از LOLBins تا اطلس رفتاری ویندوز؛ گام بعدی Detection Engineering چیست؟
روزبه نوروزی
جامعه امنیت سایبری تاکنون تلاش‌های ارزشمندی برای شناخت پردازش‌های بومی ویندوز انجام داده است. پروژه‌هایی مانند LOLBAS (Living Off the Land Binaries and Scripts) نشان داده‌اند که چگونه ابزارهای قانونی ویندوز مانند rundll32.exe، regsvr32.exe، mshta.exe و certutil.exe می‌توانند توسط مهاجمان برای اجرای حملات مورد سوءاستفاده قرار گیرند. همچنین ابزارهایی مانند Process Monitor، ETW و محصولات EDR رفتار پردازش‌ها را تا حدی ثبت و تحلیل می‌کنند.
با این حال، بیشتر این تلاش‌ها بر یک پرسش متمرکز بوده‌اند: مهاجم چگونه از این پردازش سوءاستفاده می‌کند؟ اما شاید زمان آن رسیده باشد که سؤال دیگری مطرح شود: رفتار طبیعی این پردازش دقیقاً چیست؟
تصور کنید برای هر پردازش بومی ویندوز، یک اطلس رفتاری (Behavioral Atlas) وجود داشته باشد که الگوی عادی بارگذاری DLLها، ایجاد Child Process، ارتباطات شبکه، دسترسی به فایل و رجیستری، فراخوانی APIها و تعامل با سایر پردازش‌ها را مستندسازی کند. در این صورت، هرگونه انحراف از این الگوی طبیعی می‌تواند بدون نیاز به IOC یا Signature، به‌عنوان یک سیگنال اولیه برای Threat Hunting شناسایی شود.
به نظر می‌رسد نسل بعدی Detection Engineering باید از تمرکز صرف بر شناخت رفتار بدافزارها به سمت شناخت رفتار طبیعی سیستم‌عامل حرکت کند. شاید آینده امنیت نقطه پایانی نه در فهرست کردن LOLBinهای جدید، بلکه در ساخت یک اطلس جامع از رفتار پردازش‌های ویندوز باشد؛ اطلسی که بتواند کوچک‌ترین انحراف را نیز به‌عنوان نشانه‌ای از یک حمله پیشرفته آشکار کند.
روزبه نوروزی
جامعه امنیت سایبری تاکنون تلاش‌های ارزشمندی برای شناخت پردازش‌های بومی ویندوز انجام داده است. پروژه‌هایی مانند LOLBAS (Living Off the Land Binaries and Scripts) نشان داده‌اند که چگونه ابزارهای قانونی ویندوز مانند rundll32.exe، regsvr32.exe، mshta.exe و certutil.exe می‌توانند توسط مهاجمان برای اجرای حملات مورد سوءاستفاده قرار گیرند. همچنین ابزارهایی مانند Process Monitor، ETW و محصولات EDR رفتار پردازش‌ها را تا حدی ثبت و تحلیل می‌کنند.
با این حال، بیشتر این تلاش‌ها بر یک پرسش متمرکز بوده‌اند: مهاجم چگونه از این پردازش سوءاستفاده می‌کند؟ اما شاید زمان آن رسیده باشد که سؤال دیگری مطرح شود: رفتار طبیعی این پردازش دقیقاً چیست؟
تصور کنید برای هر پردازش بومی ویندوز، یک اطلس رفتاری (Behavioral Atlas) وجود داشته باشد که الگوی عادی بارگذاری DLLها، ایجاد Child Process، ارتباطات شبکه، دسترسی به فایل و رجیستری، فراخوانی APIها و تعامل با سایر پردازش‌ها را مستندسازی کند. در این صورت، هرگونه انحراف از این الگوی طبیعی می‌تواند بدون نیاز به IOC یا Signature، به‌عنوان یک سیگنال اولیه برای Threat Hunting شناسایی شود.
به نظر می‌رسد نسل بعدی Detection Engineering باید از تمرکز صرف بر شناخت رفتار بدافزارها به سمت شناخت رفتار طبیعی سیستم‌عامل حرکت کند. شاید آینده امنیت نقطه پایانی نه در فهرست کردن LOLBinهای جدید، بلکه در ساخت یک اطلس جامع از رفتار پردازش‌های ویندوز باشد؛ اطلسی که بتواند کوچک‌ترین انحراف را نیز به‌عنوان نشانه‌ای از یک حمله پیشرفته آشکار کند.
Comments
Be the first to add a comment
Log in to comment