Korzystanie z Sophos XDR Threat Intelligence Explorer

Threat Intelligence Explorer umożliwia przeszukiwanie informacji o zagrożeniach Sophos Counter Threat Unit (CTU) w Sophos Fusion (dawniej Sophos Central). Pozwala badać rodziny malware, analizy i znane grupy zagrożeń oraz porównywać opisany kontekst z detekcjami we własnym środowisku. Wpis w tej bazie wiedzy nie jest jeszcze trafieniem we własnym tenancie ani potwierdzonym naruszeniem bezpieczeństwa.

Krótka ścieżka: otwórz Security Operations > Threat Intelligence, wyszukuj przez Malware, Threat Report lub Threat Group, przeczytaj dostępne szczegóły i odróżnij Related Detections od Related Detectors. Dopiero własne zdarzenia pokazują, czy badany związek jest istotny dla konkretnej sprawy.

Wymagania i ograniczenia

Explorer wymaga licencji XDR lub Enterprise. Ta procedura opisuje widok Security Operations. Threat Analysis Center pozostaje dostępny jako widok Classic; istniejące runbooki dochodzeń i spraw mogą więc nadal pokazywać tę ścieżkę menu. Nie należy mieszać etykiet obu widoków.

CTU aktualizuje swoje informacje na podstawie dochodzeń Incident Response, globalnej obserwacji zagrożeń, analiz technicznych malware i kampanii oraz współpracy z partnerami i organami publicznymi. Te informacje opisują sytuację zagrożeń; detekcje i zdarzenia w tenancie opisują własną zaobserwowaną aktywność. Dochodzenie wymaga obu poziomów.

Ważne są trzy pojęcia:

Indicator of Compromise (IOC) to na przykład wskazówka możliwego naruszenia bezpieczeństwa wymieniona w analizie. Jej znaczenie ocenia się wraz z czasem, pochodzeniem i zaobserwowanym zachowaniem.
Detector to logika wykrywania tworząca detekcję na podstawie nietypowych lub podejrzanych zdarzeń. Powiązany Detector nie jest tym samym co istniejące już trafienie.
Tactics, Techniques and Procedures (TTPs) opisują sposób działania atakującego. Podobne TTPs lub ta sama rodzina malware nie dowodzą, że określona grupa zaatakowała własny tenant.

Explorer jest tutaj punktem wejścia do analizy i dochodzenia. Czytanie lub filtrowanie rodziny malware nie jest traktowane jako konfiguracja feedu zagrożeń firewalla, reguły blokowania ani działania reakcji.

Wyszukiwanie przed zawężaniem wyników

Pasek wyszukiwania w prawym górnym rogu przeszukuje Malware, Threat Reports i Threat Groups. Punktem wyjścia może być pojęcie z detekcji lub raportu, na przykład Emotet. To tylko przykład wyszukiwania; użyj nazwy faktycznie objętej dochodzeniem.

W Security Operations > Threat Intelligence otwórz jeden z trzech widoków i wpisz wyszukiwane hasło.
Wybierz konkretne trafienie, aby zobaczyć jego szczegóły. Jeśli chcesz najpierw porównać listę trafień, wybierz View in table lub See all. Odpowiednia tabela zostanie przefiltrowana do wyników wyszukiwania.
Dopiero potem ustaw dodatkowe filtry. Dzięki temu będzie widać, czy wąski filtr wykluczył przydatne wyniki.
Aby rozpocząć inną analizę, kliknij X po prawej stronie pola wyszukiwania. Usuwa ono wyszukiwanie i resetuje również filtry tabeli. Wcześniej zapisz ważne hasła i filtry w dzienniku dochodzenia.

Kilka filtrów ma sens, jeśli odpowiadają na konkretne pytanie. Znana nazwa malware wraz z CVE oznacza inne wyszukiwanie niż najnowsze raporty ransomware dla określonej branży. Zbyt wiele kryteriów na początku utrudnia interpretację pustej listy.

Analiza rodziny malware

Malware zawiera analizy techniczne, IOC i związki z podmiotami stanowiącymi zagrożenie. Domyślnie tabela jest sortowana najpierw według Threat Priority nadanego przez CTU ważnym lub aktualnym zagrożeniom, a następnie według ostatniej aktualizacji. To priorytetyzacja informacji o zagrożeniach, a nie Severity własnej detekcji.

