He sido bastante moderado hasta ahora en esta serie (ve la primera parte y la segunda parte). Pongámonos intensos.
Este artículo le pone el broche a las dos entregas anteriores que compartimos en nuestro safari sobre la evasión de defensas.
Entonces... ¿cómo detectas la evasión de defensas? Parece una pregunta paradójica.
Bueno, los atacantes tienen que ENTRAR de alguna manera, tienen que EJECUTAR cosas de alguna manera, y tiene que haber algún tipo de IMPACTO en lo que ejecutan. Los más avanzados logran hacer lo anterior de forma más sigilosa, pero no invisible.
Para detectar este tipo de intrusión avanzada, necesitas una seguridad proactiva. Este es un término enorme, confuso y cargado de significado, y me gustaría desglosarlo bien en otra ocasión. Pero quiero señalar: no puedes alcanzar la seguridad proactiva comprando un producto. Cualquiera que intente convencerte de lo contrario probablemente te esté tratando de vender algo (y probablemente sea basura).
La seguridad proactiva requiere compromiso interno. Esto no siempre significa gastar una fortuna. Solo significa que piensas con anticipación en la posibilidad de una intrusión y en cómo frustrarla y recuperarte de ataques de distinta gravedad, en lugar de depender únicamente de que el producto de seguridad X haga todo el trabajo por ti.
En este blog, vamos a...
- Tener una conversación breve y realista sobre tu panorama de riesgo, tu apetito de riesgo y la gestión de amenazas
- Ofrecer consejos detallados para monitorear y detectar la evasión de defensas
- Compartir algunas ideas sobre cómo cazar y distraer a los adversarios antes de que tomen impulso en su campaña
- Terminar con algunas reflexiones sobre cómo probar la eficacia de tu estrategia de seguridad
Madurez en seguridad: "Aceptamos el riesgo" 🤡
No nos dejemos llevar por la exageración en torno a la evasión de defensas. Hay matices que explorar en la conversación sobre las taxonomías de evasión, pero no es de eso que vamos a hablar aquí.
En Huntress vemos adversarios realmente avanzados... pero la gran mayoría de lo que observamos no califica como sofisticado ni avanzado. De hecho, con solo aplicar el endurecimiento de la seguridad a tu Active Directory probablemente mitigarías el 80% de los ataques que vemos (ve el webinar de junio de 2022 de Trimarc Security).
En fin, ¿cómo estás considerando tu riesgo de forma adecuada?
He escuchado demasiadas veces las famosas últimas palabras, "aceptamos el riesgo", pero ¿exactamente cómo se informó ese proceso de toma de decisiones?
¿Es la creencia de que, al comprar el producto de seguridad X por $$$, el riesgo de alguna manera quedó controlado? ¿Llegó un vendedor turbio a tu órbita como un asteroide intruso justo después de un incidente, asegurando que su producto habría detenido [inserta incidente]? ¿O "aceptar el riesgo" se traduce en "la seguridad es un centro de costos, y preferimos arriesgarnos a ver qué pasa antes que invertir"?
Cuando piensas en tus riesgos de seguridad (tu modelo de amenazas), ¿te enfocas más en las llamativas amenazas persistentes avanzadas (APT) que en el empleado de finanzas descontento que está exfiltrando documentos importantes en este mismo momento? ¿O en ese empleado de logística que es encantador pero que abriría y confiaría en cualquier cosa que diga un correo electrónico?
Planificar tu seguridad en torno a los escenarios de amenaza más comunes no solo es mejor para tu bolsillo, sino que también es un modelo de amenazas más alcanzable y realista. ¿Qué MSP, pyme o contratista va a lograr cero confianza? ¿Y para qué molestarse? El esfuerzo no vale la pena para ese tipo de cosas.
Un plan realista
Si planificas para la seguridad cotidiana, obtendrás beneficios cuando más adelante trabajes en estrategias de seguridad "avanzadas". Una base sólida para asegurar incluye
- Gestión de parches adecuada
- Conocimiento de tus máquinas expuestas a internet
- Un inventario de tus máquinas
- Formas adecuadas de monitorear la exfiltración de datos
- Implementación estándar de MFA
- Soluciones de respaldo probadas
Y solo una nota para quienes les gusta comprar sin pensar productos de seguridad muy caros que prometen remediaciones impulsadas por aprendizaje automático e IA: ¿Están lo suficientemente maduros para esta conversación?
