ফিশিং, বটনেট, প্রতারণামূলক লেনদেন এবং অপরাধমূলক হ্যাকার গোষ্ঠী সম্পর্কিত মামলাগুলি তদন্ত করে, গ্রুপ-আইবি বিশেষজ্ঞরা বিভিন্ন ধরণের সংযোগ সনাক্ত করতে বহু বছর ধরে গ্রাফ বিশ্লেষণ ব্যবহার করছেন। বিভিন্ন ক্ষেত্রে তাদের নিজস্ব ডেটা সেট, সংযোগ সনাক্ত করার জন্য তাদের নিজস্ব অ্যালগরিদম এবং নির্দিষ্ট কাজের জন্য তৈরি ইন্টারফেস রয়েছে। এই সমস্ত সরঞ্জামগুলি অভ্যন্তরীণভাবে গ্রুপ-আইবি দ্বারা তৈরি করা হয়েছিল এবং শুধুমাত্র আমাদের কর্মীদের জন্য উপলব্ধ ছিল।

নেটওয়ার্ক অবকাঠামোর গ্রাফ বিশ্লেষণ (নেটওয়ার্ক গ্রাফ) প্রথম অভ্যন্তরীণ সরঞ্জাম হয়ে উঠেছে যা আমরা কোম্পানির সমস্ত পাবলিক পণ্যগুলিতে তৈরি করেছি৷ আমাদের নেটওয়ার্ক গ্রাফ তৈরি করার আগে, আমরা বাজারে অনেক অনুরূপ উন্নয়ন বিশ্লেষণ করেছি এবং আমাদের নিজস্ব চাহিদা পূরণ করে এমন একটি পণ্যও খুঁজে পাইনি। এই নিবন্ধে আমরা কীভাবে নেটওয়ার্ক গ্রাফ তৈরি করেছি, আমরা কীভাবে এটি ব্যবহার করেছি এবং আমরা কী সমস্যার সম্মুখীন হয়েছি সে সম্পর্কে কথা বলব।

দিমিত্রি ভলকভ, সিটিও গ্রুপ-আইবি এবং সাইবার গোয়েন্দা বিভাগের প্রধান মো

গ্রুপ-আইবি নেটওয়ার্ক গ্রাফ কি করতে পারে?

তদন্ত

2003 সালে গ্রুপ-আইবি প্রতিষ্ঠার পর থেকে এখন পর্যন্ত, সাইবার অপরাধীদের চিহ্নিত করা, ডিননিং করা এবং বিচারের আওতায় আনা আমাদের কাজের শীর্ষ অগ্রাধিকার। আক্রমণকারীদের নেটওয়ার্ক পরিকাঠামো বিশ্লেষণ না করে একটি সাইবার হামলার তদন্ত সম্পূর্ণ হয়নি। আমাদের যাত্রার একেবারে শুরুতে, অপরাধীদের শনাক্ত করতে সাহায্য করতে পারে এমন সম্পর্কগুলি অনুসন্ধান করা একটি বরং শ্রমসাধ্য "ম্যানুয়াল কাজ" ছিল: ডোমেন নাম, আইপি ঠিকানা, সার্ভারের ডিজিটাল আঙ্গুলের ছাপ ইত্যাদি সম্পর্কে তথ্য।

বেশিরভাগ আক্রমণকারী নেটওয়ার্কে যতটা সম্ভব বেনামে কাজ করার চেষ্টা করে। যাইহোক, সব মানুষের মত, তারা ভুল করে. এই জাতীয় বিশ্লেষণের মূল লক্ষ্য হল আক্রমণকারীদের "সাদা" বা "ধূসর" ঐতিহাসিক প্রকল্পগুলি খুঁজে বের করা যা বর্তমান ঘটনায় ব্যবহৃত দূষিত পরিকাঠামোর সাথে ছেদ রয়েছে যা আমরা তদন্ত করছি৷ যদি "সাদা প্রকল্পগুলি" সনাক্ত করা সম্ভব হয়, তবে আক্রমণকারীকে খুঁজে বের করা, একটি নিয়ম হিসাবে, একটি তুচ্ছ কাজ হয়ে যায়। "ধূসর"গুলির ক্ষেত্রে, অনুসন্ধানে আরও সময় এবং প্রচেষ্টা লাগে, যেহেতু তাদের মালিকরা নিবন্ধকরণের ডেটা বেনামী বা লুকানোর চেষ্টা করেন, তবে সম্ভাবনাগুলি বেশ বেশি থাকে। একটি নিয়ম হিসাবে, তাদের অপরাধমূলক কার্যকলাপের শুরুতে, আক্রমণকারীরা তাদের নিজেদের নিরাপত্তার দিকে কম মনোযোগ দেয় এবং বেশি ভুল করে, তাই আমরা যত গভীরে গল্পে ডুব দিতে পারি, সফল তদন্তের সম্ভাবনা তত বেশি। এই কারণেই একটি ভাল ইতিহাস সহ একটি নেটওয়ার্ক গ্রাফ এই ধরনের তদন্তের একটি অত্যন্ত গুরুত্বপূর্ণ উপাদান। সহজ কথায়, একটি কোম্পানির কাছে যত গভীর ঐতিহাসিক তথ্য আছে, তার গ্রাফ তত ভালো। ধরা যাক যে একটি 5-বছরের ইতিহাস শর্তসাপেক্ষে, 1টি অপরাধের মধ্যে 2-10টি সমাধান করতে সাহায্য করতে পারে এবং 15 বছরের ইতিহাস সব দশটি সমাধান করার সুযোগ দেয়।