Udokumentowane filtry mają różne zadania:

Malware wyszukuje nazwę rodziny, na przykład Emotet lub TrickBot.
Type zawęża klasyfikację, na przykład Trojan, Ransomware lub Backdoor.
Threat Group wyszukuje malware powiązane z konkretną grupą, na przykład GOLD MYSTIC lub BRONZE BUTLER.
CVE wyszukuje malware wykorzystujące określoną podatność. Przykładowo użyj CVE-2021-44228, jeśli właśnie ta podatność jest przedmiotem dochodzenia. Filtr nie zastępuje sprawdzenia, czy własne systemy faktycznie są nią dotknięte.

Kliknięcie nazwy rodziny otwiera boczny panel szczegółów. Najpierw przeczytaj Malware family overview, zawierający opis i klasyfikację, a następnie Technical details, opisujący zachowanie, możliwości i wskaźniki. Solution and mitigation zawiera zalecane środki ochrony. Zalecenia porównuje się z własną platformą i istniejącą ochroną, a nie wdraża wyłącznie na podstawie trafienia w wyszukiwaniu.

Powiązane informacje są dostępne, o ile występują, na oddzielnych kartach:

Threat Group wymienia grupy używające tego malware.
Threat Report prowadzi do powiązanych raportów CTU.
Related Detections pokazuje dane detekcji z własnego środowiska.
Related Detectors pokazuje detektory Sophos XDR wykrywające to malware.

Ikona New Tab otwiera widok szczegółów w nowej karcie. Można stamtąd skopiować URL i użyć go jako dokładnego odwołania w dzienniku dochodzenia. Jest to bardziej przydatne niż sama nazwa rodziny, gdy kilku analityków ma sprawdzić ten sam wpis.

Wybór Threat Report dla konkretnego pytania

Threat Report zawiera publikacje CTU, takie jak codzienne briefingi, pogłębione analizy i ostrzeżenia o zagrożeniach. Dla konkretnej detekcji najpierw wyszukaj malware, grupę lub CVE; do regularnego przeglądu sytuacji przydatne są temat i rodzaj publikacji.

Filtry rozróżniają treść i formę publikacji:

Threat Report wyszukuje nazwę raportu, na przykład Daily Threat Brief lub Ransomware Analysis.
Report Type to ogólna kategoria publikacji, na przykład Advisory, Analysis lub Brief.
Category oznacza bardziej szczegółowy rodzaj, na przykład Customer Advisory, Threat Analysis lub CTU TIPS.
Threat Type zawęża omawiane zagrożenia, na przykład Ransomware, APT lub Cybercrime.
Threat Actor Type rozróżnia typy podmiotów, takie jak Nation-state, Cybercriminal lub Hacktivist.
Target Geography wyszukuje obszar geograficzny, na przykład Europe lub Global.
Target Sectors zawęża omawiane branże, na przykład Financial, Healthcare lub Government.
Threat Group, Malware i CVE wyszukują odpowiednio grupy, rodziny malware i podatności omawiane w raporcie.

Target Geography i Target Sectors pomagają w priorytetyzacji, ale nie są kryteriami wykluczającymi własne ryzyko. Ataki oportunistyczne mogą dotknąć każdej lokalizacji i branży, nawet bez określonych preferencji celu. Przegląd sytuacji nie powinien więc ograniczać się wyłącznie do własnej branży.

Kliknij nazwę raportu i przeczytaj panel szczegółów. W zależności od raportu dostępne są Full report text, Executive summary, Technical details i Indicators of compromise. Nie każda publikacja zawiera wszystkie te obszary. Indicators of compromise może zawierać powiązane IOC i sygnatury. Podsumowanie pomaga się zorientować; w dochodzeniu decydują konkretne informacje techniczne i ich ograniczenia.

Jeśli są dostępne, Related Detections pokazuje własne detekcje, a Related Detectors detektory XDR wymienione w raporcie. Również tutaj dostępna logika wykrywania i zaobserwowane trafienie w tenancie są dwiema różnymi informacjami. Przez New Tab otwórz pełny raport i w razie potrzeby skopiuj jego URL do sprawy.

Threat Group jako hipoteza robocza

Threat Group opisuje znane grupy zagrożeń i ich TTPs. Ten widok przydaje się, gdy raport wymienia grupę, trzeba rozpoznać znany alias albo ocenić własną ochronę przed określonymi sposobami działania.

