TTPs، شناسایی رفتاری مهاجم و شاخص‌های نفوذ در امنیت سایبری

تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTPs)

سازمان‌ها باید TTPها را درک کنند تا بتوانند شبکه خود را در برابر عاملان تهدید و حملات آتی محافظت کنند. TTPها به سازمان‌ها کمک می‌کنند حملات را در مراحل ابتدایی متوقف کنند و در نتیجه شبکه را از آسیب‌های گسترده حفظ نمایند.

تاکتیک‌ها

تاکتیک‌ها نحوه عملکرد عامل تهدید را در مراحل مختلف یک حمله توصیف می‌کنند. این شامل مجموعه‌ای از تاکتیک‌هایی است که برای گردآوری اطلاعات جهت بهره‌برداری اولیه، انجام ارتقای سطح دسترسی و حرکت جانبی، و پیاده‌سازی اقداماتی جهت حفظ دسترسی مداوم به سیستم به کار می‌روند. به طور معمول، گروه‌های APT به مجموعه‌ای ثابت از تاکتیک‌ها متکی هستند؛ اما در برخی موارد، آن‌ها خود را با شرایط مختلف تطبیق می‌دهند و شیوه اجرای حمله را تغییر می‌دهند. بنابراین، دشواری شناسایی و نسبت‌دادن یک کمپین حمله، به تاکتیک‌های به‌کاررفته برای انجام آن بستگی دارد.

یک سازمان می‌تواند بر اساس تاکتیک‌هایی که عاملان تهدید استفاده می‌کنند، آن‌ها را پروفایل‌سازی کند؛ این شامل نحوه گردآوری اطلاعات درباره هدف، روش‌هایی که برای نفوذ اولیه دنبال می‌کنند، و تعداد نقاط ورودی‌ای که هنگام تلاش برای ورود به شبکه هدف استفاده می‌کنند، می‌شود.

برای مثال، برخی از عاملان تهدید برای به‌دست آوردن اطلاعات تنها به داده‌های در دسترس در اینترنت متکی هستند، در حالی که برخی دیگر ممکن است مهندسی اجتماعی انجام دهند یا از ارتباطات موجود در سازمان‌های واسط استفاده کنند. پس از جمع‌آوری اطلاعاتی مانند آدرس‌های ایمیل کارکنان سازمان هدف، عاملان تهدید تصمیم می‌گیرند که هدف را به‌صورت فردی یا گروهی مورد حمله قرار دهند. علاوه بر این، محموله‌ای که مهاجمان طراحی کرده‌اند ممکن است از آغاز تا پایان حمله ثابت بماند یا بسته به فرد هدف، تغییر داده شود. بنابراین، برای درک بهتر عاملان تهدید، باید تاکتیک‌های به‌کارگرفته‌شده در مراحل اولیه حمله به‌درستی تحلیل شوند.

روش دیگری برای تحلیل گروه‌های APT، بررسی زیرساخت و ابزارهایی است که آن‌ها برای اجرای حمله استفاده می‌کنند. برای مثال، ایجاد یک کانال فرماندهی و کنترل روی سرورهای تحت کنترل مهاجم را در نظر بگیرید. این سرورهای C&C ممکن است در یک موقعیت جغرافیایی خاص قرار داشته باشند یا در سراسر اینترنت پراکنده باشند و ممکن است ایستا یا به‌صورت پویا تغییر کنند. همچنین تحلیل ابزارهای به‌کاررفته برای انجام حمله اهمیت دارد؛ این شامل تحلیل اکسپلویت‌ها و ابزارهای استفاده‌شده توسط گروه‌های مختلف APT است. در چنین شرایطی، یک عامل تهدید پیچیده ممکن است با استفاده از ابزارهای اصلاح‌شده و روش‌های مبهم‌سازی، از آسیب‌پذیری‌های متعدد روز صفر سوءاستفاده کند. با این حال، این موضوع می‌تواند دشوار باشد، زیرا عاملان تهدید کم‌تجربه‌تر اغلب به آسیب‌پذیری‌های عمومی و ابزارهای متن‌باز وابسته هستند. شناسایی این نوع تاکتیک‌ها به پروفایل‌سازی گروه‌های APT و ایجاد اقدامات دفاعی از پیش کمک می‌کند.

