شکار حرکت جانبی با همبستگی هویت، شبکه و Endpoint

مفاهیم و تکنیک‌های حرکت جانبی

حرکت جانبی (Lateral Movement) به مجموعه اقداماتی گفته می‌شود که مهاجم پس از نفوذ اولیه، برای دسترسی و کنترل سیستم‌های دیگر در شبکه انجام می‌دهد. این مرحله از چرخه حمله، معمولاً با استفاده از اعتبارنامه‌های معتبر (Valid Accounts) و بهره‌گیری از سرویس‌های راه دور صورت می‌گیرد. تکنیک T1021 در دانشنامه MITRE ATT&CK به طور خاص به این روش‌ها اشاره دارد و شامل زیرتکنیک‌هایی مانند پروتکل دسکتاپ راه دور (RDP)، Secure Shell (SSH)، Windows Remote Management (WinRM) و اشتراک‌های مدیریتی SMB/Windows می‌شود.

مهاجمان با به دست آوردن اعتبارنامه‌های دامنه، می‌توانند از طریق این پروتکل‌ها به ماشین‌های متعدد وارد شوند و اقدامات مخرب خود را انجام دهند. برای مثال، استفاده از RDP برای ورود تعاملی به سیستم‌ها، یا بهره‌گیری از SMB برای دسترسی به اشتراک‌های مدیریتی و اجرای کد از راه دور، از جمله روش‌های رایج است. همچنین سرویس‌های ابری و ماشین‌های مجازی نیز می‌توانند هدف قرار گیرند؛ به‌ویژه زمانی که هویت‌های داخلی با سرویس‌های ابری همگام‌سازی شده باشند.

شناسایی این فعالیت‌ها نیازمند تحلیل همبسته رویدادهای هویتی، شبکه و Endpoint است. برای مثال، ورود موفق از یک آدرس IP غیرعادی به یک سیستم حساس، سپس اجرای دستورات غیرمعمول یا اتصال به سیستم‌های دیگر، می‌تواند نشانه حرکت جانبی باشد. همچنین استفاده از ابزارهای مدیریت از راه دور مانند Apple Remote Desktop (ARD) نیز می‌تواند مورد سوءاستفاده قرار گیرد. در این راستا، پایش لاگ‌های احراز هویت، ترافیک شبکه و فرآیندهای در حال اجرا در سیستم‌های نهایی ضروری است.

• زیرتکنیک‌های T1021 شامل: RDP (T1021.001)، SMB/Windows Admin Shares (T1021.002)، DCOM (T1021.003)، SSH (T1021.004)، VNC (T1021.005)، WinRM (T1021.006)، Cloud Services (T1021.007) و Direct Cloud VM Connections (T1021.008).
• تکنیک‌های مرتبط دیگر: بهره‌برداری از سرویس‌های راه دور (T1210)، انتقال ابزار جانبی (T1570) و ربودن نشست سرویس راه دور (T1563).
• استفاده از اعتبارنامه‌های معتبر، تشخیص را دشوار می‌کند؛ بنابراین باید بر رفتارهای غیرعادی پس از ورود تمرکز کرد.

1. شناسایی سرویس‌های راه دور فعال در شبکه و تعیین خط پایه استفاده عادی از آن‌ها.
2. پایش رویدادهای ورود موفق به سرویس‌های حساس و مقایسه با الگوهای عادی.
3. تحلیل همبسته بین رویدادهای احراز هویت، اتصالات شبکه و اجرای فرآیندها در Endpointها.

منابع داده و تله‌متری مورد نیاز

برای شناسایی مؤثر حرکت جانبی، ترکیبی از داده‌های هویتی، شبکه‌ای و پایانه‌ای ضروری است. داده‌های هویتی شامل رویدادهای ورود (Logon) مانند موفقیت‌ها، شکست‌ها، نوع ورود (Interactive، Network، RemoteInteractive) و مبدأ ورود است. این داده‌ها امکان تشخیص ورودهای غیرعادی با استفاده از اعتبارنامه‌های معتبر را فراهم می‌کنند. به‌ویژه، رویدادهای مربوط به پروتکل‌های دسترسی از راه دور مانند RDP، SSH، WinRM و WMI باید به‌دقت ثبت و پایش شوند.

