(pealkirja idee eest aitäh Sergey G. Brester) )
Kolleegid, selle artikli eesmärgiks on jagada kogemusi uue klassi IDS-lahenduste testimisest Deception-tehnoloogiate põhjal, mis kestis aasta.
Et säilitada materjali loogilist sidusust, pean vajalikuks alustada eeldustest. Nii et, probleem on järgmine:
- Sihtotstarbelised rünnakud on kõige ohtlikum rünnaku liik, kuigi nende osakaal koguhulkades on väike.
- Puudub mõni garantii, et tõhusat perimeetri kaitsevahendit (või selliste vahendite kompleksi) on seni leiutatud.
- Reeglina toimuvad sihtotstarbelised rünnakud mitmes etapis. Perimeetri ületamine on alles üks esialgsetest etappidest, mis (võite mind kividega loopida) ei tekita suurt kahju «ohvrile», kui see ei ole DEoS (teenuse hävitamine) rünnaku puhul (šifreerijad jne). Tõeliselt «valus» hakkab alles hiljem, kui hõivatud varasid kasutatakse rünnakute «sügavusele» liikudes, ja me ei pruugi sellest teadlikud olla.
- Kuna me hakkame tõeliselt kaotama, kui kurjategijad saavutavad oma sihtmärgid (rakendusservid, andmebaasid, andmete hoidlad, hoidlad, kriitilise infrastruktuuri elemendid), on loogiline, et üheks küberjulgeoleku teenistuse ülesandeks on rünnakute peatamine enne seda ebaõnnestunud sündmust. Kuid midagi peatada, tuleb sellest kõigepealt teada. Ja mida varem – seda parem.
- Seega on riskide tõhusaks juhtimiseks (st suunatud rünnakute kahjustuse vähendamiseks) kriitiliselt vajalik olemasolu tööriistade, mis tagavad minimaalset TTD (time to detect – aeg sissemurdmisest rünnaku tuvastamiseni). Sõltuvalt tööstusharust ja piirkonnast on see periood USA-s keskmiselt 99 päeva, EMEA piirkonnas 106 päeva ja APAC piirkonnas 172 päeva (M-Trends 2017, A View From the Front Lines, Mandiant).
- Mida pakub turg?
- „Kohandamis- ja katsetamiskeskkonnad“. Veel üks ennetav kontroll, mis on kaugel ideaalist. On palju tõhusaid meetodeid, et tuvastada ja mööda minna kohandamis- või heakskiitmislahendustest. „Tumeda poole“ kutid on siin hetkel sammu ees.
- UEBA (käitumisprofiilide ja kõrvalekallete tuvastamise süsteemid) teoreetiliselt võivad olla väga efektiivsed. Kuid minu arvates jääb see kauges tulevikku. Praktikas on see praegu väga kallis, ebatõhus ja vajab väga küpset ja stabiilset IT ja infosüsteemide infrastruktuuri, kus juba on kõik vajalikud tööriistad, mis genereerivad andmeid käitumisanalüüsiks.
- SIEM on hea tööriist uurimiseks, kuid midagi uut ja originaalset näha ja õigel ajal esitada ei suuda, kuna korrelatsioonireeglid on samad signatuurid.
- Sellise tööriista vajadus on muutunud üha ilmselgemaks, millel on:
- töötada tõhusalt juba kompromiteeritud perimeetrites,
- tuvastada edukad rünnakud peaaegu reaalajas, sõltumata kasutatavatest tööriistadest ja haavatavustest,
- mitte sõltuda signatuuridest/reeglitest/skeemidest/poliitikatest/profiilidest ja teistest staatilistest asjadest,
- mitte vajada suuri andmemahtusid ja nende allikaid analüüsiks,
- võimaldaks rünnakute määratlemist mitte kui mingi riskiskoorimise tulemus "maailma parima, patenditud ja seetõttu suletud matemaatika" tõttu, mis nõuab täiendavat uurimist, vaid praktiliselt kui binaarset sündmust – "Jah, meid rünnatakse" või "Ei, kõik on korras".
