איומים ב-Windows

נתמך ב:

במאמר הזה נסביר על קבוצות הכללים בקטגוריה "איומים ב-Windows", על מקורות הנתונים הנדרשים ועל ההגדרות שאפשר להשתמש בהן כדי לשנות את ההתראות שנוצרות על ידי קבוצות הכללים האלה.

קבוצות הכללים האלה מספקות הקשר שמאפשר לכם לפעול באופן מיידי, באמצעות זיהויים והתראות, ומציינות מה צריך לחקור יותר לעומק מנתוני ההתראות של נקודות הקצה. הם עוזרים לשפר את היכולת לעקוב אחרי אירועי אבטחה ולמיין אותם, וכך מאפשרים לכם להתמקד בהתראות ובמקרים (אוספים של התראות) זדוניים שדורשים פעולה. הניתוחים האלה מאפשרים לכם לתעדף את התגובה להתראות מנקודות קצה, מספקים הקשר נוסף לחקירות ומשפרים את המעקב אחרי אירועי אבטחה באמצעות יומני נקודות קצה.

קבוצות הכללים בקטגוריה "איומים ב-Windows" עוזרות לזהות איומים בסביבות של Microsoft Windows באמצעות יומני Endpoint Detection and Response ‏(EDR). הקטגוריה הזו כוללת את קבוצות הכללים הבאות:

  • ‫Anomalous PowerShell: זיהוי פקודות PowerShell שמכילות טכניקות ערפול או התנהגות חריגה אחרת.
  • פעילות שקשורה למטבעות וירטואליים: פעילות שקשורה למטבע וירטואלי חשוד.
  • ‫Hacktool: כלי זמין בחינם שעשוי להיחשב כחשוד, אבל יכול להיות לגיטימי בהתאם לשימוש של הארגון.
  • תוכנות לגניבת מידע: כלים שמשמשים לגניבת פרטי כניסה, כולל סיסמאות, קובצי Cookie, ארנקי קריפטו ופרטי כניסה רגישים אחרים.
  • גישה ראשונית: כלים שמשמשים להפעלה ראשונית במכונה עם התנהגות חשודה.
  • לגיטימית אבל מנוצלת לרעה: תוכנה לגיטימית שידוע שהיא מנוצלת לרעה למטרות זדוניות.
  • קבצים בינאריים של Living off the Land (LotL)‎: כלים מובְנים במערכות ההפעלה של Microsoft Windows שגורמים זדוניים יכולים לנצל לרעה למטרות זדוניות.
  • איום ספציפי: התנהגות שמשויכת לגורם איום ידוע.
  • תוכנות כופר: פעילות שקשורה לתוכנות כופר.
  • ‫RAT: כלים שמשמשים לספק פקודות ואמצעי בקרה מרחוק בנכסי רשת.
  • הורדה ברמת האבטחה: פעילות שמנסה להשבית את כלי האבטחה או להפחית את היעילות שלהם.
  • התנהגות חשודה: התנהגות חשודה כללית.
  • ‫Mandiant Front-Line Threats: קבוצת הכללים הזו מכילה כללים שנגזרו מהחקירה ומהתגובה של Mandiant לאירועים פעילים ברחבי העולם. הכללים האלה כוללים דפוסי TTP נפוצים, כמו הפעלה באמצעות מפרשי סקריפטים (T1059), הפעלה על ידי משתמש (T1204) והפעלה של שרת proxy בינארי של המערכת (T1218).
  • ‫Mandiant Intel Emerging Threats: קבוצת הכללים הזו מכילה כללים שנגזרו מקמפיינים של Mandiant Intelligence ומאירועים משמעותיים, שכוללים פעילות גיאופוליטית ופעילות איומים בעלת השפעה רבה, כפי שהוערכו על ידי Mandiant. הפעילות הזו יכולה לכלול סכסוכים גיאופוליטיים, ניצול, פישינג, פרסום זדוני, תוכנות כופר ופריצות לשרשרת האספקה.
  • תעדוף התראות לנקודות קצה: קבוצת הכללים הזו משתמשת ביכולת שהייתה קיימת בעבר במוצר Mandiant Automated Defense – התראה, חקירה ותעדוף. קבוצת הכללים הזו מזהה דפוסים כמו:
    • התקדמות המתקפה: נכסים פנימיים שמציגים כמה סימנים לפריצה, שכאשר בוחנים אותם יחד, הם מגבירים את הסבירות שהמערכת נפרצה ולכן צריך לחקור את הנושא.
    • תוכנה זדונית בנכסים פנימיים: נכסים פנימיים שמראים סימנים לכך שתוכנה זדונית הגיעה למערכת הקבצים, וצריך לבדוק אותם. תוקפים בדרך כלל מציבים קוד זדוני במערכת הקבצים אחרי ניסיון ניצול מוצלח.
    • כלי פריצה לא מורשים: נכסים פנימיים שמציגים פעילות של כלי ניצול לרעה, שמעידה על פגיעה במערכת. כלי ניצול הם תוכנות או כלי פריצה שזמינים לציבור, שמאפשרים לקבל גישה למערכות ולהרחיב אותה, ומשמשים גם תוקפים וגם צוותים אדומים. אם השימוש בכלים האלה לא אושר במפורש על ידי מערכת או חשבון, צריך לבדוק את זה.
    • התנהגויות חריגות של תהליכים: נכסים פנימיים שבהם נעשה שימוש בקובצי הפעלה נפוצים באופן חריג הם אינדיקטור חזק למארח שנפרץ. צריך לחקור מקרים של התנהגויות Living off the Land חריגות.

