ट्रैफ़िक विश्लेषण प्रणालियाँ पीटी नेटवर्क अटैक डिस्कवरी के उदाहरण का उपयोग करके MITER ATT&CK का उपयोग करके हैकर रणनीति का पता कैसे लगाती हैं

वेरिज़ोन के अनुसारसूचना सुरक्षा से जुड़ी अधिकांश घटनाएं (87%) कुछ ही मिनटों में हो जाती हैं, और 68% कंपनियों को उनका पता लगाने में महीनों लग जाते हैं। इसकी पुष्टि इससे होती है पोनेमोन संस्थान अनुसंधानजिसके अनुसार अधिकांश संगठनों को एक घटना का पता लगाने में औसतन 206 दिन लगते हैं। हमारी जांच के अनुभव के आधार पर, हैकर्स किसी कंपनी के बुनियादी ढांचे को बिना पता लगाए वर्षों तक नियंत्रित कर सकते हैं। इस प्रकार, उन संगठनों में से एक में जहां हमारे विशेषज्ञों ने एक सूचना सुरक्षा घटना की जांच की, यह पता चला कि हैकर्स ने संगठन के पूरे बुनियादी ढांचे को पूरी तरह से नियंत्रित किया और नियमित रूप से महत्वपूर्ण जानकारी चुरा ली। आठ साल तक.

मान लीजिए कि आपके पास पहले से ही एक एसआईईएम चल रहा है जो लॉग एकत्र करता है और घटनाओं का विश्लेषण करता है, और अंत नोड्स पर एंटीवायरस सॉफ़्टवेयर स्थापित होता है। फिर भी, सिएम का उपयोग करके हर चीज़ का पता नहीं लगाया जा सकता है, जिस तरह पूरे नेटवर्क में ईडीआर सिस्टम को लागू करना असंभव है, जिसका अर्थ है कि "अंधा" स्थानों से बचा नहीं जा सकता है। नेटवर्क ट्रैफ़िक विश्लेषण (एनटीए) सिस्टम उनसे निपटने में मदद करते हैं। ये समाधान नेटवर्क प्रवेश के शुरुआती चरणों में, साथ ही नेटवर्क के भीतर पैर जमाने और हमला विकसित करने के प्रयासों के दौरान हमलावर गतिविधि का पता लगाते हैं।

एनटीए दो प्रकार के होते हैं: कुछ नेटफ्लो के साथ काम करते हैं, अन्य कच्चे ट्रैफ़िक का विश्लेषण करते हैं। दूसरी प्रणालियों का लाभ यह है कि वे कच्चे ट्रैफ़िक रिकॉर्ड संग्रहीत कर सकते हैं। इसके लिए धन्यवाद, एक सूचना सुरक्षा विशेषज्ञ हमले की सफलता की पुष्टि कर सकता है, खतरे का स्थानीयकरण कर सकता है, समझ सकता है कि हमला कैसे हुआ और भविष्य में इसी तरह के हमले को कैसे रोका जाए।

हम दिखाएंगे कि कैसे एनटीए का उपयोग करके आप ज्ञान आधार में वर्णित सभी ज्ञात हमले की रणनीति की पहचान करने के लिए प्रत्यक्ष या अप्रत्यक्ष साक्ष्य का उपयोग कर सकते हैं MITER ATT और CK. हम 12 युक्तियों में से प्रत्येक के बारे में बात करेंगे, उन तकनीकों का विश्लेषण करेंगे जिनका ट्रैफ़िक द्वारा पता लगाया जाता है, और हमारे एनटीए सिस्टम का उपयोग करके उनका पता लगाना प्रदर्शित करेंगे।

ATT&CK ज्ञानकोष के बारे में

MITER ATT&CK वास्तविक जीवन के APTs के विश्लेषण के आधार पर MITER Corporation द्वारा विकसित और अनुरक्षित एक सार्वजनिक ज्ञान आधार है। यह हमलावरों द्वारा उपयोग की जाने वाली रणनीति और तकनीकों का एक संरचित सेट है। यह दुनिया भर के सूचना सुरक्षा पेशेवरों को एक ही भाषा बोलने की अनुमति देता है। डेटाबेस का लगातार विस्तार हो रहा है और नए ज्ञान के साथ पूरक किया जा रहा है।

डेटाबेस 12 युक्तियों की पहचान करता है, जिन्हें साइबर हमले के चरणों के अनुसार विभाजित किया गया है:

• प्रारंभिक पहुंच;
• कार्यान्वयन;
• समेकन (दृढ़ता);
• विशेषाधिकार वृद्धि;
• पता लगाने की रोकथाम (रक्षा चोरी);
• क्रेडेंशियल प्राप्त करना (क्रेडेंशियल एक्सेस);
• अन्वेषण;
• परिधि के भीतर आंदोलन (पार्श्व आंदोलन);
• डेटा संग्रह (संग्रह);
• आदेश और नियंत्रण;
• डेटा घुसपैठ;
• प्रभाव।

प्रत्येक रणनीति के लिए, ATT&CK नॉलेज बेस उन तकनीकों की एक सूची सूचीबद्ध करता है जो हमलावरों को हमले के वर्तमान चरण में अपना लक्ष्य हासिल करने में मदद करती हैं। चूँकि एक ही तकनीक का उपयोग विभिन्न चरणों में किया जा सकता है, यह कई युक्तियों को संदर्भित कर सकता है।

प्रत्येक तकनीक के विवरण में शामिल हैं:

• पहचानकर्ता;
• युक्तियों की एक सूची जिसमें इसका उपयोग किया जाता है;
• एपीटी समूहों द्वारा उपयोग के उदाहरण;
• इसके उपयोग से होने वाले नुकसान को कम करने के उपाय;
• पता लगाने की सिफ़ारिशें.

सूचना सुरक्षा विशेषज्ञ मौजूदा हमले के तरीकों के बारे में जानकारी तैयार करने के लिए डेटाबेस से प्राप्त ज्ञान का उपयोग कर सकते हैं और इसे ध्यान में रखते हुए एक प्रभावी सुरक्षा प्रणाली का निर्माण कर सकते हैं। यह समझना कि वास्तविक एपीटी समूह कैसे काम करते हैं, सक्रिय रूप से खतरों की खोज के लिए परिकल्पना का स्रोत भी बन सकता है शिकार का खतरा.

पीटी नेटवर्क अटैक डिस्कवरी के बारे में

हम सिस्टम का उपयोग करके ATT&CK मैट्रिक्स से तकनीकों के उपयोग की पहचान करेंगे पीटी नेटवर्क अटैक डिस्कवरी - पॉजिटिव टेक्नोलॉजीज एनटीए प्रणाली, परिधि पर और नेटवर्क के अंदर हमलों का पता लगाने के लिए डिज़ाइन की गई है। पीटी एनएडी, अलग-अलग डिग्री तक, MITER ATT&CK मैट्रिक्स की सभी 12 युक्तियों को कवर करता है। वह प्रारंभिक पहुंच, पार्श्व आंदोलन और कमांड और नियंत्रण के लिए तकनीकों की पहचान करने में सबसे शक्तिशाली है। उनमें, पीटी एनएडी आधे से अधिक ज्ञात तकनीकों को शामिल करता है, प्रत्यक्ष या अप्रत्यक्ष संकेतों द्वारा उनके अनुप्रयोग का पता लगाता है।

सिस्टम टीम द्वारा बनाए गए पहचान नियमों का उपयोग करके ATT&CK तकनीकों का उपयोग करके हमलों का पता लगाता है पीटी विशेषज्ञ सुरक्षा केंद्र (पीटी ईएससी), मशीन लर्निंग, समझौते के संकेतक, गहन विश्लेषण और पूर्वव्यापी विश्लेषण। पूर्वव्यापी के साथ संयुक्त वास्तविक समय यातायात विश्लेषण आपको वर्तमान छिपी हुई दुर्भावनापूर्ण गतिविधि की पहचान करने और विकास वैक्टर और हमलों के कालक्रम को ट्रैक करने की अनुमति देता है।

यहीं पीटी एनएडी से एमआईटीईआर एटीटी&सीके मैट्रिक्स की पूरी मैपिंग। चित्र बड़ा है, इसलिए हमारा सुझाव है कि आप इसे एक अलग विंडो में देखें।

प्रारंभिक पहुंच

प्रारंभिक पहुंच रणनीति में कंपनी के नेटवर्क में प्रवेश करने की तकनीकें शामिल हैं। इस स्तर पर हमलावरों का लक्ष्य हमलावर सिस्टम में दुर्भावनापूर्ण कोड पहुंचाना और इसके आगे निष्पादन की संभावना सुनिश्चित करना है।

