Pyramid of Pain

חלק מהזיהויים כמעט לא מאטים תוקף. אחרים מכריחים אותו ללמוד מחדש את המקצוע. Pyramid of Pain הוא המודל שאומר לכם מה מהם: הוא מדרג אינדיקטורים של איום לפי כמה עולה לתוקף כששוללים ממנו אותם.

דיוויד ג'יי. ביאנקו (David J. Bianco) פרסם אותו ב-2013, ו-13 שנים של שינויים בכלי עבודה לא הזיזו אותו ממקומו. הפירמידה עדיין מעצבת את האופן שבו צוותי אבטחה מחליטים מה לזהות קודם.

להלן: ששת הרמות, עם המילים של ביאנקו עצמו לכל אחת. למה ראש הפירמידה הוא המקום שבו זיהוי משתלם. והחלק שרוב הכתבות מדלגות עליו - מה באמת עולה לתפעל שם.

מהי Pyramid of Pain?

Pyramid of Pain הוא מודל סייבר שפיתח דיוויד ג'יי. ביאנקו ב-2013, המדרג שישה סוגים של אינדיקטורים של איום לפי כמה עולה לתוקפים כשמגינים שוללים מהם אותם - מערכי hash שמוחלפים בקלות בתחתית, ועד התנהגויות (TTPs), שמכריחות יריבים ללמוד מחדש איך הם פועלים.

הניסוח של ביאנקו עצמו חד יותר מכל פרפרזה. הדיאגרמה, כתב, "מציגה את הקשר בין סוגי האינדיקטורים שבהם אפשר להשתמש כדי לזהות פעילות של יריב, לבין כמה כאב תגרמו להם כשתצליחו לשלול מהם את האינדיקטורים האלה." יחידת המדידה אינה כיסוי זיהוי. היא מה עולה לשולל לצד השני.

המיקוד הזה הוא מה שמפריד את המודל מרשימה גנרית של סוגי אינדיקטורים. SANS מקטלגת אותו כ"מודל קונספטואלי לשימוש אפקטיבי ב-Cyber Threat Intelligence בפעולות זיהוי איומים, עם דגש מיוחד על העלאת עלות התפעול של היריבים." זה כלי תעדוף לעבודת threat intelligence וזיהוי - לא מודל בגרות, ולא דירוג של אילו indicators of compromise הכי קל לאסוף. אינדיקטורים זולים קל לאסוף. זו בדיוק הבעיה.

ששת הרמות הופכות את הדירוג למוחשי - אם כי אחת מהן היא הרמה שרוב הכתבות טועות בה.

הסבירו לי כאילו אני בן 10

דמיינו שמנסים לעצור כנופיית כייסים. מחרמים לכייס אחד את הכפפות, והוא שולף זוג אחר. סוגרים רחוב אחד, והם עוברים רחוב הלאה. אף אחד מהשניים לא מאט את הגניבות. אבל אם כל שומר בעיר לומד את המהלך האמיתי של הכנופיה - הדחיפה, ההתנצלות, הארנק שנשלף - הטריק מפסיק לעבוד בכל מקום. הגנבים יצטרכו להמציא טריק חדש, והמצאת טריקים חדשים היא עבודה איטית ויקרה. הפירמידה מדרגת כל דבר שאפשר לקחת מתוקף לפי כמה זמן לוקח לו להחליף אותו.

מי יצר את Pyramid of Pain - ולמה?

המודל נולד מתסכול מוכר. ב-18 בפברואר 2013 פרסמה Mandiant את דוח APT1 שלה, שתיאר קבוצת חדירה המקושרת למדינה הסינית. במילותיו של ביאנקו, הדוח "פתח חור גדול בסכר ה-APT intelligence" - פתאום, למגינים בכל מקום היה סט עשיר של אינדיקטורים אמיתיים של יריב.

