અકથ્ય આકર્ષક: અમે કેવી રીતે એક હનીપોટ બનાવ્યો જેનો ખુલાસો કરી શકાતો નથી

એન્ટિવાયરસ કંપનીઓ, માહિતી સુરક્ષા નિષ્ણાતો અને ફક્ત ઉત્સાહીઓ વાયરસના નવા પ્રકારને "પકડવા" અથવા અસામાન્ય હેકર યુક્તિઓને ઓળખવા માટે ઇન્ટરનેટ પર હનીપોટ સિસ્ટમ્સ મૂકે છે. હનીપોટ્સ એટલા સામાન્ય છે કે સાયબર અપરાધીઓએ એક પ્રકારની રોગપ્રતિકારક શક્તિ વિકસાવી છે: તેઓ ઝડપથી ઓળખી કાઢે છે કે તેઓ કોઈ જાળની સામે છે અને તેને અવગણે છે. આધુનિક હેકર્સની યુક્તિઓનું અન્વેષણ કરવા માટે, અમે એક વાસ્તવિક હનીપોટ બનાવ્યું છે જે ઇન્ટરનેટ પર સાત મહિના સુધી રહે છે, વિવિધ પ્રકારના હુમલાઓને આકર્ષિત કરે છે. અમે અમારા અભ્યાસમાં આ કેવી રીતે થયું તે વિશે વાત કરી"એક્ટમાં પકડાયો: વાસ્તવિક ધમકીઓને પકડવા માટે વાસ્તવિક ફેક્ટરી હનીપોટ ચલાવવી" અભ્યાસમાંથી કેટલાક તથ્યો આ પોસ્ટમાં છે.

હનીપોટ વિકાસ: ચેકલિસ્ટ

અમારું સુપરટ્રેપ બનાવવાનું મુખ્ય કાર્ય અમને હેકર્સ દ્વારા ખુલ્લા થવાથી અટકાવવાનું હતું જેમણે તેમાં રસ દર્શાવ્યો હતો. આને ઘણું કામ કરવાની જરૂર છે:

1. કંપની વિશે એક વાસ્તવિક દંતકથા બનાવો, જેમાં કર્મચારીઓના સંપૂર્ણ નામ અને ફોટા, ફોન નંબર અને ઇમેઇલ્સનો સમાવેશ થાય છે.
2. અમારી કંપનીની પ્રવૃત્તિઓ વિશેની દંતકથાને અનુરૂપ ઔદ્યોગિક ઈન્ફ્રાસ્ટ્રક્ચરનું મોડેલ લાવવા અને અમલમાં મૂકવા.
3. નક્કી કરો કે કઈ નેટવર્ક સેવાઓ બહારથી સુલભ હશે, પરંતુ સંવેદનશીલ બંદરો ખોલવાથી દૂર ન થાઓ જેથી કરીને તે શોષકો માટે છટકું જેવું ન લાગે.
4. સંવેદનશીલ સિસ્ટમ વિશે માહિતી લીક થવાની દૃશ્યતાને ગોઠવો અને સંભવિત હુમલાખોરોમાં આ માહિતીનું વિતરણ કરો.
5. હનીપોટ ઈન્ફ્રાસ્ટ્રક્ચરમાં હેકર પ્રવૃત્તિઓનું સમજદાર દેખરેખ લાગુ કરો.

અને હવે પ્રથમ વસ્તુઓ પ્રથમ.

એક દંતકથા બનાવવી

સાયબર અપરાધીઓ પહેલેથી જ ઘણા હનીપોટ્સનો સામનો કરવા માટે ઉપયોગમાં લેવાય છે, તેથી તેમાંથી સૌથી અદ્યતન ભાગ દરેક સંવેદનશીલ સિસ્ટમની ઊંડાણપૂર્વક તપાસ કરે છે તેની ખાતરી કરવા માટે કે તે છટકું નથી. આ જ કારણસર, અમે એ સુનિશ્ચિત કરવાનો પ્રયાસ કર્યો કે હનીપોટ માત્ર ડિઝાઇન અને ટેકનિકલ પાસાઓની દ્રષ્ટિએ જ વાસ્તવિક નથી, પણ વાસ્તવિક કંપનીનો દેખાવ પણ બનાવવાનો છે.

કાલ્પનિક કૂલ હેકરના પગરખાંમાં આપણી જાતને મૂકીને, અમે એક વેરિફિકેશન અલ્ગોરિધમ વિકસાવ્યું છે જે વાસ્તવિક સિસ્ટમને ટ્રેપથી અલગ પાડશે. તેમાં રેપ્યુટેશન સિસ્ટમ્સમાં કંપનીના IP એડ્રેસની શોધ, IP એડ્રેસના ઈતિહાસમાં રિવર્સ રિસર્ચ, કંપની તેમજ તેના કાઉન્ટરપાર્ટી સંબંધિત નામો અને કીવર્ડ્સની શોધ અને અન્ય ઘણી બાબતોનો સમાવેશ થાય છે. પરિણામે, દંતકથા તદ્દન ખાતરીપૂર્વક અને આકર્ષક બની.

