অনির্বচনীয়ভাবে আকর্ষণীয়: আমরা কীভাবে একটি মধুপাত্র তৈরি করেছি যা প্রকাশ করা যায় না

অ্যান্টিভাইরাস কোম্পানী, তথ্য নিরাপত্তা বিশেষজ্ঞ, এবং শুধুমাত্র উত্সাহীরা একটি নতুন ধরণের ভাইরাসের "লাইভ টোপ ধরতে" বা অস্বাভাবিক হ্যাকার কৌশল প্রকাশ করার জন্য ইন্টারনেটে হানিপট সিস্টেমগুলিকে প্রকাশ করে। হানিপটগুলি এতই সাধারণ যে সাইবার অপরাধীরা এক ধরণের অনাক্রম্যতা তৈরি করেছে: তারা দ্রুত সনাক্ত করে যে তাদের সামনে একটি ফাঁদ রয়েছে এবং এটিকে উপেক্ষা করে। আধুনিক হ্যাকারদের কৌশলগুলি অন্বেষণ করার জন্য, আমরা একটি বাস্তবসম্মত হানিপট তৈরি করেছি যেটি সাত মাস ধরে ইন্টারনেটে বাস করে, বিভিন্ন ধরণের আক্রমণকে আকর্ষণ করে৷ এটা কেমন ছিল, আমরা আমাদের গবেষণায় বলেছি "আইনে ধরা: বাস্তব হুমকি ক্যাপচার করার জন্য একটি বাস্তববাদী কারখানা হানিপট চালানো" গবেষণা থেকে কিছু তথ্য এই পোস্টে আছে.

হানিপট ডেভেলপমেন্ট: চেকলিস্ট

আমাদের সুপারট্র্যাপ তৈরির মূল কাজটি ছিল আমাদের হ্যাকারদের দ্বারা উন্মুক্ত হতে দেওয়া যারা এতে আগ্রহ দেখিয়েছিল। এটি করতে অনেক কাজ লেগেছে:

1. কর্মীদের পুরো নাম এবং ফটো, ফোন নম্বর এবং ই-মেইল সহ কোম্পানি সম্পর্কে একটি বাস্তবসম্মত কিংবদন্তি তৈরি করুন।
2. আমাদের কোম্পানির কার্যক্রমের কিংবদন্তির সাথে মেলে এমন একটি শিল্প অবকাঠামো মডেল উদ্ভাবন এবং বাস্তবায়ন করুন।
3. বাইরে থেকে কোন নেটওয়ার্ক পরিষেবাগুলি উপলব্ধ হবে তা স্থির করুন, তবে দুর্বল পোর্টগুলি খোলার সাথে তাড়াহুড়ো করবেন না যাতে এটি সিম্পের ফাঁদের মতো না দেখায়।
4. একটি দুর্বল সিস্টেম সম্পর্কে তথ্য ফাঁসের চেহারা সংগঠিত করুন এবং সম্ভাব্য আক্রমণকারীদের মধ্যে এই তথ্যটি ছড়িয়ে দিন।
5. ফাঁদের পরিকাঠামোতে হ্যাকারদের ক্রিয়াকলাপের বিচক্ষণ পর্যবেক্ষণ প্রয়োগ করুন।

এবং এখন সব কিছু সম্পর্কে।

একটি কিংবদন্তি তৈরি করুন

সাইবার অপরাধীরা ইতিমধ্যেই প্রচুর মধুচক্র দেখতে অভ্যস্ত, তাই তাদের সবচেয়ে উন্নত অংশ প্রতিটি দুর্বল সিস্টেমের গভীরভাবে অধ্যয়ন করে তা নিশ্চিত করতে যে এটি কোনও ফাঁদ নয়। একই কারণে, আমরা হানিপটটিকে কেবল ডিজাইন এবং প্রযুক্তিগত দিকগুলির ক্ষেত্রেই বাস্তবসম্মত নয়, একটি বাস্তব সংস্থার চেহারাও তৈরি করতে চেয়েছিলাম।

নিজেদেরকে একটি কাল্পনিক কুলহ্যাকারের জায়গায় রেখে, আমরা একটি যাচাইকরণ অ্যালগরিদম তৈরি করেছি যা আমাদের একটি বাস্তব সিস্টেমকে একটি ফাঁদ থেকে আলাদা করতে দেয়৷ এতে খ্যাতি সিস্টেমে কোম্পানির আইপি ঠিকানাগুলি সন্ধান করা, আইপি ঠিকানাগুলির ইতিহাসের বিপরীতে গবেষণা করা, কোম্পানির সাথে সম্পর্কিত নাম এবং কীওয়ার্ড অনুসন্ধান করা, সেইসাথে এর প্রতিপক্ষ এবং অন্যান্য অনেক কিছু অন্তর্ভুক্ত ছিল। ফলস্বরূপ, কিংবদন্তিটি বেশ বিশ্বাসযোগ্য এবং আকর্ষণীয় হয়ে উঠেছে।

