Als Teil des F5 Office of the CTO konzentriert sich das Advanced Threat Research Center of Excellence darauf, die Geheimnisse der am weitesten verbreiteten Bedrohungen aufzudecken, die das Internet heimsuchen. Ergänzend zum Schwerpunkt von F5 Labs auf Threat Intelligence führt das ATRCoE fortschrittliche Bedrohungsforschung durch, um Außenperspektiven auf Cybersicherheitsrisiken aufzuzeigen. Diese Forschung wird anschließend analysiert, um überzeugende Vordenkerbeiträge und Erkenntnisse im Bereich der Cybersicherheit zu gewinnen.
Unter der Leitung von Dr. Aditya Sood hat diese neue Gruppe bereits hochentwickelte Bedrohungen aufgedeckt und Forschungsergebnisse in verschiedenen Publikationen wie Virus Bulletin, Elsevier Magazines und BlackHat Arsenal sowie auf führenden Sicherheitskonferenzen der Branche wie Texas Cyber Summit, BSides Berlin, Hack-in-Paris, Secure 360, Virus Bulletin und weiteren veröffentlicht. Einige besonders erwähnenswerte Beiträge finden Sie nachfolgend:
- Collector-Stealer: Informationsdieb russischen Ursprungs
- Analyse des AZORult-C&C-Panels
- Die COVID-19-Bedrohungslandschaft
- Enfilade-Tool: Erkennung von Ransomware-Infektionen in MongoDB
- Erkennung von DGA-Angriffen (Domain Generation Algorithm) mithilfe von ML/KI
- Cryptojacking: Kompromittierte Kubernetes-Cluster mit NVIDIA-Treibern
- Kompromittierung von IoT-C&C-Panels zur Aufdeckung von Infektionen
Das Team besteht aus Bedrohungsforschern und Entwicklungsingenieuren:
- Amit Nagal ist leitender Data Scientist bei F5. Er verfügt über mehr als 15 Jahre Erfahrung in den Bereichen maschinelles Lernen und Analytik. Er hat an der MGS University in Entwicklungswissenschaften promoviert. Zuvor war er bei Verizon und JPMorgan Chase tätig.
- Bharathasimha Reddy Devarapally ist Softwareentwickler bei F5. Im Jahr 2020 erwarb er seinen Bachelorabschluss in Informatik am National Institute of Technology in Warangal (Indien). Bei F5 beschäftigt er sich intensiv mit der Bedrohungsforschung.
- Ruthvik Reddy Sankepally ist Softwareentwickler bei F5. Er erwarb einen Bachelor of Engineering in Informatik am BITS Pilani Hyderabad.
Wie das Team Bedrohungen aufdeckt
Das ATRCoE-Team konzentriert sich auf die strategischen, operativen, taktischen und analytischen Aspekte einer Bedrohung. Anhand der Geschäftsrisiken und Auswirkungen fortschrittlicher Bedrohungen legt es das Thema der Bedrohungsforschung fest. Anschließend analysiert das Team diese Bedrohungen, um deren TTPs (Techniken, Taktiken und Verfahren), KSAs (Kenntnisse, Fertigkeiten und Fähigkeiten) sowie AILs (Angriffsinfrastruktur und Ausgangspunkte für Angriffe) zu ermitteln. Auf Grundlage dieses Kontexts und unter Berücksichtigung bestehender Arbeiten schafft das Team die Basis für seine Forschung und entscheidet über den besten Ansatz zur Bewältigung der Bedrohung. Dieser Ansatz kann defensiv, offensiv oder hybrid sein. Die eingesetzten Techniken können proaktiv, reaktiv oder eine Kombination aus beidem sein. Das Team stellt Bedrohungsinformationen bereit, indem es Open-Source-Tools entwickelt und Forschungsergebnisse auf verschiedenen Sicherheitsportalen sowie auf Konferenzen veröffentlicht.
Wie Bedrohungen die Aufmerksamkeit des ATRCoE auf sich ziehen
Die Auswahl der Forschungsthemen basiert auf dem intern entwickelten TRIG-Framework (Threat Research and Intelligence Generation). Die Forschungsthemen werden danach ausgewählt, wie relevant sie für aktuelle komplexe Bedrohungen im Internet sind. Besonders schwerwiegende und öffentlichkeitswirksame komplexe Bedrohungen, darunter Zero-Day-Schwachstellen, genießen aufgrund ihrer Dringlichkeit und ihrer Auswirkungen auf das Produktangebot von F5 höchste Priorität. So analysierte das ATRCoE beispielsweise komplexe Bedrohungen wie AZORult, Collector-stealer und Blackguard, die gezielt von staatlichen Akteuren eingesetzt werden.