અમે ડિકોય ફેક્ટરીને લશ્કરી અને ઉડ્ડયન સેગમેન્ટમાં ખૂબ મોટા અનામી ગ્રાહકો માટે કામ કરતા નાના ઔદ્યોગિક પ્રોટોટાઇપિંગ બુટિક તરીકે સ્થાન આપવાનું નક્કી કર્યું. આનાથી અમને હાલની બ્રાન્ડના ઉપયોગ સાથે સંકળાયેલી કાનૂની ગૂંચવણોમાંથી મુક્તિ મળી.

આગળ અમારે સંસ્થા માટે વિઝન, મિશન અને નામ સાથે આવવાનું હતું. અમે નક્કી કર્યું છે કે અમારી કંપની થોડી સંખ્યામાં કર્મચારીઓ સાથે સ્ટાર્ટઅપ હશે, જેમાંના દરેક સ્થાપક છે. આ અમારા વ્યવસાયની વિશિષ્ટ પ્રકૃતિની વાર્તામાં વિશ્વસનીયતા ઉમેરે છે, જે તેને મોટા અને મહત્વપૂર્ણ ગ્રાહકો માટે સંવેદનશીલ પ્રોજેક્ટ્સને હેન્ડલ કરવાની મંજૂરી આપે છે. અમે અમારી કંપની સાયબર સુરક્ષા પરિપ્રેક્ષ્યમાં નબળી દેખાય તેવું ઇચ્છતા હતા, પરંતુ તે જ સમયે તે સ્પષ્ટ હતું કે અમે લક્ષ્ય સિસ્ટમ્સ પર મહત્વપૂર્ણ સંપત્તિઓ સાથે કામ કરી રહ્યા છીએ.

MeTech હનીપોટ વેબસાઇટનો સ્ક્રીનશૉટ. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

અમે કંપનીના નામ તરીકે MeTech શબ્દ પસંદ કર્યો છે. સાઇટ મફત નમૂનાના આધારે બનાવવામાં આવી હતી. છબીઓ ફોટો બેંકોમાંથી લેવામાં આવી હતી, જેમાં સૌથી વધુ અપ્રિય લોકોનો ઉપયોગ કરીને અને તેમને ઓછા ઓળખી શકાય તેવા બનાવવા માટે તેમાં ફેરફાર કરીને.

અમે ઇચ્છીએ છીએ કે કંપની વાસ્તવિક દેખાય, તેથી અમારે પ્રવૃત્તિની પ્રોફાઇલ સાથે મેળ ખાતા વ્યાવસાયિક કુશળતા ધરાવતા કર્મચારીઓને ઉમેરવાની જરૂર છે. અમે તેમના માટે નામો અને વ્યક્તિત્વો સાથે આવ્યા અને પછી વંશીયતા અનુસાર ફોટો બેંકમાંથી છબીઓ પસંદ કરવાનો પ્રયાસ કર્યો.

MeTech હનીપોટ વેબસાઇટનો સ્ક્રીનશૉટ. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

શોધવામાં ન આવે તે માટે, અમે સારી ગુણવત્તાવાળા જૂથ ફોટાઓ શોધી કાઢ્યા જેમાંથી અમે અમને જોઈતા ચહેરા પસંદ કરી શકીએ. જો કે, અમે પછી આ વિકલ્પ છોડી દીધો, કારણ કે સંભવિત હેકર રિવર્સ ઇમેજ શોધનો ઉપયોગ કરી શકે છે અને શોધી શકે છે કે અમારા "કર્મચારીઓ" ફક્ત ફોટો બેંકોમાં જ રહે છે. અંતે, અમે ન્યુરલ નેટવર્કનો ઉપયોગ કરીને બનાવેલા અસ્તિત્વમાં નથી તેવા લોકોના ફોટોગ્રાફ્સનો ઉપયોગ કર્યો.

સાઇટ પર પ્રકાશિત કર્મચારી પ્રોફાઇલ્સમાં તેમની ટેકનિકલ કૌશલ્યો વિશે મહત્વપૂર્ણ માહિતી હતી, પરંતુ અમે ચોક્કસ શાળાઓ અથવા શહેરોને ઓળખવાનું ટાળ્યું હતું.
મેઈલબોક્સ બનાવવા માટે, અમે હોસ્ટિંગ પ્રદાતાના સર્વરનો ઉપયોગ કર્યો, અને પછી યુનાઈટેડ સ્ટેટ્સમાં ઘણા ટેલિફોન નંબરો ભાડે લીધા અને તેમને વૉઇસ મેનૂ અને આન્સરિંગ મશીન સાથે વર્ચ્યુઅલ PBX માં જોડ્યા.