আমরা ট্র্যাপ ফ্যাক্টরিটিকে একটি ছোট শিল্প প্রোটোটাইপিং বুটিক হিসাবে স্থাপন করার সিদ্ধান্ত নিয়েছি, সামরিক এবং বিমান চলাচল বিভাগের খুব বড় বেনামী ক্লায়েন্টদের জন্য কাজ করে। এটি একটি বিদ্যমান ব্র্যান্ড ব্যবহার করার সাথে যুক্ত আইনি জটিলতা থেকে আমাদের রক্ষা করেছে।

এর পরে, আমাদের সংগঠনের জন্য একটি দৃষ্টি, মিশন এবং নাম নিয়ে আসতে হয়েছিল। আমরা সিদ্ধান্ত নিয়েছি যে আমাদের কোম্পানি স্বল্প সংখ্যক কর্মচারী নিয়ে একটি স্টার্টআপ হবে, যাদের প্রত্যেকেই একজন প্রতিষ্ঠাতা। এটি আমাদের ব্যবসার বিশেষীকরণের কিংবদন্তিতে বিশ্বাসযোগ্যতা যুক্ত করেছে, যা এটিকে বড় এবং গুরুত্বপূর্ণ গ্রাহকদের জন্য সূক্ষ্ম প্রকল্পগুলির সাথে কাজ করার অনুমতি দেয়। আমরা সাইবার নিরাপত্তার পরিপ্রেক্ষিতে আমাদের কোম্পানিকে দুর্বল দেখাতে চেয়েছিলাম, কিন্তু একই সাথে এটা স্পষ্ট যে আমরা লক্ষ্য সিস্টেমে গুরুত্বপূর্ণ সম্পদ নিয়ে কাজ করছি।

MeTech honeypot ওয়েবসাইটের স্ক্রিনশট। সূত্র: ট্রেন্ড মাইক্রো

আমরা কোম্পানির নাম হিসেবে MeTech শব্দটি বেছে নিয়েছি। সাইটটি একটি বিনামূল্যের টেমপ্লেটের ভিত্তিতে তৈরি করা হয়েছিল। ছবিগুলি ফটোব্যাঙ্ক থেকে নেওয়া হয়েছিল, সবচেয়ে অজনপ্রিয় ছবিগুলি ব্যবহার করে এবং সেগুলিকে কম স্বীকৃত করার জন্য তাদের পরিবর্তন করে৷

আমরা কোম্পানীটিকে বাস্তব দেখাতে চেয়েছিলাম, তাই আমাদের ক্রিয়াকলাপের প্রোফাইলের সাথে মেলে এমন পেশাদার দক্ষতা সহ কর্মচারীদের যোগ করতে হবে। আমরা তাদের জন্য নাম এবং পরিচয় নিয়ে এসেছি এবং তারপরে জাতিগততা অনুসারে ফটোব্যাঙ্ক থেকে ছবি নির্বাচন করার চেষ্টা করেছি।

MeTech honeypot ওয়েবসাইটের স্ক্রিনশট। সূত্র: ট্রেন্ড মাইক্রো

যাতে খুঁজে না পাওয়া যায়, আমরা ভালো মানের গ্রুপ ফটো খুঁজছিলাম যেখান থেকে আমরা আমাদের প্রয়োজনীয় মুখগুলি বেছে নিতে পারি। যাইহোক, আমরা পরে এই বিকল্পটি পরিত্যাগ করেছি, যেহেতু একজন সম্ভাব্য হ্যাকার একটি বিপরীত চিত্র অনুসন্ধান ব্যবহার করতে পারে এবং খুঁজে পেতে পারে যে আমাদের "কর্মচারীরা" শুধুমাত্র ফটো ব্যাঙ্কে থাকে৷ শেষ পর্যন্ত, আমরা নিউরাল নেটওয়ার্ক ব্যবহার করে তৈরি করা অস্তিত্বহীন মানুষের ফটো ব্যবহার করেছি।

সাইটে প্রকাশিত কর্মচারীদের প্রোফাইলে তাদের প্রযুক্তিগত দক্ষতা সম্পর্কে গুরুত্বপূর্ণ তথ্য রয়েছে, কিন্তু আমরা নির্দিষ্ট শিক্ষা প্রতিষ্ঠান এবং শহরগুলি উল্লেখ করা এড়িয়ে চলি।
মেলবক্স তৈরি করতে, আমরা একটি হোস্টিং প্রদানকারীর সার্ভার ব্যবহার করেছি, এবং তারপরে মার্কিন যুক্তরাষ্ট্রে বেশ কয়েকটি ফোন নম্বর ভাড়া নিয়েছি এবং একটি ভয়েস মেনু এবং একটি উত্তর দেওয়ার মেশিনের সাথে একটি ভার্চুয়াল পিবিএক্সে একত্রিত করেছি৷

