একটি নিরাপত্তা সরঞ্জাম হিসাবে গর্ত - 2, বা কিভাবে APT ধরতে হয় "লাইভ টোপ"

(শীরোনাম ধারণার জন্য সের্গেই জি ব্রেস্টারকে ধন্যবাদ sebres)

সহকর্মীরা, এই নিবন্ধটির উদ্দেশ্য হল প্রতারণা প্রযুক্তির উপর ভিত্তি করে একটি নতুন শ্রেণীর IDS সমাধানের এক বছরব্যাপী পরীক্ষা পরিচালনার অভিজ্ঞতা শেয়ার করা।

উপাদানের উপস্থাপনার যৌক্তিক সমন্বয় বজায় রাখার জন্য, আমি প্রাঙ্গণ দিয়ে শুরু করা প্রয়োজন বলে মনে করি। সুতরাং, সমস্যা:

1. টার্গেট করা আক্রমণ হল সবচেয়ে বিপজ্জনক ধরনের আক্রমণ, যদিও হুমকির মোট সংখ্যার মধ্যে তাদের ভাগ কম।
2. পরিধি (বা এই জাতীয় উপায়গুলির একটি সেট) রক্ষার কোনও নিশ্চিত কার্যকর উপায় এখনও উদ্ভাবিত হয়নি।
3. একটি নিয়ম হিসাবে, লক্ষ্যবস্তু আক্রমণ বিভিন্ন পর্যায়ে সঞ্চালিত হয়। পরিধি অতিক্রম করা প্রাথমিক পর্যায়ের মধ্যে একটি মাত্র, যা (আপনি আমার দিকে পাথর ছুঁড়তে পারেন) "শিকারের" খুব বেশি ক্ষতি করে না, যদি না, অবশ্যই, এটি একটি DEoS (পরিষেবার ধ্বংস) আক্রমণ (এনক্রিপ্টর, ইত্যাদি) .) আসল "বেদনা" শুরু হয় পরে, যখন ক্যাপচার করা সম্পদগুলি একটি "গভীরতা" আক্রমণের পিভটিং এবং বিকাশের জন্য ব্যবহার করা শুরু হয় এবং আমরা এটি লক্ষ্য করিনি।
4. যেহেতু আমরা প্রকৃত ক্ষতির সম্মুখীন হতে শুরু করি যখন আক্রমণকারীরা আক্রমণের লক্ষ্যে পৌঁছায় (অ্যাপ্লিকেশন সার্ভার, ডিবিএমএস, ডেটা গুদাম, সংগ্রহস্থল, গুরুত্বপূর্ণ অবকাঠামো উপাদান), এটি যৌক্তিক যে তথ্য সুরক্ষা পরিষেবার কাজগুলির মধ্যে একটি হল আক্রমণের আগে বাধা দেওয়া। এই দুঃখজনক ঘটনা। কিন্তু কোনো কিছুকে বাধাগ্রস্ত করতে হলে প্রথমেই সে সম্পর্কে জানতে হবে। এবং যত তাড়াতাড়ি, ভাল।
5. তদনুসারে, সফল ঝুঁকি ব্যবস্থাপনার জন্য (অর্থাৎ, লক্ষ্যবস্তু আক্রমণ থেকে ক্ষয়ক্ষতি কমানো), ন্যূনতম TTD (শনাক্ত করার সময় - অনুপ্রবেশের মুহূর্ত থেকে আক্রমণ শনাক্ত হওয়ার মুহূর্ত পর্যন্ত) সরবরাহ করবে এমন সরঞ্জাম থাকা গুরুত্বপূর্ণ। শিল্প এবং অঞ্চলের উপর নির্ভর করে, এই সময়কাল মার্কিন যুক্তরাষ্ট্রে গড় 99 দিন, EMEA অঞ্চলে 106 দিন, APAC অঞ্চলে 172 দিন (M-Trends 2017, A View From the Front Lines, Mandiant)।
6. বাজারে কি অফার করে?
   • "স্যান্ডবক্স"। আরেকটি প্রতিরোধমূলক নিয়ন্ত্রণ, যা আদর্শ থেকে অনেক দূরে। স্যান্ডবক্স বা হোয়াইটলিস্টিং সমাধান সনাক্তকরণ এবং বাইপাস করার জন্য অনেক কার্যকরী কৌশল রয়েছে। "অন্ধকার দিক" থেকে ছেলেরা এখানে এখনও এক ধাপ এগিয়ে।
   • UEBA (প্রোফাইলিং আচরণ এবং বিচ্যুতি সনাক্তকরণের সিস্টেম) - তাত্ত্বিকভাবে, খুব কার্যকর হতে পারে। কিন্তু, আমার মতে, এটি সুদূর ভবিষ্যতের কিছু সময়। অনুশীলনে, এটি এখনও খুব ব্যয়বহুল, অবিশ্বস্ত এবং এর জন্য একটি অত্যন্ত পরিপক্ক এবং স্থিতিশীল আইটি এবং তথ্য সুরক্ষা অবকাঠামো প্রয়োজন, যেখানে ইতিমধ্যে সমস্ত সরঞ্জাম রয়েছে যা আচরণগত বিশ্লেষণের জন্য ডেটা তৈরি করবে।
   • এসআইইএম তদন্তের জন্য একটি ভাল হাতিয়ার, তবে এটি সময়মত নতুন এবং আসল কিছু দেখতে এবং দেখাতে সক্ষম হয় না, কারণ পারস্পরিক সম্পর্কের নিয়মগুলি স্বাক্ষরের মতোই।