קבוצת הכללים "איומים חדשים של Mandiant Intel" וקבוצת הכללים "תעדוף התראות לנקודות קצה" זמינות עם רישיון Google Security Operations Enterprise Plus.

מכשירים וסוגי יומנים נתמכים

בקטע הזה מפורטים הנתונים שנדרשים לכל קבוצת כללים.

קבוצות הכללים בקטגוריה "איומים ב-Windows" נבדקו והן נתמכות במקורות הנתונים הבאים של EDR שנתמכים ב-Google SecOps:

  • שחור פחם (CB_EDR)
  • ‫Microsoft Sysmon‏ (WINDOWS_SYSMON)
  • ‫SentinelOne CF ‏(SENTINELONE_CF)
  • ‫SentinelOne EDR‏ (SENTINEL_EDR)
  • ‫Crowdstrike Falcon ‏(CS_EDR)

קבוצות הכללים בקטגוריה "איומים ב-Windows" נבדקות ועוברות אופטימיזציה למקורות הנתונים הבאים של EDR שנתמכים ב-Google SecOps:

  • Tanium
  • ‫Cybereason EDR‏ (CYBEREASON_EDR)
  • לימה צ'רלי (LIMACHARLIE_EDR)
  • OSQuery
  • Zeek
  • Cylance (CYLANCE_PROTECT)

אם אתם אוספים נתונים מנקודות קצה באמצעות תוכנת EDR אחרת, פנו לנציג של Google SecOps.

כאן מפורטים כל מקורות הנתונים שנתמכים ב-Google SecOps.

שדות חובה שנדרשים בקטגוריה "איומים ב-Windows"

בקטע הבא מתוארים נתונים ספציפיים שנדרשים לקבוצות כללים בקטגוריה "איומים ב-Windows" כדי להפיק את התועלת המרבית. חשוב לוודא שהמכשירים מוגדרים לתעד את הנתונים הבאים ביומני האירועים של המכשיר.

