חור ככלי אבטחה - 2, או איך לתפוס APT "על פיתיון חי"

(תודה לסרגיי ג'י ברסטר על רעיון הכותרת סברס)

עמיתים, מטרת מאמר זה היא לחלוק את החוויה של מבצע בדיקה שנמשך שנה של סוג חדש של פתרונות IDS המבוססים על טכנולוגיות Deception.

על מנת לשמור על הקוהרנטיות הלוגית של הצגת החומר, אני רואה צורך להתחיל בהנחות היסוד. אז הבעיה:

1. התקפות ממוקדות הן סוג התקיפה המסוכן ביותר, למרות העובדה שחלקן במספר האיומים הכולל קטן.
2. עדיין לא הומצא אמצעי יעיל מובטח להגנה על ההיקף (או קבוצה של אמצעים כאלה).
3. ככלל, התקפות ממוקדות מתרחשות במספר שלבים. התגברות על ההיקף היא רק אחד מהשלבים הראשוניים, אשר (אפשר לזרוק עלי אבנים) אינו גורם נזק רב ל"קורבן", אלא אם כן, כמובן, מדובר בהתקפת DEoS (הרס של שירות) (מצפנים וכו' .). ה"כאב" האמיתי מתחיל מאוחר יותר, כאשר הנכסים שנתפסו מתחילים לשמש לסיבוב ופיתוח התקפת "עומק", ולא שמנו לב לכך.
4. מכיוון שאנו מתחילים לספוג הפסדים של ממש כאשר תוקפים מגיעים סוף סוף ליעדי המתקפה (שרתי יישומים, DBMS, מחסני נתונים, מאגרים, רכיבי תשתית קריטיים), הגיוני שאחת המשימות של שירות אבטחת המידע היא לקטוע מתקפות לפני האירוע העצוב הזה. אבל כדי להפריע למשהו, תחילה עליך לברר אותו. וכמה שיותר מוקדם, יותר טוב.
5. בהתאם לכך, לניהול סיכונים מוצלח (כלומר, צמצום נזקים ממתקפות ממוקדות), קריטי שיהיו כלים שיספקו מינימום TTD (זמן לגילוי – הזמן מרגע הפריצה ועד לרגע זיהוי התקיפה). תלוי בתעשייה ובאזור, תקופה זו עומדת על ממוצע של 99 ימים בארה"ב, 106 ימים באזור EMEA, 172 ימים באזור APAC (M-Trends 2017, A View From the Front Lines, Mandiant).
6. מה מציע השוק?
   • "ארגזי חול". עוד בקרה מונעת, שרחוקה מלהיות אידיאלית. ישנן טכניקות יעילות רבות לאיתור ולעקוף ארגזי חול או פתרונות לרשימה הלבנה. החבר'ה מה"צד האפל" עדיין צעד אחד קדימה כאן.
   • UEBA (מערכות לפרופיל התנהגות וזיהוי סטיות) - בתיאוריה, יכולות להיות מאוד יעילות. אבל, לדעתי, זה מתישהו בעתיד הרחוק. בפועל זה עדיין מאוד יקר, לא אמין ודורש תשתית IT ואבטחת מידע בוגרת ויציבה מאוד, שיש לה כבר את כל הכלים שייצרו נתונים לניתוח התנהגותי.
   • SIEM הוא כלי טוב לחקירות, אבל הוא לא מסוגל לראות ולהראות משהו חדש ומקורי בזמן, מכיוון שכללי המתאם זהים לחתימות.

7. כתוצאה מכך, יש צורך בכלי שיוכל:
   • עבד בהצלחה בתנאים של היקף שכבר נפגע,
   • זיהה התקפות מוצלחות כמעט בזמן אמת, ללא קשר לכלים ולפגיעויות בשימוש,
   • לא היה תלוי בחתימות/כללים/סקריפטים/מדיניות/פרופילים ודברים סטטיים אחרים,
   • לא דרש כמויות גדולות של נתונים ומקורותיהם לניתוח,
   • יאפשר להגדיר התקפות לא כאיזושהי ציון סיכון כתוצאה מעבודתם של "הטובים בעולם, המתמטיקה המוגנת בפטנט ולכן סגורה", הדורשת חקירה נוספת, אלא למעשה כאירוע בינארי - "כן, אנחנו מותקפים" או "לא, הכל בסדר",
   • היה אוניברסלי, ניתן להרחבה ביעילות וניתן ליישם בכל סביבה הטרוגנית, ללא קשר לטופולוגיית הרשת הפיזית והלוגית שבה נעשה שימוש.