पीटी एनएडी से यातायात विश्लेषण से प्रारंभिक पहुंच प्राप्त करने की सात तकनीकों का पता चलता है:

1. T1189: ड्राइव-बाय समझौता

एक तकनीक जिसमें पीड़ित एक वेबसाइट खोलता है जिसका उपयोग हमलावरों द्वारा वेब ब्राउज़र का फायदा उठाने और एप्लिकेशन एक्सेस टोकन प्राप्त करने के लिए किया जाता है।

पीटी एनएडी क्या करता है?: यदि वेब ट्रैफ़िक एन्क्रिप्टेड नहीं है, तो PT NAD HTTP सर्वर प्रतिक्रियाओं की सामग्री का निरीक्षण करता है। इन प्रतिक्रियाओं में ऐसे कारनामे शामिल हैं जो हमलावरों को ब्राउज़र के अंदर मनमाना कोड निष्पादित करने की अनुमति देते हैं। पीटी एनएडी पहचान नियमों का उपयोग करके स्वचालित रूप से ऐसे कारनामों का पता लगाता है।

इसके अतिरिक्त, पीटी एनएडी पिछले चरण में खतरे का पता लगाता है। समझौते के नियम और संकेतक तब सक्रिय हो जाते हैं जब उपयोगकर्ता किसी ऐसी साइट पर जाता है जो उसे ढेर सारे कारनामों वाली साइट पर पुनर्निर्देशित करती है।

2. T1190: सार्वजनिक-सामना वाले एप्लिकेशन का फायदा उठाएं

इंटरनेट से पहुंच योग्य सेवाओं में कमजोरियों का शोषण।

पीटी एनएडी क्या करता है?: असामान्य गतिविधि के संकेतों की पहचान करते हुए, नेटवर्क पैकेट की सामग्री का गहन निरीक्षण करता है। विशेष रूप से, ऐसे नियम हैं जो आपको प्रमुख सामग्री प्रबंधन प्रणालियों (सीएमएस), नेटवर्क उपकरण के वेब इंटरफेस और मेल और एफ़टीपी सर्वर पर हमलों का पता लगाने की अनुमति देते हैं।

3. T1133: बाहरी दूरस्थ सेवाएँ

हमलावर बाहर से आंतरिक नेटवर्क संसाधनों से जुड़ने के लिए रिमोट एक्सेस सेवाओं का उपयोग करते हैं।

पीटी एनएडी क्या करता है?: चूंकि सिस्टम प्रोटोकॉल को पोर्ट नंबरों से नहीं, बल्कि पैकेटों की सामग्री से पहचानता है, सिस्टम उपयोगकर्ता रिमोट एक्सेस प्रोटोकॉल के सभी सत्रों को ढूंढने और उनकी वैधता की जांच करने के लिए ट्रैफ़िक को फ़िल्टर कर सकते हैं।

4. T1193: भाले से मछली पकड़ने का लगाव

हम कुख्यात फ़िशिंग अटैचमेंट भेजने के बारे में बात कर रहे हैं।

पीटी एनएडी क्या करता है?: स्वचालित रूप से ट्रैफ़िक से फ़ाइलें निकालता है और समझौता के संकेतकों के विरुद्ध उनकी जाँच करता है। अनुलग्नकों में निष्पादन योग्य फ़ाइलों का पता उन नियमों द्वारा लगाया जाता है जो मेल ट्रैफ़िक की सामग्री का विश्लेषण करते हैं। कॉर्पोरेट माहौल में इस तरह के निवेश को असामान्य माना जाता है।

5. T1192: स्पीयरफ़िशिंग लिंक

फ़िशिंग लिंक का उपयोग करना. इस तकनीक में हमलावरों को एक लिंक के साथ फ़िशिंग ईमेल भेजना शामिल है, जिस पर क्लिक करने पर एक दुर्भावनापूर्ण प्रोग्राम डाउनलोड होता है। एक नियम के रूप में, लिंक के साथ सोशल इंजीनियरिंग के सभी नियमों के अनुसार संकलित एक पाठ होता है।

पीटी एनएडी क्या करता है?: समझौता के संकेतकों का उपयोग करके फ़िशिंग लिंक का पता लगाता है। उदाहरण के लिए, पीटी एनएडी इंटरफ़ेस में हम एक सत्र देखते हैं जिसमें फ़िशिंग पते (फ़िशिंग-यूआरएल) की सूची में शामिल एक लिंक के माध्यम से एक HTTP कनेक्शन था।