داده‌های شبکه‌ای شامل جریان‌های ارتباطی (NetFlow) و لاگ‌های پروکسی یا فایروال است که امکان مشاهده اتصالات بین میزبان‌ها را فراهم می‌کند. این داده‌ها برای شناسایی الگوهای غیرعادی مانند اتصالات خروجی از یک میزبان به چندین سیستم داخلی در یک بازه زمانی کوتاه، یا استفاده از پورت‌های غیرمعمول برای پروتکل‌های شناخته‌شده، حیاتی هستند. همچنین، لاگ‌های DNS و HTTP می‌توانند به شناسایی ارتباط با زیرساخت‌های فرماندهی و کنترل کمک کنند.

داده‌های پایانه‌ای (Endpoint) شامل رویدادهای فرآیند، اجرای دستورات، ایجاد فایل‌ها و تغییرات رجیستری است. این داده‌ها برای شناسایی فعالیت‌های پس از ورود، مانند اجرای ابزارهای جابه‌جایی جانبی (مانند PsExec یا Impacket)، اسکریپت‌های غیرعادی، یا دسترسی به اشتراک‌های مدیریتی (Admin Shares) ضروری است. ترکیب این سه منبع داده از طریق همبستگی، امکان تشخیص حرکت جانبی را با دقت بیشتری فراهم می‌کند و به تحلیلگران اجازه می‌دهد تا زنجیره کامل حمله را بازسازی کنند.

• لاگ‌های هویت: رویدادهای 4624 (ورود موفق)، 4625 (ورود ناموفق)، 4672 (اختصاص امتیازات ویژه) و رویدادهای مربوط به RDP/WMI/WinRM.
• لاگ‌های شبکه: جریان‌های NetFlow، لاگ‌های فایروال و پروکسی، و داده‌های DNS.
• لاگ‌های Endpoint: رویدادهای ایجاد فرآیند (مانند رویداد 4688 در ویندوز)، اجرای دستورات، و دسترسی به اشتراک‌های مدیریتی.

1. مرحله ۱: جمع‌آوری متمرکز لاگ‌ها از تمام منابع (SIEM یا پلتفرم مشابه).
2. مرحله ۲: نرمال‌سازی و غنی‌سازی داده‌ها با اطلاعات هویتی و جغرافیایی.
3. مرحله ۳: تعریف خط مبنا (Baseline) از رفتار عادی کاربران و سیستم‌ها.
4. مرحله ۴: پیاده‌سازی قوانین همبستگی برای تشخیص ناهنجاری‌ها.

روند کار برای همبستگی داده‌ها

برای شناسایی حرکت جانبی، لازم است داده‌های تولیدشده در سه لایه هویت، شبکه و Endpoint به‌صورت هم‌زمان و با یک چارچوب زمانی واحد تحلیل شوند. ابتدا باید لاگ‌های مرتبط با رویدادهای ورود (Logon) از منابع مختلف مانند کنترل‌کننده دامنه، سرویس‌های Remote Desktop و SSH جمع‌آوری شوند. این لاگ‌ها باید شامل شناسه کاربر، آدرس IP مبدأ و مقصد، زمان دقیق و نوع پروتکل باشند. در گام بعد، لاگ‌های شبکه مانند جریان‌های NetFlow یا ترافیک کامل (PCAP) برای یافتن اتصالات غیرعادی به پورت‌های شناخته‌شده (مانند 3389 برای RDP و 22 برای SSH) بررسی می‌شوند.

