ჩვენ ვააქტიურებთ ღონისძიებების შეგროვებას Windows-ში საეჭვო პროცესების გაშვების შესახებ და საფრთხეების იდენტიფიცირებას Quest InTrust-ის გამოყენებით

თავდასხმების ერთ-ერთი ყველაზე გავრცელებული ტიპია მავნე პროცესის ქვირითობა ხეზე სრულიად საპატიო პროცესების პირობებში. შესრულებადი ფაილის გზა შეიძლება იყოს საეჭვო: მავნე პროგრამა ხშირად იყენებს AppData ან Temp საქაღალდეებს და ეს არ არის დამახასიათებელი ლეგიტიმური პროგრამებისთვის. სამართლიანობისთვის, ღირს იმის თქმა, რომ ზოგიერთი ავტომატური განახლების პროგრამა შესრულებულია AppData-ში, ამიტომ მხოლოდ გაშვების ადგილმდებარეობის შემოწმება საკმარისი არ არის იმისათვის, რომ დაადასტუროთ, რომ პროგრამა მავნეა.

ლეგიტიმურობის დამატებითი ფაქტორია კრიპტოგრაფიული ხელმოწერა: ბევრ ორიგინალურ პროგრამას ხელს აწერს გამყიდველი. თქვენ შეგიძლიათ გამოიყენოთ ის ფაქტი, რომ არ არსებობს ხელმოწერა, როგორც მეთოდი საეჭვო გაშვების ნივთების იდენტიფიცირებისთვის. მაგრამ ისევ არის მავნე პროგრამა, რომელიც იყენებს მოპარულ სერთიფიკატს ხელმოწერისთვის.

თქვენ ასევე შეგიძლიათ შეამოწმოთ MD5 ან SHA256 კრიპტოგრაფიული ჰეშების მნიშვნელობა, რომელიც შეიძლება შეესაბამებოდეს ადრე აღმოჩენილ მავნე პროგრამას. შეგიძლიათ განახორციელოთ სტატიკური ანალიზი პროგრამაში ხელმოწერების დათვალიერებით (Yara წესების ან ანტივირუსული პროდუქტების გამოყენებით). ასევე არსებობს დინამიური ანალიზი (პროგრამის გაშვება ზოგიერთ უსაფრთხო გარემოში და მისი მოქმედებების მონიტორინგი) და საპირისპირო ინჟინერია.

მავნე პროცესის მრავალი ნიშანი შეიძლება იყოს. ამ სტატიაში ჩვენ გეტყვით, თუ როგორ უნდა ჩართოთ Windows-ში შესაბამისი მოვლენების აუდიტი, გავაანალიზებთ იმ ნიშნებს, რომლებსაც ეყრდნობა ჩაშენებული წესი InTrust საეჭვო პროცესის იდენტიფიცირება. InTrust არის CLM პლატფორმა არასტრუქტურირებული მონაცემების შეგროვების, ანალიზისა და შესანახად, რომელსაც უკვე აქვს ასობით წინასწარ განსაზღვრული რეაქცია სხვადასხვა ტიპის თავდასხმებზე.

როდესაც პროგრამა გაშვებულია, ის იტვირთება კომპიუტერის მეხსიერებაში. შესრულებადი ფაილი შეიცავს კომპიუტერის ინსტრუქციებს და დამხმარე ბიბლიოთეკებს (მაგალითად, *.dll). როდესაც პროცესი უკვე მიმდინარეობს, მას შეუძლია შექმნას დამატებითი ძაფები. ძაფები საშუალებას აძლევს პროცესს ერთდროულად შეასრულოს ინსტრუქციების სხვადასხვა ნაკრები. მავნე კოდის მეხსიერებაში შეღწევისა და გაშვების მრავალი გზა არსებობს, მოდით გადავხედოთ ზოგიერთ მათგანს.

მავნე პროცესის გაშვების უმარტივესი გზაა აიძულოთ მომხმარებელი პირდაპირ გაუშვას იგი (მაგალითად, ელ. ფოსტის დანართიდან), შემდეგ კი გამოიყენოთ RunOnce ღილაკი მის გასაშვებად ყოველ ჯერზე კომპიუტერის ჩართვისას. ეს ასევე მოიცავს „ფაილის გარეშე“ მავნე პროგრამას, რომელიც ინახავს PowerShell სკრიპტებს რეესტრის გასაღებებში, რომლებიც შესრულებულია ტრიგერის საფუძველზე. ამ შემთხვევაში, PowerShell სკრიპტი არის მავნე კოდი.

