Kujutage ette järgmist olukorda. Külm oktoobri hommik, projektibüroo ühes Venemaa piirkonna keskuses. Keegi personali osakonnast siseneb instituudi kodulehe ühele värbamislehele, mis on postitatud paar päeva tagasi, ja näeb seal kassi pilti. Hommik lõpetab kiiresti igavuse...
Selles artiklis räägib Pavel Suprunjuk, Group-IB auditi ja konsultatsiooni osakonna tehniline juht, sotsiaaltehniliste rünnakute kohast kaitsereitingu projektides, nende ebatavalistest vormidest ning sellest, kuidas selliste rünnakute eest kaitsta. Autor täpsustab, et artikkel on ülevaatlik, kuid kui mõni aspekt huvitab lugejaid, on Group-IB eksperdid valmis vastama küsimustele kommentaarides.
Osa 1. Miks nii tõsine?
Kasutame tagasi meie kassi. Mõne aja pärast kustutab personaliosakond foto (ekraanipildid on osaliselt retušeeritud, et mitte avaldada tõelisi nimesid), kuid see ilmub taas, nad kustutavad selle jälle, ja nii jätkub veel mitu korda. Personaliosakond mõistab, et kassi kavatsused on tõsised, ta ei taha lahkuda, ja kutsuvad appi veebiarendaja — inimese, kes tegi saidi ja mõistab seda ning haldab seda praegu. Arendaja logib veebisaidile sisse, kustutab ebameeldiva kassi veel kord, tuvastab, et selle oli paigaldanud personaliosakond ise, seejärel teeb ta oletuse, et personaliosakonna parool on lekkinud mingitele neti kiusajatele, ja muudab selle. Kass enam ei ilmu.
Mis tegelikult juhtus? Grupi ettevõtete, kuhu kuulus institutsioon, suhtes viis Group-IB spetsialist läbi sissetungimistestid, mis olid sarnased Red Teaminguga (teisisõnu, see on teie ettevõtte sihtimist simuleerimine, kasutades kõige arenenumaid meetodeid ja tööriistu häkkerite gruppide arsenalist). Oleme üksikasjalikult rääkinud Red Teamingust. . On oluline teada, et sellise testi läbiviimisel võidakse rakendada väga laia rida rünnakute eelnevalt kokku lepitud meetoditega, sealhulgas sotsiaalne insenertehnika. On selge, et kassi paigutamine ei olnud väitluse lõppeesmärk. Eesmärk oli järgmine:
- instituudi veebisait oli paigutatud institudi võrgus olevasse serverisse, mitte kolmandate osapoolte serveritesse;
- leidub personaliosakonna konto lekkimine (logifail asus saidi juures). Selle kontoga saidit haldada ei olnud võimalik, kuid tööpakkumiste lehti sai redigeerida;
- lehti muutes sai paigutada oma JavaScripti skripte. Need muudavad lehed tavaliselt interaktiivseks, kuid antud olukorras võis neid skripte kasutada ka brauserist külastaja identifitseerimise, seanssivaba ja andmete vargmiseks. Kass oli rünnaku käivitaja ja tähelepanu tõmbav pilt. HTML-i märgistuskeeles nägi see välja nii: kui pilt on laaditud, on JavaScript juba käivitatud ja teie seansi identifikaator koos teie brauseri ja IP-aadressiga on juba varastatud.
- Varastatud administraatori sessiooni identifikaatori abil oleks võimalik saada täielik ligipääs veebisaidile, muuta PHP keeles täitmisele kuuluvate lehtede asemel ning seega pääseda ligi serveri operatsioonisüsteemile, misjärel ka kohalikule võrgule, mis oli projekti oluline vahe-eesmärk.
Rünnak lõppes osalise eduga — administraatori sessiooni identifikaator varastati, kuid see oli seotud IP-aadressiga. Seda nurjata ei õnnestunud, me ei suudnud privileege veebisaidil administraatoriks tõsta, kuid tõstsime tuju. Lõppkokkuvõttes saavutasime tulemuse teisel võrgu perimeetral.
Osa 2. Ma kirjutan teile — mis veel? Ja veel helistan ja trambin teie kohal, pillates mälupulki.
See, mis toimus kassi olukorras — on sotsiaalse inseneritöö näide, ehkki mitte täiesti klassikaline. Tegelikult oli selles loos rohkem sündmusi: oli nii kass, instituut, personalibüroo kui ka programmeerija, kuid olid ka elektroonilised kirjad täpsustavate küsimustega, mida kirjutati justkui "kandidaatidelt" personalibüroosse ja isiklikult programmeerijale, et provotseerida neid minema saidile.