پس از جمع‌آوری، تطبیق زمانی و مکانی بین رویدادهای ورود و اتصالات شبکه انجام می‌شود. برای مثال، اگر یک کاربر از یک ایستگاه کاری خاص از طریق RDP وارد یک سرور شود، باید در همان بازه زمانی، یک اتصال شبکه از آن ایستگاه به سرور مقصد روی پورت 3389 مشاهده شود. هرگونه عدم تطابق (مثلاً ورود موفق بدون اتصال شبکه متناظر) می‌تواند نشانه استفاده از ابزارهای غیرمتعارف یا پنهان‌کاری باشد. همچنین باید توالی رویدادها به‌صورت زنجیره‌ای تحلیل شود؛ یعنی اگر پس از ورود از طریق SSH، دستورات غیرعادی مانند اجرای اسکریپت یا تغییر مجوزها (sudo/su) ثبت شود، این زنجیره باید به‌عنوان یک الگوی مشکوک در نظر گرفته شود.

در نهایت، داده‌های Endpoint مانند اجرای فرایندها، دسترسی به فایل‌ها و تغییرات رجیستری باید با رویدادهای ورود و اتصالات شبکه ترکیب شوند. برای مثال، اگر یک کاربر از طریق RDP وارد شود و سپس فرایندی مانند cmd.exe یا powershell.exe اجرا کند که به یک آدرس IP داخلی دیگر اتصال برقرار کند، این الگو می‌تواند نشانه حرکت جانبی باشد. توصیه می‌شود این همبستگی به‌صورت خودکار با استفاده از الگوهای تشخیصی رفتاری (مانند آن‌هایی که در منابع معتبر مانند MITRE ATT&CK ذکر شده است) پیاده‌سازی شود و برای هر هشدار، زمینه کامل (شامل هویت، زمان، مبدأ و مقصد) ذخیره شود تا تحلیلگر بتواند صحت آن را بررسی کند.

• جمع‌آوری لاگ‌های احراز هویت از منابع مختلف (دامنه، سرورهای RDP/SSH) با جزئیات کامل.
• تطبیق زمانی و مکانی بین رویدادهای ورود و اتصالات شبکه با دقت چند دقیقه‌ای.
• تحلیل زنجیره‌ای رویدادها برای شناسایی توالی‌های مشکوک مانند ورود سپس اجرای دستورات غیرعادی.
• ترکیب داده‌های Endpoint (فرایندها، فایل‌ها) با رویدادهای شبکه و هویت برای کاهش مثبت کاذب.

1. گام ۱: تعریف منابع داده و اطمینان از جمع‌آوری لاگ‌های ورود، شبکه و Endpoint در یک مخزن مرکزی.
2. گام ۲: نرمال‌سازی داده‌ها و استخراج فیلدهای کلیدی مانند user, source_ip, destination_ip, protocol, timestamp.
3. گام ۳: ایجاد قوانین همبستگی که رویدادهای ورود را با اتصالات شبکه در یک پنجره زمانی مشخص (مثلاً ۵ دقیقه) تطبیق می‌دهند.
4. گام ۴: تحلیل زنجیره‌ای با دنبال کردن توالی رویدادها از ورود اولیه تا اجرای دستورات و اتصالات بعدی.
5. گام ۵: بررسی دستی موارد مشکوک و مستندسازی یافته‌ها برای بهبود قوانین.

روند triage و اولویت‌بندی هشدارها

در فرآیند triage هشدارهای مرتبط با حرکت جانبی، نخستین گام، اعتبارسنجی هویت کاربر و منبع اتصال است. هر هشدار باید بر اساس سه مؤلفه اصلی بررسی شود: هویت کاربر (شامل عضویت در گروه‌های حساس، سابقه ورود و سطح دسترسی)، آدرس IP مبدأ (شامل شهرت، موقعیت جغرافیکی و سابقه ارتباط با سازمان) و رفتار پس از ورود (شامل اجرای دستورات غیرعادی، تغییر فایل‌ها یا اتصالات شبکه‌ای). ترکیب این سه مؤلفه می‌تواند به تحلیلگر کمک کند تا هشدارهای واقعی را از موارد مثبت کاذب جدا کند.