- oli universaalne, tõhusalt skaleeritav ja tõeliselt rakendatav igasugustes heterogeensetes keskkondades, sõltumata kasutatavast füüsilisest ja loogilisest võrgutopoloogiast.
Selle rollile pretendeerivad praegu nn petmislahendused. See tähendab lahendusi, mis põhinevad vanal heas honeypot'ide kontseptsioonil, kuid hoopis erineva taseme rakendusega. See teema on praegu kahtlemata tõusuteel.
Tulemuste põhjal Petmislahendused on TOP-3 strateegia ja tööriistade seas, mida soovitatakse rakendada.
Aruande andmete kohaselt Petmine on üks juhtivatest suundumustest IDS (Intrusion Detection Systems) lahenduste arengus.
Viimane sektsioon , mis moodustatakse SCADA-lt, on aluseks ühe juhtiva ettevõtte, TrapX Security (Iisrael), andmetele, mille lahendused on meie testimisalas töötanud juba aasta.
TrapX Deception Grid võimaldab välja töötada ja hallata massiliselt jaotatud IDS-i keskelt, ilma litsentsikoormuse ja riistvaranõuete suurenemiseta. Tegelikult on TrapX ehituskomplekt, mis võimaldab olemasolevate IT-infrastruktuuri elementide põhjal luua ühe suure ründeavastussüsteemi, mis katab kogu ettevõtte, tõeliselt jaotatud võrgu "märguande".
Lahenduse struktuur
Meie laboris uurime ja katsetame pidevalt erinevaid IT-ohtude kaitse uuendusi. Praegu on siin kokku umbes 50 erinevat virtuaalset serverit, sealhulgas ka TrapX Deception Grid komponente.
Nii et, ülevalt alla:
- TSOC (TrapX Security Operation Console) – süsteemi aju. See on keskne juhtimiskonsool, mille abil toimub lahenduse seadistamine, juurutamine ja kogu igapäevane töö. Kuna see on veebi teenus, saab seda rakendada ükskõik kus – perimeetris, pilves või MSSP teenusepakkuja juures.
- TrapX Appliance (TSA) – virtuaalserver, kuhu ühendame trunk-porti abil need alavõrgud, mida soovime jälgimisega katta. Siin paiknevad tegelikult ka kõik meie võrguandurid.
Meie laboris on käivitatud üks TSA (mwsapp1), kuid tegelikult võib neid olla palju. See võib osutuda vajalikuks suurtes võrkudes, kus segmentide vahel puudub L2-ühendus (klassikaline näide – 'Kontsern ja tütarettevõtted' või 'Panga peakorter ja filiaalid') või kui võrgus on isoleeritud segmente, näiteks automaatika- ja juhtimisseadmed. Igasse sellesse filiaali/segmendi saab paigaldada oma TSA ja ühendada selle ühtsesse TSOC-isse, kus kogu teave töödeldakse tsentraliseeritult. Selline arhitektuur võimaldab luua jaotatud jälgimissüsteeme ilma võrgu kardinaalse ümberehitamise või olemasoleva segmentatsiooni rikkumiseta.
Samuti saame TSA-s edastada väljuva liikluse koopia läbi TAP/SPAN. Kui tuvastame ühendusi tuntud botnetide, juhtserverite või TOR-seanssidega, saame ka tulemuse konsoolis. Selle eest vastutab Network Intelligence Sensor (NIS). Meie keskkonnas on see funktsioon rakendatud tulemüüris, seega ei ole me seda siin kasutanud.
- Application Traps (Full OS) – traditsioonilised Windows-serverite põhised honeypotid. Neid ei ole vaja palju, kuna nende peamine ülesanne on pakkuda IT-teenuseid järgmisele sensorite tasemele või tuvastada rünnakuid ärirakendustele, mis võivad olla rakendatud Windows-keskkonnas. Meie laboris on paigaldatud üks selline server (FOS01).