समझौता फ़िशिंग-यूआरएल के संकेतकों की सूची से एक लिंक के माध्यम से कनेक्शन

6. T1199: विश्वसनीय रिश्ता

तीसरे पक्ष के माध्यम से पीड़ित के नेटवर्क तक पहुंच जिसके साथ पीड़ित ने विश्वसनीय संबंध स्थापित किया है। हमलावर किसी विश्वसनीय संगठन को हैक कर सकते हैं और उसके माध्यम से लक्ष्य नेटवर्क से जुड़ सकते हैं। ऐसा करने के लिए, वे वीपीएन कनेक्शन या डोमेन ट्रस्ट का उपयोग करते हैं, जिन्हें ट्रैफ़िक विश्लेषण के माध्यम से पहचाना जा सकता है।

पीटी एनएडी क्या करता है?: एप्लिकेशन प्रोटोकॉल को पार्स करता है और पार्स किए गए फ़ील्ड को डेटाबेस में सहेजता है, ताकि एक सूचना सुरक्षा विश्लेषक डेटाबेस में सभी संदिग्ध वीपीएन कनेक्शन या क्रॉस-डोमेन कनेक्शन ढूंढने के लिए फ़िल्टर का उपयोग कर सके।

7. T1078: वैध खाते

बाहरी और आंतरिक सेवाओं पर प्राधिकरण के लिए मानक, स्थानीय या डोमेन क्रेडेंशियल का उपयोग करना।

पीटी एनएडी क्या करता है?: HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos प्रोटोकॉल से स्वचालित रूप से क्रेडेंशियल पुनर्प्राप्त करता है। सामान्य तौर पर, यह एक लॉगिन, पासवर्ड और सफल प्रमाणीकरण का संकेत है। यदि उनका उपयोग किया गया है, तो उन्हें संबंधित सत्र कार्ड में प्रदर्शित किया जाता है।

कार्यान्वयन

निष्पादन रणनीति में वे तकनीकें शामिल हैं जिनका उपयोग हमलावर समझौता किए गए सिस्टम पर कोड निष्पादित करने के लिए करते हैं। दुर्भावनापूर्ण कोड चलाने से हमलावरों को उपस्थिति (दृढ़ता रणनीति) स्थापित करने और परिधि के अंदर जाकर नेटवर्क पर दूरस्थ सिस्टम तक पहुंच बढ़ाने में मदद मिलती है।

पीटी एनएडी आपको दुर्भावनापूर्ण कोड निष्पादित करने के लिए हमलावरों द्वारा उपयोग की जाने वाली 14 तकनीकों का पता लगाने की अनुमति देता है।

1. T1191: सीएमएसटीपी (माइक्रोसॉफ्ट कनेक्शन मैनेजर प्रोफाइल इंस्टालर)

एक रणनीति जिसमें हमलावर अंतर्निहित विंडोज उपयोगिता CMSTP.exe (कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर) के लिए एक विशेष दुर्भावनापूर्ण इंस्टॉलेशन INF फ़ाइल तैयार करते हैं। CMSTP.exe फ़ाइल को एक पैरामीटर के रूप में लेता है और दूरस्थ कनेक्शन के लिए सेवा प्रोफ़ाइल स्थापित करता है। परिणामस्वरूप, CMSTP.exe का उपयोग दूरस्थ सर्वर से डायनेमिक लिंक लाइब्रेरीज़ (*.dll) या स्क्रिप्टलेट्स (*.sct) को लोड और निष्पादित करने के लिए किया जा सकता है।

पीटी एनएडी क्या करता है?: HTTP ट्रैफ़िक में विशेष प्रकार की INF फ़ाइलों के स्थानांतरण का स्वचालित रूप से पता लगाता है। इसके अलावा, यह रिमोट सर्वर से दुर्भावनापूर्ण स्क्रिप्टलेट्स और डायनेमिक लिंक लाइब्रेरीज़ के HTTP ट्रांसमिशन का पता लगाता है।

2. T1059: कमांड लाइन इंटरफेस

कमांड लाइन इंटरफ़ेस के साथ इंटरेक्शन। कमांड लाइन इंटरफ़ेस को स्थानीय या दूरस्थ रूप से इंटरैक्ट किया जा सकता है, उदाहरण के लिए रिमोट एक्सेस उपयोगिताओं का उपयोग करना।

