পিটি নেটওয়ার্ক অ্যাটাক ডিসকভারির উদাহরণ ব্যবহার করে ট্রাফিক বিশ্লেষণ সিস্টেম কীভাবে MITER ATT&CK ব্যবহার করে হ্যাকার কৌশল সনাক্ত করে

ভেরিজনের মতে, অধিকাংশ (87%) তথ্য নিরাপত্তা ঘটনা কয়েক মিনিটের মধ্যে ঘটে, এবং 68% কোম্পানির জন্য তাদের সনাক্ত করতে কয়েক মাস সময় লাগে। এই দ্বারা নিশ্চিত করা হয় পোনেমন ইনস্টিটিউট গবেষণা, যা অনুসারে একটি ঘটনা সনাক্ত করতে বেশিরভাগ সংস্থার গড়ে 206 দিন লাগে৷ আমাদের তদন্তের অভিজ্ঞতার উপর ভিত্তি করে, হ্যাকাররা সনাক্ত না করেই বছরের পর বছর ধরে একটি কোম্পানির অবকাঠামো নিয়ন্ত্রণ করতে পারে। এইভাবে, একটি সংস্থায় যেখানে আমাদের বিশেষজ্ঞরা একটি তথ্য সুরক্ষা ঘটনার তদন্ত করেছিলেন, এটি প্রকাশিত হয়েছিল যে হ্যাকাররা সংস্থার সম্পূর্ণ অবকাঠামো সম্পূর্ণরূপে নিয়ন্ত্রণ করে এবং নিয়মিত গুরুত্বপূর্ণ তথ্য চুরি করে। আট বছর ধরে.

ধরা যাক আপনার ইতিমধ্যে একটি SIEM চলছে যা লগ সংগ্রহ করে এবং ইভেন্ট বিশ্লেষণ করে এবং শেষ নোডগুলিতে অ্যান্টিভাইরাস সফ্টওয়্যার ইনস্টল করা আছে। তবুও, SIEM ব্যবহার করে সবকিছু সনাক্ত করা যায় না, ঠিক যেমন সমগ্র নেটওয়ার্ক জুড়ে EDR সিস্টেম বাস্তবায়ন করা অসম্ভব, যার মানে হল "অন্ধ" দাগ এড়ানো যায় না। নেটওয়ার্ক ট্রাফিক বিশ্লেষণ (এনটিএ) সিস্টেমগুলি তাদের সাথে মোকাবিলা করতে সহায়তা করে। এই সমাধানগুলি নেটওয়ার্ক অনুপ্রবেশের প্রাথমিক পর্যায়ে আক্রমণকারীর কার্যকলাপ সনাক্ত করে, সেইসাথে নেটওয়ার্কের মধ্যে পা রাখা এবং আক্রমণের বিকাশের প্রচেষ্টার সময়।

NTA দুই ধরনের আছে: কিছু NetFlow এর সাথে কাজ করে, অন্যরা কাঁচা ট্রাফিক বিশ্লেষণ করে। দ্বিতীয় সিস্টেমের সুবিধা হল যে তারা কাঁচা ট্র্যাফিক রেকর্ড সংরক্ষণ করতে পারে। এটির জন্য ধন্যবাদ, একজন তথ্য সুরক্ষা বিশেষজ্ঞ আক্রমণের সাফল্য যাচাই করতে পারেন, হুমকির স্থানীয়করণ করতে পারেন, কীভাবে আক্রমণটি ঘটেছে এবং ভবিষ্যতে কীভাবে একই রকম প্রতিরোধ করা যায় তা বুঝতে পারেন।

আমরা দেখাব কিভাবে NTA ব্যবহার করে আপনি জ্ঞানের ভিত্তিতে বর্ণিত সমস্ত পরিচিত আক্রমণ কৌশল সনাক্ত করতে প্রত্যক্ষ বা পরোক্ষ প্রমাণ ব্যবহার করতে পারেন মিটার এটিটি এবং সিকে. আমরা 12টি কৌশলের প্রতিটি সম্পর্কে কথা বলব, ট্র্যাফিক দ্বারা সনাক্ত করা কৌশলগুলি বিশ্লেষণ করব এবং আমাদের NTA সিস্টেম ব্যবহার করে তাদের সনাক্তকরণ প্রদর্শন করব৷

