• Home

  • Documents

  • APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc...
40
受夠找不到原因的資安警訊騷擾！！ 中芯數據 資安顧問 吳耿宏

APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

  • Upload
    vandung

  • View
    236

  • Download
    2

Embed Size (px)

Citation preview

Page 1: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

受夠找不到原因的資安警訊騷擾！！中芯數據

資安顧問 吳耿宏

Page 2: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

直接進入主題

2

Page 3: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

APT SOC

¡ APT SOC 有什麼不同？ 我們提供一個資安事件處理服務

¡ 從偵測、分析到後續處理，一次搞定

¡ 提供有明確資訊的警訊

¡ 我們的警訊包含

¡ 什麼時間發生資安事件

¡ 哪台主機發生異常

¡ 導致資安事件的是什麼程式

¡ 這些異常程式到底在內部做什麼

¡ 建立那些異常連線

¡ 我們確保不會誤判

3

Page 4: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

如何做到？先克服內網威脅的關鍵問題

4

Page 5: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

ENDPOINT THREAT PLATFORM巨量異常行為分析平台

5

• 可部署於整個企業，提供永不

中斷的端點監控能力

• 自動化的端點行為分析

• 整合DDNA分析技術

• 即時分析歸納並定位出攻擊點

• 遭攻擊時可即時回應與處置

• 強大的資料收集能力與巨量資

料分析功能

Page 6: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

即時收集鑑識用資訊，並自動分析

¡ Process

¡ Library injection (DLL) into critical processes

¡ Process execution and command line arguments

¡ Process termination

¡ Registry

¡ Password stealing (dumping password hashes and cached domain passwords)

¡ Windows service creation

¡ Registry key value data modification

¡ File

¡ Access to remote (shared) files and folders

¡ Detailed file information (volume name, device type, path, hash)

} Memory

◦ Memory allocated in the remote process

◦ Memory allocated for code execution (executable flag set)

} Networking

◦ Connection initiated

◦ Connection accepted

} DDNA分析技術

} 結合Virustotal (64 antivirus)

◦ Hash 比對

◦ 檔案上傳比對6

Page 7: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

真實案例分析

7

Page 8: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

8

由攻擊者真實發動攻擊後，觸發警報

系統自動觸發Traces

Page 9: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

警報分析處理流程

9

分析系統發現異常Trace

分析Trace的events

檢查所有process

檢查files追蹤源頭總結事件始

末

Page 10: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

在隱藏資料夾中，有可疑程式被執行

警訊摘要說明

10

Page 11: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

第一個惡意程式產生

11

第一隻惡意程式svcmondr.exe

Page 12: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

攻擊者遠端操作後門

12

等待90分鐘後，攻擊者連入受害機器，執行ipconfig /all

Page 13: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

攻擊者查看機器中的帳號

13

第二個指令，執行net user，檢查機器上的帳號

Page 14: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

攻擊者查看管理者權限群組內的帳號

14

第3個指令，執行net localgroup administrators，檢查權限

Page 15: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

開始上傳其他惡意程式

15

利用網路芳鄰的通訊協定連線

Page 16: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

真實指令的細節

16

Page 17: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

註冊系統服務來確保可以持續登入受害主機

17

Page 18: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

註冊系統服務來確保可以持續登入受害主機

18

Page 19: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

惡意中繼站

C&C60.xx.xx.xx7

2xx.1x.1xx.xx7

19

Page 20: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

惡意中繼站活動情況(一)

20

Page 21: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

惡意中繼站在VIRUSTOTAL的情況(一)

21

Page 22: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

惡意中繼站活動情況(二)

22

Page 23: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

惡意中繼站在VIRUSTOTAL的情況(二)

23

Page 24: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

所有上傳到受害主機的檔案檔名 路徑 Virustotal結果

svcmondr.exe C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

ntids.dll C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

ntds.dll C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

Akagi64.exe C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

bs.exe C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

ntwdblib.dll C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

ellocnak.msu C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

rundll32.exe.xxt C:\Windows\SysWOW64\ 無上傳記錄

catsrv.exe C:\Windows\SysWOW64\ 無上傳記錄

rasauto.dll C:\Windows\SysWOW64\ 無上傳記錄

pciport.sys C:\Windows\ 無上傳記錄

svchost.exe.xxt C:\Windows\SysWOW64\ 無上傳記錄

cat.exe C:\Windows\SysWOW64\ 無上傳記錄

exlporer.exe C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄

winapi.exe C:\Users\WIN7_G~1\AppData\Local\Temp\ 無上傳記錄24

Page 25: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

追查來源

25

Page 26: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

追查來源-1

26

Page 27: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

追查來源-1

27

Page 28: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

追查來源-1

28

Page 29: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

追查來源-1

29

Page 30: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

POWERSHELL.EXE 到底做了什麼事?

30

Page 31: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

追查來源-2

31

Page 32: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

追查來源-2

32

Page 33: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

33

追查來源-2

Page 34: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

兇手是EXCEL文件檔案

34

附件的EXCEL檔案裡面到底藏了什麼東西????

Page 35: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

利用巨集下載惡意程式

35

http://2xx.xxx.xxx.xx7/tips.txt

Page 36: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確
Page 37: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

TXT檔案變成EXE檔案

37

TXT轉成EXE

Page 38: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

我們能幫你解決什麼問題?