در برخی موارد، درک تاکتیک‌های به‌کاررفته در مراحل پایانی حمله به پروفایل‌سازی عامل تهدید کمک می‌کند. همچنین روش‌های استفاده‌شده برای پوشاندن ردپاها به سازمان هدف در فهم کمپین‌های حمله کمک می‌کند. تحلیل تاکتیک‌های مهاجمان به ایجاد یک پروفایل اولیه از طریق درک مراحل مختلف چرخه حیات APT کمک می‌کند. این پروفایل به تحلیل بیشتر تکنیک‌ها و رویه‌های به‌کاررفته توسط مهاجمان کمک می‌کند. از آن‌جا که یک مهاجم ممکن است به‌طور مداوم TTPهای مورد استفاده خود را تغییر دهد، بررسی و به‌روزرسانی مداوم تاکتیک‌های مورد استفاده گروه‌های APT ضروری است.

تکنیک‌ها

برای اجرای موفق یک حمله، عاملان تهدید از چندین تکنیک در طول اجرای آن استفاده می‌کنند. این تکنیک‌ها شامل بهره‌برداری اولیه، راه‌اندازی و نگه‌داری کانال‌های فرماندهی و کنترل، دسترسی به زیرساخت هدف، و پوشاندن ردِ خروج داده‌ها هستند. تکنیک‌هایی که عامل تهدید برای انجام یک حمله دنبال می‌کند ممکن است متفاوت باشند، اما اغلب مشابه‌اند و می‌توان از آن‌ها برای پروفایل‌سازی استفاده کرد. بنابراین، درک تکنیک‌های به‌کاررفته در مراحل مختلف یک حمله، برای تحلیل مؤثر گروه‌های تهدید ضروری است.

تکنیک‌ها را می‌توان در هر مرحله از چرخه حیات تهدید نیز تحلیل کرد. در نتیجه، تکنیک‌های مرحله ابتدایی عمدتاً ابزارهای استفاده‌شده برای گردآوری اطلاعات و بهره‌برداری اولیه را توصیف می‌کنند. تکنیک‌های استفاده‌شده در این مرحله لزوماً جنبه فنی ندارند. برای مثال، در مهندسی اجتماعی، برخی ابزارهای نرم‌افزاری غیر فنی به‌عنوان روشی مؤثر برای جمع‌آوری اطلاعات استفاده می‌شوند. یک مهاجم می‌تواند از چنین ابزارهایی برای به‌دست آوردن آدرس‌های ایمیل کارکنان سازمان هدف از طریق منابع در دسترس عموم استفاده کند.

به همین شکل، مهندسی اجتماعی کاملاً انسان‌محور نیز می‌تواند برای انجام بهره‌برداری اولیه به کار رود. برای مثال، سناریویی را در نظر بگیرید که در آن قربانی از طریق یک تماس تلفنی فریب داده می‌شود تا اعتبارنامه‌های ورود خود جهت دسترسی به شبکه داخلی سازمان هدف را افشا کند. این تکنیک‌ها در مرحله اولیه حمله برای جمع‌آوری اطلاعات درباره هدف و شکستن خط دفاعی اول به کار می‌روند.

تکنیک‌های مورد استفاده در مراحل میانی حمله عمدتاً به ابزارهای فنی وابسته‌اند تا در سیستم‌های به‌خطر‌افتاده، سطح دسترسی را در ابتدا ارتقا دهند یا حرکت جانبی را در شبکه سازمان هدف انجام دهند. در این مرحله از حمله، مهاجمان از اکسپلویت‌های مختلف استفاده می‌کنند یا از آسیب‌پذیری‌های پیکربندی در سیستم هدف سوءاستفاده می‌کنند. آن‌ها همچنین ممکن است برای دسترسی به سایر سیستم‌های موجود در شبکه، از نقص‌های طراحی شبکه بهره‌برداری کنند. در همه این موارد، اکسپلویت‌ها یا مجموعه‌ای از ابزارها به مهاجم اجازه می‌دهد یک حمله موفق انجام دهد. در این سناریو، اصطلاح «تکنیک» به مجموعه ابزارها و شیوه‌ای اشاره دارد که آن‌ها برای به‌دست آوردن نتایج میانی در طول یک کمپین حمله استفاده می‌شوند.

