36-mal heruntergeladen
Hochgeladen vonGeorg Knon
Splunk und das Triage Tool THOR
Das Dokument beschreibt ein Webcast von Splunk über den Einsatz des APT-Scanners "Thor" zur Erkennung fortschrittlicher anhaltender Bedrohungen (APTs) in deutschen Industrieunternehmen. Es wird auf die Funktionsweise, die Anwendungsmöglichkeiten und die Integration von Thor mit Splunk eingegangen, sowie auf bewährte Verfahren zur Optimierung der Cybersecurity-Strategien. Zudem bietet es Informationen zur kostenlosen Testversion von Thor für Splunk-Kunden und zur Handhabung potenzieller Sicherheitsbedrohungen.
Splunk und das Triage Tool THOR
- 1.
- 2.
- 3. Copyright*©*2014*Splunk,*Inc. Agenda 3 • Splunk kurzerÜberblick • Beispiele*von*APT’s • Einsatzzweck und*Technologieansatz • THOR*in*Splunk • Best*Practice*Approach • Q&A
- 4. Copyright*©*2014*Splunk,*Inc. GPS,*RFID,*Hypervisor,* Web Servers,*Email,*Messaging, Clickstreams,*Mobile,* Telephony,* IVR,*Databases* Splunk:*The*Engine*For*Machine*Data Report' and' analyze Custom' dashboards Monitor' and'alert Ad'hoc' search Splunk'storage Real=time Machine'Data Sensors,*Telematics, Storage,* Servers, Security* devices,* Desktops,* CDRs Developer Platform Other'Big'Data'stores 4
- 5.
- 6.
- 7.
- 8.
- 9. SPLUNK Webcast: Ein neuerWeg zur Erkennung von APT’s Splunk und APT-Detection Tool THOR Florian Roth Michael Hochenrieder 24.04.2015
- 10. Ihre Gastgeber 24.04.2015 Folie2 Florian Roth Senior Information Security Engineer bsk Consulting GmbH Michael Hochenrieder Senior Information Security Consultant HvS-Consulting AG Restricted: for project use only
- 11. Inhalte Beispiele von APT’s,die in deutschen Industrieunternehmen entdeckt wurden und wie diese funktionieren Einsatzzweck und Technologieansatz des APT-Scanners THOR Wie Sie die Informationen von THOR in Splunkauswerten Wie Sie THOR mithilfe des Splunk Deployment Servers verteilen Wie sie mit der kostenfreien „Special THOR Trial 21 für SPLUNK-Kunden“ Ihre Systeme auf APT’s scannen können Best Practice Approach für Splunk Kunden bei DAX-Konzernen validiert 24.04.2015 Folie 3Restricted: for project use only
- 12. Inhalte Beispiele von APT’s,die in deutschen Industrieunternehmen entdeckt wurden und wie diese funktionieren Einsatzzweck und Technologieansatz des APT-Scanners THOR Wie Sie die Informationen von THOR in Splunkauswerten Wie Sie THOR mithilfe des Splunk Deployment Servers verteilen Wie sie mit der kostenfreien „Special THOR Trial 21 für SPLUNK-Kunden“ Ihre Systeme auf APT’s scannen können Best Practice Approach für Splunk Kunden bei DAX-Konzernen validiert 24.04.2015 Folie 4Restricted: for project use only
- 13. Definition Advanced PersistentThreats (APT) Advanced (fortgeschritten) • erhebliche technische Kenntnisse der Angreifer • straff organisierter Angriff auf spezifische Ziele • unauffällig Persistent (andauernd) • Kombination von mehreren Angriffsvektoren • langfristig angelegt, um Ziel zu erreichen Threat (Bedrohung) • Abfluss von vertraulichen Informationen • (Angriffe auf kritische Infrastrukturen) Folie 524.04.2015 Restricted: for project use only
- 14. APT-Angriffsvektoren Angreifer Social Engineering MenschenSysteme Automatisierte Angriffe Schadsoftware DoS Attacken Ausnutzenvon Schwachstellen Advanced Persistent Threat Spear Phishing Folie 624.04.2015 Restricted: for project use only
- 15. APT-Angriffsvektoren Angreifer Social Engineering MenschenSysteme Automatisierte Angriffe Schadsoftware DoS Attacken Ausnutzenvon Schwachstellen Advanced Persistent Threat Spear Phishing Folie 724.04.2015 Restricted: for project use only
- 16. Angriffsziel Systeme Niederlassung ANiederlassung B Zentrale Folie 824.04.2015 Restricted: for project use only
- 17. Beispiel: Persistent Access Folie924.04.2015 Restricted: for project use only
- 18. Inhalte Beispiele von APT’s,die in deutschen Industrieunternehmen entdeckt wurden und wie diese funktionieren Einsatzzweck und Technologieansatz des APT-Scanners THOR Wie Sie die Informationen von THOR in Splunk auswerten Wie Sie THOR mithilfe des Splunk Deployment Servers verteilen Wie sie mit der kostenfreien „Special THOR Trial 21 für SPLUNK-Kunden“ Ihre Systeme auf APT’s scannen können Best Practice Approach für Splunk Kunden bei DAX-Konzernen validiert 24.04.2015 Folie 10Restricted: for project use only
- 19. Warum ein APT-Scanner? 24.04.2015Folie 11 Zuverlässige Früherkennung Schnelle Reaktion Effektive Schadensbegrenzung Restricted: for project use only
- 20. APT-Scanner „THOR“ Scannt aufHacktools und Angreifer- aktivitäten (Triage Tool) Portable – wird nicht installiert Läuft auf allen Windows- und ausgewählten Linux-Plattformen ohne zusätzliche Anforderungen Anpassbar an die Verfahrensweise und Werkzeuge der Angreifer Scoring System zur Bewertung von Dateien, um auch bisher unbekannte Malware zu erkennen Diverse Exportmöglichkeiten Individuelle Konfiguration und Drosselung des Scanprozesses möglich Kann zentral über GPO / Splunk-Forwarder etc. verteilt werden Folie 1224.04.2015 Restricted: for project use only