Muide, e-kirjad. Tavaline e-post — tõenäoliselt peamine kanal sotsiaalse inseneritegevuse läbiviimiseks — on juba paar kümnendit asjakohane ja vahel toob kaasa kõige ootamatumaid tagajärgi.
Järgmist lugu räägime sageli meie üritustel, kuna see on väga õpetlik.
Tavaliselt koostame sotsiaalse inseneritegevuse projektide tulemuste põhjal statistikat, mis on kuuldavasti kuiv ja igav. Protsentide arv, kui palju saajaid avas e-kirjaga saadud manuse, mitu klikkis lingile, ja need kolm inimest, kes sisestasid oma kasutajanime ja parooli. Ühes projektis saime rohkem kui 100% paroolide sisestamisest — see tähendab, et sissekandeid oli rohkem kui saadetud.
See nii: saadeti küünte e-kiri, mis näis olevat CISO-lt riigifirmast, nõudes 'kuidas kiiresti testida muudatuste postiteenuses'. E-kiri jõudis suure osakonna juhile, kes tegeles teenuse toetamisega. Juhil oli väga suur vastutus kõrgema juhtkonna ülesannete täitmisel, ning ta edastas selle oma alamatele. Kõnekeskus oli üsna suur. Üldiselt on olukorrad, kus keegi edastab 'huvitavaid' küünte e-kirju oma kolleegidele ja nad ka ise langevad sellesse - üsna tavaline nähtus. Meie jaoks on see parim tagasiside e-kirja koostamise kvaliteedi osas.
Veidi hiljem avastasid nad meid (e-kiri eemaldati kompromiteeritud postkastist):
Rünnak on edukas, kuna kliendi postitussüsteemi seadistamisel kasutati hulga tehnilisi puudusi. See oli konfigureeritud selliselt, et igaühel oli võimalik saata meile lahtiste kätega mis tahes saatja nimel, isegi internetist. Seega oli võimalik teeselda CISO-d, töökohustust, või kedagi teist. Veel enam, postivahendi kaudu, vaadates kirju oma domeenist, lisati hoolikalt aadressiraamatust foto, mis tõi saatjale loomulikkust.
Tõtt-öelda ei kuulu selline rünnak keerukate tehnoloogiate hulka; see on lihtsalt õnnestunud baasvigu postihalduses ära kasutamine. Seda teemat käsitletakse regulaarselt IT ja teabe turbe platvormidel, kuid siiski on endiselt firmasid, kus kõik need vead esinevad. Kuna keegi ei ole soositud, et põhjalikult kontrollida SMTP protokolli teenuseteateid, kontrollitakse tavaliselt kirja 'ohtlikkust' postivahendi hoiatused, mis ei pruugi alati kogu pilti näidata.
Huvitav on see, et sarnane haavatavus toimib ka teises suunas: ründaja saab saata kirja teie ettevõtte nimel kolmandale isikule. Näiteks võib ta vale arve esitada regulaarsete maksete kohta teie nimel, asendades teie andmed teistega. Kui mitte arvesse võtta petmise ja raha väljavõtmise küsimusi, on see tõenäoliselt üks lihtsamaid võimalusi raha varastamiseks sotsiaalse inseneeria abil.
Lisaks paroolide varastamisele fišingu kaudu on klassikalisteks sotsiaalselt tehnilisteks rünnakuteks käivitavate manuste saatmine. Kui need manused suudavad üle saada kõigist kaitsemeetmetest, mida tänapäeva ettevõtetel tavaliselt palju on, tekib kaugjuurdepääsu kanal ohvri arvutile. Rünnaku tagajärgede näitamiseks saab kaugjuhtimist arendada kuni juurdepääsuni eriti olulistele konfidentsiaalsetele andmetele. Märkimisväärne on, et enamik rünnakutest, millega meediast hirmutatakse, algab just niimoodi.
Meie auditi osakonnas vaatame huvist ligikaudset statistikat: kui suur on nende ettevõtete koguväärtus, millele oleme saanud administraatoriõigusi peamiselt andmepüügist ja täidesaatvatest manusest? Sel aastal saavutas see ligikaudu 150 miljardit eurot.
On selge, et provokatiivsete e-kirjade saatmine ja kassifotode postitamine veebilehtedele ei ole ainukesed sotsiaalinseneri meetodid. Nendes näidetes oleme püüdnud näidata rünnaku ja nende tagajärgede mitmekesisust. Lisaks e-kirjadele võib potentsiaalne ründaja helistada, et saada vajalikku teavet, hajutada välisseadmeid (nt mälupulki) täidisdokumentide failidega sihtettevõtte kontorisse, saada praktikantidena tööle või saada füüsilist juurdepääsu kohalikule võrgule turvakaamerate paigaldajana. Kõik need, muide, on näited meie edukatest projektidest.