হানিপট অবকাঠামো

এক্সপোজার এড়াতে, আমরা বাস্তব শিল্প হার্ডওয়্যার, ফিজিক্যাল কম্পিউটার এবং সুরক্ষিত ভার্চুয়াল মেশিনের সংমিশ্রণ ব্যবহার করার সিদ্ধান্ত নিয়েছি। সামনের দিকে তাকিয়ে, আমরা শোডান সার্চ ইঞ্জিন ব্যবহার করে আমাদের প্রচেষ্টার ফলাফল পরীক্ষা করেছি, এবং এটি দেখায় যে মধুর পটটি একটি বাস্তব শিল্প ব্যবস্থার মতো দেখাচ্ছে৷

শোদনের সাথে একটি মধুপাত্র স্ক্যান করার ফলাফল। সূত্র: ট্রেন্ড মাইক্রো

আমরা আমাদের ফাঁদের জন্য হার্ডওয়্যার হিসাবে চারটি পিএলসি ব্যবহার করেছি:

• সিমেন্স S7-1200,
• দুটি অ্যালেন ব্র্যাডলি মাইক্রোলজিক্স 1100,
• ওমরন CP1L।

এই PLCগুলিকে বিশ্বব্যাপী নিয়ন্ত্রণ ব্যবস্থার বাজারে তাদের জনপ্রিয়তার জন্য বেছে নেওয়া হয়েছিল। এবং এই কন্ট্রোলারগুলির প্রত্যেকটি নিজস্ব প্রোটোকল ব্যবহার করে, যা আমাদের পরীক্ষা করার অনুমতি দেয় যে PLCগুলির মধ্যে কোনটি প্রায়শই আক্রমণ করা হবে এবং তারা নীতিগতভাবে কারও জন্য আগ্রহী কিনা।

আমাদের "কারখানার" সরঞ্জাম একটি ফাঁদ. সূত্র: ট্রেন্ড মাইক্রো

আমরা শুধু লোহার টুকরা ইনস্টল করিনি এবং সেগুলিকে ইন্টারনেটের সাথে সংযুক্ত করিনি। আমরা প্রতিটি নিয়ামককে কার্য সম্পাদন করার জন্য প্রোগ্রাম করেছি, যার মধ্যে ছিল

• মেশানো,
• বার্নার এবং পরিবাহক বেল্ট নিয়ন্ত্রণ,
• একটি রোবোটিক হাত ব্যবহার করে প্যালেটাইজিং।

এবং উত্পাদন প্রক্রিয়াটিকে বাস্তবসম্মত করতে, আমরা এলোমেলোভাবে প্রতিক্রিয়া পরামিতি পরিবর্তন করতে, মোটর শুরু এবং বন্ধ করার অনুকরণ, বার্নার চালু এবং বন্ধ করার জন্য লজিক প্রোগ্রাম করেছি।

আমাদের কারখানায় তিনটি ভার্চুয়াল কম্পিউটার এবং একটি ফিজিক্যাল ছিল। ভার্চুয়াল মেশিনগুলি প্লান্ট, রোবট প্যালেটাইজার এবং পিএলসি সফ্টওয়্যার ইঞ্জিনিয়ারের ওয়ার্কস্টেশন নিয়ন্ত্রণ করতে ব্যবহৃত হয়েছিল। শারীরিক কম্পিউটার একটি ফাইল সার্ভার হিসাবে কাজ করে।

PLC-তে আক্রমণ পর্যবেক্ষণ করার পাশাপাশি, আমরা আমাদের ডিভাইসে ডাউনলোড করা প্রোগ্রামগুলির অবস্থা নিরীক্ষণ করতে চেয়েছিলাম। এটি করার জন্য, আমরা একটি ইন্টারফেস তৈরি করেছি যা আমাদের ভার্চুয়াল অ্যাকচুয়েটর এবং ইনস্টলেশনের অবস্থাগুলি কীভাবে পরিবর্তন করা হয়েছিল তা দ্রুত নির্ধারণ করতে দেয়। ইতিমধ্যে পরিকল্পনা পর্যায়ে, আমরা দেখেছি যে কন্ট্রোলার লজিকের সরাসরি প্রোগ্রামিংয়ের চেয়ে নিয়ন্ত্রণ প্রোগ্রামের মাধ্যমে এটি বাস্তবায়ন করা অনেক সহজ। আমরা পাসওয়ার্ড ছাড়াই VNC-এর মাধ্যমে আমাদের হানিপটের ডিভাইস ম্যানেজমেন্ট ইন্টারফেসে অ্যাক্সেস খুলেছি।