برای اولویت‌بندی، می‌توان از یک رویکرد امتیازدهی استفاده کرد که در آن به هر یک از عوامل فوق وزن مشخصی تعلق می‌گیرد. به عنوان مثال، ورود از یک IP جدید با استفاده از حساب کاربری که اخیراً رمز آن تغییر کرده است، نسبت به ورود از IP شناخته‌شده با حساب کاربری معمولی، امتیاز خطر بالاتری دارد. همچنین، رفتارهای پس از ورود مانند اجرای shell تعاملی، تلاش برای ارتقای امتیاز (sudo/su) یا برقراری اتصال خروجی به سیستم‌های دیگر، باید به‌عنوان شاخص‌های قوی برای حرکت جانبی در نظر گرفته شوند.

توصیه می‌شود تحلیلگران از الگوهای تشخیصی موجود در منابع معتبر مانند MITRE ATT&CK بهره ببرند. این الگوها به‌طور خاص بر روی ورود از طریق RDP یا WMI و سپس اجرای دستورات غیرعادی، یا ورود SSH از یک منبع جدید و سپس فعالیت‌های تعاملی و اتصالات جانبی تمرکز دارند. با تطبیق این الگوها با داده‌های محیطی، می‌توان هشدارها را به‌صورت خودکار اولویت‌بندی کرد و به موارد بحرانی‌تر پاسخ سریع‌تری داد. لازم به ذکر است که این الگوها صرفاً به‌عنوان راهنما هستند و ممکن است نیاز به تنظیمات محلی داشته باشند.

• بررسی اعتبار کاربر: عضویت در گروه‌های حساس (مانند Domain Admins)، سابقه ورود، وضعیت قفل حساب.
• بررسی منبع IP: شهرت IP، موقعیت جغرافیایی، تطابق با محدوده‌های مجاز سازمان.
• بررسی رفتار پس از ورود: اجرای دستورات غیرعادی، تغییر فایل‌ها، اتصالات شبکه‌ای به مقاصد داخلی یا خارجی.
• استفاده از الگوهای تشخیصی رفتاری برای شناسایی سناریوهای رایج حرکت جانبی.

1. دریافت هشدار و استخراج اطلاعات پایه: کاربر، IP مبدأ، زمان، نوع پروتکل (RDP، SSH، WMI و غیره).
2. اعتبارسنجی هویت کاربر: بررسی عضویت در گروه‌های حساس، وضعیت حساب، و سابقه ورودهای قبلی.
3. تحلیل منبع IP: جستجو در پایگاه‌های اطلاعاتی شهرت IP و تطبیق با لیست سفید/سیاه سازمان.
4. بررسی رفتار پس از ورود: تحلیل لاگ‌های فرمان، اجرای فرایندها، و اتصالات شبکه‌ای برقرار شده.
5. تطبیق رفتار با الگوهای تشخیصی شناخته‌شده و تعیین امتیاز خطر.
6. اولویت‌بندی نهایی: هشدارهای با امتیاز بالا (مثلاً ترکیب IP جدید + دستورات غیرعادی) در صف رسیدگی قرار گیرند.

مثبت‌های کاذب و چالش‌ها

در فرآیند شکار حرکت جانبی با تکیه بر همبستگی هویت، شبکه و Endpoint، یکی از مهم‌ترین چالش‌ها، تمایز بین فعالیت‌های مشروع و رفتارهای مشکوک است. مدیران سیستم به‌طور معمول از پروتکل‌های دسترسی از راه دور مانند RDP و SSH برای مدیریت سرورها و ایستگاه‌های کاری استفاده می‌کنند. این فعالیت‌ها، اگرچه از نظر فنی مشابه حرکت جانبی هستند، اما در چارچوب وظایف روزمره قرار می‌گیرند. به‌عنوان مثال، اتصال یک مدیر به سرور جهت اعمال به‌روزرسانی یا پیکربندی، می‌تواند با الگوهای حمله اشتباه گرفته شود. بنابراین، صرفاً تشخیص ورود از راه دور کافی نیست و باید زمینه‌های عملیاتی و هویتی را نیز در نظر گرفت.

