सुरक्षा उपकरण के रूप में छेद - 2, या एपीटी को "लाइव चारा पर" कैसे पकड़ें

(शीर्षक विचार के लिए सर्गेई जी. ब्रेस्टर को धन्यवाद सेब्रेस)

सहकर्मियों, इस लेख का उद्देश्य धोखे की प्रौद्योगिकियों पर आधारित आईडीएस समाधानों की एक नई श्रेणी के एक साल के परीक्षण संचालन के अनुभव को साझा करना है।

सामग्री की प्रस्तुति की तार्किक सुसंगति बनाए रखने के लिए, मैं परिसर से शुरुआत करना आवश्यक समझता हूँ। तो, समस्या:

1. लक्षित हमले सबसे खतरनाक प्रकार के हमले हैं, इस तथ्य के बावजूद कि खतरों की कुल संख्या में उनका हिस्सा छोटा है।
2. परिधि की सुरक्षा का कोई गारंटीकृत प्रभावी साधन (या ऐसे साधनों का एक सेट) अभी तक आविष्कार नहीं किया गया है।
3. एक नियम के रूप में, लक्षित हमले कई चरणों में होते हैं। परिधि पर काबू पाना शुरुआती चरणों में से केवल एक है, जो (आप मुझ पर पत्थर फेंक सकते हैं) "पीड़ित" को ज्यादा नुकसान नहीं पहुंचाता है, जब तक कि निश्चित रूप से, यह DEoS (सेवा का विनाश) हमला (एन्क्रिप्टर, आदि) न हो .). असली "दर्द" बाद में शुरू होता है, जब पकड़ी गई संपत्ति का उपयोग "गहरा" हमला करने और विकसित करने के लिए किया जाने लगता है, और हमने इस पर ध्यान नहीं दिया।
4. चूंकि जब हमलावर अंततः हमले के लक्ष्य (एप्लिकेशन सर्वर, डीबीएमएस, डेटा वेयरहाउस, रिपॉजिटरी, महत्वपूर्ण बुनियादी ढांचे के तत्व) तक पहुंचते हैं तो हमें वास्तविक नुकसान उठाना शुरू हो जाता है, इसलिए यह तर्कसंगत है कि सूचना सुरक्षा सेवा का एक कार्य हमलों को पहले ही बाधित करना है यह दुखद घटना. लेकिन किसी बात को बाधित करने के लिए आपको पहले उसके बारे में पता लगाना होगा। और जितनी जल्दी, उतना अच्छा.
5. तदनुसार, सफल जोखिम प्रबंधन (अर्थात, लक्षित हमलों से होने वाले नुकसान को कम करना) के लिए, ऐसे उपकरण होना महत्वपूर्ण है जो न्यूनतम टीटीडी (पता लगाने का समय - घुसपैठ के क्षण से लेकर हमले का पता चलने तक का समय) प्रदान करेंगे। उद्योग और क्षेत्र के आधार पर, यह अवधि अमेरिका में औसतन 99 दिन, ईएमईए क्षेत्र में 106 दिन, एपीएसी क्षेत्र में 172 दिन (एम-ट्रेंड्स 2017, ए व्यू फ्रॉम द फ्रंट लाइन्स, मैंडिएंट) है।
6. बाजार क्या पेशकश करता है?
   • "सैंडबॉक्स"। एक और निवारक नियंत्रण, जो आदर्श से बहुत दूर है। सैंडबॉक्स या श्वेतसूची समाधानों का पता लगाने और उन्हें बायपास करने के लिए कई प्रभावी तकनीकें हैं। "अंधेरे पक्ष" के लोग अभी भी यहां एक कदम आगे हैं।
   • यूईबीए (व्यवहार की रूपरेखा तैयार करने और विचलन की पहचान करने के लिए सिस्टम) - सिद्धांत रूप में, बहुत प्रभावी हो सकता है। लेकिन, मेरी राय में, यह दूर के भविष्य में है। व्यवहार में, यह अभी भी बहुत महंगा, अविश्वसनीय है और इसके लिए एक बहुत ही परिपक्व और स्थिर आईटी और सूचना सुरक्षा बुनियादी ढांचे की आवश्यकता है, जिसमें पहले से ही सभी उपकरण हैं जो व्यवहार विश्लेषण के लिए डेटा उत्पन्न करेंगे।
   • एसआईईएम जांच के लिए एक अच्छा उपकरण है, लेकिन यह समय पर कुछ नया और मौलिक देखने और दिखाने में सक्षम नहीं है, क्योंकि सहसंबंध नियम हस्ताक्षर के समान हैं।

