ការស៊ើបអង្កេតករណីពាក់ព័ន្ធនឹងការលួចបន្លំ botnet ប្រតិបត្តិការក្លែងបន្លំ និងក្រុម hacker ឧក្រិដ្ឋជន អ្នកជំនាញ Group-IB បានប្រើប្រាស់ការវិភាគក្រាហ្វអស់រយៈពេលជាច្រើនឆ្នាំដើម្បីកំណត់ប្រភេទនៃការតភ្ជាប់ផ្សេងៗ។ ករណីផ្សេងៗគ្នាមានសំណុំទិន្នន័យផ្ទាល់ខ្លួន ក្បួនដោះស្រាយផ្ទាល់ខ្លួនរបស់ពួកគេសម្រាប់កំណត់អត្តសញ្ញាណការតភ្ជាប់ និងចំណុចប្រទាក់ដែលត្រូវបានកែសម្រួលសម្រាប់កិច្ចការជាក់លាក់។ ឧបករណ៍ទាំងអស់នេះត្រូវបានបង្កើតឡើងដោយក្រុមហ៊ុន Group-IB ហើយមានសម្រាប់តែបុគ្គលិករបស់យើងប៉ុណ្ណោះ។

ការវិភាគក្រាហ្វនៃហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញ (ក្រាហ្វបណ្តាញ) បានក្លាយជាឧបករណ៍ខាងក្នុងដំបូង ដែលយើងបានបង្កើតនៅក្នុងផលិតផលសាធារណៈទាំងអស់របស់ក្រុមហ៊ុន។ មុនពេលបង្កើតក្រាហ្វបណ្តាញរបស់យើង យើងបានវិភាគការអភិវឌ្ឍន៍ស្រដៀងគ្នាជាច្រើននៅលើទីផ្សារ ហើយមិនបានរកឃើញផលិតផលតែមួយដែលបំពេញតម្រូវការផ្ទាល់ខ្លួនរបស់យើងទេ។ នៅក្នុងអត្ថបទនេះ យើងនឹងនិយាយអំពីរបៀបដែលយើងបង្កើតក្រាហ្វបណ្តាញ របៀបដែលយើងប្រើវា និងការលំបាកដែលយើងជួបប្រទះ។

លោក Dmitry Volkov, CTO Group-IB និងជាប្រធានផ្នែកស៊ើបការណ៍តាមអ៊ីនធឺណិត

តើក្រាហ្វបណ្តាញ Group-IB អាចធ្វើអ្វីបាន?

ការស៊ើបអង្កេត

ចាប់តាំងពីការបង្កើត Group-IB ក្នុងឆ្នាំ 2003 រហូតមកដល់បច្ចុប្បន្ន ការកំណត់អត្តសញ្ញាណ ការកាត់ទោស និងការនាំយកឧក្រិដ្ឋជនតាមអ៊ីនធឺណិតមករកយុត្តិធម៌ គឺជាអាទិភាពចម្បងក្នុងការងាររបស់យើង។ មិនមានការស៊ើបអង្កេតលើការវាយប្រហារតាមអ៊ីនធឺណិតតែមួយត្រូវបានបញ្ចប់ដោយមិនបានវិភាគហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញរបស់អ្នកវាយប្រហារនោះទេ។ នៅដើមដំបូងនៃការធ្វើដំណើររបស់យើង វាគឺជា "ការងារដោយដៃ" ដ៏លំបាកមួយដើម្បីស្វែងរកទំនាក់ទំនងដែលអាចជួយកំណត់អត្តសញ្ញាណឧក្រិដ្ឋជន៖ ព័ត៌មានអំពីឈ្មោះដែន អាសយដ្ឋាន IP ស្នាមម្រាមដៃឌីជីថលនៃម៉ាស៊ីនមេ។ល។

អ្នកវាយប្រហារភាគច្រើនព្យាយាមធ្វើសកម្មភាពអនាមិកតាមដែលអាចធ្វើទៅបាននៅលើបណ្តាញ។ ទោះយ៉ាងណាក៏ដោយ ដូចមនុស្សទាំងអស់ដែរ ពួកគេធ្វើខុស។ គោលដៅចម្បងនៃការវិភាគបែបនេះគឺដើម្បីស្វែងរកគម្រោងប្រវត្តិសាស្រ្ត "ស" ឬ "ពណ៌ប្រផេះ" របស់អ្នកវាយប្រហារដែលមានចំនុចប្រសព្វជាមួយហេដ្ឋារចនាសម្ព័ន្ធព្យាបាទដែលប្រើក្នុងឧប្បត្តិហេតុបច្ចុប្បន្នដែលយើងកំពុងស៊ើបអង្កេត។ ប្រសិនបើគេអាចរកឃើញ "គម្រោងពណ៌ស" នោះ ការស្វែងរកអ្នកវាយប្រហារ ជាក្បួនក្លាយជាកិច្ចការតូចតាច។ ក្នុងករណី "ពណ៌ប្រផេះ" ការស្វែងរកត្រូវការពេលវេលា និងការខិតខំប្រឹងប្រែងបន្ថែមទៀត ដោយសារម្ចាស់របស់ពួកគេព្យាយាមអនាមិក ឬលាក់ទិន្នន័យចុះឈ្មោះ ប៉ុន្តែឱកាសនៅតែមានច្រើន។ តាមក្បួនមួយ នៅដើមដំបូងនៃសកម្មភាពឧក្រិដ្ឋកម្មរបស់ពួកគេ អ្នកវាយប្រហារមិនសូវយកចិត្តទុកដាក់លើសុវត្ថិភាពផ្ទាល់ខ្លួនរបស់ពួកគេ និងធ្វើឱ្យមានកំហុសកាន់តែច្រើន ដូច្នេះយើងកាន់តែជ្រៅទៅក្នុងសាច់រឿង ឱកាសនៃការស៊ើបអង្កេតជោគជ័យកាន់តែខ្ពស់។ នោះហើយជាមូលហេតុដែលក្រាហ្វបណ្តាញដែលមានប្រវត្តិល្អគឺជាធាតុដ៏សំខាន់បំផុតនៃការស៊ើបអង្កេតបែបនេះ។ និយាយឱ្យសាមញ្ញ ទិន្នន័យប្រវត្តិសាស្ត្រកាន់តែស៊ីជម្រៅដែលក្រុមហ៊ុនមាន ក្រាហ្វរបស់វាកាន់តែប្រសើរ។ ឧបមាថា ប្រវត្តិ៥ឆ្នាំអាចជួយដោះស្រាយបានតាមលក្ខខណ្ឌ ១-២ ក្នុងចំណោមឧក្រិដ្ឋកម្មទាំង១០ ហើយប្រវត្តិ១៥ឆ្នាំផ្តល់ឱកាសឱ្យដោះស្រាយទាំង១០។

