પીટી નેટવર્ક એટેક ડિસ્કવરીના ઉદાહરણનો ઉપયોગ કરીને MITER ATT&CK નો ઉપયોગ કરીને ટ્રાફિક વિશ્લેષણ સિસ્ટમો હેકર યુક્તિઓ કેવી રીતે શોધી કાઢે છે

વેરાઇઝન અનુસાર, માહિતી સુરક્ષાની મોટાભાગની (87%) ઘટનાઓ થોડી મિનિટોમાં થાય છે, અને 68% કંપનીઓ માટે તેને શોધવામાં મહિનાઓ લાગે છે. દ્વારા આની પુષ્ટિ થાય છે પોનેમોન સંસ્થા સંશોધન, જે મુજબ મોટાભાગની સંસ્થાઓને ઘટના શોધવામાં સરેરાશ 206 દિવસ લાગે છે. અમારી તપાસના અનુભવના આધારે, હેકર્સ શોધ્યા વિના વર્ષો સુધી કંપનીના ઇન્ફ્રાસ્ટ્રક્ચરને નિયંત્રિત કરી શકે છે. આમ, એક સંસ્થામાં જ્યાં અમારા નિષ્ણાતોએ માહિતી સુરક્ષા ઘટનાની તપાસ કરી હતી, તે બહાર આવ્યું હતું કે હેકર્સ સંસ્થાના સમગ્ર માળખાને સંપૂર્ણપણે નિયંત્રિત કરે છે અને નિયમિતપણે મહત્વપૂર્ણ માહિતી ચોરી કરે છે. આઠ વર્ષ માટે.

ચાલો કહીએ કે તમારી પાસે પહેલેથી જ SIEM ચાલી રહ્યું છે જે લોગ એકત્રિત કરે છે અને ઇવેન્ટ્સનું વિશ્લેષણ કરે છે, અને એન્ટિવાયરસ સૉફ્ટવેર અંતિમ ગાંઠો પર ઇન્સ્ટોલ કરેલું છે. તેમ છતાં, SIEM નો ઉપયોગ કરીને બધું શોધી શકાતું નથી, જેમ સમગ્ર નેટવર્કમાં EDR સિસ્ટમ્સ લાગુ કરવી અશક્ય છે, જેનો અર્થ છે કે "અંધ" ફોલ્લીઓ ટાળી શકાતી નથી. નેટવર્ક ટ્રાફિક એનાલિસિસ (NTA) સિસ્ટમ્સ તેમની સાથે વ્યવહાર કરવામાં મદદ કરે છે. આ સોલ્યુશન્સ નેટવર્ક ઘૂંસપેંઠના પ્રારંભિક તબક્કે હુમલાખોરની પ્રવૃત્તિને શોધી કાઢે છે, તેમજ નેટવર્કની અંદર પગ મેળવવા અને હુમલો વિકસાવવાના પ્રયાસો દરમિયાન.

NTAs બે પ્રકારના હોય છે: કેટલાક NetFlow સાથે કામ કરે છે, અન્ય કાચા ટ્રાફિકનું વિશ્લેષણ કરે છે. બીજી સિસ્ટમનો ફાયદો એ છે કે તેઓ કાચો ટ્રાફિક રેકોર્ડ સ્ટોર કરી શકે છે. આનો આભાર, માહિતી સુરક્ષા નિષ્ણાત હુમલાની સફળતાને ચકાસી શકે છે, ધમકીને સ્થાનીકૃત કરી શકે છે, હુમલો કેવી રીતે થયો તે સમજી શકે છે અને ભવિષ્યમાં સમાન ઘટનાને કેવી રીતે અટકાવવી.

અમે બતાવીશું કે NTA નો ઉપયોગ કરીને તમે જ્ઞાન આધારમાં વર્ણવેલ તમામ જાણીતી હુમલાની યુક્તિઓને ઓળખવા માટે પ્રત્યક્ષ અથવા પરોક્ષ પુરાવાનો ઉપયોગ કેવી રીતે કરી શકો છો. MITER AT&CK. અમે દરેક 12 યુક્તિઓ વિશે વાત કરીશું, ટ્રાફિક દ્વારા શોધાયેલ તકનીકોનું વિશ્લેષણ કરીશું, અને અમારી NTA સિસ્ટમનો ઉપયોગ કરીને તેમની શોધનું નિદર્શન કરીશું.

