Descripción de la Tecnica
La técnica MITRE ATT&CK CS Query: ALL_LocationChange es un patrón de ataque relacionado con la detección de actividades anómalas en entornos de red. Esta consulta de Crowdstrike Falcon se utiliza para identificar cambios recurrentes en la ubicación geográfica asociada a una IP, lo que podría indicar actividad maliciosa como el uso de servidores C2 (comando y control) en regiones distintas o la explotación de sistemas comprometidos.
Esta técnica se basa en la análisis de datos de ubicación geográfica de IPs, agrupados por dispositivo o identificador único del sistema. La consulta detecta cambios en el país o organización asociada a una IP, lo que podría señalizar un ataque que intenta evadir las medidas de seguridad al cambiar su ubicación geográfica.
¿Cómo Funciona?
La consulta utiliza la información de ubicación geográfica (IP Location) para identificar patrones anómalos. Los pasos clave incluyen:
- Análisis de ubicación: La consulta obtiene datos sobre el país y organización asociada a una IP.
- Grupación por dispositivo: Se agrupan los resultados por identificador del dispositivo (aid) o nombre del equipo (ComputerName).
- Cuenta de cambios: Se detecta si un dispositivo presenta múltiples ubicaciones distintas en intervalos de tiempo específicos.
- Filtrado: Solo se reportan eventos donde la ubicación cambia con frecuencia, lo que podría indicar una actividad no autorizada.
- Formateo de resultados: La consulta genera un formato legible para análisis humano, incluyendo país, IP, hora y organización asociada.
Esta técnica ayuda a detectar comportamientos anómalos que podrían ser indicadores de una intrusión o actividad maliciosa en la red.
Actores que la Utilizan
Esta técnica es utilizada por actores adversariales que buscan:
- Cambiar su ubicación geográfica: Para evitar detección al usar servidores C2 en regiones distintas.
- Explorar redes internas: Para moverse lateralmente dentro de una red corporativa comprometida.
- Cobrir rutas de ataque: Al alterar la ubicación geográfica de dispositivos maliciosos para evadir monitoreo basado en IP.
Estos actores suelen aprovechar vulnerabilidades en sistemas que permiten el uso de datos de ubicación geográfica como parte del análisis de seguridad.
Detección
La técnica se integra en sistemas de detección basados en la inteligencia de amenazas (SIEM) y herramientas como Crowdstrike Falcon. La detección se centra en:
- Cambios frecuentes en la ubicación geográfica de una IP.
- Dispositivos con múltiples ubicaciones distintas en un corto período.
- Actividad no autorizada que altere patrones normales de red.
La detección se complementa con análisis de comportamiento y correlación con otras fuentes de información para confirmar la naturaleza anómalas de los eventos detectados.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
La consulta proporcionada no incluye valores específicos de IPs, dominios o hashes conocidos. La técnica se basa en la detección de patrones anómalos en datos de ubicación geográfica, sin revelar información concreta sobre amenazas específicas.
Mitigación
Para mitigar riesgos asociados a esta técnica:
- Reforzar monitoreo de redes: Implementar sistemas que analicen comportamientos anómalos en datos de ubicación geográfica.
- Aumentar la seguridad perimetral: Limitar el acceso a recursos críticos y controlar la comunicación con servidores externos.
- Actualización constante de sistemas: Asegurar que herramientas como Crowdstrike Falcon estén actualizadas para detectar patrones similares.
- Educación de usuarios: Capacitar a los equipos técnicos para identificar y responder a actividades no autorizadas en la red.