7. ফলস্বরূপ, এমন একটি সরঞ্জামের প্রয়োজন রয়েছে যা:
   • ইতিমধ্যে আপোস করা পরিধির পরিস্থিতিতে সফলভাবে কাজ করেছে,
   • ব্যবহৃত সরঞ্জাম এবং দুর্বলতা নির্বিশেষে কাছাকাছি বাস্তব সময়ে সফল আক্রমণ সনাক্ত করা হয়েছে,
   • স্বাক্ষর/নিয়ম/স্ক্রিপ্ট/নীতি/প্রোফাইল এবং অন্যান্য স্ট্যাটিক জিনিসের উপর নির্ভর করে না,
   • বিশ্লেষণের জন্য প্রচুর পরিমাণে ডেটা এবং তাদের উত্সের প্রয়োজন নেই,
   • আক্রমণগুলিকে "বিশ্বের সেরা, পেটেন্ট করা এবং তাই বন্ধ গণিত"-এর কাজের ফলাফল হিসাবে কোনও ধরণের ঝুঁকি-স্কোরিং হিসাবে সংজ্ঞায়িত করার অনুমতি দেবে না, যার জন্য অতিরিক্ত তদন্তের প্রয়োজন, কিন্তু কার্যত একটি বাইনারি ইভেন্ট হিসাবে - "হ্যাঁ, আমাদের আক্রমণ করা হচ্ছে" বা "না, সবকিছু ঠিক আছে",
   • এটি সার্বজনীন, দক্ষতার সাথে পরিমাপযোগ্য এবং যে কোনো ভিন্নধর্মী পরিবেশে প্রয়োগ করা সম্ভবপর ছিল, ভৌত এবং যৌক্তিক নেটওয়ার্ক টপোলজি ব্যবহার করা যাই হোক না কেন।

তথাকথিত প্রতারণার সমাধানগুলি এখন এমন একটি হাতিয়ারের ভূমিকার জন্য অপেক্ষা করছে। অর্থাৎ, মধুর পাত্রের ভাল পুরানো ধারণার উপর ভিত্তি করে সমাধান, কিন্তু বাস্তবায়নের সম্পূর্ণ ভিন্ন স্তরের সাথে। এই প্রসঙ্গ এখন অবশ্যই বৃদ্ধি পাচ্ছে।

ফলাফল অনুযায়ী গার্টনার সিকিউরিটি অ্যান্ড রিস্ক ম্যানেজমেন্ট সামিট 2017 প্রতারণার সমাধানগুলি শীর্ষ 3 কৌশল এবং সরঞ্জামগুলিতে অন্তর্ভুক্ত করা হয়েছে যা ব্যবহারের জন্য সুপারিশ করা হয়।