पीटी एनएडी क्या करता है?: विभिन्न कमांड लाइन उपयोगिताओं, जैसे कि पिंग, आईफकॉन्फिग को लॉन्च करने के लिए कमांड की प्रतिक्रियाओं के आधार पर स्वचालित रूप से शेल की उपस्थिति का पता लगाता है।

3. T1175: घटक ऑब्जेक्ट मॉडल और वितरित COM

किसी नेटवर्क पर चलते समय स्थानीय या दूरस्थ सिस्टम पर कोड निष्पादित करने के लिए COM या DCOM तकनीकों का उपयोग।

पीटी एनएडी क्या करता है?: संदिग्ध DCOM कॉल का पता लगाता है जिनका उपयोग हमलावर आमतौर पर प्रोग्राम लॉन्च करने के लिए करते हैं।

4. T1203: ग्राहक निष्पादन के लिए शोषण

कार्यस्थान पर मनमाना कोड निष्पादित करने के लिए कमजोरियों का शोषण। हमलावरों के लिए सबसे उपयोगी कारनामे वे हैं जो रिमोट सिस्टम पर कोड को निष्पादित करने की अनुमति देते हैं, क्योंकि वे हमलावरों को उस सिस्टम तक पहुंच प्राप्त करने की अनुमति दे सकते हैं। तकनीक को निम्नलिखित तरीकों का उपयोग करके कार्यान्वित किया जा सकता है: दुर्भावनापूर्ण मेलिंग, ब्राउज़र शोषण वाली वेबसाइट, और एप्लिकेशन कमजोरियों का दूरस्थ शोषण।

पीटी एनएडी क्या करता है?: मेल ट्रैफ़िक को पार्स करते समय, पीटी एनएडी अनुलग्नकों में निष्पादन योग्य फ़ाइलों की उपस्थिति के लिए इसकी जाँच करता है। ईमेल से कार्यालय दस्तावेज़ों को स्वचालित रूप से निकालता है जिनमें शोषण हो सकता है। ट्रैफ़िक में कमज़ोरियों का फ़ायदा उठाने का प्रयास दिखाई देता है, जिसका पीटी एनएडी स्वचालित रूप से पता लगाता है।

5. T1170: mshta

mshta.exe उपयोगिता का उपयोग करें, जो .hta एक्सटेंशन के साथ Microsoft HTML एप्लिकेशन (HTA) चलाता है। क्योंकि mshta ब्राउज़र सुरक्षा सेटिंग्स को दरकिनार करते हुए फ़ाइलों को संसाधित करता है, हमलावर दुर्भावनापूर्ण HTA, JavaScript, या VBScript फ़ाइलों को निष्पादित करने के लिए mshta.exe का उपयोग कर सकते हैं।

पीटी एनएडी क्या करता है?: mshta के माध्यम से निष्पादन के लिए .hta फ़ाइलें भी नेटवर्क पर प्रसारित की जाती हैं - इसे ट्रैफ़िक में देखा जा सकता है। पीटी एनएडी ऐसी दुर्भावनापूर्ण फ़ाइलों के स्थानांतरण का स्वचालित रूप से पता लगाता है। यह फ़ाइलों को कैप्चर करता है, और उनके बारे में जानकारी सत्र कार्ड में देखी जा सकती है।

6. T1086: पावरशेल

जानकारी ढूंढने और दुर्भावनापूर्ण कोड निष्पादित करने के लिए PowerShell का उपयोग करना।

पीटी एनएडी क्या करता है?: जब रिमोट हमलावरों द्वारा पावरशेल का उपयोग किया जाता है, तो पीटी एनएडी नियमों का उपयोग करके इसका पता लगाता है। यह PowerShell भाषा कीवर्ड का पता लगाता है जो अक्सर दुर्भावनापूर्ण स्क्रिप्ट और SMB प्रोटोकॉल पर PowerShell स्क्रिप्ट के प्रसारण में उपयोग किया जाता है।

7. T1053: निर्धारित कार्य
विशिष्ट समय पर प्रोग्राम या स्क्रिप्ट को स्वचालित रूप से चलाने के लिए विंडोज टास्क शेड्यूलर और अन्य उपयोगिताओं का उपयोग करना।