מה שנקרא פתרונות הונאה מתחרים כעת על תפקידו של כלי כזה. כלומר, פתרונות המבוססים על הקונספט הישן והטוב של עציצי דבש, אך ברמת יישום שונה לחלוטין. הנושא הזה בהחלט נמצא במגמת עלייה כעת.

לפי התוצאות פסגת ניהול אבטחה וסיכון של גרטנר 2017 פתרונות הטעיה כלולים ב-TOP 3 האסטרטגיות והכלים שמומלץ להשתמש בהם.

לפי הכתבה שנתית TAG Cybersecurity 2017 הונאה היא אחד מכיווני הפיתוח העיקריים של פתרונות IDS Intrusion Detection Systems).

חלק שלם מהאחרון דוח אבטחת ה-IT של סיסקו, המוקדש ל-SCADA, מבוסס על נתונים של אחת מהמובילות בשוק זה, TrapX Security (ישראל), שהפתרון שלה עובד באזור הבדיקות שלנו כבר שנה.

TrapX Deception Grid מאפשרת לך לעלות ולתפעל IDS ​​הפצה מאסיבית באופן מרכזי, מבלי להגדיל את עומס הרישוי והדרישות למשאבי חומרה. למעשה, TrapX הוא קונסטרוקטור המאפשר ליצור מאלמנטים של תשתית ה-IT הקיימת מנגנון אחד גדול לזיהוי התקפות בקנה מידה ארגוני, מעין "אזעקה" של רשת מבוזרת.

מבנה הפתרון

במעבדה שלנו אנו לומדים ובודקים כל הזמן מוצרים חדשים ומגוונים בתחום אבטחת ה-IT. נכון לעכשיו, כ-50 שרתים וירטואליים שונים פרוסים כאן, כולל רכיבי TrapX Deception Grid.

אז מלמעלה למטה:

1. TSOC (TrapX Security Operation Console) הוא המוח של המערכת. זוהי קונסולת הניהול המרכזית שבאמצעותה מתבצעת התצורה, פריסת הפתרון וכל הפעולות השוטפות. מכיוון שמדובר בשירות אינטרנט, ניתן לפרוס אותו בכל מקום - בהיקפים, בענן או אצל ספק MSSP.
2. TrapX Appliance (TSA) הוא שרת וירטואלי שאליו אנו מחברים, באמצעות יציאת המטען, את רשתות המשנה שאנו רוצים לכסות באמצעות ניטור. כמו כן, כל חיישני הרשת שלנו למעשה "גרים" כאן.

   במעבדה שלנו יש TSA אחד פרוס (mwsapp1), אבל במציאות יכולים להיות רבים. זה עשוי להיות נחוץ ברשתות גדולות שבהן אין קישוריות L2 בין מקטעים (דוגמה טיפוסית היא "אחזקות וחברות בנות" או "משרד ראשי בנק וסניפים") או אם ברשת יש מקטעים מבודדים, למשל, מערכות אוטומטיות לבקרת תהליכים. בכל ענף/מקטע כזה, אתה יכול לפרוס את ה-TSA שלך ולחבר אותו ל-TSOC יחיד, שבו כל המידע יעובד באופן מרכזי. ארכיטקטורה זו מאפשרת לך לבנות מערכות ניטור מבוזרות ללא צורך בארגון מחדש קיצוני של הרשת או לשבש פילוח קיים.

   כמו כן, אנו יכולים לשלוח עותק של תנועה יוצאת ל-TSA באמצעות TAP/SPAN. אם נזהה חיבורים עם בוטנטים ידועים, שרתי פקודה ובקרה או הפעלות TOR, נקבל את התוצאה גם בקונסולה. חיישן מודיעין רשת (ש"ח) אחראי לכך. בסביבה שלנו, פונקציונליות זו מיושמת בחומת האש, ולכן לא השתמשנו בה כאן.