রিপোর্ট অনুযায়ী TAG সাইবার নিরাপত্তা বার্ষিক 2017 প্রতারণা হল IDS ইনট্রুশন ডিটেকশন সিস্টেম) সমাধানগুলির বিকাশের অন্যতম প্রধান দিক।

পরের একটি সম্পূর্ণ অধ্যায় সিসকো স্টেট অফ আইটি সিকিউরিটি রিপোর্ট, SCADA-তে নিবেদিত, এই বাজারের একজন নেতা, TrapX সিকিউরিটি (ইসরায়েল) এর ডেটার উপর ভিত্তি করে তৈরি করা হয়েছে, যার সমাধানটি এক বছর ধরে আমাদের পরীক্ষার এলাকায় কাজ করছে।

ট্র্যাপএক্স ডিসেপশন গ্রিড আপনাকে লাইসেন্সিং লোড এবং হার্ডওয়্যার সংস্থানগুলির প্রয়োজনীয়তা না বাড়িয়ে কেন্দ্রীয়ভাবে ব্যাপকভাবে বিতরণ করা IDS খরচ করতে এবং পরিচালনা করতে দেয়। প্রকৃতপক্ষে, ট্র্যাপএক্স একটি কনস্ট্রাক্টর যা আপনাকে বিদ্যমান আইটি অবকাঠামোর উপাদানগুলি থেকে একটি এন্টারপ্রাইজ-ওয়াইড স্কেলে আক্রমণ সনাক্ত করার জন্য একটি বড় প্রক্রিয়া তৈরি করতে দেয়, এক ধরণের বিতরণ করা নেটওয়ার্ক "অ্যালার্ম।"

সমাধান কাঠামো

আমাদের পরীক্ষাগারে আমরা আইটি নিরাপত্তার ক্ষেত্রে ক্রমাগত বিভিন্ন নতুন পণ্য অধ্যয়ন এবং পরীক্ষা করি। বর্তমানে, প্রায় 50টি ভিন্ন ভার্চুয়াল সার্ভার এখানে স্থাপন করা হয়েছে, যার মধ্যে TrapX Deception Grid উপাদান রয়েছে।

সুতরাং, উপরে থেকে নীচে:

1. টিএসওসি (ট্র্যাপএক্স সিকিউরিটি অপারেশন কনসোল) হল সিস্টেমের মস্তিষ্ক। এটি সেন্ট্রাল ম্যানেজমেন্ট কনসোল যার মাধ্যমে কনফিগারেশন, সমাধানের স্থাপনা এবং প্রতিদিনের সমস্ত ক্রিয়াকলাপ সঞ্চালিত হয়। যেহেতু এটি একটি ওয়েব পরিষেবা, এটি যে কোনও জায়গায় স্থাপন করা যেতে পারে - পরিধিতে, ক্লাউডে বা একটি MSSP প্রদানকারীতে৷
2. ট্র্যাপএক্স অ্যাপ্লায়েন্স (টিএসএ) হল একটি ভার্চুয়াল সার্ভার যার সাথে আমরা ট্রাঙ্ক পোর্ট ব্যবহার করে সংযুক্ত করি, যে সাবনেটগুলিকে আমরা পর্যবেক্ষণের মাধ্যমে কভার করতে চাই। এছাড়াও, আমাদের সমস্ত নেটওয়ার্ক সেন্সর আসলে এখানে "লাইভ"।

   আমাদের ল্যাবে একটি টিএসএ স্থাপন করা হয়েছে (mwsapp1), কিন্তু বাস্তবে অনেকগুলি হতে পারে৷ এটি বড় নেটওয়ার্কগুলিতে প্রয়োজনীয় হতে পারে যেখানে সেগমেন্টগুলির মধ্যে কোনও L2 সংযোগ নেই (একটি সাধারণ উদাহরণ হল "হোল্ডিং এবং সাবসিডিয়ারি" বা "ব্যাঙ্কের প্রধান কার্যালয় এবং শাখাগুলি") অথবা যদি নেটওয়ার্কে বিচ্ছিন্ন বিভাগ থাকে, উদাহরণস্বরূপ, স্বয়ংক্রিয় প্রক্রিয়া নিয়ন্ত্রণ ব্যবস্থা। এই ধরনের প্রতিটি শাখা/সেগমেন্টে, আপনি আপনার নিজস্ব TSA স্থাপন করতে পারেন এবং এটিকে একটি একক TSOC-তে সংযুক্ত করতে পারেন, যেখানে সমস্ত তথ্য কেন্দ্রীয়ভাবে প্রক্রিয়া করা হবে। এই স্থাপত্যটি আপনাকে নেটওয়ার্কের আমূল পুনর্গঠন বা বিদ্যমান বিভাজন ব্যাহত করার প্রয়োজন ছাড়াই বিতরণ করা পর্যবেক্ষণ সিস্টেম তৈরি করতে দেয়।

