj ili sustav za ažuriranje, ali neuobičajena za izolirani poslužitelj baze podataka.
Javna IP adresa nije automatski zlonamjerna, a veza prema poznatom pružatelju usluga u oblaku nije automatski sigurna. Napadači redovito koriste legitimne pružatelje smještaja i infrastrukturu u oblaku.
Napadač ne mora stvoriti novi korisnički račun kako bi zadržao pristup. Može dodati vlastiti javni ključ u datoteku authorized_keys postojećeg korisnika.
Važne lokacije uključuju:
/home/<korisnik>/.ssh/authorized_keys
/root/.ssh/authorized_keysMetapodaci direktorija mogu se pregledati pomoću:
ls -la /home/<korisnik>/.ssh
ls -la /root/.sshProvjeri vlasnika, dozvole, vrijeme izmjene i sadržaj. Utvrdi pripada li ključ organizaciji i je li promjena bila očekivana.
Ključ dodan tijekom sumnjivog vremenskog razdoblja važan je nalaz. Njegova važnost raste ako je promjeni prethodila neuobičajena prijava, sudo aktivnost ili izmjena korisničkih privilegija.
Datoteke kao što su .bashrc, .bash_profile i .profile mogu pokretati naredbe pri prijavi korisnika ili otvaranju naredbene ljuske.
Važne lokacije uključuju:
/home/<korisnik>/.bashrc
/home/<korisnik>/.bash_profile
/home/<korisnik>/.profile
/root/.bashrc
/root/.profileTe se datoteke legitimno mijenjaju tijekom administracije, instalacije razvojnih alata i prilagodbe korisničkog okruženja.
Sumnju povećavaju naredbe koje preuzimaju sadržaj, pokreću skrivene procese, izvršavaju datoteke iz direktorija /tmp ili /dev/shm, povezuju se s vanjskim odredištima ili sadržavaju kodirane i namjerno teško čitljive naredbe.
Velik broj suvremenih Linux distribucija koristi systemd za upravljanje servisima. Napadač može stvoriti ili izmijeniti servis kako bi se zlonamjerni proces pokrenuo tijekom podizanja sustava ili ponovno pokrenuo nakon zaustavljanja.
Važne lokacije mogu uključivati:
/etc/systemd/system/
/usr/lib/systemd/system/
/lib/systemd/system/Lokalno stvorene i prilagođene definicije servisa često se nalaze u direktoriju /etc/systemd/system.
Korisne naredbe uključuju:
find /etc/systemd/system -type f -ls
systemctl list-unit-files --type=service
systemctl list-units --type=serviceIstraži novostvorene servise čiji nazivi oponašaju legitimne sistemske komponente, ExecStart vrijednosti koje upućuju na /tmp, /dev/shm ili korisničke direktorije, pokretanje naredbene ljuske i komunikaciju prema nepoznatom vanjskom odredištu.
Legitimna instalacija softvera također može stvoriti servis. Promjenu treba povezati s aktivnostima upravitelja paketa, odobrenim promjenama, vlasništvom datoteke i očekivanom ulogom sustava.
Povijest naredbene ljuske može pružiti koristan kontekst tijekom istrage.
Uobičajene lokacije uključuju:
/home/<korisnik>/.bash_history
/root/.bash_history
/home/<korisnik>/.zsh_historyPovijest naredbi nije potpun ni pouzdan sigurnosni zapis. Korisnik ili napadač može onemogućiti bilježenje, izmijeniti datoteku, izbrisati pojedine unose ili koristiti ljusku koja ne zapisuje naredbe u očekivanu lokaciju.
Pronađene naredbe mogu podržati zaključak istrage. Odsutnost sumnjivih naredbi ne dokazuje da se aktivnost nije dogodila.
Započni bilježenjem naziva sustava, korisnika, vremena događaja, identifikatora procesa i pune putanje izvršne datoteke. Sačuvaj izvorne vrijednosti prije nastavka istrage.
Pregledaj cijeli naredbeni redak, nadređeni proces, trenutačni radni direktorij i otvorene opisnike datoteka.
Provjeri vlasnika datoteke, grupu, dozvole i vremenske oznake. Izračunaj SHA 256 sažetak i utvrdi pripada li datoteka instaliranom paketu.
Provjeri je li izvršna datoteka obrisana dok je proces nastavio raditi. Pregledaj odgovarajući /proc unos i utvrdi što proces trenutačno radi.
Pregledaj mrežne veze, udaljene adrese, domene i portove. Utvrdi osluškuje li proces dolazne veze ili komunicira s vanjskim odredištem.
Potraži mehanizme trajnog pristupa kroz cron, systemd servise, SSH ključeve i konfiguracijske datoteke ljuske.
Pregledaj promjene datoteka /etc/passwd, /etc/shadow, /etc/sudoers i sadržaja direktorija /etc/sudoers.d.
Analiziraj autentikacijske zapise, systemd dnevnik i auditd događaje kada su dostupni.
Na kraju usporedi aktivnost s ažuriranjima paketa, automatizacijom, upravljanjem konfiguracijom, održavanjem i administratorskim zadacima.
Prije slanja nepoznate datoteke vanjskom servisu za analizu provjeri pravila organizacije i klasifikaciju podataka. Provjera samo SHA 256 sažetka u pravilu je sigurniji početni korak od slanja cijele datoteke.
Nepoznati proces iz direktorija /tmp ili /dev/shm koji uspostavlja vanjsku vezu treba dobiti povećani prioritet.
Proces s obrisanom izvršnom datotekom postaje značajniji ako ostaje aktivan, komunicira s vanjskim odredištem ili se izvršava s povećanim privilegijama.
Neovlaštene izmjene sudoers konfiguracije, novi račun s UID vrijednošću 0 i neočekivani SSH ključ dodan privilegiranom računu zahtijevaju neposrednu istragu.
Novi cron zadatak ili systemd servis postaje značajniji ako pokreće nepoznatu datoteku, redovito preuzima sadržaj ili se izvršava iz lokacije u koju obični korisnik može zapisivati.
Pokušaj čitanja /etc/shadow iz neočekivanog procesa može upućivati na pristup vjerodajnicama. Brisanje sigurnosnih zapisa ili nagla promjena revizijskog servisa može upućivati na pokušaj uklanjanja dokaza.
Servisni račun koji iznenada dobiva interaktivnu ljusku ili nove privilegije treba povezati s autentikacijskim i administratorskim aktivnostima.
Sama rijetkost nije dovoljna. Nepoznati proces postaje značajniji kada se više sumnjivih ponašanja pojavljuje zajedno.
Praktično istraživanje može tražiti izvršavanje procesa iz privremenih lokacija u koje korisnici često mogu zapisivati.
Sljedeći primjer predstavlja opću logiku pretrage. Nazive polja potrebno je prilagoditi konkretnom SIEM ili EDR sustavu i načinu normalizacije podataka:
process_path STARTS WITH ANY (
"/tmp/",
"/dev/shm/",
"/var/tmp/"
)
AND process_action = "execution"Rezultate treba obogatiti korisnikom, nadređenim procesom, argumentima naredbenog retka, SHA 256 sažetkom, zastupljenošću datoteke i mrežnim vezama.
Drugo istraživanje može tražiti promjene osjetljivih datoteka i direktorija:
file_path IN (
"/etc/passwd",
"/etc/shadow",
"/etc/sudoers"
)
OR file_path STARTS WITH ANY (
"/etc/sudoers.d/",
"/etc/cron.d/",
"/etc/systemd/system/"
)
AND file_action IN (
"create",
"modify",
"delete",
"permission_change"
)Ova logika stvara kandidate za istragu. Ne dokazuje kompromitaciju.
Sustavi za upravljanje konfiguracijom, instalacije paketa i administratori mogu legitimno mijenjati iste lokacije. Analitičar treba identificirati proces, račun, izvorišni sustav, vrijeme i odobrenu promjenu povezanu s aktivnošću.
Široki upit za proaktivno traženje prijetnji ne treba automatski pretvoriti u produkcijsko upozorenje.
Izvršavanje iz direktorija /tmp može proizvesti velik broj legitimnih rezultata. Korisnija detekcija može povezati izvršavanje iz /tmp s nepoznatim ili rijetkim SHA 256 sažetkom, povećanim privilegijama, neuobičajenim nadređenim procesom, vanjskom komunikacijom i brzim brisanjem datoteke.
Izmjena datoteke /etc/sudoers može biti očekivana kada ju provodi odobreni sustav za upravljanje konfiguracijom. Ista izmjena koju napravi naredbena ljuska pokrenuta iz procesa web poslužitelja treba dobiti znatno viši prioritet.
Rezultati istraživanja trebaju pokazati koje kombinacije razlikuju legitimnu administraciju od rizičnog ponašanja. Nakon toga treba definirati potrebne izvore podataka, vremensko razdoblje korelacije, kontekst sustava i precizne iznimke.
Detekciju treba testirati na povijesnim podacima prije uključivanja produkcijskih upozorenja. Ne treba globalno izuzeti cijeli direktorij, skupinu korisnika ili administratorski alat samo zato što se često pojavljuje u rezultatima.
Linux datotečni sustav analitičaru pruža kartu, ali karta ne donosi odluku.
Direktorij /etc sadrži kritičnu konfiguraciju, ali promjene u njemu mogu biti legitimne. Direktorije /tmp i /dev/shm napadači mogu koristiti za izvršavanje sadržaja, ali svakodnevno ih koristi i legitimni softver. Obrisana izvršna datoteka može upućivati na pokušaj uklanjanja dokaza, ali može nastati i tijekom ažuriranja paketa.
Najpouzdaniji zaključci nastaju korelacijom.
Novi SSH ključ pojavljuje se nakon neuobičajene prijave. Servisni račun dobiva interaktivnu ljusku i nakon toga koristi sudo. Proces se pokreće iz /dev/shm, povezuje se s vanjskim odredištem i stvara systemd servis. Web poslužitelj pokreće naredbenu ljusku koja mijenja /etc/sudoers.
Svaki događaj prikazuje samo dio priče. Njihov redoslijed i međusobna povezanost daju kontekst potreban za razumijevanje onoga što se dogodilo.
Upoznaj normalno kako bi prepoznao neobično. Zatim neobično ponašanje poveži s dovoljno tehničkog i poslovnog konteksta da bi mogao utvrditi radi li se o legitimnoj administraciji, pogrešnoj konfiguraciji ili kompromitaciji.
Kada istražujemo Windows krajnji uređaj, naziv datoteke samo je početak. Proces naziva svchost.exe može biti legitimna Windows komponenta, kopirana sistemska datoteka, preimenovani zlonamjerni program ili datoteka napravljena tako da izgleda poznato. Naziv nam daje trag, ali tek nam puna putanja daje potreban kontekst.
Upravo je zato razumijevanje Windows datotečnog sustava važno u sigurnosnim operacijama. Analitičar ne mora napamet znati svaki direktorij niti mora biti stručnjak za digitalnu forenziku kako bi mogao istraživati aktivnosti na krajnjem uređaju. Međutim, mora razumjeti što se uobičajeno nalazi u najvažnijim Windows lokacijama, koje se aplikacije legitimno mogu pokretati iz korisničkih direktorija te koje kombinacije putanje, procesa i ponašanja zahtijevaju dodatnu provjeru.
Osnovno je pravilo jednostavno:
Normalno ne znači automatski sigurno. Neobično ne znači automatski zlonamjerno. Odstupanje od očekivanog ponašanja razlog je za istragu i korelaciju.
Sumnjiva putanja nije dokaz kompromitacije. Pouzdana putanja nije dokaz legitimnosti. Najpouzdaniji zaključci nastaju povezivanjem lokacije datoteke s nazivom procesa, digitalnim potpisom, izdavateljem, sažetkom datoteke, argumentima naredbenog retka, nadređenim procesom, korisničkim kontekstom, mehanizmima trajnog pristupa i mrežnom komunikacijom.
Poznavanje Windows datotečnog sustava korisno je tijekom analize sigurnosnih upozorenja, proaktivnog traženja prijetnji, odgovora na incidente i digitalne forenzike, ali se u svakom od tih postupaka koristi na nešto drugačiji način.
Tijekom početne analize upozorenja analitičar može dobiti obavijest o procesu pokrenutom iz neuobičajene lokacije. Putanja tada pomaže procijeniti zahtijeva li događaj dublju istragu.
Tijekom proaktivnog traženja prijetnji, odnosno threat huntinga (eng.), analitičar može pretraživati poznate nazive Windows procesa koji se izvršavaju iz neočekivanih direktorija, nepoznate izvršne datoteke pokrenute iz privremenih lokacija ili mehanizme trajnog pristupa koji upućuju na lokacije u koje korisnik može zapisivati.
Tijekom odgovora na incident isto znanje pomaže utvrditi opseg kompromitacije, pronaći povezane zlonamjerne datoteke i razumjeti na koji je način napadač pokušao zadržati pristup sustavu.
Digitalna forenzika ulazi dublje u artefakte kao što su Prefetch, Amcache, obrisane datoteke, registracijske košnice i vremenske oznake datotečnog sustava. Ti artefakti mogu pomoći i tijekom proaktivnog traženja prijetnji, ali se najčešće koriste kada je potrebno dodatno potvrditi izvršavanje ili rekonstruirati povijesnu aktivnost.
Granica između ovih aktivnosti nije uvijek stroga. Proaktivno istraživanje može otkriti sumnjivo izvršavanje, nastaviti se detaljnom analizom krajnjeg uređaja i na kraju prijeći u puni postupak odgovora na incident.
Naziv procesa bez njegove pune putanje predstavlja nepotpun podatak.
Promotrimo sljedeći proces:
svchost.exeNaziv je povezan s legitimnom Windows komponentom. Međutim, sljedeće dvije putanje nemaju isto analitičko značenje:
C:\Windows\System32\svchost.exe
C:\Users\Public\svchost.exePrva je putanja očekivana za legitimni proces Windows Service Host. Druga se koristi poznatim nazivom Windows procesa, ali se datoteka nalazi u direktoriju u koji korisnici mogu zapisivati. To predstavlja snažan signal mogućeg prikrivanja identiteta i zahtijeva istragu.
To još uvijek ne znači da je druga datoteka automatski zlonamjerna. Znači da naziv procesa ne odgovara očekivanoj lokaciji i da su potrebni dodatni dokazi.
Analitičar bi trebao odmah provjeriti digitalni potpis, izdavatelja, SHA 256 sažetak, nadređeni proces, argumente naredbenog retka, korisnika, vrijeme stvaranja datoteke i mrežnu aktivnost. Sljedeće pitanje nije samo izgleda li putanja pogrešno. Sljedeće je pitanje što je datoteka napravila.
Na 64 bitnom Windows sustavu direktorij C:\Windows\System32 sadrži glavne 64 bitne Windows izvršne datoteke i biblioteke. Procesi kao što su lsass.exe, services.exe, winlogon.exe, csrss.exe i svchost.exe uobičajeno su povezani s tom lokacijom.
Kada se jedan od tih naziva pojavi u drugoj lokaciji, putanja postaje vrlo vrijedan signal za istragu.
