រន្ធជាឧបករណ៍សុវត្ថិភាព - 2 ឬរបៀបចាប់ APT "ជាមួយនុយផ្ទាល់"

(សូមអរគុណ Sergey G. Brester សម្រាប់គំនិតចំណងជើង សេបេស)

មិត្តរួមការងារ គោលបំណងនៃអត្ថបទនេះគឺដើម្បីចែករំលែកបទពិសោធន៍នៃប្រតិបត្តិការសាកល្បងរយៈពេលមួយឆ្នាំនៃថ្នាក់ថ្មីនៃដំណោះស្រាយ IDS ដោយផ្អែកលើបច្ចេកវិទ្យាបោកបញ្ឆោត។

ដើម្បីរក្សាបាននូវភាពស៊ីសង្វាក់គ្នានៃបទបង្ហាញនៃសម្ភារៈ ខ្ញុំចាត់ទុកថាវាចាំបាច់ដើម្បីចាប់ផ្តើមជាមួយបរិវេណ។ ដូច្នេះបញ្ហា៖

1. ការវាយប្រហារតាមគោលដៅគឺជាប្រភេទនៃការវាយប្រហារដ៏គ្រោះថ្នាក់បំផុត ទោះបីជាការពិតដែលថាចំណែករបស់ពួកគេនៅក្នុងចំនួនសរុបនៃការគំរាមកំហែងមានចំនួនតិចក៏ដោយ។
2. មិន​ទាន់​មាន​មធ្យោបាយ​ការពារ​បរិវេណ​ដែល​មាន​ប្រសិទ្ធភាព​ដែល​ធានា​បាន​ទេ (ឬ​សំណុំ​នៃ​មធ្យោបាយ​បែប​នេះ) ត្រូវ​បាន​បង្កើត​ឡើង​នៅ​ឡើយ​ទេ។
3. តាមក្បួនមួយ ការវាយប្រហារតាមគោលដៅកើតឡើងក្នុងដំណាក់កាលជាច្រើន។ ការយកឈ្នះលើបរិវេណគឺគ្រាន់តែជាដំណាក់កាលដំបូងប៉ុណ្ណោះ ដែល (អ្នកអាចគប់ដុំថ្មមកលើខ្ញុំ) មិនបង្កការខូចខាតច្រើនដល់ "ជនរងគ្រោះ" ទេ លុះត្រាតែវាជាការវាយប្រហារ DEoS (ការបំផ្លាញសេវាកម្ម) (អ៊ិនគ្រីប។ល។ .) "ការឈឺចាប់" ពិតប្រាកដចាប់ផ្តើមនៅពេលក្រោយ នៅពេលដែលទ្រព្យសម្បត្តិដែលចាប់បានចាប់ផ្តើមត្រូវបានប្រើប្រាស់សម្រាប់ការបង្វែរ និងបង្កើតការវាយប្រហារ "ជម្រៅ" ហើយយើងមិនបានកត់សំគាល់រឿងនេះទេ។
4. ចាប់តាំងពីយើងចាប់ផ្តើមទទួលរងការខាតបង់ពិតប្រាកដ នៅពេលដែលអ្នកវាយប្រហារទីបំផុតទៅដល់គោលដៅនៃការវាយប្រហារ (ម៉ាស៊ីនមេកម្មវិធី DBMS ឃ្លាំងទិន្នន័យ ឃ្លាំង ធាតុហេដ្ឋារចនាសម្ព័ន្ធសំខាន់ៗ) វាសមហេតុផលដែលភារកិច្ចមួយនៃសេវាកម្មសន្តិសុខព័ត៌មានគឺដើម្បីរំខានការវាយប្រហារពីមុន។ ព្រឹត្តិការណ៍ដ៏សោកសៅនេះ។ ប៉ុន្តែ​ដើម្បី​រំខាន​អ្វី​មួយ អ្នក​ត្រូវ​ស្វែង​យល់​ពី​វា​ជាមុន​សិន។ ហើយកាន់តែឆាប់កាន់តែល្អ។
5. ដូច្នោះហើយ សម្រាប់ការគ្រប់គ្រងហានិភ័យដោយជោគជ័យ (ពោលគឺកាត់បន្ថយការខូចខាតពីការវាយប្រហារតាមគោលដៅ) វាមានសារៈសំខាន់ណាស់ក្នុងការមានឧបករណ៍ដែលនឹងផ្តល់ TTD អប្បបរមា (ពេលវេលាដើម្បីស្វែងរក - ពេលវេលាចាប់ពីពេលនៃការឈ្លានពានរហូតដល់ពេលដែលការវាយប្រហារត្រូវបានរកឃើញ)។ អាស្រ័យលើឧស្សាហកម្ម និងតំបន់ រយៈពេលនេះជាមធ្យម 99 ថ្ងៃនៅក្នុងសហរដ្ឋអាមេរិក 106 ថ្ងៃនៅក្នុងតំបន់ EMEA 172 ថ្ងៃនៅក្នុងតំបន់ APAC (M-Trends 2017, A View From the Front Lines, Mandiant) ។
6. តើទីផ្សារផ្តល់ជូនអ្វីខ្លះ?
   • "ប្រអប់ខ្សាច់" ។ ការគ្រប់គ្រងបង្ការមួយផ្សេងទៀត ដែលនៅឆ្ងាយពីឧត្តមគតិ។ មានបច្ចេកទេសដ៏មានប្រសិទ្ធភាពជាច្រើនសម្រាប់ការរកឃើញ និងឆ្លងកាត់ប្រអប់ខ្សាច់ ឬដំណោះស្រាយបញ្ជីស។ បុរសមកពី "ផ្នែកងងឹត" នៅតែមួយជំហានទៅមុខនៅទីនេះ។
   • UEBA (ប្រព័ន្ធសម្រាប់កំណត់ឥរិយាបថ និងការកំណត់អត្តសញ្ញាណគម្លាត) - តាមទ្រឹស្តីអាចមានប្រសិទ្ធភាពខ្លាំង។ ប៉ុន្តែ​តាម​គំនិត​ខ្ញុំ នេះ​ជា​ពេល​ខ្លះ​នៅ​ពេល​អនាគត​ដ៏​ឆ្ងាយ។ នៅក្នុងការអនុវត្ត វានៅតែមានតម្លៃថ្លៃខ្លាំង មិនគួរឱ្យទុកចិត្ត និងតម្រូវឱ្យមានហេដ្ឋារចនាសម្ព័ន្ធព័ត៌មានវិទ្យា និងសន្តិសុខព័ត៌មានដែលមានភាពចាស់ទុំ និងមានស្ថេរភាព ដែលមានឧបករណ៍ទាំងអស់រួចហើយដែលនឹងបង្កើតទិន្នន័យសម្រាប់ការវិភាគអាកប្បកិរិយា។
   • SIEM គឺជាឧបករណ៍ដ៏ល្អសម្រាប់ការស៊ើបអង្កេត ប៉ុន្តែវាមិនអាចមើល និងបង្ហាញអ្វីដែលថ្មី និងដើមក្នុងលក្ខណៈទាន់ពេលវេលានោះទេ ព្រោះច្បាប់នៃការទាក់ទងគឺដូចគ្នាទៅនឹងហត្ថលេខា។