ابزارهای مدیریت نرم‌افزار مانند Apple Remote Desktop (ARD) یا سامانه‌های مدیریت پیکربندی، اغلب از پروتکل‌های مشابهی برای اتصال به سیستم‌های راه دور استفاده می‌کنند. این ابزارها ممکن است به‌صورت خودکار و در زمان‌های خاص، اتصالاتی را ایجاد کنند که با معیارهای ساده تشخیصی، مشکوک به نظر برسند. برای مثال، ARD از ترکیب VNC و SSH بهره می‌برد و اگر یک تحلیلگر فقط به دنبال اتصالات SSH از یک آدرس IP خاص باشد، ممکن است فعالیت‌های مشروع این ابزار را به‌عنوان تهدید گزارش دهد. این موضوع اهمیت در نظر گرفتن فرآیندهای پس از ورود، مانند اجرای دستورات خاص یا تغییر در فایل‌های حساس، را نشان می‌دهد.

چالش دیگر، مدیریت حساب‌های کاربری با دسترسی‌های بالا است. در محیط‌های سازمانی، حساب‌های مدیر ممکن است به‌طور گسترده‌ای مورد استفاده قرار گیرند و ردیابی دقیق آن‌ها دشوار باشد. اگر یک مهاجم موفق به سرقت اعتبارنامه‌های یک مدیر شود، می‌تواند از همان مسیرهای مشروع برای حرکت جانبی استفاده کند. بنابراین، تشخیص صرفاً بر اساس هویت یا منبع اتصال کافی نیست و نیاز به تحلیل رفتاری عمیق‌تر دارد. به‌عنوان مثال، ورود یک مدیر از یک آدرس IP غیرمعمول یا در زمان‌های غیرکاری، می‌تواند نشانه‌ای از خطر باشد، اما این معیارها نیز ممکن است مثبت کاذب ایجاد کنند.

• استفاده مشروع از RDP/SSH توسط مدیران سیستم برای مدیریت روزانه
• فعالیت‌های خودکار ابزارهای مدیریت نرم‌افزار مانند Apple Remote Desktop
• ورود از آدرس‌های IP متغیر یا پویا که ممکن است برای مدیران عادی باشد
• اتصالات در ساعات غیرکاری که ممکن است به دلیل شیفت‌های کاری یا اضطراری رخ دهد

محدودیت‌های روش‌های تشخیصی

تشخیص حرکت جانبی در شبکه‌های سازمانی، به‌ویژه زمانی که مهاجم از اعتبارنامه‌های معتبر و ابزارهای بومی سیستم استفاده می‌کند، با چالش‌های بنیادین مواجه است. همان‌طور که در منابع MITRE اشاره شده، تکنیک‌هایی مانند Remote Services (T1021) به مهاجم اجازه می‌دهند تا با استفاده از اعتبارنامه‌های معتبر دامنه، به سرویس‌هایی مانند SSH، RDP و WinRM وارد شود و اقدامات خود را به‌عنوان کاربر مجاز انجام دهد. این رویکرد، تشخیص را دشوار می‌سازد زیرا فعالیت‌های مهاجم از نظر شکلی با رفتارهای عادی کاربران تفاوت چندانی ندارد.