تکنیک‌های مرحله پایانی حمله می‌توانند هم جنبه فنی و هم غیر فنی داشته باشند. در چنین سناریویی، تکنیک‌های استفاده‌شده برای سرقت داده معمولاً مبتنی بر فناوری شبکه و رمزگذاری هستند. برای مثال، عامل تهدید فایل‌های سرقت‌شده را رمزگذاری می‌کند، آن‌ها را از طریق کانال فرماندهی و کنترل ایجادشده منتقل می‌کند، و روی سیستم خود کپی می‌کند. پس از اجرای موفق حمله و انتقال فایل‌ها، مهاجم برای پوشاندن ردپاهای خود از برخی تکنیک‌های کاملاً فنی پیروی می‌کند. آن‌ها از ابزارهای نرم‌افزاری خودکار برای پاک‌سازی فایل‌های لاگ استفاده می‌کنند تا از شناسایی شدن جلوگیری کنند.

پس از تجمیع تکنیک‌های استفاده‌شده در همه مراحل یک حمله، سازمان می‌تواند از این اطلاعات برای پروفایل‌سازی عاملان تهدید استفاده کند. برای نسبت‌دادن دقیق عاملان تهدید، سازمان باید تمامی تکنیک‌های استفاده‌شده توسط مهاجمان خود را مشاهده کند.

رویه‌ها

«رویه‌ها» شامل توالی‌ای از اقدامات هستند که توسط عاملان تهدید برای اجرای مراحل مختلف چرخه حیات یک حمله انجام می‌شوند. تعداد این اقدامات معمولاً بسته به اهداف رویه و گروه APT متفاوت است. یک عامل تهدید پیشرفته از رویه‌های پیشرفته‌ای استفاده می‌کند که شامل اقدامات بیشتری نسبت به یک رویه عادی برای دستیابی به همان نتیجه میانی هستند. این کار عمدتاً برای افزایش نرخ موفقیت یک حمله و کاهش احتمال شناسایی توسط سازوکارهای امنیتی انجام می‌شود.

برای مثال، در یک رویه پایه برای گردآوری اطلاعات، یک عامل تهدید اطلاعاتی درباره سازمان هدف جمع‌آوری می‌کند؛ اهداف کلیدی و کارکنان را شناسایی می‌کند؛ اطلاعات تماس آن‌ها را جمع‌آوری می‌کند؛ سیستم‌های آسیب‌پذیر و نقاط ورود بالقوه به شبکه هدف را شناسایی می‌کند؛ و تمام اطلاعات جمع‌آوری‌شده را مستندسازی می‌کند. اقدامات بعدی یک مهاجم به تاکتیک‌های مورد استفاده بستگی دارد. این اقدامات شامل پژوهش گسترده و گردآوری مکرر اطلاعات برای جمع‌آوری داده‌های عمیق و به‌روز درباره افراد هدف از طریق سایت‌های شبکه‌ اجتماعی است. این اطلاعات می‌تواند به عاملان تهدید در اجرای spear phishing، پایش کنترل‌های امنیتی برای شناسایی اکسپلویت‌های zero-day در سیستم‌های هدف، و انجام سایر وظایف کمک کند. برای مثال، یک عامل تهدید که از رویه‌ای با جزئیات بیشتر استفاده می‌کند، payload بدافزار را اجرا می‌کند. در زمان اجرا، کد مخرب خود را رمزگشایی می‌کند، از کنترل‌های پایش امنیتی عبور می‌کند، ماندگاری را برقرار می‌سازد، و یک کانال فرماندهی و کنترل برای ارتباط با سیستم قربانی ایجاد می‌کند. این نوع رویه در بدافزارها رایج است، جایی که عاملان تهدید مختلف ممکن است همان قابلیت را پیاده‌سازی کنند، و ازاین‌رو در تحقیقات پزشکی قانونی دیجیتال مفید است.

