Этот плейбук описывает, как использовать Рабочую область Историй для расследования историй о нападениях с использованием фишинговых сайтов.
Обзор
Этот плейбук очерчивает систематический подход для инженеров SOC, чтобы расследовать потенциальные инциденты безопасности, связанные с сайтами, использованными для фишинговых атак. Он предоставляет фреймворк для сбора начальной информации, анализа сетевого трафика и формирования выводов о характере угрозы.
Сбор начальной информации об угрозе
Используйте виджет Подробности в истории, чтобы собрать основную информацию о потенциальной угрозе. Ознакомьтесь с Описание истории и другими данными, чтобы решить, требуется ли дальнейшее расследование. Кроме того, в разделе Похожие инциденты показываются другие истории, которые имеют аналогичные индикаторы и наблюдаемые.
Нажмите Сгенерировать Сводку ИИ для получения описания истории на естественном языке, которое предоставляет богатый контекст и помогает быстро оценить историю.
Используйте виджет Источник, чтобы просмотреть данные о устройстве, затронутом этой атакой.
Вы также можете использовать Каталог Индикаций для получения дополнительной информации (такой как Идентификатор Индикации) и сосредоточить расследование на основе вашего запроса.
Понимание распределения атак для фишинговой атаки
График Распределение атак может помочь понять природу трафика, периодические атаки, которые напоминают поведение ботов, одноразовое событие или другие характеристики.
Для фишинговых атак распределение трафика обычно состоит из низкого количества потоков или одноразового инцидента, график будет выглядеть примерно так:
Определение стадии фишинговой атаки
Для правильного расследования потенциальной фишинговой атаки важно сначала определить, на какой стадии была обнаружена атака. Службы безопасности Cato обнаруживают фишинговые атаки на различных стадиях:
Блокировка доступа - Cato идентифицирует конечный пункт обозревания как фишинговый сайт и блокирует доступ к сайту.
Блокировка ввода учетных данных - когда пользователь заходит на фишинговый сайт, который отображается в обозревателе, Cato может запретить пользователю вводить учетные данные.
Обнаружение после компрометации - служба Мониторинга Подозрительной Активности (SAM) может определить, когда пользователь вводит учетные данные на рискованных сайтах и создает события, оповещающие администратора о потенциальном взломе
Используйте виджет Действия по объекту, чтобы увидеть события, связанные с историей, и найти информацию для определения стадии, на которой была права атака, и была ли она заблокирована. Поле Имя угрозы может указать на то, в какой момент была обнаружена атака.
Это пример события, показывающего блокировку ввода учетных данных на фишинговом сайте с помощью IPS:
Исследование фишинговых атак на различных стадиях
После определения стадии, на которой была обнаружена потенциальная атака, следуйте шагам расследования, описанным ниже, для обнаружения на этой стадии.
Когда доступ к сайту был заблокирован
Этот раздел описывает подход для проверки, что заблокированный веб-сайт является фишинговым. Эта часть расследования сосредоточена главным образом на цели.
Цели
Раздел Цели позволяет вам изучить выявленные цели, чтобы узнать больше о их потенциальных намерениях и вероятности вредоносности цели:
Оценить оценку вредоносности Cato
Изучите популярность Cato
Рассмотрите связанные категории Cato
Просмотрите количество информационных потоков угроз, связанных с целью
Особенно важным индикатором для фишинговых атак является Дата создания домена. Если дата недавняя, более вероятно, что сайт является вредоносным.
Использование ссылок на цели для поиска внешних источников
Теперь у вас должно быть четкое представление о деятельности, зафиксированной в этой истории, ссылки на цель помогают вам проводить внешний поиск в авторитетных источниках для исторического контекста и признаков вредоносного поведения. Сопоставьте эти данные, чтобы выявить связи с другими сущностями и возможные ссылки на известных нам угрожающих акторов, кампании или техники.
Потоки, связанные с атакой
Используйте раздел Потоки, связанные с атакой, чтобы исследовать необработанные потоки данных, связанные с историей.