Osa 3. Teadmised on valgus ja teadmatus on pimedus
Tekib kahtlus: hästi, sotsiaalne inseneritehnika paistab ohtlikuna, aga mida ettevõtted sellega teha saavad? Aitab Kapten Ahnus: tuleb kaitsta, ja küllaltki põhjalikult. Osa kaitsemeetmetest suunatakse juba klassikalistele turvameetmetele, nagu tehnilised teabe kaitsevahendid, jälgimine, organisatsioonilised ning õiguslikud vahendid, kuid meie arvates peaks enamus fokusseeruma otsesele töötajate kasvatamisele kui nõrgimale lülile. Sest kui palju sa iganes tugevdad tehnoloogiat või koostad ranged regulatsioonid, aina jääb kasutaja, kes leiab uue viisi, kuidas kõike rikkuda. Eriti kui kogenud kurjategija teda suunab.
Esiteks, on oluline õpetada kasutajat: selgitada, et isegi tema igapäevases töös võivad tekkida olukorrad, mis on seotud sotsiaalse inseneritehnikaga. Meie klientide jaoks korraldame tihti digitaalse hügieeni kohta — üritus, mis õpetab baasteadmisi küberrünnakute vastu.
Võin lisada, et parim kaitsemeede ei ole kindlasti turvareeglite meeldejätmine, vaid olukorra veidi kaugem hinnang:
- Kes on minu vestluspartner?
- Kust tulid tema ettepanek või palve (kunagi pole sellist asja olnud ja nüüd ilmnes)?
- Mis on selles päringus ebatavalist?
Isegi ebatavaline font või mittetüüpiline suhtlemisstiil võivad käivitada kahtluste ahela, mis peatab rünnaku. Kirjalikud juhised on samuti vajalikud, kuid need toimivad teistmoodi ega suuda konkreetselt sõnastada kõiki võimalikke olukordi. Näiteks kirjutavad infosüsteemi adminnid neisse, et ei tohi sisestada oma parooli kolmandate osapoolte ressurssidesse. Aga mis siis, kui parooli küsib "oma", "korporatiivne" veebiteenus? Kasutaja mõtleb: "Meie firmas on juba paar tosinat teenust, mis kasutavad ühte kasutajakontot, miks ei võiks veel üks lisanduda?" Seega tuleb meeles pidada, et hästi organiseeritud tööprotsess mõjutab otseselt ka turvalisust: kui naaberosakond saab teilt teavet küsida ainult kirjalikult ja läbi teie juhataja, ei saa keegi "usaldusväärse partneri" positsioonilt seda telefoni teel küsida - see oleks teile absuurdne. Erakordselt tuleks ettevaatlik olla, kui teie vestluspartner nõuab, et kõik tuleb teha kohe või "ASAP", nagu see moes on. I isegi tavalisel tööl ei ole selline olukord terve, rääkimata võimalike rünnakute tingimustes - see on tugev vallandaja. Pole aega seletada, käivita minu fail!
Me märkame, et sotsiaalsete tehnoloogiliste rünnakute puhul toimivad alati kasutajate jaoks legendid, mis on seotud rahaga mingis vormis: lubadused tõusudest, eeliste andmisest, kingitustest, samuti teave, mis näib olevat kohalikest kuulujuttudest ja intriigidest. Teisisõnu, toimivad banaalsed „surmased pattud”: ahnus, ahneus ja liialdamine.
Hea koolitus peab alati sisaldama praktikat. Siinkohal saavad appi tulla sissetungimise testimise spetsialistid. Järgmine küsimus: mida ja kuidas me testime? Group-IB-is soovitame järgmise lähenemise — valida kohe testimise fookus: kas hinnata kehtivust ainult kasutajate enda rünnakutele või testida ettevõtte kaitset tervikuna. Ja testida sotsiaalse inseneritehnika meetoditega, simuleerides reaalset rünnakut — sealhulgas kalapüük, täitmisfailide saatmine, telefonikõned ja muud tehnikad.
Esimeses juhul valmistatakse rünnak hoolikalt ette koostöös kliendi esindajatega, peamiselt tema IT- ja infoturbe spetsialistidega. Kokku lepitakse lood, tööriistad ja rünnakute tehnikad. Klient pakub ise fookusgrupid ja kasutajate nimekirjad rünnaku jaoks, mis sisaldavad kõiki vajalikke kontakte. Luues erandeid kaitsevahendites, peavad sõnumid ja täitmiskoormused kindlasti jõudma saajani, kuna sellises projektis on huvitav ainult inimeste reaktsioon. Valikuline on rünnaku sisse kirjutada märgid, mille abil kasutaja võib aimata, et tegemist on rünnakuga — näiteks võib sõnumites teha paar õigekirja viga või jätta ebatäpsusi brändi stiili kopeerimisel. Projekti lõpus saadaksegi see kuulus „kuiv statistika”: millised fookusgrupid ja kui suures mahus reageerisid stsenaariumitele.
