સુરક્ષા સાધન તરીકે હોલ - 2, અથવા "લાઇવ બાઈટ સાથે" એપીટી કેવી રીતે પકડવી

(શીર્ષક વિચાર માટે સેર્ગેઈ જી. બ્રેસ્ટરનો આભાર સેબ્રેસ)

સાથીઓ, આ લેખનો હેતુ છેતરપિંડી તકનીકો પર આધારિત IDS સોલ્યુશન્સના નવા વર્ગના એક વર્ષ લાંબા ટેસ્ટ ઓપરેશનના અનુભવને શેર કરવાનો છે.

સામગ્રીની રજૂઆતની તાર્કિક સુસંગતતા જાળવવા માટે, હું પરિસરથી પ્રારંભ કરવાનું જરૂરી માનું છું. તેથી, સમસ્યા:

1. ટાર્ગેટેડ એટેક એ હુમલાનો સૌથી ખતરનાક પ્રકાર છે, એ હકીકત હોવા છતાં કે ધમકીઓની કુલ સંખ્યામાં તેમનો હિસ્સો ઓછો છે.
2. પરિમિતિ (અથવા આવા માધ્યમોના સમૂહ)ને સુરક્ષિત કરવાના કોઈ ખાતરીપૂર્વકના અસરકારક માધ્યમોની હજુ સુધી શોધ થઈ નથી.
3. નિયમ પ્રમાણે, લક્ષિત હુમલાઓ ઘણા તબક્કામાં થાય છે. પરિમિતિને વટાવવી એ ફક્ત પ્રારંભિક તબક્કાઓમાંથી એક છે, જે (તમે મારા પર પથ્થર ફેંકી શકો છો) "પીડિત" ને વધુ નુકસાન પહોંચાડતું નથી, સિવાય કે, તે DEoS (સેવાનો વિનાશ) હુમલો (એન્ક્રિપ્ટર્સ, વગેરે) છે. .). વાસ્તવિક "પીડા" પછીથી શરૂ થાય છે, જ્યારે કબજે કરેલી સંપત્તિનો ઉપયોગ "ઊંડાણ" હુમલો કરવા અને વિકસાવવા માટે થવાનું શરૂ થાય છે, અને અમે આની નોંધ લીધી નથી.
4. જ્યારે હુમલાખોરો આખરે હુમલાના લક્ષ્યો (એપ્લિકેશન સર્વર્સ, ડીબીએમએસ, ડેટા વેરહાઉસ, રિપોઝીટરીઝ, જટિલ માળખાકીય તત્વો) સુધી પહોંચે છે ત્યારે આપણે વાસ્તવિક નુકસાન સહન કરવાનું શરૂ કર્યું હોવાથી, તે તાર્કિક છે કે માહિતી સુરક્ષા સેવાના કાર્યોમાંનું એક એ હુમલાને અટકાવવાનું છે. આ દુઃખદ ઘટના. પરંતુ કંઈક વિક્ષેપિત કરવા માટે, તમારે પહેલા તેના વિશે શોધવું આવશ્યક છે. અને વહેલા, વધુ સારું.
5. તદનુસાર, સફળ જોખમ વ્યવસ્થાપન માટે (એટલે ​​કે લક્ષ્યાંકિત હુમલાઓથી થતા નુકસાનને ઘટાડવા માટે), તે એવા સાધનો હોવા મહત્વપૂર્ણ છે જે ન્યૂનતમ TTD (શોધવાનો સમય - ઘૂસણખોરીની ક્ષણથી હુમલોની ક્ષણ સુધીનો સમય) પ્રદાન કરે. ઉદ્યોગ અને ક્ષેત્રના આધારે, આ સમયગાળો યુએસમાં સરેરાશ 99 દિવસ, EMEA પ્રદેશમાં 106 દિવસ, APAC પ્રદેશમાં 172 દિવસ (M-Trends 2017, A View From the Front Lines, Mandiant) છે.
6. બજાર શું ઓફર કરે છે?
   • "સેન્ડબોક્સ". અન્ય નિવારક નિયંત્રણ, જે આદર્શથી દૂર છે. સેન્ડબોક્સ અથવા વ્હાઇટલિસ્ટિંગ સોલ્યુશન્સ શોધવા અને બાયપાસ કરવા માટે ઘણી અસરકારક તકનીકો છે. "અંધારી બાજુ" ના છોકરાઓ હજી પણ અહીં એક પગલું આગળ છે.
   • UEBA (વ્યવહારની પ્રોફાઇલિંગ અને વિચલનોને ઓળખવા માટેની સિસ્ટમ્સ) - સિદ્ધાંતમાં, ખૂબ અસરકારક હોઈ શકે છે. પરંતુ, મારા મતે, આ દૂરના ભવિષ્યમાં ક્યારેક છે. વ્યવહારમાં, આ હજુ પણ ખૂબ ખર્ચાળ, અવિશ્વસનીય છે અને તેને ખૂબ જ પરિપક્વ અને સ્થિર IT અને માહિતી સુરક્ષા ઈન્ફ્રાસ્ટ્રક્ચરની જરૂર છે, જેમાં પહેલાથી જ એવા તમામ સાધનો છે જે વર્તણૂકીય વિશ્લેષણ માટે ડેટા જનરેટ કરશે.
   • SIEM એ તપાસ માટે એક સારું સાધન છે, પરંતુ તે સમયસર કંઈક નવું અને મૂળ જોવા અને બતાવવા માટે સક્ષમ નથી, કારણ કે સહસંબંધ નિયમો સહી જેવા જ છે.

