Dreigingsinformatie (STIX/TAXII)

Een threat-intelfeed brengt bekende kwaadaardige IP-adressen, domeinen, URL's, e-mailadressen en bestandshashes naar Status200, en vertelt je wanneer je beveiligingsgebeurtenissen er een noemen. Een feed leest één bron: een lijst met indicatoren op een https-adres, zoals de gratis lijsten die Status200 met één klik toevoegt, een TAXII 2.1-collectie met STIX 2.1-indicatoren van je eigen MISP-, OpenCTI- of OpenTAXII-server of van een aanbieder, of de indicatoren die Google SecOps in je gebeurtenissen vond.

Hoe het werkt#

Voordat je begint#

• Voor een lijst een https-adres dat een tekstbestand downloadt met één indicator per regel.
• Voor een TAXII-feed een TAXII 2.1-server die STIX 2.1-objecten van het type indicator publiceert, en de ID van de collectie die moet worden opgehaald. Een TAXII-feed meldt zich anoniem aan, met een bearer-token, of met HTTP Basic-authenticatie.
• Voor een Google SecOps-feed een Google SecOps-verbinding waarvan het serviceaccount indicatorovereenkomsten mag doorzoeken: de rol roles/chronicle.viewer mag dat.
• Servers die een TLS-clientcertificaat vereisen (mutual TLS), zoals CISA AIS, worden niet ondersteund. De openbare ATT&CK-server van MITRE publiceert technieken en groepen in plaats van indicatoren, dus een feed die daarop is gericht, blijft leeg.
• Een rol die feeds kan aanmaken: Project Owner, Project Admin, Security Admin of Security Member. Security Viewer kan feeds en indicatoren lezen. Zie Rollen.

Een gratis lijst toevoegen#

De kaart Gratis lijsten op Threat Intel voegt met één klik een gratis blokkeerlijst toe: klik bij een lijst op Lijst toevoegen, en Status200 maakt een feed die de lijst volgens haar schema downloadt. Een lijst die het project al leest, toont Toegevoegd.

De tegel van een lijst linkt naar haar voorwaarden: Feodo Tracker is vrij voor elk gebruik (CC0), en de lijst van Emerging Threats heeft een BSD-licentie. Een feed die uit een lijst is toegevoegd, bewerk en verwijder je zoals elke andere.

Een feed abonneren#

1. Ga naar Threat Intel#

   Open Producten → Security Events → Detections → Threat Intel.

2. Maak de feed aan#

   Klik op Threat Intel Feed aanmaken en kies de Bron: Lijst van indicatoren, TAXII-collectie of Google SecOps. De volgende stap vraagt alleen naar die bron: voor een lijst de Lijst-URL, voor een collectie TAXII-server en Aanmelden, of de Google SecOps-verbinding. Bij overeenkomst komt als laatste. De velden staan in de tabel hieronder.

3. Controleer de eerste ophaalronde#

   Binnen een minuut of twee toont de rij van de feed Last Polled, en Last Poll Summary vertelt wat de ophaalronde binnenhaalde. Indicatoren verschijnen in de tabel Indicatoren onder de feeds.

De tokens en wachtwoorden van een TAXII-feed worden versleuteld en na het opslaan nooit meer getoond. Om ze te wijzigen, kies je Update Credentials in de rij van de feed en daarna Bearer-token, Gebruikersnaam en wachtwoord of Niet aanmelden, dat wist wat is opgeslagen: je keuze vervangt de aanmelding van de feed, dus het opslaan van een token wist een opgeslagen wachtwoord, en omgekeerd.

Hoe een feed wordt opgehaald#

Elke ophaalronde vraagt om de objecten die sinds de vorige zijn toegevoegd, via de cursor added_after van TAXII, en leest tot 10 pagina's van 500 objecten. Een grote collectie synchroniseert dus over meerdere ophaalrondes: Last Poll Summary meldt wanneer er nog pagina's resten. Om een grote eerste synchronisatie sneller af te ronden, verlaag je Poll Interval (Minutes), tot 1, totdat hij is bijgewerkt.

Ophaalrondes noemen zichzelf met de user agent OneUptime/<version> (+https://status200.ru). Antwoordt de firewall van de aanbieder 403, vraag dan om hem toe te staan: veel firewalls blokkeren verzoeken die op een naamloos script lijken.