Lo digo solo un poco en broma.
En tu red veo demasiados `ransomware.exes` y binarios de mimikatz sacados directo de Github como para que te preocupes por el malware cuántico polimórfico C3 que tu producto de seguridad dice poder frenar.
El producto de seguridad X te acaba de avisar que hay movimiento lateral con el humilde PsExec. ¿Y ahora qué haces, jefe?
Y otra cosa: si gastas $10000000000000 en soluciones de seguridad con aprendizaje automático pero no inviertes $0.00 en cerrar el protocolo de escritorio remoto (RDP) desde internet, no entiendo por qué a ti te sorprende que te hayan atacado con ransomware.
No estoy criticando al producto de seguridad X. Probablemente sea una buena inversión. Pero sin importar cómo lo vendan, ninguna compra tiene el mismo impacto que las personas de tu empresa tomando buenas decisiones conscientes de seguridad.
Vas a ahorrar dinero por adelantado si inviertes en capital humano para la postura de seguridad, y luego vas a recuperar ese dinero cuando logres contener un ataque de ransomware y el costo posterior de reconstrucción.
Monitorea el impacto
Bueno, dejamos la polémica en pausa… por ahora. Hablemos de lo técnico.
Si haces lo básico en capas, vas a detectar a los actores de amenazas. Sí, todo se puede evadir, pero no todo se puede evadir sin hacer ruido.
La evasión de defensas es una conversación fascinante que tenemos como comunidad. Existen técnicas de equipo rojo increíblemente innovadoras que hacen que la evasión de defensas parezca 'trivial'. Pero algo que me causa gracia es que un número importante de estas técnicas de evasión depende de llevar un archivo malicioso a la máquina objetivo, y además, estas técnicas tienen un impacto ruidoso.
El adversario puede entrar a tu red sin hacer ruido, e incluso puede ejecutar comandos de forma sigilosa, pero según la telemetría que vemos en Huntress, te puedo asegurar que no logran evadir el impacto de sus tácticas.
Entonces, para simplificar, hay dos oportunidades aquí:
- Monitorear archivos maliciosos que se depositan en el disco
- Monitorear y detectar cambios en sistemas y cuentas que no tengan sentido
Lo segundo en realidad es más fácil, ya que tu organización tendrá archivos entrando y saliendo todos los días, mientras que la cantidad de cuentas, usuarios privilegiados y sistemas con defensas deshabilitadas se mueve mucho menos en comparación. Esto último busca enfocarse en los comportamientos y técnicas del adversario que no coinciden con la actividad rutinaria y esperada de tu entorno.
Para monitorear y detectar el impacto, vas a necesitar los equipos adecuados y también las herramientas adecuadas. No soy un hipócrita que acaba de escribir un ensayo criticando productos de seguridad; herramientas adecuadas no significa caras.
Existen muchas tecnologías gratuitas o de código abierto que te permiten recopilar, consultar y generar alertas sobre la telemetría de seguridad en tu red (como Sysmon, Wazuh, el stack de Elastic, e incluyo a Huntress Neighbourhood Watch porque es excelente).
Cómo lo hacemos en Huntress
Para compartir cómo las herramientas de Huntress consideran la evasión de defensas, le pregunté a uno de los arquitectos de Process Insights de Huntress, Principal Software Engineer Rob Noeth:
Nos aferramos firmemente a los tres principios: persistencia, procesos, red, y construimos eso dentro de Rio.
En lugar de jugar los interminables juegos de firmas binarias o intentar muestrear cada llamada de API que ocurre en un sistema, buscamos comportamientos y técnicas usadas por los atacantes.
Sabemos que van a tener que ejecutar algo. Podría ser malware y/o herramientas lolbas. Esto suele ser fácil de encontrar y alertar. Pero, ¿qué pasa si usan técnicas más sofisticadas? Ahí es cuando entra la red/persistencia. Los atacantes deben comunicarse por la red, ya sea para controlar remotamente el endpoint o para que el implante de beaconing se comunique con su servidor.