7. परिणामस्वरूप, एक ऐसे उपकरण की आवश्यकता है जो:
   • पहले से ही समझौता की गई परिधि की स्थितियों में सफलतापूर्वक काम किया,
   • उपयोग किए गए उपकरणों और कमजोरियों की परवाह किए बिना, वास्तविक समय में सफल हमलों का पता लगाया गया,
   • हस्ताक्षर/नियम/स्क्रिप्ट/नीतियों/प्रोफ़ाइल और अन्य स्थिर चीज़ों पर निर्भर नहीं था,
   • विश्लेषण के लिए बड़ी मात्रा में डेटा और उनके स्रोतों की आवश्यकता नहीं थी,
   • हमलों को "दुनिया में सर्वश्रेष्ठ, पेटेंट और इसलिए बंद गणित" के काम के परिणामस्वरूप किसी प्रकार के जोखिम-स्कोरिंग के रूप में परिभाषित करने की अनुमति नहीं दी जाएगी, जिसके लिए अतिरिक्त जांच की आवश्यकता है, लेकिन व्यावहारिक रूप से एक द्विआधारी घटना के रूप में - "हां, हम पर हमला किया जा रहा है" या "नहीं, सब कुछ ठीक है",
   • उपयोग की गई भौतिक और तार्किक नेटवर्क टोपोलॉजी की परवाह किए बिना, किसी भी विषम वातावरण में लागू करने के लिए सार्वभौमिक, कुशलतापूर्वक स्केलेबल और व्यवहार्य था।

तथाकथित धोखे के समाधान अब ऐसे उपकरण की भूमिका के लिए प्रतिस्पर्धा कर रहे हैं। अर्थात्, हनीपोट्स की अच्छी पुरानी अवधारणा पर आधारित समाधान, लेकिन कार्यान्वयन के बिल्कुल अलग स्तर के साथ। यह विषय अब निश्चित रूप से बढ़ रहा है।

परिणामों के अनुसार गार्टनर सुरक्षा एवं जोखिम प्रबंधन शिखर सम्मेलन 2017 धोखे के समाधान उन शीर्ष 3 रणनीतियों और उपकरणों में शामिल हैं जिनका उपयोग करने की अनुशंसा की जाती है।

रिपोर्ट के अनुसार TAG साइबर सुरक्षा वार्षिक 2017 धोखा आईडीएस घुसपैठ जांच प्रणाली समाधानों के विकास की मुख्य दिशाओं में से एक है।

उत्तरार्द्ध का एक पूरा खंड सिस्को स्टेट ऑफ़ आईटी सुरक्षा रिपोर्टSCADA को समर्पित, इस बाज़ार के नेताओं में से एक ट्रैपएक्स सिक्योरिटी (इज़राइल) के डेटा पर आधारित है, जिसका समाधान एक साल से हमारे परीक्षण क्षेत्र में काम कर रहा है।

ट्रैपएक्स डिसेप्शन ग्रिड आपको हार्डवेयर संसाधनों के लिए लाइसेंसिंग लोड और आवश्यकताओं को बढ़ाए बिना, बड़े पैमाने पर वितरित आईडीएस को केंद्रीय रूप से खर्च करने और संचालित करने की अनुमति देता है। वास्तव में, ट्रैपएक्स एक कंस्ट्रक्टर है जो आपको मौजूदा आईटी बुनियादी ढांचे के तत्वों से उद्यम-व्यापी पैमाने पर हमलों का पता लगाने के लिए एक बड़ा तंत्र, एक प्रकार का वितरित नेटवर्क "अलार्म" बनाने की अनुमति देता है।