ATT&CK જ્ઞાન આધાર વિશે

MITER ATT&CK એ MITER કોર્પોરેશન દ્વારા વાસ્તવિક જીવનની APTsના વિશ્લેષણના આધારે વિકસિત અને જાળવવામાં આવેલ જાહેર જ્ઞાન આધાર છે. તે હુમલાખોરો દ્વારા ઉપયોગમાં લેવામાં આવતી યુક્તિઓ અને તકનીકોનો એક સંરચિત સમૂહ છે. આ સમગ્ર વિશ્વના માહિતી સુરક્ષા વ્યાવસાયિકોને સમાન ભાષા બોલવાની મંજૂરી આપે છે. ડેટાબેઝ સતત વિસ્તરી રહ્યો છે અને નવા જ્ઞાન સાથે પૂરક છે.

ડેટાબેઝ 12 યુક્તિઓને ઓળખે છે, જેને સાયબર હુમલાના તબક્કા દ્વારા વિભાજિત કરવામાં આવે છે:

• પ્રારંભિક પ્રવેશ;
• અમલ;
• એકત્રીકરણ (દ્રઢતા);
• વિશેષાધિકાર વૃદ્ધિ;
• શોધ નિવારણ (સંરક્ષણ ચોરી);
• ઓળખપત્રો મેળવવા (ઓળખાણપત્રની ઍક્સેસ);
• સંશોધન
• પરિમિતિમાં ચળવળ (બાજુની હિલચાલ);
• માહિતી સંગ્રહ (સંગ્રહ);
• આદેશ અને નિયંત્રણ;
• ડેટા એક્સફિલ્ટરેશન;
• અસર.

દરેક યુક્તિ માટે, ATT&CK નોલેજ બેઝ એવી તકનીકોની યાદી આપે છે જે હુમલાના વર્તમાન તબક્કે હુમલાખોરોને તેમનું લક્ષ્ય હાંસલ કરવામાં મદદ કરે છે. એક જ તકનીકનો ઉપયોગ વિવિધ તબક્કામાં થઈ શકે છે, તેથી તે ઘણી યુક્તિઓનો સંદર્ભ લઈ શકે છે.

દરેક તકનીકના વર્ણનમાં શામેલ છે:

• ઓળખકર્તા;
• યુક્તિઓની સૂચિ જેમાં તેનો ઉપયોગ થાય છે;
• APT જૂથો દ્વારા ઉપયોગના ઉદાહરણો;
• તેના ઉપયોગથી થતા નુકસાનને ઘટાડવાના પગલાં;
• શોધ ભલામણો.

માહિતી સુરક્ષા નિષ્ણાતો ડેટાબેઝના જ્ઞાનનો ઉપયોગ વર્તમાન હુમલાની પદ્ધતિઓ વિશેની માહિતીને સંરચિત કરવા માટે કરી શકે છે અને, આને ધ્યાનમાં રાખીને, અસરકારક સુરક્ષા સિસ્ટમ બનાવી શકે છે. વાસ્તવિક APT જૂથો કેવી રીતે કાર્ય કરે છે તે સમજવું એ અંદરના જોખમોને સક્રિયપણે શોધવા માટે પૂર્વધારણાઓનો સ્ત્રોત બની શકે છે. ધમકી શિકાર.

પીટી નેટવર્ક એટેક ડિસ્કવરી વિશે

અમે સિસ્ટમનો ઉપયોગ કરીને ATT&CK મેટ્રિક્સમાંથી તકનીકોના ઉપયોગને ઓળખીશું પીટી નેટવર્ક એટેક ડિસ્કવરી — પોઝીટીવ ટેક્નોલોજીસ એનટીએ સિસ્ટમ, પરિમિતિ પર અને નેટવર્કની અંદરના હુમલાઓને શોધવા માટે રચાયેલ છે. PT NAD, MITER ATT&CK મેટ્રિક્સની તમામ 12 યુક્તિઓને વિવિધ ડિગ્રીઓ સુધી આવરી લે છે. પ્રારંભિક પ્રવેશ, બાજુની હિલચાલ અને આદેશ અને નિયંત્રણ માટેની તકનીકોને ઓળખવામાં તે સૌથી શક્તિશાળી છે. તેમાં, PT NAD અડધાથી વધુ જાણીતી તકનીકોને આવરી લે છે, પ્રત્યક્ષ અથવા પરોક્ષ સંકેતો દ્વારા તેમની એપ્લિકેશનને શોધી કાઢે છે.

ટીમ દ્વારા બનાવવામાં આવેલ તપાસ નિયમોનો ઉપયોગ કરીને સિસ્ટમ ATT&CK તકનીકોનો ઉપયોગ કરીને હુમલાઓ શોધી કાઢે છે પીટી નિષ્ણાત સુરક્ષા કેન્દ્ર (PT ESC), મશીન લર્નિંગ, ઈન્ડિકેટર્સ ઓફ કોમ્પ્રોમાઈઝ, ડીપ એનાલિટિક્સ અને રિટ્રોસ્પેક્ટિવ એનાલિસિસ. રીટ્રોસ્પેક્ટિવ સાથે જોડાયેલ રીઅલ-ટાઇમ ટ્રાફિક વિશ્લેષણ તમને વર્તમાન છુપાયેલી દૂષિત પ્રવૃત્તિને ઓળખવા અને વિકાસ વેક્ટર અને હુમલાના ઘટનાક્રમને ટ્રૅક કરવાની મંજૂરી આપે છે.

અહીં PT NAD થી MITER ATT અને CK મેટ્રિક્સનું સંપૂર્ણ મેપિંગ. ચિત્ર મોટું છે, તેથી અમે સૂચવીએ છીએ કે તમે તેને અલગ વિંડોમાં જુઓ.

પ્રારંભિક ઍક્સેસ

પ્રારંભિક ઍક્સેસ યુક્તિઓમાં કંપનીના નેટવર્કમાં પ્રવેશવાની તકનીકોનો સમાવેશ થાય છે. આ તબક્કે હુમલાખોરોનો ધ્યેય હુમલો કરેલ સિસ્ટમને દૂષિત કોડ પહોંચાડવાનો અને તેના વધુ અમલની શક્યતા સુનિશ્ચિત કરવાનો છે.

PT NAD નું ટ્રાફિક વિશ્લેષણ પ્રારંભિક ઍક્સેસ મેળવવા માટે સાત તકનીકો દર્શાવે છે:

1. T1189: ડ્રાઇવ દ્વારા સમાધાન

એક તકનીક જેમાં પીડિત વેબસાઇટ ખોલે છે જેનો ઉપયોગ હુમલાખોરો વેબ બ્રાઉઝરનું શોષણ કરવા અને એપ્લિકેશન એક્સેસ ટોકન્સ મેળવવા માટે કરે છે.

PT NAD શું કરે છે?: જો વેબ ટ્રાફિક એન્ક્રિપ્ટેડ નથી, તો PT NAD HTTP સર્વર પ્રતિસાદોની સામગ્રીનું નિરીક્ષણ કરે છે. આ પ્રતિસાદોમાં એવા શોષણો છે જે હુમલાખોરોને બ્રાઉઝરની અંદર મનસ્વી કોડ ચલાવવાની મંજૂરી આપે છે. PT NAD ડિટેક્શન નિયમોનો ઉપયોગ કરીને આવા શોષણને આપમેળે શોધી કાઢે છે.

વધુમાં, PT NAD અગાઉના પગલામાં ખતરો શોધી કાઢે છે. જો વપરાશકર્તા એવી સાઇટની મુલાકાત લે છે કે જેણે તેને શોષણના સમૂહ સાથે સાઇટ પર રીડાયરેક્ટ કર્યું હોય તો સમાધાનના નિયમો અને સૂચકાંકો ટ્રિગર થાય છે.

2. T1190: પબ્લિક-ફેસિંગ એપ્લિકેશનનો ઉપયોગ કરો

ઈન્ટરનેટથી સુલભ હોય તેવી સેવાઓમાં નબળાઈઓનું શોષણ.

PT NAD શું કરે છે?: નેટવર્ક પેકેટોની સામગ્રીનું ઊંડાણપૂર્વક નિરીક્ષણ કરે છે, વિસંગત પ્રવૃત્તિના સંકેતોને ઓળખે છે. ખાસ કરીને, એવા નિયમો છે જે તમને મુખ્ય સામગ્રી વ્યવસ્થાપન સિસ્ટમ્સ (CMS), નેટવર્ક સાધનોના વેબ ઇન્ટરફેસ અને મેઇલ અને FTP સર્વર્સ પરના હુમલાઓ શોધવાની મંજૂરી આપે છે.

3. T1133: બાહ્ય દૂરસ્થ સેવાઓ

હુમલાખોરો બહારથી આંતરિક નેટવર્ક સંસાધનોને કનેક્ટ કરવા માટે રિમોટ એક્સેસ સેવાઓનો ઉપયોગ કરે છે.

PT NAD શું કરે છે?: સિસ્ટમ પ્રોટોકોલને પોર્ટ નંબર્સ દ્વારા નહીં, પરંતુ પેકેટોની સામગ્રી દ્વારા ઓળખે છે, સિસ્ટમ વપરાશકર્તાઓ રિમોટ એક્સેસ પ્રોટોકોલના તમામ સત્રો શોધવા માટે ટ્રાફિકને ફિલ્ટર કરી શકે છે અને તેમની કાયદેસરતા તપાસી શકે છે.