7. ជាលទ្ធផលមានតម្រូវការសម្រាប់ឧបករណ៍ដែលនឹង:
   • ដំណើរការដោយជោគជ័យក្នុងលក្ខខណ្ឌនៃបរិវេណដែលបានសម្របសម្រួលរួចហើយ
   • បានរកឃើញការវាយប្រហារដោយជោគជ័យនៅជិតពេលវេលាជាក់ស្តែង ដោយមិនគិតពីឧបករណ៍ និងភាពងាយរងគ្រោះដែលបានប្រើ
   • មិនអាស្រ័យលើហត្ថលេខា/ច្បាប់/ស្គ្រីប/គោលការណ៍/ទម្រង់ និងវត្ថុឋិតិវន្តផ្សេងទៀត,
   • មិនតម្រូវឱ្យមានទិន្នន័យច្រើន និងប្រភពសម្រាប់ការវិភាគ
   • នឹងអនុញ្ញាតឱ្យការវាយប្រហារត្រូវបានកំណត់ថាមិនមែនជាប្រភេទនៃការដាក់ពិន្ទុប្រថុយប្រថានជាលទ្ធផលនៃការងារ "ល្អបំផុតនៅក្នុងពិភពលោក ដែលមានប៉ាតង់ និងគណិតវិទ្យាបិទជិត" ដែលទាមទារការស៊ើបអង្កេតបន្ថែម ប៉ុន្តែការអនុវត្តជាក់ស្តែងជាព្រឹត្តិការណ៍គោលពីរ - "បាទ! យើងកំពុងត្រូវបានវាយប្រហារ" ឬ "ទេ អ្វីគ្រប់យ៉ាងគឺល្អ"
   • មានលក្ខណៈជាសកល អាចធ្វើមាត្រដ្ឋានបានប្រកបដោយប្រសិទ្ធភាព និងអាចអនុវត្តបានក្នុងបរិយាកាសផ្សេងៗគ្នា ដោយមិនគិតពីរចនាសម្ព័ន្ធបណ្តាញរូបវិទ្យា និងឡូជីខលដែលបានប្រើ។

អ្វី​ដែល​ហៅ​ថា​ដំណោះស្រាយ​បោក​បញ្ឆោត​ឥឡូវ​កំពុង​ប្រជែង​គ្នា​សម្រាប់​តួនាទី​ឧបករណ៍​បែប​នេះ។ នោះគឺជាដំណោះស្រាយដោយផ្អែកលើគោលគំនិតចាស់ដ៏ល្អនៃ honeypots ប៉ុន្តែជាមួយនឹងកម្រិតនៃការអនុវត្តខុសគ្នាទាំងស្រុង។ ប្រធានបទនេះពិតជាកំពុងកើនឡើងនៅពេលនេះ។

នេះ​បើ​តាម​លទ្ធផល កិច្ចប្រជុំកំពូលគ្រប់គ្រង Gartner Security & Risc ឆ្នាំ 2017 ដំណោះស្រាយបោកបញ្ឆោតត្រូវបានរួមបញ្ចូលនៅក្នុងយុទ្ធសាស្ត្រ និងឧបករណ៍ TOP 3 ដែលត្រូវបានណែនាំឱ្យប្រើ។

នេះ​បើ​តាម​របាយការណ៍ TAG Cybersecurity ប្រចាំឆ្នាំ 2017 ការបោកបញ្ឆោតគឺជាទិសដៅសំខាន់មួយនៃការអភិវឌ្ឍន៍ដំណោះស្រាយ IDS Intrusion Detection Systems) ។

ផ្នែកទាំងមូលនៃផ្នែកក្រោយ Cisco State of IT Security Reportដែលឧទ្ទិសដល់ SCADA គឺផ្អែកលើទិន្នន័យពីអ្នកដឹកនាំម្នាក់នៅក្នុងទីផ្សារនេះ TrapX Security (Israel) ដែលជាដំណោះស្រាយដែលបានធ្វើការនៅក្នុងតំបន់សាកល្បងរបស់យើងអស់រយៈពេលមួយឆ្នាំ។

TrapX Deception Grid អនុញ្ញាតឱ្យអ្នកចំណាយ និងដំណើរការ IDS ចែកចាយយ៉ាងច្រើននៅកណ្តាល ដោយមិនបង្កើនការផ្ទុកអាជ្ញាប័ណ្ណ និងតម្រូវការសម្រាប់ធនធានផ្នែករឹង។ តាមពិត TrapX គឺជាអ្នកសាងសង់ដែលអនុញ្ញាតឱ្យអ្នកបង្កើតពីធាតុផ្សំនៃហេដ្ឋារចនាសម្ព័ន្ធព័ត៌មានវិទ្យាដែលមានស្រាប់ យន្តការដ៏ធំមួយសម្រាប់ស្វែងរកការវាយប្រហារលើខ្នាតសហគ្រាស ដែលជាប្រភេទនៃបណ្តាញចែកចាយ "ការជូនដំណឹង"។

រចនាសម្ព័ន្ធដំណោះស្រាយ

នៅក្នុងមន្ទីរពិសោធន៍របស់យើង យើងតែងតែសិក្សា និងសាកល្បងផលិតផលថ្មីៗជាច្រើនក្នុងវិស័យសន្តិសុខព័ត៌មានវិទ្យា។ បច្ចុប្បន្ននេះ ម៉ាស៊ីនមេនិម្មិតប្រហែល 50 ផ្សេងគ្នាត្រូវបានដាក់ពង្រាយនៅទីនេះ រួមទាំងសមាសធាតុ TrapX Deception Grid ផងដែរ។