Očekivano:
C:\Windows\System32\lsass.exe
Zahtijeva istragu:
C:\Users\<korisnik>\AppData\Roaming\lsass.exeDruga datoteka možda pokušava oponašati Local Security Authority Subsystem Service. Korisnik koji u popisu procesa vidi samo naziv lsass.exe mogao bi pretpostaviti da je proces legitiman. Istu pogrešku može napraviti i detekcija koja provjerava samo naziv procesa.
Istodobno, datoteci se ne smije automatski vjerovati samo zato što se nalazi u direktoriju System32. Napadači mogu zloupotrijebiti legitimne potpisane datoteke, učitati zlonamjernu DLL biblioteku kroz pouzdani proces ili pokušati smjestiti zlonamjerni sadržaj u lokaciju koja izgleda pouzdano.
Moguće je i da su promijenjene dozvole direktorija, da je instaliran ranjiv upravljački program ili da je legitimna aplikacija iskorištena za izvršavanje drugog sadržaja.
Lokacija može povećati ili smanjiti razinu sumnje, ali konačnu procjenu određuje ponašanje.
Naziv direktorija C:\Windows\SysWOW64 može biti zbunjujući jer se u njemu nalaze 32 bitne Windows komponente na 64 bitnom operacijskom sustavu. Direktorij System32 pritom sadrži 64 bitne komponente.
Prisutnost procesa u direktoriju SysWOW64 nije automatski sumnjiva. Legitimna 32 bitna aplikacija može koristiti komponente iz te lokacije.
Važno je utvrditi pripada li proces toj lokaciji, ima li valjan i očekivan digitalni potpis, koji su argumenti korišteni, koji ga je proces pokrenuo i što se dogodilo nakon izvršavanja.
Nepoznata komponenta, neočekivani podređeni procesi, sumnjivi argumenti ili neuobičajena vanjska komunikacija mogu opravdati dodatnu istragu. Sam naziv direktorija ne može.
Direktorij C:\Program Files standardna je lokacija za instalirane 64 bitne aplikacije. C:\Program Files (x86) uobičajeno se koristi za 32 bitne aplikacije na 64 bitnom sustavu.
Ove lokacije uglavnom pružaju snažniji kontekst o aplikaciji od privremenih ili korisničkih direktorija. Instalirana poslovna aplikacija trebala bi imati prepoznatljivu strukturu direktorija, poznatog izdavatelja i datoteke koje pripadaju istom proizvodu.
Tijekom istrage provjeri odgovara li naziv direktorija aplikaciji, je li izvršna datoteka potpisana od očekivanog izdavatelja i pojavljuje li se ista datoteka na drugim krajnjim uređajima na kojima je aplikacija instalirana.
Direktorij unutar Program Files lokacije zahtijeva dodatnu pozornost ako ima nasumično generiran naziv, sadrži nepoznatu izvršnu datoteku, oponaša poznati proizvod ili komunicira s odredištem koje nije povezano sa svrhom aplikacije.
Napadač također može smjestiti zlonamjernu DLL biblioteku uz legitimnu izvršnu datoteku i iskoristiti redoslijed kojim aplikacija traži biblioteke. Takva se tehnika naziva DLL side loading (eng.). U tom slučaju glavna izvršna datoteka može biti potpisana i spremljena u Program Files direktoriju, dok je učitana DLL biblioteka stvarna zlonamjerna komponenta.
Direktorij C:\Users\<korisnik>\ sadrži korisnički profil, dokumente, preuzete datoteke i aplikacijske podatke povezane s računom. Mnoge legitimne aplikacije spremaju podatke ili izvršavaju komponente iz korisničkog profila jer se instaliraju bez administratorskih prava ili održavaju odvojene postavke za svakog korisnika.
Zbog toga izvršavanje iz korisničkog profila nije automatski zlonamjerno.
Važno je odgovoriti na pitanje odgovaraju li proces i njegova lokacija jedno drugome.
Aplikacija za poslovnu komunikaciju koja se pokreće iz očekivanog AppData direktorija može biti potpuno legitimna. Proces services.exe pokrenut iz istog korisničkog profila ne predstavlja očekivano Windows ponašanje.
Korisnički profil također pruža kontekst o mogućem podrijetlu datoteke. Datoteka u direktoriju Downloads možda je preuzeta kroz internetski preglednik. Datoteka u privremenoj Outlook lokaciji možda je stigla kao privitak elektroničke pošte. Datoteku u AppData direktoriju mogla je stvoriti legitimna aplikacija, instalacijski proces ili druga izvršna datoteka.
Nemoj zaustaviti istragu na direktoriju. Pokušaj utvrditi odakle je datoteka došla i koji ju je proces stvorio.
Direktoriji AppData\Local i AppData\Roaming često se bez dovoljno konteksta označavaju kao sumnjivi. Takav pristup stvara nepotrebna upozorenja jer ih koristi velik broj legitimnih aplikacija.
Internetski preglednici, komunikacijske aplikacije, komponente za ažuriranje i programi instalirani samo za jednog korisnika mogu se legitimno izvršavati iz AppData direktorija. Sama prisutnost izvršne datoteke u toj lokaciji nije dovoljna za zaključak da je riječ o zlonamjernoj aktivnosti.
Analitičar treba pregledati strukturu direktorija, izdavatelja, digitalni potpis, zastupljenost datoteke u okruženju i procesni lanac.
Sljedeća putanja može biti očekivana:
C:\Users\<korisnik>\AppData\Local\NazivProizvođača\NazivAplikacije\application.exeSljedeća putanja zahtijeva više pozornosti:
C:\Users\<korisnik>\AppData\Roaming\kqzpt\services.exeDrugi primjer povezuje nasumično imenovan direktorij s datotekom koja oponaša Windows sistemski proces. Razina sumnje dodatno raste ako je datoteka nepotpisana, rijetko viđena, pokrenuta nakon otvaranja privitka ili povezana s novom domenom.
AppData se često koristi i za uspostavljanje mehanizama trajnog pristupa, odnosno persistencea (eng.), jer standardni korisnik može zapisivati u tu lokaciju. Datoteka iz AppData direktorija koju poziva Run ključ, Startup direktorij, zakazani zadatak ili drugi mehanizam automatskog pokretanja zahtijeva kontekstualnu istragu.
Direktoriji Downloads i Desktop uobičajeno sadrže datoteke koje su korisnici preuzeli ili spremili. Dokumenti, slike, arhive i instalacijske datoteke mogu se tamo pojaviti tijekom potpuno legitimnog rada.
Rizik se povećava kada se izvršni ili skriptni sadržaj pokreće izravno iz tih lokacija, osobito ako je datoteka stigla elektroničkom poštom, preuzeta kroz internetski preglednik, otvorena putem dijeljene poveznice ili unesena s prijenosnog medija.
Posebno su važne ekstenzije .exe, .msi, .js, .vbs, .hta, .lnk, .iso i .img. Te vrste datoteka nisu automatski zlonamjerne, ali treba razumjeti njihovo podrijetlo i procesni lanac.
Dvostruke ekstenzije također zahtijevaju pažnju:
C:\Users\<korisnik>\Downloads\Invoice.pdf.exeDatoteka se možda pokušava prikazati kao PDF dokument, iako je njezina stvarna ekstenzija izvršna. Hoće li korisnik vidjeti punu ekstenziju ovisi o Windows postavkama i načinu na koji mu je datoteka prikazana.
Direktorij C:\Users\Public koristi se za sadržaj dostupan većem broju korisnika, a mogu ga koristiti i legitimne poslovne aplikacije. Istodobno je privlačan napadačima jer datoteke pohranjene u njemu mogu biti dostupne različitim korisničkim računima.
Alat za udaljeni pristup, nepoznata izvršna datoteka, arhiva s prikupljenim podacima ili datoteka sa sistemskim nazivom unutar Public direktorija trebaju se povezati s korisnikom, nadređenim procesom, izvorom nastanka i aktivnostima koje su uslijedile.
Direktorij C:\ProgramData sadrži aplikacijske podatke i konfiguracije zajedničke svim korisnicima. Sigurnosni agenti, sustavi za sigurnosno kopiranje, alati za upravljanje i druge poslovne aplikacije redovito ga koriste.
ProgramData nije sumnjiv sam po sebi. Međutim, može se koristiti za skrivanje zlonamjernih datoteka ili komponenti trajnog pristupa jer je njegov sadržaj manje vidljiv korisnicima i razlikuje se između uređaja.
Potrebno je istražiti nepoznate izvršne datoteke, skrivene datoteke, nasumično imenovane direktorije i sadržaj koji ne pripada instaliranom proizvodu.
Putanja mora imati smisla u odnosu na popis instaliranih aplikacija. Ako direktorij tvrdi da pripada Microsoftu, komponenti za ažuriranje ili sigurnosnom proizvodu, provjeri podržavaju li izdavatelj, digitalni potpis i metapodaci datoteke tu tvrdnju.
Datoteke u privremenim direktorijima normalan su dio rada sustava. Windows i aplikacije redovito koriste privremene lokacije za zapisnike, raspakirane instalacijske datoteke, podatke za ažuriranje, sadržaj preglednika i datoteke potrebne samo tijekom kratkog vremenskog razdoblja.
Sama prisutnost datoteke u Temp direktoriju nije automatski sumnjiva.
Korisnije je provjeriti je li se iz privremenog direktorija izvršavao program ili skripta te što se događalo prije i nakon tog izvršavanja.
Legitimna komponenta za ažuriranje može privremeno raspakirati i pokrenuti potpisanu datoteku iz jedne od sljedećih lokacija:
C:\Windows\Temp\
C:\Users\<korisnik>\AppData\Local\Temp\Takvo ponašanje može biti očekivano ako je nadređeni proces poznata komponenta za ažuriranje, datoteka je potpisana od odgovarajućeg izdavatelja, naredbeni redak odgovara instalacijskoj aktivnosti i nakon izvršavanja ne nastaju neuobičajeni mehanizmi trajnog pristupa ili mrežne veze.
Nepoznata izvršna datoteka pokrenuta iz Temp direktorija zahtijeva više pažnje. Prioritet raste ako je datoteka nepotpisana, postoji samo kratko vrijeme, ima nasumičan naziv, pokrenula ju je Office aplikacija ili preglednik, povezuje se s vanjskim odredištem, uspostavlja trajni pristup ili se briše nakon izvršavanja.
Ista se logika primjenjuje na skripte i druge izvršne komponente kao što su .dll, .ps1, .bat, .cmd, .vbs, .js i .hta datoteke.
Sljedeći procesni lanac predstavlja vrlo vrijedan kandidat za istragu:
OUTLOOK.EXE
→ WINWORD.EXE
→ powershell.exe
→ C:\Users\<korisnik>\AppData\Local\Temp\update.exe
→ Vanjska mrežna vezaNijedan pojedinačni element u ovom lancu ne dokazuje zlonamjernu namjeru. Međutim, svi elementi zajedno opisuju slijed koji je teško objasniti kao uobičajenu aktivnost nad dokumentom.
MITRE ATT&CK tehnika T1036 odnosi se na prikrivanje identiteta, odnosno Masquerading (eng.). Podtehnika T1036.005, Match Legitimate Resource Name or Location (eng.), opisuje situacije u kojima napadač koristi nazive ili lokacije koji nalikuju legitimnim resursima.
Čest primjer je korištenje naziva sistemskog procesa izvan njegove očekivane lokacije:
Očekivano:
C:\Windows\System32\services.exe
Sumnjivo:
C:\ProgramData\MicrosoftUpdate\services.exeNaziv direktorija MicrosoftUpdate također je možda odabran zato da djeluje pouzdano. Napadač ne oponaša samo naziv datoteke. Stvara cijelu putanju koja je osmišljena tako da preživi površnu provjeru.
Složeniji slučajevi mogu uključivati zlonamjernu datoteku smještenu u pouzdanu lokaciju, kopiranu legitimnu izvršnu datoteku, učitavanje zlonamjerne DLL biblioteke ili zloupotrebu valjano potpisane aplikacije.
Zato pretraga prema putanjama treba stvarati kandidate za istragu, a ne automatske zaključke.
Putanja pokazuje odakle se datoteka izvršila. Stablo procesa pomaže objasniti kako je do izvršavanja došlo.
Određeni odnosi procesa zahtijevaju prioritetnu provjeru jer se često povezuju sa zloupotrebom dokumenata, izvršavanjem skripti, web ljuskama, kompromitacijom baza podataka i zloupotrebom legitimnih sistemskih alata.
WINWORD.EXE ili EXCEL.EXE
→ powershell.exe, cmd.exe ili wscript.exe
OUTLOOK.EXE
→ wscript.exe, powershell.exe ili mshta.exe
chrome.exe ili msedge.exe
→ mshta.exe, powershell.exe ili cmd.exe
acrord32.exe
→ rundll32.exe ili powershell.exe
w3wp.exe
→ cmd.exe ili powershell.exe
sqlservr.exe
→ cmd.exe ili powershell.exe
powershell.exe ili cmd.exe
→ schtasks.exe, sc.exe ili reg.exeTi odnosi nisu automatski zlonamjerni. Poslovna aplikacija može pokrenuti skriptu, administrator može legitimno koristiti PowerShell, a administrator baze podataka može namjerno omogućiti izvršavanje naredbi operacijskog sustava.
Analitičar mora pregledati cijeli naredbeni redak, korisnika, razinu integriteta procesa, podrijetlo datoteke, vrijeme aktivnosti i naknadno ponašanje.
Primjerice, Word koji pokreće PowerShell predstavlja upozoravajući signal. Word koji pokreće PowerShell s kodiranom naredbom, preuzima datoteku u Temp direktorij i stvara zakazani zadatak predstavlja znatno snažniji slijed događaja.
Sumnjiva datoteka postaje značajnija kada drugi mehanizam osigurava da će se ponovno pokrenuti.
Registracijski ključevi Run i RunOnce pod HKCU i HKLM granama uobičajene su lokacije za automatsko pokretanje. Koriste ih i legitimne aplikacije. Najvažniji su datoteka na koju ključ upućuje i kontekst izmjene registra.
Novi Run ključ koji upućuje na poznatu aplikaciju u očekivanoj lokaciji može biti legitiman. Novi Run ključ koji upućuje na nepoznatu izvršnu datoteku u direktoriju Temp, Downloads, Public ili nasumično imenovanom AppData direktoriju zahtijeva istragu.
Zakazane zadatke koriste Windows i legitimne aplikacije za održavanje, ažuriranja i sigurnosno kopiranje. Sumnja raste kada zadatak koristi naziv koji pokušava izgledati kao Microsoftova komponenta, izvršava se svakih nekoliko minuta ili pokreće PowerShell, legitimni sistemski alat ili nepoznatu datoteku iz lokacije u koju korisnik može zapisivati.
Windows servisi predstavljaju još jedan važan mehanizam trajnog pristupa i izvršavanja. Novostvoreni servis čiji ImagePath upućuje na Temp, korisnički profil, mrežni dijeljeni resurs ili nepoznatu izvršnu datoteku treba povezati s računom i procesom koji su ga stvorili.
WMI pretplate na događaje, izmjene Winlogon vrijednosti, Startup direktoriji i upravljački programi također se mogu koristiti za trajni pristup. Analitičar ne mora provjeravati svaki mogući mehanizam za svaku bezazlenu datoteku. Dubina istrage treba odgovarati riziku promatranog ponašanja.