Creo sinceramente que, usando estas técnicas, podríamos detectar cualquier intrusión. La parte difícil es hacerlo a escala y recolectar la cantidad justa de información. Muy poca y nos perdemos indicadores clave, demasiada y nuestros costos de almacenamiento se disparan.
Poder hacer análisis forense justo a tiempo es atractivo, pero son demasiados datos. Algunos EDR intentan hacer esto y terminan volcando todos esos datos a sus clientes para que les den sentido. Nuestro enfoque es construir la historia para nuestros clientes y presentársela.
Al final del día, la gente solo quiere quitar el malware de sus sistemas y volver al trabajo, así que eso es a lo que apuntamos.
<fin del desahogo>
Los detalles del monitoreo
Si tienes los conceptos básicos bien implementados, estás listo para desplegar un aparato de seguridad maduro. Tomará algo de prueba y error, algunas pruebas de configuraciones, y tal vez obtengas uno que otro falso positivo... pero si despliegas tu propio stack de seguridad, tú, amigo mío, podrías tener autarquía en seguridad.
¿¡Te imaginas estar libre de los discursos de venta de los proveedores de seguridad!? Te daré algunas sugerencias, que eres libre de ignorar, pero no tienes nada que perder salvo tus cadenas.
Ahora, Sysmon no es infalible, pero no está nada mal cuando cuesta $0.00. Y las listas de permitidos/denegados para aplicaciones no son malas cuando puedes implementarlas mediante Group Policy. ¿Y qué tal si, ya que estás aquí, también le pones un poco de restricciones a PowerShell? Ya que estás en eso, ¿le darías un poco de cariño a tus Event Logs de mi parte? [1, 2 ,3]. Activa algunas de estas medidas y acabas de imponerle un costo a un adversario, haciéndolo sudar en una red hostil a su presencia.
Lo que sigue es una mezcla de distinta documentación sobre PIM, PAM, arquitectura por niveles, experiencia profesional y una buena dosis de intuición improvisada. No lo tomes como un consejo de arquitectura, sino más bien como una forma conceptual de pensar en la importancia de la máquina en relación con las implementaciones de evasión de defensas que vale la pena hacer.
Nivel 0 (protección de nivel nuclear)
DCs
Servidores ADFS
Servidores ADCS
Servidores expuestos a internet
Servidores de respaldo
Sysmon
Alertas de antivirus
Listas de permitidos (hostil*)
WEC y WEF
Caza proactiva
Sistemas de detección de intrusos
Nivel 1 (importante)
Servidores de archivos**
Servidores de impresión
Tecnología heredada***
Resto de servidores
Sysmon
Ampliar la retención de registros
Alertas de antivirus
Listas de permitidos (estricta)
Caza proactiva
Nivel 2 (uso diario)Estaciones de trabajo de los usuarios
Alertas de antivirus
Listas de permitidos (permisiva)
* Por hostil, nos referimos a HOSTIL. Bloquea PwSh con tantas restricciones distintas como el Todopoderoso te permita.
** Si puedes segregar tus servidores de archivos, tus archivos superimportantes (propiedad intelectual, datos confidenciales) podrían estar en un servidor de archivos totalmente distinto que reciba protección de Nivel 0. Mientras tanto, otros archivos más comunes pueden existir en un servidor de archivos de Nivel 1.
*** Es difícil ofrecer protecciones de seguridad de vanguardia a las máquinas heredadas. Pero igual puedes hackear soluciones alternativas, así que si solo tienes una máquina con Windows XP porque ayuda a operar el piso de tu planta de manufactura, entonces limita y neutraliza la máquina para que solo ejecute el software indicado. Mejor aún si puedes asegurarte de que no esté unida a un dominio ni a la red.
Todo lo anterior se puede burlar y evadir, pero el objetivo de tener estas capas de seguridad es que estás aumentando el 'costo' que un adversario debe pagar para evadirlas y persistir.
Con la defensa en profundidad que se sugiere aquí, obligas al actor de amenazas a ejecutar a la perfección una rutina gimnástica hercúlea sin tropezar ni una sola vez con la constelación de obstáculos de seguridad que le has preparado.