Filtry obejmują tożsamość, zamiary i metody:

Threat Group wyszukuje nazwę grupy, na przykład GOLD MYSTIC lub BRONZE ATLAS.
Thematic Area zawęża kontekst tematyczny lub regionalny, na przykład Cybercrime, China lub Russia.
Aliases wyszukuje alternatywne nazwy, takie jak APT1, Lazarus Group lub FIN7.
Status rozróżnia aktualny stan aktywności, na przykład Active i Inactive.
Motivation opisuje motywy, takie jak Financial, Political lub Military.
Objectives opisuje cele, takie jak Financial Gain, Espionage lub Disruption.
Target Geography i Target Sectors wyszukują geograficzne lub branżowe wzorce wyboru celów.
Malware wyszukuje powiązane rodziny, a Tools używane narzędzia i techniki, na przykład PowerShell, Mimikatz lub PsExec.

Również grupy bez określonych preferencji celu mogą zaatakować własny region lub branżę. Pusta lista po zastosowaniu filtra branży nie oznacza więc braku zagrożenia.

Po kliknięciu nazwy grupy panel szczegółów zawiera Group description z tłem i oceną możliwości, Attribution assessment z przypisaniem geograficznym lub organizacyjnym, Activity timeline z kampaniami i operacjami oraz analizę Tactics, Techniques, and Procedures. New Tab otwiera szczegóły z bezpośrednim odwołaniem, które można skopiować.

Attribution assessment pozostaje oceną CTU. Nie dowodzi ani sprawstwa własnego incydentu, ani tego, że każde użycie tego samego malware należy do tej grupy. W sprawie warto więc zapisać na przykład „Zachowanie odpowiada opisanym technikom” i oddzielnie udokumentować, które własne zdarzenia wspierają tę ocenę. Jednoznaczne przypisanie sprawcy wymaga więcej dowodów niż trafienie nazwy, narzędzia lub malware.

Od wpisu Intelligence do detekcji i sprawy

Threat Intelligence automatycznie wzbogaca detekcje odpowiednim kontekstem; wiele detektorów XDR wykorzystuje te dane do wykrywania. Nie gwarantuje to wykrycia każdej opisanej techniki w każdym tenancie. Dochodzenie wraca więc od kontekstu do rzeczywistych zdarzeń.

Weryfikacja własnych detekcji

Jeśli Related Detections zawiera trafienia, otwórz odpowiednie i przez New Tab zobacz pełne szczegóły detekcji. Alternatywnie wyszukaj w Security Operations > Detections. Domyślny przedział czasu wynosi tam 72 godziny; dla starszego incydentu trzeba go dostosować. Sprawdź filtry i Include Options, aby nie wykluczyć przypadkowo detekcji niestandardowych lub już poddanych triage.

W detekcji sprawdź:

Na Summary przeczytaj Affected Entities, wyzwalający Detector, dostępne czasy oraz Severity i Confidence. First and Last Activity opisuje czasy zdarzeń; Inserted At oznacza czas zapisu.
Na Events otwórz zdarzenia, które doprowadziły do detekcji. Na JSON w razie potrzeby sprawdź dane leżące u jej podstaw. Podsumowanie nie zastępuje tych dowodów.
Na Insights sprawdź powiązane otwarte i zamknięte detekcje oraz sprawy. Istniejące sprawy mogą zapobiec powielaniu pracy; zamknięte dostarczają historycznego kontekstu dochodzenia.
Aby uzyskać dodatkowe informacje o zagrożeniach, kliknij ikonę tarczy w Affected Entities albo na Entities wybierz encję z tą ikoną. Przejście od detekcji do Intelligence działa więc również w przeciwnym kierunku.

Do pogłębionej analizy procesów endpointów i grafów służy Runbook detekcji i Threat Graphs. Obejmuje również widok Classic. Brak własnych detekcji we wpisie Intelligence nie dowodzi ani bezpiecznego tenanta, ani kompletnej telemetrii. Jeśli potrzebne są dodatkowe zapytania, Runbook Data Collection i Live Discover wyjaśnia podstawę danych i klasyczny proces zapytań.

