一起APT对抗中的深度智能入侵检测算法
2023-7-16 09:36:10 Author: mp.weixin.qq.com(查看原文) 阅读量:2 收藏

背景

2023年7月11日,微软安全博客上公布了一个技术分析报告:

一个叫Storm-0058的黑客组织入侵了它多个客户的邮箱,微软及时进行了处置。这个事件是由它的一个客户在6月16号进行的上报。

攻击方式

微软调查发现:

2023年5月15号,这个组织就已经成功获取了微软多个企业客户的邮箱权限,累计有25个企业客户受影响,包括政府部门的。

也就是说,从被入侵到被发现,中间持续了一个多月

攻击方式:

攻击者获取到一个Microsft account comsumer signing key。之后使用了这个key派发认证token来访问用户邮箱。

从后续描述看,这应该是微软云管理侧的一个大key。而不是针对每个客户的那种key。

理论上讲,微软consumer signing key跟企业自身AD的管理key的权限应该是隔离的。consumer signing key不应该具备访问企业AD的权限。攻击者找到了一个token验证的漏洞。完成了此次操作。

这个攻击路径,一看就只能直呼牛牛牛!

如何检测

好了,这么牛的攻击到底是哪个客户发现的?毕竟这个攻击连微软自己都没发现。

cisa的官网公布了一个公告:

美国联邦民事行政部门(FCEB)发现了这次可疑攻击。

2023年6月的某天,FCEB某部门发现微软的Audit日志里面,出现了一条可疑记录。

有异常的AppId和ClientAppId执行了MailItemAccessed

整篇文章的精华就是这一句。

说的更直白点,FCEB建立了一个Outlook行为基线。尤其是MailItemAccessed事件。从而发现了微软这么牛逼都没发现的APT攻击事件

这里没有神秘的深度神经网络。

只有基线,异常。

重剑无锋,大巧不工。

就是这么平平无奇的检测策略,发现了这么牛逼的APT攻击。

启发

对于APT检测而言,智能检测算法不需要那么牛逼。

但需要你

1. 日志。首先要有日志。如果你连日志都没有,你谈智能算法,深度神经网络,大模型。那只能说,你神经啊?需要的是合格的日志。当你有合格的日志进来,知道采集哪些日志,哪些因子,你就已经成功了百分之二十五。

2. 基线。基线的意思是,你需要通过治理手段将访问行为规范化。只允许特定的应用,特定的账户做特定的操作。只允许特定的服务器访问公网。这些都是常见的治理方式。这个事情对整体的成功要贡献百分之二十五。

3.  检测策略或者算法。这个占比只占百分之二十。

4.  剩下百分之三十是运营处置。即使你发现的这些异常,你直接miss了,也是一个悲剧。

这里FCEB的人很牛逼,运营发现后,立马进行上报。微软也展现了一流响应处置能力。除了定性,还具备吊销key的能力,这种线上大key,说处置就处置。还没引起故障

平行空间里,可能有个FCEB的人看到后,默默选择了忽略该告警。

另一个平行空间里,FCEB的人上报了,但是微软没调查出结果。

还有个哪些平行空间,大家都可以脑补。

我现在比较关注后续对微软有没有啥处罚。

在我看来,这是一起非常优秀的范例。

其中既涉及到的包括检测响应这种技术方面的事情,又展示了FCEB 微软 cisa FBI的合作案例。同时这起案例里面还给出了,对企业的技术指导,包括开启哪些日志,如何建立基线等。

概述下,美国要求重点企业开启以下配置

参见:

https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project

这些对甲方都很有价值和意义。


文章来源: https://mp.weixin.qq.com/s?__biz=MzI1MjQwMTAyOQ==&mid=2247483848&idx=1&sn=908e96a80792f809da54b99aab8d3889&chksm=e9e50522de928c34f3909613cb2f653963ff9b07ad2840456864d075baa9bfa79bd216ada05e&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh