Техника на mitre.org

T1046: Изучение сетевых служб

Злоумышленники могут попытаться получить список служб, запущенных на удаленных узлах и устройствах локальной сетевой инфраструктуры, которые могут содержать уязвимости, доступные для удаленной эксплуатации. Для получения такой информации обычно используется сканирование портов и (или) уязвимостей с помощью инструментов, внедряемых в систему.

В облачных средах злоумышленники могут попытаться определить, какие службы работают на других облачных узлах. Кроме того, если облачная среда подключена к локальной среде, злоумышленники могут также определить, какие службы работают в необлачных системах.

В среде macOS злоумышленники могут использовать встроенное приложение Bonjour для обнаружения служб, работающих на других хостах под управлением macOS в сети. Демон Bonjour mDNSResponder автоматически регистрирует службы хоста и анонсирует зарегистрированные службы в сети. Например, злоумышленники могут использовать запрос mDNS (такой как dns-sd -B _ssh._tcp .), чтобы найти другие системы, анонсирующие службу ssh.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

unix_mitre_attck_command_and_control: PT-CR-2639: Unix_Possible_GS_Netcat_Usage: Попытка подключиться к внешнему узлу на порт назначения 443. Это может быть признаком использования утилиты gs-netcat для сетевой разведки, получения доступа к локальным ресурсам или перемещения внутри периметра netflow: PT-CR-2903: Netflow_UDP_Stealth_Port_Scan: Cкрытое UDP-сканирование: множество сетевых потоков отправлено по UDP-протоколу с одного порта одного узла на разные порты другого узла netflow: PT-CR-2913: Netflow_TCP_Reset_Flag: Отправлен TCP-пакет с установленным флагом RST (Reset). Такие пакеты отправляются при разрыве или возникновении проблем с TCP-соединением, а также когда порт закрыт или недоступен. Если закрытыми или недоступными оказываются несколько портов, это признак сканирования сети netflow: PT-CR-2906: Netflow_TCP_Stealth_Port_Scan: Cкрытое TCP-сканирование: множество сетевых потоков отправлено по TCP-протоколу с одного порта одного узла на разные порты другого узла netflow: PT-CR-2918: Netflow_Host_Scan: Узел просканирован по протоколу UDP или TCP netflow: PT-CR-2911: Netflow_UDP_TCP_Network_Scan: Узел просканировал один TCP- или UDP-порт на разных узлах сети. Если сканирование производилось по протоколу TCP, открытый порт отправит пакет с флагами ACK и SYN на узел, с которого производилось сканирование netflow: PT-CR-2920: Netflow_SMB_Anomaly: Подозрительный SMB-трафик c узла, не являющегося контроллером домена, маршрутизатором или коммутатором. Злоумышленники могут использовать протокол SMB для дальнейшего проникновения в сеть и получения доступа к конфиденциальным данным netflow: PT-CR-2908: Netflow_ICMP_SCTP_Ping_Scan: Пинг-сканирование по протоколу ICMP или SCTP. Пинг-сканирование — это способ разведки на ранних этапах подготовки к атаке. В отличие от обычного сканирования, пинг-сканирование ограничивается поиском любого доступного узла в инфраструктуре netflow: PT-CR-2917: Netflow_Flow_Deny: Потоки данных заблокированы межсетевым экраном. Это может быть признаком сканирования сети postgresql_database: PT-CR-1834: PostgreSQL_Port_Scan: Злоумышленник может сканировать внутренние узлы инфраструктуры с помощью штатных функций базы данных hacking_tools: PT-CR-2244: SOAPHound_Usage: Использована утилита SOAPHound, предназначенная для сбора данных Active Directory через протокол веб-служб Active Directory (ADWS) hacking_tools: PT-CR-2118: AdPEAS_Usage: Запущен сценарий adPEAS для разведки в домене unix_mitre_attck_discovery: PT-CR-1789: Unix_MsLDAPDump_Usage: Злоумышленники могут выгружать информацию из AD и использовать ее для развития атаки active_directory_certificate_services_attacks: PT-CR-828: ADCS_Recon: Выполнен LDAP-запрос на поиск в сети серверов сертификатов. Злоумышленники могут использовать AD CS для кражи учетных данных и закрепления в системе mitre_attck_discovery: PT-CR-590: Port_Scan_From_Localnet_To_Different_Hosts: Обнаружена попытка просканировать множество портов нескольких узлов mitre_attck_discovery: PT-CR-326: Network_Service_Discovery_From_Localnet: Обнаружена попытка просканировать определенные порты (22, 21, 23, 135, 445, 1433, 1434, 3306, 3389, 5800, 5900, 5958, 5986) нескольких узлов mitre_attck_discovery: PT-CR-327: Port_Scan_From_Localnet_To_Single_Host: Обнаружена попытка получить список открытых портов узла mitre_attck_command_and_control: PT-CR-428: Possible_Network_Local_Tunnel: Попытка подключиться к удаленному узлу через туннель. Это может быть признаком использования туннеля для сетевой разведки, получения доступа к локальным ресурсам или перемещения внутри периметра network_devices_compromise: PT-CR-573: MikroTik_Winbox_Untrusted_Connection: Обнаружена попытка подключения к устройству MikroTik с помощью утилиты WinBox с недоверенного узла network_devices_compromise: PT-CR-569: CheckPoint_SmartConsole_Attempt_To_Connect: Обнаружена попытка подключения с помощью утилиты CheckPoint SmartConsole с недоверенного узла

Способы обнаружения

ID	DS0017	Источник и компонент данных	Команда: Выполнение команд	Описание	Отслеживайте выполнение команд с аргументами, с помощью которых можно получить список служб на удаленных узлах, включая те, которые содержат уязвимости с возможностью удаленной эксплуатации.

