គួរឱ្យទាក់ទាញដែលមិនអាចនិយាយបាន៖ របៀបដែលយើងបង្កើតក្រេបទឹកឃ្មុំដែលមិនអាចលាតត្រដាងបាន។

ក្រុមហ៊ុនប្រឆាំងមេរោគ អ្នកជំនាញផ្នែកសន្តិសុខព័ត៌មាន និងអ្នកចូលចិត្តដាក់ប្រព័ន្ធ Honeypot នៅលើអ៊ីនធឺណិត ដើម្បី "ចាប់" វ៉ារ្យ៉ង់ថ្មីនៃមេរោគ ឬកំណត់យុទ្ធសាស្ត្រ hacker មិនធម្មតា។ Honeypots គឺជារឿងធម្មតាណាស់ដែលឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតបានបង្កើតអភ័យឯកសិទ្ធិមួយប្រភេទ៖ ពួកគេទទួលស្គាល់យ៉ាងឆាប់រហ័សថាពួកគេកំពុងប្រឈមមុខនឹងអន្ទាក់ ហើយគ្រាន់តែមិនអើពើវា។ ដើម្បីស្វែងយល់ពីកលល្បិចរបស់ពួក Hacker សម័យទំនើប យើងបានបង្កើតសំបុកឃ្មុំពិតប្រាកដមួយដែលរស់នៅលើអ៊ីនធឺណិតអស់រយៈពេលប្រាំពីរខែ ដោយទាក់ទាញការវាយប្រហារជាច្រើន។ យើងបាននិយាយអំពីរបៀបដែលវាបានកើតឡើងនៅក្នុងការសិក្សារបស់យើង "ចាប់បាននៅក្នុងច្បាប់៖ ដំណើរការរោងចក្រផលិតពិតប្រាកដ Honeypot ដើម្បីចាប់យកការគំរាមកំហែងពិតប្រាកដ" ការពិតខ្លះពីការសិក្សាមាននៅក្នុងអត្ថបទនេះ។

ការអភិវឌ្ឍន៍ Honeypot: បញ្ជីត្រួតពិនិត្យ

ភារកិច្ចចម្បងក្នុងការបង្កើត supertrap របស់យើងគឺដើម្បីការពារយើងពីការលាតត្រដាងដោយពួក Hacker ដែលបង្ហាញចំណាប់អារម្មណ៍លើវា។ នេះទាមទារការងារច្រើន៖

1. បង្កើតរឿងព្រេងជាក់ស្តែងអំពីក្រុមហ៊ុន រួមទាំងឈ្មោះពេញ និងរូបថតរបស់បុគ្គលិក លេខទូរស័ព្ទ និងអ៊ីមែល។
2. ដើម្បីមកបង្កើត និងអនុវត្តគំរូនៃហេដ្ឋារចនាសម្ព័ន្ធឧស្សាហកម្មដែលត្រូវនឹងរឿងព្រេងអំពីសកម្មភាពរបស់ក្រុមហ៊ុនរបស់យើង។
3. សម្រេចចិត្តថាតើសេវាបណ្តាញណាដែលអាចចូលប្រើបានពីខាងក្រៅ ប៉ុន្តែកុំយកទៅឆ្ងាយជាមួយការបើកច្រកដែលងាយរងគ្រោះ ដើម្បីកុំឱ្យវាមើលទៅដូចជាអន្ទាក់សម្រាប់ជញ្ជក់ឈាម។
4. រៀបចំការមើលឃើញនៃការលេចធ្លាយព័ត៌មានអំពីប្រព័ន្ធដែលងាយរងគ្រោះ និងចែកចាយព័ត៌មាននេះក្នុងចំណោមអ្នកវាយប្រហារដែលមានសក្តានុពល។
5. អនុវត្តការត្រួតពិនិត្យដោយប្រុងប្រយ័ត្ននៃសកម្មភាពរបស់ពួក Hacker នៅក្នុងហេដ្ឋារចនាសម្ព័ន្ធ honeypot ។

ហើយឥឡូវនេះរឿងដំបូង។

ការបង្កើតរឿងព្រេង

ឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតគឺធ្លាប់ជួបប្រទះនឹងកន្លែងលាក់ខ្លួនជាច្រើនរួចហើយ ដូច្នេះផ្នែកកម្រិតខ្ពស់បំផុតនៃពួកគេធ្វើការស៊ើបអង្កេតស៊ីជម្រៅលើប្រព័ន្ធងាយរងគ្រោះនីមួយៗ ដើម្បីប្រាកដថាវាមិនមែនជាអន្ទាក់។ សម្រាប់ហេតុផលដូចគ្នានេះ យើងបានស្វែងរកដើម្បីធានាថា Honeypot មិនត្រឹមតែមានភាពប្រាកដនិយមទាក់ទងនឹងការរចនា និងបច្ចេកទេសប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងដើម្បីបង្កើតរូបរាងរបស់ក្រុមហ៊ុនពិតប្រាកដផងដែរ។