ការរកឃើញការបន្លំ និងការក្លែងបន្លំ

រាល់ពេលដែលយើងទទួលបានតំណភ្ជាប់គួរឱ្យសង្ស័យទៅកាន់ធនធានបន្លំ ក្លែងបន្លំ ឬលួចចម្លង យើងបង្កើតក្រាហ្វនៃធនធានបណ្តាញដែលពាក់ព័ន្ធដោយស្វ័យប្រវត្តិ ហើយពិនិត្យមើលម៉ាស៊ីនដែលបានរកឃើញទាំងអស់សម្រាប់មាតិកាស្រដៀងគ្នា។ នេះអនុញ្ញាតឱ្យអ្នកស្វែងរកគេហទំព័របន្លំចាស់ទាំងពីរដែលសកម្ម ប៉ុន្តែមិនស្គាល់ ក៏ដូចជាគេហទំព័រថ្មីទាំងស្រុងដែលត្រូវបានរៀបចំសម្រាប់ការវាយប្រហារនាពេលអនាគត ប៉ុន្តែមិនទាន់ត្រូវបានប្រើប្រាស់នៅឡើយ។ ឧទាហរណ៍បឋមដែលកើតឡើងជាញឹកញាប់៖ យើងបានរកឃើញគេហទំព័របន្លំនៅលើម៉ាស៊ីនមេដែលមានតែ 5 គេហទំព័រប៉ុណ្ណោះ។ តាមរយៈការត្រួតពិនិត្យពួកវានីមួយៗ យើងរកឃើញខ្លឹមសារបន្លំនៅលើគេហទំព័រផ្សេងទៀត ដែលមានន័យថាយើងអាចទប់ស្កាត់ 5 ជំនួសឱ្យ 1។

ស្វែងរកផ្នែកខាងក្រោយ

ដំណើរការនេះគឺចាំបាច់ដើម្បីកំណត់កន្លែងដែលម៉ាស៊ីនមេព្យាបាទរស់នៅពិតប្រាកដ។
99% នៃហាងលក់កាត វេទិការបស់ពួក Hacker ធនធានបន្លំជាច្រើន និងម៉ាស៊ីនមេដែលមានគំនិតអាក្រក់ផ្សេងទៀតត្រូវបានលាក់នៅពីក្រោយទាំងម៉ាស៊ីនមេប្រូកស៊ីផ្ទាល់ខ្លួន និងប្រូកស៊ីនៃសេវាកម្មស្របច្បាប់ ឧទាហរណ៍ Cloudflare ។ ចំណេះដឹងអំពីកម្មវិធីខាងក្រោយពិតគឺមានសារៈសំខាន់ខ្លាំងណាស់សម្រាប់ការស៊ើបអង្កេត៖ អ្នកផ្តល់សេវាបង្ហោះដែលអាចរឹបអូសបានត្រូវបានស្គាល់ ហើយវាអាចបង្កើតការតភ្ជាប់ជាមួយគម្រោងព្យាបាទផ្សេងទៀត។

ឧទាហរណ៍ អ្នកមានគេហទំព័របន្លំសម្រាប់ប្រមូលទិន្នន័យកាតធនាគារដែលដោះស្រាយអាសយដ្ឋាន IP 11.11.11.11 និងអាសយដ្ឋាន cardshop ដែលដោះស្រាយទៅអាសយដ្ឋាន IP 22.22.22.22 ។ ក្នុងអំឡុងពេលនៃការវិភាគ វាអាចបង្ហាញថាទាំងគេហទំព័របន្លំ និងហាងកាតមានអាសយដ្ឋាន IP ផ្នែកខាងក្រោយទូទៅ ឧទាហរណ៍ 33.33.33.33។ ចំណេះដឹងនេះអនុញ្ញាតឱ្យយើងបង្កើតការតភ្ជាប់រវាងការវាយប្រហារដោយបន្លំ និងហាងលក់កាត ដែលទិន្នន័យកាតធនាគារអាចត្រូវបានលក់។

ទំនាក់ទំនងព្រឹត្តិការណ៍

នៅពេលដែលអ្នកមានកេះពីរផ្សេងគ្នា (សូមនិយាយនៅលើ IDS) ដែលមានមេរោគផ្សេងគ្នា និងម៉ាស៊ីនមេផ្សេងគ្នាដើម្បីគ្រប់គ្រងការវាយប្រហារ អ្នកនឹងចាត់ទុកពួកវាជាព្រឹត្តិការណ៍ឯករាជ្យពីរ។ ប៉ុន្តែប្រសិនបើមានទំនាក់ទំនងល្អរវាងហេដ្ឋារចនាសម្ព័ន្ធព្យាបាទ នោះវាច្បាស់ណាស់ថា ទាំងនេះមិនមែនជាការវាយប្រហារផ្សេងគ្នាទេ ប៉ុន្តែជាដំណាក់កាលនៃការវាយប្រហារពហុដំណាក់កាលដែលស្មុគស្មាញជាងមួយ។ ហើយប្រសិនបើព្រឹត្តិការណ៍មួយត្រូវបានសន្មតថាជាក្រុមអ្នកវាយប្រហារណាមួយរួចហើយនោះ ព្រឹត្តិការណ៍ទីពីរក៏អាចត្រូវបានកំណត់គុណលក្ខណៈក្រុមដូចគ្នាដែរ។ ជាការពិតណាស់ ដំណើរការកំណត់គុណលក្ខណៈគឺស្មុគ្រស្មាញជាង ដូច្នេះសូមចាត់ទុកនេះជាឧទាហរណ៍ដ៏សាមញ្ញមួយ។