ID	DS0029	Источник и компонент данных	Сетевой трафик: Поток сетевого трафика	Описание	Отслеживайте необычные потоки сетевых данных. Процессы, которые взаимодействуют с сетью, хотя обычно этого не делают или вам незнакомы, следует считать подозрительными. Следует отметить, что при сканировании узлов, портов или служб с зараженного компьютера он отправляет множество запросов к другим узлам в сети, чтобы найти активные узлы и службы. После компрометации первого компьютера злоумышленники обычно пытаются переместиться дальше по сети. При попытке перемещения по периметру системы первыми действиями злоумышленников часто являются идентификация узлов, сканирование портов и служб во внутренней сети; эти действия выполняются со скомпрометированного компьютера с помощью таких инструментов, как Nmap и Cobalt Strike. Примечание. Следует отметить, что при сканировании узлов, портов или служб с зараженного компьютера он отправляет множество запросов к другим узлам в сети, чтобы найти активные узлы и службы. Это можно определить с помощью следующего запроса. Аналитика 1. Обнаружение действий по сканированию портов `sourcetype='firewall_logs' dest_ip='internal_subnet' \| stats dc(dest_port) as pcount by src_ip \| where pcount >5`

ID	DS0025	Источник и компонент данных	Облачная служба: Получение списка облачных служб	Описание	В ходе атаки на облачные системы и службы, вероятно, будут использоваться техники изучения облачных служб. Рекомендуется рассматривать события с данными не обособленно, а как элементы цепочки, за которыми могут последовать те или иные дальнейшие действия злоумышленников, например перемещение внутри периметра, в зависимости от собранной ими информации. В некоторых средах системные и сетевые события, связанные с безопасными действиями, но похожие на изучение облачных служб злоумышленниками, могут встречаться редко. Отслеживайте нетипичное поведение, связанное с использованием облачных служб, которое может свидетельствовать о присутствии злоумышленников в среде.

ID	Источник и компонент данных	Описание
DS0017	Команда: Выполнение команд	Отслеживайте выполнение команд с аргументами, с помощью которых можно получить список служб на удаленных узлах, включая те, которые содержат уязвимости с возможностью удаленной эксплуатации.
DS0029	Сетевой трафик: Поток сетевого трафика	Отслеживайте необычные потоки сетевых данных. Процессы, которые взаимодействуют с сетью, хотя обычно этого не делают или вам незнакомы, следует считать подозрительными. Следует отметить, что при сканировании узлов, портов или служб с зараженного компьютера он отправляет множество запросов к другим узлам в сети, чтобы найти активные узлы и службы. После компрометации первого компьютера злоумышленники обычно пытаются переместиться дальше по сети. При попытке перемещения по периметру системы первыми действиями злоумышленников часто являются идентификация узлов, сканирование портов и служб во внутренней сети; эти действия выполняются со скомпрометированного компьютера с помощью таких инструментов, как Nmap и Cobalt Strike. Примечание. Следует отметить, что при сканировании узлов, портов или служб с зараженного компьютера он отправляет множество запросов к другим узлам в сети, чтобы найти активные узлы и службы. Это можно определить с помощью следующего запроса. Аналитика 1. Обнаружение действий по сканированию портов `sourcetype='firewall_logs' dest_ip='internal_subnet' \| stats dc(dest_port) as pcount by src_ip \| where pcount >5`
DS0025	Облачная служба: Получение списка облачных служб	В ходе атаки на облачные системы и службы, вероятно, будут использоваться техники изучения облачных служб. Рекомендуется рассматривать события с данными не обособленно, а как элементы цепочки, за которыми могут последовать те или иные дальнейшие действия злоумышленников, например перемещение внутри периметра, в зависимости от собранной ими информации. В некоторых средах системные и сетевые события, связанные с безопасными действиями, но похожие на изучение облачных служб злоумышленниками, могут встречаться редко. Отслеживайте нетипичное поведение, связанное с использованием облачных служб, которое может свидетельствовать о присутствии злоумышленников в среде.

Меры противодействия

ID	M1031	Название	Предотвращение сетевых вторжений	Описание	Используйте системы обнаружения и предотвращения сетевых вторжений для обнаружения и предотвращения удаленного сканирования служб.

ID	M1030	Название	Сегментация сети	Описание	Обеспечьте правильную сегментацию сети для защиты критически важных серверов и устройств.

ID	M1042	Название	Отключение или удаление компонента или программы	Описание	Закройте ненужные порты и службы, чтобы предотвратить риск обнаружения и потенциальной эксплуатации.

ID	Название	Описание
M1031	Предотвращение сетевых вторжений	Используйте системы обнаружения и предотвращения сетевых вторжений для обнаружения и предотвращения удаленного сканирования служб.
M1030	Сегментация сети	Обеспечьте правильную сегментацию сети для защиты критически важных серверов и устройств.
M1042	Отключение или удаление компонента или программы	Закройте ненужные порты и службы, чтобы предотвратить риск обнаружения и потенциальной эксплуатации.