Kujutage ette sellist olukorda. Külm oktoobrikuu hommik, projektiinstituut ühe Venemaa regiooni maakonna keskuses. Keegi personaliosakonnast külab instituudi veebisaidil kuu aega tagasi avaldatud töötasu kuulutusi ja näeb seal kassi pilti. Hommik kaotab kiiresti igavuse...
Selles artiklis räägib Pavel Suprunyuk, Group-IB auditi ja nõustamise osakonna tehniline juht, sotsiaalsete rünnakute rollist praktilise kaitse hindamise projektides, milliseid ebatavalisi vorme need võivad võtta ja kuidas selliste rünnakute eest kaitsta. Autor märgib, et artikkel on ülevaatlik, kuid kui mõni aspekt huvitab lugejaid, on Group-IB eksperdid valmis küsimustele kommentaarides vastama.
Osa 1. Miks nii tõsine?
Naaseme meie kassi juurde. Mõne aja pärast eemaldab personaliosakond foto (ekraanipiltidel on siin ja edaspidi osaliselt hägune, et mitte paljastada tegelikke nimesid), kuid see ilmub järjekindlalt tagasi, seda eemaldatakse jälle ja see juhtub veel mitu korda. Personaliosakond mõistab, et kassi kavatsused on väga tõsised, ta ei taha lahkuda, ja appi kutsutakse veebiarendaja — inimene, kes tegi veebisaidi ja tunneb seda hästi ning haldab seda praegu. Arendaja siseneb saidile, eemaldab tüütava kassi veel kord, tuvastab, et see oli üles pandud personaliosakonna nimel, ja teeb järelduse, et personaliosakonna parool on lekitatud mõnele võrguhuligaanile, ning muudab selle. Kass enam ei ilmu.
Mis tegelikult juhtus? Grupifirmade, kuhu instituut kuulus, testimise käigus viidi Group-IB spetsialistide poolt läbi sissetungimistest, mis olid sarnased Red Teaminguga (lihtsalt öeldes, on see simuleeritud sihitud rünnakud teie ettevõtte vastu, kasutades kõige arenenumaid meetodeid ja tööriistu häkkerite rühmade arsenalist). Oleme üksikasjalikult rääkinud Red Teamingust. . Oluline on teada, et sellise testi käigus võib rakendada väga laia valikut eelnevalt kokkulepitud rünnakutest, sealhulgas sotsiaalset inseneritööd. Selge on, et kassi paigutamine ei olnud toimunu lõppeesmärk. Eesmärk oli järgmine:
- instituudi veebisait oli paigutatud serverisse institutsiooni enda võrgus, mitte kolmandate osapoolte serveritesse;
- Leiti on leke inimeste haldusosakonna kontost (posti logifaili leidmine saidi juurtes). Selle kontoga ei saanud saidi haldamine olla, kuid töökuulutuste lehti sai redigeerida;
- Lehti muutes sai paigutada oma JavaScripti skripte. Need teevad lehed tavaliselt interaktiivseks, aga antud olukorras kasutasid need skriptid külastaja brauserist varastamiseks neid andmeid, mis eristasid haldusosakonda programmeerijast ja programmeerijat tavalisest külastajast - saidi sessiooni identifikaatorit. Kass oli rünnaku käivitaja ja tähelepanu köitmise pilt. HTML-s nägi see välja nii: kui pilt laaditakse, siis on JavaScript juba käivitatud ja teie sessiooni identifikaator koos teie brauseri ja IP-aadressi andmetega on juba varastatud.
- Varastatud administraatori sessiooni identifikaatoriga oleks saanud täieliku ligipääsu saidile, installida PHP-s kirjutatud käivitatavaid lehti, mis tähendas juurdepääsu serveri operatsioonisüsteemile ja sealt edasi ka kohalikule võrgule, mis oligi projekti oluline vahe-eesmärk.
Rünnak lõppes osalise eduga - administraatori sessiooni identifikaator varastati, kuid see oli seotud IP-aadressiga. Seda ei õnnestunud ületada, me ei suutnud saidi privileege tõsta administraatori tasemele, aga tõstsime endale tuju. Lõppkokkuvõttes saime tulemuse teisel võrgu perimeetri alal.
2. osa. Ma kirjutan Teile - mida veel? Ja ma helistan ning koputan teie kontoris, visates mälupulki.
See, mis juhtus kassi olukorras - on näide sotsiaalsest inseneeriast, kuigi mitte täiesti klassikaline. Tegelikult oli selles sündmuste loos rohkem: oli kass, instituut, haldusosakond ja programmeerija, aga seal olid ka e-kirjad täpsustavate küsimustega, mida saatsid näiliselt "kandidaadid" otse haldusosakonda ja isiklikult programmeerijale, et provotseerida neid saidi lehele sisenema.