Seguridad proactiva
Mi colega Anthony Smith ya nos enseñó sobre seguridad proactiva mediante la caza de amenazas, donde vas más allá de necesitar alertas y aprovechas tu telemetría para identificar actividad maliciosa que aún no se ha detectado en tu entorno.
Esto se enmarca en la filosofía de asumir el compromiso. Asume que ha pasado, que está pasando y que pasará. Esto no es para infundirte miedo. Más bien, al asumir que existe algún tipo de actividad maliciosa resonando en los rincones de tu red, puedes empezar a implementar medidas de seguridad proactivas y avanzadas, que frustrarán al 99 % de los adversarios que entren a tu red.
Anthony nos dio los detalles sobre la caza de amenazas, y si necesitas un filósofo para la caza de amenazas, Chris Sanders comparte conocimiento serio sobre caza de amenazas en su cuenta de Twitter. Tener una base conceptual sólida que guíe tu régimen de caza de amenazas es más importante que cualquier otra cosa.
Y mientras piensas en lo que Chris Sanders tiene que decir sobre la caza de amenazas, dale un vistazo a lo que dice sobre tender trampas para tus enemigos. Estas trampas alertarán a los defensores cuando un adversario intente hacer algo sigiloso. La seguridad proactiva basada en 'miel' realmente ha despegado en los últimos años, con personas como Chris Sanders, Casey Smith, e Ippsec [1,2,3,4] enseñándonos cómo implementar nuestros propios proyectos de seguridad basados en 'miel'. Hasta yo me dejé llevar por toda la diversión.
Estamos yendo más allá del alcance de la mayoría de las implementaciones de seguridad que son reactivas, es decir, esperar una alerta de un producto que señale algo malicioso, y en su lugar pasamos a una postura proactiva de seguridad, donde cazas y rastreas continuamente a los adversarios más avanzados que han logrado persistir.
El capital humano es primordial aquí. Un gran investigador de seguridad puede implementar soluciones de forma gratuita, mientras que productos costosos no pueden convertir a una persona sin experiencia en seguridad en un investigador, sin importar la promesa detrás del producto. Me repito, pero vale la pena repetirlo: tu madurez en seguridad depende de las personas, no de los productos.
Poner a prueba tu estrategia con anticipación
Si bien la caza de amenazas y los honeypots son excelentes, eso es lo que haces cuando las cosas van bien. Pero cuando las cosas van bien, también necesitas revisar los neumáticos y afilar las espadas para cuando las cosas vayan mal. Las empresas tienen sus planes de contingencia y desastre para inundaciones, incendios, terremotos... entonces, ¿por qué no tienes un plan de recuperación ante ciberataques?
No puedo enfatizarlo lo suficiente: ten un plan para cuando detectes algo malicioso:
- Practica contener una amenaza
- Aislar una máquina
- Expulsar manual y minuciosamente a un actor de amenazas que controla una cuenta,
- Restaurar desde una copia de seguridad de vez en cuando en una máquina para verificar que esas cosas realmente funcionen y cuánto tiempo toman, POR FAVOR
- Probar el producto de seguridad X, o el SOC externo Y
No sugeriría hacerlo todo el tiempo, todos los días, pero una prueba saludable del pedal de freno mientras sales de tu entrada es mejor que descubrir que los frenos no funcionan cuando estás en la autopista.
¿Qué aprendiste al hacer esto? ¿Hay servidores que no puedes aislar porque tendría un enorme impacto operativo, alguna máquina heredada demasiado antigua para una solución de seguridad? Aprender esto ahora significa que tienes tiempo para pensar en una respuesta.
El objetivo de esto no es identificar fallas en el producto X o en el equipo Y. El objetivo es emular de forma iterativa al adversario en tu propio entorno, para identificar los vacíos en tus capas de defensa donde la evasión maliciosa podría prosperar.
Tampoco hagas equipo rojo contra equipo azul: es raro, y cualquiera que te venda eso también lo es.
Los equipos rojos son operadores capacitados que merecen algo más que apuntar solo a “dominar” tu red. En cambio, los equipos azul y rojo deberían colaborar, usando herramientas de seguridad ofensiva y trabajando de forma iterativa con el equipo azul para descubrir: ¿por qué no se detectó algo?, ¿cómo podemos ajustar mejor esta detección para reducir los falsos positivos? ¿Qué vacíos debemos aceptar por limitaciones (de costo, tiempo, almacenamiento, personal)?