ដោយដាក់ខ្លួនយើងនៅក្នុងស្បែកជើងរបស់ពួក Hacker ដ៏ត្រជាក់សម្មតិកម្ម យើងបានបង្កើតក្បួនដោះស្រាយផ្ទៀងផ្ទាត់ដែលនឹងបែងចែកប្រព័ន្ធពិតពីអន្ទាក់។ វារួមបញ្ចូលការស្វែងរកអាសយដ្ឋាន IP របស់ក្រុមហ៊ុននៅក្នុងប្រព័ន្ធកេរ្តិ៍ឈ្មោះ ការស្រាវជ្រាវបញ្ច្រាសទៅក្នុងប្រវត្តិអាសយដ្ឋាន IP ការស្វែងរកឈ្មោះ និងពាក្យគន្លឹះដែលទាក់ទងនឹងក្រុមហ៊ុន ក៏ដូចជាសមភាគីរបស់ខ្លួន និងអ្វីៗជាច្រើនទៀត។ ជា​លទ្ធផល រឿងព្រេង​បាន​ប្រែ​ក្លាយ​ទៅ​ជា​គួរ​ឱ្យ​ជឿ​ជាក់ និង​ទាក់​ទាញ។

យើងបានសម្រេចចិត្តដាក់ទីតាំងរោងចក្របោកបញ្ឆោតជាហាងគំរូឧស្សាហកម្មតូចមួយដែលធ្វើការសម្រាប់អតិថិជនអនាមិកដ៏ធំបំផុតនៅក្នុងផ្នែកយោធា និងផ្នែកអាកាសចរណ៍។ នេះបានរំដោះយើងពីភាពស្មុគស្មាញផ្នែកច្បាប់ដែលទាក់ទងនឹងការប្រើប្រាស់ម៉ាកដែលមានស្រាប់។

បន្ទាប់​មក យើង​ត្រូវ​បង្កើត​ទស្សនវិស័យ បេសកកម្ម និង​ឈ្មោះ​សម្រាប់​អង្គការ។ យើងបានសម្រេចចិត្តថាក្រុមហ៊ុនរបស់យើងនឹងក្លាយជាការចាប់ផ្តើមអាជីវកម្មមួយដែលមានបុគ្គលិកមួយចំនួនតូច ដែលម្នាក់ៗសុទ្ធតែជាស្ថាបនិក។ នេះបានបន្ថែមភាពជឿជាក់ចំពោះរឿងរ៉ាវនៃលក្ខណៈឯកទេសនៃអាជីវកម្មរបស់យើង ដែលអនុញ្ញាតឱ្យវាគ្រប់គ្រងគម្រោងរសើបសម្រាប់អតិថិជនធំៗ និងសំខាន់ៗ។ យើងចង់ឱ្យក្រុមហ៊ុនរបស់យើងមើលទៅទន់ខ្សោយពីទស្សនវិស័យសុវត្ថិភាពតាមអ៊ីនធឺណិត ប៉ុន្តែនៅពេលជាមួយគ្នានេះ វាច្បាស់ណាស់ថាយើងកំពុងធ្វើការជាមួយទ្រព្យសម្បត្តិសំខាន់ៗនៅលើប្រព័ន្ធគោលដៅ។

រូបថតអេក្រង់នៃគេហទំព័រ MeTech honeypot ។ ប្រភព៖ Trend Micro

យើងជ្រើសរើសពាក្យ MeTech ជាឈ្មោះក្រុមហ៊ុន។ គេហទំព័រនេះត្រូវបានធ្វើឡើងដោយផ្អែកលើគំរូឥតគិតថ្លៃ។ រូបភាព​ទាំង​នោះ​ត្រូវ​បាន​ថត​ចេញ​ពី​ធនាគារ​រូប​ថត ដោយ​ប្រើ​រូប​ដែល​មិន​ពេញ​និយម​បំផុត និង​កែប្រែ​វា​ដើម្បី​ធ្វើ​ឱ្យ​ពួក​វា​មិន​សូវ​ស្គាល់។

យើងចង់ឱ្យក្រុមហ៊ុនមើលទៅពិតប្រាកដ ដូច្នេះយើងត្រូវបន្ថែមបុគ្គលិកដែលមានជំនាញវិជ្ជាជីវៈដែលត្រូវនឹងទម្រង់នៃសកម្មភាព។ យើងបានបង្កើតឈ្មោះ និងបុគ្គលិកលក្ខណៈសម្រាប់ពួកគេ ហើយបន្ទាប់មកព្យាយាមជ្រើសរើសរូបភាពពីធនាគាររូបថតតាមជនជាតិ។

រូបថតអេក្រង់នៃគេហទំព័រ MeTech honeypot ។ ប្រភព៖ Trend Micro

ដើម្បីជៀសវាងការត្រូវបានរកឃើញ យើងបានស្វែងរករូបថតក្រុមដែលមានគុណភាពល្អ ដែលយើងអាចជ្រើសរើសមុខដែលយើងត្រូវការ។ ទោះជាយ៉ាងណាក៏ដោយ បន្ទាប់មកយើងបានបោះបង់ចោលជម្រើសនេះ ដោយសារអ្នកលួចចូលដែលមានសក្តានុពលអាចប្រើការស្វែងរករូបភាពបញ្ច្រាស ហើយរកឃើញថា "បុគ្គលិក" របស់យើងរស់នៅតែនៅក្នុងធនាគាររូបថតប៉ុណ្ណោះ។ នៅទីបញ្ចប់ យើងបានប្រើរូបថតរបស់មនុស្សដែលគ្មានជីវិត ដែលបង្កើតដោយប្រើបណ្តាញសរសៃប្រសាទ។