- Emuleeritud lõksud – põhikomponent lahendusest, mis võimaldab meil üheainsa virtuaalmasinaga luua tiheda «minavälja» ründajate jaoks ja täita ettevõtte võrku, kõiki selle vlan-e, meie sensoritega. Ründaja näeb sellist sensorit või fantaasiahosti nagu tegelikku Windowsi PC-d või serverit, Linuxi serverit või muud seadet, mida me otsustame talle näidata.
Kasutusmugavuse ja uudishimu huvides oleme seadnud välja „igaühele oma kaaslase” — Windowsi PC-d ja erinevate versioonide serverid, Linux-serverid, Windows Embeddediga pangandusautomaat, SWIFT Web Access, võrguprinter, Cisco lüliti, Axis IP-kaamera, MacBook, PLC-seade ja isegi nutiampull. Kokku on meil 13 hosti. Tegelikult soovitab tootja selliseid sensoreid rakendada vähemalt 10% tegelikest hostidest. Ülemine piir on saadaval olev aadressiruum.Väga oluline punkt on see, et iga selline host ei ole täisväärtuslik virtuaalmasin, mis vajab ressursse ja litsentse. See on „petmine”, emulatsioon, üks protsess TSA-l, millel on oma parameetrite kogum ja IP-aadress. Seetõttu suudame isegi ühe TSA abil võrgustada sadu selliseid fantoomhoste, mis töötavad nagu andurid signalisatsioonisüsteemis. Just see tehnoloogia võimaldab majanduslikult efektiivselt skaleerida „honeypoti” kontseptsiooni igas suuruses suures jaotatud ettevõttes.
Need to ensure that these hosts are secure, as they contain vulnerabilities and are seen as relatively easy targets by attackers. The attacker can identify services on these hosts and interact with them, using standard tools and protocols (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, etc.). However, utilizing these hosts to develop an attack or run their code is not possible.
- The combination of these two technologies (FullOS and emulated traps) allows for a high statistical probability that the attacker will eventually encounter some element of our signaling network. But how can we ensure that this probability approaches 100%?
Tulevad mängu nii kutsutud tokenid (Deception tokenid). Nende abil saame integreerida meie hajutatud IDS-i kõik olemasolevad arvutid ja serverid ettevõttes. Tokenid paigutatakse kasutajate tegelikele arvutitele. Oluline on mõista, et tokenid ei ole agent, mis tarbib ressursse ja võib põhjustada konflikte. Tokenid on passiivsed teabeelemendid, omamoodi „leivaküpsised” ründava poole jaoks, mis suunavad neid lõksu. Näiteks ühendatud võrgu kettad, järjehoidjad vale veebihalduritele brauseris ja nende salvestatud paroolid, salvestatud ssh/rdp/winscp seansid, meie lõksud kommentaaridega hosts failides, mälus salvestatud paroolid, mitteeksisteerivate kasutajate mandaadid, kontorifailid, mille avamine käivitab süsteemi, ja palju muud. Nii asetame ründaja moonutatud keskkonda, mis on küllastunud nende rünnakusuundadega, mis meie jaoks tegelikult ei kujuta ohtu, vaid pigem vastupidi. Ja tal ei ole võimalust kindlaks teha, kus on tõene informatsioon ja kus vale. Nii tagame mitte ainult kiire rünnaku tuvastamise, vaid ka aeglustame oluliselt selle kulgu.
Näidete loomine ja tokenite seadistamine. Kasutajasõbralik liides, pole vajalik käsitsi konfiguratsioonide, skriptide jne muuta.
Meie keskkonnas oleme konfigureerinud ja paigaldanud mitu sellist tokenit FOS01 serveris, mis töötab Windows Server 2012R2, ja testarvutis, mis töötab Windows 7-l. Nendel masinatel on käimas RDP ja me perioodiliselt 'väljastame' neid DMZ-sse, kuhu on toodud ka mitmeid meie sensoreid (emuleeritud lõksud). Nii saame pideva voolu sündmustest, ütleme nii.