समाधान संरचना

हमारी प्रयोगशाला में हम आईटी सुरक्षा के क्षेत्र में विभिन्न नए उत्पादों का लगातार अध्ययन और परीक्षण करते हैं। वर्तमान में, लगभग 50 अलग-अलग वर्चुअल सर्वर यहां तैनात हैं, जिनमें ट्रैपएक्स डिसेप्शन ग्रिड घटक भी शामिल हैं।

तो, ऊपर से नीचे तक:

1. टीएसओसी (ट्रैपएक्स सिक्योरिटी ऑपरेशन कंसोल) सिस्टम का मस्तिष्क है। यह केंद्रीय प्रबंधन कंसोल है जिसके माध्यम से कॉन्फ़िगरेशन, समाधान की तैनाती और सभी दिन-प्रतिदिन के संचालन किए जाते हैं। चूँकि यह एक वेब सेवा है, इसे कहीं भी तैनात किया जा सकता है - परिधि पर, क्लाउड में या एमएसएसपी प्रदाता पर।
2. ट्रैपएक्स एप्लायंस (टीएसए) एक वर्चुअल सर्वर है जिसमें हम ट्रंक पोर्ट का उपयोग करके उन सबनेट को कनेक्ट करते हैं जिन्हें हम मॉनिटरिंग के साथ कवर करना चाहते हैं। इसके अलावा, हमारे सभी नेटवर्क सेंसर वास्तव में यहां "लाइव" हैं।

   हमारी प्रयोगशाला में एक टीएसए तैनात है (mwsapp1), लेकिन वास्तव में कई हो सकते हैं। यह बड़े नेटवर्क में आवश्यक हो सकता है जहां खंडों के बीच कोई L2 कनेक्टिविटी नहीं है (एक विशिष्ट उदाहरण "होल्डिंग और सहायक कंपनियां" या "बैंक प्रधान कार्यालय और शाखाएं") या यदि नेटवर्क में अलग-अलग खंड हैं, उदाहरण के लिए, स्वचालित प्रक्रिया नियंत्रण प्रणाली। ऐसी प्रत्येक शाखा/सेगमेंट में, आप अपना स्वयं का टीएसए तैनात कर सकते हैं और इसे एक एकल टीएसओसी से जोड़ सकते हैं, जहां सभी जानकारी केंद्रीय रूप से संसाधित की जाएगी। यह आर्किटेक्चर आपको नेटवर्क को मौलिक रूप से पुनर्गठित करने या मौजूदा विभाजन को बाधित करने की आवश्यकता के बिना वितरित निगरानी प्रणाली बनाने की अनुमति देता है।

   इसके अलावा, हम TAP/SPAN के माध्यम से आउटगोइंग ट्रैफ़िक की एक प्रति TSA को जमा कर सकते हैं। यदि हम ज्ञात बॉटनेट, कमांड और कंट्रोल सर्वर, या टीओआर सत्र के साथ कनेक्शन का पता लगाते हैं, तो हमें कंसोल में परिणाम भी प्राप्त होगा। इसके लिए नेटवर्क इंटेलिजेंस सेंसर (एनआईएस) जिम्मेदार है। हमारे परिवेश में, यह कार्यक्षमता फ़ायरवॉल पर कार्यान्वित की जाती है, इसलिए हमने इसका उपयोग यहां नहीं किया।

3. एप्लिकेशन ट्रैप (पूर्ण ओएस) - विंडोज सर्वर पर आधारित पारंपरिक हनीपोट। आपको उनमें से कई की आवश्यकता नहीं है, क्योंकि इन सर्वरों का मुख्य उद्देश्य सेंसर की अगली परत को आईटी सेवाएं प्रदान करना या व्यावसायिक अनुप्रयोगों पर हमलों का पता लगाना है जिन्हें विंडोज वातावरण में तैनात किया जा सकता है। हमारी प्रयोगशाला में ऐसा एक सर्वर स्थापित है (FOS01)

   