7. પરિણામે, એક સાધનની જરૂર છે જે:
   • પહેલેથી જ સમાધાન કરેલ પરિમિતિની પરિસ્થિતિઓમાં સફળતાપૂર્વક કામ કર્યું,
   • ઉપયોગમાં લેવાતા સાધનો અને નબળાઈઓને ધ્યાનમાં લીધા વિના, નજીકના વાસ્તવિક સમયમાં સફળ હુમલાઓ શોધી કાઢ્યા,
   • હસ્તાક્ષર/નિયમો/સ્ક્રીપ્ટ્સ/પોલીસી/પ્રોફાઈલ અને અન્ય સ્થિર વસ્તુઓ પર આધાર રાખતા નથી,
   • પૃથ્થકરણ માટે મોટી માત્રામાં ડેટા અને તેમના સ્ત્રોતોની જરૂર નથી,
   • હુમલાઓને "વિશ્વમાં શ્રેષ્ઠ, પેટન્ટ અને તેથી બંધ ગણિત" ના કાર્યના પરિણામે અમુક પ્રકારના જોખમ-સ્કોરિંગ તરીકે વ્યાખ્યાયિત કરવાની મંજૂરી આપશે, જેને વધારાની તપાસની જરૂર છે, પરંતુ વ્યવહારીક રીતે દ્વિસંગી ઘટના તરીકે - "હા, અમારા પર હુમલો કરવામાં આવી રહ્યો છે" અથવા "ના, બધું બરાબર છે",
   • સાર્વત્રિક, કાર્યક્ષમ રીતે માપી શકાય તેવું અને કોઈપણ વિજાતીય વાતાવરણમાં અમલ કરવા માટે શક્ય હતું, ભૌતિક અને તાર્કિક નેટવર્ક ટોપોલોજીને ધ્યાનમાં લીધા વિના.

કહેવાતા છેતરપિંડી ઉકેલો હવે આવા સાધનની ભૂમિકા માટે દોડી રહ્યા છે. એટલે કે, હનીપોટ્સના સારા જૂના ખ્યાલ પર આધારિત ઉકેલો, પરંતુ અમલીકરણના સંપૂર્ણપણે અલગ સ્તર સાથે. આ વિષય ચોક્કસપણે વધી રહ્યો છે.

પરિણામો અનુસાર ગાર્ટનર સિક્યુરિટી એન્ડ રિસ્ક મેનેજમેન્ટ સમિટ 2017 ટોચની 3 વ્યૂહરચનાઓ અને સાધનોમાં છેતરપિંડી ઉકેલોનો સમાવેશ કરવામાં આવ્યો છે જેનો ઉપયોગ કરવાની ભલામણ કરવામાં આવે છે.

અહેવાલ મુજબ TAG સાયબર સુરક્ષા વાર્ષિક 2017 છેતરપિંડી એ IDS ઇન્ટ્રુઝન ડિટેક્શન સિસ્ટમ્સ) ઉકેલોના વિકાસની મુખ્ય દિશાઓમાંની એક છે.