4. T1193: spearphishing જોડાણ

અમે ફિશિંગ જોડાણોના કુખ્યાત મોકલવા વિશે વાત કરી રહ્યા છીએ.

PT NAD શું કરે છે?: ટ્રાફિકમાંથી આપમેળે ફાઇલો કાઢે છે અને સમાધાનના સૂચકાંકો સામે તેને તપાસે છે. જોડાણોમાં એક્ઝિક્યુટેબલ ફાઇલો નિયમો દ્વારા શોધવામાં આવે છે જે મેઇલ ટ્રાફિકની સામગ્રીનું વિશ્લેષણ કરે છે. કોર્પોરેટ વાતાવરણમાં, આવા રોકાણને વિસંગત ગણવામાં આવે છે.

5. T1192: સ્પિયરફિશિંગ લિંક

ફિશિંગ લિંક્સનો ઉપયોગ. આ ટેકનિકમાં હુમલાખોરો એક લિંક સાથે ફિશિંગ ઈમેઈલ મોકલે છે જે ક્લિક કરવામાં આવે ત્યારે દૂષિત પ્રોગ્રામ ડાઉનલોડ કરે છે. એક નિયમ તરીકે, લિંક સોશિયલ એન્જિનિયરિંગના તમામ નિયમો અનુસાર સંકલિત ટેક્સ્ટ સાથે છે.

PT NAD શું કરે છે?: સમાધાનના સૂચકોનો ઉપયોગ કરીને ફિશિંગ લિંક્સ શોધે છે. ઉદાહરણ તરીકે, PT NAD ઇન્ટરફેસમાં આપણે એક સત્ર જોઈએ છીએ જેમાં ફિશિંગ સરનામાં (ફિશિંગ-urls) ની સૂચિમાં સમાવિષ્ટ લિંક દ્વારા HTTP કનેક્શન હતું.

સમાધાન ફિશિંગ-urls ના સૂચકોની સૂચિમાંથી લિંક દ્વારા કનેક્શન

6. T1199: વિશ્વાસુ સંબંધ

તૃતીય પક્ષો દ્વારા પીડિતના નેટવર્કની ઍક્સેસ કે જેની સાથે પીડિતાએ વિશ્વાસપાત્ર સંબંધ સ્થાપિત કર્યો છે. હુમલાખોરો વિશ્વસનીય સંસ્થાને હેક કરી શકે છે અને તેના દ્વારા લક્ષ્ય નેટવર્ક સાથે કનેક્ટ થઈ શકે છે. આ કરવા માટે, તેઓ VPN કનેક્શન અથવા ડોમેન ટ્રસ્ટનો ઉપયોગ કરે છે, જે ટ્રાફિક વિશ્લેષણ દ્વારા ઓળખી શકાય છે.

PT NAD શું કરે છે?: એપ્લીકેશન પ્રોટોકોલને પાર્સ કરે છે અને વિશ્લેષિત ફીલ્ડ્સને ડેટાબેઝમાં સાચવે છે, જેથી માહિતી સુરક્ષા વિશ્લેષક ડેટાબેઝમાં તમામ શંકાસ્પદ VPN કનેક્શન્સ અથવા ક્રોસ-ડોમેન કનેક્શન્સ શોધવા માટે ફિલ્ટર્સનો ઉપયોગ કરી શકે.

7. T1078: માન્ય એકાઉન્ટ્સ

બાહ્ય અને આંતરિક સેવાઓ પર અધિકૃતતા માટે પ્રમાણભૂત, સ્થાનિક અથવા ડોમેન ઓળખપત્રોનો ઉપયોગ.

PT NAD શું કરે છે?: HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos પ્રોટોકોલ્સમાંથી આપમેળે ઓળખપત્રો પુનઃપ્રાપ્ત કરે છે. સામાન્ય રીતે, આ લોગિન, પાસવર્ડ અને સફળ પ્રમાણીકરણની નિશાની છે. જો તેનો ઉપયોગ કરવામાં આવ્યો હોય, તો તે સંબંધિત સત્ર કાર્ડમાં પ્રદર્શિત થાય છે.

અમલ

એક્ઝેક્યુશન યુક્તિઓમાં એવી તકનીકોનો સમાવેશ થાય છે કે જેનો ઉપયોગ હુમલાખોરો ચેડા સિસ્ટમ પર કોડ ચલાવવા માટે કરે છે. દૂષિત કોડ ચલાવવાથી હુમલાખોરોને હાજરી (સતતતાની યુક્તિ) સ્થાપિત કરવામાં અને પરિમિતિની અંદર જઈને નેટવર્ક પર રિમોટ સિસ્ટમ્સની ઍક્સેસ વિસ્તૃત કરવામાં મદદ મળે છે.

PT NAD તમને દૂષિત કોડ ચલાવવા માટે હુમલાખોરો દ્વારા ઉપયોગમાં લેવાતી 14 તકનીકોનો ઉપયોગ શોધવાની મંજૂરી આપે છે.

1. T1191: CMSTP (માઈક્રોસોફ્ટ કનેક્શન મેનેજર પ્રોફાઇલ ઇન્સ્ટોલર)

એક યુક્તિ જેમાં હુમલાખોરો બિલ્ટ-ઇન વિન્ડોઝ યુટિલિટી CMSTP.exe (કનેક્શન મેનેજર પ્રોફાઇલ ઇન્સ્ટોલર) માટે ખાસ દૂષિત ઇન્સ્ટોલેશન INF ફાઇલ તૈયાર કરે છે. CMSTP.exe ફાઇલને પેરામીટર તરીકે લે છે અને રિમોટ કનેક્શન માટે સર્વિસ પ્રોફાઇલ ઇન્સ્ટોલ કરે છે. પરિણામે, CMSTP.exe નો ઉપયોગ રીમોટ સર્વરથી ડાયનેમિક લિંક લાઈબ્રેરીઓ (*.dll) અથવા સ્ક્રિપ્ટલેટ્સ (*.sct) લોડ કરવા અને એક્ઝિક્યુટ કરવા માટે થઈ શકે છે.

PT NAD શું કરે છે?: HTTP ટ્રાફિકમાં વિશિષ્ટ પ્રકારની INF ફાઇલોના સ્થાનાંતરણને આપમેળે શોધે છે. આ ઉપરાંત, તે રિમોટ સર્વરથી દૂષિત સ્ક્રિપ્ટલેટ્સ અને ડાયનેમિક લિંક લાઇબ્રેરીઓના HTTP ટ્રાન્સમિશનને શોધે છે.

2. T1059: કમાન્ડ-લાઇન ઇન્ટરફેસ

આદેશ વાક્ય ઈન્ટરફેસ સાથે ક્રિયાપ્રતિક્રિયા. આદેશ વાક્ય ઈન્ટરફેસ સ્થાનિક રીતે અથવા દૂરસ્થ રીતે સંપર્ક કરી શકાય છે, ઉદાહરણ તરીકે દૂરસ્થ ઍક્સેસ ઉપયોગિતાઓનો ઉપયોગ કરીને.

PT NAD શું કરે છે?: વિવિધ આદેશ વાક્ય ઉપયોગિતાઓ, જેમ કે ping, ifconfig લોન્ચ કરવા માટેના આદેશોના પ્રતિસાદોના આધારે શેલોની હાજરી આપમેળે શોધે છે.

3. T1175: ઘટક ઑબ્જેક્ટ મોડેલ અને વિતરિત COM

નેટવર્ક પર ખસેડતી વખતે સ્થાનિક અથવા દૂરસ્થ સિસ્ટમો પર કોડ ચલાવવા માટે COM અથવા DCOM તકનીકોનો ઉપયોગ.

PT NAD શું કરે છે?: શંકાસ્પદ DCOM કૉલ્સ શોધે છે જેનો ઉપયોગ હુમલાખોરો સામાન્ય રીતે પ્રોગ્રામ શરૂ કરવા માટે કરે છે.

4. T1203: ક્લાઈન્ટ એક્ઝેક્યુશન માટે શોષણ

વર્કસ્ટેશન પર મનસ્વી કોડ ચલાવવા માટે નબળાઈઓનું શોષણ. હુમલાખોરો માટે સૌથી ઉપયોગી શોષણ તે છે જે કોડને રિમોટ સિસ્ટમ પર ચલાવવાની મંજૂરી આપે છે, કારણ કે તેઓ હુમલાખોરોને તે સિસ્ટમમાં પ્રવેશ મેળવવાની મંજૂરી આપી શકે છે. નીચેની પદ્ધતિઓનો ઉપયોગ કરીને તકનીકનો અમલ કરી શકાય છે: દૂષિત મેઇલિંગ, બ્રાઉઝર શોષણ સાથેની વેબસાઇટ અને એપ્લિકેશન નબળાઈઓનું દૂરસ્થ શોષણ.