ফিশিং এবং জালিয়াতি সনাক্তকরণ

প্রতিবার যখন আমরা একটি ফিশিং, প্রতারণামূলক বা পাইরেটেড সংস্থানের একটি সন্দেহজনক লিঙ্ক পাই, আমরা স্বয়ংক্রিয়ভাবে সম্পর্কিত নেটওয়ার্ক সংস্থানগুলির একটি গ্রাফ তৈরি করি এবং অনুরূপ সামগ্রীর জন্য সমস্ত পাওয়া হোস্ট পরীক্ষা করি৷ এটি আপনাকে উভয় পুরানো ফিশিং সাইটগুলি খুঁজে পেতে দেয় যা সক্রিয় ছিল কিন্তু অজানা, সেইসাথে সম্পূর্ণ নতুন যেগুলি ভবিষ্যতে আক্রমণের জন্য প্রস্তুত, কিন্তু এখনও ব্যবহার করা হয়নি৷ একটি প্রাথমিক উদাহরণ যা প্রায়শই ঘটে: আমরা একটি সার্ভারে মাত্র 5টি সাইট সহ একটি ফিশিং সাইট পেয়েছি৷ তাদের প্রতিটি পরীক্ষা করে, আমরা অন্যান্য সাইটে ফিশিং সামগ্রী খুঁজে পাই, যার মানে আমরা 5 এর পরিবর্তে 1টি ব্লক করতে পারি।

ব্যাকএন্ড অনুসন্ধান করুন

দূষিত সার্ভারটি আসলে কোথায় থাকে তা নির্ধারণ করতে এই প্রক্রিয়াটি প্রয়োজনীয়।
99% কার্ডের দোকান, হ্যাকার ফোরাম, অনেক ফিশিং সংস্থান এবং অন্যান্য ক্ষতিকারক সার্ভার তাদের নিজস্ব প্রক্সি সার্ভার এবং বৈধ পরিষেবার প্রক্সি উভয়ের পিছনে লুকিয়ে আছে, উদাহরণস্বরূপ, ক্লাউডফ্লেয়ার। প্রকৃত ব্যাকএন্ড সম্পর্কে জ্ঞান তদন্তের জন্য খুবই গুরুত্বপূর্ণ: যে হোস্টিং প্রদানকারীর কাছ থেকে সার্ভারটি বাজেয়াপ্ত করা যেতে পারে তা পরিচিত হয়ে ওঠে এবং অন্যান্য দূষিত প্রকল্পগুলির সাথে সংযোগ স্থাপন করা সম্ভব হয়৷

উদাহরণ স্বরূপ, আপনার ব্যাঙ্ক কার্ডের ডেটা সংগ্রহের জন্য একটি ফিশিং সাইট রয়েছে যা IP ঠিকানা 11.11.11.11-এ সমাধান করে এবং একটি কার্ডশপ ঠিকানা যা IP ঠিকানা 22.22.22.22-এ সমাধান করে৷ বিশ্লেষণের সময়, এটি চালু হতে পারে যে ফিশিং সাইট এবং কার্ডশপ উভয়েরই একটি সাধারণ ব্যাকএন্ড আইপি ঠিকানা রয়েছে, উদাহরণস্বরূপ, 33.33.33.33৷ এই জ্ঞান আমাদের ফিশিং আক্রমণ এবং একটি কার্ডের দোকানের মধ্যে একটি সংযোগ তৈরি করতে দেয় যেখানে ব্যাঙ্ক কার্ড ডেটা বিক্রি হতে পারে।

ইভেন্ট পারস্পরিক সম্পর্ক

আক্রমণ নিয়ন্ত্রণ করার জন্য যখন আপনার কাছে বিভিন্ন ম্যালওয়্যার এবং বিভিন্ন সার্ভার সহ দুটি ভিন্ন ট্রিগার (একটি আইডিএসে বলা যাক) থাকে, তখন আপনি তাদের দুটি স্বাধীন ইভেন্ট হিসাবে বিবেচনা করবেন। কিন্তু যদি দূষিত অবকাঠামোর মধ্যে একটি ভাল সংযোগ থাকে, তাহলে এটা স্পষ্ট হয়ে যায় যে এগুলো ভিন্ন আক্রমণ নয়, বরং এক পর্যায়ে, আরও জটিল বহু-পর্যায়ের আক্রমণ। এবং যদি একটি ঘটনা ইতিমধ্যেই আক্রমণকারীদের কোনো গ্রুপের জন্য দায়ী করা হয়, তাহলে দ্বিতীয়টিও একই গ্রুপের জন্য দায়ী করা যেতে পারে। অবশ্যই, অ্যাট্রিবিউশন প্রক্রিয়াটি অনেক বেশি জটিল, তাই এটিকে একটি সাধারণ উদাহরণ হিসাবে বিবেচনা করুন।

সূচক সমৃদ্ধকরণ

আমরা এটিতে খুব বেশি মনোযোগ দেব না, যেহেতু সাইবার নিরাপত্তায় গ্রাফ ব্যবহার করার জন্য এটি সবচেয়ে সাধারণ দৃশ্য: আপনি ইনপুট হিসাবে একটি সূচক দেন এবং আউটপুট হিসাবে আপনি সম্পর্কিত সূচকগুলির একটি অ্যারে পাবেন।

নিদর্শন সনাক্তকরণ

কার্যকর শিকারের জন্য নিদর্শন সনাক্ত করা অপরিহার্য। গ্রাফগুলি আপনাকে শুধুমাত্র সম্পর্কিত উপাদানগুলি খুঁজে পেতে দেয় না, তবে হ্যাকারদের একটি নির্দিষ্ট গ্রুপের বৈশিষ্ট্যযুক্ত সাধারণ বৈশিষ্ট্যগুলিও সনাক্ত করতে দেয়। এই ধরনের অনন্য বৈশিষ্ট্যের জ্ঞান আপনাকে আক্রমণকারীর পরিকাঠামো চিনতে দেয় এমনকি প্রস্তুতির পর্যায়ে এবং ফিশিং ইমেল বা ম্যালওয়্যারের মতো আক্রমণ নিশ্চিত করার প্রমাণ ছাড়াই।

কেন আমরা আমাদের নিজস্ব নেটওয়ার্ক গ্রাফ তৈরি করেছি?