ការបង្កើនសូចនាករ

យើងនឹងមិនយកចិត្តទុកដាក់ច្រើនចំពោះបញ្ហានេះទេ ព្រោះនេះគឺជាសេណារីយ៉ូទូទៅបំផុតសម្រាប់ការប្រើប្រាស់ក្រាហ្វក្នុងសុវត្ថិភាពអ៊ីនធឺណិត៖ អ្នកផ្តល់សូចនាករមួយជាការបញ្ចូល ហើយជាលទ្ធផល អ្នកទទួលបានអារេនៃសូចនាករពាក់ព័ន្ធ។

ការកំណត់អត្តសញ្ញាណគំរូ

ការកំណត់អត្តសញ្ញាណគំរូគឺចាំបាច់សម្រាប់ការបរបាញ់ប្រកបដោយប្រសិទ្ធភាព។ ក្រាហ្វអនុញ្ញាតឱ្យអ្នកមិនត្រឹមតែស្វែងរកធាតុដែលទាក់ទងប៉ុណ្ណោះទេប៉ុន្តែថែមទាំងកំណត់អត្តសញ្ញាណលក្ខណៈទូទៅដែលជាលក្ខណៈនៃក្រុម hacker ជាក់លាក់មួយ។ ចំណេះដឹងអំពីលក្ខណៈពិសេសបែបនេះអនុញ្ញាតឱ្យអ្នកទទួលស្គាល់ហេដ្ឋារចនាសម្ព័ន្ធរបស់អ្នកវាយប្រហារសូម្បីតែនៅដំណាក់កាលរៀបចំ និងដោយគ្មានភស្តុតាងបញ្ជាក់ពីការវាយប្រហារ ដូចជាអ៊ីមែលបន្លំ ឬមេរោគជាដើម។

ហេតុអ្វីបានជាយើងបង្កើតក្រាហ្វបណ្តាញផ្ទាល់ខ្លួន?

ជាថ្មីម្តងទៀត យើងបានពិនិត្យមើលដំណោះស្រាយពីអ្នកលក់ផ្សេងៗគ្នា មុនពេលយើងឈានដល់ការសន្និដ្ឋានថា យើងត្រូវបង្កើតឧបករណ៍ផ្ទាល់ខ្លួនរបស់យើងដែលអាចធ្វើអ្វីមួយដែលគ្មានផលិតផលដែលមានស្រាប់អាចធ្វើបាន។ វាត្រូវចំណាយពេលជាច្រើនឆ្នាំដើម្បីបង្កើតវា កំឡុងពេលដែលយើងបានផ្លាស់ប្តូរវាទាំងស្រុងជាច្រើនដង។ ប៉ុន្តែទោះបីជារយៈពេលនៃការអភិវឌ្ឍន៍យូរក៏ដោយ យើងមិនទាន់រកឃើញ analogue តែមួយដែលនឹងបំពេញតម្រូវការរបស់យើងនៅឡើយ។ ដោយប្រើផលិតផលផ្ទាល់ខ្លួនរបស់យើង នៅទីបំផុតយើងអាចដោះស្រាយបញ្ហាស្ទើរតែទាំងអស់ដែលយើងបានរកឃើញនៅក្នុងក្រាហ្វបណ្តាញដែលមានស្រាប់។ ខាងក្រោមនេះយើងនឹងពិចារណាបញ្ហាទាំងនេះឱ្យបានលំអិត៖

បញ្ហា
ការសម្រេចចិត្ត

កង្វះអ្នកផ្តល់សេវាដែលមានការប្រមូលទិន្នន័យផ្សេងៗគ្នា៖ ដែន, DNS អកម្ម, SSL អកម្ម, កំណត់ត្រា DNS, ច្រកបើកចំហ, សេវាកម្មដែលកំពុងដំណើរការនៅលើច្រក, ឯកសារដែលមានអន្តរកម្មជាមួយឈ្មោះដែន និងអាសយដ្ឋាន IP ។ ការពន្យល់។ ជាធម្មតា អ្នកផ្តល់សេវាផ្តល់ប្រភេទទិន្នន័យដាច់ដោយឡែក ហើយដើម្បីទទួលបានរូបភាពពេញលេញ អ្នកត្រូវទិញការជាវពីអ្នកគ្រប់គ្នា។ ទោះបីជាដូច្នេះក៏ដោយ វាមិនតែងតែអាចទទួលបានទិន្នន័យទាំងអស់នោះទេ៖ អ្នកផ្តល់សេវា SSL អកម្មមួយចំនួនផ្តល់ទិន្នន័យតែអំពីវិញ្ញាបនបត្រដែលចេញដោយ CAs ដែលអាចទុកចិត្តបាន ហើយការគ្របដណ្តប់នៃវិញ្ញាបនបត្រដែលបានចុះហត្ថលេខាដោយខ្លួនឯងគឺអន់ខ្លាំងណាស់។ អ្នកផ្សេងទៀតក៏ផ្តល់ទិន្នន័យដោយប្រើវិញ្ញាបនបត្រដែលចុះហត្ថលេខាដោយខ្លួនឯង ប៉ុន្តែប្រមូលវាពីច្រកស្តង់ដារប៉ុណ្ណោះ។
យើងបានប្រមូលការប្រមូលខាងលើទាំងអស់ដោយខ្លួនឯង។ ជាឧទាហរណ៍ ដើម្បីប្រមូលទិន្នន័យអំពីវិញ្ញាបនបត្រ SSL យើងបានសរសេរសេវាកម្មផ្ទាល់ខ្លួនរបស់យើងដែលប្រមូលពួកវាទាំងពីរពី CAs ដែលអាចទុកចិត្តបាន និងដោយការស្កេនចន្លោះ IPv4 ទាំងមូល។ វិញ្ញាបនបត្រត្រូវបានប្រមូលមិនត្រឹមតែពី IP ប៉ុណ្ណោះទេ ប៉ុន្តែក៏មកពីដែន និងដែនរងទាំងអស់ពីមូលដ្ឋានទិន្នន័យរបស់យើងផងដែរ៖ ប្រសិនបើអ្នកមានដែន example.com និងដែនរងរបស់វា www.example.com ហើយពួកគេទាំងអស់បានដោះស្រាយ IP 1.1.1.1 បន្ទាប់មកនៅពេលអ្នកព្យាយាមទទួលបានវិញ្ញាបនបត្រ SSL ពីច្រក 443 នៅលើ IP ដែន និងដែនរងរបស់វា អ្នកអាចទទួលបានលទ្ធផលបីផ្សេងគ្នា។ ដើម្បីប្រមូលទិន្នន័យនៅលើច្រកបើកចំហ និងសេវាកម្មដែលកំពុងដំណើរការ យើងត្រូវបង្កើតប្រព័ន្ធស្កេនចែកចាយផ្ទាល់ខ្លួនរបស់យើង ពីព្រោះសេវាកម្មផ្សេងទៀតតែងតែមានអាសយដ្ឋាន IP នៃម៉ាស៊ីនមេស្កេនរបស់ពួកគេនៅលើ "បញ្ជីខ្មៅ" ។ ម៉ាស៊ីនមេស្កេនរបស់យើងក៏បញ្ចប់ក្នុងបញ្ជីខ្មៅដែរ ប៉ុន្តែលទ្ធផលនៃការរកឃើញសេវាកម្មដែលយើងត្រូវការគឺខ្ពស់ជាងអ្នកដែលគ្រាន់តែស្កែនច្រកឱ្យបានច្រើនតាមដែលអាចធ្វើទៅបាន និងលក់ការចូលប្រើទិន្នន័យនេះ។