PT NAD શું કરે છે?: મેઇલ ટ્રાફિકને પાર્સ કરતી વખતે, PT NAD તેને જોડાણોમાં એક્ઝિક્યુટેબલ ફાઇલોની હાજરી માટે તપાસે છે. ઑટોમૅટિક રીતે ઇમેઇલ્સમાંથી ઑફિસ દસ્તાવેજો કાઢે છે જેમાં શોષણ શામેલ હોઈ શકે છે. નબળાઈઓનો ઉપયોગ કરવાના પ્રયાસો ટ્રાફિકમાં દેખાય છે, જેને PT NAD આપમેળે શોધી કાઢે છે.

5. T1170: mshta

mshta.exe ઉપયોગિતાનો ઉપયોગ કરો, જે .hta એક્સ્ટેંશન સાથે Microsoft HTML એપ્લિકેશન્સ (HTA) ચલાવે છે. કારણ કે mshta બ્રાઉઝર સુરક્ષા સેટિંગ્સને બાયપાસ કરીને ફાઇલોને પ્રક્રિયા કરે છે, હુમલાખોરો દૂષિત HTA, JavaScript અથવા VBScript ફાઇલોને ચલાવવા માટે mshta.exe નો ઉપયોગ કરી શકે છે.

PT NAD શું કરે છે?: .hta ફાઇલો mshta દ્વારા એક્ઝેક્યુશન માટે નેટવર્ક પર પણ પ્રસારિત થાય છે - આ ટ્રાફિકમાં જોઈ શકાય છે. PT NAD આવી દૂષિત ફાઇલોના ટ્રાન્સફરને આપમેળે શોધી કાઢે છે. તે ફાઇલોને કેપ્ચર કરે છે, અને તેમના વિશેની માહિતી સત્ર કાર્ડમાં જોઈ શકાય છે.

6. T1086: પાવરશેલ

માહિતી શોધવા અને દૂષિત કોડ ચલાવવા માટે PowerShell નો ઉપયોગ કરવો.

PT NAD શું કરે છે?: જ્યારે PowerShell નો ઉપયોગ રિમોટ હુમલાખોરો દ્વારા કરવામાં આવે છે, ત્યારે PT NAD નિયમોનો ઉપયોગ કરીને આને શોધી કાઢે છે. તે પાવરશેલ ભાષાના કીવર્ડ્સ શોધે છે જેનો ઉપયોગ મોટાભાગે દૂષિત સ્ક્રિપ્ટ્સમાં થાય છે અને SMB પ્રોટોકોલ પર પાવરશેલ સ્ક્રિપ્ટ્સના ટ્રાન્સમિશનમાં થાય છે.

7. T1053: સુનિશ્ચિત કાર્ય
ચોક્કસ સમયે પ્રોગ્રામ્સ અથવા સ્ક્રિપ્ટ્સને આપમેળે ચલાવવા માટે Windows ટાસ્ક શેડ્યૂલર અને અન્ય ઉપયોગિતાઓનો ઉપયોગ કરવો.

PT NAD શું કરે છે?: હુમલાખોરો આવા કાર્યો બનાવે છે, સામાન્ય રીતે દૂરસ્થ રીતે, જેનો અર્થ છે કે આવા સત્રો ટ્રાફિકમાં દેખાય છે. PT NAD આપમેળે ATSVC અને ITaskSchedulerService RPC ઇન્ટરફેસનો ઉપયોગ કરીને શંકાસ્પદ કાર્ય બનાવટ અને ફેરફારની કામગીરી શોધી કાઢે છે.

8. T1064: સ્ક્રિપ્ટીંગ

હુમલાખોરોની વિવિધ ક્રિયાઓને સ્વચાલિત કરવા માટે સ્ક્રિપ્ટનો અમલ.

PT NAD શું કરે છે?: નેટવર્ક પર સ્ક્રિપ્ટ્સનું ટ્રાન્સમિશન શોધે છે, એટલે કે, તેઓ લોન્ચ થાય તે પહેલાં જ. તે કાચા ટ્રાફિકમાં સ્ક્રિપ્ટ સામગ્રીને શોધે છે અને લોકપ્રિય સ્ક્રિપ્ટીંગ ભાષાઓને અનુરૂપ એક્સ્ટેંશન સાથે ફાઇલોના નેટવર્ક ટ્રાન્સમિશનને શોધે છે.

