(aidus pealkirja eest tänu Sergey G. Brester) )
Kollegid, selle artikli eesmärk on jagada kogemusi aasta pikkusest testimisest uue klassi IDS-lahendustega, mis põhinevad Deception-tehnoloogiatel.
Kuna loogika säilitamine on oluline, pean vajalikuks alustada eeldustest. Seega probleemistik:
- Suunatud rünnakud on kõige ohtlikum ründeviis, kuigi nende osakaal kogu ohtude hulgas on väike.
- Praegu ei ole veel leiutatud mingit garanteeritud tõhusat perimeetri kaitsemeetodit (või selliste meetodite kompleksi).
- Reeglina toimuvad suunatud rünnakud mitmes etapis. Perimeetri ületamine on vaid üks esimestest etappidest, mis (võite mind kividega visata) ei too suurt kahju 'ohvrile', kui see pole muidugi DEoS (Destruction of service) rünnakud (šifreerijad ja sarnased). Tõeliselt 'valus' hakkab pihta hiljem, kui haaratud varasid hakatakse kasutama pöörete tegemiseks ja rünnaku 'sügavamaks' arendamiseks, mida ei ole märgatud.
- Kuna me hakkame tõeliselt kaotama siis, kui kurjategijad tõepoolest jõuavad rünnaku eesmärkideni (rakenduste serverid, andmebaasid, andmete salvestamine, hoidlad, kriitilise infrastruktuuri elemendid), on loogiline, et üheks IT-turbe teenuse eesmärgiks on rünnakute katkestamine enne seda kurba sündmust. Kuid et midagi katkestada, tuleb sellest esmalt teada saada. Ja mida varem, seda parem.
- Seega on suunatud rünnakute riskide edukaks haldamiseks kriitilise tähtsusega tööriistade olemasolu, mis tagaks minimaalne TTD (time to detect – aeg, mis kulub sissetungist rünnaku avastamiseni). Olenevalt tööstusharust ja piirkonnast on see periood keskmiselt 99 päeva USA-s, 106 päeva EMEA piirkonnas, 172 päeva APAC piirkonnas (M-Trends 2017, A View From the Front Lines, Mandiant).
- Mida turg pakub?
- „Liivakastid“. Veel üks ennetav kontroll, mis on kaugel ideaalsest. On palju tõhusaid tehnikaid, mis suudavad tuvastada ja kõrvale hoida liivakastidest või valgete nimekirjade lahendustest. Tumeda poole poisid on siinkohal siiski samm edasi.
- UEBA (käitumise profileerimise ja kõrvalekalade tuvastamise süsteemid) võib teoorias olla väga tõhus. Kuid minu arvates on see tulevikus. Praktikas on see hetkel siiski väga kallis, ebastabiilne ja nõuab väga küpset ja stabiilset IT- ja küberjulgeoleku infrastruktuuri, kus on olemas kõik tööriistad, mis genereerivad käitumisanalüüsiks vajalikke andmeid.
- SIEM on hea tööriist uurimiseks, kuid midagi uut ja originaalset ei suuda see õigel ajal näidata, sest korrelatsiooni reeglid põhinevad samadel allkirjadel.
- Seega on tekkinud vajadus sellise tööriista järele, mis:
- töötaks edukalt juba kompromiteeritud perimeetri tingimustes,
- tuvastaks edukaid rünnakuid peaaegu reaalajas sõltumatult tööriistadest ja kasutatavatest haavatavustest,
- ei sõltuks allkirjadest/reeglitest/skeemidest/poliitikatest/profiilidest ja muudest staatilistest asjadest,
- ei nõuaks analüüsimiseks suuri andmemasse ja nende allikaid,
- aitaks rünnakuid määratleda mitte mingisuguse riskiskoorimise kaudu, mis põhineb "maailma parimatel, patenteeritud ja seetõttu suletud matemaatikatel", mis vajavad täiendavat uurimist, vaid praktiliselt nagu binaarset sündmust – "Jah, meid rünnatakse" või "Ei, kõik on OK",
- oleks universaalne, tõhusalt skaaleeritav ja tegelikult rakendatav igas heterogeenses keskkonnas, sõltumata kasutatavast füüsilisest ja loogilisest võrgustiku topoloogiast.