ATT&CK জ্ঞানের ভিত্তি সম্পর্কে

MITER ATT&CK হল একটি সর্বজনীন জ্ঞানের ভিত্তি যা MITER কর্পোরেশন দ্বারা বাস্তব-বিশ্বের APT-এর বিশ্লেষণের ভিত্তিতে তৈরি এবং রক্ষণাবেক্ষণ করা হয়। এটি আক্রমণকারীদের দ্বারা ব্যবহৃত কৌশল এবং কৌশলগুলির একটি কাঠামোগত সেট। এটি সারা বিশ্বের তথ্য নিরাপত্তা পেশাদারদের একই ভাষায় কথা বলার অনুমতি দেয়। ডাটাবেস ক্রমাগত প্রসারিত হয় এবং নতুন জ্ঞানের সাথে পরিপূরক হয়।

ডাটাবেসটি 12টি কৌশল শনাক্ত করে, যা সাইবার আক্রমণের পর্যায় দ্বারা বিভক্ত:

• প্রাথমিক অ্যাক্সেস;
• মৃত্যুদন্ড
• একত্রীকরণ (দৃঢ়তা);
• বিশেষাধিকার বৃদ্ধি;
• সনাক্তকরণ প্রতিরোধ (প্রতিরক্ষা ফাঁকি);
• শংসাপত্র প্রাপ্তি (শংসাপত্র অ্যাক্সেস);
• অন্বেষণ
• ঘের মধ্যে আন্দোলন (পার্শ্বিক আন্দোলন);
• তথ্য সংগ্রহ (সংগ্রহ);
• কমান্ড এবং নিয়ন্ত্রণ;
• তথ্য উত্তোলন;
• প্রভাব

প্রতিটি কৌশলের জন্য, ATT&CK জ্ঞানের ভিত্তি কৌশলগুলির একটি তালিকা তালিকাভুক্ত করে যা আক্রমণকারীদের আক্রমণের বর্তমান পর্যায়ে তাদের লক্ষ্য অর্জনে সহায়তা করে। যেহেতু একই কৌশল বিভিন্ন পর্যায়ে ব্যবহার করা যেতে পারে, এটি বিভিন্ন কৌশল উল্লেখ করতে পারে।

প্রতিটি কৌশলের বর্ণনার মধ্যে রয়েছে:

• শনাক্তকারী;
• কৌশলগুলির একটি তালিকা যেখানে এটি ব্যবহার করা হয়;
• APT গ্রুপ দ্বারা ব্যবহারের উদাহরণ;
• এর ব্যবহার থেকে ক্ষতি কমানোর ব্যবস্থা;
• সনাক্তকরণ সুপারিশ।

তথ্য নিরাপত্তা বিশেষজ্ঞরা বর্তমান আক্রমণ পদ্ধতি সম্পর্কে তথ্য গঠন করতে ডাটাবেস থেকে জ্ঞান ব্যবহার করতে পারেন এবং এটি বিবেচনায় নিয়ে একটি কার্যকর নিরাপত্তা ব্যবস্থা তৈরি করতে পারেন। প্রকৃত এপিটি গোষ্ঠীগুলি কীভাবে কাজ করে তা বোঝার মধ্যেও হুমকির জন্য সক্রিয়ভাবে অনুসন্ধানের জন্য অনুমানের উত্স হতে পারে হুমকি শিকার.

পিটি নেটওয়ার্ক অ্যাটাক ডিসকভারি সম্পর্কে

আমরা সিস্টেমটি ব্যবহার করে ATT&CK ম্যাট্রিক্স থেকে কৌশলগুলির ব্যবহার সনাক্ত করব পিটি নেটওয়ার্ক অ্যাটাক ডিসকভারি — পজিটিভ টেকনোলজিস এনটিএ সিস্টেম, পরিধি এবং নেটওয়ার্কের ভিতরে আক্রমণ সনাক্ত করার জন্য ডিজাইন করা হয়েছে। PT NAD MITER ATT&CK ম্যাট্রিক্সের সমস্ত 12টি কৌশলকে বিভিন্ন মাত্রায় কভার করে। তিনি প্রাথমিক অ্যাক্সেস, পার্শ্বীয় আন্দোলন এবং কমান্ড এবং নিয়ন্ত্রণের কৌশল সনাক্তকরণে সবচেয়ে শক্তিশালী। তাদের মধ্যে, PT NAD পরিচিত কৌশলগুলির অর্ধেকেরও বেশি কভার করে, প্রত্যক্ষ বা পরোক্ষ লক্ষণ দ্বারা তাদের প্রয়োগ সনাক্ত করে।

