Que fait Analyse des indicateurs réseau de ransomware ?
Aperçu
Avant et pendant l'exécution d'un ransomware, les adversaires établissent des canaux C2, exfiltrent des données et téléchargent des clés de chiffrement. Cette compétence analyse les logs Zeek conn.log et les données NetFlow pour détecter les schémas de balise (rappel à intervalles réguliers), les connexions vers des nœuds de sortie TOR connus, les transferts de données sortants volumineux et les activités DNS suspectes associées aux familles de ransomwares.
Quand l'utiliser
- Lors de l'investigation d'incidents de sécurité nécessitant l'analyse d'indicateurs réseau de ransomware
- Lors de la création de règles de détection ou de requêtes de chasse aux menaces pour ce domaine
- Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
- Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque associées
Prérequis
- Fichiers Zeek conn.log ou exports NetFlow CSV/JSON
- Python 3.8+ avec bibliothèque standard
- Liste des nœuds de sortie TOR (récupérée depuis Tor Project ou des flux de renseignement sur les menaces)
- Facultatif : Liste d'IOC C2 de ransomwares connus
Étapes
- Analyser les logs de connexion — Ingérer les logs Zeek conn.log (TSV) ou les enregistrements NetFlow dans un format structuré
- Détecter les schémas de balise — Calculer les statistiques d'intervalle de connexion (moyenne, écart-type, coefficient de variation) pour identifier les rappels périodiques
- Vérifier les connexions vers les nœuds de sortie TOR — Croiser les adresses IP de destination avec la liste actuelle des nœuds de sortie TOR
- Identifier l'exfiltration de données — Signaler les connexions présentant des ratios d'octets sortants anormalement élevés vers des IP externes
- Analyser les schémas DNS — Détecter les requêtes de domaines de type DGA et les sous-domaines à haute entropie
- Noter et corréler — Appliquer un score de risque composite sur tous les types d'indicateurs
- Générer un rapport — Produire un rapport structuré avec une chronologie et une cartographie MITRE ATT&CK
Résultat attendu
- Rapport JSON avec détections de balises et statistiques d'intervalle
- Alertes de connexion aux nœuds de sortie TOR
- Analyse des flux d'exfiltration de données
- Score de risque composite de ransomware avec cartographie MITRE (T1071, T1573, T1041)