កង្វះនៃការចូលទៅកាន់មូលដ្ឋានទិន្នន័យទាំងមូលនៃកំណត់ត្រាប្រវត្តិសាស្ត្រ។ ការពន្យល់។ អ្នកផ្គត់ផ្គង់ធម្មតាគ្រប់រូបមានប្រវត្តិប្រមូលផ្ដុំដ៏ល្អ ប៉ុន្តែសម្រាប់ហេតុផលធម្មជាតិ យើងជាអតិថិជនមិនអាចចូលប្រើទិន្នន័យប្រវត្តិសាស្រ្តទាំងអស់បានទេ។ ទាំងនោះ។ អ្នកអាចទទួលបានប្រវត្តិទាំងមូលសម្រាប់កំណត់ត្រាតែមួយ ជាឧទាហរណ៍ តាមដែន ឬអាសយដ្ឋាន IP ប៉ុន្តែអ្នកមិនអាចឃើញប្រវត្តិនៃអ្វីគ្រប់យ៉ាងនោះទេ ហើយបើគ្មាននេះទេ អ្នកមិនអាចមើលឃើញរូបភាពពេញលេញបានទេ។
ដើម្បីប្រមូលកំណត់ត្រាប្រវត្តិសាស្ត្រជាច្រើននៅលើដែនតាមដែលអាចធ្វើបាន យើងបានទិញមូលដ្ឋានទិន្នន័យផ្សេងៗ ញែកធនធានបើកចំហជាច្រើនដែលមានប្រវត្តិនេះ (វាល្អណាស់ដែលមានពួកវាជាច្រើន) និងបានចរចាជាមួយអ្នកចុះបញ្ជីឈ្មោះដែន។ ការអាប់ដេតទាំងអស់ចំពោះបណ្តុំផ្ទាល់ខ្លួនរបស់យើងគឺពិតជាត្រូវបានរក្សាទុកជាមួយនឹងប្រវត្តិកែប្រែពេញលេញ។

ដំណោះស្រាយដែលមានស្រាប់ទាំងអស់អនុញ្ញាតឱ្យអ្នកបង្កើតក្រាហ្វដោយដៃ។ ការពន្យល់។ ចូរនិយាយថាអ្នកបានទិញការជាវជាច្រើនពីអ្នកផ្តល់ទិន្នន័យដែលអាចធ្វើបានទាំងអស់ (ជាទូទៅគេហៅថា "enrichers")។ នៅពេលដែលអ្នកត្រូវការបង្កើតក្រាហ្វ អ្នក "ដៃ" ផ្តល់ពាក្យបញ្ជាដើម្បីសាងសង់ពីធាតុតភ្ជាប់ដែលចង់បាន បន្ទាប់មកជ្រើសរើសចាំបាច់ពីធាតុដែលលេចឡើង និងផ្តល់ពាក្យបញ្ជាដើម្បីបញ្ចប់ការតភ្ជាប់ពីពួកវា ហើយដូច្នេះនៅលើ។ ក្នុងករណីនេះ ទំនួលខុសត្រូវចំពោះរបៀបដែលក្រាហ្វនឹងត្រូវបានសាងសង់គឺស្ថិតនៅលើមនុស្សទាំងស្រុង។
យើងបង្កើតក្រាហ្វិកដោយស្វ័យប្រវត្តិ។ ទាំងនោះ។ ប្រសិនបើអ្នកត្រូវការបង្កើតក្រាហ្វ នោះការតភ្ជាប់ពីធាតុទីមួយត្រូវបានបង្កើតដោយស្វ័យប្រវត្តិ បន្ទាប់មកពីធាតុបន្តបន្ទាប់ទាំងអស់ផងដែរ។ អ្នកឯកទេសបង្ហាញតែពីជម្រៅដែលក្រាហ្វត្រូវសាងសង់។ ដំណើរការនៃការបំពេញក្រាហ្វដោយស្វ័យប្រវត្តិគឺសាមញ្ញ ប៉ុន្តែអ្នកលក់ផ្សេងទៀតមិនអនុវត្តវាទេព្រោះវាបង្កើតបាននូវលទ្ធផលដែលមិនពាក់ព័ន្ធយ៉ាងច្រើន ហើយយើងក៏ត្រូវគិតគូរពីគុណវិបត្តិនេះផងដែរ (សូមមើលខាងក្រោម)។