બાદમાં એક સંપૂર્ણ વિભાગ સિસ્કો સ્ટેટ ઓફ IT સુરક્ષા રિપોર્ટ, SCADA ને સમર્પિત, આ બજારના એક અગ્રણી, TrapX સિક્યુરિટી (ઇઝરાયેલ) ના ડેટા પર આધારિત છે, જેનું સોલ્યુશન અમારા પરીક્ષણ ક્ષેત્રમાં એક વર્ષથી કાર્યરત છે.

ટ્રેપએક્સ ડિસેપ્શન ગ્રીડ તમને લાયસન્સ લોડ અને હાર્ડવેર સંસાધનોની આવશ્યકતાઓમાં વધારો કર્યા વિના, કેન્દ્રિય રીતે મોટા પાયે વિતરિત IDS ને ખર્ચ અને સંચાલન કરવાની મંજૂરી આપે છે. વાસ્તવમાં, ટ્રેપએક્સ એક કન્સ્ટ્રક્ટર છે જે તમને હાલના IT ઇન્ફ્રાસ્ટ્રક્ચરના ઘટકોમાંથી એન્ટરપ્રાઇઝ-વ્યાપી સ્કેલ પર હુમલાઓ શોધવા માટે એક મોટી પદ્ધતિ બનાવવાની મંજૂરી આપે છે, જે એક પ્રકારનું વિતરિત નેટવર્ક "એલાર્મ" છે.

ઉકેલ માળખું

અમારી લેબોરેટરીમાં અમે સતત IT સુરક્ષાના ક્ષેત્રમાં વિવિધ નવા ઉત્પાદનોનો અભ્યાસ અને પરીક્ષણ કરીએ છીએ. હાલમાં, ટ્રેપએક્સ ડિસેપ્શન ગ્રીડ ઘટકો સહિત લગભગ 50 જુદા જુદા વર્ચ્યુઅલ સર્વર્સ અહીં તૈનાત છે.

તેથી, ઉપરથી નીચે સુધી:

1. TSOC (ટ્રેપએક્સ સિક્યુરિટી ઓપરેશન કન્સોલ) એ સિસ્ટમનું મગજ છે. આ સેન્ટ્રલ મેનેજમેન્ટ કન્સોલ છે જેના દ્વારા રૂપરેખાંકન, સોલ્યુશનની જમાવટ અને તમામ રોજિંદા કામગીરી હાથ ધરવામાં આવે છે. આ એક વેબ સેવા હોવાથી, તેને ગમે ત્યાં - પરિમિતિ પર, ક્લાઉડમાં અથવા MSSP પ્રદાતા પર તૈનાત કરી શકાય છે.
2. TrapX એપ્લાયન્સ (TSA) એ વર્ચ્યુઅલ સર્વર છે જેમાં આપણે ટ્રંક પોર્ટનો ઉપયોગ કરીને કનેક્ટ કરીએ છીએ, તે સબનેટ કે જેને આપણે મોનિટરિંગ સાથે આવરી લેવા માંગીએ છીએ. ઉપરાંત, અમારા બધા નેટવર્ક સેન્સર અહીં ખરેખર "જીવંત" છે.

   અમારી લેબમાં એક TSA તૈનાત છે (mwsapp1), પરંતુ વાસ્તવમાં ઘણા હોઈ શકે છે. મોટા નેટવર્ક્સમાં આ જરૂરી હોઈ શકે છે જ્યાં સેગમેન્ટ્સ વચ્ચે કોઈ L2 કનેક્ટિવિટી નથી (એક લાક્ષણિક ઉદાહરણ છે “હોલ્ડિંગ અને પેટાકંપનીઓ” અથવા “બેંકની હેડ ઓફિસ અને શાખાઓ”) અથવા જો નેટવર્કમાં અલગ સેગમેન્ટ્સ છે, ઉદાહરણ તરીકે, સ્વયંસંચાલિત પ્રક્રિયા નિયંત્રણ સિસ્ટમ્સ. આવી દરેક શાખા/સેગમેન્ટમાં, તમે તમારા પોતાના TSA ને જમાવી શકો છો અને તેને એક જ TSOC સાથે કનેક્ટ કરી શકો છો, જ્યાં બધી માહિતી કેન્દ્રિય રીતે પ્રક્રિયા કરવામાં આવશે. આ આર્કિટેક્ચર તમને નેટવર્કને ધરમૂળથી પુનર્ગઠન કર્યા વિના અથવા હાલના વિભાજનને વિક્ષેપિત કર્યા વિના વિતરિત મોનિટરિંગ સિસ્ટમ્સ બનાવવાની મંજૂરી આપે છે.