Selle tööriista rollile pretendeerivad praegu nn petmislahendused. Need on lahendused, mille aluseks on vana hea honeypoti kontseptsioon, kuid täiesti erineva teostusastmega. See teema on hetkel kahtlemata tõusujoonel.
Uuringute põhjal Petmislahendused kuuluvad TOP-3 strateegiate ja vahendite hulka, mida soovitatakse rakendada.
Vastavalt raportile Petmine on üks peamisi suundi IDS (Intrusion Detection Systems) lahenduste arengus.
Viimase raporti , mis on pühendatud SCADA-le, põhineb ühe selle turu liiderettevõtte, TrapX Security (Iisrael), andmetel, mille lahendus on juba aasta aega töötanud meie testimisalas.
TrapX Deception Grid võimaldab hallata ja kasutada ulatuslikke hajutatud IDS-e tsentraliseeritult, ilma litsentsi koormuse ja riistvaranõuete suurenemiseta. Tegelikult on TrapX ehitustootja, mis võimaldab luua olemasolevast IT-infrastruktuurist ühtse suure ründeteadlikkuse mehhanismi, omamoodi hajutatud võrgu „häirekella”.
Lahenduse Struktuur
Meie laboris uurime ja katsetame pidevalt erinevaid uuendusi IT-turbe valdkonnas. Praegu töötab siin ligikaudu 50 erinevat virtuaalserverit, sealhulgas TrapX Deception Grid komponendid.
Nii, ülevalt alla:
- TSOC (TrapX Security Operation Console) – süsteemi aju. See on peamine juhtimiskonsool, millega tehakse lahenduse seadistamine, juurutamine ja kogu igapäevane töö. Kuna tegemist on veebi teenusega, saab seda juurutada ükskõik kus – perimeetris, pilves või MSSP teenusepakkuja juures.
- TrapX Appliance (TSA) – virtuaalserver, kuhu me trunk-porti kaudu ühendame need alamsüsteemid, mida tahame jälgimisega katta. Siin elavad ka meie kõik võrguandurid.
Meie laboris on juurutatud üks TSA (mwsapp1), kuid tegelikult võib neid olla palju. See võib olla vajalik suurtes võrkudes, kus segmendi vahel puudub L2-ühendus (tüüpiline näiteks - Holding ja tütarettevõtted või Panga peakorter ja filiaalid) või kui võrgus on isoleeritud segmendid, näiteks protsesside juhtimise süsteemid (АСУТП). Igas sellises filiaalis/segmendis saab juurutada oma TSA ja ühendada see ühtse TSOC-ga, kus kogu teave töödeldakse tsentraliseeritult. Selline arhitektuur võimaldab luua hajutatud jälgimissüsteeme ilma vajaduseta võrku radikaalselt ümber ehitada või olemasolevat segmentatsiooni rikkuda.
Samuti saame TSA-l esitada koopia väljaminevast liiklusest läbi TAP/SPAN. Kui tuvastatakse ühendusi tuntud botnetide, juhtserverite, TOR-seanssidega, saame tulemuse ka konsoolisse. Selle eest vastutab Network Intelligence Sensor (NIS). Meie keskkonnas on see funktsioon implementeeritud tulemüüris, seetõttu pole me seda siin kasutanud.
- Rakenduse lõksud (täielik OS) – traditsioonilised honeypotid Windows-serverite põhjal. Nende arv ei pea olema suur, kuna nende peamine ülesanne on pakkuda IT-teenuseid järgmise taseme sensoritele või tuvastada rünnakuid ärirakendustele, mis võivad olla rakendatud Windowsi keskkonnas. Meie laboris on paigaldatud üks selline server (FOS01)
- Emuleeritud lõksud – lahenduse põhikomponent, mis võimaldab meil üheainsa virtuaalmasina abil luua väga tiheda "miinivälja" ründajatele ja küllastada ettevõtte võrku, kõiki selle VLAN-e, meie sensoritega. Ründaja näeb sellist sensoreid või fantoomhoste nagu tõelist Windowsi PC-d või serverit, Linuxi serverit või muud seadet, mida me otsustame talle näidata.