აშკარად გაშვებული მავნე პროგრამის პრობლემა არის ის, რომ ეს არის ცნობილი მიდგომა, რომელიც ადვილად გამოვლენილია. ზოგიერთი მავნე პროგრამა აკეთებს უფრო ჭკვიანურ საქმეებს, როგორიცაა სხვა პროცესის გამოყენება მეხსიერებაში შესრულების დასაწყებად. ამიტომ, პროცესს შეუძლია შექმნას სხვა პროცესი კონკრეტული კომპიუტერის ინსტრუქციის გაშვებით და გასაშვებად შესრულებადი ფაილის (.exe) მითითებით.

ფაილის მითითება შესაძლებელია სრული ბილიკის (მაგალითად, C:Windowssystem32cmd.exe) ან ნაწილობრივი ბილიკის გამოყენებით (მაგალითად, cmd.exe). თუ თავდაპირველი პროცესი დაუცველია, ის არალეგიტიმური პროგრამების გაშვების საშუალებას მისცემს. შეტევა შეიძლება ასე გამოიყურებოდეს: პროცესი იწყებს cmd.exe-ს სრული ბილიკის მითითების გარეშე, თავდამსხმელი ათავსებს თავის cmd.exe-ს ისეთ ადგილას, რომ პროცესი გაუშვას მას ლეგიტიმურზე ადრე. როგორც კი მავნე პროგრამა გაშვება, მას თავის მხრივ შეუძლია გაუშვას ლეგიტიმური პროგრამა (როგორიცაა C:Windowssystem32cmd.exe), რათა თავდაპირველმა პროგრამამ გააგრძელოს გამართულად მუშაობა.

წინა შეტევის ვარიაციაა DLL ინექცია ლეგიტიმურ პროცესში. როდესაც პროცესი იწყება, ის პოულობს და იტვირთავს ბიბლიოთეკებს, რომლებიც აფართოებენ მის ფუნქციონირებას. DLL ინექციის გამოყენებით, თავდამსხმელი ქმნის მავნე ბიბლიოთეკას იგივე სახელით და API, როგორც ლეგიტიმური. პროგრამა ატვირთავს მავნე ბიბლიოთეკას და ის, თავის მხრივ, ატვირთავს ლეგიტიმურ ბიბლიოთეკას და, საჭიროების შემთხვევაში, მოუწოდებს მას ოპერაციების შესასრულებლად. მავნე ბიბლიოთეკა იწყებს მოქმედებას კარგი ბიბლიოთეკის მარიონეტად.

მავნე კოდის მეხსიერებაში ჩასმის კიდევ ერთი გზა არის მისი ჩასმა უკვე გაშვებულ სახიფათო პროცესში. პროცესები იღებენ ინფორმაციას სხვადასხვა წყაროდან - კითხულობს ქსელიდან ან ფაილებიდან. ისინი, როგორც წესი, ასრულებენ შემოწმებას, რათა უზრუნველყონ შეყვანის ლეგიტიმური. მაგრამ ზოგიერთ პროცესს არ აქვს სათანადო დაცვა ინსტრუქციების შესრულებისას. ამ თავდასხმის დროს დისკზე არ არის ბიბლიოთეკა ან მავნე კოდის შემცველი შესრულებადი ფაილი. ყველაფერი ინახება მეხსიერებაში ექსპლუატაციის პროცესთან ერთად.

ახლა მოდით შევხედოთ მეთოდოლოგიას Windows-ში მსგავსი მოვლენების შეგროვების გასააქტიურებლად და InTrust-ის წესს, რომელიც ახორციელებს დაცვას ასეთი საფრთხეებისგან. პირველი, მოდით გავააქტიუროთ ის InTrust მართვის კონსოლის მეშვეობით.