আবার, আমরা উপসংহারে আসার আগে আমরা বিভিন্ন বিক্রেতাদের কাছ থেকে সমাধান দেখেছি যে আমাদের নিজস্ব টুল তৈরি করতে হবে যা এমন কিছু করতে পারে যা কোনো বিদ্যমান পণ্য করতে পারে না। এটি তৈরি করতে বেশ কয়েক বছর সময় লেগেছিল, সেই সময়ে আমরা এটিকে বেশ কয়েকবার পুরোপুরি পরিবর্তন করেছি। কিন্তু, দীর্ঘ বিকাশের সময় সত্ত্বেও, আমরা এখনও একটি একক অ্যানালগ খুঁজে পাইনি যা আমাদের প্রয়োজনীয়তা পূরণ করবে। আমাদের নিজস্ব পণ্য ব্যবহার করে, আমরা অবশেষে বিদ্যমান নেটওয়ার্ক গ্রাফে আবিষ্কৃত প্রায় সমস্ত সমস্যা সমাধান করতে সক্ষম হয়েছি। নীচে আমরা এই সমস্যাগুলি বিস্তারিতভাবে বিবেচনা করব:

সমস্যা
রায়

ডেটার বিভিন্ন সংগ্রহের সাথে একটি প্রদানকারীর অভাব: ডোমেন, প্যাসিভ ডিএনএস, প্যাসিভ SSL, ডিএনএস রেকর্ড, খোলা পোর্ট, পোর্টগুলিতে চলমান পরিষেবা, ডোমেন নাম এবং আইপি ঠিকানাগুলির সাথে ইন্টারঅ্যাক্ট করা ফাইলগুলি। ব্যাখ্যা. সাধারণত, প্রদানকারীরা পৃথক ধরণের ডেটা সরবরাহ করে এবং সম্পূর্ণ ছবি পেতে, আপনাকে প্রত্যেকের কাছ থেকে সদস্যতা কিনতে হবে। তা সত্ত্বেও, সমস্ত ডেটা পাওয়া সবসময় সম্ভব হয় না: কিছু প্যাসিভ SSL প্রদানকারী শুধুমাত্র বিশ্বস্ত CA দ্বারা জারি করা শংসাপত্র সম্পর্কে ডেটা প্রদান করে এবং তাদের স্ব-স্বাক্ষরিত শংসাপত্রগুলির কভারেজ অত্যন্ত খারাপ। অন্যরা স্ব-স্বাক্ষরিত শংসাপত্র ব্যবহার করে ডেটা সরবরাহ করে, তবে এটি শুধুমাত্র স্ট্যান্ডার্ড পোর্ট থেকে সংগ্রহ করে।
উপরের সমস্ত সংগ্রহ আমরা নিজেরাই সংগ্রহ করেছি। উদাহরণস্বরূপ, SSL শংসাপত্র সম্পর্কে ডেটা সংগ্রহ করতে, আমরা আমাদের নিজস্ব পরিষেবা লিখেছি যা বিশ্বস্ত CA থেকে এবং সমগ্র IPv4 স্থান স্ক্যান করে উভয়ই সংগ্রহ করে। শংসাপত্রগুলি শুধুমাত্র আইপি থেকে নয়, আমাদের ডাটাবেস থেকে সমস্ত ডোমেন এবং সাবডোমেন থেকেও সংগ্রহ করা হয়েছিল: যদি আপনার ডোমেন example.com এবং এর সাবডোমেন থাকে www.example.com এবং তারা সকলেই আইপি 1.1.1.1-এর সংকল্প করে, তারপর যখন আপনি একটি আইপি, ডোমেন এবং এর সাবডোমেনে পোর্ট 443 থেকে একটি SSL শংসাপত্র পাওয়ার চেষ্টা করেন, আপনি তিনটি ভিন্ন ফলাফল পেতে পারেন। খোলা পোর্ট এবং চলমান পরিষেবাগুলির ডেটা সংগ্রহ করতে, আমাদের নিজস্ব বিতরণ করা স্ক্যানিং সিস্টেম তৈরি করতে হয়েছিল, কারণ অন্যান্য পরিষেবাগুলির প্রায়শই "কালো তালিকা" তে তাদের স্ক্যানিং সার্ভারগুলির আইপি ঠিকানা থাকে৷ আমাদের স্ক্যানিং সার্ভারগুলিও ব্ল্যাকলিস্টে শেষ হয়, তবে আমাদের প্রয়োজনীয় পরিষেবাগুলি সনাক্ত করার ফলাফল তাদের তুলনায় বেশি যারা কেবল যতটা সম্ভব পোর্ট স্ক্যান করে এবং এই ডেটাতে অ্যাক্সেস বিক্রি করে।

ঐতিহাসিক রেকর্ডের সম্পূর্ণ ডাটাবেসে অ্যাক্সেসের অভাব। ব্যাখ্যা. প্রতিটি সাধারণ সরবরাহকারীর একটি ভাল সঞ্চিত ইতিহাস আছে, কিন্তু স্বাভাবিক কারণে আমরা, একটি ক্লায়েন্ট হিসাবে, সমস্ত ঐতিহাসিক তথ্য অ্যাক্সেস পেতে পারিনি। সেগুলো. আপনি একটি একক রেকর্ডের জন্য সম্পূর্ণ ইতিহাস পেতে পারেন, উদাহরণস্বরূপ, ডোমেন বা আইপি ঠিকানা দ্বারা, কিন্তু আপনি সবকিছুর ইতিহাস দেখতে পারবেন না - এবং এটি ছাড়া আপনি সম্পূর্ণ ছবি দেখতে পারবেন না।
ডোমেনগুলিতে যতটা সম্ভব ঐতিহাসিক রেকর্ড সংগ্রহ করার জন্য, আমরা বিভিন্ন ডেটাবেস কিনেছি, অনেকগুলি উন্মুক্ত সংস্থানকে পার্স করেছি যেগুলির এই ইতিহাস ছিল (এটি ভাল যে তাদের মধ্যে অনেকগুলি ছিল), এবং ডোমেন নাম নিবন্ধকদের সাথে আলোচনা করেছি৷ আমাদের নিজস্ব সংগ্রহের সমস্ত আপডেট অবশ্যই একটি সম্পূর্ণ সংশোধন ইতিহাস সহ রাখা হয়।