Darüber hinaus investiert ATRCoE in den Einsatz von ML/KI zur Bewältigung von Herausforderungen im Bereich der Cybersicherheit. Dazu werden beispielsweise große Mengen an DNS- (Domain Name Server) und HTTP-Protokolldaten (Hypertext Transfer Protocol) im Security Data Warehouse von F5 strukturiert analysiert. Anschließend werden die Daten untersucht, um relevante Bedrohungsartefakte und Trends in der Bedrohungslandschaft zu identifizieren und aktuelle Herausforderungen besser zu verstehen. Beispiele hierfür sind die veröffentlichten Arbeiten des Teams zu Phishing-Websites, die Covid-19-Themen nutzten, sowie die DGA-Erkennungsforschung im Rahmen von Project Astra.
Für die ATRCoE-Forschung eingesetzte Tools
Das Team verfolgt einen hybriden Ansatz, bei dem eine Vielzahl von Tools für Analysen, Automatisierung und Informationsgewinnung eingesetzt wird. Dazu gehören intern entwickelte benutzerdefinierte Skripte, Open-Source-Tools wie nmap, masscan, wireshark, tshark, bro, Radare2/Cutter, Ghidra, python usw. sowie Enterprise-Tools wie Burp Proxy.
_____
Aufgrund der Art dieser Forschung lässt sich nur schwer vorhersagen, wann neue Inhalte veröffentlicht werden. Sie können jedoch davon ausgehen, bald mehr von dieser Gruppe zu sehen.
Über den Autor
Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.
Weitere Blogbeiträge von Lori Mac VittieÄhnliche Blogbeiträge
Ein umfassender Leitfaden zur Bereitstellung und Sicherheit von KI-Anwendungen
Entdecken Sie optimale Strategien für die Absicherung und Bereitstellung von KI-Anwendungen.
KI zulassen und einführen? Lehren aus der Public Cloud
Die Einführung von KI steht unmittelbar bevor und könnte entscheidend sein, um wettbewerbsfähig zu bleiben. Daher muss die IT-Sicherheit proaktiv handeln und der KI-Einführung schon jetzt einen Schritt voraus sein, um sie auf einen risikogerechten Weg zu lenken.
Stand der Anwendungsstrategie 2022: Zeit für die Modernisierung des Betriebs
Es ist deutlich geworden, dass Unternehmen ihren Fokus erneut auf die Geschäftsfunktionen richten müssen, um die Dynamik ihrer digitalen Transformation aufrechtzuerhalten. Kundenerlebnisse haben zwar weiterhin Priorität, doch auch Geschäftsfunktionen wie Recht, Personalwesen und Finanzen müssen digitalisiert werden. Das bedeutet, dass CIOs das Steuer übernehmen, während sich die digitale Transformation von der Modernisierung von Anwendungen hin zur Modernisierung von Betriebsabläufen verlagert.
F5s Weg zu einer vielseitigen Plattform für Anwendungsanalysen
F5 bietet heute die umfassendsten Anwendungsdienste entlang des gesamten Weges vom Code bis zum Kunden. Künftig werden wir verstärkt auf Anwendungstelemetrie und -analysen setzen, damit unsere Kunden wertvolle Erkenntnisse über ihre Anwendungen, Geschäftsabläufe und Benutzererlebnisse gewinnen können. Beim Ausbau unserer Cloud-Analysefunktionen werden wir ML und KI noch stärker nutzen, um unsere Kunden bei der Verbesserung ihrer Geschäftsdienste zu unterstützen.
Telemetrie: Eine andere Art von Daten
Verwenden wir den Begriff „Telemetrie“ nur, weil er attraktiver klingt als „Daten“? Letztlich sind sowohl Daten als auch Telemetrie strukturierte Informationseinheiten. Es ist kein Verbrechen, die Begriffe synonym zu verwenden. Doch wenn man es genau nimmt, gibt es einen Unterschied. Und dieser Unterschied wird immer wichtiger werden, je weiter Unternehmen in die Datenökonomie vordringen.
MTTR bedeutet nicht „Mean Time to Reboot“
„Schnell scheitern“ lautet heute das Mantra für mehr Geschwindigkeit. Ob in DevOps oder im Geschäftsleben: Wer in einer digitalen Wirtschaft agiert, muss eine möglichst perfekte Verfügbarkeit gewährleisten.