3. מלכודות יישומים (מערכת הפעלה מלאה) - סיר דבש מסורתי המבוסס על שרתי Windows. אתה לא צריך הרבה מהם, שכן המטרה העיקרית של שרתים אלה היא לספק שירותי IT לשכבה הבאה של חיישנים או לזהות התקפות על יישומים עסקיים שעשויים להיות פרוסים בסביבת Windows. יש לנו שרת אחד כזה מותקן במעבדה שלנו (FOS01)

   

4. מלכודות אמולציות הן המרכיב העיקרי של הפתרון, המאפשר לנו, באמצעות מכונה וירטואלית אחת, ליצור "שדה מוקשים" צפוף מאוד לתוקפים ולהרוות את הרשת הארגונית, כל ה-Vlans שלה, בחיישנים שלנו. התוקף רואה בחיישן כזה, או מארח פנטום, כמחשב או שרת של Windows אמיתי, שרת לינוקס או מכשיר אחר שאנו מחליטים להראות לו.

   
   
   לטובת העסק ולמען הסקרנות, פרסנו "זוג מכל יצור" - מחשבי Windows ושרתים בגרסאות שונות, שרתי לינוקס, כספומט עם Windows משובץ, SWIFT Web Access, מדפסת רשת, סיסקו מתג, מצלמת IP של Axis, מקבוק, מכשיר PLC ואפילו נורה חכמה. ישנם 13 מארחים בסך הכל. באופן כללי, הספק ממליץ לפרוס חיישנים כאלה בכמות של לפחות 10% ממספר המארחים האמיתיים. הסרגל העליון הוא מרחב הכתובות הזמין.

   נקודה חשובה מאוד היא שכל מארח כזה אינו מכונה וירטואלית מלאה הדורשת משאבים ורישיונות. זהו תהליך פיתוי, אמולציה, אחד ב-TSA, שיש לו סט פרמטרים וכתובת IP. לכן, אפילו בעזרת TSA אחד, נוכל להרוות את הרשת במאות מארחי פנטום כאלה, שיעבדו כחיישנים במערכת האזעקה. הטכנולוגיה הזו היא שמאפשרת להרחיב את קונספט סיר הדבש בצורה חסכונית על פני כל מפעל מבוזר גדול.

   מנקודת מבטו של התוקף, המארחים הללו אטרקטיביים מכיוון שהם מכילים נקודות תורפה ונראים כמטרות קלות יחסית. התוקף רואה שירותים במארחים אלו ויכול לקיים איתם אינטראקציה ולתקוף אותם באמצעות כלים ופרוטוקולים סטנדרטיים (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus וכו'). אבל אי אפשר להשתמש במארחים האלה כדי לפתח התקפה או להפעיל קוד משלך.

5. השילוב של שתי הטכנולוגיות הללו (FullOS ומלכודות אמולציות) מאפשר לנו להשיג סבירות סטטיסטית גבוהה שתוקף יתקל במוקדם או במאוחר באלמנט כלשהו של רשת האיתות שלנו. אבל איך נוכל לוודא שההסתברות הזו קרובה ל-100%?

   מה שנקרא אסימוני הונאה נכנסים לקרב. הודות להם, אנו יכולים לכלול את כל המחשבים והשרתים הקיימים של הארגון ב-IDS המבוזר שלנו. אסימונים ממוקמים במחשבים האמיתיים של המשתמשים. חשוב להבין שאסימונים אינם סוכנים שצורכים משאבים ועלולים לגרום לעימותים. אסימונים הם מרכיבי מידע פסיביים, מעין "פירורי לחם" לצד התוקף המובילים אותו למלכודת. לדוגמה, כונני רשת ממופים, סימניות למנהלי אינטרנט מזויפים בדפדפן ושמירת סיסמאות עבורם, הפעלות שמורות של ssh/rdp/winscp, המלכודות שלנו עם הערות בקבצי מארח, סיסמאות שנשמרו בזיכרון, אישורים של משתמשים לא קיימים, אופיס קבצים, פתיחה שתפעיל את המערכת ועוד הרבה יותר. כך, אנו ממקמים את התוקף בסביבה מעוותת, רוויה בוקטורי תקיפה שלמעשה אינם מהווים איום עלינו, אלא להיפך. ואין לו דרך לקבוע היכן המידע נכון ואיפה הוא שקרי. לפיכך, אנו לא רק מבטיחים זיהוי מהיר של התקפה, אלא גם מאטים משמעותית את התקדמותה.

דוגמה ליצירת מלכודת רשת והגדרת אסימונים. ממשק ידידותי וללא עריכה ידנית של הגדרות, סקריפטים וכו'.