पीटी एनएडी क्या करता है?: हमलावर ऐसे कार्य बनाते हैं, आमतौर पर दूर से, जिसका अर्थ है कि ऐसे सत्र ट्रैफ़िक में दिखाई देते हैं। पीटी एनएडी स्वचालित रूप से ATSVC और ITaskSchedulerService RPC इंटरफेस का उपयोग करके संदिग्ध कार्य निर्माण और संशोधन संचालन का पता लगाता है।

8. T1064: स्क्रिप्टिंग

हमलावरों की विभिन्न गतिविधियों को स्वचालित करने के लिए स्क्रिप्ट का निष्पादन।

पीटी एनएडी क्या करता है?: नेटवर्क पर स्क्रिप्ट के प्रसारण का पता लगाता है, यानी लॉन्च होने से पहले ही। यह कच्चे ट्रैफ़िक में स्क्रिप्ट सामग्री का पता लगाता है और लोकप्रिय स्क्रिप्टिंग भाषाओं के अनुरूप एक्सटेंशन वाली फ़ाइलों के नेटवर्क ट्रांसमिशन का पता लगाता है।

9. T1035: सेवा निष्पादन

सर्विस कंट्रोल मैनेजर (एससीएम) जैसी विंडोज़ सेवाओं के साथ इंटरैक्ट करके एक निष्पादन योग्य फ़ाइल, कमांड लाइन इंटरफ़ेस निर्देश या स्क्रिप्ट चलाएँ।

पीटी एनएडी क्या करता है?: एसएमबी ट्रैफ़िक का निरीक्षण करता है और सेवा बनाने, बदलने और शुरू करने के नियमों के साथ एससीएम तक पहुंच का पता लगाता है।

सेवा स्टार्टअप तकनीक को दूरस्थ कमांड निष्पादन उपयोगिता PSExec का उपयोग करके कार्यान्वित किया जा सकता है। पीटी एनएडी एसएमबी प्रोटोकॉल का विश्लेषण करता है और PSExec के उपयोग का पता लगाता है जब यह रिमोट मशीन पर कोड निष्पादित करने के लिए PSEXESVC.exe फ़ाइल या मानक PSEXECSVC सेवा नाम का उपयोग करता है। उपयोगकर्ता को निष्पादित कमांड की सूची और होस्ट से रिमोट कमांड निष्पादन की वैधता की जांच करने की आवश्यकता है।

पीटी एनएडी में हमला कार्ड एटीटी एंड सीके मैट्रिक्स के अनुसार उपयोग की जाने वाली रणनीति और तकनीकों पर डेटा प्रदर्शित करता है ताकि उपयोगकर्ता समझ सके कि हमलावर हमले के किस चरण में हैं, वे किस लक्ष्य का पीछा कर रहे हैं, और क्या क्षतिपूर्ति उपाय करने हैं।

PSExec उपयोगिता का उपयोग करने के बारे में नियम चालू हो गया है, जो रिमोट मशीन पर कमांड निष्पादित करने के प्रयास का संकेत दे सकता है

10. T1072: तृतीय पार्टी सॉफ़्टवेयर

एक तकनीक जिसमें हमलावर दूरस्थ प्रशासन सॉफ़्टवेयर या कॉर्पोरेट सॉफ़्टवेयर परिनियोजन प्रणाली तक पहुंच प्राप्त करते हैं और इसका उपयोग दुर्भावनापूर्ण कोड चलाने के लिए करते हैं। ऐसे सॉफ़्टवेयर के उदाहरण: SCCM, VNC, TeamViewer, HBSS, Altiris।
वैसे, तकनीक दूरस्थ कार्य के लिए बड़े पैमाने पर संक्रमण के संबंध में विशेष रूप से प्रासंगिक है और इसके परिणामस्वरूप, संदिग्ध रिमोट एक्सेस चैनलों के माध्यम से कई असुरक्षित घरेलू उपकरणों का कनेक्शन होता है।

पीटी एनएडी क्या करता है?: नेटवर्क पर ऐसे सॉफ़्टवेयर के संचालन का स्वचालित रूप से पता लगाता है। उदाहरण के लिए, नियमों को वीएनसी प्रोटोकॉल और ईविलवीएनसी ट्रोजन की गतिविधि के माध्यम से कनेक्शन द्वारा ट्रिगर किया जाता है, जो पीड़ित के होस्ट पर गुप्त रूप से एक वीएनसी सर्वर स्थापित करता है और स्वचालित रूप से इसे लॉन्च करता है। इसके अलावा, पीटी एनएडी स्वचालित रूप से टीमव्यूअर प्रोटोकॉल का पता लगाता है, इससे विश्लेषक को फ़िल्टर का उपयोग करके ऐसे सभी सत्र ढूंढने और उनकी वैधता की जांच करने में मदद मिलती है।