সিস্টেম টিম দ্বারা তৈরি সনাক্তকরণ নিয়ম ব্যবহার করে ATT&CK কৌশল ব্যবহার করে আক্রমণ সনাক্ত করে পিটি বিশেষজ্ঞ নিরাপত্তা কেন্দ্র (PT ESC), মেশিন লার্নিং, কম্প্রোমাইজের সূচক, গভীর বিশ্লেষণ এবং পূর্ববর্তী বিশ্লেষণ। রিয়েল-টাইম ট্র্যাফিক বিশ্লেষণ একটি রেট্রোস্পেকটিভের সাথে মিলিত আপনাকে বর্তমান লুকানো দূষিত কার্যকলাপ সনাক্ত করতে এবং বিকাশ ভেক্টর এবং আক্রমণের কালানুক্রমিক ট্র্যাক করতে দেয়।

অধিকার এখানে PT NAD থেকে MITER ATT&CK ম্যাট্রিক্সের সম্পূর্ণ ম্যাপিং। ছবিটি বড়, তাই আমরা আপনাকে এটি একটি পৃথক উইন্ডোতে দেখার পরামর্শ দিই।

প্রাথমিক অ্যাক্সেস

প্রাথমিক অ্যাক্সেস কৌশলগুলির মধ্যে একটি কোম্পানির নেটওয়ার্কে প্রবেশ করার কৌশল অন্তর্ভুক্ত রয়েছে। এই পর্যায়ে আক্রমণকারীদের লক্ষ্য হল আক্রমণ করা সিস্টেমে দূষিত কোড সরবরাহ করা এবং এর আরও কার্যকর হওয়ার সম্ভাবনা নিশ্চিত করা।

PT NAD থেকে ট্রাফিক বিশ্লেষণ প্রাথমিক অ্যাক্সেস পাওয়ার জন্য সাতটি কৌশল প্রকাশ করে:

1. T1189: আপস দ্বারা চালিত

একটি কৌশল যেখানে শিকার একটি ওয়েবসাইট খোলে যা আক্রমণকারীরা ওয়েব ব্রাউজারকে কাজে লাগাতে এবং অ্যাপ্লিকেশন অ্যাক্সেস টোকেন পেতে ব্যবহার করে।

PT NAD কি করে?: ওয়েব ট্র্যাফিক এনক্রিপ্ট করা না থাকলে, PT NAD HTTP সার্ভার প্রতিক্রিয়াগুলির বিষয়বস্তু পরীক্ষা করে। এই প্রতিক্রিয়াগুলিতে এমন শোষণ রয়েছে যা আক্রমণকারীদের ব্রাউজারের ভিতরে নির্বিচারে কোড চালানোর অনুমতি দেয়। PT NAD স্বয়ংক্রিয়ভাবে সনাক্তকরণ নিয়ম ব্যবহার করে এই ধরনের শোষণ সনাক্ত করে।

উপরন্তু, PT NAD পূর্ববর্তী ধাপে হুমকি সনাক্ত করে। যদি ব্যবহারকারী এমন একটি সাইট পরিদর্শন করে যা তাকে একগুচ্ছ শোষণ সহ একটি সাইটে পুনঃনির্দেশিত করে তাহলে সমঝোতার নিয়ম এবং সূচকগুলি ট্রিগার হয়৷

2. T1190: জনসাধারণের মুখোমুখি অ্যাপ্লিকেশন শোষণ

ইন্টারনেট থেকে অ্যাক্সেসযোগ্য পরিষেবাগুলিতে দুর্বলতার শোষণ।

PT NAD কি করে?: নেটওয়ার্ক প্যাকেটের বিষয়বস্তুর গভীর পরিদর্শন করে, অস্বাভাবিক কার্যকলাপের লক্ষণ সনাক্ত করে। বিশেষ করে, এমন কিছু নিয়ম রয়েছে যা আপনাকে প্রধান বিষয়বস্তু ব্যবস্থাপনা সিস্টেম (CMS), নেটওয়ার্ক সরঞ্জামের ওয়েব ইন্টারফেস এবং মেল এবং FTP সার্ভারগুলিতে আক্রমণ সনাক্ত করতে দেয়।

3. T1133: বহিরাগত দূরবর্তী পরিষেবা

আক্রমণকারীরা বাইরে থেকে অভ্যন্তরীণ নেটওয়ার্ক সংস্থানগুলির সাথে সংযোগ করতে দূরবর্তী অ্যাক্সেস পরিষেবাগুলি ব্যবহার করে৷