Анализируйте дополнительные точки данных из этих потоков, включая URL, пользовательские агенты, имена файлов и другие релевантные характеристики, и сравнивайте их с результатами предыдущего этапа расследования, чтобы раскрыть потенциальные корреляции.
Заключение
Для большинства случаев заблокированного доступа к фишинговому сайту правильной классификацией для истории будет Просмотр фишингового сайта.
Рекомендуемые действия
Проверьте у потерпевшего, была ли эта атака попыткой spear phishing и была ли она специально нацелена на него (использование частной информации и т.д.).
Если нет, убедитесь, что никакие другие сотрудники не стали жертвами одной и той же фишинг-кампании.
Если источник фишинговой попытки известен пользователю и базируется на электронной почте, смягчите атаку, используя вашу организационную платформу электронной почты для отчета и блокировки исходного адреса.
Если источник попытки фишинга неизвестен, проведите полное сканирование защиты конечных точек (антивирус, EPP, EDR и т.д.) и удалите любые неопознанные программы и расширения браузера с инфицированного устройства.
Когда ввод учетных данных был заблокирован
Этот раздел описывает подход для проверки, что была попытка ввести учетные данные на фишинговый сайт. Эта часть расследования сосредотачивается главным образом на обнаруженной цели и URL.
Цели
Раздел Цели позволяет вам изучить выявленные цели, чтобы узнать больше о их потенциальных намерениях и вероятности вредоносности цели:
Оценить оценку вредоносности Cato
Изучите популярность Cato
Рассмотрите связанные категории Cato
Просмотрите количество информационных потоков угроз, связанных с целью
Особенно важным индикатором для фишинговых атак является Дата создания домена. Если дата недавняя, более вероятно, что сайт является вредоносным.
Использование ссылок на цели для поиска внешних источников
Теперь у вас должно быть четкое представление о деятельности, зафиксированной в этой истории, ссылки на цель помогают вам проводить внешний поиск в авторитетных источниках для исторического контекста и признаков вредоносного поведения. Сопоставьте эти данные, чтобы выявить связи с другими сущностями и возможные ссылки на известных нам угрожающих акторов, кампании или техники.
Идентификация реферера
В фишинговых атаках цель, с которой первично коммуникациируют, часто не является самим вредоносным сайтом, а реферером, то есть сайтом, который содержит ссылку на вредоносный сайт. Сайт реферера появляется в разделе Потоки, связанные с атакой в столбце Реферер.
Проверка реферера через Domain Lookup
После идентификации реферера вы можете использовать Domain Lookup для исследования домена. Низкая Популярность и высокая Оценка вредоносности указывают на вредоносный домен.
Потоки, связанные с атакой
Используйте раздел Потоки, связанные с атакой, чтобы исследовать необработанные потоки данных, связанные с историей.
Анализируйте дополнительные точки данных из этих потоков, включая URL, пользовательские агенты, имена файлов и другие релевантные характеристики, и сравнивайте их с результатами предыдущего этапа расследования, чтобы раскрыть потенциальные корреляции.
Во время исследования URL важно проверить, содержит ли он какие-либо конфиденциальные данные (обратите внимание, что в многих случаях URL кодируются и их необходимо декодировать для получения доступа ко всем содержащимся данным). Мы также рекомендуем проверить внешние инструменты на наличие похожих шаблонов URL, чтобы получить дальнейшее понимание обнаруженного трафика.
Примечание: При проведении расследования рекомендуется не заходить на подозрительные фишинговые сайты.
Заключение
Для большинства случаев заблокированного ввода учетных данных на фишинговый сайт, правильной классификацией истории будет Попытка Ввода Учетных Данных.
Рекомендуемые действия
Если конфиденциальные данные утекли, измените пароль для соответствующих служб и рассмотрите возможность жесткого выхода из всех сервисов.
Убедитесь, что не были скачаны и выполнены вредоносные файлы.
Проверьте у потерпевшего, была ли эта атака попыткой spear phishing и была ли она специально нацелена на него (использование частной информации и т.д.).
Если нет, убедитесь, что никакие другие сотрудники не стали жертвами одной и той же фишинг-кампании.