- 21. Abgrenzung zu anderenTools Folie 1324.04.2015 Restricted: for project use only
- 22. Funktionen und Signaturen Folie1424.04.2015 Restricted: for project use only
- 23. Command Line Output Folie1524.04.2015 Restricted: for project use only
- 24. HTML Report Output Folie1624.04.2015 Restricted: for project use only
- 25. Inhalte Beispiele von APT’s,die in deutschen Industrieunternehmen entdeckt wurden und wie diese funktionieren Einsatzzweck und Technologieansatz des APT-Scanners THOR Wie Sie die Informationen von THOR in Splunk auswerten Wie Sie THOR mithilfe des Splunk Deployment Servers verteilen Wie sie mit der kostenfreien „Special THOR Trial 21 für SPLUNK-Kunden“ Ihre Systeme auf APT’s scannen können Best Practice Approach für Splunk Kunden bei DAX-Konzernen validiert 24.04.2015 Folie 17Restricted: for project use only
- 26. Warum Splunk? Hohe Flexibilitätbei der Indizierung von vielfältigen Meldungen (jedes THOR Modul schreibt unterschiedliche Meldungen) Schnelles und einfaches Filtern von False Positives Einfaches Einbinden der von THOR generierten Output-Formate (Syslog, Textlog) THOR eigene App / Add-on Features zur Anomalie-Erkennung (Big Data-Ansatz: Schnelle Erzeugung von Tabellen, Filtern, Sortierungen, Aggregationen) 24.04.2015 Folie 18Restricted: for project use only
- 27. Auswertung von THOR-Ergebnissenin Splunk Security-Analysten-KnowHow / forensische Expertise ist notwendig, Erfahrung mit APT hilfreich Ggf. zahlreicheals „verdächtig“ gemeldete Objekte (mögliche False Positives), abhängig von Firma und Standort Alarmmeldungen bedeuten nicht unbedingt eineKompromittierung Hilfreich ist oftmals das „Ansehen“ von Dateien, die gemeldet wurden Folie 1924.04.2015 Restricted: for project use only
- 28. THOR Splunk App Folie2024.04.2015 Restricted: for project use only
- 29. Inhalte Beispiele von APT’s,die in deutschen Industrieunternehmen entdeckt wurden und wie diese funktionieren Einsatzzweck und Technologieansatz des APT-Scanners THOR Wie Sie die Informationen von THOR in Splunk auswerten Wie Sie THOR mithilfe des Splunk Deployment Servers verteilen Wie sie mit der kostenfreien „Special THOR Trial 21 für SPLUNK-Kunden“ Ihre Systeme auf APT’s scannen können Best Practice Approach für Splunk Kunden bei DAX-Konzernen validiert 24.04.2015 Folie 21Restricted: for project use only
- 30. Rollout von THOR Folie2224.04.2015 Restricted: for project use only
- 31. Rollout von THORvia SPLUNK Folie 2324.04.2015 THOR Add-on enthält Skript, das THOR von einem Netzwerkpfad startet THOR Logs werden als Scripted Input auf den Forwardern eingelesen Viele Vorteile gegenüber Syslog: – Gesicherte Übertragung (TCP, SSL) – Keine Größenbeschränkung – Caching – Kein zusätzlicher, offener Port Restricted: for project use only
- 32. Inhalte Beispiele von APT’s,die in deutschen Industrieunternehmen entdeckt wurden und wie diese funktionieren Einsatzzweck und Technologieansatz des APT-Scanners THOR Wie Sie die Informationen von THOR in Splunk auswerten Wie Sie THOR mithilfe des Splunk Deployment Servers verteilen Wie sie mit der kostenfreien „Special THOR Trial 21 für SPLUNK-Kunden“ Ihre Systeme auf APT’s scannen können Best Practice Approach für Splunk Kunden bei DAX-Konzernen validiert 24.04.2015 Folie 24Restricted: for project use only
- 33. THOR-Webseite: https://www.apt-detection.com 24.04.2015 Folie25 Special THOR Trial 21 (ca. 80% der IoCs) für SPLUNK Webinar-Teilnehmer: https://www.apt-detection.com/splunk-thor-request-form Restricted: for project use only
- 34. Best Practice Ansatz 24.04.2015Folie 26 Planung • 1) Anforderung „Special THOR Trial 21“ für SPLUNK Webinar-Teilnehmer: https://www.apt-detection.com/splunk-thor-request-form • 2) Setup THOR-App for SPLUNK: https://splunkbase.splunk.com/app/1717/ • 3) Test des Rollouts von THOR (via Splunk bzw. Windows GPO) Scan • Repräsentativer Scan von ausgewählten Systemen, z.B. DMZ-Server, Domain Controller, File-Server, Mail-Server, MDM-Server bzw. Workstations von kritischen Key-Usern z.B. Admins, Entwickler etc. • Zentrales Reporting in THOR-App for SPLUNK Analyse • Auswertung durch qualifizierte Security-Analysten / CERT-Mitarbeiter • Filterung von False Positives • Nachverfolgung von Alarmen / Warnungen • Im Zweifelsfall: Detail-Analysen (z.B. Malware-Analyse, Forensik) Ggf. Input für neue Signaturen (IoCs) Re-Scan Restricted: for project use only
- 35. Kontakt: info@apt-detection.com Weitere Infos:https://www.apt-detection.com
- 36.
- 37.
- 38.