בסביבה שלנו, הגדרנו והצבנו מספר אסימונים כאלה ב-FOS01 המריץ את Windows Server 2012R2 ובמחשב ניסיון המריץ את Windows 7. RDP פועל על המכונות הללו ואנו "תולים" אותם מעת לעת ב-DMZ, שם מספר החיישנים שלנו מוצגות גם (מלכודות מדומות). אז אנחנו מקבלים זרם מתמיד של תקריות, באופן טבעי כביכול.

אז הנה כמה נתונים סטטיסטיים מהירים לשנה:

56 - אירועים נרשמו,
2 - זוהו מארחי מקור תקיפה.

מפת התקפה אינטראקטיבית ניתנת ללחיצה

יחד עם זאת, הפתרון לא מייצר איזשהו מגה-לוג או פיד אירועים, שלוקח הרבה זמן להבין אותו. במקום זאת, הפתרון עצמו מסווג אירועים לפי סוגיהם ומאפשר לצוות אבטחת המידע להתמקד בעיקר במסוכנים שבהם – כאשר התוקף מנסה להעלות סשנים בקרה (אינטראקציה) או כאשר מטענים בינאריים (זיהום) מופיעים בתעבורה שלנו.

כל המידע על אירועים קריא ומוצג לדעתי בצורה קלה להבנה גם למשתמש בעל ידע בסיסי בתחום אבטחת המידע.

רוב התקריות המתועדות הן ניסיונות לסרוק את המארחים שלנו או חיבורים בודדים.

או ניסיונות לאלץ סיסמאות עבור RDP

אבל היו גם מקרים מעניינים יותר, במיוחד כאשר התוקפים "הצליחו" לנחש את הסיסמה עבור RDP ולקבל גישה לרשת המקומית.

תוקף מנסה להפעיל קוד באמצעות psexec.

התוקף מצא סשן שנשמר, שהוביל אותו למלכודת בצורת שרת לינוקס. מיד לאחר החיבור, עם סט פקודות אחד שהוכן מראש, הוא ניסה להרוס את כל קבצי היומן ומשתני המערכת המתאימים.

תוקף מנסה לבצע הזרקת SQL על סיר דבש המחקה SWIFT Web Access.

בנוסף להתקפות "טבעיות" כאלה, ערכנו גם מספר בדיקות משלנו. אחד החושפניים ביותר הוא בדיקת זמן הזיהוי של תולעת רשת ברשת. לשם כך השתמשנו בכלי מבית GuardiCore שנקרא קוף זיהום. זוהי תולעת רשת שיכולה לחטוף את Windows ולינוקס, אך ללא כל "עומס".
פרסנו מרכז פיקוד מקומי, השקנו את המופע הראשון של התולעת באחת המכונות וקיבלנו את ההתראה הראשונה בקונסולת ה-TrapX תוך פחות מדקה וחצי. TTD 90 שניות לעומת 106 ימים בממוצע...

הודות ליכולת האינטגרציה עם סוגים אחרים של פתרונות, אנו יכולים לעבור מזיהוי מהיר של איומים לתשובה אוטומטית אליהם.

לדוגמה, אינטגרציה עם מערכות NAC (Network Access Control) או עם CarbonBlack תאפשר לך לנתק אוטומטית מחשבים שנפגעו מהרשת.

אינטגרציה עם ארגזי חול מאפשרת הגשה אוטומטית של קבצים המעורבים בהתקפה לניתוח.

אינטגרציה של McAfee

לפתרון יש גם מערכת מובנית משלו לתאם אירועים.

אבל לא היינו מרוצים מהיכולות שלו, אז שילבנו אותו עם HP ArcSight.

מערכת הכרטוס המובנית עוזרת לכל העולם להתמודד עם איומים שזוהו.

מאחר שהפתרון פותח "מההתחלה" לצורכי סוכנויות ממשלתיות ופלח תאגידי גדול, הוא מיישם באופן טבעי מודל גישה מבוסס תפקידים, אינטגרציה עם AD, מערכת מפותחת של דוחות וטריגרים (התראות על אירועים), תזמור עבור מבני אחזקות גדולים או ספקי MSSP.

במקום קורות חיים

אם יש מערכת ניטור כזו, שבאופן פיגורטיבי, מכסה את הגב שלנו, אז עם הפשרה של ההיקף הכל רק מתחיל. הכי חשוב שתהיה הזדמנות אמיתית להתמודד עם אירועי אבטחת מידע, ולא להתמודד עם ההשלכות שלהם.

מקור: www.habr.com