9. T1035: સેવા અમલ

સર્વિસ કંટ્રોલ મેનેજર (SCM) જેવી Windows સેવાઓ સાથે ક્રિયાપ્રતિક્રિયા કરીને એક્ઝિક્યુટેબલ ફાઇલ, કમાન્ડ લાઇન ઇન્ટરફેસ સૂચનાઓ અથવા સ્ક્રિપ્ટ ચલાવો.

PT NAD શું કરે છે?: SMB ટ્રાફિકનું નિરીક્ષણ કરે છે અને સેવા બનાવવા, બદલવા અને શરૂ કરવાના નિયમો સાથે SCM ની ઍક્સેસ શોધે છે.

રિમોટ કમાન્ડ એક્ઝેક્યુશન યુટિલિટી PSExec નો ઉપયોગ કરીને સર્વિસ સ્ટાર્ટઅપ ટેકનિકનો અમલ કરી શકાય છે. PT NAD SMB પ્રોટોકોલનું વિશ્લેષણ કરે છે અને PSExec નો ઉપયોગ શોધે છે જ્યારે તે PSEXESVC.exe ફાઇલ અથવા સ્ટાન્ડર્ડ PSEXECSVC સેવા નામનો ઉપયોગ રિમોટ મશીન પર કોડ ચલાવવા માટે કરે છે. વપરાશકર્તાને એક્ઝિક્યુટેડ કમાન્ડ્સની યાદી અને હોસ્ટ તરફથી રિમોટ કમાન્ડ એક્ઝેક્યુશનની કાયદેસરતા તપાસવાની જરૂર છે.

PT NAD માં એટેક કાર્ડ એટીટી એન્ડ સીકે ​​મેટ્રિક્સ અનુસાર વપરાતી યુક્તિઓ અને તકનીકોનો ડેટા દર્શાવે છે જેથી વપરાશકર્તા સમજી શકે કે હુમલાખોરો કયા તબક્કામાં છે, તેઓ કયા ધ્યેયનો પીછો કરી રહ્યા છે અને કયા વળતરના પગલાં લેવાના છે.

PSExec ઉપયોગિતાનો ઉપયોગ કરવા અંગેનો નિયમ ટ્રિગર થયો છે, જે રિમોટ મશીન પર આદેશો ચલાવવાનો પ્રયાસ સૂચવી શકે છે.

10. T1072: તૃતીય-પક્ષ સોફ્ટવેર

એક તકનીક જેમાં હુમલાખોરો રિમોટ એડમિનિસ્ટ્રેશન સોફ્ટવેર અથવા કોર્પોરેટ સોફ્ટવેર ડિપ્લોયમેન્ટ સિસ્ટમની ઍક્સેસ મેળવે છે અને દૂષિત કોડ ચલાવવા માટે તેનો ઉપયોગ કરે છે. આવા સોફ્ટવેરનાં ઉદાહરણો: SCCM, VNC, TeamViewer, HBSS, Altiris.
માર્ગ દ્વારા, આ તકનીક ખાસ કરીને દૂરસ્થ કાર્યમાં મોટા સંક્રમણ અને પરિણામે, શંકાસ્પદ રિમોટ એક્સેસ ચેનલો દ્વારા અસંખ્ય અસુરક્ષિત ઘરના ઉપકરણોના જોડાણ સાથે સંબંધિત છે.

PT NAD શું કરે છે?: નેટવર્ક પર આવા સોફ્ટવેરની કામગીરીને આપમેળે શોધી કાઢે છે. ઉદાહરણ તરીકે, નિયમો VNC પ્રોટોકોલ દ્વારા જોડાણો અને EvilVNC ટ્રોજનની પ્રવૃત્તિ દ્વારા ટ્રિગર થાય છે, જે પીડિતના હોસ્ટ પર ગુપ્ત રીતે VNC સર્વર ઇન્સ્ટોલ કરે છે અને તેને આપમેળે લોંચ કરે છે. ઉપરાંત, PT NAD આપમેળે TeamViewer પ્રોટોકોલ શોધી કાઢે છે, આ વિશ્લેષકને, ફિલ્ટરનો ઉપયોગ કરીને, આવા તમામ સત્રો શોધવા અને તેમની કાયદેસરતા તપાસવામાં મદદ કરે છે.

11. T1204: વપરાશકર્તા અમલ

એક તકનીક જેમાં વપરાશકર્તા ફાઇલો ચલાવે છે જે કોડ એક્ઝેક્યુશન તરફ દોરી શકે છે. આ હોઈ શકે છે, ઉદાહરણ તરીકે, જો તે એક્ઝિક્યુટેબલ ફાઇલ ખોલે અથવા મેક્રો સાથે ઓફિસ દસ્તાવેજ ચલાવે.