លទ្ធផលមិនពាក់ព័ន្ធជាច្រើនគឺជាបញ្ហាជាមួយក្រាហ្វិកធាតុបណ្តាញទាំងអស់។ ការពន្យល់។ ឧទាហរណ៍ "ដែនអាក្រក់" (បានចូលរួមក្នុងការវាយប្រហារ) ត្រូវបានភ្ជាប់ជាមួយម៉ាស៊ីនមេដែលមាន 10 ដែនផ្សេងទៀតដែលពាក់ព័ន្ធជាមួយវាក្នុងរយៈពេល 500 ឆ្នាំកន្លងមកនេះ។ នៅពេលបន្ថែម ឬបង្កើតក្រាហ្វដោយដៃ ដែនទាំង 500 នេះក៏គួរបង្ហាញនៅលើក្រាហ្វដែរ ទោះបីជាវាមិនពាក់ព័ន្ធនឹងការវាយប្រហារក៏ដោយ។ ឬឧទាហរណ៍ អ្នកពិនិត្យមើលសូចនាករ IP ពីរបាយការណ៍សុវត្ថិភាពរបស់អ្នកលក់។ ជាធម្មតា របាយការណ៍បែបនេះត្រូវបានចេញផ្សាយជាមួយនឹងការពន្យារពេលដ៏សំខាន់ ហើយជារឿយៗមានរយៈពេលមួយឆ្នាំ ឬច្រើនជាងនេះ។ ភាគច្រើន នៅពេលដែលអ្នកអានរបាយការណ៍ នោះម៉ាស៊ីនមេដែលមានអាសយដ្ឋាន IP នេះត្រូវបានជួលឱ្យអ្នកផ្សេងទៀតដែលមានការតភ្ជាប់ផ្សេងទៀតរួចហើយ ហើយការកសាងក្រាហ្វនឹងនាំឱ្យអ្នកទទួលបានលទ្ធផលដែលមិនពាក់ព័ន្ធ។
យើងបានបណ្តុះបណ្តាលប្រព័ន្ធដើម្បីកំណត់អត្តសញ្ញាណធាតុដែលមិនពាក់ព័ន្ធដោយប្រើតក្កវិជ្ជាដូចគ្នានឹងអ្នកជំនាញរបស់យើងបានធ្វើដោយដៃ។ ឧទាហរណ៍ អ្នកកំពុងពិនិត្យមើលដែនមិនល្អ example.com ដែលឥឡូវនេះដោះស្រាយទៅ IP 11.11.11.11 ហើយមួយខែមុន - ទៅ IP 22.22.22.22 ។ បន្ថែមពីលើដែន example.com IP 11.11.11.11 ក៏ត្រូវបានភ្ជាប់ជាមួយ example.ru ហើយ IP 22.22.22.22 ត្រូវបានភ្ជាប់ជាមួយ 25 ពាន់ដែនផ្សេងទៀត។ ប្រព័ន្ធនេះ ដូចជាមនុស្សម្នាក់ យល់ថា 11.11.11.11 ទំនងជាម៉ាស៊ីនមេដែលឧទ្ទិស ហើយចាប់តាំងពីដែន example.ru គឺស្រដៀងគ្នាក្នុងការប្រកបទៅ example.com ដូច្នេះដោយមានប្រូបាប៊ីលីតេខ្ពស់ ពួកវាត្រូវបានភ្ជាប់ ហើយគួរតែស្ថិតនៅលើ ក្រាហ្វ; ប៉ុន្តែ IP 22.22.22.22 ជាកម្មសិទ្ធិរបស់ចែករំលែកបង្ហោះ ដូច្នេះដែនទាំងអស់របស់វាមិនចាំបាច់បញ្ចូលក្នុងក្រាហ្វទេ លុះត្រាតែមានការតភ្ជាប់ផ្សេងទៀតដែលបង្ហាញថាមួយក្នុងចំណោម 25 ពាន់ដែននេះក៏ត្រូវបញ្ចូលផងដែរ (ឧទាហរណ៍ example.net) . មុនពេលដែលប្រព័ន្ធយល់ថាការតភ្ជាប់ត្រូវតែខូច ហើយធាតុមួយចំនួនមិនត្រូវបានផ្លាស់ទីទៅក្រាហ្វទេ វាត្រូវគិតពីលក្ខណៈសម្បត្តិជាច្រើននៃធាតុ និងចង្កោមដែលធាតុទាំងនេះត្រូវបានបញ្ចូលគ្នា ក៏ដូចជាភាពខ្លាំងនៃការតភ្ជាប់បច្ចុប្បន្ន។ ឧទាហរណ៍ ប្រសិនបើយើងមានចង្កោមតូចមួយ (50 ធាតុ) នៅលើក្រាហ្វ ដែលរួមបញ្ចូលដែនអាក្រក់ និងចង្កោមធំមួយទៀត (5 ពាន់ធាតុ) ហើយចង្កោមទាំងពីរត្រូវបានតភ្ជាប់ដោយការតភ្ជាប់ (បន្ទាត់) ដែលមានកម្លាំងទាបខ្លាំង (ទម្ងន់) បន្ទាប់មកការតភ្ជាប់បែបនេះនឹងត្រូវខូច ហើយធាតុពីចង្កោមធំនឹងត្រូវដកចេញ។ ប៉ុន្តែប្រសិនបើមានការតភ្ជាប់ជាច្រើនរវាងចង្កោមតូច និងធំ ហើយកម្លាំងរបស់វាកើនឡើងជាលំដាប់ នោះក្នុងករណីនេះការតភ្ជាប់នឹងមិនត្រូវបានខូចទេ ហើយធាតុចាំបាច់ពីចង្កោមទាំងពីរនឹងនៅតែមាននៅលើក្រាហ្វ។