یکی از محدودیت‌های اصلی، تکیه بر رویدادهای ورود به سیستم (Logon Events) است. مهاجمان با استفاده از اعتبارنامه‌های معتبر، رویدادهای ورود مشروع ایجاد می‌کنند که در لاگ‌های امنیتی ثبت می‌شوند، اما تشخیص ناهنجاری در این رویدادها نیازمند تحلیل زمینه‌ای (Contextual Analysis) است. به‌عنوان مثال، ورود یک کاربر از یک آدرس IP غیرعادی یا در زمان غیرکاری ممکن است مشکوک باشد، اما مهاجمان می‌توانند با استفاده از ابزارهایی مانند Impacket (که در مثال‌های MITRE ذکر شده) این الگوها را شبیه‌سازی کنند و از دید سیستم‌های تشخیص نفوذ پنهان بمانند.

محدودیت دیگر، استفاده از ابزارهای بومی سیستم (Living off the Land) است. مهاجمان به‌جای بارگذاری ابزارهای خارجی، از قابلیت‌های داخلی مانند WMI، PowerShell و Scheduled Tasks برای حرکت جانبی استفاده می‌کنند. این ابزارها به‌طور معمول توسط مدیران سیستم نیز استفاده می‌شوند و بنابراین، تشخیص سوءاستفاده از آن‌ها بدون درک عمیق از رفتار پایه (Baseline) شبکه، بسیار دشوار است. همچنین، رمزنگاری ترافیک در پروتکل‌هایی مانند SSH و RDP، بازرسی محتوای بسته‌ها را غیرممکن می‌کند و تحلیل‌گران را به بررسی فراداده‌ها (Metadata) محدود می‌سازد.

علاوه بر این، همبستگی رویدادهای هویتی، شبکه و Endpoint نیازمند زیرساخت‌های پیچیده و داده‌های باکیفیت است. در بسیاری از سازمان‌ها، لاگ‌های مربوط به این سه حوزه به‌صورت جداگانه جمع‌آوری می‌شوند و فاقد زمان‌بندی یکپارچه یا شناسه‌های مشترک هستند. این امر باعث می‌شود که تحلیلگران نتوانند زنجیره کامل حرکت جانبی را بازسازی کنند. به‌عنوان مثال، یک رویداد ورود از طریق RDP ممکن است در لاگ Endpoint ثبت شود، اما ارتباط آن با ترافیک شبکه یا تغییرات هویتی (مانند ایجاد یک حساب جدید) در سیستم‌های دیگر نادیده گرفته شود.

• استفاده از اعتبارنامه‌های معتبر، تشخیص را به تحلیل رفتاری و نه مبتنی بر امضا وابسته می‌کند.
• ابزارهای بومی سیستم مانند PowerShell و WMI، ردپای دیجیتال مشابهی با فعالیت‌های مدیریتی مشروع دارند.
• رمزنگاری پروتکل‌های راه دور، دید مستقیم به محتوای ترافیک را از بین می‌برد.
• نبود همبستگی زمانی و منطقی بین لاگ‌های هویت، شبکه و Endpoint، بازسازی زنجیره حمله را مختل می‌کند.

شاخص‌های کلیدی عملکرد (KPIs) و معیارهای اثربخشی

ارزیابی اثربخشی هر سیستم تشخیصی مستلزم تعریف شاخص‌هایی است که به طور عینی قابلیت شناسایی حرکت جانبی را اندازه‌گیری کنند. در این راستا، نخستین معیار، «زمان تشخیص» (Time to Detect) است که فاصله بین آغاز یک اقدام مشکوک و صدور هشدار را نشان می‌دهد. کاهش این زمان به تحلیلگران امکان می‌دهد تا پیش از گسترش نفوذ به میزبان‌های بیشتر، واکنش نشان دهند. با این حال، صرف سرعت کافی نیست؛ بلکه باید دقت تشخیص نیز سنجیده شود.

