CTI también puede ser usada durante la ejecución del engagement, emulando las características de comportamiento del adversario, como:
- Tráfico de C2
- User agents
- Puertos, protocolos
- Perfiles de listener
- Malware y herramientas
- IOCs
- Comportamientos
El primer uso de comportamiento de CTI que mostraremos es manipulación de tráfico C2 (Command & Control). Un red team puede usar CTI para identificar el tráfico del adversario y modificar su tráfico C2 para emularlo.
Un ejemplo de un red team modificando tráfico C2 basado en la CTI recolectada es malleable profiles. Este permite a un operador red team a controlar múltiples aspectos del tráfico de un listener C2.
La información a implementar en el perfil puede ser recolectada del ISACs y de IOCs recolectados o capturas de paquetes incluyendo:
- Host Headers
- POST URIs
- Server Responses and Headers
El tráfico recolectado puede ayudar al red team a hacer su tráfico similar al recolectado por el adversario para acercarse al objetivo de la emulación.
El segundo uso de comportamiento del CTI es analizar el comportamiento y las acciones del malware y herramientas de los adversarios para desarrollar la instrumentación ofensiva que emule comportamientos similares o tenga los mismo indicadores vitales.
Como ejemplo de esto podría haber un adversario usando un dropper personalizado. El red team puede emular el dropper haciendo lo siguiente:
- Identificando tráfico
- Observando llamadas a APIs y a sistema
- Identificando comportamiento y objetivo de dropper
- Manipulando las firmas e IOCs