ចន្លោះពេលកម្មសិទ្ធិរបស់ម៉ាស៊ីនមេ និងដែនមិនត្រូវបានគេយកមកពិចារណាទេ។ ការពន្យល់។ “ដែនមិនល្អ” នឹងផុតកំណត់ឆាប់ៗ ឬក្រោយមក ហើយត្រូវបានទិញម្តងទៀតសម្រាប់គោលបំណងព្យាបាទ ឬស្របច្បាប់។ សូម្បីតែម៉ាស៊ីនមេដែលការពារគ្រាប់កាំភ្លើងក៏ត្រូវបានជួលឱ្យពួក Hacker ផ្សេងៗគ្នាដែរ ដូច្នេះវាមានសារៈសំខាន់ណាស់ក្នុងការដឹង និងគិតគូរពីចន្លោះពេលដែលដែន/ម៉ាស៊ីនមេជាក់លាក់មួយស្ថិតនៅក្រោមការគ្រប់គ្រងរបស់ម្ចាស់តែមួយ។ ជាញឹកញាប់យើងជួបប្រទះនឹងស្ថានភាពមួយដែលម៉ាស៊ីនមេដែលមាន IP 11.11.11.11 ឥឡូវនេះត្រូវបានគេប្រើជា C&C សម្រាប់ bot ធនាគារ ហើយកាលពី 2 ខែមុនវាត្រូវបានគ្រប់គ្រងដោយ Ransomware ។ ប្រសិនបើយើងបង្កើតការតភ្ជាប់ដោយមិនគិតពីចន្លោះពេលនៃភាពជាម្ចាស់ វានឹងមើលទៅហាក់ដូចជាមានទំនាក់ទំនងរវាងម្ចាស់នៃ botnet ធនាគារ និង ransomware ទោះបីជាការពិតវាមិនមានក៏ដោយ។ នៅក្នុងការងាររបស់យើង កំហុសបែបនេះគឺសំខាន់ណាស់។
យើងបានបង្រៀនប្រព័ន្ធដើម្បីកំណត់ចន្លោះពេលកម្មសិទ្ធិ។ សម្រាប់ domains នេះគឺសាមញ្ញណាស់ ពីព្រោះ whois ជាញឹកញាប់មានកាលបរិច្ឆេទនៃការចុះឈ្មោះ និងកាលបរិច្ឆេទផុតកំណត់ ហើយនៅពេលដែលមានប្រវត្តិពេញលេញនៃការផ្លាស់ប្តូរ whois វាងាយស្រួលក្នុងការកំណត់ចន្លោះពេល។ នៅពេលដែលការចុះឈ្មោះដែនមិនទាន់ផុតកំណត់ ប៉ុន្តែការគ្រប់គ្រងរបស់វាត្រូវបានផ្ទេរទៅម្ចាស់ផ្សេងទៀត វាក៏អាចតាមដានផងដែរ។ មិនមានបញ្ហាបែបនេះសម្រាប់វិញ្ញាបនបត្រ SSL ទេ ព្រោះវាត្រូវបានចេញម្តង ហើយមិនត្រូវបានបន្ត ឬផ្ទេរ។ ប៉ុន្តែជាមួយនឹងវិញ្ញាបនបត្រដែលបានចុះហត្ថលេខាដោយខ្លួនឯង អ្នកមិនអាចជឿទុកចិត្តលើកាលបរិច្ឆេទដែលបានបញ្ជាក់នៅក្នុងរយៈពេលសុពលភាពនៃវិញ្ញាបនបត្រនោះទេ ពីព្រោះអ្នកអាចបង្កើតវិញ្ញាបនបត្រ SSL នៅថ្ងៃនេះ និងបញ្ជាក់កាលបរិច្ឆេទចាប់ផ្តើមនៃវិញ្ញាបនបត្រពីឆ្នាំ 2010។ អ្វីដែលពិបាកបំផុតគឺកំណត់ចន្លោះពេលកម្មសិទ្ធិសម្រាប់ម៉ាស៊ីនមេ ព្រោះមានតែអ្នកផ្តល់សេវាបង្ហោះប៉ុណ្ណោះដែលមានកាលបរិច្ឆេទ និងរយៈពេលជួល។ ដើម្បីកំណត់រយៈពេលនៃភាពជាម្ចាស់ម៉ាស៊ីនមេ យើងបានចាប់ផ្តើមប្រើលទ្ធផលនៃការស្កេនច្រក និងការបង្កើតស្នាមម្រាមដៃនៃសេវាកម្មដែលកំពុងដំណើរការនៅលើច្រក។ ដោយប្រើព័ត៌មាននេះ យើងអាចនិយាយបានត្រឹមត្រូវនៅពេលដែលម្ចាស់ម៉ាស៊ីនមេបានផ្លាស់ប្តូរ។

ការតភ្ជាប់តិចតួច។ ការពន្យល់។ សព្វថ្ងៃនេះ វាមិនមែនជាបញ្ហាទេក្នុងការទទួលបានបញ្ជីឈ្មោះដែនឥតគិតថ្លៃដែលមានអាសយដ្ឋានអ៊ីមែលជាក់លាក់ ឬស្វែងរកដែនទាំងអស់ដែលត្រូវបានភ្ជាប់ជាមួយអាសយដ្ឋាន IP ជាក់លាក់មួយ។ ប៉ុន្តែនៅពេលនិយាយអំពីពួក Hacker ដែលប្រឹងប្រែងអស់ពីសមត្ថភាពដើម្បីពិបាកតាមដាន យើងត្រូវការល្បិចបន្ថែមដើម្បីស្វែងរកទ្រព្យសម្បត្តិថ្មី និងបង្កើតការតភ្ជាប់ថ្មី។
យើងបានចំណាយពេលជាច្រើនក្នុងការស្រាវជ្រាវពីរបៀបដែលយើងអាចទាញយកទិន្នន័យដែលមិនមាននៅក្នុងវិធីសាមញ្ញមួយ។ យើងមិនអាចពិពណ៌នានៅទីនេះពីរបៀបដែលវាដំណើរការដោយហេតុផលជាក់ស្តែង ប៉ុន្តែនៅក្នុងកាលៈទេសៈជាក់លាក់ណាមួយ ពួក Hacker នៅពេលចុះឈ្មោះដែន ឬជួល និងដំឡើងម៉ាស៊ីនមេ ធ្វើឱ្យមានកំហុសដែលអនុញ្ញាតឱ្យពួកគេស្វែងរកអាសយដ្ឋានអ៊ីមែល ឈ្មោះក្លែងក្លាយរបស់ពួក Hacker និងអាសយដ្ឋានខាងក្រោយ។ ការតភ្ជាប់កាន់តែច្រើនដែលអ្នកស្រង់ចេញ ក្រាហ្វិកកាន់តែត្រឹមត្រូវដែលអ្នកអាចបង្កើតបាន។