Muide, e-kirjadest. Tavaline email - ilmselt peamine transport sotsiaalse inseneeria läbiviimiseks - ei ole oma aktuaalsust kaotanud juba paar aastakümmet ja toob mõnikord kaasa kõige ebatavalisemaid tagajärgi.
Järgmise loo jagame tihti meie üritustel, kuna see on väga representatiivne.
Tavaliselt koostame sotsiaalinseneria projektide tulemuste põhjal statistikat, mis, nagu teada, on kuiv ja igav. Teatud protsent vastajatest avas kirjas oleva manuse, teatud osakaal klõpsas lingil, kuid need kolm isikut sisestasid oma sisselogimise ja parooli. Ühes projektis saime üle 100% paroolide sisestamisest – see tähendab, et neid tehti rohkem, kui saadeti.
See juhtus järgmiselt: saadeti petukiri, mis väidetavalt oli goskorpatsiooni CISO-lt, nõudmisega "kiiresti testida muudatusi e-posti teenuses". Kiri jõudis suure osakonna juhatajani, mis tegeles tehnilise toega. Juhataja oli väga hoolas ülemuse käsu täitmisel ning edastas selle kõigile alluvatele. Kõnecenter osutus üsna suureks. Üldiselt on olukorrad, kus keegi edastab oma kolleegidele "huvitavaid" petukirju, üsna levinud nähtus. Meie jaoks on see parim tagasiside kirja koostamise kvaliteedi kohta.
Veidi hiljem tabas meid reetmine (kiri võeti ära kompromiteeritud e-posti postkastist):
Selle rünnaku eduka tulemuse põhjustas asjaolu, et saatmisel kasutati klientide e-posti süsteemi mitmeid tehnilisi puudujääke. See oli seadistatud nii, et oli võimalik saata kõiki kirju ükskõik kelle nimel organisatsioonist ilma autoriseerimiseta, isegi internetist. See tähendab, et oli võimalik teeselda CISO-t, tehnilise toe juhatajat või kedagi muud. Veelgi enam, e-posti liides, vaadates kirju oma domeenist, hoolikalt lisas aadressiraamatust foto, mis lisas saatjale loomulikkust.
Tõtt öelda, selline rünnak ei kuulu eriti keeruliste tehnoloogiate hulka; see on õnnestunud alustäienduse põhiviga e-posti seadistuses. Seda käsitletakse regulaarselt spetsialiseeritud IT- ja infotehnoloogia ressurssides, kuid siiski on endiselt ettevõtteid, kus kõik need probleemid esinevad. Kuna keegi ei ole kaldu kontrollima SMTP e-posti protokolli teenuseteateid, kontrollitakse kirju tavaliselt "ohtlikkuse" osas e-posti liidese hoiatavate ikoonide järgi, mis ei pruugi alati kogu pilti kuvada.
Huvitav on see, et sarnane haavatavus töötab ka teises suunas: kurjategija saab saata kirja teie ettevõtte nimel kolmandale isikule. Näiteks võib ta võltsida regulaarselt tasumise arvet teie nimel, märkides teie andmete asemel teised. Kui mitte arvestada petuskeemide ja rahade välja võtmiseks seotud küsimusi, on see tõenäoliselt üks kõige lihtsamaid viise raha varastamiseks sotsiaalse inseneeria kaudu.
Peale paroolide varastamise fišingu kaudu on klassikalised sotsiaalsed tehnilised rünnakud seotud käivitatavate manuste saatmisega. Kui need manused suudavad ületada kõik kaitsemeetmed, millega kaasaegsetel ettevõtetel tavaliselt palju on, luuakse kanal kaugsüsteemi juurdepääsuks ohvri arvutile. Rünnaku tagajärgude demonstreerimiseks saab saavutatud kaugsüsteemi haldust arendada kuni ligipääsuni erakordselt olulisele konfidentsiaalsele teabele. Huvitav on, et enamik rünnakutest, millega meediad inimesi hirmutavad, algab just nii.
Meie auditiosakonnas arvutame huvi pärast umbkaudset statistikat: kui suur on ettevõtete varade koguväärtus, millele oleme saanud "Domeeni administraatori" taseme juurdepääsu peamiselt fišingu ja käivitatavate manuste saatmise kaudu? Sel aastal on see saavutanud ligikaudu 150 miljardit eurot.
On selge, et provokatiivsete e-kirjade saatmine ja kassifotode postitamine veebis ei ole ainsad sotsiaalse inseneeria viisid. Nendes näidetes püüdsime näidata rünnakute ja nende tagajärgede mitmekesisust. Peale kirjade võib potentsiaalne ründaja helistada, et saada vajalikke andmeid, visata sihtettevõtte kontorisse käitavaid faile (näiteks mälupulkadega), saada praktikandina tööle või saada füüsiline juurdepääs lokaalsele võrgule kaamerainstallija näol. Kõik need on muide näited meie edukalt lõpetatud projektidest.