ដូច្នេះពីកំពូលទៅបាត៖

1. TSOC (TrapX Security Operation Console) គឺជាខួរក្បាលនៃប្រព័ន្ធ។ នេះគឺជាកុងសូលគ្រប់គ្រងកណ្តាល ដែលតាមរយៈការកំណត់រចនាសម្ព័ន្ធ ការដាក់ពង្រាយដំណោះស្រាយ និងប្រតិបត្តិការប្រចាំថ្ងៃទាំងអស់ត្រូវបានអនុវត្ត។ ដោយសារនេះគឺជាសេវាកម្មបណ្តាញ វាអាចត្រូវបានដាក់ពង្រាយគ្រប់ទីកន្លែង - នៅតាមបរិវេណ ក្នុងពពក ឬនៅក្រុមហ៊ុនផ្តល់សេវា MSSP ។
2. TrapX Appliance (TSA) គឺជាម៉ាស៊ីនមេនិម្មិតដែលយើងភ្ជាប់ ដោយប្រើច្រក trunk បណ្តាញរងទាំងនោះដែលយើងចង់គ្របដណ្តប់ជាមួយនឹងការត្រួតពិនិត្យ។ ដូចគ្នានេះផងដែរ ឧបករណ៍ចាប់សញ្ញាបណ្តាញទាំងអស់របស់យើងពិតជា "រស់នៅ" នៅទីនេះ។

   មន្ទីរពិសោធន៍របស់យើងមាន TSA មួយត្រូវបានដាក់ពង្រាយ (mwsapp1) ប៉ុន្តែតាមពិតអាចមានច្រើន។ នេះអាចជាការចាំបាច់នៅក្នុងបណ្តាញធំៗ ដែលមិនមានការតភ្ជាប់ L2 រវាងផ្នែក (ឧទាហរណ៍ធម្មតាគឺ "ការកាន់កាប់ និងក្រុមហ៊ុនបុត្រសម្ព័ន្ធ" ឬ "ការិយាល័យកណ្តាល និងសាខារបស់ធនាគារ") ឬប្រសិនបើបណ្តាញមានផ្នែកដាច់ដោយឡែក ឧទាហរណ៍ ប្រព័ន្ធគ្រប់គ្រងដំណើរការស្វ័យប្រវត្តិ។ នៅក្នុងសាខា/ផ្នែកនីមួយៗ អ្នកអាចដាក់ពង្រាយ TSA ផ្ទាល់ខ្លួនរបស់អ្នក ហើយភ្ជាប់វាទៅ TSOC តែមួយ ដែលព័ត៌មានទាំងអស់នឹងត្រូវបានដំណើរការជាកណ្តាល។ ស្ថាបត្យកម្មនេះអនុញ្ញាតឱ្យអ្នកបង្កើតប្រព័ន្ធត្រួតពិនិត្យដែលបានចែកចាយដោយមិនចាំបាច់រៀបចំរចនាសម្ព័ន្ធបណ្តាញឡើងវិញ ឬរំខានដល់ផ្នែកដែលមានស្រាប់។

   ដូចគ្នានេះផងដែរ យើងអាចបញ្ជូនច្បាប់ចម្លងនៃចរាចរណ៍ចេញទៅកាន់ TSA តាមរយៈ TAP/SPAN។ ប្រសិនបើយើងរកឃើញការតភ្ជាប់ជាមួយ botnets ដែលគេស្គាល់ ពាក្យបញ្ជា និងម៉ាស៊ីនមេបញ្ជា ឬវគ្គ TOR យើងក៏នឹងទទួលបានលទ្ធផលនៅក្នុងកុងសូលផងដែរ។ Network Intelligence Sensor (NIS) ទទួលខុសត្រូវចំពោះបញ្ហានេះ។ នៅក្នុងបរិយាកាសរបស់យើង មុខងារនេះត្រូវបានអនុវត្តនៅលើជញ្ជាំងភ្លើង ដូច្នេះយើងមិនបានប្រើវានៅទីនេះទេ។

3. អន្ទាក់កម្មវិធី (ប្រព័ន្ធប្រតិបត្តិការពេញ) - សំបុកឃ្មុំប្រពៃណីផ្អែកលើម៉ាស៊ីនមេវីនដូ។ អ្នកមិនត្រូវការវាច្រើនទេ ដោយសារគោលបំណងចម្បងនៃម៉ាស៊ីនមេទាំងនេះគឺដើម្បីផ្តល់សេវាកម្ម IT ដល់ស្រទាប់បន្ទាប់នៃឧបករណ៍ចាប់សញ្ញា ឬរកឃើញការវាយប្រហារលើកម្មវិធីអាជីវកម្មដែលអាចត្រូវបានដាក់ឱ្យប្រើប្រាស់ក្នុងបរិស្ថានវីនដូ។ យើងមានម៉ាស៊ីនមេមួយដែលបានដំឡើងនៅក្នុងមន្ទីរពិសោធន៍របស់យើង (FOS01)

   