ইন্ডাস্ট্রিয়াল রোবট হল আধুনিক স্মার্ট ম্যানুফ্যাকচারিং এর মূল উপাদান। এই বিষয়ে, আমরা আমাদের ফাঁদ কারখানার সরঞ্জামগুলিতে এটি নিয়ন্ত্রণ করার জন্য একটি রোবট এবং একটি ওয়ার্কস্টেশন যুক্ত করার সিদ্ধান্ত নিয়েছি। "ফ্যাক্টরি" কে আরও বাস্তবসম্মত করতে, আমরা কন্ট্রোল ওয়ার্কস্টেশনে বাস্তব সফ্টওয়্যার ইনস্টল করেছি, যা ইঞ্জিনিয়াররা রোবটের যুক্তির গ্রাফিকাল প্রোগ্রামিংয়ের জন্য ব্যবহার করে। ঠিক আছে, যেহেতু শিল্প রোবটগুলি সাধারণত একটি বিচ্ছিন্ন অভ্যন্তরীণ নেটওয়ার্কে অবস্থিত, তাই আমরা VNC এর মাধ্যমে শুধুমাত্র নিয়ন্ত্রণ ওয়ার্কস্টেশনে অনিরাপদ অ্যাক্সেস ছেড়ে দেওয়ার সিদ্ধান্ত নিয়েছি।

আমাদের রোবটের একটি 3D মডেল সহ RobotStudio পরিবেশ। সূত্র: ট্রেন্ড মাইক্রো

একটি রোবট কন্ট্রোল ওয়ার্কস্টেশন সহ একটি ভার্চুয়াল মেশিনে, আমরা ABB রোবোটিক্স থেকে RobotStudio প্রোগ্রামিং পরিবেশ ইনস্টল করেছি। রোবট স্টুডিও সেট আপ করার পরে, আমরা আমাদের রোবটের সাথে সিমুলেশন ফাইলটি খুললাম যাতে এর 3D চিত্রটি স্ক্রিনে দেখা যায়। ফলস্বরূপ, শোডান এবং অন্যান্য সার্চ ইঞ্জিন, যখন তারা একটি অনিরাপদ VNC সার্ভার খুঁজে পায়, তখন এই স্ক্রিন ইমেজটি পাবে এবং যারা নিয়ন্ত্রণে খোলা অ্যাক্সেস সহ শিল্প রোবট খুঁজছেন তাদের কাছে এটি দেখাবে।

বিস্তারিতভাবে এই মনোযোগের বিষয়টি ছিল আক্রমণকারীদের জন্য যতটা সম্ভব একটি আকর্ষণীয় এবং বাস্তবসম্মত লক্ষ্য তৈরি করা, যারা এটি খুঁজে পেয়ে বারবার ফিরে আসবে।

ইঞ্জিনিয়ারের ওয়ার্কস্টেশন

PLC লজিক প্রোগ্রাম করার জন্য, আমরা পরিকাঠামোতে একটি ইঞ্জিনিয়ারিং কম্পিউটার যুক্ত করেছি। পিএলসি প্রোগ্রামিংয়ের জন্য শিল্প সফ্টওয়্যার এটিতে ইনস্টল করা হয়েছিল:

• সিমেন্সের জন্য টিআইএ পোর্টাল,
• অ্যালেন-ব্র্যাডলি কন্ট্রোলারের জন্য মাইক্রোলজিক্স,
• ওমরনের জন্য সিএক্স-ওয়ান।

আমরা সিদ্ধান্ত নিয়েছি যে প্রকৌশল কর্মক্ষেত্র নেটওয়ার্কের বাইরে পাওয়া যাবে না। পরিবর্তে, আমরা অ্যাডমিনিস্ট্রেটর অ্যাকাউন্টের জন্য একই পাসওয়ার্ড সেট করি যেমন ইন্টারনেট অ্যাক্সেসযোগ্য রোবট কন্ট্রোল ওয়ার্কস্টেশন এবং ফ্যাক্টরি কন্ট্রোল ওয়ার্কস্টেশনে। এই কনফিগারেশন অনেক কোম্পানির মধ্যে বেশ সাধারণ।
দুর্ভাগ্যবশত, আমাদের সমস্ত প্রচেষ্টা সত্ত্বেও, একজন আক্রমণকারী ইঞ্জিনিয়ারের ওয়ার্কস্টেশনে পৌঁছায়নি।

