Utvikling av et nytt system til vurdering av kompromitteringsindikatorer

Abstract

Denne oppgaven handler om utviklingen av et nytt system til innhenting og vurdering av kilder til kompromitteringsindikatorer (IP-adresser, domener eller andre kjennetegn til at en enhet muligens har blitt kompromittert med skadevare). Forskjellige kilder deler informasjon i form av IP-adresser, domener eller andre indikatorer som ble observert i forbindelse med angrep fra internettet. Hensikten med denne oppgaven er å hente inn indikatorene fra disse kildene, og utvikle et vurderingssystem for alvorlighetsgraden til de enkelte indikatorene og kildene. Systemet vil senere brukes internt i mnemonic til analyse av nettverkshendelser.

I starten vil det legges et teoretisk grunnlag for oppgaven, med forklaringer og definisjoner på hva kompromitteringsindikatorer er. Deretter presenteres kravene til det nye systemet, og et konsept til beregning av vurderinger som tar hensyn til disse kravene. Dernest vises i et kapittel hvordan systemet til innhenting og lagring av indikatorene ble implementert. Oppgaven avsluttes med en analyse av datasettet med kompromitteringsindikatorer som ble hentet inn under oppgaveskrivingen, samt en oppsummering av utfordringer under arbeidet og en konklusjon.

This thesis is about the development of a new system for importing and scoring sources containing indicators of compromise (IP-addresses, domains or other signs that a device possible has been infected with malware). Different sources share information such as IP-addresses, domains and other indicators that have been observed during attacks from the Internet. This thesis is about importing these indicators from the sources, and developing a scoring-system that assesses the severity of indicators and sources. Later, this system will be used internally at mnemonic for analysing network events.

In the beginning, a theoretical background will be given for the thesis, defining what an indicator of compromise is and what types there are. After that, requirements for the new system are shown, along with a concept for calculating scores that satisfy these requirements. Thereafter, the implementation of the system that imports and stores the indicators is shown. Additionally, the indicators of compromise that were imported during this semester are analysed. The thesis is ended with a discussion of challenges that were encountered working on the thesis, and a conclusion.