Een uitgeschakelde feed wordt niet opgehaald en niet vergeleken. De indicatoren die hij al heeft, blijven nieuwe gebeurtenissen markeren tot ze verlopen.

Hoe een lijst wordt gelezen#

• Elke ophaalronde downloadt de hele lijst en leest die regel voor regel: de eerste waarde op een regel, tot een spatie, tab, komma of puntkomma. Regels die beginnen met #, ; of // zijn commentaar, een poort na een adres of domein valt weg, en een adresbereik zoals 198.51.100.0/24 wordt overgeslagen.
• Een waarde blijft 2 dagen na de ophaalronde die haar het laatst las een actieve indicator, en een waarde die de lijst laat vallen, matcht vanaf de volgende ophaalronde niet meer. Een lijst die niet is veranderd, wordt eens per dag opnieuw geschreven.
• Een lijst bevat hooguit 50.000 indicatoren. Last Poll Summary vertelt hoeveel er zijn gelezen, hoeveel regels zijn overgeslagen en hoeveel er zijn weggelaten.
• Het adres moet https gebruiken en valt onder dezelfde uitgaande regels als een verbinding: op Status200 Cloud wordt een privéadres geweigerd.

Hoe Google SecOps wordt gelezen#

• Elke ophaalronde leest de indicatorovereenkomsten die Google SecOps sinds de vorige ronde vastlegde, met de attributen van Mandiant: het gematchte domein, adres of de bestandshash, de confidence, de categorie en de campagnes en actoren waaraan de indicator is gekoppeld. De eerste ophaalronde leest de laatste 7 dagen.
• Een indicator blijft 30 dagen actief nadat Google SecOps hem het laatst zag, of totdat zijn bron zegt dat hij niet meer actief is, en een indicator die een analist in Google SecOps dempte, matcht ook hier niet meer.
• Een overeenkomst die Google SecOps als actieve inbraak markeert, is Critical, en een met hoge prioriteit is minstens High.

Wat wordt ingenomen#

Uit een TAXII-collectie bewaart Status200 STIX-objecten van het type indicator waarvan het patroon een eenvoudige gelijkheid is op een van deze typen. Een lijst en Google SecOps geven dezelfde typen:

Vergelijkingen die met OR zijn verbonden, binnen één [...] of over meerdere, zijn prima, en elke waarde wordt een eigen indicator:

[domain-name:value = 'evil.example' OR domain-name:value = 'evil2.example']
[ipv4-addr:value = '198.51.100.7'] OR [url:value = 'http://evil.example/x']

Elk ander patroon, met AND, FOLLOWEDBY, NOT, LIKE, MATCHES, een tijdskwalificatie zoals WITHIN, of een ander objecttype, wordt in zijn geheel overgeslagen en als niet-ondersteund geteld in Last Poll Summary. Slechts een deel van een AND-patroon vertalen zou veel meer matchen dan de auteur van de feed bedoelde.

Hoe lang een indicator actief blijft#

• Een indicator matcht vanaf zijn valid_from tot zijn valid_until. Zonder valid_until blijft hij 365 dagen actief vanaf valid_from, en opnieuw ophalen verlengt dat niet.
• Een ingetrokken indicator, of een indicator die is bijgewerkt met een valid_until in het verleden, stopt met matchen zodra de update is opgehaald. Hetzelfde geldt voor een waarde die de aanbieder uit een bijgewerkt patroon laat vallen.
• Waarden worden in kleine letters opgeslagen en gematcht ongeacht hun hoofdletters.

De tabel Indicatoren toont indicatoren zoals ze zijn opgeslagen, met een Status van Actief, Verlopen of Revoked. Een opnieuw opgehaalde indicator kan een tijdje dubbel verschijnen, en een verlopen of ingetrokken rij blijft in de lijst staan tot de opslagopschoning hem verwijdert, tot ongeveer een maand nadat hij verloopt. Matchen controleert altijd geldigheid en intrekking, dus zo'n rij matcht nooit.