La mayoría de las empresas no necesita modelar amenazas para APT; necesitan modelar amenazas para adversarios estándar y amenazas internas. Muchos operadores de equipos rojos me dicen que tal o cual herramienta evadirá una defensa si se usa de cierta manera [1, 2, 3]. Según la enorme fuente de telemetría que tenemos en Huntress de redes cotidianas, los actores de amenazas despliegan sus herramientas de la forma menos sofisticada y más fácil de detectar, y aun así ganan, incluso usándolas tal cual vienen. Mis amigos de equipos rojos pasan más tiempo explorando los matices de una herramienta, y no consideran que la mayoría de los adversarios no usan toda la flexibilidad de las herramientas de seguridad ofensiva. Atrapar a los delincuentes cibernéticos no es difícil; solo requiere planificación, preparación e inversión previas.
Por cierto, un incidente de seguridad real no es responsabilidad exclusiva del personal de TI y de seguridad de la información. Las intrusiones de dominio pueden afectar, y afectarán, a toda la organización, y se necesita el compromiso de representantes de toda la organización.
Usa simulaciones de incidentes tipo tabletop. No apuntes al peor escenario posible; en cambio, define distintos niveles de ataque: las amenazas internas pueden ser un nivel, el actor de amenazas estándar otro, y luego el APT sofisticado. Los escenarios tipo tabletop te permiten probar tu resiliencia cibernética y tu plan de recuperación, ¡y además puedes divertirte mientras lo haces! Consulta Backdoors & Breaches, de Black Hills Information Security (pronto llegará el paquete de expansión de Huntress).
Abordar tus estrategias de seguridad y sus fallas de forma proactiva significa que puedes corregirlas y mitigarlas. No dejes que una campaña de ransomware sea la consultoría de seguridad más cara que hayas pagado jamás.
Cómo lograr la defensa en profundidad
Las cosas se pueden evadir y sortear. El punto no es construir un único obstáculo infranqueable; esa es una búsqueda condenada al fracaso. Se trata, en cambio, de construir múltiples obstáculos de seguridad con diferentes complejidades y texturas. El conjunto de componentes que conforman tu aparato de seguridad son inversiones que le dan al equipo de seguridad más oportunidades de detectar, detener y expulsar una campaña adversaria antes de que pueda causar un impacto malicioso.
Pero no puedes comprar tu camino hacia la defensa en profundidad. Tampoco puedes lograrlo solo con tecnología.
Las capas centrales de tu defensa en profundidad pueden ser puramente técnicas, como los backups, por ejemplo. Pero a medida que avanzas del núcleo hacia las capas externas, necesitas asegurarte de que el contexto humano sea el primer lente con el que analizas la eficacia de una capa de seguridad.
Para ilustrar brevemente la importancia del contexto humano en las capas externas de tu defensa, toma el caso de Uber. Uber no fue comprometido con un día cero súper sofisticado, sino por interacción del usuario; la solución de MFA técnicamente funcionó, así que no hubo falla ni explotación ahí. Más bien, el atacante aplicó agotamiento de MFA hasta que el usuario cometió un error.
Si no piensas en tus usuarios cuando capas tu seguridad, te estás preparando para fallar.
***
Espero que esta serie sobre evasión de defensas te haya dado un curso intensivo sobre qué es la evasión de defensas, cómo se ven las técnicas adversariales avanzadas, y te haya ofrecido sugerencias prácticas de cómo se ve una 'buena seguridad'.
Ahora que todos estamos un poco más familiarizados con cómo operan los malos, espero que puedas retomar algunos de los hilos de conversación de aquí y continuarlos en tu propia organización para implementar seguridad.
Si te interesa conocer más reflexiones de Huntress sobre cómo implementar y hacer bien la seguridad, consulta nuestra serie de webinars Tradecraft Tuesday. Tenemos un archivo de excelente material, con un gran programa 2023 preparado para consentirte con todo lo relacionado con lo turbio y lo seguro.