របៀបដែលក្រាហ្វរបស់យើងដំណើរការ

ដើម្បីចាប់ផ្តើមប្រើប្រាស់ក្រាហ្វបណ្តាញ អ្នកត្រូវបញ្ចូលដែន អាសយដ្ឋាន IP អ៊ីមែល ឬស្នាមម្រាមដៃវិញ្ញាបនបត្រ SSL ទៅក្នុងរបារស្វែងរក។ មានលក្ខខណ្ឌបីដែលអ្នកវិភាគអាចគ្រប់គ្រងបានគឺ ពេលវេលា ជម្រៅជំហាន និងការឈូសឆាយ។

Время

ពេលវេលា – កាលបរិច្ឆេទ ឬចន្លោះពេលនៅពេលដែលធាតុស្វែងរកត្រូវបានប្រើសម្រាប់គោលបំណងព្យាបាទ។ ប្រសិនបើអ្នកមិនបញ្ជាក់ប៉ារ៉ាម៉ែត្រនេះទេ ប្រព័ន្ធខ្លួនវានឹងកំណត់ចន្លោះពេលកម្មសិទ្ធិចុងក្រោយសម្រាប់ធនធាននេះ។ ជាឧទាហរណ៍នៅថ្ងៃទី 11 ខែកក្កដា Eset បានបោះពុម្ពផ្សាយ របាយការណ៍ អំពីរបៀបដែល Buhtrap ប្រើការកេងប្រវ័ញ្ច 0 ​​ថ្ងៃសម្រាប់ចារកម្មតាមអ៊ីនធឺណិត។ មានសូចនាករចំនួន 6 នៅចុងបញ្ចប់នៃរបាយការណ៍។ មួយក្នុងចំណោមពួកគេ, secure-telemetry[.]net, ត្រូវបានចុះឈ្មោះឡើងវិញនៅថ្ងៃទី 16 ខែកក្កដា។ ដូច្នេះហើយ ប្រសិនបើអ្នកបង្កើតក្រាហ្វបន្ទាប់ពីថ្ងៃទី 16 ខែកក្កដា អ្នកនឹងទទួលបានលទ្ធផលមិនពាក់ព័ន្ធ។ ប៉ុន្តែប្រសិនបើអ្នកបង្ហាញថាដែននេះត្រូវបានប្រើមុនកាលបរិច្ឆេទនេះ នោះក្រាហ្វរួមបញ្ចូលដែនថ្មីចំនួន 126 អាសយដ្ឋាន IP ចំនួន 69 ដែលមិនត្រូវបានរាយក្នុងរបាយការណ៍ Eset៖

• ukrfreshnews[.]com
• unian-search[.]com
• vesti-world[.]ព័ត៌មាន
• runewsmeta[.]com
• foxnewsmeta[.]biz
• sobesednik-meta[.]ព័ត៌មាន
• rian-ua[.]net
• និងអ្នកដទៃ។

បន្ថែមពីលើសូចនាករបណ្តាញ យើងរកឃើញភ្លាមៗនូវការភ្ជាប់ជាមួយឯកសារព្យាបាទដែលមានទំនាក់ទំនងជាមួយហេដ្ឋារចនាសម្ព័ន្ធនេះ និងស្លាកដែលប្រាប់យើងថា Meterpreter និង AZORult ត្រូវបានប្រើប្រាស់។

អ្វីដែលអស្ចារ្យនោះគឺអ្នកទទួលបានលទ្ធផលនេះក្នុងរយៈពេលមួយវិនាទី ហើយអ្នកមិនចាំបាច់ចំណាយពេលច្រើនថ្ងៃដើម្បីវិភាគទិន្នន័យនោះទេ។ ជាការពិតណាស់ ជួនកាលវិធីសាស្រ្តនេះកាត់បន្ថយពេលវេលាសម្រាប់ការស៊ើបអង្កេតយ៉ាងខ្លាំង ដែលជារឿយៗមានសារៈសំខាន់ណាស់។

ចំនួន​ជំហាន ឬ​ជម្រៅ​នៃ​ការ​បង្កើត​ក្រាហ្វ

តាមលំនាំដើម ជម្រៅគឺ 3។ នេះមានន័យថាធាតុដែលទាក់ទងដោយផ្ទាល់ទាំងអស់នឹងត្រូវបានរកឃើញពីធាតុដែលចង់បាន បន្ទាប់មកការតភ្ជាប់ថ្មីនឹងត្រូវបានបង្កើតឡើងពីធាតុថ្មីនីមួយៗទៅធាតុផ្សេងទៀត ហើយធាតុថ្មីនឹងត្រូវបានបង្កើតចេញពីធាតុថ្មីពីចុងក្រោយ។ ជំហាន។

សូមលើកឧទាហរណ៍មួយដែលមិនទាក់ទងនឹង APT និងការកេងប្រវ័ញ្ច 0 ​​ថ្ងៃ។ ថ្មីៗនេះ ករណីដ៏គួរឱ្យចាប់អារម្មណ៍មួយនៃការក្លែងបន្លំទាក់ទងនឹងរូបិយប័ណ្ណគ្រីបតូត្រូវបានពិពណ៌នានៅលើ Habre ។ របាយការណ៍នេះនិយាយអំពីដែន themcx[.]co ដែលប្រើដោយអ្នកបោកប្រាស់ដើម្បីធ្វើជាម្ចាស់ផ្ទះគេហទំព័រដែលសន្មតថាជា Miner Coin Exchange និង phone-lookup[.]xyz ដើម្បីទាក់ទាញចរាចរណ៍។