Osa 3. Õppimine on valgus, teadmatus aga pimedus.
Küsimus on asjakohane: jah, sotsiaalne inseneritehnika on olemas ja see näeb ohtlik välja. Aga mida selle kõigega ettevõtted tegema peaks? Abiks on Kapten Ilmsus: tuleb kaitsta end, ja seda terviklikult. Osa kaitsemeetmeid suunatakse klassikalistele turvameetmetele, nagu teabe kaitse tehnilised vahendid, jälgimine ja organisatsioonilis-õiguslikud nõuded, kuid meie arvates peaks suurem osa keskenduma töötajatega, kes on kõige nõrgem lüli, töötamisele. Kui palju iganes me tehnoloogiat tugevdame või rangeid eeskirju kirjutame, leiab ikka kasutaja uue viisi, kuidas kõik ära rikkuda. Eeskirjad ega tehnika ei suuda kasutaja loomingulisuse lennule järgi jõuda, eriti kui kvalifitseeritud kurjategija teda suunab.
Esiteks on oluline kasutajat koolitada: selgitada, et isegi tema rutiinsetes tööülesannetes võivad tekkida olukorrad, mis on seotud sotsiaalse inseneritehnikaga. Meie klientidele korraldame sageli digihügieeni teemadel – sündmus, mis õpetab põhilisi oskusi rünnakute tõrjumiseks laiemalt.
Võin lisada, et parim kaitsemeetod ei seisne sugugi teabe turvalisuse reeglite päheõppimises, vaid olukorra pisut distantsilt hindamises:
- Kes on minu vestluspartner?
- Kust pärinevad tema ettepanekud või palved (kunagi pole midagi sellist olnud ja nüüd see ilmus)?
- Mis on selles päringus ebatavalist?
K isegi ebatavaline kirjatüüp või saatja jaoks ebatavaline kõnepruun võib käivitada kahtlusprotsessi, mis peatab rünnaku. Kirjalikud juhised on samuti vajalikud, kuid need töötavad teisiti ning ei suuda täpsustada kõiki võimalikke olukordi. Näiteks kirjutavad turvaadministraatorid sellesse, et oma parooli ei tohi kolmandatesse ressurssidesse sisestada. Aga kui parooli küsib "oma", "korporatiivne" võrguressurss? Kasutaja mõtleb: "Meie firmas on juba kümneid teenuseid ühe sisselogimisega, miks ei võiks veel üks ilmuda?" Siit tuleb veel üks reegel: hästi üles ehitatud tööprotsess mõjutab samuti otseselt turvalisust: kui naaberosakond saab teilt teavet küsida ainult kirjalikult ja ainult läbi teie ülemuse, ei saa inimene "usaldusväärsest partnerist ettevõttes" seda telefoni teel küsida – see oleks teile absurdne. Eriti tasub olla ettevaatlik, kui teie vestluspartner nõuab kõike kohe, või "ASAP", nagu moes öelda. Isegi tavalises töös ei ole see olukord sageli terve, rääkimata võimalikest rünnakutingimustest - see on tugev käivitaja. Pole aega seletada, käivita minu fail!
Me märkame, et sotsiaalsete manipulatsioonide rünnakute legendide allikaks on alati teemad, mis on seotud rahaga mingis vormis: lubadused palgatõusudest, eelistest, kingitustest, samuti teave väidetavate kohalike kuulujuttude ja intriigide kohta. Teisisõnu, tööle saavad banaalsed "surmavad patud": ahnus, ahnus ja liialdamine.
Hea koolitus peab alati hõlmama praktikat. Siin võivad abiks olla sisserändevastased testimise spetsialistid. Järgmiseks küsimiseks on: mida ja kuidas me testime? Group-IB-s pakume järgmist lähenemist — valige kohe testimise fookus: kas hinnata ainult kasutajate valmisolekut rünnakuteks või kontrollida ettevõtte turvalisust tervikuna. Ja testida sotsiaalse manipulatsiooni meetoditega, imiteerides reaalsete rünnakute — st samade kalastamise, täitmise dokumentide saatmise, kõnede ja muude tehnikatega.
Esimeses variandis rünnak valmistatakse ette koostöös tellijaga, peamiselt tema IT- ja infoturbespetsialistidega. Lepitakse kokku lood, tööriistad ja ründetehnikad. Tellija annab ise rünnaku jaoks fookusgrupid ja kasutajate nimekirjad, mis sisaldavad kõiki vajalikke kontakte. Kaitserežii suhtes luuakse erandid, kuna sõnumid ja tegevuslastid peavad kindlasti saajani jõudma, sest sellise projekti puhul on huvitav ainult inimeste reaktsioon. Valikuliselt saab rünnakusse panna märke, mille kaudu kasutaja võib aimata, et tegemist on rünnakuga — näiteks võib sõnumites teha paar õigekirja viga või jätta firma stiilis ebatäpsusi. Projekti lõpus saadakse see „kuiv statistika”: millised fookusgrupid ja kui palju reageerisid stsenaariumidele.