PT NAD কি করে?: যেহেতু সিস্টেম প্রোটোকলগুলিকে পোর্ট নম্বর দ্বারা নয়, প্যাকেটের বিষয়বস্তু দ্বারা স্বীকৃতি দেয়, তাই সিস্টেম ব্যবহারকারীরা দূরবর্তী অ্যাক্সেস প্রোটোকলের সমস্ত সেশন খুঁজে পেতে এবং তাদের বৈধতা পরীক্ষা করতে ট্র্যাফিক ফিল্টার করতে পারে।

4. T1193: spearphishing সংযুক্তি

আমরা ফিশিং সংযুক্তিগুলির কুখ্যাত প্রেরণ সম্পর্কে কথা বলছি৷

PT NAD কি করে?: স্বয়ংক্রিয়ভাবে ট্র্যাফিক থেকে ফাইল বের করে এবং সমঝোতার সূচকগুলির বিরুদ্ধে তাদের পরীক্ষা করে। অ্যাটাচমেন্টে এক্সিকিউটেবল ফাইলগুলি নিয়ম দ্বারা সনাক্ত করা হয় যা মেল ট্র্যাফিকের বিষয়বস্তু বিশ্লেষণ করে। একটি কর্পোরেট পরিবেশে, এই ধরনের বিনিয়োগ অস্বাভাবিক বলে বিবেচিত হয়।

5. T1192: স্পিয়ারফিশিং লিঙ্ক

ফিশিং লিঙ্ক ব্যবহার করে। এই কৌশলটিতে আক্রমণকারীরা একটি লিঙ্ক সহ একটি ফিশিং ইমেল প্রেরণ করে যা ক্লিক করা হলে, একটি দূষিত প্রোগ্রাম ডাউনলোড করে। একটি নিয়ম হিসাবে, লিঙ্কটি সামাজিক প্রকৌশলের সমস্ত নিয়ম অনুসারে সংকলিত একটি পাঠ্যের সাথে থাকে।

PT NAD কি করে?: সমঝোতার সূচক ব্যবহার করে ফিশিং লিঙ্কগুলি সনাক্ত করে৷ উদাহরণস্বরূপ, PT NAD ইন্টারফেসে আমরা একটি সেশন দেখতে পাই যেখানে ফিশিং ঠিকানার তালিকায় (ফিশিং-ইউআরএল) অন্তর্ভুক্ত একটি লিঙ্কের মাধ্যমে একটি HTTP সংযোগ ছিল।

আপস ফিশিং-ইউআরএল-এর সূচকের তালিকা থেকে একটি লিঙ্কের মাধ্যমে সংযোগ

6. T1199: বিশ্বস্ত সম্পর্ক

তৃতীয় পক্ষের মাধ্যমে ভিকটিমদের নেটওয়ার্কে অ্যাক্সেস, যাদের সাথে শিকার একটি বিশ্বস্ত সম্পর্ক স্থাপন করেছে। আক্রমণকারীরা একটি বিশ্বস্ত সংস্থা হ্যাক করতে পারে এবং এর মাধ্যমে টার্গেট নেটওয়ার্কের সাথে সংযোগ করতে পারে। এটি করার জন্য, তারা ভিপিএন সংযোগ বা ডোমেন ট্রাস্ট ব্যবহার করে, যা ট্রাফিক বিশ্লেষণের মাধ্যমে সনাক্ত করা যেতে পারে।

PT NAD কি করে?: অ্যাপ্লিকেশন প্রোটোকল পার্স করে এবং পার্স করা ক্ষেত্রগুলিকে ডাটাবেসে সংরক্ষণ করে, যাতে একজন তথ্য নিরাপত্তা বিশ্লেষক ডাটাবেসের মধ্যে সমস্ত সন্দেহজনক VPN সংযোগ বা ক্রস-ডোমেন সংযোগগুলি খুঁজে পেতে ফিল্টার ব্যবহার করতে পারেন৷

7. T1078: বৈধ অ্যাকাউন্ট

বাহ্যিক এবং অভ্যন্তরীণ পরিষেবাগুলিতে অনুমোদনের জন্য স্ট্যান্ডার্ড, স্থানীয় বা ডোমেন শংসাপত্র ব্যবহার করা।

PT NAD কি করে?: স্বয়ংক্রিয়ভাবে HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos প্রোটোকল থেকে শংসাপত্রগুলি পুনরুদ্ধার করে৷ সাধারণভাবে, এটি একটি লগইন, পাসওয়ার্ড এবং সফল প্রমাণীকরণের একটি চিহ্ন। যদি সেগুলি ব্যবহার করা হয় তবে সেগুলি সংশ্লিষ্ট সেশন কার্ডে প্রদর্শিত হয়।