Neki Windows artefakti češće se povezuju s digitalnom forenzikom, ali mogu pomoći potvrditi nalaz proaktivnog istraživanja kada je telemetrija krajnjeg uređaja nepotpuna.
Prefetch može pomoći potvrditi da se program izvršavao i pružiti podatke povezane s prethodnim pokretanjima. Nije uključen u svakom okruženju i ne smije se tretirati kao potpun zapis svih izvršavanja.
Amcache može sadržavati informacije o aplikacijama koje su bile prisutne na sustavu i pomoći pri analizi izvršavanja. Njegovo tumačenje zahtijeva oprez jer prisutnost zapisa ne dokazuje uvijek izvršavanje na način koji analitičar možda prvo pretpostavi.
Direktorij C:\$Recycle.Bin može sadržavati obrisane alate, zlonamjerne datoteke ili arhive. Obrisana datoteka i dalje može pružiti korisne metapodatke ili sadržaj koji je moguće oporaviti.
Direktorij C:\Windows\System32\winevt\Logs sadrži datoteke Windows zapisnika događaja. Brisanje zapisnika, prekidi bilježenja ili manipulacija tim datotekama mogu predstavljati važne znakove izbjegavanja obrambenih kontrola.
Direktorij C:\Windows\System32\config sadrži kritične registracijske košnice kao što su SAM, SYSTEM, SECURITY i SOFTWARE. Pokušaji kopiranja ili pristupa tim datotekama mogu biti povezani s krađom vjerodajnica, sigurnosnim kopiranjem ili legitimnim administratorskim aktivnostima. Rizik se procjenjuje prema procesu i korisniku koji su pokrenuli aktivnost.
Na kontroleru domene datoteka C:\Windows\NTDS\NTDS.dit sadrži bazu podataka servisa Active Directory. Pristup toj datoteci, njezino kopiranje ili stvaranje sjenovite kopije zahtijevaju hitnu provjeru jer mogu izložiti podatke povezane s domenskim vjerodajnicama.
Kada je pronađena sumnjiva datoteka ili proces, prvo zabilježi naziv uređaja, korisnika, vrijeme događaja, identifikator procesa i punu putanju datoteke. Sačuvaj izvorne vrijednosti prije nastavka istrage.
Pregledaj naziv datoteke, ekstenziju, veličinu, vrijeme stvaranja, vrijeme posljednje izmjene i SHA 256 sažetak. Vremenske oznake mogu pružiti koristan kontekst, ali ih je moguće izmijeniti i ne smiju se tretirati kao samostalan dokaz.
Provjeri digitalni potpis, certifikat i izdavatelja. Potvrdi odgovara li potpisnik proizvodu koji datoteka i putanja predstavljaju. Valjan potpis podržava mogućnost legitimnosti, ali ne poništava sumnjivo ponašanje.
Pregledaj nadređeni proces i proces iznad njega. Utvrdi koji je proces stvorio ili pokrenuo datoteku i predstavlja li taj odnos očekivano ponašanje aplikacije.
Analiziraj cijeli naredbeni redak i razinu integriteta procesa. Traži kodirani ili prikriveni sadržaj, skriveno izvršavanje, neuobičajene DLL reference, vanjske adrese, privremene putanje i pokušaje onemogućavanja sigurnosnih kontrola.
Utvrdi kako je datoteka stigla na uređaj. Je li je preuzeo internetski preglednik, je li raspakirana iz arhive, stigla elektroničkom poštom, kopirana s mrežnog dijeljenog resursa, unesena prijenosnim medijem ili ju je stvorio drugi proces?
Provjeri zastupljenost datoteke u cijelom okruženju. Datoteka prisutna na stotinama uređaja kao dio odobrene aplikacije ima drugačiji kontekst od datoteke koja je prvi put pronađena na jednom računalu.
Pregledaj DNS upite, mrežne veze, odredišne domene, IP adrese, portove i količinu prenesenih podataka. Kada telemetrija to omogućuje, utvrdi koji je proces odgovoran za komunikaciju.
Potraži mehanizme trajnog pristupa povezane s datotekom. Ovisno o razini rizika, pregledaj Run ključeve, Startup direktorije, zakazane zadatke, servise, WMI aktivnosti, Winlogon vrijednosti i upravljačke programe.
Na kraju izgradi vremensku crtu oko izvršavanja. Utvrdi što se dogodilo prije pojave datoteke, što ju je pokrenulo, što je stvorila i koje su aktivnosti uslijedile.
Tehnički pokazatelji zahtijevaju operativni kontekst.
Potpisana komponenta za ažuriranje pokrenuta iz Temp direktorija može izgledati neuobičajeno, ali odgovarati odobrenom ažuriranju softvera. Alat za udaljenu administraciju može biti očekivan na radnoj stanici IT podrške. Zakazani zadatak može pripadati sustavu za sigurnosno kopiranje.
Prije eskalacije usporedi aktivnost sa zapisima o distribuciji softvera, vremenskim razdobljima održavanja, zahtjevima za promjene, administratorskim aktivnostima i normalnom ulogom krajnjeg uređaja.
To nije razlog za zatvaranje sumnjive aktivnosti samo zato što je uključen administrator. Administratorski računi vrijedne su mete, a legitimni alati često se zloupotrebljavaju. Poslovno objašnjenje mora odgovarati tehničkim dokazima.
Ako zahtjev za promjenu navodi ažuriranje aplikacije, ali promatrani proces pokreće kodiranu PowerShell naredbu i kontaktira domenu nepovezanu s izdavateljem proizvoda, zahtjev ne objašnjava cijelu aktivnost.
Osnovni Windows proces koji se izvršava iz lokacije u koju korisnik može zapisivati treba dobiti visok prioritet.
Nepoznata izvršna datoteka pokrenuta iz Temp direktorija postaje značajnija kada je nepotpisana, pokrenula ju je Office aplikacija ili preglednik, povezuje se s vanjskim odredištem ili nakon izvršavanja uspostavlja trajni pristup.
Novi servis ili zakazani zadatak postaje značajniji kada pokreće datoteku iz direktorija AppData, Public, Downloads, Temp ili s mrežnog dijeljenog resursa.
Pokušaji pristupa datotekama SAM, SECURITY, SYSTEM ili NTDS.dit zahtijevaju neposrednu kontekstualnu provjeru jer mogu biti povezani s krađom vjerodajnica.
Novoinstalirani ili ranjivi upravljački program dobiva visok prioritet ako nakon njegove instalacije slijede pokušaji onemogućavanja EDR sustava, antivirusnog proizvoda ili druge sigurnosne kontrole.
Datoteka koja se izvrši, uspostavi trajni pristup, komunicira s vanjskim odredištem i zatim se obriše predstavlja znatno snažniji slučaj od datoteke koja je samo rijetka ili nepotpisana.
Praktično istraživanje prema putanjama može tražiti poznate nazive osnovnih Windows procesa koji se izvršavaju izvan očekivanih direktorija.
Sljedeći primjer predstavlja opću logiku pretrage. Nazive polja potrebno je prilagoditi stvarnom SIEM ili EDR sustavu i načinu na koji su podaci normalizirani:
naziv_procesa IN (
"svchost.exe",
"lsass.exe",
"services.exe",
"winlogon.exe",
"csrss.exe",
"smss.exe"
)
AND putanja_procesa NOT STARTS WITH "C:\Windows\System32\"Upit stvara popis kandidata za istragu. Ne potvrđuje kompromitaciju.
Analitičar mora uzeti u obzir arhitekturu operacijskog sustava, preusmjeravanje putanja, verziju Windowsa, posebnosti pojedinih procesa i kvalitetu podataka. Neke legitimne komponente mogu postojati u drugim Windows direktorijima, a nepotpuna normalizacija putanja može stvoriti pogrešne rezultate.
Drugo istraživanje može se usmjeriti na izvršne i skriptne datoteke pokrenute iz privremenih lokacija i direktorija u koje korisnik može zapisivati:
putanja_procesa CONTAINS ANY (
"\AppData\Local\Temp\",
"\Windows\Temp\",
"\Downloads\",
"\Users\Public\"
)
AND ekstenzija_datoteke IN (
".exe",
".dll",
".ps1",
".bat",
".cmd",
".vbs",
".js",
".hta"
)Rezultate treba obogatiti nadređenim procesom, izdavateljem, statusom digitalnog potpisa, zastupljenošću datoteke i mrežnom aktivnošću. Bez tog konteksta legitimni instalacijski procesi i komponente za ažuriranje mogu proizvesti velik broj rezultata.
Široki upit za proaktivno traženje prijetnji ne treba automatski pretvoriti u produkcijsko upozorenje.
Prvo treba utvrditi koje su kombinacije proizvele stvarno vrijedne nalaze. Izvršavanje datoteke iz AppData direktorija može biti uobičajeno. Datoteka sa sistemskim nazivom pokrenuta iz nasumično imenovanog AppData direktorija, koju je pokrenuo Word i koja se povezuje s novom domenom, znatno je specifičnija.
Kvalitetna detekcija može povezati više uvjeta umjesto da stvara upozorenje samo na temelju putanje. Uvjeti mogu uključivati lokaciju u koju korisnik može zapisivati, sumnjiv nadređeni proces, nepotpisanu ili rijetko viđenu datoteku, naziv sistemskog procesa, vanjsku komunikaciju i stvaranje mehanizma trajnog pristupa unutar određenog vremenskog razdoblja.
Logiku treba testirati na povijesnim podacima. Zatim je potrebno pregledati legitimne aplikacije koje se pojavljuju u rezultatima i izraditi uske, kontekstualne iznimke prema očekivanom izdavatelju, putanji, aplikaciji, skupini uređaja i procesnom odnosu.
Ne treba globalno izuzimati cijeli AppData direktorij ili sve procese potpisane od poznatog izdavatelja. Preširoke iznimke uklanjaju kontekst zbog kojeg je detekcija korisna.
Windows datotečni sustav daje analitičaru kartu, ali karta ne donosi odluku.
System32 je očekivana lokacija za mnoge osnovne Windows procese, ali datoteka nije sigurna samo zato što se ondje nalazi. AppData i Temp lokacije su u koje korisnici mogu zapisivati i često ih koriste napadači, ali svakodnevno ih koriste i legitimne aplikacije.
Najvrjedniji nalazi nastaju kada se pojavi proturječnost.
Naziv sistemskog procesa pojavljuje se u korisničkom direktoriju. Dokument pokreće naredbeni interpreter. Komponenta za ažuriranje povezuje se s odredištem koje nije povezano s njezinim izdavateljem. Potpisana aplikacija učitava nepoznatu DLL biblioteku. Privremena izvršna datoteka stvara trajni mehanizam pokretanja.
Upravo na tim proturječnostima istraga postaje vrijedna.
Upoznaj normalno kako bi prepoznao neobično. Zatim neobično ponašanje poveži s dovoljno tehničkog i poslovnog konteksta da bi mogao razumjeti što se zapravo dogodilo.
Proaktivno traženje prijetnji, odnosno threat hunting, često se pogrešno prikazuje kao pretraživanje SIEM sustava prema poznatim pokazateljima kompromitacije ili procesima kao što su PowerShell, rundll32.exe i certutil.exe. Takva pretraga može biti korisna, ali sama po sebi ne predstavlja cjelovit postupak traženja prijetnji.
Proaktivno traženje prijetnji strukturirano je istraživanje aktivnosti koje možda nisu pokrenule sigurnosno upozorenje, ali mogu predstavljati odstupanje od očekivanog ponašanja korisnika, uređaja, računa ili servisa. Cilj nije dokazati da je svaka pronađena anomalija zlonamjerna. Cilj je prikupiti dovoljno tehničkog i poslovnog konteksta da se početna hipoteza može potvrditi ili odbaciti.
Organizacije koriste različite SIEM, EDR, NDR, mrežne i identitetske sigurnosne proizvode. Netko koristi Microsoft Sentinel i Microsoft Defender, netko Splunk i CrowdStrike, a netko Stellar Cyber, Cybereason, Elastic, QRadar, Fortinet, Palo Alto Networks ili kombinaciju nekoliko rješenja. Nazivi tablica, polja i korisničkih sučelja razlikuju se, ali analitička logika ostaje ista.
U SIEM sustavu tražimo korelaciju i širi opseg aktivnosti. U EDR sustavu analiziramo procese, datoteke, mrežne veze i vremensku crtu uređaja. U sustavu za upravljanje identitetima provjeravamo prijave, sesije, privilegije i administrativne promjene. U DNS, proxy, vatrozidnoj i NDR telemetriji analiziramo komunikaciju. Sigurnosni proizvod može se razlikovati, ali pitanja koja analitičar postavlja trebala bi ostati jednaka.
Analiza sigurnosnog upozorenja započinje upozorenjem koje je proizvela postojeća detekcija. Proaktivno traženje prijetnji započinje hipotezom o aktivnosti koja možda nije pokrivena postojećim detekcijama ili se može sakriti unutar legitimnog ponašanja.
Odgovor na incident započinje kada postoji dovoljno razloga za sumnju na kompromitaciju ili kada je incident već potvrđen. Proaktivno traženje prijetnji može otkriti incident, ali svaki provedeni postupak ne mora završiti potvrđenim incidentom.
Obavještajni podaci o prijetnjama, odnosno threat intelligence, pružaju informacije o prijetnjama, taktikama, tehnikama, infrastrukturi i pokazateljima kompromitacije. Te se informacije mogu koristiti za postavljanje hipoteza, ali istraživanje se ne smije ograničiti samo na poznate IP adrese, domene i sažetke datoteka.
Proaktivno traženje prijetnji nije ni nasumično pregledavanje zapisa. Kvalitetno istraživanje ima definiranu hipotezu, izvore podataka, vremensko razdoblje, opseg, analitički postupak, kriterije za donošenje odluke i dokumentiran rezultat.
Uspješno istraživanje ne mora završiti pronalaskom napadača. Rezultat može pokazati da je promatrano ponašanje očekivano, da postojeća detekcija zahtijeva prilagodbu, da organizaciji nedostaje važan izvor podataka ili da je potrebno izraditi novu korelacijsku detekciju.
Rezultat može biti i potvrđena kompromitacija koja zahtijeva pokretanje postupka odgovora na incident. Jednako je važno dokumentirati situaciju u kojoj hipotezu nije moguće potvrditi ni odbaciti zbog nedostatka telemetrije. Nedostatak dokaza nije dokaz da se aktivnost nije dogodila.
Prije pokretanja istraživanja potrebno je razumjeti koje podatke organizacija stvarno prikuplja. Ne treba pretpostaviti da određena telemetrija postoji samo zato što organizacija posjeduje SIEM ili EDR sustav.
Prvo utvrdi gdje se nalaze događaji o pokretanju procesa i sadrže li cjelovite argumente naredbenog retka. Provjeri je li moguće vidjeti nadređeni proces, korisnika koji je pokrenuo proces, putanju datoteke, digitalni potpis, sažetak datoteke i mrežne veze povezane s procesom.
Zatim utvrdi gdje se nalaze Windows autentikacijski događaji, zapisi kontrolera domene, prijave u Microsoft Entra okruženju, revizijski zapisi sustava Microsoft 365, VPN autentikacije, DNS upiti, proxy promet, vatrozidne veze i telemetrija elektroničke pošte.