Niisiis, aasta kokkuvõtte statistika:
56 208 – sündmust on registreeritud,
2 912 – ründehostide allikaid on tuvastatud.
Interaktiivne, klikitav ründe kaart
Sellega samas lahendus ei genereeri mingit megapäevikut või sündmusvoogu, milles tuleb pikka aega orienteeruda. Selle asemel klassifitseerib lahendus sündmused ise nende liikide järgi ja võimaldab küberjulgeoleku meeskonnal keskenduda eelkõige kõige ohtlikumatele – kui ründaja üritab avada juhtimis sessioone (interaktsioon) või kui meie liikluses ilmuvad binaarsed koormused (nakkus).
Kogu teave sündmustest on loetav ja esitatud, minu arvates, arusaadaval viisil isegi kasutajale, kellel on vaid põhilised teadmised küberturvalisusest.
Enamik fikseeritud intsidente on meie serverite skannimise katsed või üksikühendused.
Või katsed RDP paroolide proovimiseks.
Aga oli ka huvitavamaid juhtumeid, eriti kui ründajad „õnnestusid“ RDP parooli leidmisel ja pääsesid kohalikku võrgusüsteemi.
Ründaja üritab koodi käivitada psexeci abil.
Ründaja leidis salvestatud sessiooni, mis tõi ta lõksu, mis oli kujundatud Linuxi serveriks. Äkitselt pärast sisselogimist ühes eeltöödeldud käsihulgast üritas ta hävitada kõik logifailid ja vastavad süsteemi muutujad.
Ründaja püüab teostada SQL-injekteeringut lõksus, mis imiteerib SWIFT veebipääsu.
Lisaks sellistele "loomulikest" rünnakutest oleme läbi viinud ka mitmeid omi teste. Üks kõige silmapaistvamaid on võrgu ussi avastamise aja testimine. Selleks kasutasime GuardiCore'i tööriista, mis kannab nime . See on võrguuss, mis suudab haarata Windowsi ja Linuxi, kuid ilma mingi „kasuliku“ koormata.
Meie kohalikud juhtimiskeskused käivitasid ühe masina peal esimest kopeerimist ning saime esimesed teavitused TrapX konsoolis vähem kui poolteise minuti jooksul. TTD 90 sekundit võrreldes 106 päeva keskmisega…
Tänu võimalusele integreerida teiste lahenduste klassidega saame liikuda kiirelt ohtude tuvastamisest nende automaatse reageerimiseni.
Näiteks NAC (Network Access Control) süsteemide integreerimine või CarbonBlack võimaldab automaatselt välja lülitada kompromiteeritud arvuteid võrgust.
Kasutaja tõkestamine automatiseerimiseks on võimalik koostöös liivakastidega rünnakutes osalenud failide edastamiseks analüüsimiseks.
Integreerimine McAfeega
Lahenduses on ka oma sisseehitatud sündmuste korrelatsiooni süsteem.
Kuid selle võimalused ei olnud meile piisavad, seetõttu integreerisime selle HP ArcSightiga.
Avastatud ohtudega „koos maailmaga“ toimetulekut aitab sisseehitatud piletite süsteem.
Kuna lahendus "kohe alustamiseks" on välja töötatud riigiasutuste ja suurte ettevõtete vajadustele, on seal loomulikult rakendatud rollipõhist ligipääsude mudelit, integreerimist AD-ga, arenenud aruandluse ja sündmuste teavitamise süsteemi ning orkestreerimist suurte kontsernide või MSSP pakkujate jaoks.
Kokkuvõtte asemel
Kui selline jälgimissüsteem on olemas, mis, kujundlikult öeldes, katab meie selja, siis perimeetri kompromiteerimine on vaid algus. Kõige tähtsam on, et tekib reaalne võimalus võidelda IKT-intsidentidega, mitte tegeleda nende tagajärgede kõrvaldamisega.
Allikas: habr.com