   ઉપરાંત, અમે TAP/SPAN દ્વારા TSA ને આઉટગોઇંગ ટ્રાફિકની નકલ સબમિટ કરી શકીએ છીએ. જો અમે જાણીતા બોટનેટ, કમાન્ડ અને કંટ્રોલ સર્વર્સ અથવા TOR સત્રો સાથે કનેક્શન શોધીએ છીએ, તો અમે કન્સોલમાં પરિણામ પણ પ્રાપ્ત કરીશું. નેટવર્ક ઇન્ટેલિજન્સ સેન્સર (NIS) આ માટે જવાબદાર છે. અમારા પર્યાવરણમાં, આ કાર્યક્ષમતા ફાયરવોલ પર લાગુ કરવામાં આવે છે, તેથી અમે તેનો ઉપયોગ અહીં કર્યો નથી.

3. એપ્લિકેશન ટ્રેપ્સ (ફુલ OS) – વિન્ડોઝ સર્વર્સ પર આધારિત પરંપરાગત હનીપોટ્સ. તમારે તેમાંના ઘણાની જરૂર નથી, કારણ કે આ સર્વર્સનો મુખ્ય હેતુ સેન્સરના આગલા સ્તરને IT સેવાઓ પ્રદાન કરવાનો છે અથવા વિન્ડોઝ પર્યાવરણમાં જમાવવામાં આવી શકે તેવી વ્યવસાયિક એપ્લિકેશનો પરના હુમલાઓ શોધવાનો છે. અમારી લેબોરેટરી (FOS01)માં અમારી પાસે આવું એક સર્વર સ્થાપિત છે.

   

4. ઇમ્યુલેટેડ ટ્રેપ્સ એ સોલ્યુશનનો મુખ્ય ઘટક છે, જે અમને, એક સિંગલ વર્ચ્યુઅલ મશીનનો ઉપયોગ કરીને, હુમલાખોરો માટે ખૂબ જ ગાઢ "માઇનફિલ્ડ" બનાવવાની અને અમારા સેન્સર સાથે એન્ટરપ્રાઇઝ નેટવર્ક, તેના તમામ વ્લાન્સને સંતૃપ્ત કરવાની મંજૂરી આપે છે. હુમલાખોર આવા સેન્સર અથવા ફેન્ટમ હોસ્ટને વાસ્તવિક Windows PC અથવા સર્વર, Linux સર્વર અથવા અન્ય ઉપકરણ તરીકે જુએ છે જે અમે તેને બતાવવાનું નક્કી કરીએ છીએ.

   
   
   વ્યવસાયના સારા માટે અને જિજ્ઞાસા ખાતર, અમે "દરેક પ્રાણીની જોડી" - વિન્ડોઝ પીસી અને વિવિધ વર્ઝનના સર્વર્સ, લિનક્સ સર્વર્સ, વિન્ડોઝ એમ્બેડેડ એટીએમ, સ્વિફ્ટ વેબ એક્સેસ, નેટવર્ક પ્રિન્ટર, સિસ્કો સ્વિચ, એક એક્સિસ આઈપી કેમેરા, એક મેકબુક, પીએલસી - ઉપકરણ અને સ્માર્ટ લાઇટ બલ્બ પણ. કુલ 13 યજમાનો છે. સામાન્ય રીતે, વિક્રેતા વાસ્તવિક યજમાનોની સંખ્યાના ઓછામાં ઓછા 10% ની માત્રામાં આવા સેન્સરને જમાવવાની ભલામણ કરે છે. ટોચની પટ્ટી ઉપલબ્ધ સરનામાંની જગ્યા છે.