4. अनुकरणीय जाल समाधान का मुख्य घटक हैं, जो हमें एक एकल वर्चुअल मशीन का उपयोग करके, हमलावरों के लिए एक बहुत सघन "माइनफ़ील्ड" बनाने और हमारे सेंसर के साथ एंटरप्राइज़ नेटवर्क, उसके सभी वीएलएएन को संतृप्त करने की अनुमति देता है। हमलावर ऐसे सेंसर, या फैंटम होस्ट को एक वास्तविक विंडोज पीसी या सर्वर, लिनक्स सर्वर या अन्य डिवाइस के रूप में देखता है जिसे हम उसे दिखाने का निर्णय लेते हैं।

   
   
   व्यवसाय की भलाई के लिए और जिज्ञासा के लिए, हमने "प्रत्येक प्राणी की एक जोड़ी" तैनात की - विभिन्न संस्करणों के विंडोज पीसी और सर्वर, लिनक्स सर्वर, विंडोज एम्बेडेड के साथ एक एटीएम, स्विफ्ट वेब एक्सेस, एक नेटवर्क प्रिंटर, एक सिस्को स्विच, एक एक्सिस आईपी कैमरा, एक मैकबुक, पीएलसी-डिवाइस और यहां तक ​​कि एक स्मार्ट लाइट बल्ब। कुल 13 मेज़बान हैं। सामान्य तौर पर, विक्रेता वास्तविक मेजबानों की संख्या के कम से कम 10% की मात्रा में ऐसे सेंसर तैनात करने की सिफारिश करता है। शीर्ष पट्टी उपलब्ध पता स्थान है.

   एक बहुत ही महत्वपूर्ण बात यह है कि ऐसा प्रत्येक होस्ट एक पूर्ण वर्चुअल मशीन नहीं है जिसके लिए संसाधनों और लाइसेंस की आवश्यकता होती है। यह टीएसए पर एक डिकॉय, अनुकरण, एक प्रक्रिया है, जिसमें मापदंडों का एक सेट और एक आईपी पता होता है। इसलिए, एक टीएसए की मदद से, हम नेटवर्क को सैकड़ों ऐसे फैंटम होस्ट से संतृप्त कर सकते हैं, जो अलार्म सिस्टम में सेंसर के रूप में काम करेंगे। यह वह तकनीक है जो किसी भी बड़े वितरित उद्यम में हनीपोट अवधारणा को लागत प्रभावी ढंग से बढ़ाना संभव बनाती है।

   एक हमलावर के दृष्टिकोण से, ये होस्ट आकर्षक हैं क्योंकि उनमें कमजोरियाँ हैं और वे अपेक्षाकृत आसान लक्ष्य प्रतीत होते हैं। हमलावर इन होस्टों पर सेवाएं देखता है और उनके साथ बातचीत कर सकता है और मानक टूल और प्रोटोकॉल (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, आदि) का उपयोग करके उन पर हमला कर सकता है। लेकिन किसी आक्रमण को विकसित करने या अपना स्वयं का कोड चलाने के लिए इन होस्टों का उपयोग करना असंभव है।

5. इन दो प्रौद्योगिकियों (फुलओएस और एमुलेटेड ट्रैप) का संयोजन हमें एक उच्च सांख्यिकीय संभावना प्राप्त करने की अनुमति देता है कि एक हमलावर जल्द या बाद में हमारे सिग्नलिंग नेटवर्क के कुछ तत्व का सामना करेगा। लेकिन हम यह कैसे सुनिश्चित कर सकते हैं कि यह संभावना 100% के करीब है?