¡ 持續偵測每一個端點¡ 即時的自動發出可疑活動的警訊¡ 專業人員的即時鑑識與分析¡ 找到未知惡意程式¡ 即時分析可疑的攻擊行為，找出你想知道的問題解答

¡ 惡意程式清單¡ 惡意中繼站清單¡ 建議解決辦法

38

Page 39: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

APT SOC 優勢項目

¡ 蒐集端點系統最詳細的分析資料，完全不會影響效能

¡ 提供傳統SOC無法提供的即時偵測惡意程式功能

¡ 不需要依賴任何的特徵碼與中繼站名單

¡ 即時的駭客入侵手法與攻擊來源分析

¡ 提供遠端處理或隔離惡意程式的功能

¡ 可以客製各種行為規則，包含違反內部政策的行為

¡ 透過巨量分析平臺，可以快速掌握駭客入侵範圍

¡ 搭配委外監控服務提供即時且高效的惡意程式偵防能力

39

Page 40: APT SOC 20170921 v2 - · PDF fileapt soc ¡ apt soc 有什麼不同？我們提供一個資安事件處理服務 ¡ 從偵測、分析到後續處理，一次搞定 ¡ 提供有明確

結論

¡ 當事件發生，造成損失後，才做事件處理並不是最好選擇

¡ 未來的資安事件處理，必須符合3項重點

¡ 要能即時進行事件處理，不必等到實際損失

¡ 能夠同時分析巨量主機的記錄，因為人力無法做到

¡ 必須是高度自動化，才能有效降低處理成本

¡ 慎選具備足夠事件處理經驗的協力廠商

40


Safety apt

Safety apt

Self Improvement
BGA SOME/SOC Etkinliği - APT Tehditlerine Karşı 7/24 Güvenlik İzlemesi (SOC)

BGA SOME/SOC Etkinliği - APT Tehditlerine Karşı 7/24 Güvenlik İzlemesi (SOC)

Technology
Piccolo - Cuvi · apm-001 apm-002 apm-003 apm-004 apm-005 apm-006 apm-007 apm-008 apm-009 apm-010 apt-001 apt-002 apt-003-2 apt-004 apt-005 apt-006 apt-007 apt-008 apt-009 apk-201

Piccolo - Cuvi · apm-001 apm-002 apm-003 apm-004 apm-005 apm-006 apm-007 apm-008 apm-009 apm-010 apt-001 apt-002 apt-003-2 apt-004 apt-005 apt-006 apt-007 apt-008 apt-009 apk-201

Documents
Teambuilding APT

Teambuilding APT

Documents
3ºAno - Soc disciplinar & soc controle

3ºAno - Soc disciplinar & soc controle

Documents
APT FINAL_2

APT FINAL_2

Documents
APT Projektni

APT Projektni

Documents
Apt circcorazon

Apt circcorazon

Documents
 · ANNEX Categoria: metge o metgessa de família d Equip d Atenció Primària DNI Cognoms, Nom Apt. 1 Apt. 2 Apt. 3 Apt. 4 Apt. 5 Apt. 6 Total Plaça adjudicada Serv. Prest. Grau

 · ANNEX Categoria: metge o metgessa de família d Equip d Atenció Primària DNI Cognoms, Nom Apt. 1 Apt. 2 Apt. 3 Apt. 4 Apt. 5 Apt. 6 Total Plaça adjudicada Serv. Prest. Grau

Documents
Dokumentasi APT

Dokumentasi APT

Documents
Ch4capp Apt

Ch4capp Apt

Documents
Finger Apt

Finger Apt

Documents
PIANO APT SERVIZI ANNO 2019 - APT Servizi | APT Servizi...Piano APT Servizi Anno 2019 - Proposte esecutive relative ai progetti di marketing e promozione 3 1. PREMESSA Nei primi 9

PIANO APT SERVIZI ANNO 2019 - APT Servizi | APT Servizi...Piano APT Servizi Anno 2019 - Proposte esecutive relative ai progetti di marketing e promozione 3 1. PREMESSA Nei primi 9

Documents
Apt Howto.en

Apt Howto.en

Documents
Terjemahan APT

Terjemahan APT

Documents
Apt 2015

Apt 2015

Documents
Apt programming

Apt programming

Engineering
Probabilty & Apt

Probabilty & Apt

Documents
Padrões de Vestimenta - Soc Soc

Padrões de Vestimenta - Soc Soc

Documents
1.1. Go - erguotou · apt-get UbuntuLinux apt-get Go git mercurial sudo apt-get install python-software-properties sudo add-apt-repository ppa:gophers/go sudo apt-get update sudo

1.1. Go - erguotou · apt-get UbuntuLinux apt-get Go git mercurial sudo apt-get install python-software-properties sudo add-apt-repository ppa:gophers/go sudo apt-get update sudo

Documents
Çakmakyurdu Apt

Çakmakyurdu Apt

Documents
Swipy 處處收款

Swipy 處處收款

Business
 · AN Florin-Constantin FLORIAN ALEXANDRU VLASE Valentin IRINA ELENA VLEJ GENA MIHAELA NESECRET Rezultatul evaluarii APT APT APT APT APT APT APT APT APT APT APT APT APT APT APT APT

 · AN Florin-Constantin FLORIAN ALEXANDRU VLASE Valentin IRINA ELENA VLEJ GENA MIHAELA NESECRET Rezultatul evaluarii APT APT APT APT APT APT APT APT APT APT APT APT APT APT APT APT

Documents
APT Teramo

APT Teramo

Documents
Registrasi Apt

Registrasi Apt

Documents
Apresentação APT

Apresentação APT

Documents
前瞻網路安全處理器及相關 SOC 設計與測試技術研發

前瞻網路安全處理器及相關 SOC 設計與測試技術研發

Documents
Apt 000002

Apt 000002

Documents
Hemostasis Apt

Hemostasis Apt

Documents
Apt Definitive

Apt Definitive

Documents