   એક ખૂબ જ મહત્વપૂર્ણ મુદ્દો એ છે કે આવા દરેક યજમાન સંપૂર્ણ સુવિધાયુક્ત વર્ચ્યુઅલ મશીન નથી કે જેને સંસાધનો અને લાઇસન્સની જરૂર હોય. આ એક ડીકોય, ઇમ્યુલેશન, TSA પરની એક પ્રક્રિયા છે, જેમાં પરિમાણોનો સમૂહ અને IP સરનામું છે. તેથી, એક પણ TSA ની મદદથી, અમે આવા સેંકડો ફેન્ટમ હોસ્ટ સાથે નેટવર્કને સંતૃપ્ત કરી શકીએ છીએ, જે એલાર્મ સિસ્ટમમાં સેન્સર તરીકે કામ કરશે. આ ટેક્નોલોજી છે જે કોઈપણ મોટા વિતરિત એન્ટરપ્રાઈઝમાં હનીપોટ ખ્યાલને ખર્ચ-અસરકારક રીતે માપવાનું શક્ય બનાવે છે.

   હુમલાખોરના દૃષ્ટિકોણથી, આ યજમાનો આકર્ષક છે કારણ કે તેમાં નબળાઈઓ હોય છે અને તે પ્રમાણમાં સરળ લક્ષ્યો હોય તેવું લાગે છે. હુમલાખોર આ યજમાનો પર સેવાઓ જુએ છે અને તેમની સાથે ક્રિયાપ્રતિક્રિયા કરી શકે છે અને માનક સાધનો અને પ્રોટોકોલ્સ (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, વગેરે) નો ઉપયોગ કરીને હુમલો કરી શકે છે. પરંતુ હુમલો વિકસાવવા અથવા તમારો પોતાનો કોડ ચલાવવા માટે આ યજમાનોનો ઉપયોગ કરવો અશક્ય છે.

5. આ બે ટેક્નોલોજીઓ (FullOS અને ઇમ્યુલેટેડ ટ્રેપ્સ) નું સંયોજન અમને ઉચ્ચ આંકડાકીય સંભાવના હાંસલ કરવાની મંજૂરી આપે છે કે હુમલાખોર વહેલા કે પછી અમારા સિગ્નલિંગ નેટવર્કના કેટલાક ઘટકોનો સામનો કરશે. પરંતુ આપણે કેવી રીતે ખાતરી કરી શકીએ કે આ સંભાવના 100% ની નજીક છે?

   કહેવાતા ડિસેપ્શન ટોકન્સ યુદ્ધમાં પ્રવેશ કરે છે. તેમના માટે આભાર, અમે અમારા વિતરિત IDS માં એન્ટરપ્રાઇઝના તમામ હાલના પીસી અને સર્વર્સનો સમાવેશ કરી શકીએ છીએ. ટોકન્સ વપરાશકર્તાઓના વાસ્તવિક પીસી પર મૂકવામાં આવે છે. તે સમજવું અગત્યનું છે કે ટોકન્સ એ એજન્ટો નથી કે જે સંસાધનોનો ઉપયોગ કરે છે અને તકરારનું કારણ બની શકે છે. ટોકન્સ એ નિષ્ક્રિય માહિતી તત્વો છે, હુમલો કરનાર બાજુ માટે એક પ્રકારનું "બ્રેડક્રમ્સ" જે તેને જાળમાં લઈ જાય છે. ઉદાહરણ તરીકે, મેપ કરેલી નેટવર્ક ડ્રાઇવ્સ, બ્રાઉઝરમાં નકલી વેબ એડમિન્સ માટે બુકમાર્ક્સ અને તેમના માટે સાચવેલા પાસવર્ડ્સ, સેવ કરેલા ssh/rdp/winscp સત્રો, હોસ્ટ ફાઇલોમાં ટિપ્પણીઓ સાથેની અમારી ટ્રેપ્સ, મેમરીમાં સાચવેલા પાસવર્ડ્સ, અસ્તિત્વમાં ન હોય તેવા વપરાશકર્તાઓના ઓળખપત્ર, ઓફિસ ફાઇલો, ઓપનિંગ જે સિસ્ટમને ટ્રિગર કરશે અને ઘણું બધું. આમ, અમે હુમલાખોરને વિકૃત વાતાવરણમાં મૂકીએ છીએ, જે હુમલા વેક્ટરથી સંતૃપ્ત છે જે વાસ્તવમાં આપણા માટે ખતરો નથી, પરંતુ તેનાથી વિપરીત છે. અને તેની પાસે માહિતી ક્યાં સાચી છે અને ક્યાં ખોટી છે તે નક્કી કરવાનો કોઈ રસ્તો નથી. આમ, અમે હુમલાની ઝડપી તપાસની ખાતરી જ નથી કરતા, પરંતુ તેની પ્રગતિને નોંધપાત્ર રીતે ધીમું પણ કરીએ છીએ.