હનીપોટ ઈન્ફ્રાસ્ટ્રક્ચર

એક્સપોઝર ટાળવા માટે, અમે વાસ્તવિક ઔદ્યોગિક હાર્ડવેર, ભૌતિક કમ્પ્યુટર્સ અને સુરક્ષિત વર્ચ્યુઅલ મશીનોના સંયોજનનો ઉપયોગ કરવાનું નક્કી કર્યું. આગળ જોતાં, અમે કહીશું કે અમે શોદાન સર્ચ એન્જિનનો ઉપયોગ કરીને અમારા પ્રયત્નોનું પરિણામ તપાસ્યું, અને તે દર્શાવે છે કે હનીપોટ વાસ્તવિક ઔદ્યોગિક સિસ્ટમ જેવો દેખાય છે.

શોદાનનો ઉપયોગ કરીને હનીપોટ સ્કેન કરવાનું પરિણામ. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

અમે અમારા ટ્રેપ માટે હાર્ડવેર તરીકે ચાર PLC નો ઉપયોગ કર્યો:

• સિમેન્સ S7-1200,
• બે એલનબ્રેડલી માઈક્રોલોગિક્સ 1100,
• ઓમરોન CP1L.

આ PLC વૈશ્વિક નિયંત્રણ સિસ્ટમ બજારમાં તેમની લોકપ્રિયતા માટે પસંદ કરવામાં આવ્યા હતા. અને આમાંના દરેક નિયંત્રકો તેના પોતાના પ્રોટોકોલનો ઉપયોગ કરે છે, જે અમને એ તપાસવાની મંજૂરી આપે છે કે કયા PLC પર વધુ વખત હુમલો કરવામાં આવશે અને તેઓ સિદ્ધાંતમાં કોઈને રસ લેશે કે કેમ.

અમારા "ફૅક્ટરી" ના સાધનો - છટકું. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

અમે ફક્ત હાર્ડવેર ઇન્સ્ટોલ કર્યું નથી અને તેને ઇન્ટરનેટથી કનેક્ટ કર્યું છે. અમે દરેક નિયંત્રકને કાર્યો કરવા માટે પ્રોગ્રામ કર્યા છે, જેમાં સમાવેશ થાય છે

• મિશ્રણ
• બર્નર અને કન્વેયર બેલ્ટ નિયંત્રણ,
• રોબોટિક મેનિપ્યુલેટરનો ઉપયોગ કરીને પેલેટાઇઝિંગ.

અને ઉત્પાદન પ્રક્રિયાને વાસ્તવિક બનાવવા માટે, અમે પ્રતિસાદના પરિમાણોને અવ્યવસ્થિત રીતે બદલવા, મોટર્સ શરૂ અને બંધ કરવા અને બર્નર ચાલુ અને બંધ કરવા માટે અનુકરણ કરવા માટે તર્કને પ્રોગ્રામ કર્યો છે.

અમારી ફેક્ટરીમાં ત્રણ વર્ચ્યુઅલ કમ્પ્યુટર અને એક ભૌતિક કમ્પ્યુટર હતું. વર્ચ્યુઅલ કમ્પ્યુટર્સનો ઉપયોગ પ્લાન્ટને નિયંત્રિત કરવા માટે, એક પેલેટાઈઝર રોબોટ અને PLC સોફ્ટવેર એન્જિનિયર માટે વર્કસ્ટેશન તરીકે કરવામાં આવતો હતો. ભૌતિક કમ્પ્યુટર ફાઇલ સર્વર તરીકે કામ કરે છે.

PLC પરના હુમલાઓનું નિરીક્ષણ કરવા ઉપરાંત, અમે અમારા ઉપકરણો પર લોડ થયેલા પ્રોગ્રામ્સની સ્થિતિનું નિરીક્ષણ કરવા માગીએ છીએ. આ કરવા માટે, અમે એક ઇન્ટરફેસ બનાવ્યું છે જે અમને ઝડપથી નિર્ધારિત કરવાની મંજૂરી આપે છે કે અમારા વર્ચ્યુઅલ એક્ટ્યુએટર અને ઇન્સ્ટોલેશનની સ્થિતિ કેવી રીતે સંશોધિત કરવામાં આવી હતી. પહેલેથી જ આયોજનના તબક્કે, અમે શોધ્યું છે કે નિયંત્રક તર્કના સીધા પ્રોગ્રામિંગ કરતાં નિયંત્રણ પ્રોગ્રામનો ઉપયોગ કરીને આને અમલમાં મૂકવું ખૂબ સરળ છે. અમે પાસવર્ડ વિના VNC મારફત અમારા હનીપોટના ઉપકરણ સંચાલન ઇન્ટરફેસની ઍક્સેસ ખોલી.

