JA4+ Fingerprinting : la nouvelle arme des analystes, intégrable dans TheHive

La sécurisation des communications via le chiffrement massif des communications pose de nouveaux challenges pour la détection de comportements malveillants. Pour les analystes SOC, CERT et CSIRT, il devient nécessaire d’adopter de nouvelles méthodes astucieuses comme JA4 pour détecter sans déchiffrer. L’une des réponses les plus prometteuses à cette problématique réside dans le fingerprinting TLS.

Historiquement, c’est JA3 qui a posé les bases de cette technique. Mais avec la montée en puissance des mécanismes d’évasion comme GREASE avec les modifications dynamiques de l’ordre des extensions TLS, JA3 montre aujourd’hui ses limites.

C’est dans ce contexte qu’émerge JA4, une méthode de fingerprinting plus robuste, plus lisible et bien plus adaptée à la réalité opérationnelle des équipes de réponse à incident.

Mieux encore : vos signatures JA4 peuvent être analysées et corrélées nativement dans TheHive, votre plateforme de gestion d’alertes et incidents de sécurité.

JA4 est une méthode de fingerprinting TLS développée par Salesforce. Dans le but d’étendre cette approche à d’autres protocoles, FoxIO a ensuite publié la suite JA4+, qui permet d’identifier clients, serveurs et comportements réseau en s’appuyant non seulement sur les caractéristiques du protocole TLS, mais aussi sur celles de protocoles comme HTTP, TCP ou SSH.

Ainsi, la suite JA4+ se décline en 10 méthodes de fingerprinting:

Chaque fingerprint est composé de segments lisibles, structurés, permettant une lecture facilitée et une recherche plus précise. Contrairement à JA3, JA4 trie les extensions TLS par type plutôt que par ordre d’apparition, rendant le fingerprint beaucoup plus stable.

JA3 a été largement utilisé, mais souffre de plusieurs limites :

La transition vers JA4+ est d’autant plus pertinente que de nombreux acteurs majeurs comme Cloudflare, AWS, VirusTotal ou NetWitness ont déjà commencé à l’adopter.

Les empreintes JA4 et JA4H peuvent être exploitées dans divers contextes opérationnels pour améliorer les processus de détection, de triage et d’investigation :

1. Identifier les outils offensifs

Certaines signatures JA4 sont propres à des frameworks comme Cobalt Strike, Metasploit, ou d’autres implants répandus. Le fingerprint devient alors un IOC à part entière.

2. Détecter les C2 et infrastructures malveillantes

Les communications chiffrées vers un serveur de commande peuvent être repérées via leur comportement TLS ou HTTP, grâce aux segments JA4 et JA4H.

3. Réduire les faux positifs

Avec JA4, les fingerprints sont plus stables, donc les détections récurrentes et les corrélations sont plus fiables, réduisant le bruit dans vos alertes.

4. Enrichir les investigations et pivoter efficacement

Le fingerprint JA4 permet de relier plusieurs événements à un comportement réseau commun, facilitant l’analyse multi-sources.

StrangeBee met à disposition un analyzer JA4+ prêt à l’emploi, connecté à la base publique FoxIO. Il permet de rechercher des correspondances strictes sur des valeurs User-Agent ou JA4+ fingerprint (tous protocoles) directement depuis TheHive.

Avantage non négligeable : l’analyzer peut être utilisé sur les observables les plus sensibles, TLP:RED compris, puisque la comparaison est faite en local (offline) !

L’analyzer étant inclus dans le catalogue StrangeBee, il vous suffit simplement de mettre à jour la liste de vos analyzers, puis de l’activer dans Cortex. Aucun compte ni souscription requise !

• User-Agent: L’observable est comparé au champ user_agent_string dans la base FoxIO pour rechercher une correspondance exacte. Ce type d’observable est natif dans TheHive
• JA4-Fingerprint: L’observable est comparé à tous les champs* de la base FoxIO pour rechercher une correspondance exacte. Ce type d’observable doit être créé au préalable dans TheHive.

* Champs disponibles: ja4_fingerprint, ja4_fingerprint_string, ja4s_fingerprint, ja4h_fingerprint, ja4x_fingerprint, ja4t_fingerprint, ja4ts_fingerprint, ja4tscan_fingerprint

Avec les notifications, vous pouvez déclencher automatiquement l’analyzer JA4 lorsque un observable de type user-agent ou ja4-fingerprint est créé :

• Déclencheur : observable de type user-agent ou ja4-fingerprint créé
• Action : déclencher l’analyzer Cortex sur l’observable
• Résultat : enrichissement automatique (rapport d’analyse, tags)

Des workflows plus rapides à une meilleure contextualisation, voici ce que les équipes de sécurité peuvent attendre de JA4+ intégré à TheHive :

• Gain de temps : enrichissement des observables et IOCs directement dans la plateforme de case management
• Visibilité : corrélation entre cases et alertes basés sur les observables & IOCs JA4+
• Souplesse d’utilisation : supporte toutes les méthodes de JA4 fingerprinting

JA4 est de plus en plus adopté dans l’industrie de la cybersécurité. Chaque segment voit les leaders s’emparer de cette technologie :

• Proxies : Nginx
• NDS/NDR : Zeek, Suricata, NetQuest, Vectra
• Firewalls/WAF : AWS WAF, Google Cloud Armor, F5 BIG-IP, Fortinet, Cloudflare
• Threat intelligence : VirusTotal, MISP, GreyNoise
• SIEM/EDR : NetWitness, PaloAlto Networks XSIAM
• Forensic : Wireshark, Netresec, nfdump

Ce dynamisme prouve que JA4 est en passe de devenir un standard de détection d’évènements suspects, mais aussi d’enrichissements d’observables et IOCs.

Tirez le meilleur parti de JA4 en l’intégrant efficacement dans vos processus de détection et d’investigation :

1. Collectez vos fingerprints JA4 dans vos systèmes de surveillance et détection (Proxies, SIEM, WAF…)
2. Incluez vos fingerprints dans vos alertes et incidents TheHive pour les corréler avec des évènements passés ou futurs
3. Filtrez les fingerprints pour surveiller plus efficacement les fingerprints inhabituels ou nouveaux sur votre réseau
4. Évitez les faux positifs en croisant plusieurs méthodes (ex: JA4 + JA4H)
5. Utilisez JA4 comme un élément d’investigation, pas comme une preuve unique pour prendre des décisions critiques (ex: bloquer un flux réseau)

JA4+ Fingerprinting marque une étape clé dans la modernisation des méthodes de détection pour les équipes de réponse à incident. Sa structure, sa robustesse et sa lisibilité en font un outil idéal pour les environnements chiffrés.

En l’intégrant dans TheHive, vous accélérez vos investigations, améliorez la corrélation et automatisez vos enrichissements, le tout en bénéficiant de la puissance de l’écosystème JA4/FoxIO.