წესი იყენებს Windows OS-ის პროცესების თვალთვალის შესაძლებლობებს. სამწუხაროდ, მსგავსი ღონისძიებების შეგროვების შესაძლებლობა შორს არის აშკარა. არსებობს 3 განსხვავებული ჯგუფის პოლიტიკის პარამეტრი, რომელიც უნდა შეცვალოთ:

კომპიუტერის კონფიგურაცია > პოლიტიკა > Windows პარამეტრები > უსაფრთხოების პარამეტრები > ლოკალური პოლიტიკა > აუდიტის პოლიტიკა > აუდიტის პროცესის თვალყურის დევნება

კომპიუტერის კონფიგურაცია > პოლიტიკა > Windows პარამეტრები > უსაფრთხოების პარამეტრები > გაფართოებული აუდიტის პოლიტიკის კონფიგურაცია > აუდიტის პოლიტიკა > დეტალური თვალყურის დევნება > აუდიტის პროცესის შექმნა

კომპიუტერის კონფიგურაცია > პოლიტიკა > ადმინისტრაციული შაბლონები > სისტემა > აუდიტის პროცესის შექმნა > ბრძანების ხაზის ჩართვა პროცესის შექმნის მოვლენებში

ჩართვის შემდეგ, InTrust-ის წესები საშუალებას გაძლევთ აღმოაჩინოთ ადრე უცნობი საფრთხეები, რომლებიც ავლენენ საეჭვო ქცევას. მაგალითად, შეგიძლიათ იდენტიფიცირება აღწერილია აქ Dridex მავნე პროგრამა. HP Bromium-ის პროექტის წყალობით, ჩვენ ვიცით, როგორ მუშაობს ეს საფრთხე.

მოქმედებების ჯაჭვში Dridex იყენებს schtasks.exe დაგეგმილი ამოცანის შესაქმნელად. ამ კონკრეტული პროგრამის გამოყენება ბრძანების სტრიქონიდან ძალიან საეჭვოდ ითვლება; svchost.exe-ის გაშვება პარამეტრებით, რომლებიც მიუთითებენ მომხმარებლის საქაღალდეებზე ან პარამეტრებით, რომლებიც მსგავსია "net view" ან "whoami" ბრძანებების მსგავსი. აქ არის ფრაგმენტი შესაბამისი SIGMA-ს წესები:

detection:
    selection1:
        CommandLine: '*svchost.exe C:Users\*Desktop\*'
    selection2:
        ParentImage: '*svchost.exe*'
        CommandLine:
            - '*whoami.exe /all'
            - '*net.exe view'
    condition: 1 of them

InTrust-ში ყველა საეჭვო ქცევა შედის ერთ წესში, რადგან ამ ქმედებების უმეტესობა არ არის სპეციფიკური კონკრეტული საფრთხისთვის, არამედ საეჭვოა კომპლექსში და 99% შემთხვევაში გამოიყენება არც თუ ისე კეთილშობილური მიზნებისთვის. მოქმედებების ეს სია მოიცავს, მაგრამ არ შემოიფარგლება მხოლოდ:

• არაჩვეულებრივი ადგილებიდან გაშვებული პროცესები, როგორიცაა მომხმარებლის დროებითი საქაღალდეები.
• ცნობილი სისტემური პროცესი საეჭვო მემკვიდრეობით - ზოგიერთმა საფრთხემ შეიძლება შეეცადოს გამოიყენოს სისტემის პროცესების სახელი, რათა დარჩეს შეუმჩნეველი.
• ადმინისტრაციული ინსტრუმენტების საეჭვო შესრულება, როგორიცაა cmd ან PsExec, როდესაც ისინი იყენებენ ადგილობრივი სისტემის რწმუნებათა სიგელებს ან საეჭვო მემკვიდრეობას.
• საეჭვო ჩრდილოვანი ასლის ოპერაციები არის გამოსასყიდი პროგრამის ვირუსების საერთო ქცევა სისტემის დაშიფვრამდე; ისინი კლავენ სარეზერვო ასლებს:

  — vssadmin.exe-ის საშუალებით;
  - WMI-ის საშუალებით.

• დაარეგისტრირეთ მთელი რეესტრის სკების ნაგავსაყრელები.
• მავნე კოდის ჰორიზონტალური მოძრაობა, როდესაც პროცესი დისტანციურად იწყება ბრძანებების გამოყენებით, როგორიცაა at.exe.
• საეჭვო ლოკალური ჯგუფის ოპერაციები და დომენის ოპერაციები net.exe-ის გამოყენებით.
• Firewall-ის საეჭვო აქტივობა netsh.exe-ის გამოყენებით.
• ACL-ის საეჭვო მანიპულირება.
• BITS-ის გამოყენება მონაცემთა ექსფილტრაციისთვის.
• საეჭვო მანიპულაციები WMI-ით.
• საეჭვო სკრიპტის ბრძანებები.
• უსაფრთხო სისტემის ფაილების გადაყრის მცდელობები.