সমস্ত বিদ্যমান সমাধান আপনাকে ম্যানুয়ালি একটি গ্রাফ তৈরি করতে দেয়। ব্যাখ্যা. ধরা যাক আপনি সমস্ত সম্ভাব্য ডেটা প্রদানকারীর কাছ থেকে প্রচুর সাবস্ক্রিপশন কিনেছেন (সাধারণত "উন্নতকারী" বলা হয়)। আপনি যখন একটি গ্রাফ তৈরি করতে চান, তখন আপনি "হ্যান্ডস" কাঙ্ক্ষিত সংযোগ উপাদান থেকে তৈরি করার জন্য কমান্ড দেন, তারপর উপস্থিত উপাদানগুলি থেকে প্রয়োজনীয়গুলি নির্বাচন করুন এবং তাদের থেকে সংযোগগুলি সম্পূর্ণ করার জন্য কমান্ড দিন এবং আরও অনেক কিছু। এই ক্ষেত্রে, গ্রাফটি কতটা ভালভাবে তৈরি করা হবে তার দায়িত্ব সম্পূর্ণভাবে ব্যক্তির উপর।
আমরা গ্রাফের স্বয়ংক্রিয় নির্মাণ তৈরি করেছি। সেগুলো. আপনি যদি একটি গ্রাফ তৈরি করতে চান, তাহলে প্রথম উপাদান থেকে সংযোগগুলি স্বয়ংক্রিয়ভাবে নির্মিত হয়, তারপরে পরবর্তী সমস্তগুলি থেকেও। বিশেষজ্ঞ শুধুমাত্র গভীরতা নির্দেশ করে যেখানে গ্রাফটি তৈরি করা প্রয়োজন। গ্রাফগুলি স্বয়ংক্রিয়ভাবে সম্পূর্ণ করার প্রক্রিয়াটি সহজ, কিন্তু অন্যান্য বিক্রেতারা এটি বাস্তবায়ন করে না কারণ এটি বিপুল সংখ্যক অপ্রাসঙ্গিক ফলাফল তৈরি করে এবং আমাদের এই ত্রুটিটিও বিবেচনায় নিতে হয়েছিল (নীচে দেখুন)।

অনেক অপ্রাসঙ্গিক ফলাফল সমস্ত নেটওয়ার্ক উপাদান গ্রাফের সাথে একটি সমস্যা। ব্যাখ্যা. উদাহরণস্বরূপ, একটি "খারাপ ডোমেন" (একটি আক্রমণে অংশ নেওয়া) একটি সার্ভারের সাথে যুক্ত যার সাথে গত 10 বছরে 500টি অন্যান্য ডোমেন যুক্ত রয়েছে৷ ম্যানুয়ালি যোগ করার সময় বা স্বয়ংক্রিয়ভাবে একটি গ্রাফ তৈরি করার সময়, এই সমস্ত 500 ডোমেনগুলিও গ্রাফে উপস্থিত হওয়া উচিত, যদিও তারা আক্রমণের সাথে সম্পর্কিত নয়। অথবা, উদাহরণস্বরূপ, আপনি বিক্রেতার নিরাপত্তা রিপোর্ট থেকে আইপি সূচক পরীক্ষা করুন। সাধারণত, এই ধরনের প্রতিবেদনগুলি উল্লেখযোগ্য বিলম্বের সাথে প্রকাশ করা হয় এবং প্রায়শই এক বছর বা তার বেশি সময় জুড়ে থাকে। সম্ভবত, আপনি রিপোর্ট পড়ার সময়ে, এই IP ঠিকানা সহ সার্ভারটি ইতিমধ্যেই অন্যান্য সংযোগ সহ অন্যান্য লোকেদের কাছে ভাড়া দেওয়া হয়েছে এবং একটি গ্রাফ তৈরি করার ফলে আপনি আবার অপ্রাসঙ্গিক ফলাফল পাবেন৷
আমাদের বিশেষজ্ঞরা ম্যানুয়ালি যে যুক্তি দিয়েছিলেন আমরা একই যুক্তি ব্যবহার করে অপ্রাসঙ্গিক উপাদানগুলি সনাক্ত করতে সিস্টেমটিকে প্রশিক্ষণ দিয়েছি। উদাহরণস্বরূপ, আপনি একটি খারাপ ডোমেন example.com পরীক্ষা করছেন, যা এখন আইপি 11.11.11.11 এবং এক মাস আগে - আইপি 22.22.22.22-তে সমাধান করে। example.com ডোমেন ছাড়াও, IP 11.11.11.11 এছাড়াও example.ru এর সাথে যুক্ত, এবং IP 22.22.22.22 অন্যান্য 25 হাজার ডোমেনের সাথে যুক্ত। সিস্টেমটি, একজন ব্যক্তির মতো, বোঝে যে 11.11.11.11 সম্ভবত একটি ডেডিকেটেড সার্ভার, এবং যেহেতু example.ru ডোমেনটি example.com-এর বানানে একই রকম, তাই, একটি উচ্চ সম্ভাবনার সাথে, সেগুলি সংযুক্ত এবং থাকা উচিত চিত্রলেখ; কিন্তু আইপি 22.22.22.22 শেয়ার্ড হোস্টিং এর অন্তর্গত, তাই এর সমস্ত ডোমেন গ্রাফে অন্তর্ভুক্ত করার প্রয়োজন নেই যদি না এই 25 হাজার ডোমেনের মধ্যে একটিকেও অন্তর্ভুক্ত করতে হবে এমন অন্যান্য সংযোগ না থাকলে (উদাহরণস্বরূপ, example.net) . সিস্টেমটি বোঝার আগে যে সংযোগগুলি ভাঙতে হবে এবং কিছু উপাদান গ্রাফে স্থানান্তরিত হবে না, এটি উপাদান এবং ক্লাস্টারগুলির অনেক বৈশিষ্ট্যগুলিকে বিবেচনা করে যেগুলিতে এই উপাদানগুলি একত্রিত হয়েছে, সেইসাথে বর্তমান সংযোগগুলির শক্তি। উদাহরণস্বরূপ, যদি আমাদের গ্রাফে একটি ছোট ক্লাস্টার (50 উপাদান) থাকে, যার মধ্যে একটি খারাপ ডোমেন রয়েছে এবং আরেকটি বড় ক্লাস্টার (5 হাজার উপাদান) এবং উভয় ক্লাস্টার খুব কম শক্তি (ওজন) সহ একটি সংযোগ (লাইন) দ্বারা সংযুক্ত থাকে। , তাহলে এই ধরনের সংযোগ ভেঙে যাবে এবং বড় ক্লাস্টার থেকে উপাদানগুলি সরানো হবে। কিন্তু যদি ছোট এবং বড় ক্লাস্টারের মধ্যে অনেকগুলি সংযোগ থাকে এবং তাদের শক্তি ধীরে ধীরে বৃদ্ধি পায়, তবে এই ক্ষেত্রে সংযোগটি ভেঙে যাবে না এবং উভয় ক্লাস্টার থেকে প্রয়োজনীয় উপাদানগুলি গ্রাফে থাকবে।