ઔદ્યોગિક રોબોટ્સ એ આધુનિક સ્માર્ટ મેન્યુફેક્ચરિંગનું મુખ્ય ઘટક છે. આ સંદર્ભમાં, અમે અમારી ટ્રેપ ફેક્ટરીના સાધનોમાં તેને નિયંત્રિત કરવા માટે એક રોબોટ અને સ્વયંસંચાલિત કાર્યસ્થળ ઉમેરવાનું નક્કી કર્યું. "ફેક્ટરી" ને વધુ વાસ્તવિક બનાવવા માટે, અમે કંટ્રોલ વર્કસ્ટેશન પર વાસ્તવિક સોફ્ટવેર ઇન્સ્ટોલ કર્યું છે, જેનો ઉપયોગ એન્જિનિયરો રોબોટના તર્કને ગ્રાફિકલી પ્રોગ્રામ કરવા માટે કરે છે. ઠીક છે, કારણ કે ઔદ્યોગિક રોબોટ્સ સામાન્ય રીતે એક અલગ આંતરિક નેટવર્કમાં સ્થિત હોય છે, અમે VNC મારફત માત્ર નિયંત્રણ વર્કસ્ટેશન પર અસુરક્ષિત ઍક્સેસ છોડવાનું નક્કી કર્યું છે.

અમારા રોબોટના 3D મોડલ સાથે RobotStudio પર્યાવરણ. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

અમે રોબોટ કંટ્રોલ વર્કસ્ટેશન સાથે વર્ચ્યુઅલ મશીન પર ABB રોબોટિક્સમાંથી રોબોટસ્ટુડિયો પ્રોગ્રામિંગ એન્વાયર્નમેન્ટ ઇન્સ્ટોલ કર્યું છે. RobotStudio ની ગોઠવણી કર્યા પછી, અમે તેમાં અમારા રોબોટ સાથે એક સિમ્યુલેશન ફાઇલ ખોલી જેથી તેની 3D ઇમેજ સ્ક્રીન પર દેખાય. પરિણામે, Shodan અને અન્ય સર્ચ એન્જિન, અસુરક્ષિત VNC સર્વરને શોધવા પર, આ સ્ક્રીન ઇમેજને પકડી લેશે અને જેઓ નિયંત્રણની ખુલ્લી ઍક્સેસ સાથે ઔદ્યોગિક રોબોટ્સ શોધી રહ્યા છે તેમને તે બતાવશે.

વિગત પર આ ધ્યાન આપવાનો મુદ્દો હુમલાખોરો માટે એક આકર્ષક અને વાસ્તવિક લક્ષ્ય બનાવવાનો હતો, જે એકવાર તેઓને મળી જાય, તે ફરીથી અને ફરીથી તેના પર પાછા ફરશે.

એન્જિનિયરનું વર્કસ્ટેશન

PLC તર્કને પ્રોગ્રામ કરવા માટે, અમે ઇન્ફ્રાસ્ટ્રક્ચરમાં એન્જિનિયરિંગ કમ્પ્યુટર ઉમેર્યું છે. PLC પ્રોગ્રામિંગ માટે ઔદ્યોગિક સૉફ્ટવેર તેના પર ઇન્સ્ટોલ કરવામાં આવ્યું હતું:

• સિમેન્સ માટે TIA પોર્ટલ,
• એલન-બ્રેડલી નિયંત્રક માટે માઇક્રોલોગિક્સ,
• Omron માટે CX-One.

અમે નક્કી કર્યું કે એન્જિનિયરિંગ વર્કસ્પેસ નેટવર્કની બહાર ઍક્સેસિબલ રહેશે નહીં. તેના બદલે, અમે એડમિનિસ્ટ્રેટર એકાઉન્ટ માટે રોબોટ કંટ્રોલ વર્કસ્ટેશન અને ઈન્ટરનેટથી સુલભ ફેક્ટરી કંટ્રોલ વર્કસ્ટેશન માટે સમાન પાસવર્ડ સેટ કરીએ છીએ. આ રૂપરેખાંકન ઘણી કંપનીઓમાં એકદમ સામાન્ય છે.
કમનસીબે, અમારા તમામ પ્રયાસો છતાં, એક પણ હુમલાખોર એન્જિનિયરના વર્કસ્ટેશન સુધી પહોંચ્યો ન હતો.