درک و تحلیل صحیح رویه‌هایی که برخی عاملان تهدید در طول یک حمله دنبال می‌کنند، به سازمان‌ها در پروفایل‌سازی عاملان تهدید کمک می‌کند. در مرحله ابتدایی یک حمله، مانند هنگام گردآوری اطلاعات، مشاهده رویه یک گروه APT دشوار است. بااین‌حال، مراحل بعدی یک حمله می‌توانند ردپاهایی بر جا بگذارند که ممکن است برای درک رویه‌هایی که مهاجم دنبال کرده است مورد استفاده قرار گیرند.

شناسایی رفتاری مهاجم

شناسایی رفتاری مهاجم شامل تشخیص روش‌ها یا تکنیک‌های متداولی است که یک مهاجم برای راه‌اندازی حملات و نفوذ به شبکه یک سازمان دنبال می‌کند. این موضوع به متخصصان امنیت بینشی درباره تهدیدها و اکسپلویت‌های در حال ظهور ارائه می‌دهد. همچنین به آن‌ها کمک می‌کند زیرساخت امنیت شبکه را برنامه‌ریزی کرده و مجموعه‌ای از رویه‌های امنیتی را به‌عنوان پیشگیری در برابر انواع حملات سایبری اتخاذ کنند.

برخی از رفتارهای مهاجم که می‌توانند برای افزایش قابلیت‌های شناسایی دستگاه‌های امنیتی استفاده شوند عبارت‌اند از:

■ شناسایی داخلی

پس از آنکه مهاجم وارد شبکه هدف شد، از تکنیک‌ها و روش‌های مختلفی برای انجام شناسایی داخلی استفاده می‌کند. این موارد شامل شمارش سیستم‌ها، میزبان‌ها، پردازش‌ها، و اجرای انواع فرمان‌ها برای یافتن اطلاعاتی مانند زمینه کاربر محلی، پیکربندی سیستم، hostname، آدرس‌های IP، سیستم‌های راه‌دور فعال، و برنامه‌های در حال اجرای روی سیستم‌های هدف است.

متخصصان امنیت می‌توانند با بررسی فرمان‌های غیرمعمول اجرا‌شده در Batch Scriptها و PowerShell، و همچنین با استفاده از ابزارهای کپچر بسته‌های شبکه، فعالیت‌های یک مهاجم را پایش کنند.

استفاده از PowerShell

یک مهاجم می‌تواند از PowerShell به‌عنوان ابزاری برای خودکارسازی استخراج داده‌ها و اجرای حملات بعدی استفاده کند. برای شناسایی سوءاستفاده از PowerShell در شبکه، متخصصان امنیت می‌توانند Transcript Log‌های PowerShell یا Windows Event Logها را بررسی کنند.

همچنین User Agent String و آدرس‌های IP می‌توانند برای شناسایی میزبان‌های مخربی که تلاش می‌کنند داده‌ها را استخراج کنند، مورد استفاده قرار گیرند.

فعالیت‌های Proxy مشخص‌نشده

یک مهاجم می‌تواند چندین دامنه ایجاد و پیکربندی کند که همگی به یک میزبان واحد اشاره می‌کنند. این کار به او اجازه می‌دهد برای جلوگیری از شناسایی، به‌سرعت بین دامنه‌ها جابه‌جا شود.

متخصصان امنیت می‌توانند با بررسی Data Feedهایی که توسط این دامنه‌ها ایجاد می‌شوند، دامنه‌های نامشخص را شناسایی کنند. با استفاده از همین داده‌ها، متخصصان امنیت قادر خواهند بود فایل‌های مخرب دانلودشده و ارتباطات ناخواسته با شبکه‌های خارجی را نیز شناسایی کنند.