ואז הוא ראה מה התעשייה עשתה איתם. פסק הדין שלו: "כמעט אף אחד לא משתמש בהם באפקטיביות." צוותים טענו את ערכי ה-hash ואת כתובות ה-IP לרשימות חסימה, היריב ביצע רוטציה, והערך התאדה. 11 ימים אחרי דוח APT1, ביאנקו פרסם את Pyramid of Pain בבלוג Enterprise Detection and Response שלו כדי להסביר מה כולם פספסו: אינדיקטורים אינם שווים, ואלה שהכי קל להזין לכלי הם אלה שהתוקפים מחליפים בלי לשים לב.

הנה פרט שכמעט כל גרסה חוזרת טועה בו: הגרסה שהוא צייר לראשונה כללה רק חמש רמות. ערכי hash בכלל לא הופיעו בפירמידה המקורית של 2013. הם הגיעו בגרסה מתוקנת מינואר 2014, שביאנקו סימן בהערת עדכון של שורה אחת:

> "אני מעדכן את הפוסט הזה כדי לכלול גרסה מעט מתוקנת של הפירמידה. השינוי האמיתי היחיד שעשיתי הוא שהוספתי רמה חדשה ל-hashes."

שכבת התחתית המפורסמת ביותר של המודל הייתה, מילולית, מחשבה שבדיעבד.

ביאנקו גם אינו הערת שוליים היסטורית. הוא Staff Security Strategist בצוות המחקר SURGe של Splunk ומדריך מוסמך של SANS, עם שני עשורים בזיהוי תקריות, threat hunting ו-cyber threat intelligence; הוא גם יצר את Threat Hunting Maturity Model. הבית המקורי של המודל, בינתיים, נשאר אותו פוסט Blogspot: המקור הסמכותי על Pyramid of Pain נשאר דף בלוג חינמי.

ששת הרמות של Pyramid of Pain

הפירמידה רצה מאינדיקטורים שקל לתוקף לשנות, בתחתית, ועד כאלה שקשה באמת לשנות, בראש. התוויות בדיאגרמה של ביאנקו עוקבות אחרי הטיפוס הזה.

התחתית המתכלה: hashes וכתובות IP

ערכי hash יושבים בתחתית כי טביעת האצבע של קובץ היא העובדה השבירה ביותר לגביו. הופכים ביט אחד שלא בשימוש ומקבלים, במילותיו של ביאנקו, ערך hash שונה לחלוטין ולא קשור. הוא הולך רחוק יותר מרוב הספקים שמצטטים אותו: hashes משתנים כל כך בקלות, ויש כל כך הרבה מהם, "שבמקרים רבים אולי בכלל לא שווה לעקוב אחריהם."

כתובות IP כמעט לא דביקות יותר. שוללים אחת והיריב יכול "בדרך כלל להתאושש בלי אפילו לשבור את הקצב" - ומפעיל מאחורי Tor או מאגר פרוקסים מתחלף "עשוי להחליף IPs בתדירות גבוהה ובכלל לא לשים לב או לאכפת לו."

שמות דומיין: פסי האטה, לא חומה

שמות דומיין עולים קצת יותר, כי דומיין עובד "חייב להיות רשום, משולם (גם אם בכספים גנובים) ומאוחסן איפשהו." ביאנקו כן לגבי התקרה כאן: עם שפע ספקי DNS רשלניים וחינמיים, "בפועל לא קשה מדי להחליף דומיינים." שלוש הרמות התחתונות חולקות כלכלה אחת - השלילה כמעט חינמית לספוג.

Network and host artifacts: רמה אחת, לא שתיים

לפעמים תראו את הפירמידה מצוירת עם שבע רמות, שמפצלות network artifacts ו-host artifacts לשכבות נפרדות. במקור יש שש רמות, ושני סוגי ה-artifacts חולקים פס אחד. Network artifacts הם "observables שנגרמים מפעילות יריב ברשת שלכם" - תחשבו על תבניות URI ייחודיות או ערכי HTTP User-Agent. Host artifacts הם אותה רעיון ב-endpoint: מפתחות registry, שמות שירותים זדוניים.