Provjeri razdoblje čuvanja podataka. Istraživanje kojim se pokušava utvrditi je li neki proces prvi put viđen tijekom posljednjih trideset dana nema smisla ako je dostupno samo sedam dana podataka.
Provjeri jesu li zapisi ispravno raščlanjeni. Izvorni događaj može postojati u SIEM sustavu, ali vrijednosti poput korisničkog imena, izvorišne IP adrese, odredišnog uređaja ili naredbenog retka možda nisu izdvojene u zasebna polja koja se mogu pretraživati.
Provjeri pokrivenost uređaja. Ako EDR sustav nadzire radne stanice, ali ne i sve poslužitelje, odsutnost događaja s poslužitelja ne smije se interpretirati kao dokaz da se na njemu ništa nije dogodilo.
Na kraju zapiši sva poznata ograničenja. Ako nisu dostupni PowerShell Script Block Logging, DNS zapisi, identitetski događaji ili podaci o mrežnim vezama pojedinačnih procesa, to mora biti navedeno u zaključku.
Hipoteza mora biti konkretna, provjerljiva i povezana s ponašanjem napadača. Rečenica poput „tražimo PowerShell napade“ nije dovoljno precizna jer ne određuje koju aktivnost tražimo ni koji bi rezultat bio značajan.
Bolja hipoteza glasi: „Napadač može koristiti PowerShell koji je pokrenula aplikacija iz paketa Microsoft Office kako bi preuzeo ili izvršio sadržaj s vanjskog odredišta.“
Ova hipoteza odmah određuje potrebne elemente. Potrebni su podaci o procesima, odnosima nadređenih i podređenih procesa, argumentima naredbenog retka, korisniku, uređaju i mrežnim vezama. PowerShell sam po sebi nije dovoljan. Važna je kombinacija nadređenog procesa, načina izvršavanja i aktivnosti koje su uslijedile.
Drugi primjer hipoteze može glasiti: „Kompromitirani administratorski račun može pristupati administrativnim dijeljenim resursima na više uređaja i nakon toga stvarati udaljene servise radi bočnog kretanja kroz infrastrukturu.“
U tom su slučaju potrebni autentikacijski događaji, SMB telemetrija, pristup dijeljenim resursima, događaji stvaranja servisa, procesi na izvorišnom i odredišnom uređaju te kontekst o korištenom administratorskom računu.
Nakon definiranja hipoteze potrebno je opisati tragove koje bi promatrana aktivnost mogla ostaviti u telemetriji. Namjera napadača nije izravno vidljiva u zapisima. Vidljivi su događaji koji su nastali tijekom izvođenja aktivnosti.
Ako se istražuje moguća zloupotreba PowerShella, trag može uključivati powershell.exe ili pwsh.exe, neuobičajen nadređeni proces, kodiranu naredbu, skriveni prozor, naredbu za preuzimanje sadržaja, vezu prema novoj domeni, stvaranje datoteke i pokretanje dodatnog procesa.
Ako se istražuje tehnika Pass the Hash, jedan događaj obično nije dovoljan za potvrdu. Potrebno je tražiti kombinaciju mrežnih prijava, NTLM autentikacije, neuobičajenog izvorišnog uređaja, korištenja privilegiranog računa, pristupa administrativnim resursima i naknadnog udaljenog izvršavanja.
Ovaj korak sprječava traženje jednog „magičnog“ identifikatora događaja koji bi trebao dokazati cijeli napad. Većina napada postaje vidljiva kroz lanac povezanih ponašanja, a ne kroz jedan izolirani događaj.
Početni upit služi otkrivanju relevantnih događaja. Ako se odmah dodaju preuski uvjeti, relevantna aktivnost može biti isključena prije nego što je analitičar pregleda.
Za istraživanje aplikacija iz paketa Microsoft Office koje pokreću interpretere početna logika može izgledati ovako:
nadređeni_proces IN (
winword.exe,
excel.exe,
powerpnt.exe,
outlook.exe
)
AND
podređeni_proces IN (
powershell.exe,
pwsh.exe,
cmd.exe,
wscript.exe,
cscript.exe,
mshta.exe,
rundll32.exe,
regsvr32.exe
)Ovo nije konačna detekcija i svaki rezultat nije incident. Upit samo izdvaja događaje koji zahtijevaju dodatni kontekst.
Rezultate zatim grupiraj prema uređaju, korisniku, nadređenom procesu, podređenom procesu, naredbenom retku, sažetku datoteke i vremenu. Utvrdi koliko se često pojedina kombinacija pojavljuje i na koliko je uređaja prisutna.
Posebno izdvoji kombinacije koje su prvi put viđene, pojavljuju se na malom broju uređaja, koriste neuobičajene putanje ili su povezane s novim mrežnim odredištima.
Upit pronalazi skup događaja. Proaktivno traženje prijetnji počinje kada analitičar iz početnih rezultata prijeđe na povezane entitete i izgradi širu sliku.
Ako pronađeš sumnjiv proces, prijeđi na uređaj i pregledaj njegovu vremensku crtu. Zatim istraži korisnika, nadređeni proces, sažetak datoteke, putanju, mrežno odredište i sve podređene procese.
Ako pronađeš sumnjivu autentikaciju, istraži isti korisnički račun, izvorišnu IP adresu, uređaj, aplikaciju, odredišne sustave i druge prijave u istom vremenskom razdoblju.
Ako pronađeš rijetku domenu, provjeri koji su je uređaji kontaktirali, koji je proces stvorio promet, kada je prvi put viđena, koliko je česta u organizaciji i je li neposredno prije veze preuzeta ili otvorena neka datoteka.
Svaki korak proširivanja istrage treba odgovoriti na konkretno pitanje. Podatke ne treba otvarati bez jasnog cilja. Ako pregledavaš stablo procesa, pitanje može glasiti: „Je li ovaj proces pokrenula očekivana aplikacija ili je nastao iz dokumenta, preglednika, skriptnog interpretera ili drugog neuobičajenog izvora?“
Sigurnosno upozorenje ili rezultat upita gotovo nikada nije cijela priča. Za odabrani događaj potrebno je pregledati aktivnosti koje su mu prethodile i one koje su uslijedile.
Započni nekoliko minuta prije početnog događaja i proširi vremensko razdoblje ako pronađeš dodatne tragove. Traži prijavu korisnika, otvaranje dokumenta, preuzimanje datoteke, DNS upit, mrežnu vezu, stvaranje procesa, promjenu registra, zakazani zadatak, servis, stvaranje računa ili pokušaj onemogućavanja sigurnosnog proizvoda.
Kvalitetna vremenska crta treba pokazati redoslijed aktivnosti. Primjerice, korisnik je otvorio dokument, winword.exe je pokrenuo PowerShell, PowerShell je kontaktirao novu domenu, stvorena je datoteka u korisničkom privremenom direktoriju, datoteka je pokrenuta i nakon toga je uspostavljena periodična vanjska komunikacija.
Svaki pojedinačni događaj može imati legitimno objašnjenje. Njihova povezanost i redoslijed mogu pokazati potpuno drugačiju sliku.
Proaktivno traženje prijetnji ne temelji se samo na poznatim pokazateljima kompromitacije. Velik dio njegove vrijednosti proizlazi iz razumijevanja normalnog ponašanja unutar organizacije.
Provjeri je li proces uobičajen za promatrani uređaj i njegovu poslovnu ulogu. Proces koji je očekivan na administracijskom poslužitelju može biti neuobičajen na radnoj stanici zaposlenika u financijama.
Provjeri je li korisnik ranije izvodio slične aktivnosti. Administrator može legitimno koristiti alate za udaljenu administraciju, dok isti obrazac pod standardnim korisničkim računom može zahtijevati dodatnu istragu.
Provjeri zastupljenost datoteke, njezina sažetka, domene i kombinacije nadređenog i podređenog procesa. Rijetkost povećava važnost nalaza, ali sama po sebi ne dokazuje kompromitaciju.
Provjeri vrijeme aktivnosti. Radnja izvan uobičajenog radnog vremena može biti sumnjiva, ali dežurstva, održavanje i automatizirani poslovi mogu predstavljati potpuno legitimno objašnjenje.
Osnovni obrazac ponašanja ne bi trebao biti samo globalan. Korisnije ga je odrediti prema ulozi korisnika, vrsti uređaja, mrežnom segmentu, aplikaciji i poslovnom procesu.
Naziv procesa nije dovoljan za donošenje odluke. PowerShell, rundll32.exe, certutil.exe, PsExec, AnyDesk i slični alati mogu imati legitimnu administrativnu svrhu.
Za svaki rezultat provjeri tko je pokrenuo aktivnost, na kojem uređaju, s kojim privilegijama, iz koje putanje i tijekom kojeg poslovnog procesa.
Analiziraj cijeli naredbeni redak. Legitimni i zlonamjerni proces mogu imati isti naziv, ali potpuno različite argumente. Obrati pažnju na kodirani ili zamaskirani sadržaj, skrivene prozore, naredbe za preuzimanje, neuobičajene DLL datoteke, direktorije u koje korisnik može zapisivati i vanjska mrežna odredišta.
Provjeri nadređene i podređene procese. Word koji pokreće PowerShell predstavlja upozoravajući signal, ali nije sam po sebi dokaz kompromitacije. Potrebno je utvrditi koji je dokument otvoren, odakle je došao, što je PowerShell izvršio i koje su aktivnosti uslijedile.
Provjeri digitalni potpis i sažetak datoteke, ali ih nemoj koristiti kao jedine kriterije. Potpisana datoteka može biti zloupotrijebljena ili korištena za posredno izvršavanje zlonamjernog sadržaja. Datoteka bez poznate reputacije također nije automatski zlonamjerna.
Provjeri mrežne veze i reputaciju odredišta. Nova domena nije nužno zlonamjerna, a poznata platforma u oblaku nije nužno sigurna. Napadači mogu koristiti legitimne servise za smještaj sadržaja, komunikaciju s kompromitiranim uređajima ili izvlačenje podataka.
Na kraju provjeri poslovni kontekst. Postoji li odobrena promjena, instalacija, administratorski zadatak ili zahtjev evidentiran u sustavu za upravljanje promjenama? Odgovara li aktivnost osobi, uređaju, vremenu i svrsi navedenoj u poslovnom opravdanju?
Popis dopuštenih aktivnosti ne bi se trebao temeljiti samo na nazivu procesa ili aplikacije. Ako je powershell.exe globalno izuzet iz detekcija zato što ga koriste administratori, napadač može iskoristiti upravo tu iznimku.
Kvalitetna iznimka uključuje kombinaciju odobrenog alata, očekivanog korisnika, odgovarajućeg uređaja, poznate putanje, digitalnog potpisnika, dopuštenih argumenata naredbenog retka, mrežnog odredišta i vremenskog konteksta.
Primjerice, alat za udaljeni pristup može biti dopušten na računalima IT podrške kada se izvršava iz službene instalacijske putanje i povezuje s poznatom infrastrukturom proizvođača. Isti alat pokrenut iz korisničkog privremenog direktorija na računalu na kojem nikada prije nije viđen ne bi trebao biti automatski izuzet.
Hipoteza glasi: „Napadač može dostaviti zlonamjerni dokument koji će pokrenuti PowerShell radi preuzimanja, dekodiranja ili izvršavanja dodatnog sadržaja.“
Za ovo istraživanje potrebni su događaji o procesima na krajnjim uređajima, odnosi nadređenih i podređenih procesa, cijeli naredbeni redak, korisnik, putanja, sažetak datoteke, mrežni događaji i, ako je dostupno, telemetrija elektroničke pošte ili mrežnog prometa koja može pokazati podrijetlo dokumenta.
Prvo u SIEM ili EDR sustavu pronađi događaje u kojima je winword.exe, excel.exe, powerpnt.exe ili outlook.exe pokrenuo powershell.exe ili pwsh.exe.
Zatim zabilježi vrijeme, korisnika, uređaj, naredbeni redak nadređenog procesa, PowerShell naredbeni redak, putanju dokumenta i sve dostupne sažetke datoteka.
Provjeri sadrži li naredba izraze EncodedCommand, FromBase64String, Invoke Expression, DownloadString ili Invoke WebRequest, parametre za skrivanje prozora i zaobilaženje kontrola, vanjsku adresu ili putanju prema direktorijima Temp, Downloads, AppData ili Public.
Ako je sadržaj kodiran, dekodiraj ga u sigurnom analitičkom okruženju. Nemoj ga izvršavati. Cilj je utvrditi stvarnu naredbu, mrežno odredište, putanju datoteke i namjeru skripte.
Otvori stablo procesa i provjeri što je prethodilo procesu aplikacije Microsoft Office. Utvrdi naziv dokumenta, njegovu lokaciju i vrijeme otvaranja. Ako postoji telemetrija elektroničke pošte, provjeri pošiljatelja, predmet poruke, privitak, poveznice i druge primatelje iste poruke.
Zatim pregledaj sve podređene procese koje je PowerShell pokrenuo. Traži dodatne interpretere, legitimne sistemske alate koji se mogu zloupotrijebiti, programe za arhiviranje, alate za pristup vjerodajnicama, promjene sigurnosnih postavki ili izvršavanje novostvorene datoteke.
Provjeri mrežne događaje. Utvrdi je li PowerShell ili njegov podređeni proces kontaktirao vanjsku IP adresu ili domenu. Provjeri je li odredište ranije viđeno, koliko mu uređaja pristupa, kakva je njegova reputacija i je li nakon uspostavljanja veze nastala nova datoteka.
Proširi istragu na isti sažetak, domenu, URL adresu i naziv datoteke kroz cijelo okruženje. Tako se može utvrditi radi li se o izoliranom događaju ili široj kampanji krađe vjerodajnica i isporuke zlonamjernog sadržaja.
Legitimno objašnjenje može biti poslovni dokument s odobrenom makronaredbom ili dodatkom. Međutim, potvrda mora uključivati poznati dokument, očekivanog korisnika, dokumentirani poslovni proces, poznatu skriptu, odgovarajući potpis i ponašanje koje nije povezano sa sumnjivim preuzimanjem ili izvršavanjem.
Ako aplikacija iz paketa Microsoft Office pokrene PowerShell s kodiranom naredbom, preuzme datoteku s nove domene i nakon toga izvrši nepotpisani sadržaj iz privremenog direktorija, postoji dovoljno međusobno povezanih pokazatelja za eskalaciju incidenta.
Očekivano ponašanje znači da je aktivnost potvrđena kao standardni dio odobrenog poslovnog ili tehničkog procesa i da ne predstavlja kršenje sigurnosnih pravila.
Benigni stvarno pozitivni rezultat, odnosno Benign True Positive, znači da je detekcija ispravno prepoznala ponašanje za koje je izrađena, ali je aktivnost imala legitimno i potvrđeno objašnjenje. Primjer može biti administrator koji je tijekom odobrenog održavanja koristio naredbu kojom se koriste i napadači.
Zlonamjerni stvarno pozitivni rezultat, odnosno Malicious True Positive, znači da postoje dokazi zlonamjerne ili neovlaštene aktivnosti. U tom trenutku proaktivno istraživanje prelazi u postupak odgovora na incident te je potrebno utvrditi puni opseg kompromitacije.
Lažno pozitivni rezultat, odnosno False Positive, znači da je logika upita ili detekcije pogrešno protumačila događaj, polje ili kombinaciju podataka. Takav rezultat obično zahtijeva ispravak upita, načina raščlanjivanja podataka ili detekcijske logike.