মৃত্যুদন্ড

এক্সিকিউশন কৌশলগুলির মধ্যে এমন কৌশলগুলি অন্তর্ভুক্ত রয়েছে যা আক্রমণকারীরা আপোসকৃত সিস্টেমে কোড চালানোর জন্য ব্যবহার করে। দূষিত কোড চালানো আক্রমণকারীদের একটি উপস্থিতি (দৃঢ়তা কৌশল) প্রতিষ্ঠা করতে এবং ঘেরের ভিতরে সরে গিয়ে নেটওয়ার্কে দূরবর্তী সিস্টেমগুলিতে অ্যাক্সেস প্রসারিত করতে সহায়তা করে।

PT NAD আপনাকে ক্ষতিকারক কোড চালানোর জন্য আক্রমণকারীদের দ্বারা ব্যবহৃত 14 টি কৌশলের ব্যবহার সনাক্ত করতে দেয়।

1. T1191: CMSTP (মাইক্রোসফ্ট কানেকশন ম্যানেজার প্রোফাইল ইনস্টলার)

একটি কৌশল যেখানে আক্রমণকারীরা বিল্ট-ইন উইন্ডোজ ইউটিলিটি CMSTP.exe (কানেকশন ম্যানেজার প্রোফাইল ইনস্টলার) এর জন্য একটি বিশেষ দূষিত ইনস্টলেশন INF ফাইল প্রস্তুত করে। CMSTP.exe ফাইলটিকে একটি প্যারামিটার হিসাবে নেয় এবং দূরবর্তী সংযোগের জন্য পরিষেবা প্রোফাইল ইনস্টল করে। ফলস্বরূপ, CMSTP.exe দূরবর্তী সার্ভার থেকে ডায়নামিক লিঙ্ক লাইব্রেরি (*.dll) বা স্ক্রিপ্টলেট (*.sct) লোড এবং কার্যকর করতে ব্যবহার করা যেতে পারে।

PT NAD কি করে?: স্বয়ংক্রিয়ভাবে HTTP ট্র্যাফিকের মধ্যে বিশেষ ধরনের INF ফাইল স্থানান্তর সনাক্ত করে৷ এটি ছাড়াও, এটি দূরবর্তী সার্ভার থেকে ক্ষতিকারক স্ক্রিপ্টলেট এবং গতিশীল লিঙ্ক লাইব্রেরির HTTP সংক্রমণ সনাক্ত করে।

2. T1059: কমান্ড লাইন ইন্টারফেস

কমান্ড লাইন ইন্টারফেসের সাথে মিথস্ক্রিয়া। কমান্ড লাইন ইন্টারফেস স্থানীয়ভাবে বা দূরবর্তীভাবে যোগাযোগ করা যেতে পারে, উদাহরণস্বরূপ দূরবর্তী অ্যাক্সেস ইউটিলিটি ব্যবহার করে।

PT NAD কি করে?: স্বয়ংক্রিয়ভাবে বিভিন্ন কমান্ড লাইন ইউটিলিটি, যেমন ping, ifconfig চালু করতে কমান্ডের প্রতিক্রিয়ার উপর ভিত্তি করে শেলগুলির উপস্থিতি সনাক্ত করে।

3. T1175: উপাদান অবজেক্ট মডেল এবং বিতরণ করা COM

একটি নেটওয়ার্ক জুড়ে চলাকালীন স্থানীয় বা দূরবর্তী সিস্টেমে কোড চালানোর জন্য COM বা DCOM প্রযুক্তির ব্যবহার।

PT NAD কি করে?: সন্দেহজনক DCOM কলগুলি সনাক্ত করে যা আক্রমণকারীরা সাধারণত প্রোগ্রাম চালু করতে ব্যবহার করে৷

4. T1203: ক্লায়েন্ট নির্বাহের জন্য শোষণ

একটি ওয়ার্কস্টেশনে নির্বিচারে কোড চালানোর জন্য দুর্বলতার শোষণ। আক্রমণকারীদের জন্য সবচেয়ে দরকারী শোষণগুলি হল যেগুলি দূরবর্তী সিস্টেমে কোড চালানোর অনুমতি দেয়, কারণ তারা আক্রমণকারীদের সেই সিস্টেমে অ্যাক্সেস পেতে দেয়। কৌশলটি নিম্নলিখিত পদ্ধতিগুলি ব্যবহার করে প্রয়োগ করা যেতে পারে: দূষিত মেইলিং, ব্রাউজার শোষণ সহ একটি ওয়েবসাইট এবং অ্যাপ্লিকেশন দুর্বলতার দূরবর্তী শোষণ।