ফাইল সার্ভার

আমাদের এটি অনুপ্রবেশকারীদের জন্য টোপ হিসাবে এবং ফাঁদ কারখানায় আমাদের নিজস্ব "কাজ" ব্যাক আপ করার উপায় হিসাবে প্রয়োজন ছিল। এটি আমাদের হানিপটের সাথে ইউএসবি ডিভাইস ব্যবহার করে ট্র্যাপ নেটওয়ার্কে কোনও চিহ্ন না রেখে ফাইলগুলি ভাগ করার অনুমতি দেয়। ফাইল সার্ভারের জন্য একটি OS হিসাবে, আমরা Windows 7 Pro ইনস্টল করেছি, যেটিতে আমরা একটি শেয়ার করা ফোল্ডার যে কাউকে পড়ার এবং লেখার জন্য উপলব্ধ করেছি৷

প্রথমে, আমরা ফাইল সার্ভারে ফোল্ডার এবং নথিগুলির কোনো শ্রেণিবিন্যাস তৈরি করিনি। যাইহোক, পরে দেখা গেল যে আক্রমণকারীরা সক্রিয়ভাবে এই ফোল্ডারটি অধ্যয়ন করছিল, তাই আমরা এটিকে বিভিন্ন ফাইল দিয়ে পূরণ করার সিদ্ধান্ত নিয়েছি। এটি করার জন্য, আমরা একটি পাইথন স্ক্রিপ্ট লিখেছি যা প্রদত্ত এক্সটেনশনগুলির একটির সাথে একটি র্যান্ডম আকারের একটি ফাইল তৈরি করে, একটি অভিধানের উপর ভিত্তি করে একটি নাম তৈরি করে।

আকর্ষণীয় ফাইলের নাম তৈরি করতে স্ক্রিপ্ট। সূত্র: ট্রেন্ড মাইক্রো

স্ক্রিপ্টটি চালানোর পরে, আমরা খুব আকর্ষণীয় নামের ফাইলে ভরা একটি ফোল্ডার আকারে পছন্দসই ফলাফল পেয়েছি।

চিত্রনাট্যের ফলাফল। সূত্র: ট্রেন্ড মাইক্রো

পর্যবেক্ষণ পরিবেশ

একটি বাস্তবসম্মত কোম্পানী তৈরি করার জন্য অনেক প্রচেষ্টা করার পরে, আমরা আমাদের "দর্শকদের" নিরীক্ষণের জন্য পরিবেশে ব্যর্থ হতে পারিনি। আমাদের রিয়েল টাইমে সমস্ত ডেটা এমনভাবে পেতে হবে যাতে আক্রমণকারীরা লক্ষ্য না করে যে তাদের নজর রাখা হচ্ছে।

আমরা চারটি ইউএসবি থেকে ইথারনেট অ্যাডাপ্টার, চারটি শার্কট্যাপ ইথারনেট ট্যাপ, একটি রাস্পবেরি পাই 3 এবং একটি বড় বাহ্যিক ড্রাইভ ব্যবহার করে এটি করেছি। আমাদের নেটওয়ার্ক ডায়াগ্রামটি এইরকম ছিল:

নিরীক্ষণ সরঞ্জাম সহ হানিপট নেটওয়ার্ক চিত্র। সূত্র: ট্রেন্ড মাইক্রো

আমরা তিনটি SharkTap ট্যাপ এমনভাবে স্থাপন করেছি যাতে PLC-তে সমস্ত বাহ্যিক ট্র্যাফিক নিরীক্ষণ করা যায়, শুধুমাত্র অভ্যন্তরীণ নেটওয়ার্ক থেকে অ্যাক্সেসযোগ্য। চতুর্থ শার্কট্যাপ দুর্বল ভার্চুয়াল মেশিনের অতিথিদের ট্র্যাফিক ট্র্যাক করেছে।

SharkTap ইথারনেট ট্যাপ এবং সিয়েরা ওয়্যারলেস AirLink RV50 রাউটার। সূত্র: ট্রেন্ড মাইক্রো

রাস্পবেরি পাই দৈনিক ট্রাফিক ক্যাপচার সঞ্চালিত. আমরা সিয়েরা ওয়্যারলেস এয়ারলিঙ্ক RV50 সেলুলার রাউটার ব্যবহার করে ইন্টারনেটের সাথে সংযুক্ত করেছি, যা প্রায়শই শিল্প প্রতিষ্ঠানে ব্যবহৃত হয়।