استفاده از رابط خط فرمان

پس از دستیابی مهاجم به سیستم هدف، او می‌تواند از CLI برای تعامل با سیستم استفاده کند؛ از جمله:

• مرور فایل‌ها
• خواندن محتوای فایل
• تغییر محتوای فایل
• ایجاد حساب‌های جدید
• اتصال به سیستم راه‌دور
• دانلود و نصب کد مخرب

متخصصان امنیت می‌توانند این رفتار مهاجم را با بررسی لاگ‌ها برای Process IDها، پردازه‌هایی با نام‌های شامل حروف و اعداد تصادفی، و فایل‌های مخرب دانلودشده از اینترنت شناسایی کنند.

HTTP User Agent•

در ارتباط مبتنی بر HTTP، سرور، کلاینت متصل‌شده را از طریق فیلد User Agent شناسایی می‌کند. مهاجم محتوای این فیلد را تغییر می‌دهد تا بتواند با سیستم به‌خطر‌افتاده ارتباط برقرار کرده و حملات بیشتری را ادامه دهد.

بنابراین، متخصصان امنیت می‌توانند با بررسی محتوای فیلد User Agent، حمله را در مراحل اولیه تشخیص دهند.

سرور فرماندهی و کنترل

مهاجمان از سرورهای C2 برای برقراری ارتباط از راه دور با سیستم‌های به‌خطر‌افتاده از طریق نشست‌های رمزگذاری‌شده استفاده می‌کنند. از طریق این کانال رمزگذاری‌شده، مهاجم می‌تواند داده‌ها را سرقت کند، داده‌ها را حذف کند، و حملات بعدی را اجرا کند.

متخصصان امنیت می‌توانند با ردیابی ترافیک شبکه جهت تلاش‌های اتصال خروجی، پورت‌های باز ناخواسته و سایر ناهنجاری‌ها، میزبان‌ها یا شبکه‌های compromised را شناسایی کنند.

استفاده از DNS Tunneling

مهاجمان از DNS Tunneling برای پنهان‌سازی ترافیک مخرب در میان ترافیک مشروع منتقل‌شده توسط پروتکل‌های رایج شبکه استفاده می‌کنند. با بهره‌گیری از DNS Tunneling، مهاجم می‌تواند با سرور فرماندهی و کنترل ارتباط برقرار کند، کنترل‌های امنیتی را دور بزند، و استخراج داده‌ها انجام دهد.

متخصصان امنیت می‌توانند با تحلیل موارد زیر، DNS Tunneling را شناسایی کنند:

• درخواست‌های DNS مخرب
• دامنه‌های نامشخص
• مقصد درخواست‌های DNS

استفاده از Web Shell

مهاجم از Web Shell برای دستکاری وب‌سرور از طریق ایجاد یک شل درون یک وب‌سایت استفاده می‌کند؛ این کار به مهاجم امکان می‌دهد به‌صورت راه‌دور به قابلیت‌های یک سرور دسترسی پیدا کند.

با استفاده از Web Shell، مهاجم فعالیت‌هایی مانند استخراج داده، انتقال فایل، و بارگذاری فایل را انجام می‌دهد.

متخصصان امنیت می‌توانند اجرای Web Shell در شبکه را با تحلیل موارد زیر شناسایی کنند:

• لاگ‌های دسترسی سرور
• لاگ‌های خطا
• رشته‌های مشکوکی که نشانه‌ای از Encoding هستند
• User Agent Stringها
• و سایر روش‌ها

Data Staging

پس از نفوذ موفق به شبکه هدف، مهاجم از تکنیک‌های Data Staging برای جمع‌آوری و ترکیب بیشترین میزان ممکن از داده‌ها استفاده می‌کند. داده‌هایی که مهاجم جمع‌آوری می‌کند شامل موارد زیر است:

• اطلاعات حساس درباره کارکنان و مشتریان
• تاکتیک‌های تجاری سازمان
• اطلاعات مالی
• اطلاعات زیرساخت شبکه

پس از جمع‌آوری داده‌ها، مهاجم می‌تواند آن‌ها را استخراج یا نابود کند.