ફાઇલ સર્વર

અમને હુમલાખોરો માટે લાલચ તરીકે અને ડેકોય ફેક્ટરીમાં અમારા પોતાના "કામ" ને સમર્થન આપવાના સાધન તરીકે તેની જરૂર હતી. આનાથી અમને હનીપોટ નેટવર્ક પર કોઈ નિશાન છોડ્યા વિના USB ઉપકરણોનો ઉપયોગ કરીને અમારા હનીપોટ સાથે ફાઇલો શેર કરવાની મંજૂરી મળી. અમે Windows 7 Pro ને ફાઇલ સર્વર માટે OS તરીકે ઇન્સ્ટોલ કર્યું છે, જેમાં અમે એક શેર કરેલ ફોલ્ડર બનાવ્યું છે જે કોઈપણ વાંચી અને લખી શકે છે.

શરૂઆતમાં અમે ફાઇલ સર્વર પર ફોલ્ડર્સ અને દસ્તાવેજોની કોઈપણ વંશવેલો બનાવી નથી. જો કે, અમે પછીથી શોધ્યું કે હુમલાખોરો આ ફોલ્ડરનો સક્રિયપણે અભ્યાસ કરી રહ્યા હતા, તેથી અમે તેને વિવિધ ફાઇલોથી ભરવાનું નક્કી કર્યું. આ કરવા માટે, અમે એક પાયથોન સ્ક્રિપ્ટ લખી છે જેણે આપેલ એક્સ્ટેંશનમાંથી એક સાથે રેન્ડમ સાઇઝની ફાઇલ બનાવી છે, જે ડિક્શનરીના આધારે નામ બનાવે છે.

આકર્ષક ફાઇલ નામો બનાવવા માટેની સ્ક્રિપ્ટ. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

સ્ક્રિપ્ટ ચલાવ્યા પછી, અમને ખૂબ જ રસપ્રદ નામોવાળી ફાઇલોથી ભરેલા ફોલ્ડરના સ્વરૂપમાં ઇચ્છિત પરિણામ મળ્યું.

સ્ક્રિપ્ટનું પરિણામ. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

મોનીટરીંગ પર્યાવરણ

એક વાસ્તવિક કંપની બનાવવા માટે ખૂબ જ પ્રયત્નો કર્યા પછી, અમે અમારા "મુલાકાતીઓ" પર દેખરેખ રાખવા માટે પર્યાવરણ પર નિષ્ફળ રહેવાનું પરવડી શકતા નથી. હુમલાખોરોને ખ્યાલ ન આવે કે તેઓ નિહાળવામાં આવી રહ્યા છે, અમને વાસ્તવિક સમયમાં તમામ ડેટા મેળવવાની જરૂર હતી.

અમે ચાર USB થી ઇથરનેટ એડેપ્ટર, ચાર SharkTap ઇથરનેટ ટેપ્સ, રાસ્પબેરી Pi 3 અને મોટી બાહ્ય ડ્રાઇવનો ઉપયોગ કરીને આને અમલમાં મૂક્યું છે. અમારું નેટવર્ક ડાયાગ્રામ આના જેવો દેખાતો હતો:

મોનિટરિંગ સાધનો સાથે હનીપોટ નેટવર્ક ડાયાગ્રામ. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

અમે ત્રણ SharkTap ટેપ મૂક્યા છે જેથી કરીને PLC પરના તમામ બાહ્ય ટ્રાફિકને મોનિટર કરી શકાય, ફક્ત આંતરિક નેટવર્કથી જ ઍક્સેસ કરી શકાય. ચોથા SharkTap એ સંવેદનશીલ વર્ચ્યુઅલ મશીનના મહેમાનોના ટ્રાફિકનું નિરીક્ષણ કર્યું.

SharkTap ઈથરનેટ ટેપ અને સિએરા વાયરલેસ એરલિંક RV50 રાઉટર. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

રાસ્પબેરી પી એ દૈનિક ટ્રાફિક કેપ્ચર કર્યું. અમે Sierra Wireless AirLink RV50 સેલ્યુલર રાઉટરનો ઉપયોગ કરીને ઈન્ટરનેટ સાથે કનેક્ટ કર્યું છે, જેનો વારંવાર ઔદ્યોગિક સાહસોમાં ઉપયોગ થાય છે.

કમનસીબે, આ રાઉટરે અમારી યોજનાઓ સાથે મેળ ખાતા ન હોય તેવા હુમલાઓને પસંદગીપૂર્વક અવરોધિત કરવાની મંજૂરી આપી નથી, તેથી અમે નેટવર્ક પર ન્યૂનતમ અસર સાથે બ્લોકિંગ કરવા માટે પારદર્શક મોડમાં નેટવર્કમાં Cisco ASA 5505 ફાયરવોલ ઉમેર્યું છે.

