Tag: extrahop

Steve Dakhe tidak tahu apa yang harus diharapkan ketika menerima panggilan mendesak dari seorang pelanggan ExtraHop setelah latihan red team yang tidak terduga. Namun, Dakhe, seorang manajer keberhasilan pelanggan di ExtraHop, tidak perlu khawatir; pelanggan tersebut menelepon untuk menjelaskan seberapa baik platform network detection and response (NDR) ExtraHop RevealX berfungsi. Menurut direktur SOC pelanggan tersebut, RevealX berhasil mendeteksi lebih dari selusin taktik dan teknik yang digunakan oleh tim red team. “RevealX terlihat seperti pohon Natal,” katanya, menunjukkan bahwa platform tersebut dapat mendeteksi “semuanya”—mulai dari pemasangan command and control (C2) beacon, pergerakan lateral, hingga penggunaan teknik living off the land, dan banyak lagi. Hari Pertama Natal, Red Team Memberiku: Serangan Rekayasa Sosial Latihan red team dimulai dengan serangan rekayasa sosial untuk melewati keamanan email organisasi. Anggota red team, berpura-pura sebagai staf TI organisasi, menelepon karyawan dan meminta mereka menginstal perangkat lunak penguji kecepatan jaringan palsu. Beberapa karyawan terperdaya dan mengunduh malware yang disamarkan sebagai perangkat lunak penguji kecepatan ke komputer mereka. Malware di komputer karyawan—yang tidak terdeteksi oleh alat keamanan endpoint perusahaan—menggunakan PowerShell dan WMIC untuk memicu peluncuran jarak jauh Cobalt Strike beacon. RevealX segera mendeteksi aktivitas tersebut. Ketika Cobalt Strike beacon berhasil membangun koneksi command and control (C2), RevealX juga mendeteksinya tanpa ragu. 12 TTP di Natal Red Team Satu per satu, RevealX terus menyala, mengungkapkan berbagai tanda aktivitas berbahaya—sebagian besar hanya dapat dideteksi pada jaringan. Aktivitas ini termasuk enumeration, pergerakan lateral, upaya terhubung ke domain Active Directory organisasi, pemindaian RDP, sesi RDP jarak jauh, koneksi RDP baru ke pengontrol domain, upaya eksploitasi Shellshock HTTP, injeksi Log4Shell, upaya transfer zona DNS, agen pengguna mencurigakan, kueri wildcard LDAP, dan eksfiltrasi data. Seminggu setelah serangan rekayasa sosial, red team bekerja sama dengan pihak dalam perusahaan untuk memasang perangkat komputasi yang tidak sah ke jaringan. Melalui perangkat ini, mereka menggunakan alat GetUserSPNs.py untuk mencoba meluncurkan serangan Kerberoasting. Namun, RevealX memberikan peringatan kepada tim keamanan mengenai upaya tersebut. Meskipun memasang perangkat baru ke jaringan bukanlah pendekatan paling halus, red team umumnya berusaha tetap tidak terdeteksi. Banyak taktik yang mereka gunakan diklasifikasikan sebagai risiko sedang oleh RevealX dan platform keamanan lainnya. Sebagai contoh, aktivitas Kerberoasting mendapat skor risiko 65 pada skala 100 poin yang digunakan dalam deteksi RevealX, di mana 100 mewakili risiko tertinggi. Pemindaian ping, taktik lain yang sering digunakan oleh red team, mendapat skor 37 pada skala risiko. Pemindaian DNS internal reverse lookup juga bernilai 37. “Salah satu aktivitas, seperti transfer DNS, mungkin tampak tidak berbahaya, tetapi bersama dengan pemindaian ping dan upaya RDP, ini mulai menumpuk,” kata direktur SOC. “Jika Anda menggabungkannya, semuanya mulai terlihat serius.” RevealX: Hadiah untuk Tim Keamanan dan Malapetaka untuk Penyerang RevealX tidak hanya bekerja dengan sangat baik secara mandiri, tetapi juga terintegrasi dengan baik ke dalam infrastruktur keamanan organisasi lainnya, menurut direktur SOC. “RevealX adalah alat yang hebat untuk mendeteksi aktivitas pasca-kompromi,” ujarnya. “Alat ini memberi kami visibilitas jaringan dan deteksi yang kami butuhkan untuk melacak dan mencegah apa yang sedang dicoba dilakukan oleh red team.”