កម្រងព័ត៌មាននិយោជិតដែលបានបោះពុម្ពនៅលើគេហទំព័រមានព័ត៌មានសំខាន់ៗអំពីជំនាញបច្ចេកទេសរបស់ពួកគេ ប៉ុន្តែយើងជៀសវាងការកំណត់អត្តសញ្ញាណសាលារៀន ឬទីក្រុងជាក់លាក់។
ដើម្បីបង្កើតប្រអប់សំបុត្រ យើងបានប្រើម៉ាស៊ីនមេរបស់អ្នកផ្តល់សេវាបង្ហោះ ហើយបន្ទាប់មកបានជួលលេខទូរស័ព្ទជាច្រើននៅក្នុងសហរដ្ឋអាមេរិក ហើយបញ្ចូលពួកវាទៅក្នុង PBX និម្មិតជាមួយនឹងម៉ឺនុយសំឡេង និងម៉ាស៊ីនឆ្លើយតប។

ហេដ្ឋារចនាសម្ព័ន្ធ Honeypot

ដើម្បីជៀសវាងការប៉ះពាល់ យើងបានសម្រេចចិត្តប្រើការរួមបញ្ចូលគ្នានៃផ្នែករឹងឧស្សាហកម្មពិតប្រាកដ កុំព្យូទ័រ និងម៉ាស៊ីននិម្មិតដែលមានសុវត្ថិភាព។ ក្រឡេកមើលទៅខាងមុខ ឧបមាថាយើងបានពិនិត្យលទ្ធផលនៃកិច្ចខិតខំប្រឹងប្រែងរបស់យើងដោយប្រើម៉ាស៊ីនស្វែងរក Shodan ហើយវាបានបង្ហាញថា Honeypot មើលទៅដូចជាប្រព័ន្ធឧស្សាហកម្មពិតប្រាកដ។

លទ្ធផលនៃការស្កែនក្រេបទឹកឃ្មុំដោយប្រើ Shodan ។ ប្រភព៖ Trend Micro

យើងបានប្រើ PLC ចំនួនបួនជាផ្នែករឹងសម្រាប់អន្ទាក់របស់យើង៖

• ក្រុមហ៊ុន Siemens S7-1200,
• ពីរ AllenBradley MicroLogix 1100,
• Omron CP1L ។

PLCs ទាំងនេះត្រូវបានជ្រើសរើសសម្រាប់ប្រជាប្រិយភាពរបស់ពួកគេនៅក្នុងទីផ្សារប្រព័ន្ធគ្រប់គ្រងសកល។ ហើយឧបករណ៍បញ្ជាទាំងនេះនីមួយៗប្រើពិធីការផ្ទាល់ខ្លួនរបស់វា ដែលអនុញ្ញាតឱ្យយើងពិនិត្យមើលថាតើ PLC ណាមួយនឹងត្រូវបានវាយប្រហារញឹកញាប់ជាង និងថាតើពួកគេនឹងចាប់អារម្មណ៍នរណាម្នាក់ជាគោលការណ៍ដែរឬទេ។

ឧបករណ៍នៃ "រោងចក្រ" របស់យើង - អន្ទាក់។ ប្រភព៖ Trend Micro

យើងមិនត្រឹមតែដំឡើង Hardware ហើយភ្ជាប់វាទៅអ៊ីនធឺណិតប៉ុណ្ណោះទេ។ យើងរៀបចំកម្មវិធីបញ្ជានីមួយៗ ដើម្បីអនុវត្តការងារ រួមទាំង

• លាយ,
• ឧបករណ៍ដុតនិងការត្រួតពិនិត្យខ្សែក្រវ៉ាត់ conveyor,
• palletizing ដោយប្រើឧបាយកលមនុស្សយន្ត។

ហើយដើម្បីធ្វើឱ្យដំណើរការផលិតមានភាពប្រាកដនិយម យើងបានកំណត់កម្មវិធីតក្កវិជ្ជាដើម្បីផ្លាស់ប្តូរប៉ារ៉ាម៉ែត្រមតិកែលម្អដោយចៃដន្យ ក្លែងធ្វើម៉ូទ័រចាប់ផ្តើម និងបញ្ឈប់ ហើយឧបករណ៍ដុតបើក និងបិទ។

រោងចក្ររបស់យើងមានកុំព្យូទ័រនិម្មិតចំនួន 3 និងកុំព្យូទ័រមួយ កុំព្យូទ័រនិម្មិតត្រូវបានប្រើដើម្បីគ្រប់គ្រងរោងចក្រ រ៉ូបូត palletizer និងជាស្ថានីយការងារសម្រាប់វិស្វករកម្មវិធី PLC ។ កុំព្យូទ័ររាងកាយបានធ្វើការជាម៉ាស៊ីនមេឯកសារ។

បន្ថែមពីលើការត្រួតពិនិត្យ PLC វាយប្រហារ យើងចង់តាមដានស្ថានភាពកម្មវិធីដែលផ្ទុកនៅលើឧបករណ៍របស់យើង។ ដើម្បីធ្វើដូច្នេះបាន យើងបានបង្កើតចំណុចប្រទាក់ដែលអនុញ្ញាតឱ្យយើងកំណត់យ៉ាងឆាប់រហ័សពីរបៀបដែលស្ថានភាពនៃ actuators និងការដំឡើងនិម្មិតរបស់យើងត្រូវបានកែប្រែ។ រួចហើយនៅដំណាក់កាលធ្វើផែនការ យើងបានរកឃើញថាវាងាយស្រួលជាងក្នុងការអនុវត្តវាដោយប្រើកម្មវិធីត្រួតពិនិត្យជាងតាមរយៈការសរសេរកម្មវិធីដោយផ្ទាល់នៃតក្កវិជ្ជាឧបករណ៍បញ្ជា។ យើងបានបើកការចូលទៅកាន់ចំណុចប្រទាក់គ្រប់គ្រងឧបករណ៍នៃ honeypot របស់យើងតាមរយៈ VNC ដោយគ្មានពាក្យសម្ងាត់។