4. អន្ទាក់ដែលបានត្រាប់តាមគឺជាធាតុផ្សំសំខាន់នៃដំណោះស្រាយ ដែលអនុញ្ញាតឱ្យយើងប្រើប្រាស់ម៉ាស៊ីននិម្មិតតែមួយ ដើម្បីបង្កើត "វាលមីន" ដ៏ក្រាស់សម្រាប់អ្នកវាយប្រហារ និងធ្វើឱ្យបណ្តាញសហគ្រាស បណ្តាញ vlans ទាំងអស់របស់វាពោរពេញដោយឧបករណ៍ចាប់សញ្ញារបស់យើង។ អ្នកវាយប្រហារមើលឃើញឧបករណ៍ចាប់សញ្ញាបែបនេះ ឬម៉ាស៊ីនខ្មោច ជាកុំព្យូទ័រ ឬម៉ាស៊ីនមេ Windows ពិតប្រាកដ ម៉ាស៊ីនបម្រើលីនុច ឬឧបករណ៍ផ្សេងទៀតដែលយើងសម្រេចចិត្តបង្ហាញគាត់។

   
   
   សម្រាប់ជាប្រយោជន៍នៃអាជីវកម្ម និងសម្រាប់ជាប្រយោជន៍នៃការចង់ដឹងចង់ឃើញ យើងបានដាក់ពង្រាយ "មួយគូនៃសត្វនីមួយៗ" - កុំព្យូទ័រវីនដូ និងម៉ាស៊ីនមេនៃកំណែផ្សេងៗ ម៉ាស៊ីនមេលីនុច អេធីអឹមដែលមានប្រព័ន្ធប្រតិបត្តិការ Windows ដែលបានបង្កប់ SWIFT Web Access ម៉ាស៊ីនបោះពុម្ពបណ្តាញ ស៊ីស្កូ ប្តូរ, កាមេរ៉ា Axis IP, MacBook, PLC -device និងសូម្បីតែអំពូលឆ្លាតវៃ។ សរុបមានម្ចាស់ផ្ទះ ១៣ នាក់។ ជាទូទៅ អ្នកលក់ណែនាំឱ្យដាក់ពង្រាយឧបករណ៍ចាប់សញ្ញាបែបនេះក្នុងបរិមាណយ៉ាងហោចណាស់ 13% នៃចំនួនម៉ាស៊ីនពិត។ របារខាងលើគឺជាទំហំអាសយដ្ឋានដែលមាន។

   ចំណុចសំខាន់មួយគឺថាម៉ាស៊ីននីមួយៗមិនមែនជាម៉ាស៊ីននិម្មិតពេញលេញដែលទាមទារធនធាន និងអាជ្ញាប័ណ្ណទេ។ នេះគឺជាការបញ្ឆោត ការត្រាប់តាម ដំណើរការមួយនៅលើ TSA ដែលមានសំណុំនៃប៉ារ៉ាម៉ែត្រ និងអាសយដ្ឋាន IP ។ ដូច្នេះ ដោយមានជំនួយពី TSA តែមួយ យើងអាចបំពេញបណ្តាញជាមួយនឹងម៉ាស៊ីន phantom រាប់រយដែលនឹងធ្វើការជាឧបករណ៍ចាប់សញ្ញានៅក្នុងប្រព័ន្ធរោទិ៍។ វាគឺជាបច្ចេកវិទ្យានេះដែលធ្វើឱ្យវាអាចធ្វើទៅបានក្នុងការកំណត់តម្លៃប្រកបដោយប្រសិទ្ធភាពនៃគំនិត honeypot នៅទូទាំងសហគ្រាសចែកចាយធំណាមួយ។

   តាមទស្សនៈរបស់អ្នកវាយប្រហារ ម៉ាស៊ីនទាំងនេះមានភាពទាក់ទាញ ព្រោះវាផ្ទុកនូវភាពងាយរងគ្រោះ និងហាក់ដូចជាគោលដៅងាយស្រួល។ អ្នកវាយប្រហារមើលឃើញសេវាកម្មនៅលើម៉ាស៊ីនទាំងនេះ ហើយអាចធ្វើអន្តរកម្មជាមួយពួកគេ និងវាយប្រហារពួកគេដោយប្រើឧបករណ៍ស្តង់ដារ និងពិធីការ (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus ។ល។)។ ប៉ុន្តែវាមិនអាចទៅរួចទេក្នុងការប្រើម៉ាស៊ីនទាំងនេះដើម្បីបង្កើតការវាយប្រហារ ឬដំណើរការកូដផ្ទាល់ខ្លួនរបស់អ្នក។

5. ការរួមបញ្ចូលគ្នានៃបច្ចេកវិទ្យាទាំងពីរនេះ (FullOS និងអន្ទាក់ត្រាប់តាម) អនុញ្ញាតឱ្យយើងសម្រេចបាននូវប្រូបាប៊ីលីតេស្ថិតិខ្ពស់ដែលអ្នកវាយប្រហារនឹងជួបប្រទះនឹងធាតុមួយចំនួននៃបណ្តាញបញ្ជូនសញ្ញារបស់យើង។ ប៉ុន្តែតើយើងអាចប្រាកដថាប្រូបាប៊ីលីតេនេះគឺជិត 100% យ៉ាងដូចម្តេច?