Hoe matches worden gevonden#

Gemarkeerd bij binnenkomst#

Elke binnenkomende beveiligingsgebeurtenis, uit de ingest-API of een verbinding, wordt vergeleken met je actieve indicatoren voordat ze wordt opgeslagen. Als een van haar observables (de IP's, hosts, domeinen, hashes en gebruikers uit de gebeurtenis) gelijk is aan de waarde van een indicator, krijgt de gebeurtenis deze attributen:

Als meerdere indicatoren één gebeurtenis matchen, vult die met de hoogste confidence deze waarden in. Het zijn gewone attributen, dus je kunt erop zoeken in Gebeurtenissen, er monitoren voor beveiligingsgebeurtenissen mee filteren, en ze gebruiken in detectieregels:

title: High-confidence indicator in a successful logon
level: critical
detection:
  selection:
    threat.matched: 'true'
    threat.confidence|gte: 80
    className: Authentication
    statusName: Success
  condition: selection

Markeren kent alleen de indicatoren die bestaan wanneer een gebeurtenis binnenkomt: gebeurtenissen worden later nooit opnieuw gemarkeerd.

Elke minuut vergeleken#

Elke minuut worden de actieve indicatoren van elke ingeschakelde feed vergeleken met de gebeurtenissen waarvan de gebeurtenistijd na de vorige controle van de feed valt. Zo wordt intel opgevangen die binnenkwam nadat een gebeurtenis was gemarkeerd.

• De eerste controle dekt de laatste 15 minuten. Na een storing haalt de volgende controle hoogstens de laatste 24 uur in.
• Elk venster wordt één keer gecontroleerd. Intel die binnenkomt nadat zijn venster is gecontroleerd, geldt alleen voor latere gebeurtenissen.
• Een gebeurtenis die te laat binnenkomt, met een tijd van vóór de vorige controle, wordt nog steeds bij binnenkomst gemarkeerd, maar niet vergeleken.
• Elke controle legt elke gematchte indicatorwaarde vast als Detection Finding, tot 10.000 per feed. Waarschuwingen, incidenten en zaken openen voor de 100 waarden die in de meeste gebeurtenissen voorkomen; de rest deelt één zaak over de feed, en de Last Match Error van de feed zegt hoeveel er matchten.

Wat een match doet#

• Een waarschuwing, met de titel [Threat Intel] <feed name> — <indicator value>, één per feed en waarde zolang ze openstaat. Zodra ze is opgelost, opent de volgende match een nieuwe. Waarschuwingen worden niet automatisch opgelost.
• Een incident, alleen met Een incident melden of Beide onder Waarschuwingen en incidenten, op dezelfde manier ontdubbeld.
• Een Threat Intel-bevinding, met Write Detection Finding on Match: een gebeurtenis Detection Finding (OCSF-klasse 2004) van het product Status200 Threat Intel, met het dreigingsniveau van de indicator als ernst, en deze attributen:

Bevindingen worden zelf nooit vergeleken, dus één match kan geen andere in gang zetten.

Dreigingsniveaus#

Indicatoren hebben geen Sigma-level: hun STIX-confidence bepaalt in plaats daarvan een dreigingsniveau.

Een indicator zonder score telt als Medium: iemand koos er toch voor om hem in een feed op te nemen. Het dreigingsniveau is de ernst van de bevinding, en kiest de ernst van de waarschuwing uit de ernstniveaus van je project, in deze volgorde:

1. De Ernst van waarschuwing (of Ernst van incident) van de feed, als die is ingesteld: die geldt voor elke match uit de feed.
2. Je ernstniveau dat naar het dreigingsniveau is genoemd, zoals High, ongeacht hoofdletters.
3. Op rang: Critical en High krijgen je zwaarste ernstniveau, Medium en Low je lichtste.

Het dreigingsniveau hoort bij elke indicator, niet bij de feed, dus één feed kan in dezelfde minuut een waarschuwing Critical en een waarschuwing Low openen. Minimum Confidence filtert op hetzelfde getal: een minimum van 70 houdt alleen indicatoren High en Critical over, plus die zonder score, die altijd doorkomen.

De matches van een feed bewaken#

De actie Monitor maken in de rij van een feed opent een nieuwe monitor voor beveiligingsgebeurtenissen die de bevindingen van de feed telt: gebeurtenisklasse Detection Finding, gefilterd op de ID van de feed in status200.threat.feed_id (nooit zijn naam, die bij een hernoeming zou veranderen), over het laatste uur. Gebruik hem voor een plotselinge golf van matches, of voor een drukke feed die stil wordt.

Bewaring en facturering#

Indicatoren zijn configuratie, geen telemetrie, en worden niet gefactureerd als ingenomen gegevens. De bevindingen die een match schrijft, zijn gewone beveiligingsgebeurtenissen, gefactureerd en bewaard zoals de rest: zie Beveiligingsgebeurtenissen.

Probleemoplossing#

Volgende stappen#