Neodređen rezultat, odnosno Inconclusive, znači da nema dovoljno podataka ili poslovnog konteksta za pouzdanu odluku. Potrebno je jasno navesti koji podaci nedostaju i kako se vidljivost može poboljšati.
Jedan sumnjiv signal rijetko je dovoljan za potvrdu kompromitacije. Odluka se treba temeljiti na korelaciji više povezanih ponašanja.
Prioritet treba povećati ako se istodobno pojavljuju neočekivan korisnik, prvi put viđen proces, izvršavanje iz direktorija u koji korisnik može zapisivati, kodirana naredba, sumnjiv nadređeni proces, novo vanjsko odredište, pristup vjerodajnicama, bočno kretanje, mehanizam trajnog pristupa, povećanje privilegija, onemogućavanje sigurnosnih kontrola ili brisanje tragova.
Ako postoji aktivna kompromitacija, potrebno je prijeći na postupak odgovora na incident. Ovisno o situaciji, to može uključivati izolaciju uređaja, blokiranje pokazatelja, opoziv sesija, onemogućavanje računa, ponovno postavljanje vjerodajnica, prikupljanje forenzičkih podataka i proširenje istrage na povezane sustave.
Analitičar ne bi trebao čekati savršen dokaz ako postoji stvaran rizik od nastavka napada. Istodobno, reakcija mora biti razmjerna dostupnim dokazima i mogućem poslovnom utjecaju.
Ako istraživanje pronađe koristan i ponovljiv obrazac, potrebno je procijeniti može li se pretvoriti u detekciju.
Početni upit ne treba jednostavno kopirati i pretvoriti u pravilo koje stvara upozorenje za svaki rezultat. Početni je upit namjerno širok i vjerojatno bi proizveo prevelik broj upozorenja.
Potrebno je odrediti koji su elementi razlikovali rizičnu aktivnost od legitimne. To mogu biti neuobičajen nadređeni proces, određeni argumenti naredbenog retka, korisnička putanja, niska zastupljenost, novo mrežno odredište ili kombinacija više događaja unutar određenog vremenskog razdoblja.
Zatim definiraj potrebne izvore podataka, korelacijsko razdoblje, prag, kontekst uređaja i precizne iznimke. Detekciju testiraj na povijesnim podacima prije uvođenja u produkcijsko okruženje.
Nakon uvođenja prati broj upozorenja, kvalitetu dostupnog konteksta, legitimne rezultate i aktivnosti koje logika ne prepoznaje. Kvalitetna detekcija nije dovršen proizvod. Ona se mora prilagođavati promjenama u infrastrukturi i ponašanju organizacije.
Za svako istraživanje zabilježi naziv, datum, analitičara, hipotezu, MITRE ATT&CK mapiranje, vremensko razdoblje, opseg, korištene izvore podataka i inačice upita.
Dokumentiraj pronađene korisnike, uređaje, IP adrese, procese, sažetke datoteka, domene i druge relevantne entitete. Dodaj vremensku crtu i objasni kako su događaji međusobno povezani.
Zapiši koje su mogućnosti legitimnog ponašanja provjerene, koji podaci nedostaju, kako je rezultat klasificiran i zašto je donesena takva odluka.
Na kraju definiraj daljnje aktivnosti, odgovornu osobu i rok. Ako je potrebna nova detekcija, prilagodba postojeće detekcije, dodatni izvor zapisa ili promjena sigurnosne kontrole, i to mora biti dio rezultata.
SOC tim može svaki tjedan provesti jedno usko definirano istraživanje povezano s aktualnim rizicima, promjenama u infrastrukturi ili novim obavještajnim podacima o prijetnjama.
Jednom mjesečno korisno je pregledati rezultate prethodnih istraživanja, ponavljajuće anomalije, nedostatke u telemetriji i upite koji se mogu pretvoriti u detekcije.
Nakon potvrđenog incidenta potrebno je provesti retrospektivno istraživanje kroz cijelo dostupno razdoblje i sve relevantne izvore podataka. Cilj je pronaći početnu aktivnost, dodatne pogođene sustave i ranije događaje koje postojeće detekcije nisu označile.
Nakon uključivanja novog klijenta, sustava ili izvora podataka potrebno je utvrditi osnovne obrasce autentikacija, administrativnih aktivnosti, alata za udaljeni pristup, privilegiranih računa, procesa, domena i mrežne komunikacije.
Proaktivno traženje prijetnji nije potraga za sigurnosnim upozorenjima. Upozorenje primjenjuje unaprijed definiranu detekcijsku logiku kako bi prepoznalo poznati obrazac. Proaktivno traženje prijetnji počinje pitanjem o aktivnosti koja možda još nema odgovarajuću detekciju.
Najvažnija vještina nije poznavanje sintakse jednog SIEM ili EDR proizvoda. Najvažnije je znati pretvoriti hipotezu u očekivanu telemetriju, pronaći relevantne događaje, povezati entitete, izgraditi vremensku crtu i razumjeti poslovni kontekst.
Upit nije cijeli postupak proaktivnog traženja prijetnji. Upit pronalazi događaje. Stvarna analiza počinje kada analitičar poveže ponašanje, korisnike, uređaje, procese, mrežna odredišta i vrijeme te na temelju dokaza odluči što se zapravo dogodilo.
Upoznaj normalno ponašanje kako bi mogao prepoznati abnormalno. Sumnjivo ponašanje nije automatski dokaz kompromitacije, ali ni poznati alat, potpisana datoteka ili administratorski račun nisu automatski dokaz legitimnosti. Kontekst i korelacija događaja pretvaraju sigurnosne podatke u kvalitetan analitički zaključak.
Ako tek ulaziš u svijet kibernetičke sigurnosti, vrlo brzo ćeš naići na stotine različitih certifikata, preporuka i mišljenja. Problem je što se velik broj popisa na internetu svodi na prepisivanje istih preporuka iz godine u godinu. Zato se često zanemaruje pitanje koliko će ti određeni certifikat zaista pomoći kada prvi put sjedneš pred stvarni sustav, sigurnosni alat ili incident.
Ovaj tekst nastao je iz perspektive osobe koja svakodnevno radi u području kibernetičke sigurnosti. Ne bavim se penetracijskim testiranjem, razvojem zlonamjernog koda ni upravljanjem rizicima na razini uprava i odbora. Moje područje su sigurnosne operacije, mrežna sigurnost, administracija sustava, analiza incidenata, detekcije i rad sa sigurnosnim alatima. Upravo zato su i certifikati na ovom popisu odabrani iz tog kuta gledanja.
Kibernetička sigurnost nije jedno zanimanje. Unutar nje postoje mrežna sigurnost, sigurnost sustava, upravljanje identitetima, sigurnosne operacije, forenzika, sigurnost oblaka, odgovor na incidente i mnoga druga područja. Ne postoji jedan certifikat koji će pokriti sve. Međutim, postoji nekoliko certifikata koji predstavljaju vrlo kvalitetan početak za velik broj budućih stručnjaka.
CCNA je jedan od rijetkih početnih certifikata koji te istovremeno tjera na teorijsko i praktično razumijevanje tehnologije. Upravo zato ga smatram jednim od najvrjednijih certifikata za početak karijere u informacijskim tehnologijama i kibernetičkoj sigurnosti.
Velik broj početnika želi odmah učiti napredne sigurnosne teme, no pritom preskače mrežne osnove. U praksi upravo je mreža mjesto gdje se odvija velik dio sigurnosnih događaja. Analiza mrežnog prometa, rad s vatrozidom, segmentacija mreže, virtualne privatne mreže, sustavi za otkrivanje i sprječavanje upada te analiza sumnjive komunikacije zahtijevaju dobro razumijevanje mrežnih tehnologija.
CCNA pokriva adresiranje, usmjeravanje, preklapanje, bežične mreže, automatizaciju, sigurnosne osnove i rad mrežne infrastrukture. Osoba koja kvalitetno savlada ovo gradivo često puno lakše napreduje prema sigurnosnim operacijama, analizi incidenata i radu sa SIEM platformama.
Jedna stvar koju rijetko tko govori jest da CCNA često razvija način razmišljanja koji kasnije koristiš u sigurnosti. Kada naučiš kako mreža radi u normalnim uvjetima, puno lakše prepoznaješ kada nešto nije normalno. Upravo tu počinje velik dio sigurnosnog posla.
Certifikat vrijedi tri godine te se može obnoviti kroz Cisco Continuing Education program ili ponovnim polaganjem odgovarajućeg ispita. Iz moje perspektive, malo je početnih certifikata koji kandidata toliko natjeraju da zaista razumije tehnologiju, a ne samo definicije. Upravo zato CCNA i danas smatram jednim od najkvalitetnijih početaka za ljude koji žele graditi karijeru u mrežama ili kibernetičkoj sigurnosti.
CompTIA Security+ vjerojatno je najpoznatiji početni certifikat iz područja kibernetičke sigurnosti. Ako pretražuješ oglase za posao u području sigurnosti, vrlo često ćeš naići upravo na ovaj certifikat.
Za razliku od CCNA certifikata, Security+ ne ulazi toliko duboko u pojedine tehnologije. Njegova je vrijednost u širini. Kandidat prolazi kroz prijetnje, ranjivosti, upravljanje identitetima, kriptografiju, sigurnosne operacije, upravljanje rizicima i osnovne sigurnosne koncepte koji se pojavljuju u gotovo svakom sigurnosnom okruženju.
Iz vlastitog iskustva mogu reći da je Security+ jedan od certifikata koje poslodavci i regruteri najčešće prepoznaju kada je riječ o početnim sigurnosnim certifikatima. To naravno ne garantira posao, ali često pomaže da životopis dobije dodatnu pažnju.
CompTIA također nudi zanimljiv certifikacijski ekosustav. Polaganjem naprednijih certifikata moguće je obnoviti određene niže certifikate unutar istog programa, što dugoročno može imati smisla za osobe koje planiraju graditi karijeru kroz CompTIA certifikacijski put.
Teško je danas pronaći organizaciju koja na neki način ne koristi Microsoft tehnologije. Upravo zato SC 900 predstavlja vrlo koristan početni certifikat za svakoga tko želi raditi u području kibernetičke sigurnosti.
Gradivo obuhvaća Microsoft Entra identitete, Microsoft Defender sigurnosna rješenja, Microsoft Purview, koncepte zaštite podataka, upravljanja pristupom, sigurnosnih operacija i usklađenosti.
Ne ulazi se duboko u pojedine tehnologije, ali dobiva se vrlo kvalitetan pregled Microsoft sigurnosnog ekosustava. To je posebno važno jer velik broj organizacija koristi Microsoft Defender proizvode za zaštitu krajnjih uređaja, elektroničke pošte, identiteta i oblaka.
SC 900 nije formalni preduvjet za SC 200, ali predstavlja izvrstan uvod u Microsoft sigurnosni svijet. Dodatna prednost je što Fundamentals certifikati ne istječu.
SC 900 nije certifikat nakon kojeg ćeš znati administrirati Microsoft sigurnosna rješenja. Njegova vrijednost leži u tome što pruža pregled cijelog ekosustava i pomaže razumjeti kako su identiteti, zaštita podataka, sigurnosne operacije i usklađenost međusobno povezani.
Sigurnost oblaka više nije specijalizacija rezervirana samo za velike organizacije. Danas gotovo svaka tvrtka koristi barem dio infrastrukture ili usluga smještenih u oblaku.
AZ 900 objašnjava osnovne koncepte računalstva u oblaku, Azure usluge, mrežnu arhitekturu, upravljanje resursima, sigurnost i model dijeljene odgovornosti. To su pojmovi koje će prije ili kasnije susresti gotovo svaki stručnjak za kibernetičku sigurnost.
Iako se radi o početnom certifikatu, AZ 900 često pomaže razumjeti teme koje će kasnije biti važne kod rada sa sigurnosnim alatima, identitetima, pristupnim politikama i zaštitom podataka u Microsoft okruženju.
Početnici često podcjenjuju oblak jer ga ne vide svakodnevno kao računalo na svom stolu ili mrežni uređaj u komunikacijskom ormaru. Međutim, velik dio modernih sustava danas se nalazi upravo u oblaku, zbog čega razumijevanje osnovnih Azure koncepata postaje sve važnije čak i za osobe koje se ne planiraju baviti administracijom oblaka.
SSCP je certifikat koji se često nalazi u sjeni poznatijeg CISSP certifikata. Međutim, za velik broj ljudi upravo je SSCP logičan korak između početničkih certifikata i naprednijih sigurnosnih certifikacija.
Fokusiran je na sigurnost sustava, upravljanje pristupom, sigurnosne operacije, odgovor na incidente, mrežnu sigurnost i zaštitu infrastrukture. Drugim riječima, bliži je svakodnevnom radu administratora sustava i stručnjaka za sigurnosne operacije.
Ono što SSCP izdvaja od nekih drugih početnih certifikata jest naglasak na operativnoj strani sigurnosti. Upravo zato ga mnogi vide kao dobar izbor za osobe koje rade ili planiraju raditi na sjecištu administracije sustava i kibernetičke sigurnosti.
Ne trebaju svi pratiti isti certifikacijski put. Netko će karijeru graditi kroz Cisco, netko kroz Microsoft, netko kroz CompTIA, a netko kroz ISC2. Najvažnije je da odabrani certifikat podržava smjer u kojem želiš razvijati svoje znanje.
Kada ljudi prvi put uđu u svijet kibernetičke sigurnosti, često traže jedan savršen certifikat. Takav certifikat ne postoji. Postoje samo različiti putevi razvoja, ovisno o području koje te zanima.
Jedan od najkvalitetnijih prikaza mogućih certifikacijskih puteva nalazi se na Security Certification Roadmap projektu Paula Jerimyja. Taj certifikacijski put vrlo jasno pokazuje koliko je kibernetička sigurnost široko područje i koliko različitih specijalizacija postoji unutar njega.
Meni ga je pokazao jedan od nadređenih i od tada ga preporučujem ljudima koji pokušavaju pronaći smjer razvoja. Iako je nastao 2024. godine, većina prikazanih certifikata i dalje je relevantna. Neki su možda promijenili naziv ili verziju, ali logika razvoja karijere ostala je ista.
Certifikacijski put možeš pronaći na adresi: https://pauljerimy.com/security-certification-roadmap/
Najveća pogreška koju vidim kod početnika jest traženje savršenog certifikata. Takav certifikat ne postoji. Postoje samo certifikati koji bolje ili lošije odgovaraju području u kojem se želiš razvijati.
Ako mene pitaš, puno je važnije razumjeti zašto nešto radi nego položiti još jedan ispit. Certifikat može otvoriti vrata razgovoru za posao, ali znanje je ono zbog čega ćeš ostati na toj poziciji i napredovati dalje.
A ono što je možda najvažnije jest koristiti stečeno znanje u praktične svrhe. Certifikat sam po sebi ne znači puno ako se naučeno nikada ne primijeni na stvarnim sustavima, stvarnim problemima i stvarnim incidentima.