Uue kasu ja uudishimu pärast oleme välja pannud "iga loom paari" – Windows PC-d ja serverid erinevates versioonides, Linuxi serverid, ATM Windows embedded, SWIFT Web Access, võrgutrükkija, Cisco lüliti, Axis IP-kaamera, MacBook, PLC-seade ja isegi nutikas lühter. Kokku 13 hosti. Üldiselt soovitab tarnija paigaldada selliseid sensoreid vähemalt 10% tegelike hostide arvust. Ülemine piir on saadaval oleva aadressiruumi ulatus.Väga oluline on see, et iga selline host ei ole täisväärtuslik virtuaalmasin, mis vajab ressursse ja litsentse. See on "petmine", emulatsioon, üks protsess TSA-s, millel on oma parameetrite kogum ja IP-aadress. Seetõttu saame isegi ühe TSA abil küllastada võrku sadade selliste fantoomhostidega, mis töötavad nagu andurid alarmisüsteemis. Just see tehnoloogia võimaldab rahaliselt tõhusalt skaleerida „honeypotide“ kontseptsiooni igasugustes suurtes hajutatud ettevõtetes.
Need hostid on ründaja vaatevinklist atraktiivsed, kuna need sisaldavad haavatavusi ja näevad suhteliselt kergete sihtmärkidena. Ründaja näeb nende hostide teenuseid ja saab nendega suhelda, rünnata neid, kasutades tavalisi tööriistu ja protokolle (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus jne). Kuid neid hoste ei saa kasutada rünnaku edendamiseks ega oma koodi käivitamiseks.
- Nende kahe tehnoloogia (FullOS ja emuleeritud lõksud) kombinatsioon võimaldab saavutada kõrget statistilist tõenäosust, et ründaja lõpuks satub kokku mõne meie signaalivõrgu elemendiga. Kuidas aga tagada, et see tõenäosus oleks lähedane 100%-le?
Kampaaniasse astuvad nn tokenid (Deception tokens). Nende abil saame hõlmata meie jaotatud IDS-sse kõik ettevõtte olemasolevad arvutid ja serverid. Tokenid on paigutatud tegelikele kasutajate arvutitele. On oluline mõista, et tokenid ei ole agendid, kes tarbivad ressursse ja võivad põhjustada konflikte. Tokenid on passiivsed informatiivsed elemendid, omaette „leivaküpsised” ründaja jaoks, mis suunavad teda lõksu. Näiteks ühendatud võrgu kettad, järjehoidjad vale veebihaldurite juurde brauserites ja salvestatud paroolid nende juurde, salvestatud ssh/rпd/winscp sessioonid, meie lõksud kommentaaridega hosts-failides, mälus salvestatud paroolid, mitteolemasolevate kasutajate mandaat ja kontorifailid, mille avamine põhjustab süsteemi aktiveerumise, ja palju muud. Seeläbi paneme ründaja moonutatud keskkonda, mis on küllastunud rünnakuvektorite poolt, mis ei kujuta meile tõelist ohtu, vaid pigem vastupidi. Ja tal ei ole võimalust kindlaks teha, kus on tõeline teave ja kus vale. Nii tagame mitte ainult rünnaku kiire tuvastamise, vaid ka selle käigus olulise aeglustamise.
Näide võrgu lõksu loomisest ja tokenite seadistamisest. Sõbralik liides ja mingeid käsitsi konfiguratsioonide, skriptide jne muutmisi.
Meie keskkonnas oleme konfigureerinud ja paigutanud rea selliseid tokenid FOS01-l, mis töötab Windows Server 2012R2 all, ja testarvutisse Windows 7 all. Nendel masinatel on käivitatud RDP ja me perioodiliselt „riputame” need DMZ-sse, kuhu on viidud ka meie mitmed sensorid (emuleeritud lõksud). Seeläbi saame pideva voolu intsidente, ütleme nii, loomulikul viisil.