   तथाकथित धोखे के टोकन लड़ाई में प्रवेश करते हैं। उनके लिए धन्यवाद, हम अपने वितरित आईडीएस में उद्यम के सभी मौजूदा पीसी और सर्वर को शामिल कर सकते हैं। टोकन उपयोगकर्ताओं के वास्तविक पीसी पर रखे जाते हैं। यह समझना महत्वपूर्ण है कि टोकन ऐसे एजेंट नहीं हैं जो संसाधनों का उपभोग करते हैं और संघर्ष का कारण बन सकते हैं। टोकन निष्क्रिय सूचना तत्व हैं, हमलावर पक्ष के लिए एक प्रकार का "ब्रेडक्रंब" जो उसे जाल में ले जाता है। उदाहरण के लिए, मैप की गई नेटवर्क ड्राइव, ब्राउज़र में नकली वेब एडमिन के लिए बुकमार्क और उनके लिए सहेजे गए पासवर्ड, सहेजे गए ssh/rdp/winscp सत्र, होस्ट फ़ाइलों में टिप्पणियों के साथ हमारे जाल, मेमोरी में सहेजे गए पासवर्ड, गैर-मौजूद उपयोगकर्ताओं के क्रेडेंशियल, कार्यालय फ़ाइलें, जिन्हें खोलने से सिस्टम चालू हो जाएगा, और भी बहुत कुछ। इस प्रकार, हम हमलावर को एक विकृत वातावरण में रखते हैं, जो हमले के वैक्टर से भरा होता है जो वास्तव में हमारे लिए खतरा पैदा नहीं करता है, बल्कि इसके विपरीत होता है। और उसके पास यह निर्धारित करने का कोई तरीका नहीं है कि जानकारी कहाँ सच है और कहाँ झूठी है। इस प्रकार, हम न केवल किसी हमले का शीघ्र पता लगाना सुनिश्चित करते हैं, बल्कि उसकी प्रगति को भी काफी धीमा कर देते हैं।

नेटवर्क ट्रैप बनाने और टोकन सेट करने का एक उदाहरण। अनुकूल इंटरफ़ेस और कॉन्फ़िगरेशन, स्क्रिप्ट इत्यादि का कोई मैन्युअल संपादन नहीं।

हमारे वातावरण में, हमने विंडोज़ सर्वर 01आर2012 चलाने वाले एफओएस2 और विंडोज़ 7 चलाने वाले एक परीक्षण पीसी पर ऐसे कई टोकन कॉन्फ़िगर और रखे हैं। आरडीपी इन मशीनों पर चल रहा है और हम समय-समय पर उन्हें डीएमजेड में "हैंग" करते हैं, जहां हमारे कई सेंसर हैं (नकल किए गए जाल) भी प्रदर्शित किए गए हैं। इसलिए हमें घटनाओं की निरंतर धारा मिलती रहती है, स्वाभाविक रूप से ऐसा कहा जा सकता है।

तो, यहां वर्ष के लिए कुछ त्वरित आँकड़े दिए गए हैं:

56 - घटनाएँ दर्ज की गईं,
2 - आक्रमण स्रोत होस्ट का पता चला।

इंटरएक्टिव, क्लिक करने योग्य आक्रमण मानचित्र

साथ ही, समाधान किसी प्रकार का मेगा-लॉग या ईवेंट फ़ीड उत्पन्न नहीं करता है, जिसे समझने में लंबा समय लगता है। इसके बजाय, समाधान स्वयं घटनाओं को उनके प्रकारों के आधार पर वर्गीकृत करता है और सूचना सुरक्षा टीम को मुख्य रूप से सबसे खतरनाक लोगों पर ध्यान केंद्रित करने की अनुमति देता है - जब हमलावर नियंत्रण सत्र (इंटरैक्शन) बढ़ाने की कोशिश करता है या जब बाइनरी पेलोड (संक्रमण) हमारे ट्रैफ़िक में दिखाई देता है।

घटनाओं के बारे में सारी जानकारी, मेरी राय में, सूचना सुरक्षा के क्षेत्र में बुनियादी ज्ञान रखने वाले उपयोगकर्ता के लिए भी समझने में आसान रूप में पढ़ने योग्य और प्रस्तुत की जाती है।

दर्ज की गई अधिकांश घटनाएं हमारे होस्ट या एकल कनेक्शन को स्कैन करने का प्रयास हैं।

या आरडीपी के लिए पासवर्ड को बलपूर्वक लागू करने का प्रयास करता है

लेकिन और भी दिलचस्प मामले थे, खासकर जब हमलावर आरडीपी के लिए पासवर्ड का अनुमान लगाने और स्थानीय नेटवर्क तक पहुंच हासिल करने में "प्रबंधित" हुए।