   এছাড়াও, আমরা TAP/SPAN এর মাধ্যমে TSA-তে বহির্গামী ট্রাফিকের একটি অনুলিপি জমা দিতে পারি। যদি আমরা পরিচিত বটনেট, কমান্ড এবং কন্ট্রোল সার্ভার, বা TOR সেশনের সাথে সংযোগ সনাক্ত করি, তাহলে আমরা কনসোলে ফলাফলও পাব। নেটওয়ার্ক ইন্টেলিজেন্স সেন্সর (NIS) এর জন্য দায়ী। আমাদের পরিবেশে, এই কার্যকারিতা ফায়ারওয়ালে প্রয়োগ করা হয়, তাই আমরা এটি এখানে ব্যবহার করিনি।

3. অ্যাপ্লিকেশন ট্র্যাপস (সম্পূর্ণ ওএস) – উইন্ডোজ সার্ভারের উপর ভিত্তি করে ঐতিহ্যবাহী হানিপট। আপনার এগুলির অনেকগুলির প্রয়োজন নেই, যেহেতু এই সার্ভারগুলির মূল উদ্দেশ্য হল সেন্সরগুলির পরবর্তী স্তরগুলিতে আইটি পরিষেবা প্রদান করা বা উইন্ডোজ পরিবেশে স্থাপন করা ব্যবসায়িক অ্যাপ্লিকেশনগুলিতে আক্রমণ সনাক্ত করা৷ আমাদের পরীক্ষাগারে এমন একটি সার্ভার ইনস্টল করা আছে (FOS01)

   

4. এমুলেটেড ফাঁদগুলি হল সমাধানের প্রধান উপাদান, যা আমাদেরকে, একটি একক ভার্চুয়াল মেশিন ব্যবহার করে আক্রমণকারীদের জন্য একটি খুব ঘন "মাইনফিল্ড" তৈরি করতে এবং আমাদের সেন্সরগুলির সাথে এন্টারপ্রাইজ নেটওয়ার্ক, এর সমস্ত ভ্লানগুলিকে পরিপূর্ণ করতে দেয়৷ আক্রমণকারী এমন একটি সেন্সর, বা ফ্যান্টম হোস্ট, একটি বাস্তব উইন্ডোজ পিসি বা সার্ভার, লিনাক্স সার্ভার বা অন্য ডিভাইস হিসাবে দেখে যা আমরা তাকে দেখানোর সিদ্ধান্ত নিই।

   
   
   ব্যবসার ভালোর জন্য এবং কৌতূহলের খাতিরে, আমরা "প্রতিটি প্রাণীর এক জোড়া" স্থাপন করেছি - উইন্ডোজ পিসি এবং বিভিন্ন সংস্করণের সার্ভার, লিনাক্স সার্ভার, উইন্ডোজ এমবেডেড একটি এটিএম, সুইফট ওয়েব অ্যাক্সেস, একটি নেটওয়ার্ক প্রিন্টার, একটি সিসকো সুইচ, একটি অ্যাক্সিস আইপি ক্যামেরা, একটি ম্যাকবুক, পিএলসি-ডিভাইস এবং এমনকি একটি স্মার্ট লাইট বাল্ব। মোট 13 টি হোস্ট আছে। সাধারণভাবে, বিক্রেতা প্রকৃত হোস্টের সংখ্যার অন্তত 10% পরিমাণে এই ধরনের সেন্সর স্থাপনের সুপারিশ করেন। উপরের বারটি উপলব্ধ ঠিকানা স্থান।

