Threat hunting og red teaming: hvordan de styrker hinanden

Overvågning reagerer på det, den er sat op til at genkende. Threat hunting er den aktive søgning efter det, den ikke genkender: tegn på, at en modstander allerede er inde, selv om ingen alarm har lydt. Red teaming og threat hunting arbejder fra hver sin side af samme spørgsmål, og samspillet hviler på, at øvelsen giver jagten konkrete hypoteser, mens jagten viser, om de spor, øvelsen afslørede, også findes uden for øvelsen. For sikkerhedsfunktionen handler det om at planlægge rækkefølgen, afgrænse rollerne og bruge resultaterne begge veje.

To discipliner, to formål

Threat hunting tager udgangspunkt i en antagelse: hvis en bestemt type modstander var i miljøet, hvor ville det kunne ses? Jægeren formulerer en hypotese, undersøger data og konkluderer, om der er tegn på aktivitet, eller om data ikke rækker til at afgøre det. Arbejdet foregår løbende eller i afgrænsede kampagner og udføres af forsvaret selv eller af en leverandør.

Red teaming er en øvelse, hvor et hold efterligner en modstander inden for aftalte rammer, og hvor forsvaret måles på, om det opdager og reagerer. → Hvad er red teaming?

Forskellen er vigtig. Threat hunting spørger, om der er noget derude nu. Red teaming spørger, om forsvaret ville opdage det, hvis der var. Den ene undersøger virkeligheden, den anden afprøver evnen.

Hypoteser fra øvelsen

Det mest direkte samspil kommer efter øvelsen. Holdets logbog og den fælles tidslinje viser, hvilke skridt der gik ubemærket hen. Hvert af dem er et oplæg til en hypotese: hvis holdet kunne gøre det uden at blive set, kunne en rigtig modstander så også have gjort det, og er der i givet fald spor af det i data fra før øvelsen? → Holdets logbog

Det er et spørgsmål, der er let at glemme at stille. Øvelsen viser en vej, der var åben. Om den har været brugt af andre, kan kun en undersøgelse af historiske data svare på, og kun så langt tilbage, som data rækker.

Det samme gælder de svagheder, holdet fandt undervejs. Hvis holdet fik adgang via en konto med for mange rettigheder, er det rimeligt at undersøge, om den konto har været brugt usædvanligt tidligere. → Når angrebet ligner almindelig brug

Jægerne under øvelsen

Hvis organisationen har et team, der jager trusler, er de en del af forsvaret, og under en skjult øvelse er de derfor blue team. Det er en styrke for øvelsen, fordi jagten er en af de måder, en dygtig modstander kan blive fundet på. Det er også en udfordring, fordi jægerne kan være de mest erfarne folk i sikkerhedsfunktionen og måske også dem, der skulle sidde i white team. → Blue team

Beslut på forhånd, hvem der er hvad. Hvis en jæger sidder i white team, kan jagten ikke tælle med som en del af forsvaret i øvelsen, og det skal stå i rapporten. Hvis jægerne er blue team, skal white team være klar til at afklare hurtigt, når de finder noget, fordi jagten kan føre dem tæt på holdet uden at udløse en almindelig alarm.

Når jægerne finder holdet, er det et resultat, der skal måles som enhver anden opdagelse: hvornår, hvordan og med hvilken følge. → Når blue team opdager holdet

Rækkefølgen: jagt før øvelse

Der er gode grunde til at gennemføre en jagt kort før en red team-øvelse. Hvis en rigtig modstander allerede er i miljøet, kan holdets aktivitet blandes med den og gøre det svært at skelne øvelse fra angreb. En jagt før start mindsker den risiko, men fjerner den ikke. → Øvelse eller rigtigt angreb?

Jagten før øvelsen skal ikke afsløre øvelsen. Den kan planlægges som en del af forsvarets almindelige arbejde, uden at jægerne ved, hvorfor tidspunktet er valgt.

Jagten efter øvelsen skal også planlægges i god tid. Den bygger på holdets skridt, og den kræver, at data fra perioden før øvelsen stadig findes, når hypoteserne er formuleret. Hvis logs kun opbevares i kort tid, kan muligheden for at se bagud være væk, før rapporten er skrevet. Aftal derfor, at white team ved afslutningen sørger for, at relevante data bevares, og at jægerne får holdets logbog, så snart den er gennemgået. Sæt også en dato for, hvornår resultatet af jagten skal foreligge, så det kan indgå i handlingsplanen og ikke bliver en løs ende.

Øvelsen som målestok for jagten

Red teaming kan også bruges til at vurdere jagten selv. Hvis jægerne har arbejdet med bestemte hypoteser, kan holdets scenarie gøre det muligt at se, om de virker, når der faktisk er aktivitet at finde. Det kræver, at white team kender jægernes hypoteser, uden at jægerne kender scenariet.

Det kan også gå den anden vej. En åben øvelse, hvor holdet bevidst gennemfører udvalgte skridt, og jægerne bagefter skal finde sporene, er en måde at træne jagten på. Det er ikke red teaming i streng forstand, men det ligner purple teaming og kan give meget læring på kort tid. → Purple teaming

Et fælles sprog

Både jagt og red teaming bliver lettere at koble sammen, hvis de beskriver aktivitet på samme måde. MITRE ATT&CK, en offentligt tilgængelig vidensbase over modstanderes taktikker og teknikker baseret på virkelige observationer, kan bruges til begge dele. Hvis holdets skridt og jægernes hypoteser er kortlagt til samme katalog, kan det ses, hvor jagten dækker, og hvor øvelsen har vist et behov, jagten endnu ikke har taget op.

Kataloget er et sprog, ikke en opskrift. Det bruges til at beskrive og prioritere, ikke til at bestemme, hvad hverken holdet eller jægerne skal gøre i detaljer.

Det skal I lade være med

At se threat hunting som en erstatning for red teaming · den ene undersøger virkeligheden, den anden afprøver evnen.
At glemme at undersøge historiske data efter øvelsen · en åben vej kan have været brugt før.
At lade jægerne være både white team og blue team · så tæller jagten ikke med i målingen.
At starte en øvelse uden at have kigget efter rigtig aktivitet · sporene kan blandes.
At afsløre øvelsen gennem en jagt før start · tidspunktet må ikke forklares.
At beskrive jagt og øvelse i hver sit sprog · så kan de ikke kobles.

Hvad kan og ikke kan konkluderes

En jagt, der ikke finder noget, viser ikke, at der intet er; den viser, at de undersøgte hypoteser ikke gav udslag i de data, der fandtes. En red team-øvelse viser, hvad forsvaret opdagede i et bestemt forløb. Tilsammen giver de et bedre billede end hver for sig, men ingen af dem kan dokumentere, at miljøet er rent.