দুর্ভাগ্যবশত, এই রাউটারটি আমাদের পরিকল্পনার সাথে মেলে না এমন আক্রমণগুলিকে বেছে বেছে ব্লক করার অনুমতি দেয়নি, তাই নেটওয়ার্কে ন্যূনতম প্রভাবের সাথে ব্লক করার জন্য আমরা স্বচ্ছ মোডে নেটওয়ার্কে একটি Cisco ASA 5505 ফায়ারওয়াল যুক্ত করেছি।

ট্রাফিক বিশ্লেষণ

Tshark এবং tcpdump বর্তমান সমস্যাগুলি দ্রুত সমাধান করার জন্য উপযুক্ত, কিন্তু আমাদের ক্ষেত্রে তাদের ক্ষমতা যথেষ্ট ছিল না, যেহেতু আমাদের কাছে অনেক গিগাবাইট ট্র্যাফিক ছিল, যা অনেক লোক বিশ্লেষণ করেছে। আমরা AOL দ্বারা তৈরি ওপেন সোর্স মোলোচ বিশ্লেষক ব্যবহার করেছি। কার্যকারিতার ক্ষেত্রে, এটি Wireshark-এর সাথে তুলনীয়, তবে সহযোগিতা, প্যাকেট বর্ণনা এবং ট্যাগিং, রপ্তানি এবং অন্যান্য কাজের জন্য আরও বিকল্প রয়েছে।

যেহেতু আমরা হানিপট মেশিনে সংগৃহীত ডেটা প্রক্রিয়া করতে চাইনি, পিসিএপি ডাম্পগুলি প্রতিদিন AWS স্টোরেজে রপ্তানি করা হত, যেখান থেকে আমরা ইতিমধ্যেই মোলোচ মেশিনে আমদানি করেছি।

স্ক্রিন রেকর্ডিং

আমাদের হানিপটে হ্যাকারদের ক্রিয়াকলাপ নথিভুক্ত করার জন্য, আমরা একটি স্ক্রিপ্ট লিখেছিলাম যা একটি নির্দিষ্ট ব্যবধানে ভার্চুয়াল মেশিনের স্ক্রিনশট নিয়েছিল এবং পূর্ববর্তী স্ক্রিনশটের সাথে তুলনা করে, সেখানে কিছু ঘটছে কিনা তা নির্ধারণ করে। যখন কার্যকলাপ সনাক্ত করা হয়, স্ক্রিপ্ট স্ক্রীন রেকর্ডিং চালু. এই পদ্ধতিটি সবচেয়ে কার্যকর বলে প্রমাণিত হয়েছে। সিস্টেমে কী পরিবর্তন হয়েছে তা বোঝার জন্য আমরা PCAP ডাম্প থেকে VNC ট্র্যাফিক বিশ্লেষণ করারও চেষ্টা করেছি, কিন্তু শেষ পর্যন্ত, আমরা যে স্ক্রিন রেকর্ডিং প্রয়োগ করেছি তা আরও সহজ এবং আরও ভিজ্যুয়াল হয়ে উঠেছে।

VNC সেশন নিরীক্ষণ করা

এর জন্য আমরা Chaosreader এবং VNLogger ব্যবহার করেছি। উভয় ইউটিলিটিই PCAP ডাম্প থেকে কীস্ট্রোক বের করে, কিন্তু VNCLogger ব্যাকস্পেস, এন্টার, Ctrl এর মতো কীগুলি আরও সঠিকভাবে পরিচালনা করে।

VNCLogger এর দুটি ত্রুটি রয়েছে। প্রথমত, এটি শুধুমাত্র ইন্টারফেসে ট্র্যাফিকের "শুনতে" দ্বারা কীগুলি পুনরুদ্ধার করতে পারে, তাই আমাদের এটির জন্য tcpreplay ব্যবহার করে একটি VNC সেশন অনুকরণ করতে হয়েছিল। VNCLogger-এর দ্বিতীয় ত্রুটিটি Chaosreader-এর সাথে সাধারণ: তারা উভয়ই ক্লিপবোর্ডের বিষয়বস্তু দেখায় না। এর জন্য আমাকে Wireshark ব্যবহার করতে হয়েছিল।

আমরা হ্যাকারদের প্রলুব্ধ করি

আমরা আক্রমণ করার জন্য একটি মধুপাত্র তৈরি করেছি। এটি অর্জন করতে, আমরা সম্ভাব্য হ্যাকারদের দৃষ্টি আকর্ষণ করার জন্য ডিজাইন করা একটি তথ্য ফাঁস করেছি। মধুপানে নিম্নলিখিত বন্দরগুলি খোলা হয়েছে:

আরডিপি পোর্টটি কাজ শুরুর কিছুক্ষণ পরেই বন্ধ করতে হয়েছিল, কারণ আমাদের নেটওয়ার্কে প্রচুর পরিমাণে স্ক্যানিং ট্র্যাফিকের কারণে কর্মক্ষমতা সমস্যা ছিল।
ভিএনসি টার্মিনালগুলি প্রথমে পাসওয়ার্ড ছাড়াই "শুধু-দর্শন" মোডে কাজ করেছিল এবং তারপরে আমরা "ভুলবশত" সেগুলিকে সম্পূর্ণ অ্যাক্সেস মোডে পরিবর্তন করেছি।

আক্রমণকারীদের আকৃষ্ট করার জন্য, আমরা পেস্টবিনে উপলব্ধ শিল্প ব্যবস্থা সম্পর্কে "ফাঁস" তথ্য সহ দুটি পোস্ট পোস্ট করেছি।

আক্রমণ আকর্ষণ করার জন্য পেস্টবিনে পোস্ট করা পোস্টগুলির মধ্যে একটি। সূত্র: ট্রেন্ড মাইক্রো

আক্রমণ

হানিপট প্রায় সাত মাস অনলাইনে থাকতেন। হানিপট অনলাইনে যাওয়ার এক মাস পরে প্রথম আক্রমণটি ঘটে।

স্ক্যানার

ip-ip, Rapid, Shadow Server, Shodan, ZoomEye এবং অন্যান্য সুপরিচিত কোম্পানির স্ক্যানার থেকে প্রচুর ট্রাফিক ছিল। তাদের মধ্যে অনেকগুলি ছিল যে আমাদের বিশ্লেষণ থেকে তাদের আইপি ঠিকানাগুলি বাদ দিতে হয়েছিল: 610 এর মধ্যে 9452টি বা সমস্ত অনন্য আইপি ঠিকানাগুলির 6,45% সম্পূর্ণ বৈধ স্ক্যানারগুলির অন্তর্গত৷

জোচ্চোরদের

আমরা যে সবচেয়ে বড় ঝুঁকির সম্মুখীন হয়েছি তা হল অপরাধমূলক উদ্দেশ্যে আমাদের সিস্টেমের ব্যবহার: গ্রাহকের অ্যাকাউন্টের মাধ্যমে স্মার্টফোন কেনা, উপহার কার্ড ব্যবহার করে এয়ারলাইন মাইল ক্যাশ আউট করা এবং অন্যান্য ধরনের জালিয়াতি

খনি শ্রমিক

আমাদের সিস্টেমের প্রথম দর্শকদের মধ্যে একজন একজন খনি শ্রমিক হিসাবে পরিণত হয়েছিল। তিনি মনেরো মাইনিং সফ্টওয়্যার দিয়ে এটি লোড করেছিলেন। কম পারফরম্যান্সের কারণে তিনি আমাদের নির্দিষ্ট সিস্টেমে বেশি উপার্জন করতে সক্ষম হবেন না। যাইহোক, যদি আমরা কয়েক দশ বা এমনকি শত শত সিস্টেমের প্রচেষ্টাকে একত্রিত করি তবে এটি বেশ ভাল হতে পারে।

Ransomware

হানিপটের অপারেশনের সময়, আমরা দুবার আসল র্যানসমওয়্যার ভাইরাসের মুখোমুখি হয়েছি। প্রথম ক্ষেত্রে এটি ছিল Crysis. তার অপারেটররা VNC এর মাধ্যমে সিস্টেমে লগ ইন করেছিল, কিন্তু তারপরে TeamViewer ইনস্টল করেছিল এবং পরবর্তী ক্রিয়া সম্পাদনের জন্য এটি ব্যবহার করেছিল। BTC-তে $10 মুক্তিপণের দাবিতে একটি চাঁদাবাজি বার্তার জন্য অপেক্ষা করার পরে, আমরা অপরাধীদের সাথে একটি চিঠিপত্রে প্রবেশ করেছি, তাদের আমাদের জন্য একটি ফাইল ডিক্রিপ্ট করতে বলেছি। তারা অনুরোধ মেনে চলে এবং বারবার মুক্তিপণ দাবি করে। আমরা 6 হাজার ডলার পর্যন্ত দর কষাকষি করতে পেরেছি, তারপরে আমরা সিস্টেমটিকে একটি ভার্চুয়াল মেশিনে আপলোড করেছি, যেহেতু আমরা সমস্ত প্রয়োজনীয় তথ্য পেয়েছি।