دومین معیار، «نرخ مثبت کاذب» (False Positive Rate) است. در محیط‌های سازمانی، بسیاری از رویدادهای مشروع مانند ورود از راه دور مدیران یا استفاده از ابزارهای مدیریتی، ممکن است شبیه به رفتارهای مشکوک باشند. بنابراین، یک سیستم مؤثر باید بتواند بین فعالیت‌های عادی و ناهنجار تمایز قائل شود. کاهش مثبت‌های کاذب نه تنها بار کاری تیم امنیت را کاهش می‌دهد، بلکه اعتماد تحلیلگران به هشدارها را نیز افزایش می‌دهد.

سومین معیار، «پوشش تکنیک‌ها» (Technique Coverage) است. با توجه به اینکه حرکت جانبی شامل تکنیک‌های متنوعی مانند Remote Services (T1021) و زیرتکنیک‌های آن (مانند RDP، SSH، WinRM) است، سیستم تشخیصی باید توانایی شناسایی حداقل این الگوهای شناخته‌شده را داشته باشد. به عنوان مثال، پوشش کامل تکنیک T1021 شامل هشت زیرتکنیک است که هر کدام نیازمند تحلیلگرهای رفتاری خاص خود هستند. ارزیابی پوشش می‌تواند از طریق مقایسه الگوهای تشخیصی پیاده‌سازی‌شده با فهرست تکنیک‌های ATT&CK انجام شود.

در نهایت، معیار «دقت» (Precision) و «بازیابی» (Recall) به صورت ترکیبی، تصویر کاملی از عملکرد سیستم ارائه می‌دهند. دقت بالا نشان می‌دهد که هشدارهای صادرشده عمدتاً مرتبط با تهدید واقعی هستند، در حالی که بازیابی بالا نشان می‌دهد که سیستم توانسته است بخش بزرگی از حملات واقعی را شناسایی کند. برای اندازه‌گیری این معیارها، می‌توان از مجموعه داده‌های برچسب‌گذاری‌شده یا شبیه‌سازی حملات کنترل‌شده استفاده کرد. لازم به ذکر است که این معیارها باید به صورت دوره‌ای بازبینی شوند تا با تغییر تاکتیک‌های مهاجمان سازگار بمانند.

• زمان تشخیص: میانگین فاصله زمانی بین شروع فعالیت مشکوک و صدور هشدار؛ هدف کاهش آن به زیر چند دقیقه است.
• نرخ مثبت کاذب: درصد هشدارهایی که در بررسی نهایی غیرمرتبط تشخیص داده می‌شوند؛ هدف نگه‌داشتن آن زیر ۵٪ است.
• پوشش تکنیک‌ها: نسبت تکنیک‌های حرکت جانبی فهرست‌شده در ATT&CK که حداقل یک الگوی تشخیصی فعال دارند؛ هدف پوشش ۱۰۰٪ برای تکنیک‌های حیاتی است.
• دقت و بازیابی: به ترتیب نشان‌دهنده نسبت هشدارهای صحیح به کل هشدارها و نسبت حملات شناسایی‌شده به کل حملات واقعی هستند.

1. مرحله ۱: تعیین خط پایه از فعالیت‌های عادی شبکه و endpoint در محیط سازمان.
2. مرحله ۲: پیاده‌سازی الگوهای تشخیصی برای هر زیرتکنیک حرکت جانبی بر اساس منابع معتبر مانند ATT&CK.
3. مرحله ۳: اجرای شبیه‌سازی‌های کنترل‌شده برای اندازه‌گیری زمان تشخیص و نرخ مثبت کاذب.
4. مرحله ۴: تنظیم آستانه‌ها و قوانین بر اساس نتایج به دست آمده و تکرار ارزیابی.