નેટવર્ક ટ્રેપ બનાવવાનું અને ટોકન્સ સેટ કરવાનું ઉદાહરણ. મૈત્રીપૂર્ણ ઇન્ટરફેસ અને રૂપરેખાઓ, સ્ક્રિપ્ટ્સ, વગેરેનું મેન્યુઅલ સંપાદન નથી.

અમારા વાતાવરણમાં, અમે વિન્ડોઝ સર્વર 01R2012 પર ચાલતા FOS2 અને Windows 7 પર ચાલતા ટેસ્ટ પીસી પર આવા સંખ્યાબંધ ટોકન્સ ગોઠવ્યા અને મૂક્યા. આ મશીનો પર RDP ચાલી રહી છે અને અમે સમયાંતરે તેમને DMZ માં "હેંગ" કરીએ છીએ, જ્યાં અમારા સંખ્યાબંધ સેન્સર (એમ્યુલેટેડ ટ્રેપ્સ) પણ પ્રદર્શિત થાય છે. તેથી અમને ઘટનાઓનો સતત પ્રવાહ મળે છે, સ્વાભાવિક રીતે વાત કરવા માટે.

તેથી, અહીં વર્ષ માટેના કેટલાક ઝડપી આંકડા છે:

56 - બનાવો નોંધાયા,
2 - હુમલાના સ્ત્રોત હોસ્ટ શોધાયા.

ઇન્ટરેક્ટિવ, ક્લિક કરી શકાય તેવો હુમલો નકશો

તે જ સમયે, સોલ્યુશન કોઈ પ્રકારનું મેગા-લોગ અથવા ઇવેન્ટ ફીડ જનરેટ કરતું નથી, જેને સમજવામાં લાંબો સમય લાગે છે. તેના બદલે, સોલ્યુશન પોતે ઘટનાઓને તેમના પ્રકારો દ્વારા વર્ગીકૃત કરે છે અને માહિતી સુરક્ષા ટીમને મુખ્યત્વે સૌથી ખતરનાક મુદ્દાઓ પર ધ્યાન કેન્દ્રિત કરવાની મંજૂરી આપે છે - જ્યારે હુમલાખોર નિયંત્રણ સત્રો (પરસ્પર ક્રિયાપ્રતિક્રિયા) વધારવાનો પ્રયાસ કરે છે અથવા જ્યારે અમારા ટ્રાફિકમાં બાઈનરી પેલોડ્સ (ચેપ) દેખાય છે.

ઘટનાઓ વિશેની તમામ માહિતી મારા મતે, માહિતી સુરક્ષાના ક્ષેત્રમાં મૂળભૂત જ્ઞાન ધરાવતા વપરાશકર્તા માટે પણ સમજવા માટે સરળ સ્વરૂપમાં વાંચી શકાય તેવી અને પ્રસ્તુત છે.

મોટાભાગની નોંધાયેલી ઘટનાઓ અમારા યજમાનો અથવા એકલ જોડાણોને સ્કેન કરવાના પ્રયાસો છે.

અથવા RDP માટે બ્રુટ ફોર્સ પાસવર્ડ્સનો પ્રયાસ

પરંતુ ત્યાં વધુ રસપ્રદ કિસ્સાઓ પણ હતા, ખાસ કરીને જ્યારે હુમલાખોરો RDP માટેના પાસવર્ડનો અનુમાન કરવામાં અને સ્થાનિક નેટવર્કની ઍક્સેસ મેળવવા માટે "વ્યવસ્થિત" હતા.

હુમલાખોર psexec નો ઉપયોગ કરીને કોડ ચલાવવાનો પ્રયાસ કરે છે.

હુમલાખોરને એક સાચવેલ સત્ર મળ્યું, જે તેને Linux સર્વરના રૂપમાં જાળમાં લઈ ગયો. કનેક્ટ થયા પછી તરત જ, આદેશોના એક પૂર્વ-તૈયાર સમૂહ સાથે, તેણે બધી લોગ ફાઇલો અને અનુરૂપ સિસ્ટમ વેરીએબલ્સને નષ્ટ કરવાનો પ્રયાસ કર્યો.