   អ្វី​ដែល​គេ​ហៅ​ថា Deception tokens ចូល​ក្នុង​សមរភូមិ។ សូមអរគុណដល់ពួកគេ យើងអាចរួមបញ្ចូលកុំព្យូទ័រ និងម៉ាស៊ីនមេដែលមានស្រាប់ទាំងអស់របស់សហគ្រាសនៅក្នុង IDS ដែលបានចែកចាយរបស់យើង។ ថូខឹនត្រូវបានដាក់នៅលើកុំព្យូទ័រពិតរបស់អ្នកប្រើប្រាស់។ វាជាការសំខាន់ណាស់ដែលត្រូវយល់ថាសញ្ញាសម្ងាត់មិនមែនជាភ្នាក់ងារដែលប្រើប្រាស់ធនធាន និងអាចបង្កឱ្យមានជម្លោះ។ ថូខឹនគឺជាធាតុព័ត៌មានអកម្ម ដែលជាប្រភេទនៃ "នំប៉័ង" សម្រាប់ភាគីវាយប្រហារដែលនាំវាចូលទៅក្នុងអន្ទាក់។ ឧទាហរណ៍ ដ្រាយបណ្តាញដែលបានគូសផែនទី ចំណាំទៅកាន់អ្នកគ្រប់គ្រងគេហទំព័រក្លែងក្លាយនៅក្នុងកម្មវិធីរុករកតាមអ៊ីនធឺណិត និងពាក្យសម្ងាត់ដែលបានរក្សាទុកសម្រាប់ពួកគេ វគ្គ ssh/rdp/winscp ដែលបានរក្សាទុក អន្ទាក់របស់យើងជាមួយនឹងមតិយោបល់នៅក្នុងឯកសារម៉ាស៊ីន ពាក្យសម្ងាត់ដែលបានរក្សាទុកក្នុងអង្គចងចាំ អត្តសញ្ញាណរបស់អ្នកប្រើប្រាស់ដែលមិនមានស្រាប់ ការិយាល័យ ឯកសារ ការបើកដែលនឹងកេះប្រព័ន្ធ និងច្រើនទៀត។ ដូច្នេះហើយ យើងដាក់អ្នកវាយប្រហារនៅក្នុងបរិយាកាសបង្ខូចទ្រង់ទ្រាយ ដែលពោរពេញទៅដោយវ៉ិចទ័រវាយប្រហារ ដែលពិតជាមិនបង្កការគំរាមកំហែងដល់យើងទេ ប៉ុន្តែផ្ទុយទៅវិញ។ ហើយ​គាត់​ក៏​គ្មាន​វិធី​កំណត់​ថា​ព័ត៌មាន​នោះ​ពិត​នៅ​កន្លែង​ណា​មិន​ពិត​ដែរ។ ដូច្នេះហើយ យើងមិនត្រឹមតែធានាបាននូវការរកឃើញយ៉ាងឆាប់រហ័សនៃការវាយប្រហារប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងធ្វើឱ្យដំណើរការរបស់វាថយចុះយ៉ាងខ្លាំងផងដែរ។

ឧទាហរណ៍នៃការបង្កើតអន្ទាក់បណ្តាញ និងការដំឡើងសញ្ញាសម្ងាត់។ ចំណុចប្រទាក់រួសរាយរាក់ទាក់ និងមិនមានការកែសម្រួលដោយដៃនៃការកំណត់រចនាសម្ព័ន្ធ ស្គ្រីប។ល។