Ovo je naravno moje osobno mišljenje temeljeno na iskustvu. Ljudi koji rade penetracijska testiranja ili upravljanje rizicima, vjerojatno bi sastavili drugačiji popis. I upravo je to jedna od zanimljivijih stvari u kibernetičkoj sigurnosti. Postoji mnogo različitih puteva, a ne samo jedan ispravan.
Jedna od najčešćih pogrešaka kod SOC analitičara jest uvjerenje da je analiza završena onog trenutka kada pronađu upozorenje. U stvarnosti, upozorenje nije odgovor. Upozorenje je samo početak istrage.
Sigurnosni alati dizajnirani su kako bi analitičaru olakšali razumijevanje onoga što se događa ili se dogodilo na sustavu. Oni prikupljaju, koreliraju i ističu događaje koji mogu biti sigurnosno relevantni te usmjeravaju pažnju na aktivnosti koje zahtijevaju dodatnu provjeru. Međutim, sami po sebi rijetko pružaju potpunu sliku incidenta. Upravo zato analiza konteksta ostaje jedan od najvažnijih zadataka svakog SOC analitičara.
Upravo zato dva ista upozorenja mogu predstavljati potpuno različite situacije. Jedno može biti legitimna administratorska aktivnost, dok drugo može biti početak ozbiljne kompromitacije.
Kada se pojavi upozorenje, prvo pitanje ne bi trebalo biti kako ga zatvoriti. Prvo pitanje trebalo bi biti zašto se pravilo uopće aktiviralo. Tek kada razumijemo logiku pravila možemo razumjeti što se zapravo dogodilo na sustavu.
Primjerice, ako vidimo upozorenje „Encoded PowerShell“, sama činjenica da je PowerShell pokrenut nije dovoljna za zaključak. Potrebno je razumjeti što je izvršeno, tko je pokrenuo proces, iz kojeg konteksta i s kojim ciljem.
U tom trenutku analiza tek počinje.
Korak 1 – Zaprimljeno je upozorenje
Prvi korak je pregledati upozorenje i prikupiti osnovne informacije. Potrebno je provjeriti naziv pravila, vrijeme događaja, korisnika, uređaj, izvor događaja i razinu ozbiljnosti.
U ovoj fazi ne donosimo zaključke. Cilj je razumjeti što je sustav detektirao.
Korak 2 – Pročitati naziv pravila
Naziv pravila vrlo često daje prve naznake što treba analizirati.
Ako vidimo pravilo „Abnormal Parent Child Process“, odmah znamo da ćemo analizirati odnos između roditeljskog i podređenog procesa.
Ako vidimo pravilo „Encoded PowerShell“, fokus istrage bit će PowerShell naredbe i parametri naredbenog retka.
Ako vidimo pravilo „Impossible Travel“, analizirat ćemo korisničke prijave, geolokacije i događaje autentikacije.
Dobar analitičar prvo pokušava razumjeti što pravilo pokušava detektirati.
Korak 3 – Pročitati opis pravila
Nakon naziva pravila potrebno je pročitati njegov opis.
Opis pravila objašnjava zašto je upozorenje generirano, koje ponašanje se smatra sumnjivim i što pravilo zapravo pokušava detektirati.
Tek kada razumijemo logiku pravila možemo započeti kvalitetnu analizu.
Korak 4 – Odrediti početnu točku analize
Svako pravilo ima svoju početnu točku.
Ako je riječ o korisničkom računu, analiziraju se prijave, višefaktorska autentikacija, IP adrese i geolokacije.
Ako je riječ o procesu, analiziraju se roditeljski proces, podređeni proces, parametri naredbenog retka i putanja izvršavanja.
Ako je riječ o mrežnoj aktivnosti, analiziraju se IP adrese, domene, mrežne veze i reputacija odredišta.
Pravilo određuje odakle analiza kreće.
Korak 5 – Prikupiti kontekst
Jedno upozorenje gotovo nikada ne daje kompletnu sliku događaja.
Potrebno je prikupiti dodatna upozorenja, povezane incidente, indikatore kompromitacije, procese, korisničke aktivnosti, mrežnu komunikaciju i povijesne događaje.
Tek tada počinjemo dobivati širu sliku onoga što se dogodilo.
Korak 6 – Analizirati kontekst procesa
Mnogi analitičari gledaju samo naziv procesa.
To nije dovoljno.
Primjerice, powershell.exe sam po sebi ne znači gotovo ništa. Potrebno je analizirati tko ga je pokrenuo, kada ga je pokrenuo, koji ga je roditeljski proces pokrenuo, koje su naredbe izvršene, postoji li mrežna komunikacija i je li proces digitalno potpisan.
Vrlo je važno analizirati odnos između roditeljskog i podređenog procesa. Nije neuobičajeno da određeni proces pokreće druge procese tijekom svog normalnog rada, no postoje situacije u kojima upravo taj odnos može ukazivati na kompromitaciju sustava.
Primjerice, ako explorer.exe pokrene cmd.exe ili powershell.exe, takvo ponašanje može biti očekivano. Međutim, ako Office dokument pokrene powershell.exe, koji zatim pokrene dodatne procese ili mrežnu komunikaciju, potrebno je dodatno istražiti radi li se o legitimnoj aktivnosti ili pokušaju kompromitacije.
Kontekst procesa često je važniji od samog procesa. Potrebno je razumjeti zašto je proces pokrenut, iz kojeg konteksta, od strane kojeg korisnika te je li takvo ponašanje uobičajeno za promatrani sustav.
Korak 7 – Analizirati putanju procesa
Vrlo je važno provjeriti odakle je proces pokrenut.
Nije isto izvršava li se proces iz direktorija C:\Windows\System32 ili iz direktorija AppData, Temp ili Downloads.
Međutim, ovdje dolazimo do jedne od najčešćih pogrešaka tijekom analize sigurnosnih događaja.
Aktivnost iz Temp direktorija ne znači automatski da se radi o napadu.
Tijekom nadogradnji aplikacija, instalacija softvera, primjene sigurnosnih zakrpa ili aktivnosti implementacije sustava vrlo je uobičajeno da se datoteke privremeno raspakiravaju i izvršavaju upravo iz privremenih direktorija.
Drugim riječima, legitimna aktivnost ponekad može izgledati vrlo slično zlonamjernoj aktivnosti.
Jednako tako, PowerShell nije zlonamjeran alat. Cmd nije zlonamjeran alat. Rundll32 nije zlonamjeran alat. Sve su to legitimni Windows alati koje koriste i administratori i napadači.
Upravo zato kontekst određuje je li nešto legitimno ili zlonamjerno.
Zbog toga putanja procesa nikada ne smije biti jedini kriterij za procjenu incidenta. Potrebno je sagledati cjelokupni kontekst događaja prije donošenja zaključka.
Korak 8 – Provjeriti legitimnost aktivnosti
Nakon tehničke analize potrebno je odgovoriti na pitanje: je li korisnik očekivao ovu aktivnost?
Vrlo često upravo korisnik daje informaciju koja potvrđuje ili odbacuje sumnju.
Ponekad će se ispostaviti da je riječ o nadogradnji aplikacije, administratorskom zadatku, implementaciji novog sustava, automatiziranom procesu ili legitimnoj poslovnoj aktivnosti.
Na prvi pogled takve aktivnosti mogu izgledati identično kao kompromitacija.
Korak 9 – Donijeti zaključak
Tek nakon što prikupimo sve informacije možemo donijeti zaključak.
Radi li se o legitimnoj aktivnosti? Radi li se o lažno pozitivnoj detekciji? Radi li se o sumnjivoj aktivnosti? Radi li se o potvrđenoj kompromitaciji?
Preskakanje koraka gotovo uvijek vodi prema pogrešnim zaključcima.
Korak 10 – Primijeniti odgovarajuću proceduru postupanja
Kada razumijemo što se dogodilo, primjenjujemo odgovarajuću proceduru postupanja.
To može biti procedura za korisničke račune, krajnje uređaje, zlonamjerni softver, mehanizme postojanosti, lateralno kretanje ili odgovor na sigurnosni incident.
Procedura nije tu da ograniči analitičara. Njezina svrha nije da analitičar mehanički prati korake bez razmišljanja.
Dobra procedura služi kao vodič koji osigurava da svaki analitičar, bez obzira na iskustvo, prolazi kroz iste ključne korake analize. Ona osigurava da tijekom istrage ne propustimo važne informacije, indikatore kompromitacije, povezane događaje ili korake koji mogu biti ključni za razumijevanje incidenta.
Kvalitetna analiza nije lista klikova koje treba napraviti u SIEM-u ili EDR-u. Kvalitetna analiza je proces postavljanja pitanja i traženja odgovora kroz dostupne podatke.
Dobar analitičar nakon svakog upozorenja traži dodatni kontekst. Postoje li povezana upozorenja? Je li korisnik radio nešto neuobičajeno? Postoje li indikatori kompromitacije? Je li aktivnost viđena i na drugim uređajima? Postoji li komunikacija prema sumnjivim IP adresama ili domenama?
Razlika između operatera koji obrađuje upozorenja i analitičara koji provodi istragu upravo je u načinu razmišljanja.
Operater vidi upozorenje i traži razlog za zatvaranje.
Analitičar vidi upozorenje i traži razlog zašto se ono aktiviralo.
Svako pravilo koje generira upozorenje ima određenu logiku i svrhu. Ako ne razumijemo što pravilo pokušava detektirati, velika je vjerojatnost da ćemo propustiti važne indikatore kompromitacije ili pogrešno procijeniti ozbiljnost događaja.
Tek nakon što razumijemo što se dogodilo možemo primijeniti odgovarajuću proceduru postupanja.
Njezina svrha je osigurati da svaki analitičar prolazi kroz iste ključne korake analize i da tijekom istrage ne propusti važne informacije.
Dobra procedura ne govori analitičaru što da misli.
Dobra procedura osigurava da postavi sva važna pitanja.
Najvažnija vještina SOC analitičara nije poznavanje određenog alata, nego sposobnost razumijevanja konteksta i povezivanja informacija.
Analiza počinje čitanjem pravila.
Nastavlja se razumijevanjem konteksta.
Završava donošenjem zaključka temeljenog na dokazima.
Upozorenje nije dokaz kompromitacije.
Upozorenje je indikator da nešto zahtijeva dodatnu provjeru.
Dobra analiza ne traži razlog za zatvaranje upozorenja.
Dobra analiza traži razlog zašto se upozorenje aktiviralo.
Prije nego što dođemo do konkretnih koraka koje ću predstaviti u ovom tekstu, potrebno je postaviti si nekoliko praktičnih pitanja: zašto uopće želim posao u IT-u, a zatim i u kibernetičkoj sigurnosti? Kao i za svaki drugi posao, prvo pitanje glasi: jesam li ovdje iz pravih razloga? Ulazak u IT nije odluka koja se donosi preko noći, a ni posao, nažalost, ne dolazi preko noći.
Mnogi ljudi čuju sjajne priče o ovoj branši i donesu odluku na temelju njih. Najčešće se spominju velika plaća i lagodni uvjeti rada iz udobnosti vlastitog doma. Povedeni takvim pričama, donose nagle odluke, a da se nikada ne zapitaju hoće li taj posao uopće voljeti.
Dio njih plati velik novac za edukaciju i na pola puta shvati da to nije za njih. Drugi izdrže do kraja edukacije isključivo zato što su platili, iako znaju da se tim poslom nikada neće baviti. Edukacija u ovom području mučna je upravo onoj vrsti ljudi koji su se poveli za uglađenim marketinškim pričama, a neki od njih u startu ne znaju ni instalirati program, a kamoli postaviti virtualnu mašinu.
Lako je raditi posao koji ne voliš ako je spor i manje zahtjevan, no s poslom u IT-u i kibernetičkoj sigurnosti to nije slučaj. Kada zapneš na poslu koji je iznimno zahtjevan i kompleksan, a pritom ga ne voliš, to stvara cijeli lanac problema. Posljedice ne trpiš samo ti, nego i ljudi oko tebe.
Kompleksnost ovog posla proizlazi iz toga što tehnologija izrazito brzo napreduje i zahtijeva ogromnu količinu fokusa. Radna okolina obično je ubrzana i prepuna kritičnih sustava koji zahtijevaju visoku razinu dostupnosti, a o njima ovise brojni važni procesi i poslovi. Uz to, radi se s velikom količinom informacija i podataka o kojima ponekad ovise i ljudski životi, pa svaka pogreška može uzrokovati ozbiljne probleme.
Često se mogu pročitati ispovijesti tipa: "Nasjeo sam na reklamu za edukaciju o kibernetičkoj sigurnosti i mislio sam da mogu pobijediti tržište rada, ali nisam." Slijede pitanja poput: je li problem u meni ili u branši, trebam li odustati i kako uopće skupiti iskustvo ako mi nitko ne želi dati priliku? Čitajući takve priče, zaključujem da su osobe koje ih pišu upravo oni ljudi koji u ovo područje nisu ušli iz pravih razloga.
Ako si ovdje iz pravih razloga, u nastavku slijedi brutalna istina o tome kako dobiti prvi posao u IT-u općenito, a primarno u kibernetičkoj sigurnosti. Princip je u oba slučaja potpuno isti. Koraci su uvijek isti.
Kada napokon odlučiš krenuti u ovom smjeru, nije presudno hoće li to biti samostalno učenje, formalna edukacija ili tečaj. Svatko bira pristup koji mu najbolje odgovara. Najvažnije je pritom ostati vjeran sebi.
Moja je preporuka ipak upisati fakultet, prvenstveno zbog tradicionalnog pristupa i strukture. Tečajevi su brzi, često pokrivaju samo općenite stvari i traju vrlo kratko, pa su odlični tek za dodirivanje površine. Fakultet nije nužno bolji, ali nudi strukturu koju tečajevi nemaju.
Fakultet, doduše, oduzima više vremena, ali se time stječe vrlina strpljivosti koja je u ovom poslu prijeko potrebna. Tu je i svojevrsni besplatni dopamin polaganja ispita i rješavanja zadataka, gotovo kao misija u videoigri. Velika količina matematike također je iznimno važna jer potiče mozak na analitički način razmišljanja, a tradicionalna edukacija u konačnici nudi širi i općenitiji pristup.
No, postoji jedna ključna stvar: ako uz sve to ne planiraš učiti i samostalno u slobodno vrijeme, sav trud je uzaludan. U tom slučaju bolje je da se ovim poslom uopće ne baviš. Samostalno učenje nije opcija, nego temelj.
Google je i dalje tvoj najbolji prijatelj, čak i u doba umjetne inteligencije. Zapitaj se: jesam li snalažljiv, volim li pretraživati i istraživati? Ako ti ne smeta kada se jednostavno otklanjanje kvara pretvori u iscrpno višesatno kopanje po dokumentaciji, forumima i logovima, slobodno nastavi čitati dalje.
Postoje razni virtualni događaji preko kojih se mogu dobiti vaučeri za certifikate, a mnogi su od njih i potpuno besplatni. Potrebno je samo malo istražiti. Tu se opet vraćamo na snalažljivost kao temeljnu osobinu.
Razmisli i o svojim navikama kod kuće: rješavaš li sam tehničke probleme, imaš li koju virtualnu mašinu? Koliko si puta sam instalirao operacijski sustav, a koliko si puta srušio vlastito računalo eksperimentirajući? Ako se prepoznaješ u ovome, postoji dobra šansa da ćeš ovu branšu zaista i voljeti.