មនុស្សយន្តឧស្សាហកម្មគឺជាធាតុផ្សំសំខាន់នៃផលិតកម្មឆ្លាតវៃទំនើប។ ក្នុងន័យនេះ យើងបានសម្រេចចិត្តបន្ថែមមនុស្សយន្ត និងកន្លែងធ្វើការដោយស្វ័យប្រវត្តិ ដើម្បីគ្រប់គ្រងវាទៅក្នុងឧបករណ៍នៃរោងចក្រអន្ទាក់របស់យើង។ ដើម្បីធ្វើឱ្យ "រោងចក្រ" កាន់តែមានភាពប្រាកដនិយម យើងបានដំឡើងកម្មវិធីពិតនៅលើស្ថានីយការងារត្រួតពិនិត្យ ដែលវិស្វករប្រើដើម្បីសរសេរកម្មវិធីក្រាហ្វិកនៃតក្កវិជ្ជារបស់មនុស្សយន្ត។ ជាការប្រសើរណាស់ ដោយសារមនុស្សយន្តឧស្សាហកម្មជាធម្មតាមានទីតាំងនៅក្នុងបណ្តាញខាងក្នុងដាច់ដោយឡែក យើងបានសម្រេចចិត្តចាកចេញពីការចូលប្រើដោយមិនមានការការពារតាមរយៈ VNC ទៅកាន់ស្ថានីយការងារគ្រប់គ្រងប៉ុណ្ណោះ។

បរិស្ថាន RobotStudio ជាមួយនឹងគំរូ 3D នៃមនុស្សយន្តរបស់យើង។ ប្រភព៖ Trend Micro

យើងបានដំឡើងបរិយាកាសសរសេរកម្មវិធី RobotStudio ពី ABB Robotics នៅលើម៉ាស៊ីននិម្មិតដែលមានស្ថានីយការងារគ្រប់គ្រងមនុស្សយន្ត។ ដោយបានកំណត់រចនាសម្ព័ន្ធ RobotStudio យើងបានបើកឯកសារក្លែងធ្វើជាមួយមនុស្សយន្តរបស់យើងនៅក្នុងវាដើម្បីឱ្យរូបភាព 3D របស់វាអាចមើលឃើញនៅលើអេក្រង់។ ជាលទ្ធផល Shodan និងម៉ាស៊ីនស្វែងរកផ្សេងទៀត នៅពេលរកឃើញម៉ាស៊ីនមេ VNC ដែលមិនមានសុវត្ថិភាព នឹងចាប់យករូបភាពអេក្រង់នេះ ហើយបង្ហាញវាដល់អ្នកដែលកំពុងស្វែងរកមនុស្សយន្តឧស្សាហកម្មដែលមានសិទ្ធិបើកដើម្បីគ្រប់គ្រង។

ចំណុចនៃការយកចិត្តទុកដាក់ចំពោះព័ត៌មានលម្អិតនេះគឺដើម្បីបង្កើតគោលដៅដ៏ទាក់ទាញ និងប្រាកដនិយមសម្រាប់អ្នកវាយប្រហារ ដែលនៅពេលដែលពួកគេបានរកឃើញវា នឹងត្រឡប់ទៅរកវាម្តងហើយម្តងទៀត។

ស្ថានីយការងាររបស់វិស្វករ

ដើម្បីសរសេរកម្មវិធី PLC logic យើងបានបន្ថែមកុំព្យូទ័រវិស្វកម្មទៅហេដ្ឋារចនាសម្ព័ន្ធ។ កម្មវិធីឧស្សាហកម្មសម្រាប់ការសរសេរកម្មវិធី PLC ត្រូវបានដំឡើងនៅលើវា៖

• វិបផតថល TIA សម្រាប់ Siemens,
• MicroLogix សម្រាប់ឧបករណ៍បញ្ជា Allen-Bradley,
• CX-One សម្រាប់ Omron ។

យើងបានសម្រេចចិត្តថាកន្លែងធ្វើការផ្នែកវិស្វកម្មនឹងមិនអាចចូលប្រើបាននៅខាងក្រៅបណ្តាញទេ។ ផ្ទុយទៅវិញ យើងកំណត់ពាក្យសម្ងាត់ដូចគ្នាសម្រាប់គណនីអ្នកគ្រប់គ្រង ដូចនៅលើស្ថានីយការងារគ្រប់គ្រងមនុស្សយន្ត និងស្ថានីយការងារគ្រប់គ្រងរោងចក្រដែលអាចចូលប្រើបានពីអ៊ីនធឺណិត។ ការកំណត់រចនាសម្ព័ន្ធនេះគឺជារឿងធម្មតានៅក្នុងក្រុមហ៊ុនជាច្រើន។
ជាអកុសល ទោះបីជាមានការខិតខំប្រឹងប្រែងរបស់យើងក៏ដោយ ក៏មិនមានអ្នកវាយប្រហារតែមួយបានទៅដល់ស្ថានីយការងាររបស់វិស្វករនោះទេ។