   একটি অত্যন্ত গুরুত্বপূর্ণ বিষয় হল যে এই ধরনের প্রতিটি হোস্ট একটি পূর্ণাঙ্গ ভার্চুয়াল মেশিন নয় যার জন্য সংস্থান এবং লাইসেন্স প্রয়োজন। এটি একটি ডিকয়, এমুলেশন, টিএসএ-তে একটি প্রক্রিয়া, যার একটি সেট প্যারামিটার এবং একটি আইপি ঠিকানা রয়েছে। অতএব, এমনকি একটি TSA-এর সাহায্যে, আমরা শত শত ফ্যান্টম হোস্টের সাথে নেটওয়ার্ককে পরিপূর্ণ করতে পারি, যা অ্যালার্ম সিস্টেমে সেন্সর হিসাবে কাজ করবে। এই প্রযুক্তিই যে কোনো বৃহৎ বিতরণকৃত এন্টারপ্রাইজ জুড়ে মধুর পাত্রের ধারণাটিকে সাশ্রয়ীভাবে মাপতে সম্ভব করে তোলে।

   আক্রমণকারীর দৃষ্টিকোণ থেকে, এই হোস্টগুলি আকর্ষণীয় কারণ তারা দুর্বলতা ধারণ করে এবং তুলনামূলকভাবে সহজ লক্ষ্য বলে মনে হয়। আক্রমণকারী এই হোস্টগুলিতে পরিষেবাগুলি দেখে এবং তাদের সাথে যোগাযোগ করতে পারে এবং স্ট্যান্ডার্ড সরঞ্জাম এবং প্রোটোকল (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, ইত্যাদি) ব্যবহার করে আক্রমণ করতে পারে। কিন্তু আক্রমণ বিকাশ বা আপনার নিজস্ব কোড চালানোর জন্য এই হোস্টগুলি ব্যবহার করা অসম্ভব।

5. এই দুটি প্রযুক্তির সংমিশ্রণ (ফুলওএস এবং এমুলেটেড ফাঁদ) আমাদের একটি উচ্চ পরিসংখ্যানগত সম্ভাবনা অর্জন করতে দেয় যে আক্রমণকারী আমাদের সিগন্যালিং নেটওয়ার্কের কিছু উপাদানের সাথে শীঘ্র বা পরে মুখোমুখি হবে। কিন্তু কিভাবে আমরা নিশ্চিত করতে পারি যে এই সম্ভাবনা 100% এর কাছাকাছি?

   তথাকথিত প্রতারণার টোকেন যুদ্ধে প্রবেশ করে। তাদের ধন্যবাদ, আমরা আমাদের বিতরণ করা IDS-এ এন্টারপ্রাইজের সমস্ত বিদ্যমান পিসি এবং সার্ভার অন্তর্ভুক্ত করতে পারি। টোকেন ব্যবহারকারীদের আসল পিসিতে স্থাপন করা হয়। এটা বোঝা গুরুত্বপূর্ণ যে টোকেনগুলি এজেন্ট নয় যেগুলি সম্পদ ব্যবহার করে এবং দ্বন্দ্ব সৃষ্টি করতে পারে। টোকেন হল প্যাসিভ তথ্য উপাদান, আক্রমণকারী পক্ষের জন্য এক ধরনের "ব্রেডক্রাম্বস" যা একে ফাঁদে ফেলে। উদাহরণস্বরূপ, ম্যাপ করা নেটওয়ার্ক ড্রাইভ, ব্রাউজারে নকল ওয়েব অ্যাডমিনদের বুকমার্ক এবং তাদের জন্য সংরক্ষিত পাসওয়ার্ড, সংরক্ষিত ssh/rdp/winscp সেশন, হোস্ট ফাইলগুলিতে মন্তব্য সহ আমাদের ফাঁদ, মেমরিতে সংরক্ষিত পাসওয়ার্ড, অস্তিত্বহীন ব্যবহারকারীদের শংসাপত্র, অফিস ফাইল, খোলা যা সিস্টেমকে ট্রিগার করবে এবং আরও অনেক কিছু। এইভাবে, আমরা আক্রমণকারীকে একটি বিকৃত পরিবেশে রাখি, আক্রমণ ভেক্টর দিয়ে পরিপূর্ণ যা আসলে আমাদের জন্য হুমকি নয়, বরং বিপরীত। এবং তথ্যটি কোথায় সত্য এবং কোথায় মিথ্যা তা নির্ধারণ করার কোনও উপায় তার নেই। এইভাবে, আমরা শুধুমাত্র একটি আক্রমণের দ্রুত সনাক্তকরণ নিশ্চিত করি না, তবে এর অগ্রগতি উল্লেখযোগ্যভাবে কমিয়ে দিই।