সার্ভার এবং ডোমেন মালিকানার ব্যবধান বিবেচনায় নেওয়া হয় না। ব্যাখ্যা. "খারাপ ডোমেন" শীঘ্রই বা পরে মেয়াদ শেষ হবে এবং দূষিত বা বৈধ উদ্দেশ্যে আবার কেনা হবে। এমনকি বুলেটপ্রুফ হোস্টিং সার্ভারগুলি বিভিন্ন হ্যাকারদের কাছে ভাড়া দেওয়া হয়, তাই যখন একটি নির্দিষ্ট ডোমেন/সার্ভার একজন মালিকের নিয়ন্ত্রণে ছিল তখন ব্যবধানটি জানা এবং বিবেচনা করা গুরুত্বপূর্ণ। আমরা প্রায়ই এমন পরিস্থিতির সম্মুখীন হই যেখানে IP 11.11.11.11 এর সার্ভার এখন একটি ব্যাঙ্কিং বটের জন্য C&C হিসাবে ব্যবহার করা হয় এবং 2 মাস আগে এটি Ransomware দ্বারা নিয়ন্ত্রিত ছিল। যদি আমরা অ্যাকাউন্টে মালিকানার ব্যবধান না নিয়ে একটি সংযোগ তৈরি করি, তাহলে মনে হবে ব্যাঙ্কিং বটনেট এবং র‍্যানসমওয়্যারের মালিকদের মধ্যে একটি সংযোগ রয়েছে, যদিও বাস্তবে কোনোটিই নেই। আমাদের কাজ, এই ধরনের একটি ত্রুটি সমালোচনামূলক.
আমরা সিস্টেমকে মালিকানার ব্যবধান নির্ধারণ করতে শিখিয়েছি। ডোমেনগুলির জন্য এটি তুলনামূলকভাবে সহজ, কারণ whois-এ প্রায়শই নিবন্ধন শুরু এবং মেয়াদ শেষ হওয়ার তারিখ থাকে এবং যখন Whois পরিবর্তিত হওয়ার সম্পূর্ণ ইতিহাস থাকে, তখন ব্যবধান নির্ধারণ করা সহজ। যখন একটি ডোমেনের রেজিস্ট্রেশনের মেয়াদ শেষ হয়ে যায় না, কিন্তু এর ব্যবস্থাপনা অন্য মালিকদের কাছে হস্তান্তর করা হয়, এটিও ট্র্যাক করা যেতে পারে। এসএসএল সার্টিফিকেটের ক্ষেত্রে এমন কোন সমস্যা নেই, কারণ সেগুলি একবার জারি করা হয় এবং নবায়ন বা স্থানান্তর করা হয় না। কিন্তু স্ব-স্বাক্ষরিত শংসাপত্রের সাথে, আপনি শংসাপত্রের বৈধতার মেয়াদে নির্দিষ্ট তারিখগুলিকে বিশ্বাস করতে পারবেন না, কারণ আপনি আজ একটি SSL শংসাপত্র তৈরি করতে পারেন, এবং 2010 থেকে শংসাপত্রের শুরুর তারিখ নির্দিষ্ট করতে পারেন৷ সবচেয়ে কঠিন বিষয় হল সার্ভারের মালিকানার ব্যবধান নির্ধারণ করা, কারণ শুধুমাত্র হোস্টিং প্রদানকারীদের ভাড়ার তারিখ এবং সময়সীমা রয়েছে। সার্ভারের মালিকানার সময়কাল নির্ধারণ করতে, আমরা পোর্ট স্ক্যানিং এবং পোর্টে চলমান পরিষেবাগুলির আঙ্গুলের ছাপ তৈরির ফলাফলগুলি ব্যবহার করতে শুরু করেছি। এই তথ্য ব্যবহার করে, আমরা মোটামুটি সঠিকভাবে বলতে পারি কখন সার্ভারের মালিক পরিবর্তন হয়েছে৷