Если источник фишинговой попытки известен пользователю и базируется на электронной почте, смягчите атаку, используя вашу организационную платформу электронной почты для отчета и блокировки исходного адреса.
Если источник попытки фишинга неизвестен, проведите полное сканирование защиты конечных точек (антивирус, EPP, EDR и т.д.) и удалите любые неопознанные программы и расширения браузера с инфицированного устройства.
Когда атака была обнаружена после компрометации
Этот раздел описывает подход для проверки, что были введены учетные данные на фишинговый сайт. Эта часть расследования сосредотачивается главным образом на обнаруженной цели и реферере (сайте, содержащем ссылку на вредоносный сайт).
Цели
Раздел Цели позволяет вам изучить выявленные цели, чтобы узнать больше о их потенциальных намерениях и вероятности вредоносности цели:
Оценить оценку вредоносности Cato
Изучите популярность Cato
Рассмотрите связанные категории Cato
Просмотрите количество информационных потоков угроз, связанных с целью
Особенно важным индикатором для фишинговых атак является Дата создания домена. Если дата недавняя, более вероятно, что сайт является вредоносным.
Использование ссылок на цели для поиска внешних источников
Теперь у вас должно быть четкое представление о деятельности, зафиксированной в этой истории, ссылки на цель помогают вам проводить внешний поиск в авторитетных источниках для исторического контекста и признаков вредоносного поведения. Сопоставьте эти данные, чтобы выявить связи с другими сущностями и возможные ссылки на известных нам угрожающих акторов, кампании или техники.
Идентификация реферера
В фишинговых атаках цель, с которой первично коммуникациируют, часто не является самим вредоносным сайтом, а реферером, то есть сайтом, который содержит ссылку на вредоносный сайт. Сайт реферера появляется в разделе Потоки, связанные с атакой в столбце Реферер.
Проверка реферера через Domain Lookup
После идентификации реферера вы можете использовать Domain Lookup для исследования домена. Низкая Популярность и высокая Оценка вредоносности указывают на вредоносный домен.
Потоки, связанные с атакой
Используйте раздел Потоки, связанные с атакой, чтобы исследовать необработанные потоки данных, связанные с историей.
Анализируйте дополнительные точки данных из этих потоков, включая URL, пользовательские агенты, имена файлов и другие релевантные характеристики, и сравнивайте их с результатами предыдущего этапа расследования, чтобы раскрыть потенциальные корреляции.
Во время исследования URL важно проверить, содержит ли он какие-либо конфиденциальные данные (обратите внимание, что в многих случаях URL кодируются и их необходимо декодировать для получения доступа ко всем содержащимся данным). Мы также рекомендуем проверить внешние инструменты на наличие похожих шаблонов URL, чтобы получить дальнейшее понимание обнаруженного трафика.
Примечание: При проведении расследования рекомендуется не заходить на подозрительные фишинговые сайты.
Заключение
В большинстве случаев обнаружения отправки учетных данных на фишинговый сайт, правильная классификация истории — это Отправка учетных данных.
Рекомендуемые действия
Если конфиденциальные данные утекли, измените пароль для соответствующих служб и рассмотрите возможность жесткого выхода из всех сервисов.
Убедитесь, что не были скачаны и выполнены вредоносные файлы.
Проверьте у потерпевшего, была ли эта атака попыткой spear phishing и была ли она специально нацелена на него (использование частной информации и т.д.).
Если нет, убедитесь, что никакие другие сотрудники не стали жертвами одной и той же фишинг-кампании.
Если источник фишинговой попытки известен пользователю и базируется на электронной почте, смягчите атаку, используя вашу организационную платформу электронной почты для отчета и блокировки исходного адреса.
Если источник попытки фишинга неизвестен, проведите полное сканирование защиты конечных точек (антивирус, EPP, EDR и т.д.) и удалите любые неопознанные программы и расширения браузера с инфицированного устройства.
Если обнаруженный трафик не был заблокирован, создайте правило Межсетевого экрана для блокировки цели.