Fortgale Threat Hunting

Il Threat Hunting è un'attività di ricerca proattiva delle minacce non visibili attraverso il comune monitoraggio dato da Antivirus, EDR o SIEM. Lo scopo di questa attività è rilevare tattiche e tecniche sofisticate di Evasion, Discovery, Persistenza, Esecuzione, Comando E Controllo.


Con il passare del tempo le tecnologie degli attaccanti diventano sempre più avanzate sia nell'elusione dei rilevamenti sia nel movimento all'interno dell'infrastruttura target. Per questo Fortgale mette in campo svariate attività di Threat Hunting per identificare sul nascere un possibile comportamento sospetto.

contatti Scopri Fortgale

Threat Hunting – Esecuzione

Alias: PowerHunt

Sulla base della telemetria degli Endpoint viene eseguito un controllo sugli script Powershell eseguiti che contengono comandi associati ad attività sospette. 

Fonti:

FORTGALE MITRE

ESEMPI

powershell.exe –ep Bypass “& {Get-Content . malware.ps2 | iex}

TORNA SU

ESEMPI

net user username password domain

Get-WmiObject -Namespace rootsecuritycenter2 -Class antivirusproduct

TORNA SU

Threat Hunting – Discovery

Alias: D-Hunter

Vengono eseguiti controlli sui comandi che permettono l’enumerazione di utenti, di processi, dei privilegi e la creazione di account. Vengono applicate le stesse logiche per il monitoraggio di ambienti AD e Azure AD.

Fonti:

FORTGALE MITRE

Threat Hunting – Comando & Controllo

Alias: C2Hunt

Viene effettuato un controllo sul traffico dns delle applicazioni che comunicano con domini noti utilizzati per attività offensive come i servizi API di Github.

Fonti:

FORTGALE MITRE

ESEMPI

Malleable C2

TORNA SU

ESEMPI

New-ScheduledTaskAction -Execute ‘pwsh.exe’ -Argument ‘-NonInteractive -NoLogo -NoProfile -File “C:MyScript.ps1″‘

sc.exe \myserver create NewService binpath= c:windowsPayload.exe

TORNA SU

Threat Hunting – Persistence

Alias: D-Hunter

Viene eseguito il monitoraggio costante di creazione di metodi di persistenza sul sistema, tecnica che permette di avere accesso all’endpoint compromesso dopo riavvio/chiusura processo.

Fonti:

FORTGALE MITRE