Nii et, lühike statistika aasta jooksul:
56 208 – intsidenti on fikseeritud,
2 912 – rünnakute allikate hosti on avastatud.
Interaktiivne, klikatav rünnakute kaart
Selle lahenduse puhul ei tooda välja mingeid megapäevikuid või sündmuste vooge, milles peaks pikalt orienteeruma. Selle asemel klassifitseerib lahendus sündmusi nende tüüpide järgi ning võimaldab turvameeskonnal keskenduda esmalt kõige ohtlikumatele – kui ründaja püüab luua haldussessioone (interaction) või kui meie liikluses ilmuvad välja binaarsed koormused (infection).
Kõik sündmuste kohta olev teave on loetav ja esitatakse, minu arvates, arusaadaval kujul isegi kasutajatele, kes omavad põhilisi teadmisi turvalisuse alal.
Enamik registreeritud intsidente on meie hostide skannimise või üksikute ühenduste katsed.
Või katsetamine RDP paroolide kogumises.
Aga oli ka huvitavaid juhuseid, eriti kui kurjategijatel õnnestus leida RDP parool ja pääseda juurde kohalikku võrku.
Kurjategija püüab käivitada koodi psexeci abil.
Kurjategija leidis salvestatud sessiooni, mis viis ta lõksu, mis nägi välja nagu Linuxi server. Kohe pärast ühendust, kasutades ettevalmistatud käskude komplekti, püüdis ta hävitada kõik päevikufailid ja vastavad süsteemimuutujad.
Ründaja püüab teostada SQL süstet lõksul, mis imiteerib SWIFT veebipääsu.
Lisaks sellistele „loomulikule“ rünnakule oleme viinud läbi ka mitmeid oma teste. Üks selle kõige silmapaistvamaid on võrguusside avastamise ajakatsumine. Selleks kasutasime GuardiCore'i tööriista nimega . See on võrguuss, mis suudab tungida Windowsi ja Linuxi, kuid ilma mingi „kasuliku“ koormuseta.
Me kehtestasime kohaliku juhtimiskeskuse, kus käivitasime ühe masina peal esimesed uusandi ja saime esimesi teavitusi TrapX konsoolis vähem kui poolteist minutit. TTD 90 sekundit vs 106 päeva keskmiselt…
Tänu teiste lahenduste klassidega integreerimise võimalusele saame liikuda kiiresti võimalike ohtude avastamiselt nende automaatsele reageerimisele.
Näiteks NAC (Network Access Control) süsteemide või CarbonBlackiga integreerimine võimaldab automaatselt katkestada kompromiteeritud arvutite võrguühendused.
Integratsioon liivakastidega võimaldab automaatselt edastada analüüsiks failid, mis osalevad rünnakus.
Integratsioon McAfeega.
Samuti on lahenduses oma sisseehitatud sündmuste korrelatsiooni süsteem.
Kuid meid ei rahuldanud selle võimalused, seetõttu integreerisime selle HP ArcSightiga.
Tuletatud ohtudega toimetulekul aitab sisseehitatud piletite süsteem "kogu maailmaga".
Kuna lahendus "algusest peale" on välja töötatud riigiasutuste ja suurte korporatiivsete vajaduste jaoks, on seal loomulikult rakendatud ligipääsuloogikat, AD-ga integreerimist, arenenud raportite ja signaalide (sündmuste teavituste) süsteemi, orkestreerimist suurte kontsernistruktuuride või MSSP-de pakkujate jaoks.
Kokkuvõtte asemel
Kui olemas on sarnane monitooringusüsteem, mis, kujundlikult öeldes, kaitseb meid, siis perimeetri komponeerimisega alles kõik algab. Kõige tähtsam on see, et tekib reaalsed võimalused võidelda teabejulgeoleku intsidentidega, mitte tegeleda nende tagajärjed kõrvaldamisega.
Allikas: habr.com