Teises olukorras viiakse rünnak läbi nullteadmiste meetodil, kasutades "mustale kastile" omaseid meetodeid. Me kogume ise teavet ettevõtte, selle töötajate ja võrgu perimeetri kohta, töötame välja rünnakohti, valime meetodid, otsime võimalikke sihtettevõttes kasutatavaid kaitsevahendeid, kohandame tööriistu ja koostame stsenaariume. Meie spetsialistid kasutavad nii klassikalisi avatud allikate luuremeetodeid (OSINT) kui ka meie enda arendatud toote Group-IB — Threat Intelligence, süsteemi, mis võib kalapüüki valmistudes olla teabe kogumise agregaat ettevõtte kohta pikka aega, kasutades sealhulgas ka suletud teavet. Loomulikult kooskõlastatakse rünnaku üksikasjad ka kliendiga, et see ei muutuks ebameeldivaks üllatuseks. Selgub, et tegemist on täiemahulise sissetungimise testiga, kuid selle aluseks on arenenud sotsiaalne inseneritehnika. Sellises olukorras on loogiline valik ründe arendamine sisevõrgus, kuni kõrgeimate õiguste saamiseni siseolukordades. Üks huvitav aspekt on see, et me rakendame sotsiaaltehnilisi rünnakuid ka , ja mõningates juurdepääsu testides. Tulemuseks on see, et tellija saab sõltumatu, põhjaliku ülevaate oma kaitse tasemest teatud tüüpi sotsiaaltehniliste rünnakute vastu, samuti tõestuse (või vastupidi, ebaefektiivsuse) väljakujundatud kaitsemeetmete toimivusest välistest ohtudest.
Soovitame sellist koolitust korraldada vähemalt kaks korda aastas. Esiteks on igas ettevõttes töötajate voolavus ja varasem kogemus ununeb töötajatele järk-järgult. Teiseks muutuvad pidevalt rünnakute meetodid ja tehnikad, mis toob kaasa vajaduse kohandada turvaprotsesse ja kaitsevahendeid.
Kui rääkida tehnilistest kaitsemeedetest rünnakute vastu, siis aitavad kõige rohkem järgmised:
- Kohustuslik kahe teguri autentimine teenustes, mis on avaldatud internetis. Selliste teenuste käivitamine 2019. aastal ilma Single Sign On süsteemide, paroolide murdmise kaitse ja kahe teguri autentimiseta ettevõttes, kus on mitusada töötajat, on võrreldav avatud kutsega "murda mind". Õigesti rakendatud kaitse takistab varastatud paroolide kiiret kasutamist ja annab aega kalapüügi rünnakute tagajärgede kõrvaldamiseks.
- Juhtimise tagamine juurdepääsuregule, kasutajate õiguste minimaalne määramine süsteemides ning iga suure tootja turvalise seadistamise juhiste järgimine. Need on sageli lihtsad, kuid väga tõhusad ja praktikas keerukad meetmed, mida kõik mingil määral eiravad kiirusest tulenevalt. Mõned neist on aga nii vajalikud, et ilma nendeta ei päästa ükski kaitsevahend.
- Hästi üles ehitatud e-kirjade filtreerimise rida. Rämpsposti tõrje, täielik manuste kontroll pahavara leidmiseks, sealhulgas dünaamiline testimine liivakastides. Hästi ettevalmistatud rünnak tähendab, et täitke manused ei tuvastata viirusetõrjevahenditega. Liivakast aga kontrollib kõike endale, kasutades faile sama moodi nagu inimene. Selle tulemusena paljastatakse võimalik pahavara liivakasti sees toimuvate muutuste kaudu.
- Sihtotstarbeliste rünnakute kaitsevahendid. Nagu juba mainitud, ei tuvastata klassikalised viirusetõrjevahendid headelt ettevalmistatud rünnakutega pahatahtlikke faile. Kõige arenenumad tooted peavad automaatselt jälgima sündmuste kogumit, mis aset leiavad võrgus — nii üksikhosti tasandil kui ka sisevõrgu liikluse tasandil. Rünnakute korral ilmnevad väga iseloomulikud sündmuste ahelad, mida saab jälgida ja peatada, kui on olemas sündmuste tuvastamisele keskendunud monitorimist.
Artikli originaal ajakirjas „Information Security/ Информационная безопасность“ #6, 2019.
Allikas: habr.com