ម៉ាស៊ីនមេឯកសារ

យើងត្រូវការវាជានុយសម្រាប់អ្នកវាយប្រហារ និងជាមធ្យោបាយនៃការបម្រុងទុក "ការងារ" របស់យើងនៅក្នុងរោងចក្របោកបញ្ឆោត។ វាអនុញ្ញាតឱ្យយើងចែករំលែកឯកសារជាមួយ Honeypot របស់យើងដោយប្រើឧបករណ៍ USB ដោយមិនបន្សល់ទុកដាននៅលើបណ្តាញ honeypot ។ យើងដំឡើង Windows 7 Pro ជា OS សម្រាប់ file server ដែលយើងបានបង្កើត folder ចែករំលែក ដែលអាចអាន និងសរសេរបានដោយនរណាម្នាក់។

ដំបូង​ឡើយ យើង​មិន​បាន​បង្កើត​ឋានានុក្រម​នៃ​ថត​ឯកសារ និង​ឯកសារ​នៅ​លើ​ម៉ាស៊ីន​បម្រើ​ឯកសារ​ទេ។ ទោះជាយ៉ាងណាក៏ដោយ ក្រោយមកយើងបានរកឃើញថាអ្នកវាយប្រហារកំពុងសិក្សាយ៉ាងសកម្មនូវថតឯកសារនេះ ដូច្នេះហើយយើងបានសម្រេចចិត្តបំពេញវាជាមួយនឹងឯកសារផ្សេងៗ។ ដើម្បីធ្វើដូចនេះយើងបានសរសេរស្គ្រីប python ដែលបង្កើតឯកសារនៃទំហំចៃដន្យជាមួយនឹងផ្នែកបន្ថែមមួយដែលបានផ្តល់ឱ្យដោយបង្កើតឈ្មោះដោយផ្អែកលើវចនានុក្រម។

ស្គ្រីបសម្រាប់បង្កើតឈ្មោះឯកសារដ៏ទាក់ទាញ។ ប្រភព៖ Trend Micro

បន្ទាប់ពីដំណើរការស្គ្រីបយើងទទួលបានលទ្ធផលដែលចង់បាននៅក្នុងទម្រង់នៃថតដែលពោរពេញទៅដោយឯកសារដែលមានឈ្មោះគួរឱ្យចាប់អារម្មណ៍ណាស់។

លទ្ធផលនៃស្គ្រីប។ ប្រភព៖ Trend Micro

ការត្រួតពិនិត្យបរិស្ថាន

ដោយបានចំណាយកិច្ចខិតខំប្រឹងប្រែងជាច្រើនដើម្បីបង្កើតក្រុមហ៊ុនជាក់ស្តែងមួយ យើងមិនអាចមានលទ្ធភាពក្នុងការបរាជ័យលើបរិស្ថានសម្រាប់ការត្រួតពិនិត្យ "អ្នកទស្សនា" របស់យើង។ យើងត្រូវទទួលបានទិន្នន័យទាំងអស់ក្នុងពេលវេលាជាក់ស្តែង ដោយមិនឱ្យអ្នកវាយប្រហារដឹងថាពួកគេកំពុងត្រូវបានមើលនោះទេ។

យើងបានអនុវត្តវាដោយប្រើអាដាប់ទ័រ USB ទៅអ៊ីសឺរណិតចំនួន 3 ឧបករណ៍ភ្ជាប់ SharkTap Ethernet ចំនួន XNUMX មួយ Raspberry Pi XNUMX និងដ្រាយខាងក្រៅធំមួយ។ ដ្យាក្រាមបណ្តាញរបស់យើងមើលទៅដូចនេះ៖

ដ្យាក្រាមបណ្តាញ Honeypot ជាមួយនឹងឧបករណ៍ត្រួតពិនិត្យ។ ប្រភព៖ Trend Micro

យើងបានកំណត់ទីតាំងម៉ាស៊ីន SharkTap ចំនួនបី ដើម្បីត្រួតពិនិត្យចរាចរណ៍ខាងក្រៅទាំងអស់ទៅកាន់ PLC ដែលអាចប្រើបានតែពីបណ្តាញខាងក្នុងប៉ុណ្ណោះ។ SharkTap ទីបួនបានត្រួតពិនិត្យចរាចរណ៍របស់ភ្ញៀវនៃម៉ាស៊ីននិម្មិតដែលងាយរងគ្រោះ។

SharkTap Ethernet Tap និង Sierra Wireless AirLink RV50 Router ។ ប្រភព៖ Trend Micro

Raspberry Pi បានធ្វើការចាប់យកចរាចរណ៍ប្រចាំថ្ងៃ។ យើងបានភ្ជាប់អ៊ីនធឺណិតដោយប្រើរ៉ោតទ័រចល័ត Sierra Wireless AirLink RV50 ដែលជារឿយៗត្រូវបានប្រើប្រាស់នៅក្នុងសហគ្រាសឧស្សាហកម្ម។

ជាអកុសល រ៉ោតទ័រនេះមិនអនុញ្ញាតឱ្យយើងជ្រើសរើសប្លុកការវាយប្រហារដែលមិនស៊ីគ្នានឹងផែនការរបស់យើងទេ ដូច្នេះហើយយើងបានបន្ថែមជញ្ជាំងភ្លើង Cisco ASA 5505 ទៅក្នុងបណ្តាញក្នុងរបៀបតម្លាភាព ដើម្បីធ្វើការទប់ស្កាត់ដោយមានផលប៉ះពាល់តិចតួចលើបណ្តាញ។

