Käivitame kahtlaste protsesside käivitamise sündmuste kogumise Windowsis ja tuvastame ohud Quest InTrusti abil

Üks levinumaid rünnaku tüüpe on pahatahtliku protsessi loomine täiesti tavapärastest protsessidest. Kahtlus võib tekkida täitmisfaili teest: pahavarad kasutavad sageli AppData või Temp kaustu, mis ei ole iseloomulik legaalsetele programmidele. Aususe nimel tuleb öelda, et mõned automaatsete uuenduste tööriistad käivitatakse AppData's, seega on ainus käivitamise koha kontrollimine ebapiisav, et väita, et programm on pahatahtlik.

Täiendav legealsusfaktor on krüptograafiline allkiri: paljud originaalprogrammid on allkirjastatud tootja poolt. Allkirja puudumise fakti saab kasutada kahtlaste autoloading elementide tuvastamisena. Kuid on ka pahavara, mis kasutab varastatud sertifikaati enda allkirjastamiseks.

Samuti saab kontrollida MD5 või SHA256 krüptograafiliste ridade väärtusi, mis võivad vastata mõnele varasemalt avastatud pahavarale. Võib teostada staatilist analüüsi, vaadates programmi signatuure (kasutades Yara reegleid või viirusetõrjetooted). Lisaks on olemas dünaamiline analüüs (programmi käitamine mingis turvalises keskkonnas ja selle tegevuse jälgimine) ja tagasipöördumine.

Pahatahtlikku protsessi võib palju märke. Selles artiklis rääkime, kuidas Windowsis vastavaid sündmusi auditeerida, ja vaatame märke, millele toetub sisseehitatud reegel InTrust kahtlaste protsesside tuvastamiseks. InTrust on CLM-platvorm Strukturiseerimata andmete kogumiseks, analüüsimiseks ja säilitamiseks, kus on juba sadu eelnevalt seadistatud reaktsioone erinevat tüüpi rünnakutele.

Kui programm käivitatakse, laaditakse see arvuti mällu. Täitmisfail sisaldab arvutijuhiseid ja abiteeke (näiteks *.dll). Kui protsess on juba käivitatud, saab see luua lisakäike. Käigud võimaldavad protsessil samaaegselt täita erinevaid käskude kogumeid. Pahavarade koodi mällu sisenemise ja käivitamise viise on palju, vaatame mõnda neist.

Lihtsaim viis kahjuliku protsessi käivitamiseks on sundida kasutajat seda otse käivitatama (näiteks e-kirja manuse kaudu) ja seejärel kasutada RunOnce võtit, et käivitada see iga kord, kui arvuti on sisse lülitatud. Siia alla kuulub ka "failivaba" kahjulik tarkvara, mis salvestab PowerShelli skripte registri võtmetesse, mis käivitatakse kutse alusel. Sellisel juhul on PowerShelli skript kahjulik kood.

Kahjuliku tarkvara selge käivitamise probleem on see, et see on tuntud lähenemine, mida on lihtne tuvastada. Mõned kahjulikud programmide aitavad paremaid meetodeid, näiteks kasutavad nad teist protsessi, et hakata mälu käivitama. Seetõttu võib protsess luua teise protsessi, käivitades määratud arvutijuhise ja osutades käivitamise faili (.exe) jaoks.

Faili saab näidata, kasutades täielikku teed (nt C:Windowssystem32cmd.exe) või osalist (nt cmd.exe). Kui algne protsess on ebausaldusväärne, võimaldab see ebaseaduslikke programme käivitada. Rünnak võib välja näha nii: protsess käivitab cmd.exe ilma täieliku teeta, kurjategija paigutab oma cmd.exe nii, et protsess käivitab selle enne seaduslikku. Pärast kahjuliku programmi käivitamist võib see omakorda käivitada seadusliku programmi (nt C:Windowssystem32cmd.exe), et algne programm töötab õigesti.

Eelmise rünnaku variant on DLL-injektsioon seaduslikus protsessis. Kui protsess käivitatakse, leiab ta ja laadib raamatukogud, mis laiendavad tema funktsionaalsust. Kasutades DLL-injektsiooni, loob kurjategija kahjuliku raamatukogu, mille nimi ja API on samad kui seaduslikul. Programm laadib kahjuliku raamatukogu, mille järele see laadib seadusliku, ja vajadusel kõiki tehingute teostamiseks kutsub selle.

Teine viis pahatahtliku koodi mälu paigutamiseks on selle sisestamine juba käivitatud ebaturvalisse protsessi. Protsessid saavad sisendit erinevatest allikatest - loevad võrgust või failidest. Tavalistes olukordades kontrollitakse, et sisend oleks legitiimne. Kuid mõned protsessid ei oma piisavat kaitset käskude täitmisel. Sellise rünnaku korral ei eksisteeri kettal raamatkogu ega täidetavat faili pahatahtliku koodiga. Kõik on salvestatud mälu koos ekspluateeritava protsessiga.

Nüüd vaatame, kuidas seadistada selliste sündmuste kogumist Windowsis ja reeglit InTrustis, mis rakendab kaitset selliste ohtude vastu. Esmalt aktiveerime selle InTrusti juhtpaneeli kaudu.