কয়েকটি সংযোগ। ব্যাখ্যা. আজকাল, ডোমেনগুলির একটি বিনামূল্যের তালিকা পেতেও সমস্যা নয় যার একটি নির্দিষ্ট ইমেল ঠিকানা রয়েছে, বা একটি নির্দিষ্ট আইপি ঠিকানার সাথে যুক্ত সমস্ত ডোমেন খুঁজে বের করতে। কিন্তু যখন হ্যাকারদের কথা আসে যারা ট্র্যাক করা কঠিন হওয়ার জন্য তাদের যথাসাধ্য চেষ্টা করে, আমাদের নতুন বৈশিষ্ট্যগুলি খুঁজে বের করতে এবং নতুন সংযোগ তৈরি করার জন্য অতিরিক্ত কৌশল প্রয়োজন।
আমরা গবেষণায় অনেক সময় ব্যয় করেছি কিভাবে আমরা এমন ডেটা বের করতে পারি যা প্রচলিত উপায়ে উপলব্ধ ছিল না। সুস্পষ্ট কারণে এটি কীভাবে কাজ করে তা আমরা এখানে বর্ণনা করতে পারি না, তবে নির্দিষ্ট পরিস্থিতিতে, হ্যাকাররা, ডোমেন নিবন্ধন করার সময় বা সার্ভার ভাড়া নেওয়া এবং সেট আপ করার সময়, ভুল করে যা তাদের ইমেল ঠিকানা, হ্যাকার উপনাম এবং ব্যাকএন্ড ঠিকানাগুলি খুঁজে বের করতে দেয়। আপনি যত বেশি সংযোগ বের করবেন, তত বেশি নির্ভুল গ্রাফ তৈরি করতে পারবেন।

আমাদের গ্রাফ কিভাবে কাজ করে

নেটওয়ার্ক গ্রাফ ব্যবহার শুরু করতে, আপনাকে অনুসন্ধান বারে ডোমেন, আইপি ঠিকানা, ইমেল বা SSL শংসাপত্রের ফিঙ্গারপ্রিন্ট লিখতে হবে। তিনটি শর্ত আছে যা বিশ্লেষক নিয়ন্ত্রণ করতে পারেন: সময়, ধাপের গভীরতা এবং ক্লিয়ারিং।

Время

সময় – তারিখ বা ব্যবধান যখন অনুসন্ধান করা উপাদানটি দূষিত উদ্দেশ্যে ব্যবহার করা হয়েছিল। আপনি যদি এই প্যারামিটারটি নির্দিষ্ট না করেন, তাহলে সিস্টেম নিজেই এই সম্পদের জন্য শেষ মালিকানা ব্যবধান নির্ধারণ করবে। উদাহরণস্বরূপ, 11 জুলাই, Eset প্রকাশিত প্রতিবেদন বুহট্র্যাপ কীভাবে সাইবার গুপ্তচরবৃত্তির জন্য 0-দিনের শোষণ ব্যবহার করে সে সম্পর্কে। প্রতিবেদনের শেষে ৬টি সূচক রয়েছে। তাদের মধ্যে একটি, সুরক্ষিত-টেলিমেট্রি[.]নেট, 6 জুলাই পুনরায় নিবন্ধিত হয়েছিল। অতএব, আপনি যদি 16 জুলাইয়ের পরে একটি গ্রাফ তৈরি করেন তবে আপনি অপ্রাসঙ্গিক ফলাফল পাবেন। কিন্তু যদি আপনি ইঙ্গিত করেন যে এই ডোমেনটি এই তারিখের আগে ব্যবহার করা হয়েছিল, তাহলে গ্রাফটিতে 16টি নতুন ডোমেন, 126টি আইপি ঠিকানা রয়েছে যা Eset রিপোর্টে তালিকাভুক্ত নয়:

• ukrfreshnews[.]com
• unian-সার্চ[.]com
• ভেস্টি-ওয়ার্ল্ড[.]তথ্য
• runewsmeta[.]com
• foxnewsmeta [.]বিজ
• sobesednik-মেটা[.]তথ্য
• rian-ua[.]নেট
• এবং অন্যদের

নেটওয়ার্ক সূচকগুলি ছাড়াও, আমরা অবিলম্বে দূষিত ফাইলগুলির সাথে সংযোগ খুঁজে পাই যা এই পরিকাঠামো এবং ট্যাগের সাথে সংযোগ ছিল যা আমাদের বলে যে Meterpreter এবং AZORult ব্যবহার করা হয়েছিল৷

দুর্দান্ত জিনিসটি হল আপনি এই ফলাফলটি এক সেকেন্ডের মধ্যে পেয়ে যাবেন এবং আপনাকে আর ডেটা বিশ্লেষণ করতে দিন কাটাতে হবে না। অবশ্যই, এই পদ্ধতিটি কখনও কখনও তদন্তের জন্য সময়কে উল্লেখযোগ্যভাবে হ্রাস করে, যা প্রায়শই সমালোচনামূলক।

গ্রাফটি তৈরি করা হবে এমন ধাপ বা পুনরাবৃত্তির গভীরতার সংখ্যা

ডিফল্টরূপে, গভীরতা হল 3। এর মানে হল যে সমস্ত সরাসরি সম্পর্কিত উপাদানগুলি পছন্দসই উপাদান থেকে পাওয়া যাবে, তারপর প্রতিটি নতুন উপাদান থেকে অন্যান্য উপাদানের সাথে নতুন সংযোগ তৈরি করা হবে এবং শেষ থেকে নতুন উপাদানগুলি থেকে নতুন উপাদান তৈরি করা হবে। পদক্ষেপ

আসুন APT এবং 0-দিনের শোষণের সাথে সম্পর্কিত নয় এমন একটি উদাহরণ নেওয়া যাক। সম্প্রতি, ক্রিপ্টোকারেন্সি সম্পর্কিত জালিয়াতির একটি আকর্ষণীয় ঘটনা Habré-এ বর্ণিত হয়েছে। রিপোর্টে ডোমেইন thecx[.]co উল্লেখ করা হয়েছে, যা স্ক্যামাররা একটি ওয়েবসাইট হোস্ট করতে ব্যবহার করে যা মাইনার কয়েন এক্সচেঞ্জ এবং ফোন-লুকআপ[.]xyz ট্রাফিক আকর্ষণ করার জন্য।