Przekazanie właściwych dowodów do sprawy

Przed dodaniem sprawdź, czy istnieje już sprawa dotycząca tego samego dochodzenia i czy można ją edytować. Sprawy ze statusem Closed są tylko do odczytu, z wyjątkiem Status i Archive; sprawy zarchiwizowane pozwalają tylko na Unarchive. Używaj ich najpierw jako kontekstu historycznego, a nie jako z założenia edytowalnego celu dla nowych dowodów, komentarzy czy ponownego przypisania. W sprawach MDR dostępne działania i opcje Assignee zależą również od tego, kto zarządza sprawą. Przed zmianą sprawdź faktycznie dostępne działania i wyjaśnij brakujące możliwości z odpowiedzialną osobą.

Przy przekazywaniu rozróżnij akcję tabeli i pełne szczegóły detekcji. Oficjalne instrukcje nie stosują konsekwentnie tych samych etykiet w widoku szczegółów; nie ma więc tutaj wiarygodnie potwierdzonej uniwersalnej ścieżki menu dla każdego widoku:

Zaznaczone wiersze w tabeli Detections: wybierz żądane detekcje i otwórz Actions > Add to Case.
Pełne szczegóły detekcji: instrukcja szczegółów wymienia w Actions bezpośrednie akcje Add to Existing Case i Create New Case. Instrukcja spraw opisuje natomiast dla pojedynczych detekcji Actions > Add to Case, a następnie wybór Existing Case lub New Case. Użyj faktycznie wyświetlanej akcji dla istniejącej lub nowej sprawy; nie szukaj etykiety, której nie ma w tym widoku.

Jeśli wyświetlone zostanie okno Add to Case, obowiązują poniższe kroki:

Dla istniejącej sprawy wybierz Existing Case, wyszukaj i wybierz sprawę, a następnie zapisz przez Save to Existing Case.
Dla nowej sprawy wybierz New Case, ustaw Case Type, opcjonalnie szablon, tytuł, Case Severity i Case Status. Ikoną ołówka przy Key Findings dodaj pierwsze ustalenia i kontekst, a następnie wybierz Create New Case.

Przy wyborze wielu pozycji sprawdź, czy dodawane są tylko zaznaczone detekcje, czy wszystkie z tabeli. Nie przejmuj bez weryfikacji całej listy wyników. Pojawienie się dowodów w sprawie może potrwać kilka minut; następnie otwórz sprawę docelową i sprawdź faktyczne przypisanie.

Dla klientów MDR typy spraw Investigation i Other wymagają dodatkowo Managed By. Ten wybór określa, kto zarządza sprawą, i po ustawieniu nie można go zmienić. Przed zapisaniem porównaj go z planowaną odpowiedzialnością. Późniejsza zmiana Assignee nie zmienia Managed By.

W edytowalnej sprawie zapisz skopiowany URL Intelligence i konkretnie wykorzystane stwierdzenia jako kontekst dochodzenia, na przykład w Key Findings lub, jeśli ta możliwość jest dostępna, jako komentarz na pełnej stronie szczegółów sprawy przez Comments > Comment > Save. Oddzielnie nazwij wyniki analizy i dowody z tenanta: co mówi raport, co pokazują własne zdarzenia, a co pozostaje hipotezą? Sam URL nie zachowuje treści analizy, która może zostać później zaktualizowana; dlatego w notatce zapisz istotne stwierdzenie i czas.

Istniejący przewodnik spraw i reguł detekcji opisuje proces klasyczny. Dla Security Operations uwzględnij wyjaśnione powyżej warianty etykiet i działania wyświetlane w tenancie. Sam Explorer nie zastępuje odpowiedzialnego analityka ani decyzji o ograniczeniu incydentu lub usunięciu jego skutków.

Przykład: analiza wskazówki malware z zachowaniem ścieżki dowodowej

Załóżmy, że własna detekcja wymienia rodzinę malware, której jeszcze nie znasz wystarczająco dobrze. Poniższy przykład nie stwierdza istnienia trafienia:

Wyszukaj faktyczną nazwę rodziny; Emotet to tylko przykład. Nie wybieraj od razu dodatkowo branży ani grupy.
Przeczytaj opis, szczegóły techniczne i zalecenia ochrony. W Threat Report sprawdź dostępny raport dotyczący zaobserwowanego zachowania.
W Related Detections wyszukaj własne trafienia. Każde istotne trafienie porównaj z urządzeniem lub encją, czasem zdarzenia i konkretnymi zdarzeniami. W Related Detectors sprawdź, jaka logika wykrywania jest powiązana z kontekstem.
Jeśli wymieniono grupę, porównaj jej TTPs i oś czasu aktywności. Pozostaw przypisanie sprawcy jako ocenę, nawet jeśli pojedyncze cechy się zgadzają.
Przypisz odpowiednie detekcje do istniejącej lub nowej sprawy. Zapisz w niej: badany wpis Intelligence, czas analizy, hasła i filtry, odwołania do własnych detekcji, potwierdzone podobieństwa, otwarte pytania i kolejną osobę odpowiedzialną.