PT NAD શું કરે છે?: આવી ફાઇલો લોંચ થાય તે પહેલા ટ્રાન્સફર સ્ટેજ પર જુએ છે. તેમના વિશેની માહિતી સત્રોના કાર્ડમાં અભ્યાસ કરી શકાય છે જેમાં તેઓ પ્રસારિત થયા હતા.

12. T1047: વિન્ડોઝ મેનેજમેન્ટ ઇન્સ્ટ્રુમેન્ટેશન

WMI ટૂલનો ઉપયોગ, જે Windows સિસ્ટમ ઘટકોને સ્થાનિક અને દૂરસ્થ ઍક્સેસ પ્રદાન કરે છે. WMI નો ઉપયોગ કરીને, હુમલાખોરો સ્થાનિક અને રિમોટ સિસ્ટમ્સ સાથે ક્રિયાપ્રતિક્રિયા કરી શકે છે અને વિવિધ કાર્યો કરી શકે છે, જેમ કે રિકોનિસન્સ હેતુઓ માટે માહિતી એકઠી કરવી અને બાજુમાં ખસેડતી વખતે રિમોટલી પ્રક્રિયાઓ શરૂ કરવી.

PT NAD શું કરે છે?: WMI દ્વારા રિમોટ સિસ્ટમ્સ સાથેની ક્રિયાપ્રતિક્રિયાઓ ટ્રાફિકમાં દૃશ્યમાન હોવાથી, PT NAD WMI સત્રો સ્થાપિત કરવા માટે નેટવર્ક વિનંતીઓ આપમેળે શોધી કાઢે છે અને WMI નો ઉપયોગ કરતી સ્ક્રિપ્ટ્સ માટે ટ્રાફિક તપાસે છે.

13. T1028: વિન્ડોઝ રીમોટ મેનેજમેન્ટ

વિન્ડોઝ સેવા અને પ્રોટોકોલનો ઉપયોગ કરીને જે વપરાશકર્તાને રિમોટ સિસ્ટમ્સ સાથે ક્રિયાપ્રતિક્રિયા કરવાની મંજૂરી આપે છે.

PT NAD શું કરે છે?: વિન્ડોઝ રીમોટ મેનેજમેન્ટનો ઉપયોગ કરીને સ્થાપિત થયેલ નેટવર્ક જોડાણો જુએ છે. આવા સત્રો નિયમો દ્વારા આપમેળે શોધી કાઢવામાં આવે છે.

14. T1220: XSL (એક્સ્ટેન્સિબલ સ્ટાઇલશીટ લેંગ્વેજ) સ્ક્રિપ્ટ પ્રોસેસિંગ

XSL શૈલી માર્કઅપ ભાષાનો ઉપયોગ XML ફાઇલોમાં ડેટાની પ્રક્રિયા અને વિઝ્યુલાઇઝેશનનું વર્ણન કરવા માટે થાય છે. જટિલ કામગીરીને ટેકો આપવા માટે, XSL સ્ટાન્ડર્ડમાં વિવિધ ભાષાઓમાં એમ્બેડેડ સ્ક્રિપ્ટો માટે સપોર્ટનો સમાવેશ થાય છે. આ ભાષાઓ મનસ્વી કોડના અમલને મંજૂરી આપે છે, જે સફેદ સૂચિ પર આધારિત સુરક્ષા નીતિઓને બાયપાસ તરફ દોરી જાય છે.

PT NAD શું કરે છે?: નેટવર્ક પર આવી ફાઇલોના સ્થાનાંતરણને શોધે છે, એટલે કે, તે લોંચ થાય તે પહેલાં જ. તે આપમેળે નેટવર્ક પર પ્રસારિત થતી XSL ફાઇલો અને અસંગત XSL માર્કઅપવાળી ફાઇલોને શોધે છે.

નીચેની સામગ્રીમાં, અમે જોઈશું કે કેવી રીતે PT નેટવર્ક એટેક ડિસ્કવરી NTA સિસ્ટમ MITER ATT&CK અનુસાર અન્ય હુમલાખોરોની યુક્તિઓ અને તકનીકો શોધે છે. જોડાયેલા રહો!

લેખકો:

• એન્ટોન કુટેપોવ, પીટી એક્સપર્ટ સિક્યુરિટી સેન્ટર, પોઝીટીવ ટેક્નોલોજીસના નિષ્ણાત
• નતાલિયા કાઝાન્કોવા, પોઝિટિવ ટેક્નોલોજીસ ખાતે પ્રોડક્ટ માર્કેટર

સોર્સ: www.habr.com