Reegel kasutab Windowsi operatsioonisüsteemi protsesside jälgimise võimalusi. Kahjuks ei ole nende sündmuste kogumise aktiveerimine kaugeltki ilmselge. Tuleb muuta kolme erinevat rühmapoliitika seadistust:

Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Audit Policy > Audit process tracking

Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies > Detailed Tracking > Audit process creation

Computer Configuration > Policies > Administrative Templates > System > Audit Process Creation > Include command line in process creation events

Pärast aktiveerimist võimaldavad InTrusti reeglid tuvastada varem teadmata ohte, mis näitavad kahtlast käitumist. Näiteks saab tuvastada siin kirjeldatud kahjulikku tarkvara Dridex. Tänu HP Bromiumi projektile on teada, kuidas see oht on korraldatud.

Oma tegevuste ahelas kasutab Dridex schtasks.exe, et luua ajastatud ülesanne. Selle utiliidi kasutamine käsurealt peetakse kahtlaseks käitumiseks, samuti näeb kahtlane välja svchost.exe käivitamine parameetritega, mis viitavad kasutajate kaustadele või parameetritega, mis sarnanevad käskudega 'net view' või 'whoami'. Siin on vastava SIGMA reegli:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

InTrustis kõik kahtlane käitumine koondatud ühte reeglisse, kuna enamik neist tegevustest ei ole spetsiifilised konkreetsele ohule, vaid pigem kahtlased tervikuna ja 99% juhtudest kasutatakse neid mitte päris kellade eesmärkidel. Selline tegevuste loetelu hõlmab, kuid ei piirdu:

• Protsessid, mis käivituvad ebatavalistest kohtadest, näiteks kasutajate ajutised kaustad.
• Hea nime saanud süsteemiprotsess kahtlase pärimisega — mõned ohud võivad proovida kasutada süsteemiprotsesside nimesid, et jääda märkamatuks.
• Kahtlased haldustööriistade käivitamised, nagu cmd või PsExec, kui nad kasutavad kohaliku süsteemi mandaati või kahtlast pärimist.
• Kahtlased varukoopie loomise toimingud — tavaline käitumine lunavarade ajal enne süsteemi krüpteerimist, nad tapavad varukoopiad:

  — läbi vssadmin.exe;
  — läbi WMI.

• Registri tükikeste dumpimise toimingud.
• Horisontaalne liikuvus pahatahtliku koodi puhul, kui protsessi käivitatakse kaugelt selliste käskudega nagu at.exe.
• Kahtlased kohaliku rühma toimingud ja domeeni toimingud, kasutades net.exe.
• Kahtlased tulemüüri toimingud, kasutades netsh.exe.
• Kahtlased ACL'i manipuleerimised.
• BITS'i kasutamine andmete eksfiltreerimiseks.
• Kahtlased WMI manipuleerimised.
• Kahtlased skriptikäsud.
• Katsetamine turvaliste süsteemifailide dumpimiseks.

Kombineeritud reegel töötab väga hästi selliste ohtude tuvastamisel nagu RUYK, LockerGoga ja teiste lunavarad, pahavara ja küberkuritegevuse tööriistade jaoks. Reegel on kontrollitud müüja poolt operatiivkeskkondades, et vähendada valehäireid. Ja tänu SIGMA projektile toodavad enamik neist indikaatoritest minimaalset müra.

Kuna InTrustis on see jälgimisreegel, saate võtta vastusena tegevuskava, et reageerida ohule. Saate kasutada üht sisseehitatud stsenaariumi või luua oma, ja InTrust levitab seda automaatselt.

Lisaks saate kontrollida kõiki sündmusega seotud telemeetriat: PowerShelli skripte, protsesside täitmist, kavandatud ülesannete manipuleerimist, WMI haldustöid ning kasutada neid turvaintsidentide järelanalüüsiks.

InTrust sisaldab sadu teisi reegleid, mõned neist:

• PowerShelli versiooni alandamise rünnaku tuvastamine — kui keegi kasutab tahtlikult vanemat PowerShelli versiooni, kuna vanemas versioonis ei olnud võimalik toimuvat auditeerida.
• Kõrge privileegiga sisselogimise tuvastamine — kui kontod, mis on kindla privileegide grupi liikmed (nt domeeni administraatorid), siseneb juhuslikult või turvaintsidentide tõttu interaktiivselt tööjaamadesse.

InTrust võimaldab rakendada parimaid turvapraktikaid eelmääratud avastamis- ja reageerimisreeglite kujul. Ja kui arvate, et midagi peaks töötama teisiti — saate teha oma reegli koopia ja seadistada need soovitud viisil. Piloodi läbiviimiseks või ajutiste litsentside saamiseks jaotiste saamiseks saate taotluse esitada tagasiside vorm meie veebilehel.

Liituge meiega Facebooki lehe kaudu, kus avaldame lühikesi märkmeid ja huvitavaid linke.

Lugege ka teisi meie artikleid küberjulgeoleku teemal:

Kuidas InTrust saab aidata vähendada ebaõnnestunud RDP autoriseerimise katsete sagedust

Tuvastame krüpteerimisviiruse rünnaku, saame juurdepääsu domeeni juhtimisse ja proovime sellele rünnale vastu seista

Mida kasulikku saab Windowsi operatsioonisüsteemiga tööjaama logidest välja võtta (populaarne artikkel)

Kasutajate elutsükli jälgimine ilma mutritangide ja teipita

Aga kes selle tegi? Automatiseerime teabe turbe auditi

Kuidas vähendada SIEM-süsteemi omamiskulusid ja miks on vajalik Keskne Logihaldus (CLM)

Allikas: habr.com