দ্বিতীয় র‍্যানসমওয়্যারটি ছিল ফোবস। যে হ্যাকার এটি ইনস্টল করেছিল সে হানিপটের ফাইল সিস্টেমের মধ্য দিয়ে গিয়েছিল এবং এক ঘন্টার জন্য নেটওয়ার্কটি স্ক্যান করেছিল এবং তারপরে র্যানসমওয়্যারটি ইনস্টল করেছিল।
তৃতীয় র‍্যানসমওয়্যার আক্রমণটি জাল বলে প্রমাণিত হয়েছে। একজন অজানা "হ্যাকার" আমাদের সিস্টেমে haha.bat ফাইলটি ডাউনলোড করেছে, তারপরে আমরা কিছুক্ষণ দেখেছিলাম যখন সে এটিকে কার্যকর করার চেষ্টা করেছিল৷ একটি প্রচেষ্টা ছিল haha.bat এর নাম পরিবর্তন করে haha.rnsmwr করা।

"হ্যাকার" ব্যাট-ফাইলের এক্সটেনশন .rnsmwr-এ পরিবর্তন করে এর দূষিততা বাড়ায়। সূত্র: ট্রেন্ড মাইক্রো

যখন ব্যাচ ফাইলটি শেষ পর্যন্ত চলতে শুরু করে, তখন "হ্যাকার" এটি সম্পাদনা করে, মুক্তিপণ $ 200 থেকে $ 750 বৃদ্ধি করে। এর পরে, তিনি সমস্ত ফাইল "এনক্রিপ্ট" করেছিলেন, ডেস্কটপে একটি চাঁদাবাজি বার্তা রেখেছিলেন এবং আমাদের VNC-তে পাসওয়ার্ড পরিবর্তন করে অদৃশ্য হয়ে যান।

কয়েকদিন পরে, হ্যাকার ফিরে আসে এবং নিজেকে মনে করিয়ে দেওয়ার জন্য, একটি ব্যাচ ফাইল চালু করে যা একটি পর্ণ সাইটের সাথে অনেকগুলি উইন্ডো খুলেছিল। স্পষ্টতই, এইভাবে তিনি তার দাবির প্রতি দৃষ্টি আকর্ষণ করার চেষ্টা করেছিলেন।

ফলাফল

অধ্যয়নের সময়, এটি প্রমাণিত হয়েছিল যে দুর্বলতা সম্পর্কে তথ্য প্রকাশিত হওয়ার সাথে সাথে মধুর পাত্রটি মনোযোগ আকর্ষণ করে এবং কার্যকলাপটি দিন দিন বৃদ্ধি পায়। ফাঁদ মনোযোগ আকর্ষণ করার জন্য, আমাদের কল্পিত কোম্পানির অনেক নিরাপত্তা লঙ্ঘন করতে হয়েছিল। দুর্ভাগ্যবশত, এই পরিস্থিতি অনেক বাস্তব কোম্পানির মধ্যে অস্বাভাবিক থেকে অনেক দূরে যাদের পূর্ণ-সময়ের আইটি এবং তথ্য নিরাপত্তা কর্মী নেই।

সাধারণভাবে, সংগঠনগুলির উচিত ন্যূনতম বিশেষাধিকারের নীতিটি ব্যবহার করা, যখন আমরা আক্রমণকারীদের আকৃষ্ট করার জন্য সম্পূর্ণ বিপরীতটি প্রয়োগ করেছি। এবং যত বেশি সময় ধরে আমরা আক্রমণগুলি দেখেছি, তত বেশি পরিশীলিত হয়েছে স্ট্যান্ডার্ড পেনিট্রেশন টেস্টিং পদ্ধতির তুলনায়।

এবং সবচেয়ে গুরুত্বপূর্ণ, এই সমস্ত আক্রমণ ব্যর্থ হত যদি নেটওয়ার্ক সেটআপের সময় পর্যাপ্ত নিরাপত্তা ব্যবস্থা কার্যকর করা হত। সংস্থাগুলিকে অবশ্যই নিশ্চিত করতে হবে যে তাদের সরঞ্জাম এবং শিল্প অবকাঠামোর উপাদানগুলি ইন্টারনেট থেকে অ্যাক্সেসযোগ্য নয়, যেমনটি আমরা আমাদের ফাঁদে বিশেষভাবে করেছি।

যদিও সমস্ত কম্পিউটারে একই স্থানীয় প্রশাসকের পাসওয়ার্ড ব্যবহার করা সত্ত্বেও আমরা ইঞ্জিনিয়ারের ওয়ার্কস্টেশনে একটিও আক্রমণ রেকর্ড করিনি, অনুপ্রবেশের সম্ভাবনা কমানোর জন্য এই অনুশীলনটি এড়ানো উচিত। সর্বোপরি, দুর্বল নিরাপত্তা শিল্প ব্যবস্থাকে আক্রমণ করার জন্য একটি অতিরিক্ত আমন্ত্রণ হিসাবে কাজ করে যা দীর্ঘকাল ধরে সাইবার অপরাধীদের আগ্রহের বিষয়।

উত্স: www.habr.com