Sejak tahun 2021, rata-rata waktu yang dibutuhkan penyerang untuk berpindah dari kompromi awal hingga pencurian data adalah 44 hari. Namun, serangan terbaru bisa selesai hanya dalam hitungan jam. Percepatan waktu ini menjadi masalah besar bagi organisasi, karena rata-rata waktu yang diperlukan untuk mendeteksi dan menangani serangan di seluruh dunia saat ini adalah 10 hari, menurut laporan M-Trends 2024 dari Mandiant. Setelah pelanggaran ditemukan, perlu dilakukan penyelidikan dan perbaikan, dan perusahaan publik harus melaporkan pelanggaran tersebut ke SEC dalam waktu empat hari setelah mengetahui dampak seriusnya. Itu adalah banyak yang harus dilakukan oleh organisasi dalam waktu singkat, dan bagi banyak organisasi, itu sangat sulit. Namun, ada data berharga yang dimiliki setiap organisasi yang dapat membantu, meskipun jarang dimanfaatkan sepenuhnya: jaringan. Nilai Jaringan dalam Keamanan Siber Biasanya, profesional keamanan lebih fokus pada tempat di mana penyerang akan berakhir, seperti perangkat akhir (endpoint), pengendali domain, basis data yang berisi informasi sensitif, dan sebagainya. Karena itu, alat deteksi dan respons titik akhir (EDR) serta SIEM adalah solusi keamanan yang paling umum digunakan. Namun, masalahnya adalah alat-alat ini hanya memberi tahu kita ketika penyerang sudah berada di dalam sistem, bukan dari mana mereka memulai, bagaimana mereka bergerak, atau sistem apa saja yang mereka sentuh dalam prosesnya. Perangkat yang tidak terkelola, seperti perangkat IoT atau laptop milik tamu atau kontraktor, tidak bisa menjalankan agen keamanan (EDR), atau Anda tidak punya izin untuk menginstalnya. Selain itu, penyerang yang lebih canggih bisa menghindari EDR, bahkan menciptakan alat untuk menghancurkan EDR itu sendiri. Meskipun log diperlukan untuk kepatuhan, SIEM yang mengumpulkannya seringkali lambat dalam menganalisis dan memprosesnya, serta sering menghasilkan banyak peringatan palsu. Penyerang juga sering menonaktifkan atau menghapus log untuk menyembunyikan aktivitas mereka. Telemetri Jaringan—yaitu menggabungkan data jaringan dengan pemantauan dan analisis paket secara lengkap—mengisi kekurangan yang ditinggalkan oleh EDR dan SIEM. Semua aktivitas harus melewati jaringan, dan lalu lintas jaringan tidak bisa diubah. Jadi, jika Anda memantau jaringan, penyerang tidak bisa bersembunyi. Mengatasi Hambatan dalam Penggunaan Data Jaringan Dulu, data jaringan hanya memberikan sebagian informasi, dengan kenyataan yang tersembunyi di dalam paket-paket yang melintasi jaringan setiap hari, dan mencoba untuk melakukan pemantauan dan analisis paket penuh (PCAP) adalah hal yang sulit dilakukan oleh banyak organisasi. Data yang terlalu banyak, perangkat yang tidak mampu menangani volume lalu lintas jaringan, serta keterbatasan dalam penyimpanan dan komputasi membuatnya hampir mustahil dilakukan. Namun, sekarang hal itu sudah tidak menjadi masalah lagi. Platform deteksi dan respons jaringan RevealX™ dari ExtraHop® membuka potensi telemetri jaringan, termasuk pemantauan paket jaringan penuh. Penyimpanan paket yang efisien mengurangi beban sumber daya, sementara algoritma AI dan pembelajaran mesin yang kuat dapat mendeteksi ancaman dan perilaku mencurigakan secara langsung—sesuatu yang tidak bisa dilakukan oleh SIEM tradisional. RevealX memberikan konteks yang lebih lengkap yang tidak bisa diberikan oleh SIEM dan EDR, seperti kapan dan di mana serangan dimulai dan bagaimana perkembangannya. Konteks ini memberi penyelidik lebih banyak waktu untuk bertindak dan memungkinkan organisasi untuk mengambil langkah-langkah pencegahan yang lebih baik. RevealX juga dapat mendekripsi lebih dari 90 protokol jaringan, aplikasi, database, dan internet, yang berarti bahkan lalu lintas yang terenkripsi pun tidak dapat menyembunyikan jejak aktivitas penyerang. Faktanya, PCAP penuh dan analisis yang diberikan oleh RevealX memungkinkan analis keamanan untuk tahu dengan pasti apakah suatu insiden perlu dilaporkan. Data yang terpecah dalam paket-paket dapat disusun kembali untuk mengungkapkan detail yang sangat mendalam. Analis dapat melihat tidak hanya bahwa suatu kueri SQL dijalankan di server tertentu, tetapi juga apakah kueri itu menghasilkan data, yang dapat menghemat banyak waktu dalam mencari tahu apakah data sensitif terpengaruh. PCAP penuh juga membantu organisasi untuk tetap tangguh saat melakukan penyelidikan pelanggaran dan perbaikan, terutama jika terkena ransomware. Biasanya, ketika organisasi menemukan ransomware, langkah pertama yang sering diambil adalah mematikan seluruh sistem untuk mencegah ransomware menyebar. Ini bisa mengganggu operasional dan menyebabkan kerugian pendapatan serta hilangnya pelanggan. Namun, dengan kemampuan untuk menangkap dan menganalisis paket secara lengkap secara real-time, organisasi dapat mengetahui sistem mana yang benar-benar terpengaruh dan memutuskan sistem mana yang perlu dimatikan dan mana yang bisa tetap berjalan untuk meminimalkan gangguan. Tidak semua solusi deteksi dan respons jaringan sama. Seperti halnya EDR hanya dapat menunjukkan apa yang terjadi di titik akhir, beberapa alat pemantauan jaringan hanya mengumpulkan metadata jaringan atau NetFlow. Data ini memang bisa membantu mendeteksi serangan, tetapi tetap saja itu belum menggambarkan keseluruhan masalah. Perbedaan antara hanya melihat metadata (seperti header paket) dan pemantauan paket penuh adalah perbedaan antara kamera lalu lintas yang hanya memberi tahu Anda bahwa mobil yang melaju kencang berwarna merah, dan kamera yang juga menangkap nomor pelat dan foto pengemudi. Metadata hanya memberi informasi sebagian yang bisa diinterpretasikan, sementara pemantauan paket penuh memberikan informasi yang pasti. Tingkat visibilitas jaringan yang diberikan oleh RevealX memberikan banyak manfaat bagi organisasi. Forrester Consulting melakukan studi yang menunjukkan hasil besar dalam produktivitas, dengan pengurangan waktu perbaikan sebesar 86%, pengurangan waktu untuk menyelesaikan ancaman sebesar 87%, dan pengurangan waktu untuk mengatasi gangguan sebesar 92%. Setiap menit sangat berharga saat terjadi serangan siber. Dengan RevealX di sisi Anda, Anda dapat memaksimalkan setiap menit dengan sebaik-baiknya.