متخصصان امنیت می‌توانند Data Staging را از طریق موارد زیر شناسایی کنند:

• پایش ترافیک شبکه برای انتقال فایل‌های مخرب
• File Integrity Monitoring
• بررسی Event Logها

شاخص‌های نفوذ (IoCs)

تهدیدهای سایبری به‌طور مداوم در حال تکامل هستند و TTPهای جدید بر اساس آسیب‌پذیری‌های سازمان هدف تطبیق داده می‌شوند. متخصصان امنیت باید پایش مستمر IoCها را انجام دهند تا بتوانند تهدیدهای سایبری در حال تحول را به‌صورت مؤثر و کارآمد شناسایی کرده و به آن‌ها پاسخ دهند.

شاخص‌های نفوذ، سرنخ‌ها، مصنوعات، و داده‌های پزشکی قانونی هستند که در شبکه یا سیستم‌عامل یک سازمان یافت می‌شوند و نشان‌دهنده نفوذ احتمالی یا فعالیت مخرب در زیرساخت سازمان هستند.

بااین‌حال، IoCها به‌خودی‌خود اطلاعات تهدید محسوب نمی‌شوند؛ بلکه به‌عنوان منبعی مناسب از داده‌های مرتبط با تهدید عمل می‌کنند که به‌عنوان نقاط داده در فرایند تولید اطلاعات تهدید مورد استفاده قرار می‌گیرند. اطلاعات تهدید قابل اقدام استخراج‌شده از IoCها به سازمان‌ها کمک می‌کند راهبردهای مدیریت و رسیدگی به رخداد را بهبود دهند.

متخصصان امنیت سایبری از ابزارهای خودکار مختلف برای پایش IoCها استفاده می‌کنند تا نقض‌های امنیتی را شناسایی و از آن‌ها پیشگیری کنند. پایش IoCها همچنین به تیم‌های امنیتی کمک می‌کند کنترل‌ها و سیاست‌های امنیتی سازمان را تقویت کرده و ترافیک مشکوک را برای جلوگیری از حملات بعدی مسدود کنند.

برای مقابله با تهدیدهای مرتبط با IoCها، برخی سازمان‌ها مانند STIX و TAXII گزارش‌های استانداردسازی‌شده‌ای توسعه داده‌اند که شامل داده‌های فشرده مرتبط با حملات است و آن‌ها را برای بهره‌گیری در پاسخ به رخداد با دیگران به اشتراک می‌گذارند.

یک IoC می‌تواند یک شاخص اتمی، شاخص محاسبه‌شده، یا شاخص رفتاری باشد. IoC اطلاعاتی درباره فعالیت‌های مشکوک یا مخرب است که از منابع امنیتی مختلف در زیرساخت شبکه جمع‌آوری می‌شود.

• شاخص‌های اتمی: شاخص‌هایی هستند که نمی‌توان آن‌ها را به بخش‌های کوچک‌تر تقسیم کرد و معنای آن‌ها در زمینه یک نفوذ تغییر نمی‌کند. نمونه‌هایی از شاخص‌های اتمی شامل آدرس‌های IP و آدرس‌های ایمیل هستند.
• شاخص‌های محاسبه‌شده: از داده‌های استخراج‌شده از یک رخداد امنیتی به دست می‌آیند. نمونه‌هایی از این شاخص‌ها شامل مقادیر هش و عبارات منظم هستند.
• شاخص‌های رفتاری: به گروه‌بندی شاخص‌های اتمی و محاسبه‌شده گفته می‌شود که بر اساس نوعی منطق با یکدیگر ترکیب شده‌اند.

دسته‌های شاخص‌های نفوذ

متخصصان امنیت سایبری باید دانش دقیق و مناسبی درباره انواع مختلف عاملان تهدید و تاکتیک‌های مرتبط با تهدیدات سایبری داشته باشند که عمدتاً با عنوان شاخص‌های نفوذ شناخته می‌شوند.