PT NAD কি করে?: মেল ট্র্যাফিক পার্স করার সময়, PT NAD এটাচমেন্টে এক্সিকিউটেবল ফাইলের উপস্থিতির জন্য চেক করে। স্বয়ংক্রিয়ভাবে ইমেল থেকে অফিসের নথি বের করে যাতে শোষণ থাকতে পারে। দুর্বলতাগুলিকে কাজে লাগানোর প্রচেষ্টা ট্র্যাফিকের মধ্যে দৃশ্যমান, যা PT NAD স্বয়ংক্রিয়ভাবে সনাক্ত করে৷

5. T1170: mshta

mshta.exe ইউটিলিটি ব্যবহার করুন, যা .hta এক্সটেনশনের সাথে Microsoft HTML অ্যাপ্লিকেশন (HTA) চালায়। যেহেতু mshta ব্রাউজার নিরাপত্তা সেটিংস বাইপাস করে ফাইলগুলিকে প্রক্রিয়া করে, আক্রমণকারীরা ক্ষতিকারক HTA, JavaScript বা VBScript ফাইলগুলি চালানোর জন্য mshta.exe ব্যবহার করতে পারে৷

PT NAD কি করে?: .hta ফাইলগুলি mshta এর মাধ্যমে কার্যকর করার জন্য নেটওয়ার্কের মাধ্যমেও প্রেরণ করা হয় - এটি ট্র্যাফিকের মধ্যে দেখা যায়। PT NAD স্বয়ংক্রিয়ভাবে এই ধরনের দূষিত ফাইল স্থানান্তর সনাক্ত করে। এটি ফাইলগুলি ক্যাপচার করে এবং সেশন কার্ডে সেগুলি সম্পর্কে তথ্য দেখা যায়৷

6. T1086: শক্তির উৎস

তথ্য খুঁজতে এবং দূষিত কোড চালানোর জন্য PowerShell ব্যবহার করে।

PT NAD কি করে?: যখন দূরবর্তী আক্রমণকারীদের দ্বারা PowerShell ব্যবহার করা হয়, তখন PT NAD নিয়ম ব্যবহার করে এটি সনাক্ত করে। এটি PowerShell ভাষার কীওয়ার্ডগুলি সনাক্ত করে যা প্রায়শই ক্ষতিকারক স্ক্রিপ্টগুলিতে ব্যবহৃত হয় এবং SMB প্রোটোকলের মাধ্যমে PowerShell স্ক্রিপ্টগুলির সংক্রমণে ব্যবহৃত হয়।

7. T1053: নির্ধারিত কাজ করার
নির্দিষ্ট সময়ে স্বয়ংক্রিয়ভাবে প্রোগ্রাম বা স্ক্রিপ্ট চালানোর জন্য উইন্ডোজ টাস্ক শিডিউলার এবং অন্যান্য ইউটিলিটি ব্যবহার করে।

PT NAD কি করে?: আক্রমণকারীরা এই ধরনের কাজগুলি তৈরি করে, সাধারণত দূরবর্তীভাবে, যার মানে এই ধরনের সেশনগুলি ট্র্যাফিকের মধ্যে দৃশ্যমান। PT NAD স্বয়ংক্রিয়ভাবে ATSVC এবং ITaskSchedulerService RPC ইন্টারফেস ব্যবহার করে সন্দেহজনক টাস্ক তৈরি এবং পরিবর্তন অপারেশন সনাক্ত করে।

8. T1064: স্ক্রিপ্টিং

আক্রমণকারীদের বিভিন্ন ক্রিয়া স্বয়ংক্রিয় করতে স্ক্রিপ্টগুলি সম্পাদন করা।

PT NAD কি করে?: নেটওয়ার্কের মাধ্যমে স্ক্রিপ্টের ট্রান্সমিশন শনাক্ত করে, অর্থাৎ, চালু হওয়ার আগেই। এটি কাঁচা ট্র্যাফিকের মধ্যে স্ক্রিপ্ট সামগ্রী সনাক্ত করে এবং জনপ্রিয় স্ক্রিপ্টিং ভাষার সাথে সম্পর্কিত এক্সটেনশন সহ ফাইলগুলির নেটওয়ার্ক সংক্রমণ সনাক্ত করে।