11. T1204: उपयोगकर्ता निष्पादन

एक तकनीक जिसमें उपयोगकर्ता फ़ाइलें चलाता है जिससे कोड निष्पादन हो सकता है। यह हो सकता है, उदाहरण के लिए, यदि वह एक निष्पादन योग्य फ़ाइल खोलता है या मैक्रो के साथ एक कार्यालय दस्तावेज़ चलाता है।

पीटी एनएडी क्या करता है?: ऐसी फ़ाइलों को लॉन्च होने से पहले, स्थानांतरण चरण में देखता है। उनके बारे में जानकारी का अध्ययन उन सत्रों के कार्ड में किया जा सकता है जिनमें उन्हें प्रसारित किया गया था।

12. T1047:विंडोज प्रबंधन उपकरण व्यवस्था

WMI टूल का उपयोग, जो विंडोज़ सिस्टम घटकों को स्थानीय और दूरस्थ पहुँच प्रदान करता है। WMI का उपयोग करके, हमलावर स्थानीय और दूरस्थ प्रणालियों के साथ बातचीत कर सकते हैं और विभिन्न प्रकार के कार्य कर सकते हैं, जैसे टोही उद्देश्यों के लिए जानकारी एकत्र करना और पार्श्व में चलते समय प्रक्रियाओं को दूर से लॉन्च करना।

पीटी एनएडी क्या करता है?: चूंकि WMI के माध्यम से दूरस्थ सिस्टम के साथ इंटरैक्शन ट्रैफ़िक में दिखाई देता है, PT NAD स्वचालित रूप से WMI सत्र स्थापित करने के लिए नेटवर्क अनुरोधों का पता लगाता है और WMI का उपयोग करने वाली स्क्रिप्ट के लिए ट्रैफ़िक की जाँच करता है।

13. T1028: विंडोज़ रिमोट प्रबंधन

विंडोज़ सेवा और प्रोटोकॉल का उपयोग करना जो उपयोगकर्ता को दूरस्थ सिस्टम के साथ इंटरैक्ट करने की अनुमति देता है।

पीटी एनएडी क्या करता है?: विंडोज़ रिमोट मैनेजमेंट का उपयोग करके स्थापित नेटवर्क कनेक्शन देखता है। ऐसे सत्रों का नियमों द्वारा स्वचालित रूप से पता लगाया जाता है।

14. T1220: एक्सएसएल (एक्स्टेंसिबल स्टाइलशीट लैंग्वेज) स्क्रिप्ट प्रोसेसिंग

XSL शैली मार्कअप भाषा का उपयोग XML फ़ाइलों में डेटा के प्रसंस्करण और विज़ुअलाइज़ेशन का वर्णन करने के लिए किया जाता है। जटिल परिचालनों का समर्थन करने के लिए, XSL मानक में विभिन्न भाषाओं में एम्बेडेड स्क्रिप्ट के लिए समर्थन शामिल है। ये भाषाएँ मनमाने कोड के निष्पादन की अनुमति देती हैं, जिससे श्वेत सूचियों के आधार पर सुरक्षा नीतियों को बायपास किया जाता है।

पीटी एनएडी क्या करता है?: नेटवर्क पर ऐसी फ़ाइलों के स्थानांतरण का पता लगाता है, यानी लॉन्च होने से पहले ही। यह स्वचालित रूप से नेटवर्क पर प्रसारित होने वाली XSL फ़ाइलों और असामान्य XSL मार्कअप वाली फ़ाइलों का पता लगाता है।

निम्नलिखित सामग्रियों में, हम देखेंगे कि पीटी नेटवर्क अटैक डिस्कवरी एनटीए सिस्टम MITER ATT&CK के अनुसार अन्य हमलावर रणनीति और तकनीकों को कैसे ढूंढता है। बने रहें!

लेखक:

• एंटोन कुटेपोव, पीटी विशेषज्ञ सुरक्षा केंद्र, पॉजिटिव टेक्नोलॉजीज के विशेषज्ञ
• नतालिया कज़ानकोवा, पॉजिटिव टेक्नोलॉजीज में उत्पाद विपणनकर्ता

स्रोत: www.habr.com