ការវិភាគចរាចរណ៍

Tshark និង tcpdump គឺសមរម្យសម្រាប់ការដោះស្រាយបញ្ហាបច្ចុប្បន្នយ៉ាងឆាប់រហ័ស ប៉ុន្តែក្នុងករណីរបស់យើង សមត្ថភាពរបស់ពួកគេមិនគ្រប់គ្រាន់ទេ ដោយសារយើងមានចរាចរណ៍ជាច្រើនជីហ្គាបៃ ដែលត្រូវបានវិភាគដោយមនុស្សជាច្រើន។ យើងបានប្រើឧបករណ៍វិភាគ Moloch ប្រភពបើកចំហដែលបង្កើតឡើងដោយ AOL ។ វា​អាច​ប្រៀប​បាន​នឹង​មុខងារ Wireshark ប៉ុន្តែ​មាន​សមត្ថភាព​បន្ថែម​ទៀត​សម្រាប់​ការ​សហការ ការ​ពិពណ៌នា និង​ការ​ដាក់​ស្លាក​កញ្ចប់ ការ​នាំចេញ និង​កិច្ចការ​ផ្សេង​ទៀត។

ដោយសារយើងមិនចង់ដំណើរការទិន្នន័យដែលប្រមូលបាននៅលើកុំព្យូទ័រ Honeypot នោះ ការចាក់សំរាម PCAP ត្រូវបាននាំចេញជារៀងរាល់ថ្ងៃទៅកាន់កន្លែងផ្ទុក AWS ពីកន្លែងដែលយើងនាំចូលពួកវារួចហើយនៅលើម៉ាស៊ីន Moloch ។

ការថតអេក្រង់

ដើម្បីចងក្រងឯកសារសកម្មភាពរបស់ពួក Hacker នៅក្នុង Honeypot របស់យើង យើងបានសរសេរស្គ្រីបដែលថតអេក្រង់របស់ម៉ាស៊ីននិម្មិតនៅចន្លោះពេលមួយ ហើយប្រៀបធៀបវាជាមួយរូបថតអេក្រង់មុន កំណត់ថាតើមានអ្វីកើតឡើងនៅទីនោះឬអត់។ នៅពេលរកឃើញសកម្មភាព ស្គ្រីបរួមបញ្ចូលការថតអេក្រង់។ វិធីសាស្រ្តនេះបានប្រែទៅជាមានប្រសិទ្ធភាពបំផុត។ យើងក៏បានព្យាយាមវិភាគចរាចរ VNC ពីកន្លែងចាក់សំរាម PCAP ដើម្បីយល់ពីអ្វីដែលមានការផ្លាស់ប្តូរបានកើតឡើងនៅក្នុងប្រព័ន្ធ ប៉ុន្តែនៅទីបញ្ចប់ការថតអេក្រង់ដែលយើងបានអនុវត្តបានប្រែទៅជាសាមញ្ញ និងមើលឃើញកាន់តែច្រើន។

ការត្រួតពិនិត្យវគ្គ VNC

សម្រាប់បញ្ហានេះ យើងបានប្រើ Chaosreader និង VNCLogger ។ ឧបករណ៍ប្រើប្រាស់ទាំងពីរទាញយកការចុចគ្រាប់ចុចចេញពីកន្លែងចាក់សំរាម PCAP ប៉ុន្តែ VNCLogger គ្រប់គ្រងគ្រាប់ចុចដូចជា Backspace, Enter, Ctrl កាន់តែត្រឹមត្រូវ។

VNCLogger មានគុណវិបត្តិពីរ។ ទីមួយ៖ វាអាចទាញយកសោបានតែដោយ "ស្តាប់" ចរាចរនៅលើចំណុចប្រទាក់ ដូច្នេះយើងត្រូវក្លែងធ្វើវគ្គ VNC សម្រាប់វាដោយប្រើ tcpreplay ។ គុណវិបត្តិទីពីររបស់ VNCLogger គឺជារឿងធម្មតាជាមួយ Chaosreader៖ ពួកគេទាំងពីរមិនបង្ហាញមាតិកានៃក្តារតម្បៀតខ្ទាស់ទេ។ ដើម្បីធ្វើដូចនេះខ្ញុំត្រូវប្រើ Wireshark ។

យើងទាក់ទាញពួក Hacker

យើងបានបង្កើត Honeypot ដើម្បីវាយប្រហារ។ ដើម្បីសម្រេចបាននូវចំណុចនេះ យើងបានរៀបចំការលេចធ្លាយព័ត៌មាន ដើម្បីទាក់ទាញចំណាប់អារម្មណ៍របស់អ្នកវាយប្រហារដែលមានសក្តានុពល។ ច្រកខាងក្រោមត្រូវបានបើកនៅលើ Honeypot៖

ច្រក RDP ត្រូវតែបិទភ្លាមៗបន្ទាប់ពីយើងបានផ្សាយបន្តផ្ទាល់ ដោយសារតែចំនួនដ៏ច្រើននៃចរាចរណ៍ស្កែននៅលើបណ្តាញរបស់យើងកំពុងបណ្តាលឱ្យមានបញ្ហាដំណើរការ។
ស្ថានីយ VNC ដំបូងដំណើរការក្នុងរបៀបមើលបានតែដោយគ្មានពាក្យសម្ងាត់ ហើយបន្ទាប់មកយើង "ដោយច្រឡំ" បានប្តូរពួកវាទៅជារបៀបចូលប្រើពេញលេញ។