כלכלת הכאב מצדיקה את הפס המשותף. זו הרמה הראשונה שבה שלילה כופה עבודה אמיתית: מזהים כאן ו"גורמים לתוקף לחזור למעבדה ולבצע קונפיגורציה מחדש ו/או קומפילציה מחדש של הכלים שלו." רוטציה מפסיקה להיות חינמית.

Tools: לוקחים את החץ מהאשפה

רמה אחת למעלה, הזיהוי מכוון לתוכנה של התוקף עצמה, דרך חתימות antivirus, כללי Yara, או פרוטוקול רשת ייחודי של כלי. התמונה של ביאנקו מדויקת: "אנחנו לוקחים מהיריב את היכולת להשתמש בחץ אחד או יותר באשפה שלו." החלפת כלי שנשרף פירושה מחקר למצוא מקבילה, פיתוח אם אין כזו, ואימון כדי לחזור להיות מיומנים - שלוש עלויות נפרדות, שמשלמים בזמן.

מעל tools יושבת הרמה שבשבילה כל המודל קיים.

למה TTPs כואבים לתוקפים הכי הרבה?

TTPs - tactics, techniques, and procedures - אינם דברים שיש לתוקף. הם מה שתוקף עושה: איך הוא מבצע הסלמת הרשאות, איך הוא מבצע תנועה רוחבית, איך הוא מרמה משתמש לאשר גישה. ההבחנה הזו נושאת את כל המודל, וביאנקו ניסח אותה בבהירות:

> "כשאתם מזהים ומגיבים ברמה הזו, אתם פועלים ישירות על התנהגויות של יריב, לא נגד הכלים שלו."

כלים אפשר להחליף. תשתיות אפשר לבצע עליהן רוטציה. התנהגות היא הנכס היחיד שיריב לא יכול להחליף מקטלוג, ולכן הפסגה מרוויחה את התווית שלה. מגיבים ל-TTPs מספיק מהר ו"מכריחים אותם לעשות את הדבר הכי גוזל זמן שאפשר: ללמוד התנהגויות חדשות."

כאן גם הפירמידה מתחברת למסגרת שרוב המגינים משתמשים בה יום-יום. MITRE ATT&CK הוא "מאגר ידע נגיש גלובלית של tactics ו-techniques של יריבים, המבוסס על תצפיות מהעולם האמיתי" - בפועל, הקטלוג של התעשייה לרמה העליונה של הפירמידה, עם כל technique בשם ובמספר.

דוגמה חיה: ההתנהגות שנשארת

קבוצת התקיפה Scattered Spider מבצעת רוטציה חופשית של hashes, כתובות ודומיינים, ובכל זאת התנהגות אחת חוזרת בקמפיינים שלה: ה-advisory המשותף של CISA מתעד שהקבוצה שולחת בקשות אישור MFA חוזרות ונשנות "כדי להוביל עובדים לאשר את הבקשה ולקבל גישה לרשת היעד" - technique T1621 במונחי ATT&CK. חוסמים את התשתית של הקבוצה והיא מושכת בכתפיים. מזהים את התנהגות ה-Push Bombing עצמה, וכל קמפיין שתלוי בה נהיה קשה יותר.

איך מגינים משתמשים בפירמידה - ומה זה עולה

המודל מצדיק את עצמו בשלושה תפקידים יומיומיים.

• תעדוף threat intelligence: דרגו אינדיקטורים נכנסים לפי רמה לפני שמשקיעים בהם מאמץ. פיד של hashes זול לצרוך וזול ליריב לפסול; technique שמתוארת היטב היא ההפך בשני המובנים.
• תעדוף detection engineering: כוונו analytics חדשים להתנהגויות במקום לאינדיקטורים סטטיים, וקבלו יותר מאמץ תכנון לכל זיהוי בתמורה לזיהויים ששורדים רוטציית תשתיות.
• מעקב אחרי threat hunting: מסגרת PEAK של ביאנקו עצמו מציינת ציד שמנוטר לפי רמת ATT&CK, Kill Chain או Pyramid of Pain כמדד ציד מרכזי - הפירמידה כלוח תוצאות למקום שבו מאמץ הציד באמת נוחת.