ટ્રાફિક વિશ્લેષણ

Tshark અને tcpdump વર્તમાન સમસ્યાઓને ઝડપથી ઉકેલવા માટે યોગ્ય છે, પરંતુ અમારા કિસ્સામાં તેમની ક્ષમતાઓ પૂરતી ન હતી, કારણ કે અમારી પાસે ઘણા ગીગાબાઇટ્સ ટ્રાફિક હતા, જેનું વિશ્લેષણ ઘણા લોકો દ્વારા કરવામાં આવ્યું હતું. અમે AOL દ્વારા વિકસિત ઓપન-સોર્સ મોલોચ વિશ્લેષકનો ઉપયોગ કર્યો છે. તે વાયરશાર્ક સાથે કાર્યક્ષમતામાં તુલનાત્મક છે, પરંતુ તેમાં સહયોગ, પેકેજનું વર્ણન અને ટેગિંગ, નિકાસ અને અન્ય કાર્યો માટે વધુ ક્ષમતાઓ છે.

અમે હનીપોટ કમ્પ્યુટર્સ પર એકત્રિત ડેટા પર પ્રક્રિયા કરવા માંગતા ન હોવાથી, PCAP ડમ્પ દરરોજ AWS સ્ટોરેજમાં નિકાસ કરવામાં આવતા હતા, જ્યાંથી અમે તેને મોલોચ મશીન પર આયાત કરી ચૂક્યા હતા.

સ્ક્રીન રેકોર્ડિંગ

અમારા હનીપોટમાં હેકર્સની ક્રિયાઓનું દસ્તાવેજીકરણ કરવા માટે, અમે એક સ્ક્રિપ્ટ લખી છે જેણે આપેલ અંતરાલ પર વર્ચ્યુઅલ મશીનના સ્ક્રીનશૉટ્સ લીધા હતા અને, અગાઉના સ્ક્રીનશૉટ સાથે તેની સરખામણી કરીને, ત્યાં કંઈક થઈ રહ્યું છે કે નહીં તે નિર્ધારિત કર્યું હતું. જ્યારે પ્રવૃત્તિ શોધી કાઢવામાં આવી હતી, ત્યારે સ્ક્રિપ્ટમાં સ્ક્રીન રેકોર્ડિંગનો સમાવેશ થતો હતો. આ અભિગમ સૌથી અસરકારક હોવાનું બહાર આવ્યું છે. સિસ્ટમમાં શું ફેરફારો થયા છે તે સમજવા માટે અમે PCAP ડમ્પમાંથી VNC ટ્રાફિકનું પૃથ્થકરણ કરવાનો પણ પ્રયાસ કર્યો, પરંતુ અંતે અમે જે સ્ક્રીન રેકોર્ડિંગ અમલમાં મૂક્યું તે સરળ અને વધુ વિઝ્યુઅલ બન્યું.

VNC સત્રોની દેખરેખ

આ માટે અમે Chaosreader અને VNLogger નો ઉપયોગ કર્યો. બંને ઉપયોગિતાઓ PCAP ડમ્પમાંથી કીસ્ટ્રોક કાઢે છે, પરંતુ VNCLogger બેકસ્પેસ, એન્ટર, Ctrl જેવી કીને વધુ યોગ્ય રીતે હેન્ડલ કરે છે.

VNCLogger ના બે ગેરફાયદા છે. પ્રથમ: તે ફક્ત ઈન્ટરફેસ પર ટ્રાફિકને "સાંભળી" દ્વારા જ કીઓ કાઢી શકે છે, તેથી અમારે tcpreplay નો ઉપયોગ કરીને તેના માટે VNC સત્રનું અનુકરણ કરવું પડ્યું. VNCLogger નો બીજો ગેરલાભ Chaosreader સાથે સામાન્ય છે: તે બંને ક્લિપબોર્ડની સામગ્રીઓ બતાવતા નથી. આ કરવા માટે મારે વાયરશાર્કનો ઉપયોગ કરવો પડ્યો.

અમે હેકરોને લાલચ આપીએ છીએ

અમે હુમલો કરવા માટે હનીપોટ બનાવ્યો. આ હાંસલ કરવા માટે, અમે સંભવિત હુમલાખોરોનું ધ્યાન આકર્ષિત કરવા માટે માહિતી લીક કરી. નીચેના બંદરો હનીપોટ પર ખોલવામાં આવ્યા હતા:

અમે લાઇવ થયા પછી તરત જ RDP પોર્ટ બંધ કરવું પડ્યું કારણ કે અમારા નેટવર્ક પર મોટા પ્રમાણમાં ટ્રાફિક સ્કેનિંગને કારણે કામગીરીમાં સમસ્યાઓ આવી રહી હતી.
VNC ટર્મિનલ્સે પહેલા પાસવર્ડ વિના માત્ર-વ્યૂ મોડમાં કામ કર્યું, અને પછી અમે "ભૂલથી" તેમને સંપૂર્ણ એક્સેસ મોડ પર સ્વિચ કર્યા.