હુમલાખોર હનીપોટ પર SQL ઈન્જેક્શન કરવાનો પ્રયાસ કરે છે જે SWIFT વેબ એક્સેસનું અનુકરણ કરે છે.

આવા "કુદરતી" હુમલાઓ ઉપરાંત, અમે અમારા પોતાના ઘણા પરીક્ષણો પણ કર્યા. નેટવર્ક પર નેટવર્ક વોર્મની શોધ સમયનું પરીક્ષણ કરવું એ સૌથી વધુ ખુલાસો છે. આ કરવા માટે અમે ગાર્ડીકોર નામના ટૂલનો ઉપયોગ કર્યો ચેપ વાંદરો. આ એક નેટવર્ક વોર્મ છે જે વિન્ડોઝ અને લિનક્સને હાઇજેક કરી શકે છે, પરંતુ કોઈપણ "પેલોડ" વગર.
અમે સ્થાનિક કમાન્ડ સેન્ટર તૈનાત કર્યું, એક મશીન પર કૃમિની પ્રથમ ઘટના શરૂ કરી અને દોઢ મિનિટ કરતાં પણ ઓછા સમયમાં TrapX કન્સોલમાં પ્રથમ ચેતવણી પ્રાપ્ત કરી. TTD 90 સેકન્ડ વિરુદ્ધ સરેરાશ 106 દિવસ...

ઉકેલોના અન્ય વર્ગો સાથે સંકલન કરવાની ક્ષમતા બદલ આભાર, અમે જોખમોને ઝડપથી શોધીને આપમેળે જવાબ આપવા તરફ આગળ વધી શકીએ છીએ.

ઉદાહરણ તરીકે, NAC (નેટવર્ક એક્સેસ કંટ્રોલ) સિસ્ટમ્સ સાથે અથવા કાર્બનબ્લેક સાથે એકીકરણ તમને નેટવર્કમાંથી ચેડા થયેલા પીસીને આપમેળે ડિસ્કનેક્ટ કરવાની મંજૂરી આપશે.

સેન્ડબોક્સ સાથે એકીકરણ હુમલામાં સામેલ ફાઇલોને વિશ્લેષણ માટે આપમેળે સબમિટ કરવાની મંજૂરી આપે છે.

McAfee એકીકરણ

સોલ્યુશનમાં તેની પોતાની બિલ્ટ-ઇન ઇવેન્ટ કોરિલેશન સિસ્ટમ પણ છે.

પરંતુ અમે તેની ક્ષમતાઓથી સંતુષ્ટ ન હતા, તેથી અમે તેને HP ArcSight સાથે સંકલિત કર્યું.

બિલ્ટ-ઇન ટિકિટિંગ સિસ્ટમ સમગ્ર વિશ્વને શોધાયેલ જોખમોનો સામનો કરવામાં મદદ કરે છે.

સરકારી એજન્સીઓ અને મોટા કોર્પોરેટ સેગમેન્ટની જરૂરિયાતો માટે "શરૂઆતથી" સોલ્યુશન વિકસાવવામાં આવ્યું હોવાથી, તે કુદરતી રીતે રોલ-આધારિત એક્સેસ મોડલ, AD સાથે એકીકરણ, રિપોર્ટ્સ અને ટ્રિગર્સ (ઇવેન્ટ એલર્ટ્સ), ઓર્કેસ્ટ્રેશનની વિકસિત સિસ્ટમનો અમલ કરે છે. મોટા હોલ્ડિંગ સ્ટ્રક્ચર્સ અથવા MSSP પ્રદાતાઓ.

ફરી શરૂ કરવાને બદલે

જો આવી મોનિટરિંગ સિસ્ટમ છે, જે, અલંકારિક રીતે કહીએ તો, આપણી પીઠને આવરી લે છે, તો પછી પરિમિતિના સમાધાન સાથે બધું જ શરૂ થાય છે. સૌથી મહત્વની બાબત એ છે કે માહિતી સુરક્ષાની ઘટનાઓ સાથે વ્યવહાર કરવાની વાસ્તવિક તક છે, અને તેમના પરિણામો સાથે વ્યવહાર કરવાની નહીં.

સોર્સ: www.habr.com