ដើម្បីទាក់ទាញអ្នកវាយប្រហារ យើងបានបង្ហោះសារចំនួនពីរដែលមានព័ត៌មានលេចធ្លាយអំពីប្រព័ន្ធឧស្សាហកម្មដែលមាននៅលើ PasteBin។

ប្រកាសមួយក្នុងចំណោមការបង្ហោះនៅលើ PasteBin ដើម្បីទាក់ទាញការវាយប្រហារ។ ប្រភព៖ Trend Micro

ការវាយប្រហារ

Honeypot រស់នៅលើអ៊ីនធឺណិតប្រហែលប្រាំពីរខែ។ ការ​វាយ​ប្រហារ​លើក​ទី​មួយ​បាន​កើត​ឡើង​មួយ​ខែ​បន្ទាប់​ពី Honeypot បាន​ចូល​ទៅ​អ៊ីនធឺណិត។

ម៉ាស៊ីនស្កេន

មានចរាចរណ៍ច្រើនពីម៉ាស៊ីនស្កេនរបស់ក្រុមហ៊ុនល្បី - ip-ip, Rapid, Shadow Server, Shodan, ZoomEye និងផ្សេងទៀត។ មានពួកគេជាច្រើនដែលយើងត្រូវដកអាសយដ្ឋាន IP របស់ពួកគេចេញពីការវិភាគ៖ 610 ក្នុងចំណោម 9452 ឬ 6,45% នៃអាសយដ្ឋាន IP តែមួយគត់ទាំងអស់ជាកម្មសិទ្ធិរបស់ម៉ាស៊ីនស្កេនស្របច្បាប់ទាំងស្រុង។

Мошенники។

ហានិភ័យដ៏ធំបំផុតមួយដែលយើងបានប្រឈមមុខគឺការប្រើប្រាស់ប្រព័ន្ធរបស់យើងសម្រាប់គោលបំណងឧក្រិដ្ឋកម្ម៖ ដើម្បីទិញស្មាតហ្វូនតាមរយៈគណនីរបស់អ្នកជាវ ដកប្រាក់ចេញពីក្រុមហ៊ុនអាកាសចរណ៍ដោយប្រើប្រាស់កាតអំណោយ និងការក្លែងបន្លំប្រភេទផ្សេងទៀត។

អ្នកជីករ៉ែ

ភ្ញៀវដំបូងម្នាក់ក្នុងចំណោមអ្នកចូលមើលប្រព័ន្ធរបស់យើងបានប្រែក្លាយទៅជាអ្នករុករករ៉ែ។ គាត់បានទាញយកកម្មវិធីរុករករ៉ែ Monero មកលើវា។ គាត់នឹងមិនអាចរកលុយបានច្រើនលើប្រព័ន្ធជាក់លាក់របស់យើងទេ ដោយសារផលិតភាពទាប។ ទោះយ៉ាងណាក៏ដោយ ប្រសិនបើយើងរួមបញ្ចូលគ្នានូវកិច្ចខិតខំប្រឹងប្រែងនៃប្រព័ន្ធបែបនេះរាប់សិប ឬសូម្បីតែរាប់រយ វាអាចនឹងប្រែក្លាយបានយ៉ាងល្អ។

Ransomware

ក្នុងអំឡុងពេលនៃការងាររបស់ Honeypot យើងបានជួបប្រទះមេរោគ ransomware ពិតប្រាកដពីរដង។ ក្នុងករណីដំបូងវាគឺជា Crysis ។ ប្រតិបត្តិកររបស់វាបានចូលទៅក្នុងប្រព័ន្ធតាមរយៈ VNC ប៉ុន្តែបន្ទាប់មកបានដំឡើង TeamViewer ហើយបានប្រើវាដើម្បីធ្វើសកម្មភាពបន្ថែមទៀត។ បន្ទាប់ពីរង់ចាំសារជំរិតទារប្រាក់លោះចំនួន 10 ដុល្លារក្នុង BTC យើងបានចូលឆ្លើយឆ្លងជាមួយឧក្រិដ្ឋជន ដោយសុំឱ្យពួកគេឌិគ្រីបឯកសារមួយសម្រាប់ពួកយើង។ ពួក​គេ​បាន​ធ្វើ​តាម​សំណើ​នេះ ហើយ​បាន​ទាមទារ​តម្លៃ​លោះ​ម្ដង​ទៀត។ យើង​អាច​ចរចា​បាន​រហូត​ដល់​ទៅ 6 ពាន់​ដុល្លារ ហើយ​បន្ទាប់​មក​យើង​គ្រាន់​តែ​បញ្ចូល​ប្រព័ន្ធ​ឡើង​វិញ​ទៅ​ម៉ាស៊ីន​និម្មិត ព្រោះ​យើង​បាន​ទទួល​ព័ត៌មាន​ចាំបាច់​ទាំង​អស់។