હુમલાખોરોને આકર્ષવા માટે, અમે PasteBin પર ઉપલબ્ધ ઔદ્યોગિક સિસ્ટમ વિશે લીક થયેલી માહિતી સાથે બે પોસ્ટ્સ પોસ્ટ કરી.

હુમલાઓને આકર્ષવા માટે PasteBin પર પોસ્ટ કરવામાં આવેલી પોસ્ટ્સમાંથી એક. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

હુમલાઓ

હનીપોટ લગભગ સાત મહિના સુધી ઓનલાઈન રહેતો હતો. પહેલો હુમલો હનીપોટ ઓનલાઈન થયાના એક મહિના પછી થયો હતો.

સ્કેનર્સ

જાણીતી કંપનીઓ - ip-ip, Rapid, Shadow Server, Shodan, ZoomEye અને અન્યના સ્કેનર્સથી ઘણો ટ્રાફિક હતો. તેમાંના ઘણા એવા હતા કે અમારે વિશ્લેષણમાંથી તેમના IP સરનામાઓ બાકાત રાખવા પડ્યા: 610 માંથી 9452 અથવા બધા અનન્ય IP સરનામાંઓમાંથી 6,45% સંપૂર્ણપણે કાયદેસર સ્કેનર્સનાં હતાં.

સ્કેમર્સ

અમે જે સૌથી મોટા જોખમોનો સામનો કર્યો છે તે છે અમારી સિસ્ટમનો ગુનાહિત હેતુઓ માટે ઉપયોગ: સબસ્ક્રાઇબરના ખાતા દ્વારા સ્માર્ટફોન ખરીદવા, ગિફ્ટ કાર્ડ્સનો ઉપયોગ કરીને એરલાઇન માઇલ્સ કેશ આઉટ કરવા અને અન્ય પ્રકારની છેતરપિંડી કરવી.

ખાણિયો

અમારી સિસ્ટમના પ્રથમ મુલાકાતીઓમાંથી એક ખાણિયો હોવાનું બહાર આવ્યું. તેણે તેના પર મોનેરો માઈનિંગ સોફ્ટવેર ડાઉનલોડ કર્યું. તે ઓછી ઉત્પાદકતાને કારણે અમારી ચોક્કસ સિસ્ટમ પર વધુ પૈસા કમાઈ શક્યો ન હોત. જો કે, જો આપણે આવી ઘણી ડઝન અથવા તો સેંકડો સિસ્ટમોના પ્રયત્નોને જોડીએ, તો તે ખૂબ સારી રીતે બહાર આવી શકે છે.

રેન્સમવેર

હનીપોટના કામ દરમિયાન, અમે બે વાર વાસ્તવિક રેન્સમવેર વાયરસનો સામનો કર્યો. પ્રથમ કિસ્સામાં તે Crysis હતી. તેના ઓપરેટરોએ VNC મારફતે સિસ્ટમમાં લોગ ઇન કર્યું, પરંતુ પછી ટીમવ્યુઅર ઇન્સ્ટોલ કર્યું અને આગળની ક્રિયાઓ કરવા માટે તેનો ઉપયોગ કર્યો. BTC માં $10 ની ખંડણીની માંગ કરતા ગેરવસૂલી સંદેશની રાહ જોયા પછી, અમે ગુનેગારો સાથે પત્રવ્યવહાર કર્યો, તેમને અમારા માટે ફાઇલોમાંથી એકને ડિક્રિપ્ટ કરવાનું કહ્યું. તેઓએ વિનંતીનું પાલન કર્યું અને ખંડણીની માંગણીનું પુનરાવર્તન કર્યું. અમે 6 હજાર ડોલર સુધીની વાટાઘાટ કરવામાં વ્યવસ્થાપિત થયા, ત્યારબાદ અમે સિસ્ટમને વર્ચ્યુઅલ મશીન પર ફરીથી અપલોડ કરી, કારણ કે અમને બધી જરૂરી માહિતી પ્રાપ્ત થઈ છે.