Postoje mnoge platforme koje nude kvalitetne predloške za životopis, pa nema potrebe izmišljati toplu vodu. Životopis mora stati na jednu stranicu, imati bijelu pozadinu i biti uredan, a ne vizualni cirkus. Format treba biti PDF, a moja je preporuka da životopis bude bez fotografije, što svakako možeš dodatno istražiti i sam.
Sažetost, kratkoća i jednostavnost su pravilo. Koristi formalan i neutralan font, navedi ime i prezime, kratak opis u nekoliko crtica te završeno obrazovanje. Sve što ne doprinosi cilju, izbaci.
Ja u svom životopisu nemam navedene sve poslove koje sam prije radila, jer jednostavno nisu relevantni za branšu. To je na razgovorima ostavilo dojam praznine u karijeri i očekivano je izazvalo pitanja. No kada su mi to pitanje postavili, nisam ga shvatila negativno, već sam ga iskoristila da dam odličan odgovor.
Ljudi se boje takvih pitanja, a upravo se ona psihološki mogu okrenuti u vlastitu korist. Primjer odgovora: odlučila sam prijeći u ovu branšu i nisam navodila poslove koji za nju nisu relevantni, a usput mi je smetalo i što je životopis prelazio na drugu stranicu, što nije bilo estetski. A zašto praznina postoji? Zato što sam se odlučila na zaokret u karijeri i bila dovoljno hrabra krenuti u smjeru koji me zapravo zanima cijeli život.
Nakon životopisa, iznimno je važno i motivacijsko pismo. Kada tražiš prvi posao, tvoje pismo mora biti hrabro i odriješito. Nema mjesta za mlake i generičke formulacije koje poslodavac pročita stotinu puta dnevno.
Ja sam svoja pisma obično počinjala rečenicom: "Ne znam ništa, no zanima me to i to, a u slobodno vrijeme proučavam sljedeće." Sve ostalo što napišeš mora se prije svega temeljiti na iskrenosti. Uvijek treba ostati vjeran sebi, jer pojedincima koji prihvaćaju svoju jedinstvenost vrata su uvijek otvorena.
Budimo realni: prvi posao najvjerojatnije znači raditi za skromnu plaću, narodski rečeno, za crkavicu. Strpi se i prihvati je, jer je to ulaznica u branšu. Ne razmišljaj previše o iznosu na početku, nego uporno radi i skupljaj sate prave prakse.
Budi spreman biti bačen u vatru od prvog dana. Prihvaćaj sve izazove koji ti dođu pod ruku dok ne postaneš siguran u sebe i svoje znanje. To je jedini put prema naprijed.
Kibernetička sigurnost područje je u kojem treba znati jako puno toga, pa je ključno pametno postaviti prioritete. Moj savjet je fokus na osnove računalnih mreža, jer bez toga jednostavno ne možeš dalje. Tu mislim na razumijevanje OSI i TCP/IP modela, razlike između TCP-a i UDP-a te načina na koji paket uopće putuje od točke A do točke B.
Nauči napamet osnovne portove i protokole: 80 i 443 za HTTP i HTTPS, 22 za SSH, 53 za DNS, 25 za SMTP, 3389 za RDP, 445 za SMB. Uz to idu i HTTP statusni kodovi, jer razlika između 200, 301, 403, 404 i 500 govori ti puno o tome što se događa na webu. Dodaj tome i osnovno poznavanje mrežnih uređaja: što radi preklopnik, što usmjerivač, a što vatrozid.
Sljedeći prioritet su operacijski sustavi i osnovno znanje o procesima, primarno Windows procesima, budući da većina poslovnih okruženja radi upravo na Windows platformi. Kako su sami ljudi najveći sigurnosni rizik, a koriste pretežno Windows, važno je poznavati procese koji se lako mogu iskoristiti u svrhe kompromitacije sustava. Trebaš znati prepoznati legitimne sistemske procese poput svchost.exe, lsass.exe ili explorer.exe te razumjeti zašto je sumnjivo kada se takav proces pokreće iz krive putanje ili s čudnim nadređenim procesom.
Tu dolazimo do procesnog lanca: tko je pokrenuo koga, kojim redoslijedom i s kojim argumentima. Kada vidiš da Word pokreće PowerShell, a PowerShell nešto skida s interneta, to je priča koja se mora znati ispričati na razgovoru. Nauči gdje i kako tražiti te informacije, primjerice u Windows event logovima, jer je to kruh svagdašnji svakog analitičara.
Nadalje, trebaš razumjeti što su hashevi i zašto su nam korisni. Algoritmi poput MD5, SHA-1 i SHA-256 koriste se za provjeru integriteta datoteka, identifikaciju zloćudnog koda i pohranu lozinki. Kada na razgovoru znaš objasniti zašto se isti maliciozni uzorak uvijek može prepoznati po hashu i zašto MD5 više nije siguran izbor, već si ispred većine kandidata.
Tu je i OSINT, odnosno prikupljanje informacija iz javno dostupnih izvora. To uključuje sve od naprednih pretraga i javnih registara do alata kojima se provjerava reputacija domena, IP adresa i datoteka. Snalažljivost o kojoj sam pisala ranije ovdje dolazi do punog izražaja.
I za kraj, Linux: neka ti ovaj operacijski sustav bude svakodnevna molitva, jer većina sigurnosnih uređaja i sustava radi upravo na Linuxu ili na sustavima baziranim na njemu. Nauči se kretati po terminalu, čitati logove iz /var/log direktorija, baratati naredbama poput grep, cat, ps i netstat te razumjeti dozvole nad datotekama. Operacijski sustavi su, ponavljam, temelj svega, a iznad svega toga stoji jedno pravilo: budi konzistentan.
Ako te zanima koji predložak za životopis preporučujem ili koju edukaciju smatram da vrijedi, slobodno mi pošalji upit. Rado ću podijeliti konkretne preporuke iz vlastitog iskustva i baci oko na poveznice gdje nudim i svoje tečajeve. Sretno i vidimo se u branši!
Kada se spomene kućni vatrozid, mnogi i dalje zamišljaju uređaj koji samo propušta ili blokira promet između lokalne mreže i interneta. Međutim, moderna rješenja odavno su prerasla tu ulogu.
Današnje vrste vatrozida mogu analizirati aplikacijski promet, provoditi SSL/TLS inspekciju, koristiti podatke iz threat intelligence izvora, prepoznavati poznate obrasce napada i donositi sigurnosne odluke na temelju mnogo više od IP adrese i porta.
Zahvaljujući tome, tehnologije koje su nekada bile rezervirane za poslovna okruženja danas su dostupne i korisnicima koji žele više kontrole nad vlastitom mrežom, bilo da je riječ o učenju, testiranju novih tehnologija ili izgradnji kućnog laba.
Za ovu usporedbu fokusirala sam se na tri rješenja koja se najčešće spominju među mrežnim administratorima i entuzijastima: Sophos Firewall Home Edition, OPNsense i pfSense.
Iako sva tri proizvoda bez problema mogu odraditi osnovne zadaće poput rutiranja, NAT-a, VPN-a i segmentacije mreže, razlike postaju vidljive kada se krene analizirati sigurnosne mogućnosti, integracije, način administracije i ukupnu filozofiju proizvoda.
Sophos Firewall Home Edition temelji se na istoj platformi koja se koristi i u poslovnim okruženjima. Korisnik tako dobiva pristup velikom broju funkcionalnosti koje se inače susreću u znatno skupljim komercijalnim rješenjima.
Uz standardna pravila filtriranja prometa dostupni su IPS, web filtering, application control, SSL/TLS inspekcija, geo-IP filtriranje, zaštita od različitih mrežnih napada te napredni mehanizmi za otkrivanje prijetnji.
Posebno zanimljiv dio platforme predstavlja Extended Threat Feeds. Putem API-ja moguće je povezati vanjske izvore podataka te automatski uvoziti IOC-eve poput zlonamjernih IP adresa, domena ili URL-ova. Na taj način vatrozid može koristiti informacije iz threat intelligence platformi, vlastitih IOC lista ili drugih sigurnosnih sustava i na temelju njih automatski donositi odluke o blokiranju ili označavanju prometa.
Za korisnike koji žele eksperimentirati s automatizacijom, integracijama i modernim pristupom obrani riječ je o vrlo zanimljivoj mogućnosti koja se rijetko viđa u besplatnim kućnim izdanjima.
Ono što mi se posebno sviđa jest činjenica da većina funkcionalnosti dolazi integrirana unutar samog proizvoda. Nema potrebe za instalacijom dodatnih paketa ili povezivanjem više različitih komponenti kako bi se dobile napredne sigurnosne mogućnosti.
Implementacija je relativno jednostavna, administracijsko sučelje pregledno, a velik broj opcija dostupan je odmah nakon instalacije. Upravo zbog toga Sophos ostavlja dojam vrlo zaokruženog rješenja koje uspješno spaja jednostavnost korištenja i napredne sigurnosne mogućnosti.
OPNsense predstavlja nešto drugačiju filozofiju.
Riječ je o open source projektu koji korisniku pruža vrlo veliku razinu fleksibilnosti i kontrole. Umjesto unaprijed definiranog pristupa, administrator sam odlučuje koje će funkcionalnosti koristiti i na koji način će ih implementirati.
Jedna od najvećih prednosti OPNsensea svakako je bogat ekosustav dodataka. Alati poput Suricate, WireGuarda, Zenarmora, HAProxyja i brojnih drugih servisa mogu se integrirati u postojeće okruženje bez većih poteškoća.
Takav pristup omogućuje izgradnju vrlo moćnog sustava prilagođenog konkretnim potrebama korisnika. S druge strane, zahtijeva više vremena za konfiguraciju, održavanje i razumijevanje pojedinih komponenti.
Za administratore koji vole imati potpunu kontrolu nad svakim detaljem infrastrukture upravo je to često najveća prednost OPNsensea.
pfSense je već godinama jedno od najpoznatijih imena kada je riječ o kućnim i manjim poslovnim implementacijama.
Njegova najveća prednost leži u zrelosti platforme, velikoj zajednici korisnika i ogromnoj količini dostupne dokumentacije. Gotovo svaki problem na koji možete naići već je netko ranije dokumentirao ili riješio.
Funkcionalno gledano, pfSense i dalje predstavlja vrlo sposobno rješenje koje može zadovoljiti potrebe većine korisnika. Stabilan je, provjeren i dobro poznat mrežnim administratorima.
Ipak, posljednjih godina dio zajednice okreće se OPNsenseu, prvenstveno zbog otvorenijeg modela razvoja i nešto bržeg uvođenja pojedinih funkcionalnosti.
Prilikom usporedbe sigurnosnih proizvoda često se postavlja pitanje koji je od njih najsigurniji.
U stvarnosti odgovor nije toliko jednostavan.
Sophos je imao nekoliko ozbiljnih ranjivosti koje su omogućavale udaljeno izvršavanje koda i druge oblike kompromitacije sustava. Upravo zbog velike prisutnosti u poslovnim okruženjima takvi propusti često privlače značajnu pažnju sigurnosne zajednice.
S druge strane, i OPNsense i pfSense redovito objavljuju sigurnosne zakrpe za novootkrivene propuste. Sama činjenica da proizvod ima CVE ne govori mnogo o njegovoj kvaliteti. Puno je važnije koliko brzo proizvođač reagira, koliko transparentno komunicira problem i koliko jednostavno korisnici mogu primijeniti dostupne zakrpe.
Vrijedi spomenuti i koncept tehnološke raznolikosti.
Kada se govori o sigurnosnoj arhitekturi, cilj ne mora uvijek biti pronaći jedno savršeno rješenje koje će raditi sve. Ovisno o potrebama i mogućnostima, ponekad ima smisla koristiti više različitih sigurnosnih tehnologija.
Razlog nije samo funkcionalnost nego i smanjenje rizika. Ako se cijela infrastruktura oslanja na jednog proizvođača, ozbiljna ranjivost može imati znatno veći utjecaj nego u okruženju koje koristi različite tehnologije.
Različiti proizvođači koriste različite razvojne timove, različite sigurnosne mehanizme i različite pristupe obrani. Propust koji postoji u jednom proizvodu neće nužno postojati i u drugome.
Iz perspektive napadača homogena infrastruktura često je predvidljivija. Raznolikije okruženje zahtijeva više istraživanja, više prilagodbe i često više resursa za uspješnu kompromitaciju.
Naravno, veći broj tehnologija donosi i dodatnu složenost pa je uvijek potrebno pronaći ravnotežu između sigurnosti i jednostavnosti održavanja.
Sva tri proizvoda imaju svoje mjesto i svoju publiku.
OPNsense će se najviše svidjeti korisnicima koji žele maksimalnu fleksibilnost i otvorenost sustava. pfSense ostaje stabilna i provjerena platforma iza koje stoji velika zajednica korisnika i bogata dokumentacija.
Meni se u ovoj usporedbi najviše istaknuo Sophos Firewall Home Edition. Količina funkcionalnosti dostupnih odmah nakon instalacije, jednostavnost implementacije, integrirane sigurnosne mogućnosti te mogućnost korištenja threat intelligence podataka bez dodatnih alata ostavili su vrlo pozitivan dojam.
Naravno, ovo nije konačna lista tehnologija koje planiram isprobati.
Jedan od razloga zašto uopće imam kućni lab jest mogućnost testiranja različitih tehnologija, usporedbe pristupa različitih proizvođača i stjecanja praktičnog iskustva izvan produkcijskih okruženja.
Zato me zanima i mišljenje šire publike.
Koje bih rješenje trebala sljedeće implementirati u svom kućnom labu? Koristite li neki vatrozid, IDS/IPS sustav, mrežni alat ili sigurnosni proizvod za koji smatrate da zaslužuje više pažnje nego što je trenutno dobiva?
Prijedloge slobodno ostavite u komentarima. Možda upravo jedan od njih postane tema nekog budućeg članka.
Kada se govori o kibernetičkoj sigurnosti, fokus je gotovo uvijek na tehnologiji. Organizacije ulažu značajna sredstva u zaštitne sustave, napredne vatrozide, EDR platforme, sustave za detekciju prijetnji, segmentaciju mreže i višefaktorsku autentikaciju. Provode se sigurnosne procjene, redovito se instaliraju zakrpe i definiraju stroge sigurnosne politike.
Unatoč svemu tome, ponekad je dovoljan samo jedan klik.
Jedna poveznica. Jedna lažna prijava. Jedan privitak otvoren u trenutku nepažnje.
U tom trenutku može se poništiti mjeseci rada sigurnosnih timova i značajna financijska ulaganja u zaštitu sustava.
To ne znači da su sigurnosne tehnologije neučinkovite. Naprotiv. Njihova pravilna implementacija temelj je svake ozbiljne sigurnosne strategije. Problem je u tome što većina sigurnosnih rješenja štiti infrastrukturu, dok napadači vrlo često ciljaju ljude koji tom infrastrukturom upravljaju i koriste je.
Napadači koriste različite metode kako bi došli do cilja. Ponekad iskorištavaju tehničke ranjivosti, ponekad pogrešne konfiguracije, a ponekad pokušavaju prevariti korisnika.
Društveni inženjering je zaseban pristup koji se oslanja na manipulaciju ljudskim odlukama, a ne na tehničke propuste sustava.