មេរោគ ransomware ទីពីរបានប្រែទៅជា Phobos ។ ហេកឃ័រដែលបានដំឡើងវាចំណាយពេលមួយម៉ោងដើម្បីរកមើលប្រព័ន្ធឯកសារ Honeypot និងស្កេនបណ្តាញ ហើយបន្ទាប់មកបានដំឡើង ransomware ។
ការវាយប្រហារ ransomware ទីបីបានប្រែក្លាយថាក្លែងក្លាយ។ "ពួក Hacker" ដែលមិនស្គាល់ម្នាក់បានទាញយកឯកសារ haha.bat មកលើប្រព័ន្ធរបស់យើង បន្ទាប់ពីនោះយើងបានមើលមួយរយៈនៅពេលដែលគាត់ព្យាយាមឱ្យវាដំណើរការ។ ការប៉ុនប៉ងមួយគឺប្តូរឈ្មោះ haha.bat ទៅ haha.rnsmwr ។

"Hacker" បង្កើនភាពគ្រោះថ្នាក់នៃឯកសារ bat ដោយផ្លាស់ប្តូរផ្នែកបន្ថែមរបស់វាទៅជា .rnsmwr ។ ប្រភព៖ Trend Micro

នៅពេលដែលឯកសារបណ្តុំចុងក្រោយចាប់ផ្តើមដំណើរការ “ពួក Hacker” បានកែសម្រួលវា ដោយបង្កើនតម្លៃលោះពី $200 ទៅ $750។ បន្ទាប់ពីនោះ គាត់បាន "អ៊ិនគ្រីប" ឯកសារទាំងអស់ ទុកសារជំរិតទារប្រាក់ នៅលើកុំព្យូទ័រ ហើយបាត់ខ្លួន ដោយប្តូរលេខសម្ងាត់នៅលើ VNC របស់យើង។

ពីរបីថ្ងៃក្រោយមក ហេកឃ័របានត្រឡប់មកវិញ ហើយដើម្បីរំលឹកខ្លួនគាត់ បានចាប់ផ្តើមឯកសារបណ្តុំដែលបើកបង្អួចជាច្រើនជាមួយនឹងគេហទំព័រអាសអាភាស។ តាមមើលទៅតាមរបៀបនេះគាត់បានព្យាយាមទាក់ទាញការយកចិត្តទុកដាក់ចំពោះការទាមទាររបស់គាត់។

លទ្ធផល

ក្នុងអំឡុងពេលនៃការសិក្សា វាបានប្រែក្លាយថា ដរាបណាព័ត៌មានអំពីភាពងាយរងគ្រោះត្រូវបានបោះពុម្ពផ្សាយ Honeypot បានទាក់ទាញការចាប់អារម្មណ៍ ជាមួយនឹងសកម្មភាពកើនឡើងពីមួយថ្ងៃទៅមួយថ្ងៃ។ ដើម្បីឱ្យអន្ទាក់ទទួលបានការចាប់អារម្មណ៍ ក្រុមហ៊ុនប្រឌិតរបស់យើងត្រូវទទួលរងការរំលោភលើសុវត្ថិភាពជាច្រើន។ ជាអកុសល ស្ថានភាពនេះគឺនៅឆ្ងាយពីរឿងចម្លែកក្នុងចំណោមក្រុមហ៊ុនពិតៗជាច្រើន ដែលមិនមានបុគ្គលិកផ្នែកព័ត៌មានវិទ្យា និងសន្តិសុខព័ត៌មានពេញម៉ោង។

ជាទូទៅ អង្គការគួរតែប្រើគោលការណ៍នៃសិទ្ធិតិចតួចបំផុត ខណៈពេលដែលយើងអនុវត្តផ្ទុយពីវាដើម្បីទាក់ទាញអ្នកវាយប្រហារ។ ហើយនៅពេលដែលយើងមើលការវាយប្រហារកាន់តែយូរ ពួកវាកាន់តែមានភាពស្មុគ្រស្មាញ បើប្រៀបធៀបទៅនឹងវិធីសាស្ត្រសាកល្បងការជ្រៀតចូលស្តង់ដារ។

ហើយសំខាន់បំផុត ការវាយប្រហារទាំងអស់នេះនឹងបរាជ័យ ប្រសិនបើវិធានការសុវត្ថិភាពគ្រប់គ្រាន់ត្រូវបានអនុវត្តនៅពេលដំឡើងបណ្តាញ។ អង្គការត្រូវតែធានាថាគ្រឿងបរិក្ខារ និងធាតុផ្សំនៃហេដ្ឋារចនាសម្ព័ន្ធឧស្សាហកម្មរបស់ពួកគេមិនអាចចូលប្រើបានពីអ៊ីនធឺណិត ដូចដែលយើងបានធ្វើជាពិសេសនៅក្នុងអន្ទាក់របស់យើង។

ទោះបីជាយើងមិនបានកត់ត្រាការវាយប្រហារតែមួយលើស្ថានីយការងាររបស់វិស្វករក៏ដោយ ទោះបីជាប្រើពាក្យសម្ងាត់អ្នកគ្រប់គ្រងមូលដ្ឋានដូចគ្នានៅលើកុំព្យូទ័រទាំងអស់ក៏ដោយ ការអនុវត្តនេះគួរតែត្រូវបានជៀសវាង ដើម្បីកាត់បន្ថយលទ្ធភាពនៃការឈ្លានពាន។ យ៉ាងណាមិញ សន្តិសុខទន់ខ្សោយ បម្រើជាការអញ្ជើញបន្ថែម ដើម្បីវាយប្រហារលើប្រព័ន្ធឧស្សាហកម្ម ដែលជាការចាប់អារម្មណ៍ជាយូរមកហើយចំពោះឧក្រិដ្ឋជនតាមអ៊ីនធឺណិត។

ប្រភព: www.habr.com