બીજો રેન્સમવેર ફોબોસ હોવાનું બહાર આવ્યું. તેને ઇન્સ્ટોલ કરનાર હેકરે હનીપોટ ફાઇલ સિસ્ટમ બ્રાઉઝ કરવામાં અને નેટવર્કને સ્કેન કરવામાં એક કલાક ગાળ્યો અને પછી છેલ્લે રેન્સમવેર ઇન્સ્ટોલ કર્યું.
ત્રીજો રેન્સમવેર એટેક નકલી નીકળ્યો. એક અજાણ્યા “હેકરે” અમારી સિસ્ટમ પર haha.bat ફાઈલ ડાઉનલોડ કરી, જે પછી તેણે તેને કામ કરવા માટે પ્રયત્ન કર્યો ત્યારે અમે થોડીવાર જોયા. એક પ્રયાસ haha.bat નું નામ haha.rnsmwr કરવાનો હતો.

"હેકર" તેના એક્સટેન્શનને .rnsmwr માં બદલીને બેટ ફાઇલની હાનિકારકતામાં વધારો કરે છે. સ્ત્રોત: ટ્રેન્ડ માઇક્રો

જ્યારે બેચ ફાઈલ આખરે ચાલવા લાગી, ત્યારે "હેકરે" તેને સંપાદિત કરી, ખંડણી $200 થી વધારીને $750 કરી. તે પછી, તેણે બધી ફાઇલોને "એનક્રિપ્ટ" કરી, ડેસ્કટૉપ પર એક ગેરવસૂલી સંદેશ છોડી દીધો અને અમારા VNC પર પાસવર્ડ્સ બદલીને અદૃશ્ય થઈ ગયો.

થોડા દિવસો પછી, હેકર પાછો ફર્યો અને, પોતાને યાદ અપાવવા માટે, એક બેચ ફાઇલ લોન્ચ કરી જેણે પોર્ન સાઇટ સાથે ઘણી વિંડોઝ ખોલી. દેખીતી રીતે, આ રીતે તેણે તેની માંગ તરફ ધ્યાન દોરવાનો પ્રયાસ કર્યો.

પરિણામો

અભ્યાસ દરમિયાન, તે બહાર આવ્યું છે કે નબળાઈ વિશેની માહિતી પ્રકાશિત થતાં જ, હનીપોટ ધ્યાન આકર્ષિત કરે છે, પ્રવૃત્તિ દિવસેને દિવસે વધતી જાય છે. છટકું ધ્યાન ખેંચવા માટે, અમારી કાલ્પનિક કંપનીએ બહુવિધ સુરક્ષા ભંગનો ભોગ બનવું પડ્યું હતું. કમનસીબે, આ સ્થિતિ ઘણી વાસ્તવિક કંપનીઓમાં અસામાન્ય નથી કે જેઓ પાસે પૂર્ણ-સમયના IT અને માહિતી સુરક્ષા કર્મચારીઓ નથી.

સામાન્ય રીતે, સંગઠનોએ ઓછામાં ઓછા વિશેષાધિકારના સિદ્ધાંતનો ઉપયોગ કરવો જોઈએ, જ્યારે અમે હુમલાખોરોને આકર્ષવા માટે તેની બરાબર વિરુદ્ધ અમલ કર્યો છે. અને જેટલા લાંબા સમય સુધી અમે હુમલાઓ જોયા, તે પ્રમાણભૂત ઘૂંસપેંઠ પરીક્ષણ પદ્ધતિઓની તુલનામાં વધુ આધુનિક બન્યા.

અને સૌથી અગત્યનું, જો નેટવર્ક સેટ કરતી વખતે પર્યાપ્ત સુરક્ષા પગલાં અમલમાં મૂકવામાં આવ્યા હોત તો આ તમામ હુમલા નિષ્ફળ ગયા હોત. સંસ્થાઓએ સુનિશ્ચિત કરવું જોઈએ કે તેમના સાધનો અને ઔદ્યોગિક ઈન્ફ્રાસ્ટ્રક્ચર ઘટકો ઈન્ટરનેટથી સુલભ નથી, જેમ કે અમે ખાસ કરીને અમારી જાળમાં કર્યું હતું.

તમામ કમ્પ્યુટર્સ પર સમાન સ્થાનિક એડમિનિસ્ટ્રેટર પાસવર્ડનો ઉપયોગ કરવા છતાં, અમે એન્જિનિયરના વર્કસ્ટેશન પર એક પણ હુમલો રેકોર્ડ કર્યો નથી, તેમ છતાં, ઘૂસણખોરીની સંભાવનાને ઘટાડવા માટે આ પ્રથા ટાળવી જોઈએ. છેવટે, નબળી સુરક્ષા ઔદ્યોગિક પ્રણાલીઓ પર હુમલો કરવા માટે વધારાના આમંત્રણ તરીકે કામ કરે છે, જે લાંબા સમયથી સાયબર અપરાધીઓ માટે રસ ધરાવે છે.

સોર્સ: www.habr.com