នៅក្នុងបរិយាកាសរបស់យើង យើងបានកំណត់រចនាសម្ព័ន្ធ និងដាក់សញ្ញាសម្ងាត់បែបនេះមួយចំនួននៅលើ FOS01 ដែលកំពុងដំណើរការ Windows Server 2012R2 និងកុំព្យូទ័រសាកល្បងដែលដំណើរការ Windows 7 ។ RDP កំពុងដំណើរការនៅលើម៉ាស៊ីនទាំងនេះ ហើយយើង "ព្យួរ" ពួកវាជាទៀងទាត់នៅក្នុង DMZ ដែលឧបករណ៍ចាប់សញ្ញារបស់យើងមួយចំនួន (អន្ទាក់ត្រាប់តាម) ក៏ត្រូវបានបង្ហាញផងដែរ។ ដូច្នេះ​យើង​ទទួល​បាន​ឧបទ្ទវហេតុ​មិន​ឈប់​ឈរ ជា​ធម្មជាតិ​ដើម្បី​និយាយ។

ដូច្នេះ ខាងក្រោមនេះជាស្ថិតិរហ័សមួយចំនួនសម្រាប់ឆ្នាំ៖

56 - ឧប្បត្តិហេតុដែលបានកត់ត្រា,
2 - ម៉ាស៊ីនប្រភពវាយប្រហារត្រូវបានរកឃើញ។

អន្តរកម្ម ផែនទីវាយប្រហារដែលអាចចុចបាន។

ក្នុងពេលជាមួយគ្នានេះ ដំណោះស្រាយមិនបង្កើតប្រភេទ mega-log ឬ event feed ដែលចំណាយពេលយូរដើម្បីយល់។ ផ្ទុយទៅវិញ ដំណោះស្រាយខ្លួនវាចាត់ថ្នាក់ព្រឹត្តិការណ៍តាមប្រភេទរបស់ពួកគេ និងអនុញ្ញាតឱ្យក្រុមសន្តិសុខព័ត៌មានផ្តោតជាចម្បងលើគ្រោះថ្នាក់បំផុត - នៅពេលដែលអ្នកវាយប្រហារព្យាយាមបង្កើនវគ្គគ្រប់គ្រង (អន្តរកម្ម) ឬនៅពេលដែលបន្ទុកប្រព័ន្ធគោលពីរ (ការឆ្លងមេរោគ) លេចឡើងនៅក្នុងចរាចរណ៍របស់យើង។

ព័ត៌មានទាំងអស់អំពីព្រឹត្តិការណ៍គឺអាចអានបាន និងបង្ហាញតាមគំនិតរបស់ខ្ញុំ ក្នុងទម្រង់ងាយស្រួលយល់ សូម្បីតែអ្នកប្រើប្រាស់ដែលមានចំណេះដឹងជាមូលដ្ឋានក្នុងវិស័យសុវត្ថិភាពព័ត៌មានក៏ដោយ។

ឧប្បត្តិហេតុដែលបានកត់ត្រាភាគច្រើនគឺការព្យាយាមស្កេនម៉ាស៊ីនរបស់យើង ឬការតភ្ជាប់តែមួយ។

ឬព្យាយាមបង្ខំពាក្យសម្ងាត់សម្រាប់ RDP

ប៉ុន្តែមានករណីគួរឱ្យចាប់អារម្មណ៍ជាច្រើនទៀតផងដែរ ជាពិសេសនៅពេលដែលអ្នកវាយប្រហារ "បានគ្រប់គ្រង" ដើម្បីទាយពាក្យសម្ងាត់សម្រាប់ RDP និងទទួលបានសិទ្ធិចូលទៅកាន់បណ្តាញមូលដ្ឋាន។

អ្នកវាយប្រហារព្យាយាមប្រតិបត្តិកូដដោយប្រើ psexec ។

អ្នកវាយប្រហារបានរកឃើញវគ្គដែលបានរក្សាទុក ដែលនាំឱ្យគាត់ចូលទៅក្នុងអន្ទាក់ក្នុងទម្រង់ជាម៉ាស៊ីនមេលីនុច។ ភ្លាមៗបន្ទាប់ពីភ្ជាប់ជាមួយនឹងសំណុំនៃពាក្យបញ្ជាដែលបានរៀបចំជាមុន វាព្យាយាមបំផ្លាញឯកសារកំណត់ហេតុទាំងអស់ និងអថេរប្រព័ន្ធដែលត្រូវគ្នា។

អ្នកវាយប្រហារព្យាយាមធ្វើការចាក់ SQL នៅលើ Honeypot ដែលធ្វើត្រាប់តាម SWIFT Web Access។