კომბინირებული წესი ძალიან კარგად მუშაობს ისეთი საფრთხეების გამოსავლენად, როგორიცაა RUYK, LockerGoga და სხვა გამოსასყიდი პროგრამები, მავნე პროგრამები და კიბერდანაშაულის ინსტრუმენტარიუმი. წესი გამოცდილია გამყიდველის მიერ საწარმოო გარემოში ცრუ დადებითი შედეგების შესამცირებლად. და SIGMA პროექტის წყალობით, ამ ინდიკატორების უმეტესობა წარმოქმნის ხმაურის მოვლენების მინიმალურ რაოდენობას.

იმიტომ რომ InTrust-ში ეს არის მონიტორინგის წესი, შეგიძლიათ შეასრულოთ საპასუხო სკრიპტი, როგორც რეაქცია საფრთხეზე. შეგიძლიათ გამოიყენოთ ერთ-ერთი ჩაშენებული სკრიპტი ან შექმნათ საკუთარი და InTrust ავტომატურად გაავრცელებს მას.

გარდა ამისა, შეგიძლიათ შეამოწმოთ მოვლენებთან დაკავშირებული ყველა ტელემეტრია: PowerShell სკრიპტები, პროცესის შესრულება, დაგეგმილი დავალების მანიპულაციები, WMI ადმინისტრაციული აქტივობა და გამოიყენოთ ისინი სიკვდილის შემდგომი დაღუპვისთვის უსაფრთხოების ინციდენტების დროს.

InTrust-ს აქვს ასობით სხვა წესი, ზოგიერთი მათგანი:

• PowerShell-ის დაქვეითების შეტევის გამოვლენა ხდება მაშინ, როდესაც ვინმე შეგნებულად იყენებს PowerShell-ის ძველ ვერსიას, რადგან... ძველ ვერსიაში არ არსებობდა იმის აუდიტი, რაც ხდებოდა.
• მაღალი პრივილეგიებით შესვლის გამოვლენა არის, როდესაც ანგარიშები, რომლებიც არიან გარკვეული პრივილეგირებული ჯგუფის წევრები (როგორიცაა დომენის ადმინისტრატორები) შედიან სამუშაო სადგურებზე შემთხვევით ან უსაფრთხოების ინციდენტების გამო.

InTrust საშუალებას გაძლევთ გამოიყენოთ უსაფრთხოების საუკეთესო პრაქტიკა წინასწარ განსაზღვრული გამოვლენისა და რეაგირების წესების სახით. და თუ ფიქრობთ, რომ რაღაც სხვაგვარად უნდა იმუშაოს, შეგიძლიათ გააკეთოთ წესის საკუთარი ასლი და საჭიროებისამებრ დააკონფიგურიროთ. თქვენ შეგიძლიათ წარადგინოთ განაცხადი პილოტის ჩასატარებლად ან დროებითი ლიცენზიებით სადისტრიბუციო კომპლექტების მოპოვებაზე უკუკავშირის ფორმა ჩვენს ვებგვერდზე.

გამოიწერეთ ჩვენი ფეისბუქის გვერდი, იქ ვაქვეყნებთ მოკლე ჩანაწერებს და საინტერესო ბმულებს.

წაიკითხეთ ჩვენი სხვა სტატიები ინფორმაციის უსაფრთხოების შესახებ:

როგორ შეუძლია InTrust-ს დაეხმაროს RDP-ის მეშვეობით ავტორიზაციის წარუმატებელი მცდელობების სიხშირის შემცირებაში

ჩვენ აღმოვაჩენთ გამოსასყიდის შეტევას, ვიღებთ წვდომას დომენის კონტროლერზე და ვცდილობთ წინააღმდეგობა გავუწიოთ ამ შეტევებს

რა სასარგებლო ნივთების ამოღება შეიძლება Windows-ზე დაფუძნებული სამუშაო სადგურის ჟურნალებიდან? (პოპულარული სტატია)

მომხმარებელთა სასიცოცხლო ციკლის თვალყურის დევნება ქლიბის ან ლენტის გარეშე

ვინ გააკეთა? ჩვენ ავტომატიზირებს ინფორმაციის უსაფრთხოების აუდიტს

როგორ შევამციროთ SIEM სისტემის საკუთრების ღირებულება და რატომ გჭირდებათ ცენტრალური ჟურნალის მენეჯმენტი (CLM)

წყარო: www.habr.com