বর্ণনা থেকে এটা স্পষ্ট যে প্রতারণামূলক সম্পদের প্রতি ট্রাফিককে আকৃষ্ট করার জন্য স্কিমের জন্য মোটামুটি বড় পরিকাঠামো প্রয়োজন। আমরা 4টি ধাপে একটি গ্রাফ তৈরি করে এই অবকাঠামোটি দেখার সিদ্ধান্ত নিয়েছি। আউটপুটটি 230টি ডোমেন এবং 39টি আইপি ঠিকানা সহ একটি গ্রাফ ছিল। এর পরে, আমরা ডোমেইনগুলিকে 2টি বিভাগে বিভক্ত করি: যেগুলি ক্রিপ্টোকারেন্সিগুলির সাথে কাজ করার জন্য পরিষেবাগুলির অনুরূপ এবং যেগুলি ফোন যাচাইকরণ পরিষেবাগুলির মাধ্যমে ট্রাফিক চালনার উদ্দেশ্যে তৈরি করা হয়:

ক্রিপ্টোকারেন্সির সাথে সম্পর্কিত
ফোন পাঞ্চিং পরিষেবার সাথে যুক্ত

মুদ্রারক্ষক[.]সিসি
কলার-রেকর্ড[.]সাইট।

mcxwallet[.]co
ফোন-রেকর্ডস[.]স্পেস

btcnoise[.]com
fone-উন্মোচন[.]xyz

ক্রিপ্টোমাইনার [.]ঘড়ি
সংখ্যা-উন্মোচন[.]তথ্য

Очистка

ডিফল্টরূপে, "গ্রাফ ক্লিনআপ" বিকল্পটি সক্রিয় থাকে এবং সমস্ত অপ্রাসঙ্গিক উপাদান গ্রাফ থেকে সরানো হবে৷ যাইহোক, এটি আগের সমস্ত উদাহরণে ব্যবহৃত হয়েছিল। আমি একটি স্বাভাবিক প্রশ্নের পূর্বাভাস: গুরুত্বপূর্ণ কিছু মুছে ফেলা হয় না তা আমরা কিভাবে নিশ্চিত করতে পারি? আমি উত্তর দেব: বিশ্লেষক যারা হাত দিয়ে গ্রাফ তৈরি করতে চান তাদের জন্য স্বয়ংক্রিয় পরিচ্ছন্নতা অক্ষম করা যেতে পারে এবং ধাপের সংখ্যা নির্বাচন করা যেতে পারে = 1। এর পরে, বিশ্লেষক তার প্রয়োজনীয় উপাদানগুলি থেকে গ্রাফটি সম্পূর্ণ করতে সক্ষম হবেন এবং উপাদানগুলিকে সরিয়ে দিতে পারবেন। গ্রাফ যা কাজের সাথে অপ্রাসঙ্গিক।

ইতিমধ্যেই গ্রাফে, Whois, DNS-এর পরিবর্তনের ইতিহাস, সেইসাথে খোলা পোর্ট এবং সেগুলিতে চলমান পরিষেবাগুলি বিশ্লেষকের কাছে উপলব্ধ।

আর্থিক ফিশিং

আমরা একটি APT গ্রুপের কার্যক্রম তদন্ত করেছি, যেটি বেশ কয়েক বছর ধরে বিভিন্ন অঞ্চলে বিভিন্ন ব্যাঙ্কের গ্রাহকদের বিরুদ্ধে ফিশিং আক্রমণ চালিয়েছে। এই গোষ্ঠীর একটি বৈশিষ্ট্য ছিল বাস্তব ব্যাঙ্কগুলির নামের সাথে ডোমেইনগুলির নিবন্ধকরণ এবং বেশিরভাগ ফিশিং সাইটের ডিজাইন একই ছিল, শুধুমাত্র ব্যাঙ্কগুলির নাম এবং তাদের লোগোগুলির মধ্যে পার্থক্য।

এই ক্ষেত্রে, স্বয়ংক্রিয় গ্রাফ বিশ্লেষণ আমাদের অনেক সাহায্য করেছে। তাদের ডোমেনগুলির একটি নিয়ে - lloydsbnk-uk[.]com, কয়েক সেকেন্ডের মধ্যে আমরা 3টি ধাপের গভীরতা সহ একটি গ্রাফ তৈরি করেছি, যা 250 টিরও বেশি ক্ষতিকারক ডোমেন চিহ্নিত করেছে যা 2015 সাল থেকে এই গ্রুপটি ব্যবহার করেছে এবং ব্যবহার করা অব্যাহত রয়েছে . এর মধ্যে কিছু ডোমেইন ইতিমধ্যেই ব্যাঙ্ক দ্বারা কেনা হয়েছে, কিন্তু ঐতিহাসিক রেকর্ডগুলি দেখায় যে সেগুলি আগে আক্রমণকারীদের কাছে নিবন্ধিত ছিল৷

স্পষ্টতার জন্য, চিত্রটি 2টি ধাপের গভীরতার সাথে একটি গ্রাফ দেখায়।

এটি লক্ষণীয় যে ইতিমধ্যে 2019 সালে, আক্রমণকারীরা তাদের কৌশল কিছুটা পরিবর্তন করেছে এবং ওয়েব ফিশিং হোস্ট করার জন্য শুধুমাত্র ব্যাঙ্কগুলির ডোমেনগুলিই নয়, ফিশিং ইমেলগুলি পাঠানোর জন্য বিভিন্ন পরামর্শকারী সংস্থার ডোমেনগুলিও নিবন্ধন করতে শুরু করেছে। উদাহরণস্বরূপ, swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com ডোমেইন।