  • חותמת הזמן של האירוע
  • שם המארח: שם המארח של המערכת שבה פועלת תוכנת ה-EDR.
  • תהליך ראשי: שם התהליך הנוכחי שנרשם ביומן.
  • נתיב התהליך הראשי: המיקום בדיסק של התהליך שפועל כרגע, אם הוא זמין.
  • שורת הפקודה של התהליך הראשי: הפרמטרים של שורת הפקודה של התהליך, אם הם זמינים.
  • תהליך היעד: השם של התהליך שנוצר ומופעל על ידי התהליך הראשי.
  • נתיב תהליך היעד: המיקום בדיסק של תהליך היעד, אם הוא זמין.
  • שורת הפקודה של תהליך היעד: הפרמטרים של שורת הפקודה של תהליך היעד, אם הם זמינים.
  • ‫Target Process SHA256\MD5: סיכום ביקורת (checksum) של תהליך היעד, אם זמין. המידע הזה משמש לכוונון ההתראות.
  • מזהה משתמש: שם המשתמש של התהליך הראשי.

קבוצת כללים לקביעת עדיפות של התראות בנקודות קצה (endpoint)

קבוצת הכללים הזו נבדקה עם מקורות הנתונים הבאים של EDR שנתמכים ב-Google SecOps:

  • ‫Microsoft Defender for Endpoint התראות מסוג היומן MICROSOFT_GRAPH_ALERT
  • ‫SentinelOne Threats מ-SENTINELONE_ALERT log_type
  • התראות CrowdStrike Falcon Event_DetectionSummaryEvent מ-log_type CS_EDR

שדות UDM שמשמשים לתעדוף התראות בנקודות קצה (endpoint)

בקטע הבא מתוארים נתוני השדות של UDM שנדרשים לקבוצת הכללים "תעדוף התראות לנקודות קצה". אם אתם משנים את המנתח שמוגדר כברירת מחדל על ידי יצירת מנתח מותאם אישית משלכם, חשוב לוודא שאתם לא משנים את המיפוי של השדות האלה. אם תשנו את המיפוי של השדות האלה,יכול להיות שתשפיעו על ההתנהגות של התכונה הזו.

שם השדה ב-UDM תיאור
metadata.event_type סוג אירוע מנורמל.
metadata.product_name שם המוצר.
security_result.detection_fields["externall_api_type"] שדות לסינון אירועים שיכולים לעניין את המשתמשים.
security_result.threat_name סיווג של איום, כמו משפחת תוכנות זדוניות, שהוקצה על ידי ספק.
security_result.category_details קטגוריית התוכנה הזדונית הספציפית לספק
security_result.summary סיכום של ההתראה.
security_result.rule_name שם ההתראה שסופק על ידי הספק.
security_result.attack_details משמש לזיהוי טקטיקות וטכניקות של Mitre ATT&CK.
security_result.description תיאור קצר של ההתראה.
security_result.action הפעולה שבוצעה על ידי אמצעי הבקרה.
principal.process.file.names שם הקובץ של התהליך שפועל.
principal.process.file.full_path המיקום בדיסק של התהליך שפועל כרגע, אם הוא זמין.
principal.process.command_line הפרמטרים של שורת הפקודה של התהליך, אם הם זמינים.
principal.asset.hostname שם המארח של המערכת שבה פועלת תוכנת ה-EDR.
principal.hostname שם המארח של המערכת שבה פועלת תוכנת ה-EDR.
principal.user.userid שם המשתמש של התהליך הראשי.
target.file.full_path שם הקובץ שחשבון המשתמש מבצע בו פעולה.
target.file.md5/sha256 סיכום ביקורת (checksum) של קובץ היעד, אם זמין.

כוונון התראות שהוחזרו על ידי הקטגוריה "איומים ב-Windows"

אתם יכולים להפחית את מספר הזיהויים שכלל או קבוצת כללים יוצרים באמצעות החרגות של כללים.

החרגת כלל מגדירה את הקריטריונים שמשמשים להחרגת אירוע מהערכה על ידי קבוצת הכללים, או על ידי כללים ספציפיים בקבוצת הכללים. כדי לצמצם את מספר הזיהויים, אפשר ליצור כלל אחד או יותר להחרגות. מידע נוסף מופיע במאמר הגדרת השתקת התראות.

לדוגמה, אפשר להחריג אירועים על סמך המידע הבא:

  • principal.hostname
  • principal.process.command_line
  • principal.user.userid

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.