Teises variandis — rünnak viiakse ellu nullalustava teadlikkusega, musta kasti meetodiga. Kogume iseseisvalt teavet ettevõtte, selle töötajate ja võrgupiiri kohta, loome rünnakuks lood, valime meetodid, otsime võimalikke kaitsevahendeid sihtettevõttes, kohandame tööriistu, koostame stsenaariume. Meie spetsialistid kasutavad nii klassikalisi avatud allikate (OSINT) luuremeetodeid kui ka meie enda arendustoodet Group-IB — Threat Intelligence, süsteemi, mis võib kalastamise ettevalmistamisel olla teabeagregaat ettevõtte kohta pikka aega, kasutades sealhulgas ka suletud teavet. Ilmselt, et rünnak ei muutuks ebameeldivaks üllatuseks, lepitud üksikasjad ka tellijaga. Tulemuseks on täieõiguslik sissetungimistest, kuid selle põhialuseks on edasijõudnud sotsiaalne inseneritehnika. Loomulik valik sellisel juhul on rünnaku arendamine sisevõrgus, kuni kõige kõrgemate õiguste saamiseni sisemistes süsteemides. Muide, sarnasel viisil rakendame sotsiaalselt tehnilisi rünnakuid ka , ja mõnedes sissetungimistestides. Tulemuseks saab tellija sõltumatu tervikliku ülevaate oma kaitsetasemest teatud tüüpi sotsiaalselt tehniliste rünnakute eest, samuti näitlikustamise efektiivsusest (või vastupidi, mitteefektiivsusest) väliste ohtude eest kaitsmise süsteemis.
Soovitame sellist koolitust korraldada mitte harvem kui kaks korda aastas. Esiteks on igas firmas töötajate voolavus ja varasem kogemus unustatakse järk-järgult. Teiseks muutuvad pidevalt rünnakute meetodid ja tehnikad, mis toob kaasa vajaduse kohandada turvaprotsesse ja kaitsevahendeid.
Kui rääkida tehnilistest kaitsemeetmetest rünnakute vastu, siis aitavad kõige rohkem järgmised:
- Kohustuslik kahefaasiline autentimine veebiteenustes. Selliste teenuste väljaandmine 2019. aastal ilma Single Sign On süsteemideta, ilma kaitseta paroolide proovimise vastu ja ilma kahefaasilise autentimiseta firmas, kus on mitu sada töötajat, on võrreldav avatud kutsega 'riku mind'. Õigesti rakendatud kaitse muudab varastatud paroolide kiiret kasutamist võimatuks ja annab aega olukorra likvideerimiseks pärast püüdlikku rünnakut.
- Juurdepääsu haldamine, kasutajate õiguste minimeerimine süsteemides ning iga suure tootja väljaantud toodete turvalise seadistamise juhiste järgimine. Need on sageli oma olemuselt lihtsad, kuid väga tõhusad ja praktikas keerulised meetmed, millest kõik mingil määral loobuvad töö kiirusel. Mõned neist on nii vajalikud, et ilma nendeta ei päästa ükski kaitsevahend.
- Hästi korraldatud e-posti filtreerimise süsteem. Rämpsposti tõrje, kõikide manuste kontrollimine kahjuliku koodi suhtes, sealhulgas dünaamiline testimine liivakastide kaudu. Hästi ettevalmistatud rünnak eeldab, et käivitatav manustatud fail ei tuvastata viirusetõrje meetoditega. Liivakast seevastu kontrollib kõike enda peal, kasutades faile samamoodi nagu inimene. Tulemusena paljastatakse võimalikult kahjulik komponent liivakasti sees toimuvate muutuste kaudu.
- Kaitsetoimingud sihitud rünnakute vastu. Nagu juba märgitud, ei suuda klassikalised viirusetõrjevahendid tuvastada pahavara korralikult ettevalmistatud rünnaku puhul. Kõige arenenumad tooted peaksid automaatselt jälgima kogu sündmuste kogumit, mis toimub võrgus — nii üksikute hostide tasandil kui ka võrgusisese liikluse tasandil. Rünnakute korral esinevad väga iseloomulikud sündmuste jadad, mida on võimalik jälgida ja peatada, kui on olemas kindel sündmustele keskendunud jälgimine.
Artikli originaal ajakirjas «Information Security/ Informaatika turvalisus» #6, 2019.
Allikas: habr.com