কোবাল্ট গ্যাং

2018 সালের ডিসেম্বরে, হ্যাকার গ্রুপ কোবাল্ট, ব্যাঙ্কগুলিতে লক্ষ্যবস্তু আক্রমণে বিশেষজ্ঞ, কাজাখস্তানের ন্যাশনাল ব্যাঙ্কের পক্ষে একটি মেইলিং প্রচারাভিযান পাঠায়।

চিঠিতে hXXps://nationalbank.bz/Doc/Prikaz.doc লিঙ্ক রয়েছে৷ ডাউনলোড করা নথিতে একটি ম্যাক্রো রয়েছে যা পাওয়ারশেল চালু করেছে, যা %Temp%einmrmdmy.exe-এ hXXp://wateroilclub.com/file/dwm.exe থেকে ফাইলটি লোড এবং কার্যকর করার চেষ্টা করবে। %Temp%einmrmdmy.exe aka dwm.exe ফাইলটি একটি CobInt স্টেজার যা সার্ভারের সাথে ইন্টারঅ্যাক্ট করার জন্য কনফিগার করা হয়েছে hXXp://admvmsopp.com/rilruietguadvtoefmuy৷

এই ফিশিং ইমেলগুলি গ্রহণ করতে এবং দূষিত ফাইলগুলির সম্পূর্ণ বিশ্লেষণ করতে সক্ষম না হওয়ার কল্পনা করুন৷ দূষিত ডোমেন Nationalbank[.]bz-এর গ্রাফ অবিলম্বে অন্যান্য দূষিত ডোমেনের সাথে সংযোগ দেখায়, এটিকে একটি গ্রুপের সাথে যুক্ত করে এবং আক্রমণে কোন ফাইলগুলি ব্যবহার করা হয়েছিল তা দেখায়।

আসুন এই গ্রাফ থেকে IP ঠিকানা 46.173.219[.] 152 নেওয়া যাক এবং এটি থেকে একটি পাসে একটি গ্রাফ তৈরি করুন এবং পরিষ্কার করা বন্ধ করুন। এর সাথে 40টি ডোমেন যুক্ত আছে, উদাহরণস্বরূপ, bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

ডোমেন নামগুলির দ্বারা বিচার করে, মনে হয় যে সেগুলি প্রতারণামূলক স্কিমগুলিতে ব্যবহৃত হয়, তবে পরিচ্ছন্নতার অ্যালগরিদম বুঝতে পেরেছিল যে তারা এই আক্রমণের সাথে সম্পর্কিত নয় এবং সেগুলিকে গ্রাফে রাখে না, যা বিশ্লেষণ এবং অ্যাট্রিবিউশন প্রক্রিয়াটিকে ব্যাপকভাবে সরল করে।

আপনি যদি Nationalbank[.]bz ব্যবহার করে গ্রাফটি পুনরায় তৈরি করেন, কিন্তু গ্রাফ পরিষ্কার করার অ্যালগরিদম নিষ্ক্রিয় করেন, তাহলে এতে 500টিরও বেশি উপাদান থাকবে, যার বেশিরভাগেরই কোবাল্ট গ্রুপ বা তাদের আক্রমণের সাথে কোনো সম্পর্ক নেই। এই ধরনের একটি গ্রাফ দেখতে কেমন তার একটি উদাহরণ নীচে দেওয়া হল:

উপসংহার

বেশ কয়েক বছরের সূক্ষ্ম টিউনিং, বাস্তব তদন্তে পরীক্ষা, হুমকি গবেষণা এবং আক্রমণকারীদের জন্য শিকার করার পরে, আমরা শুধুমাত্র একটি অনন্য টুল তৈরি করতেই নয়, এর প্রতি কোম্পানির বিশেষজ্ঞদের মনোভাবও পরিবর্তন করতে পেরেছি। প্রাথমিকভাবে, প্রযুক্তি বিশেষজ্ঞরা গ্রাফ নির্মাণ প্রক্রিয়ার উপর সম্পূর্ণ নিয়ন্ত্রণ চান। তাদের বোঝানো যে স্বয়ংক্রিয় গ্রাফ নির্মাণ অনেক বছরের অভিজ্ঞতা সম্পন্ন ব্যক্তির চেয়ে এটি আরও ভাল করতে পারে অত্যন্ত কঠিন ছিল। গ্রাফটি কী তৈরি করেছে তার ফলাফলের সময় এবং একাধিক "ম্যানুয়াল" চেক দ্বারা সবকিছু সিদ্ধান্ত নেওয়া হয়েছিল। এখন আমাদের বিশেষজ্ঞরা কেবল সিস্টেমটিকেই বিশ্বাস করেন না, এটি তাদের দৈনন্দিন কাজে প্রাপ্ত ফলাফলগুলিও ব্যবহার করেন। এই প্রযুক্তিটি আমাদের প্রতিটি সিস্টেমের মধ্যে কাজ করে এবং আমাদের যেকোনো ধরনের হুমকিকে আরও ভালোভাবে শনাক্ত করতে দেয়। ম্যানুয়াল গ্রাফ বিশ্লেষণের জন্য ইন্টারফেসটি সমস্ত গ্রুপ-আইবি পণ্যগুলিতে তৈরি করা হয়েছে এবং সাইবার অপরাধের শিকারের ক্ষমতা উল্লেখযোগ্যভাবে প্রসারিত করে। এটি আমাদের ক্লায়েন্টদের থেকে বিশ্লেষক পর্যালোচনা দ্বারা নিশ্চিত করা হয়. এবং আমরা, পালাক্রমে, ডেটা সহ গ্রাফকে সমৃদ্ধ করতে থাকি এবং সবচেয়ে সঠিক নেটওয়ার্ক গ্রাফ তৈরি করতে কৃত্রিম বুদ্ধিমত্তা ব্যবহার করে নতুন অ্যালগরিদমগুলিতে কাজ করি।

উত্স: www.habr.com