एक हमलावर psexec का उपयोग करके कोड निष्पादित करने का प्रयास करता है।

हमलावर को एक सहेजा गया सत्र मिला, जिसने उसे लिनक्स सर्वर के रूप में जाल में फंसा दिया। कनेक्ट करने के तुरंत बाद, कमांड के एक पूर्व-तैयार सेट के साथ, इसने सभी लॉग फ़ाइलों और संबंधित सिस्टम वेरिएबल्स को नष्ट करने का प्रयास किया।

एक हमलावर स्विफ्ट वेब एक्सेस की नकल करने वाले हनीपोट पर एसक्यूएल इंजेक्शन निष्पादित करने का प्रयास करता है।

ऐसे "प्राकृतिक" हमलों के अलावा, हमने अपने स्वयं के कई परीक्षण भी किए। सबसे अधिक खुलासा करने वाला एक नेटवर्क पर नेटवर्क वर्म का पता लगाने के समय का परीक्षण करना है। ऐसा करने के लिए हमने गार्डीकोर नामक एक टूल का उपयोग किया संक्रमण बंदर. यह एक नेटवर्क वर्म है जो विंडोज़ और लिनक्स को हाईजैक कर सकता है, लेकिन बिना किसी "पेलोड" के।
हमने एक स्थानीय कमांड सेंटर तैनात किया, एक मशीन पर वर्म का पहला उदाहरण लॉन्च किया, और डेढ़ मिनट से भी कम समय में ट्रैपएक्स कंसोल में पहला अलर्ट प्राप्त किया। टीटीडी 90 सेकंड बनाम औसतन 106 दिन...

समाधानों के अन्य वर्गों के साथ एकीकृत करने की क्षमता के लिए धन्यवाद, हम खतरों का तुरंत पता लगाने से लेकर स्वचालित रूप से उन पर प्रतिक्रिया देने तक आगे बढ़ सकते हैं।

उदाहरण के लिए, एनएसी (नेटवर्क एक्सेस कंट्रोल) सिस्टम या कार्बनब्लैक के साथ एकीकरण आपको नेटवर्क से समझौता किए गए पीसी को स्वचालित रूप से डिस्कनेक्ट करने की अनुमति देगा।

सैंडबॉक्स के साथ एकीकरण किसी हमले में शामिल फ़ाइलों को विश्लेषण के लिए स्वचालित रूप से सबमिट करने की अनुमति देता है।

मैक्एफ़ी एकीकरण

समाधान की अपनी स्वयं की अंतर्निहित घटना सहसंबंध प्रणाली भी है।

लेकिन हम इसकी क्षमताओं से संतुष्ट नहीं थे, इसलिए हमने इसे HP ArcSight के साथ एकीकृत किया।

अंतर्निहित टिकटिंग प्रणाली पूरी दुनिया को ज्ञात खतरों से निपटने में मदद करती है।

चूंकि समाधान सरकारी एजेंसियों और एक बड़े कॉर्पोरेट सेगमेंट की जरूरतों के लिए "शुरुआत से" विकसित किया गया था, यह स्वाभाविक रूप से एक भूमिका-आधारित एक्सेस मॉडल, एडी के साथ एकीकरण, रिपोर्ट और ट्रिगर्स (इवेंट अलर्ट) की एक विकसित प्रणाली, ऑर्केस्ट्रेशन को लागू करता है। बड़ी होल्डिंग संरचनाएं या एमएसएसपी प्रदाता।

इसके बजाय एक फिर से शुरू

यदि ऐसी कोई निगरानी प्रणाली है, जो लाक्षणिक रूप से कहें तो हमारी पीठ को ढक लेती है, तो परिधि के समझौते के साथ सब कुछ अभी शुरू हो रहा है। सबसे महत्वपूर्ण बात यह है कि सूचना सुरक्षा घटनाओं से निपटने का एक वास्तविक अवसर है, न कि उनके परिणामों से निपटने का।

स्रोत: www.habr.com