این درک از IoCها به متخصصان امنیت کمک می‌کند تا تهدیدهایی را که وارد سازمان می‌شوند سریع‌تر شناسایی کرده و سازمان را در برابر تهدیدات در حال تکامل محافظت کنند.

برای این منظور، IoCها به چهار دسته تقسیم می‌شوند:

■ شاخص‌های ایمیلی

مهاجمان معمولاً از سرویس‌های ایمیل برای ارسال داده‌های مخرب به سازمان یا فرد هدف استفاده می‌کنند. چنین ایمیل‌هایی که با مهندسی اجتماعی طراحی می‌شوند، به دلیل سهولت استفاده و سطح بالای ناشناس‌ماندن، بسیار رایج هستند.

نمونه‌هایی از شاخص‌های ایمیلی شامل آدرس ایمیل فرستنده، موضوع ایمیل، و پیوست‌ها یا لینک‌های موجود در ایمیل هستند.

■ شاخص‌های شبکه‌ای

شاخص‌های شبکه‌ای برای شناسایی فعالیت‌های فرماندهی و کنترل، تحویل بدافزار، و جزئیات مربوط به سیستم‌عامل، نوع مرورگر، و سایر اطلاعات خاص سیستم مفیدند.

نمونه‌هایی از شاخص‌های شبکه‌ای شامل URLها، نام دامنه‌ها، و آدرس‌های IP هستند.

■ شاخص‌های میزبان‌محور

شاخص‌های میزبان‌محور از طریق تحلیل سیستم آلوده در شبکه سازمان به دست می‌آیند.

نمونه‌هایی از شاخص‌های میزبان‌محور شامل نام فایل‌ها، هش فایل‌ها، کلیدهای رجیستری، فایل‌های DLL، و Mutex هستند.

■ شاخص‌های رفتاری

به‌طور کلی، IoCهای معمولی برای شناسایی نفوذ مفید هستند؛ مانند آدرس‌های IP مخرب، امضاهای ویروس، هش MD5، و نام دامنه‌ها.

شاخص‌های رفتاری برای شناسایی رفتارهای مشخص مرتبط با فعالیت‌های مخرب استفاده می‌شوند؛ مانند تزریق کد در حافظه یا اجرای اسکریپت‌های یک برنامه.

رفتارهای دقیق و تعریف‌شده، امکان ارائه محافظت گسترده‌ای را فراهم می‌کنند که قادر است تمام فعالیت‌های مخرب فعلی و آینده را مسدود کند. این شاخص‌ها برای شناسایی زمانی که سرویس‌های مشروع سیستم برای فعالیت‌های غیرعادی یا غیرمنتظره استفاده می‌شوند نیز کاربرد دارند.

نمونه‌هایی از شاخص‌های رفتاری شامل اجرای اسکریپت PowerShell توسط یک سند و اجرای فرمان از راه دور هستند.

برخی از مهم‌ترین شاخص‌های نفوذ در ادامه فهرست شده‌اند:

• ترافیک خروجی غیرعادی شبکه
• فعالیت غیرمعمول از طریق یک حساب کاربری دارای دسترسی ویژه
• ناهنجاری‌های جغرافیایی
• شکست‌های متعدد در ورود به سیستم
• افزایش حجم خواندن از پایگاه داده
• اندازه بزرگ پاسخ‌های
• درخواست‌های متعدد برای یک فایل یکسان
• عدم تطابق بین پورت و نوع ترافیک برنامه
• تغییرات مشکوک در رجیستری یا فایل‌های سیستمی
• درخواست‌های غیرعادی DNS
• وصله‌گذاری غیرمنتظره سیستم‌ها
• نشانه‌های فعالیت حمله انکار سرویس توزیع‌شده
• بسته‌های داده در مکان‌های نامناسب یا غیرمعمول
• ترافیک وب با رفتار فراتر از توان انسانی