একটি নেটওয়ার্ক ফাঁদ তৈরি এবং টোকেন সেট আপ করার একটি উদাহরণ। বন্ধুত্বপূর্ণ ইন্টারফেস এবং কনফিগার, স্ক্রিপ্ট ইত্যাদির কোনো ম্যানুয়াল সম্পাদনা নেই।

আমাদের পরিবেশে, আমরা উইন্ডোজ সার্ভার 01R2012 চালিত FOS2 এবং Windows 7 চালিত একটি পরীক্ষামূলক পিসিতে এই ধরনের বেশ কয়েকটি টোকেন কনফিগার করে রেখেছি। (অনুকরণ করা ফাঁদ) এছাড়াও প্রদর্শিত হয়. তাই আমরা ঘটনার একটি ধ্রুবক প্রবাহ পেতে, স্বাভাবিকভাবেই তাই কথা বলতে.

সুতরাং, এখানে বছরের জন্য কিছু দ্রুত পরিসংখ্যান রয়েছে:

56 - ঘটনা রেকর্ড করা হয়েছে,
2 - আক্রমণ উত্স হোস্ট সনাক্ত করা হয়েছে.

ইন্টারেক্টিভ, ক্লিকযোগ্য আক্রমণ মানচিত্র

একই সময়ে, সমাধানটি কিছু ধরণের মেগা-লগ বা ইভেন্ট ফিড তৈরি করে না, যা বুঝতে অনেক সময় লাগে। পরিবর্তে, সমাধান নিজেই ইভেন্টগুলিকে তাদের প্রকার অনুসারে শ্রেণীবদ্ধ করে এবং তথ্য সুরক্ষা দলকে প্রাথমিকভাবে সবচেয়ে বিপজ্জনক বিষয়গুলিতে ফোকাস করার অনুমতি দেয় - যখন আক্রমণকারী নিয়ন্ত্রণ সেশন (মিথস্ক্রিয়া) বাড়ানোর চেষ্টা করে বা যখন বাইনারি পেলোড (সংক্রমণ) আমাদের ট্র্যাফিকের মধ্যে উপস্থিত হয়।

ইভেন্ট সম্পর্কিত সমস্ত তথ্য আমার মতে, তথ্য সুরক্ষার ক্ষেত্রে প্রাথমিক জ্ঞান থাকা ব্যবহারকারীর জন্যও সহজে বোঝার মতো ফর্মে পাঠযোগ্য এবং উপস্থাপিত।

বেশিরভাগ রেকর্ড করা ঘটনা হল আমাদের হোস্ট বা একক সংযোগ স্ক্যান করার প্রচেষ্টা।

অথবা RDP-এর জন্য জোর করে পাসওয়ার্ড ব্যবহার করার চেষ্টা

তবে আরও আকর্ষণীয় ঘটনাও ছিল, বিশেষত যখন আক্রমণকারীরা RDP-এর পাসওয়ার্ড অনুমান করতে এবং স্থানীয় নেটওয়ার্কে অ্যাক্সেস পেতে "পরিচালিত" হয়েছিল।

একজন আক্রমণকারী psexec ব্যবহার করে কোড চালানোর চেষ্টা করে।

আক্রমণকারী একটি সংরক্ষিত অধিবেশন খুঁজে পেয়েছিল, যা তাকে লিনাক্স সার্ভারের আকারে একটি ফাঁদে ফেলেছিল। সংযোগ করার পরপরই, একটি পূর্ব-প্রস্তুত কমান্ডের সাথে, এটি সমস্ত লগ ফাইল এবং সংশ্লিষ্ট সিস্টেম ভেরিয়েবল ধ্বংস করার চেষ্টা করেছিল।