U situaciji gdje je tehnička obrana sve jača, fokus se sve više prebacuje na čovjeka.
Zašto ulagati vrijeme u probijanje sustava ako postoji mogućnost da korisnik sam odobri pristup ili preda pristupne podatke.
Zbog toga ljudski faktor postaje ključna ulazna točka napadača.
Česta je pretpostavka da su korisnici neoprezni ili nedovoljno educirani. Takvo objašnjenje pojednostavljuje stvarni problem.
Većina zaposlenika ne dolazi na posao s namjerom da ugrozi organizaciju. Njihov primarni fokus je obavljanje vlastitih zadataka.
Računovođa obrađuje račune. Komercijalist komunicira s klijentima. Voditelj projekta vodi projekte. Nitko od njih nije zaposlen kako bi analizirao tehničke detalje poruka ili provjeravao domene pošiljatelja.
Sigurnosni timovi često zaboravljaju da je sigurnost njihov primarni zadatak, ali nije zadatak većine zaposlenika.
Kada osoba dobije poruku koja izgleda kao zahtjev nadređene osobe, dobavljača ili kolege, odluka se donosi u vrlo kratkom vremenu. Upravo na toj brzini temelji se veliki dio uspješnih napada.
Nakon incidenta često ostaje ista rečenica.
Ali mislio sam da pričam s direktorom.
Mnoge organizacije mogu pokazati evidenciju o sigurnosnim edukacijama. Zaposlenici su odslušali prezentaciju, potvrdili prisutnost i odradili test.
No ključno pitanje ostaje isto. Jesu li nakon toga stvarno spremniji prepoznati napad.
Kvaliteta edukacije ne mjeri se brojem održanih sati, nego promjenom ponašanja u stvarnim situacijama.
Poseban problem pojavljuje se kod phishing simulacija. Umjesto da služe kao realan prikaz stanja, često se pretvaraju u alat za dokazivanje da problem ne postoji.
Ako rezultati nisu dobri, traže se objašnjenja. Ako je broj klikova previsok, simulacija se proglašava nerelevantnom. Ponekad se kampanje prekidaju prije završetka kako bi rezultati izgledali prihvatljivije.
Takav pristup ne povećava sigurnost. On samo stvara privid kontrole.
Organizacija koja ne prihvaća stvarno stanje ne rješava problem. Ona samo odgađa trenutak kada će ga otkriti stvarni napad.
Jedna od najčešćih zabluda u industriji jest očekivanje da je moguće izgraditi sustav koji se ne može kompromitirati.
Takav sustav ne postoji.
Svaka tehnologija ima ograničenja. Svaki proces ima iznimke. Svaki čovjek može pogriješiti.
Zrelost organizacije ne mjeri se time može li izbjeći svaki incident, nego koliko brzo može prepoznati da se incident dogodio i kako reagira u tom trenutku.
Upravo zato sigurnosni alati imaju stvarnu vrijednost.
EDR se ne implementira kako bi sustav bio neprobojan. SIEM se ne uvodi kako bi se eliminirale sve prijetnje. Višefaktorska autentikacija nije jamstvo potpune zaštite.
U kibernetičkoj sigurnosti ne postoji univerzalno rješenje.
Ovi sustavi postoje kako bi organizacija imala bolju vidljivost, kvalitetnije podatke i veću sposobnost reakcije kada dođe do incidenta.
Sigurnost nije stanje. Sigurnost je proces.
Najnapredniji sigurnosni sustav neće samostalno analizirati kontekst incidenta. Neće razumjeti poslovni utjecaj. Neće donijeti odluku.
Tehnologija generira podatke. Ljudi iz tih podataka stvaraju odluke.
Zbog toga je ljudski faktor istovremeno i najveći rizik i najvažniji dio obrane.
Isti korisnik koji može postati ulazna točka kompromitacije može biti i osoba koja prva primijeti sumnjivu aktivnost i reagira na vrijeme.
Kibernetička sigurnost nije borba protiv korisnika. To je proces u kojem se ljudsko ponašanje pokušava usmjeriti tako da postane dio obrambenog mehanizma, a ne njegova slabost.
Tehnologija je nužna. Procesi su nužni. No na kraju svake infrastrukture nalazi se čovjek.
Zbog toga ljudski faktor ostaje jedan od ključnih izazova moderne kibernetičke sigurnosti.
Nedavno sam naišla na program koji daje 100% discount voucher za Microsoft certifikacijske ispite i mislim da bi više ljudi trebalo znati za ovo.
👉 https://skillupwithlevelup.com/courses
Osobno sam završila tri tečaja i dobila dva vouchera — tako da pretpostavljam da je limit dva vouchera po osobi. Birajte tečajeve pametno.
Ovo je stvarno legitimna prilika za dobivanje certifikata bez trošenja novca, pod uvjetom da ste spremni i reagirate na vrijeme.
Jeste li već isprobali ovo? Ostavite komentar — zanima me koje certifikate ljudi planiraju polagati.
📌 Uvijek provjerite preduvjete. Sve expert-level certifikacije zahtijevaju barem jedan associate-level certifikat prije nego ih možete dobiti. Primjerice, za SC-100 (Cybersecurity Architect Expert) prvo morate imati SC-200, SC-300 ili AZ-500. Obavezno provjerite zahtjeve za certifikat koji ciljate prije upisa tečaja.
Wazuh je open-source SIEM i XDR platforma koja omogućuje centralizirano prikupljanje, analizu i korelaciju sigurnosnih događaja s endpoint uređaja, mrežnih uređaja i cloud servisa. Zahvaljujući modularnoj arhitekturi i kombinaciji agent-based i agentless pristupa, idealan je za kućne labove, edukaciju i manje produkcijske okoline.
Postavljanje kućnog SIEM-a odličan je način za razumijevanje stvarnih sigurnosnih procesa: prikupljanje logova, korelacija događaja, detekcija anomalija i incident response. Ovaj vodič prolazi cijeli proces — od pripreme virtualne mašine do ingestanja logova s endpoint uređaja i firewallova.
Za Wazuh server preporučuje se Linux distribucija poput Ubuntu Servera ili Debiana. Minimalna konfiguracija za kućni lab uključuje:
Prema Wazuh dokumentaciji, potrošnja resursa linearno raste s brojem agenata. Svaki agent generira vlastiti volumen događaja uključujući autentikacijske logove, promjene sustava, FIM zapise, procese i mrežnu aktivnost. To znači da CPU, RAM i disk moraju rasti ovisno o broju endpoint uređaja.
Manji kućni lab s nekoliko agenata može raditi na 2–4 GB RAM-a, dok okoline s deset ili više agenata zahtijevaju dodatne resurse kako bi indeksiranje i obrada događaja ostali stabilni.
Nakon kreiranja virtualne mašine u VirtualBoxu, VMwareu ili Proxmoxu, instalirajte operativni sustav i dodijelite statičku IP adresu kako bi Wazuh server bio lako dostupan drugim uređajima.
Wazuh pruža jednostavnu instalacijsku skriptu koja automatski deploya Elasticsearch, Kibanu i Wazuh server. To je najbrža i najstabilnija metoda za kućnu upotrebu.
Na svježoj instalaciji operativnog sustava pokrenite:
curl -sO https://packages.wazuh.com/4.7/wazuh-install.sh
sudo bash wazuh-install.sh -a
Instalacija traje nekoliko minuta.
Nakon završetka, Wazuh dashboard bit će dostupan u pregledniku, najčešće na:
https://IP-adresa:5601
Prijavite se koristeći početne podatke koje generira instalacijska skripta.
Wazuh agenti prikupljaju logove s Windows, Linux i macOS sustava. Na Windowsu se agent instalira putem MSI instalera, dok Linux koristi package manager.
U Wazuh dashboardu otvorite: Agents → Deploy new agent
Odaberite operativni sustav i slijedite upute.
Ključni parametri uključuju:
Nakon instalacije agent se automatski registrira i počinje slati logove uključujući sistemske događaje, autentikacije, promjene datoteka, procese i mrežnu aktivnost.
Wazuh može primati Syslog događaje s bilo kojeg firewalla koji podržava slanje logova na udaljeni Syslog server. Budući da Wazuh uključuje ugrađeni Syslog listener, firewall može slati logove direktno u Wazuh bez dodatnog posredničkog servera.
Kada firewall šalje događaje, Wazuh ih sprema u:
/var/ossec/logs/archives/archives.log
Logovi se spremaju u raw obliku pod agent ID-em 000 jer se radi o agentless izvoru.
Ako se logovi ne pojavljuju, omogućite log archiving u:
ossec.conf
<global>
<alerts_log>yes</alerts_log>
<logall>yes</logall>
<logall_json>yes</logall_json>
</global>Zatim restartajte manager:
sudo systemctl restart wazuh-manager
Ako se logovi pojavljuju u archives.log, ali ne i u dashboardu, Wazuhu je potreban decoder kako bi interpretirao strukturu firewall događaja.
Dodajte decoder u:
/var/ossec/etc/decoders/local_decoder.xmlPrimjer generičkog decodera:
<decoder name="Firewall_Generic">
<type>syslog</type>
<prematch>device_name="</prematch>
</decoder>
<decoder name="Firewall_Generic_child">
<parent>Firewall_Generic</parent>
<regex>device_name="(\S+)" timestamp="([^"]+)" log_type="([^"]+)" src_ip="([^"]+)" dst_ip="([^"]+)" protocol="([^"]+)" src_port=(\d+) dst_port=(\d+)"</regex>
<order>device_name,timestamp,log_type,src_ip,dst_ip,protocol,src_port,dst_port</order>
</decoder>Pravila se dodaju u:
/var/ossec/etc/rules/local_rules.xmlPrimjer:
<group name="custom_firewall">
<rule id="100040" level="3">
<decoded_as>Firewall_Generic</decoded_as>
<description>Firewall Log Event</description>
</rule>
</group>Wazuh uključuje ugrađeni alat za testiranje decodera i pravila. Važno je provjeriti pojavljuju li se sva polja ispravno i triggera li se alert.
Pokrenite:
/var/ossec/bin/wazuh-logtestZalijepite firewall log, primjerice:
device_name="FW" timestamp="2024-01-01T12:00:00+0100" log_type="Firewall" src_ip="1.2.3.4" dst_ip="5.6.7.8" protocol="TCP" src_port=1234 dst_port=443Ako je sve ispravno konfigurirano:
Nakon toga restartajte manager:
sudo systemctl restart wazuh-managerFirewall logovi sada bi se trebali pojaviti u Wazuh dashboardu.
Kućni SIEM nije samo edukacijski projekt — pruža stvarnu vidljivost sigurnosnih događaja unutar vaše mreže. Wazuh je dovoljno moćan za profesionalne okoline, a istovremeno dovoljno pristupačan za kućne labove i učenje.
Kroz ovu seriju obrađivat ćemo dodatne Wazuh konfiguracije i druge sigurnosne proizvode kako bismo izgradili održiv i razumljiv sigurnosni ekosustav.
Sigurnost se ne može kupiti u kutiji. Ipak, mnoge organizacije ponašaju se kao da može. Sigurnosni alati često se prodaju kao instant rješenje, ali bez stručnog upravljanja postaju samo skupi shelfware.
U današnjem cybersecurity okruženju sve je češći fenomen tool sprawla — opsesivna utrka za kupnjom sve više sigurnosnih rješenja uz pretpostavku da količina automatski znači bolju zaštitu.
Vendori prikazuju flashy dashboarde i marketinške kratice, reselleri obećavaju savršenu layered zaštitu, a osobe bez dovoljno tehničkog nadzora odobravaju kupnje bez razumijevanja stvarnog operativnog utjecaja.
Realnost je puno jednostavnija: bez pravilne integracije, stručnjaka, upravljanja i strategije, više alata vrlo često znači manje sigurnosti.
Svaki sigurnosni alat donosi dodatne agente, pravila, logove i alertove. Kada se to pomnoži s desecima sustava, organizacije često dobivaju kaos umjesto vidljivosti.
Mnogi alati imaju preklapajuće funkcionalnosti, međusobno se sukobljavaju ili rade potpuno izolirano bez dijeljenja konteksta.
U nekim okruženjima alati doslovno smetaju jedni drugima. Firewall blokira legitiman promet označen drugim sustavom, DLP kolidira s backup rješenjima, a SIEM ne može korelirati događaje zbog nekompatibilnih formata.
Rezultat su smanjena vidljivost, propušteni alertovi, sporiji incident response, frustrirani timovi i ponekad opasan lažni osjećaj sigurnosti.
Sigurnosni vendori često koriste fear, uncertainty i doubt pristup kako bi potaknuli kupnju. Statistike breach incidenta i skupi “silver bullet” proizvodi koriste se za stvaranje dojma da nova kupnja automatski znači bolju zaštitu.
Takav model prodaje funkcionira jer mnogim organizacijama nedostaje snažno tehničko vodstvo i pouzdani sigurnosni savjetnici koji mogu procijeniti jesu li alati zaista potrebni i održivi.
Nije rijetkost da kompanije potroše stotine tisuća eura na proizvode koji ostanu neiskorišteni ili samo djelomično implementirani.
Cybersecurity funkcionira kao lanac u kojem svaki dio mora komunicirati i podržavati ostale. Ako je jedan dio loše konfiguriran ili nepovezan, cijeli lanac slabi.
Više alata znači više integracija, više održavanja, više patchiranja i više prilika za pogrešnu konfiguraciju.
Umjesto koordinirane obrane, mnoge organizacije stvaraju fragmentirana i bučna okruženja u kojima napadači iskorištavaju praznine između nepovezanih sustava.
Još jedan često zanemaren element je krajnji korisnik. Sigurnost postoji kako bi zaštitila ljude, ali mnoge strategije potpuno zanemaruju usability.
Ako su alati invazivni, zbunjujući ili loše objašnjeni, korisnici će ih s vremenom zaobilaziti, gasiti ili nenamjerno stvarati dodatni rizik.
Sigurnosni alati su skupi iz legitimnih razloga uključujući razvoj, održavanje i podršku. Vendori imaju pravo na profit, ali profit ne bi smio biti važniji od odgovornosti.
Sigurnost bi se trebala fokusirati na edukaciju, realnu procjenu rizika i usklađivanje tehnologije, procesa i ljudi.
Pouzdani savjetnici — bilo interni security arhitekti ili vanjski konzultanti — imaju ključnu ulogu u procjeni stvarnih potreba organizacije i sprječavanju nepotrebne kompleksnosti.
Prije kupnje novog “silver bullet” rješenja, organizacije bi prvo trebale unaprijediti osnove:
Većina incidenata događa se zbog izloženih sustava, ukradenih credentialsa ili pogrešnih konfiguracija — ne zato što nedostaje najnoviji alat.
Sigurnost počinje higijenom, a ne hypeom.
Sigurnost nije gomilanje alata. Radi se o tome da tehnologija funkcionira zajedno kroz strategiju, stručnost i operativnu disciplinu.
Cyber obrana nije shopping lista. Više alata ne znači automatski bolju zaštitu. Ponekad samo znači više konfuzije, troškova i ranjivosti.
Organizacije bi trebale promijeniti način razmišljanja — s beskonačne potrošnje prema integraciji, hardeningu i održivosti. Tu zapravo počinje prava sigurnost.