បន្ថែមពីលើការវាយប្រហារ "ធម្មជាតិ" បែបនេះ យើងក៏បានធ្វើតេស្តផ្ទាល់ខ្លួនមួយចំនួនផងដែរ។ ការ​បង្ហាញ​មួយ​ក្នុង​ចំណោម​ការ​បង្ហាញ​ច្រើន​បំផុត​គឺ​ការ​សាកល្បង​ពេល​វេលា​រក​ឃើញ​ដង្កូវ​បណ្ដាញ​នៅ​លើ​បណ្ដាញ​មួយ។ ដើម្បីធ្វើដូចនេះយើងបានប្រើឧបករណ៍ពី GuardiCore ហៅថា ស្វាឆ្លង. នេះគឺជាពពួក Worm បណ្តាញដែលអាចលួចចូល Windows និង Linux ប៉ុន្តែដោយគ្មាន "បន្ទុក" ណាមួយឡើយ។
យើងបានដាក់ពង្រាយមជ្ឈមណ្ឌលបញ្ជាក្នុងស្រុក បើកដំណើរការដំបូងនៃដង្កូវនៅលើម៉ាស៊ីនមួយ ហើយបានទទួលការជូនដំណឹងដំបូងនៅក្នុងកុងសូល TrapX ក្នុងរយៈពេលតិចជាងមួយនាទីកន្លះ។ TTD 90 វិនាទីធៀបនឹង 106 ថ្ងៃជាមធ្យម...

សូមអរគុណចំពោះសមត្ថភាពក្នុងការរួមបញ្ចូលជាមួយដំណោះស្រាយថ្នាក់ផ្សេងទៀត យើងអាចផ្លាស់ប្តូរពីការរកឃើញការគំរាមកំហែងយ៉ាងឆាប់រហ័ស ដើម្បីឆ្លើយតបដោយស្វ័យប្រវត្តិចំពោះពួកគេ។

ឧទាហរណ៍ ការរួមបញ្ចូលជាមួយប្រព័ន្ធ NAC (Network Access Control) ឬជាមួយ CarbonBlack នឹងអនុញ្ញាតឱ្យអ្នកផ្តាច់កុំព្យូទ័រដែលត្រូវបានសម្របសម្រួលដោយស្វ័យប្រវត្តិពីបណ្តាញ។

ការរួមបញ្ចូលជាមួយប្រអប់ខ្សាច់អនុញ្ញាតឱ្យឯកសារដែលពាក់ព័ន្ធនឹងការវាយប្រហារត្រូវបានដាក់បញ្ជូនដោយស្វ័យប្រវត្តិសម្រាប់ការវិភាគ។

ការរួមបញ្ចូល McAfee

ដំណោះស្រាយក៏មានប្រព័ន្ធទំនាក់ទំនងព្រឹត្តិការណ៍ដែលភ្ជាប់មកជាមួយផងដែរ។

ប៉ុន្តែយើងមិនពេញចិត្តនឹងសមត្ថភាពរបស់វាទេ ដូច្នេះហើយយើងបានបញ្ចូលវាជាមួយ HP ArcSight ។

ប្រព័ន្ធលក់សំបុត្រដែលភ្ជាប់មកជាមួយជួយពិភពលោកទាំងមូលទប់ទល់នឹងការគំរាមកំហែងដែលបានរកឃើញ។

ចាប់តាំងពីដំណោះស្រាយត្រូវបានបង្កើតឡើង "តាំងពីដំបូង" សម្រាប់តម្រូវការរបស់ភ្នាក់ងាររដ្ឋាភិបាល និងផ្នែកសាជីវកម្មធំ វាអនុវត្តគំរូនៃការចូលប្រើដោយផ្អែកលើតួនាទី ការធ្វើសមាហរណកម្មជាមួយ AD ដែលជាប្រព័ន្ធបង្កើតរបាយការណ៍ និងការកេះ (ការជូនដំណឹងអំពីព្រឹត្តិការណ៍) ការរៀបចំសម្រាប់ រចនាសម្ព័ន្ធកាន់កាប់ធំ ឬអ្នកផ្តល់សេវា MSSP ។

ជំនួសឱ្យប្រវត្តិរូប

ប្រសិនបើមានប្រព័ន្ធត្រួតពិនិត្យបែបនេះ ដែលនិយាយជាន័យធៀប គ្របដណ្តប់ខ្នងរបស់យើង នោះជាមួយនឹងការសម្របសម្រួលនៃបរិវេណ អ្វីគ្រប់យ៉ាងគឺទើបតែចាប់ផ្តើម។ អ្វីដែលសំខាន់បំផុតនោះគឺថាមានឱកាសពិតប្រាកដក្នុងការដោះស្រាយឧប្បត្តិហេតុសន្តិសុខព័ត៌មានហើយមិនត្រូវដោះស្រាយជាមួយនឹងផលវិបាករបស់វា។

ប្រភព: www.habr.com