Przydatnym wynikiem może być również ustalenie, że raport dostarcza jedynie ogólnego podobieństwa. Wtedy udokumentuj tę granicę, zamiast wywodzić z niej naruszenie bezpieczeństwa lub konkretnego atakującego.

Kontrola wyniku i rozwiązywanie typowych trudności

Analizę można odtworzyć, jeśli inny analityk potrafi otworzyć ten sam wpis Intelligence, zrozumieć użyte filtry i powiązać każdy wniosek z własnymi danymi detekcji i zdarzeń. Przy przekazaniu do sprawy dodatkowo sprawdź, czy właściwe detekcje znajdują się we właściwej sprawie i czy następne działanie przypisano odpowiedzialnej osobie. Jeśli sprawa jest edytowalna i akcja dostępna, tę osobę można wybrać w pełnych szczegółach sprawy w Manage Case > Assignee.

Jeśli wyniki nie pasują, pomocne są poniższe kontrole:

Brak wyników wyszukiwania: sprawdź pisownię, a dla grup Aliases. Usuń dodatkowe filtry; przez X w polu wyszukiwania zresetuj wyszukiwanie wraz z filtrami tabeli i zacznij ponownie szerzej. Samo puste wyszukiwanie nic nie mówi o ryzyku środowiska.
Zbyt wiele trafień: dodaj merytorycznie właściwą cechę, na przykład Type dla malware albo Report Type i Threat Type dla raportów. W Detections dodatkowo zawęź czas. Tabela Detections jest ograniczona do 10'000 wyników; zagregowane wyniki filtrów sięgają najwyżej 1'000. Szeroki widok nie jest więc kompletną inwentaryzacją.
Raport bez oczekiwanych IOC lub kart: dostępna treść zależy od raportu. Przeczytaj pełny tekst i dostępne powiązane informacje, nie zakładając brakujących treści ani określonego pokrycia.
Detektory istnieją, ale brak własnych trafień: oddziel kontekst detektora od zaobserwowanej detekcji. Sprawdź czas, filtry i telemetrię dostępną dla dochodzenia. Nie uruchamiaj malware ani nie wyłączaj ochrony w celu testu.
Explorer niedostępny: najpierw sprawdź licencję XDR/Enterprise i używany tenant. Jeśli brakuje nowej nawigacji, sprawdź w konsoli powiadomienia o przejściu; nie wnioskuj o technicznym błędzie produktu z brakującego menu.
Dowody w sprawie jeszcze niewidoczne: poczekaj kilka minut na przetwarzanie, a następnie ponownie sprawdź wybór i sprawę docelową. Nie twórz od razu drugiej sprawy.

Wyszukiwanie i filtry służą tutaj wyłącznie analizie; do ponownego rozpoczęcia wystarczy opisany reset. Dodanie dowodów lub komentarzy, a szczególnie niezmienny wybór Managed By, są natomiast zmianami sprawy. Ten runbook nie przewiduje dla nich ogólnego kroku cofnięcia. Błędne przypisania trzeba wyjaśnić i udokumentować z osobą odpowiedzialną za sprawę. Nie zamykaj spraw jako czynności porządkowej: zamknięcie zmienia również oceny powiązanych detekcji.

W bieżącej eksploatacji regularnie sprawdzaj nowe wpisy malware, aktywności grup i raporty. Filtry branżowe mogą ukierunkować przegląd sytuacji, ale powinny uzupełniać przegląd ogólny. Ustalenia powinny trafiać do procesu Incident Response; TTPs grup przydają się do modelowania zagrożeń, a analizy malware do planowania i weryfikacji własnych środków ochrony. Nowe informacje są powodem ponownej oceny, a nie automatycznym dowodem konieczności zmiany konfiguracji.