9. T1035: সার্ভিস এক্সিকিউশন

সার্ভিস কন্ট্রোল ম্যানেজার (এসসিএম) এর মতো উইন্ডোজ পরিষেবাগুলির সাথে ইন্টারঅ্যাক্ট করে একটি এক্সিকিউটেবল ফাইল, কমান্ড লাইন ইন্টারফেস নির্দেশাবলী বা স্ক্রিপ্ট চালান।

PT NAD কি করে?: SMB ট্র্যাফিক পরিদর্শন করে এবং একটি পরিষেবা তৈরি, পরিবর্তন এবং শুরু করার নিয়ম সহ SCM-এ অ্যাক্সেস সনাক্ত করে।

রিমোট কমান্ড এক্সিকিউশন ইউটিলিটি PSExec ব্যবহার করে সার্ভিস স্টার্টআপ টেকনিক প্রয়োগ করা যেতে পারে। PT NAD SMB প্রোটোকল বিশ্লেষণ করে এবং PSExec এর ব্যবহার সনাক্ত করে যখন এটি PSEXESVC.exe ফাইল বা প্রমিত PSEXECSVC পরিষেবার নাম ব্যবহার করে একটি দূরবর্তী মেশিনে কোড চালানোর জন্য। ব্যবহারকারীকে এক্সিকিউটেড কমান্ডের তালিকা এবং হোস্ট থেকে রিমোট কমান্ড এক্সিকিউশনের বৈধতা পরীক্ষা করতে হবে।

PT NAD-এর আক্রমণ কার্ডটি ATT&CK ম্যাট্রিক্স অনুযায়ী ব্যবহৃত কৌশল এবং কৌশলগুলির তথ্য প্রদর্শন করে যাতে ব্যবহারকারী বুঝতে পারে আক্রমণের কোন পর্যায়ে আছে, তারা কোন লক্ষ্য অনুসরণ করছে এবং কী ক্ষতিপূরণমূলক ব্যবস্থা নিতে হবে।

PSExec ইউটিলিটি ব্যবহার করার নিয়মটি ট্রিগার করা হয়েছে, যা একটি দূরবর্তী মেশিনে কমান্ড চালানোর একটি প্রচেষ্টা নির্দেশ করতে পারে

10. T1072: তৃতীয় পক্ষের সফটওয়্যার

একটি কৌশল যেখানে আক্রমণকারীরা দূরবর্তী প্রশাসন সফ্টওয়্যার বা কর্পোরেট সফ্টওয়্যার স্থাপনার সিস্টেমে অ্যাক্সেস লাভ করে এবং দূষিত কোড চালানোর জন্য এটি ব্যবহার করে। এই ধরনের সফ্টওয়্যারের উদাহরণ: SCCM, VNC, TeamViewer, HBSS, Altiris.
যাইহোক, কৌশলটি বিশেষত দূরবর্তী কাজে ব্যাপক রূপান্তর এবং ফলস্বরূপ, সন্দেহজনক দূরবর্তী অ্যাক্সেস চ্যানেলের মাধ্যমে অসংখ্য অরক্ষিত হোম ডিভাইসের সংযোগের ক্ষেত্রে প্রাসঙ্গিক।

PT NAD কি করে?: স্বয়ংক্রিয়ভাবে নেটওয়ার্কে এই ধরনের সফ্টওয়্যারের অপারেশন সনাক্ত করে। উদাহরণস্বরূপ, নিয়মগুলি VNC প্রোটোকলের মাধ্যমে সংযোগ এবং EvilVNC ট্রোজানের কার্যকলাপ দ্বারা ট্রিগার করা হয়, যা গোপনে শিকারের হোস্টে একটি VNC সার্ভার ইনস্টল করে এবং স্বয়ংক্রিয়ভাবে এটি চালু করে। এছাড়াও, PT NAD স্বয়ংক্রিয়ভাবে TeamViewer প্রোটোকল সনাক্ত করে, এটি বিশ্লেষককে সাহায্য করে, একটি ফিল্টার ব্যবহার করে, এই ধরনের সমস্ত সেশন খুঁজে পেতে এবং তাদের বৈধতা পরীক্ষা করতে।

11. T1204: ব্যবহারকারীর মৃত্যুদন্ড

একটি কৌশল যেখানে ব্যবহারকারী ফাইল চালায় যা কোড নির্বাহ করতে পারে। এটি হতে পারে, উদাহরণস্বরূপ, যদি তিনি একটি এক্সিকিউটেবল ফাইল খোলেন বা ম্যাক্রো সহ একটি অফিস নথি চালান।