একজন আক্রমণকারী একটি হানিপটে এসকিউএল ইনজেকশন করার চেষ্টা করে যা সুইফট ওয়েব অ্যাক্সেসের অনুকরণ করে।

এই ধরনের "প্রাকৃতিক" আক্রমণের পাশাপাশি, আমরা আমাদের নিজস্ব কিছু পরীক্ষাও পরিচালনা করেছি। একটি নেটওয়ার্কে একটি নেটওয়ার্ক ওয়ার্ম সনাক্তকরণ সময় পরীক্ষা করা হচ্ছে সবচেয়ে প্রকাশক। এটি করার জন্য আমরা গার্ডিকোর নামক একটি টুল ব্যবহার করেছি সংক্রমণ বানর. এটি একটি নেটওয়ার্ক ওয়ার্ম যা উইন্ডোজ এবং লিনাক্স হাইজ্যাক করতে পারে, কিন্তু কোনো "পেলোড" ছাড়াই।
আমরা একটি স্থানীয় কমান্ড সেন্টার স্থাপন করেছি, একটি মেশিনে কৃমির প্রথম দৃষ্টান্ত চালু করেছি এবং দেড় মিনিটেরও কম সময়ের মধ্যে TrapX কনসোলে প্রথম সতর্কতা পেয়েছি। TTD 90 সেকেন্ড বনাম গড়ে 106 দিন...

অন্যান্য শ্রেণীর সমাধানগুলির সাথে একীভূত করার ক্ষমতার জন্য ধন্যবাদ, আমরা হুমকিগুলিকে দ্রুত সনাক্ত করা থেকে স্বয়ংক্রিয়ভাবে তাদের প্রতিক্রিয়া জানাতে যেতে পারি।

উদাহরণস্বরূপ, NAC (নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল) সিস্টেমের সাথে বা কার্বনব্ল্যাকের সাথে একীকরণ আপনাকে নেটওয়ার্ক থেকে আপস করা পিসিগুলিকে স্বয়ংক্রিয়ভাবে সংযোগ বিচ্ছিন্ন করার অনুমতি দেবে৷

স্যান্ডবক্সের সাথে ইন্টিগ্রেশন আক্রমণের সাথে জড়িত ফাইলগুলিকে স্বয়ংক্রিয়ভাবে বিশ্লেষণের জন্য জমা দেওয়ার অনুমতি দেয়।

ম্যাকাফি ইন্টিগ্রেশন

সমাধানটির নিজস্ব বিল্ট-ইন ইভেন্ট পারস্পরিক সম্পর্ক ব্যবস্থাও রয়েছে।

কিন্তু আমরা এর ক্ষমতা নিয়ে সন্তুষ্ট ছিলাম না, তাই আমরা এটিকে HP ArcSight-এর সাথে একীভূত করেছি।

অন্তর্নির্মিত টিকিট সিস্টেম পুরো বিশ্বকে সনাক্ত করা হুমকি মোকাবেলায় সহায়তা করে।

যেহেতু সমাধানটি "শুরু থেকেই" সরকারী সংস্থা এবং একটি বৃহৎ কর্পোরেট অংশের প্রয়োজনের জন্য তৈরি করা হয়েছিল, এটি স্বাভাবিকভাবেই একটি ভূমিকা-ভিত্তিক অ্যাক্সেস মডেল, AD এর সাথে একীকরণ, রিপোর্ট এবং ট্রিগারের একটি উন্নত সিস্টেম (ইভেন্ট সতর্কতা), অর্কেস্ট্রেশন প্রয়োগ করে। বড় হোল্ডিং স্ট্রাকচার বা MSSP প্রদানকারী।

পরিবর্তে একটি সারসংকলন

যদি এমন একটি মনিটরিং সিস্টেম থাকে, যা রূপকভাবে বলতে গেলে, আমাদের পিঠকে ঢেকে রাখে, তবে ঘেরের আপোষের সাথে সবকিছুই শুরু হয়। সবচেয়ে গুরুত্বপূর্ণ বিষয় তথ্য নিরাপত্তা ঘটনা মোকাবেলা করার একটি বাস্তব সুযোগ আছে, এবং তাদের পরিণতি মোকাবেলা না.

উত্স: www.habr.com