عملیاتی‌سازی و بهبود مستمر

برای عملیاتی‌سازی فرآیند شناسایی حرکت جانبی، ابتدا باید سناریوهای تشخیصی مبتنی بر تکنیک‌های مرتبط با سرویس‌های از راه دور (T1021) و سایر روش‌های حرکت جانبی (TA0008) طراحی و در زیرساخت SIEM یا XDR مستقر شوند. این سناریوها باید بر اساس الگوهای رفتاری مشخص مانند ورود از طریق RDP، SSH، WinRM یا SMB از یک منبع غیرعادی و سپس اجرای دستورات غیرمعمول یا اتصالات خروجی به سیستم‌های دیگر تعریف شوند. برای مثال، تشخیص ورود موفق از طریق RDP توسط یک حساب کاربری که به‌تازگی از یک آدرس IP جدید وارد شده و سپس اجرای ابزارهای مدیریتی یا تغییر در فایل‌های حساس، می‌تواند نشانه‌ای از حرکت جانبی باشد.

به‌روزرسانی منظم سناریوهای تشخیصی بر اساس تکنیک‌های جدید و تغییرات در روش‌های حمله ضروری است. تیم امنیتی باید به‌طور دوره‌ای اطلاعات مربوط به تکنیک‌های حرکت جانبی را از منابع معتبر مانند MITRE ATT&CK بررسی کرده و سناریوهای تشخیصی را با توجه به تکنیک‌های نوظهور مانند سوءاستفاده از سرویس‌های ابری یا اتصالات مستقیم به ماشین‌های مجازی (T1021.007 و T1021.008) تنظیم کند. همچنین باید از بازخورد حوادث واقعی و تمرین‌های حمله شبیه‌سازی‌شده برای اصلاح و بهبود این سناریوها استفاده شود.

هماهنگی بین تیم‌های امنیتی (SOC، تیم پاسخ به حادثه، تیم زیرساخت و تیم مدیریت هویت) برای عملیاتی‌سازی موفق ضروری است. این هماهنگی شامل تعریف نقش‌ها و مسئولیت‌ها، ایجاد کانال‌های ارتباطی سریع، و برگزاری جلسات منظم برای مرور یافته‌های تشخیصی و تنظیم سیاست‌های دسترسی است. به‌عنوان مثال، تیم مدیریت هویت باید از نزدیک با تیم امنیت شبکه همکاری کند تا حساب‌های پرخطر (مانند حساب‌های مدیر دامنه) را شناسایی و دسترسی آن‌ها به سرویس‌های از راه دور را محدود کند. همچنین، تیم زیرساخت باید از اعمال تنظیمات امنیتی مانند غیرفعال کردن سرویس‌های غیرضروری و فعال کردن احراز هویت چندمرحله‌ای برای ورودهای از راه دور اطمینان حاصل کند.

• استقرار سناریوهای تشخیصی مبتنی بر رفتار برای ورودهای از راه دور و فعالیت‌های پس از ورود.
• بررسی دوره‌ای تکنیک‌های جدید حرکت جانبی و به‌روزرسانی سناریوها بر اساس آن.
• هماهنگی بین تیم‌های امنیتی برای تبادل اطلاعات و پاسخ سریع به هشدارها.
• استفاده از فهرست سفید برای سرویس‌های از راه دور مجاز و محدود کردن دسترسی به منابع حساس.
• انجام تمرین‌های شبیه‌سازی حمله برای ارزیابی اثربخشی سناریوهای تشخیصی.

1. شناسایی سرویس‌های از راه دور فعال در محیط (مانند RDP، SSH، WinRM) و ثبت آن‌ها در پایگاه داده مدیریت دارایی.
2. تعریف سناریوهای تشخیصی برای هر سرویس بر اساس الگوهای ورود غیرعادی (منبع جدید، زمان غیرکاری، تعداد ورود بالا).
3. پیاده‌سازی سناریوها در SIEM یا ابزارهای تحلیل رفتاری و تنظیم هشدارها.
4. بررسی دوره‌ای هشدارها و اصلاح سناریوها بر اساس نتایج و بازخورد تیم‌های امنیتی.
5. به‌روزرسانی سناریوها با تکنیک‌های جدید از منابع معتبر مانند MITRE ATT&CK.