PT NAD কি করে?: লঞ্চ হওয়ার আগে এই ধরনের ফাইল স্থানান্তর পর্যায়ে দেখে। তাদের সম্পর্কে তথ্য সেশনের কার্ডে অধ্যয়ন করা যেতে পারে যেখানে তারা প্রেরণ করা হয়েছিল।

12. T1047:উইন্ডোজ ম্যানেজমেন্ট ইন্সট্রুমেন্টেশন

WMI টুলের ব্যবহার, যা Windows সিস্টেম উপাদানগুলিতে স্থানীয় এবং দূরবর্তী অ্যাক্সেস প্রদান করে। WMI ব্যবহার করে, আক্রমণকারীরা স্থানীয় এবং দূরবর্তী সিস্টেমের সাথে যোগাযোগ করতে পারে এবং বিভিন্ন কাজ সম্পাদন করতে পারে, যেমন রিকনেসান্সের উদ্দেশ্যে তথ্য সংগ্রহ করা এবং পার্শ্বীয়ভাবে সরানোর সময় দূর থেকে প্রসেস চালু করা।

PT NAD কি করে?: যেহেতু WMI এর মাধ্যমে রিমোট সিস্টেমের সাথে মিথস্ক্রিয়া ট্র্যাফিকের মধ্যে দৃশ্যমান, PT NAD স্বয়ংক্রিয়ভাবে WMI সেশন স্থাপনের জন্য নেটওয়ার্ক অনুরোধগুলি সনাক্ত করে এবং WMI ব্যবহার করে এমন স্ক্রিপ্টগুলির জন্য ট্র্যাফিক পরীক্ষা করে।

13. T1028: উইন্ডোজ রিমোট ম্যানেজমেন্ট

একটি Windows পরিষেবা এবং প্রোটোকল ব্যবহার করে যা ব্যবহারকারীকে দূরবর্তী সিস্টেমের সাথে ইন্টারঅ্যাক্ট করতে দেয়৷

PT NAD কি করে?: উইন্ডোজ রিমোট ম্যানেজমেন্ট ব্যবহার করে প্রতিষ্ঠিত নেটওয়ার্ক সংযোগগুলি দেখে। এই ধরনের অধিবেশন নিয়ম দ্বারা স্বয়ংক্রিয়ভাবে সনাক্ত করা হয়.

14. T1220: XSL (এক্সটেনসিবল স্টাইলশীট ভাষা) স্ক্রিপ্ট প্রক্রিয়াকরণ

XSL শৈলী মার্কআপ ভাষা XML ফাইলগুলিতে ডেটা প্রক্রিয়াকরণ এবং ভিজ্যুয়ালাইজেশন বর্ণনা করতে ব্যবহৃত হয়। জটিল ক্রিয়াকলাপ সমর্থন করার জন্য, XSL মান বিভিন্ন ভাষায় এমবেডেড স্ক্রিপ্টগুলির জন্য সমর্থন অন্তর্ভুক্ত করে। এই ভাষাগুলি নির্বিচারে কোড কার্যকর করার অনুমতি দেয়, যা সাদা তালিকার উপর ভিত্তি করে সুরক্ষা নীতিগুলিকে বাইপাস করে।

PT NAD কি করে?: নেটওয়ার্কের মাধ্যমে এই ধরনের ফাইলের স্থানান্তর সনাক্ত করে, অর্থাৎ, চালু হওয়ার আগেই। এটি স্বয়ংক্রিয়ভাবে নেটওয়ার্কের মাধ্যমে প্রেরিত XSL ফাইল এবং অস্বাভাবিক XSL মার্কআপ সহ ফাইলগুলি সনাক্ত করে৷

নিম্নলিখিত উপকরণগুলিতে, আমরা দেখব কীভাবে পিটি নেটওয়ার্ক অ্যাটাক ডিসকভারি এনটিএ সিস্টেম MITER ATT&CK অনুসারে অন্যান্য আক্রমণকারী কৌশল এবং কৌশলগুলি খুঁজে পায়। সাথে থাকুন!

লেখক:

• পজিটিভ টেকনোলজিসের পিটি এক্সপার্ট সিকিউরিটি সেন্টারের বিশেষজ্ঞ আন্তন কুতেপভ
• নাটালিয়া কাজানকোভা, পজিটিভ টেকনোলজিসের পণ্য বিপণনকারী

উত্স: www.habr.com