עכשיו החלק הכנה. זיהוי התנהגותי הוא הסוג הכי קשה לבנות טוב. analytic נאיבי של TTP לעתים קרובות קל לעקוף - וזו בדיוק הסיבה ש-Center for Threat-Informed Defense של MITRE בנה את Summiting the Pyramid, "מתודולוגיה לניקוד analytics מול pyramid of pain, שעוזרת למגינים ליצור זיהויים חסינים יותר נגד התנהגות יריב." הרף של הפרויקט לזיהוי ששווה לשמור:

> "analytic חסין יישאר מדויק, גם כשיריבים מיישמים גרסאות חדשות וערמומיות יותר של techniques של ATT&CK."

הגרסה הנוכחית, Summiting the Pyramid v4.0.0, מנקדת כל analytic בחמש רמות חוסן - מ-Level 1, "Ephemeral Values," עד Level 5, "Core to Sub-Technique or Technique" - בתוספת ציוני Telemetry Confidence למקורות הלוג שמתחת. מספר הגרסה חשוב כשקוראים על זה: הרבה כתבות עדיין מתארות את v2 או v3.

יש גם תנאים מוקדמים. צוות מחקר האיומים של Push Security מציין שניים לזיהוי ברמת technique: נקודת תצפית visibility שבאמת יכולה לצפות בהתנהגות, ומהירות מחקר ששומרת את הזיהויים מעודכנים. אף אחד מהם לא חינמי.

השכבות הזולות עדיין מצדיקות את עצמן

תחתית הפירמידה אף פעם לא הופכת לחסרת ערך. התאמת hash היא בעלת דיוק גבוה כשהיא מופעלת. חסימת IP או דומיין היא מיידית ולא עולה כלום ליישם. הפירמידה מדרגת כאב, לא ערך - טפסו בכוונה, והשאירו את השכבות הזולות לעשות את העבודה הזולה.

האם Pyramid of Pain עדיין רלוונטי ב-2026?

יותר ממה שהיה ב-2013 - כי השכבות התחתונות מתכלות עכשיו מהר יותר. ניתוח 2026 של Push Security טוען ש-AI לא יצר בעיה חדשה כל כך כמו ש"דחס את לוחות הזמנים של בעיה קיימת - תוקפים יכולים לייצר תשתיות, לבצע איטרציה על כלים, ולתעש techniques שהתגלו לאחרונה מהר יותר מבעבר," עד כדי כך ש"השכבות התחתונות של הפירמידה קורסות תחת משקל של פעולות במהירות מכונה." זה ניסוח של ספק, אבל כיוון הטענה קשה לחלוק עליו: כשתוחלת החיים של אינדיקטורים מתכווצת, מודל שאומר שאינדיקטורים תמיד היו ההשקעה החלשה נראה טוב יותר, לא גרוע יותר.

ההשקעה המתמשכת של MITRE אומרת את אותו דבר מצד המגן - Summiting the Pyramid הגיע לשחרור המרכזי הרביעי שלו בדצמבר 2024, עם AttackIQ, Fortinet, IBM, Lloyds ו-Microsoft בין המשתתפים. הפירמידה עדיין המסגרת שהתעשייה בונה עליה, ולא דיאגרמה שעברה ממנה הלאה.

המודל מבקש מכם דבר מוחשי אחד השבוע:

• אם אתם עובדים ב-SOC: תייגו את הזיהויים או הציד הקיימים שלכם לפי רמת הפירמידה והסתכלו על ההתפלגות - יוצר המודל עוקב אחרי תוכניות ציד בדיוק כך.
• אם אתם לומדים: קחו איתכם את ששת הרמות, עם network and host artifacts כאחת מהן, חזרה לקורסים - תכירו את המודל טוב יותר מרוב הדפים שמצטטים אותו.

בכל מקרה, הנקודה של הפירמידה לא השתנתה מאז השבוע שבו אינדיקטורי APT1 נשרפו: מאמץ זיהוי הוא תקציב, וצריך לבזבז אותו במקום שבו השלילה כואבת ליריב הכי הרבה.