វាច្បាស់ណាស់ពីការពិពណ៌នាថាគ្រោងការណ៍នេះតម្រូវឱ្យមានហេដ្ឋារចនាសម្ព័ន្ធធំល្មមដើម្បីទាក់ទាញចរាចរទៅកាន់ធនធានក្លែងបន្លំ។ យើងបានសម្រេចចិត្តមើលហេដ្ឋារចនាសម្ព័ន្ធនេះដោយបង្កើតក្រាហ្វជា 4 ជំហាន។ លទ្ធផលគឺជាក្រាហ្វដែលមាន 230 ដែន និង 39 អាសយដ្ឋាន IP ។ បន្ទាប់មក យើងបែងចែក domains ជា 2 ប្រភេទ៖ ដែលស្រដៀងនឹងសេវាកម្មសម្រាប់ធ្វើការជាមួយ cryptocurrencies និងអ្នកដែលមានបំណងជំរុញចរាចរណ៍តាមរយៈសេវាផ្ទៀងផ្ទាត់តាមទូរសព្ទ៖

ទាក់ទងនឹង cryptocurrency
ភ្ជាប់ជាមួយសេវាកម្មវាយទូរស័ព្ទ

coinkeeper[.]cc
caller-record[.] site.

mcxwallet[.]co
phone-records[.]space

btcnoise[.]com
fone-uncover[.]xyz

cryptominer[.]មើល
លេខ បង្ហាញ[.]ព័ត៌មាន

ការសម្អាត

តាមលំនាំដើម ជម្រើស "ការសម្អាតក្រាហ្វ" ត្រូវបានបើក ហើយធាតុដែលមិនពាក់ព័ន្ធទាំងអស់នឹងត្រូវបានយកចេញពីក្រាហ្វ។ ដោយវិធីនេះវាត្រូវបានគេប្រើនៅក្នុងឧទាហរណ៍ពីមុនទាំងអស់។ ខ្ញុំ​មើល​ឃើញ​សំណួរ​ធម្មជាតិ​មួយ៖ តើ​យើង​អាច​ធ្វើ​យ៉ាង​ណា​ឱ្យ​ប្រាកដ​ថា​អ្វី​ដែល​សំខាន់​មិន​ត្រូវ​បាន​លុប? ខ្ញុំនឹងឆ្លើយ៖ សម្រាប់អ្នកវិភាគដែលចូលចិត្តបង្កើតក្រាហ្វដោយដៃ ការសម្អាតដោយស្វ័យប្រវត្តិអាចត្រូវបានបិទ ហើយចំនួនជំហានអាចត្រូវបានជ្រើសរើស = 1 ។ បន្ទាប់មក អ្នកវិភាគនឹងអាចបំពេញក្រាហ្វពីធាតុដែលគាត់ត្រូវការ និងដកធាតុចេញពី ក្រាហ្វដែលមិនទាក់ទងនឹងកិច្ចការ។

រួចហើយនៅលើក្រាហ្វ ប្រវត្តិនៃការផ្លាស់ប្តូរក្នុង whois, DNS ក៏ដូចជាច្រកបើកចំហ និងសេវាកម្មដែលដំណើរការលើពួកវាមានសម្រាប់អ្នកវិភាគ។

ការបន្លំហិរញ្ញវត្ថុ

យើងបានស៊ើបអង្កេតសកម្មភាពរបស់ក្រុម APT មួយ ដែលអស់រយៈពេលជាច្រើនឆ្នាំបានធ្វើការវាយប្រហារដោយបន្លំប្រឆាំងនឹងអតិថិជននៃធនាគារនានានៅក្នុងតំបន់ផ្សេងៗគ្នា។ លក្ខណៈពិសេសមួយរបស់ក្រុមនេះគឺការចុះឈ្មោះដែនដែលស្រដៀងទៅនឹងឈ្មោះធនាគារពិត ហើយគេហទំព័របន្លំភាគច្រើនមានការរចនាដូចគ្នា ភាពខុសគ្នាតែមួយគត់គឺនៅក្នុងឈ្មោះធនាគារ និងនិមិត្តសញ្ញារបស់ពួកគេ។

ក្នុងករណីនេះការវិភាគក្រាហ្វដោយស្វ័យប្រវត្តិបានជួយយើងយ៉ាងច្រើន។ ទទួលយកដែនមួយរបស់ពួកគេ - lloydsbnk-uk[.]com ក្នុងរយៈពេលពីរបីវិនាទី យើងបានបង្កើតក្រាហ្វដែលមានជម្រៅ 3 ជំហាន ដែលកំណត់អត្តសញ្ញាណដែនព្យាបាទជាង 250 ដែលក្រុមនេះប្រើតាំងពីឆ្នាំ 2015 ហើយបន្តប្រើ . ដែនទាំងនេះមួយចំនួនត្រូវបានទិញដោយធនាគាររួចហើយ ប៉ុន្តែកំណត់ត្រាប្រវត្តិសាស្ត្របង្ហាញថាពួកវាត្រូវបានចុះឈ្មោះពីមុនសម្រាប់អ្នកវាយប្រហារ។

សម្រាប់ភាពច្បាស់លាស់ តួលេខបង្ហាញក្រាហ្វដែលមានជម្រៅ 2 ជំហាន។

គួរកត់សម្គាល់ថានៅឆ្នាំ 2019 អ្នកវាយប្រហារបានផ្លាស់ប្តូរយុទ្ធសាស្ត្ររបស់ពួកគេបន្តិច ហើយចាប់ផ្តើមចុះឈ្មោះមិនត្រឹមតែដែនរបស់ធនាគារសម្រាប់ការបង្ហោះគេហទំព័របន្លំប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងដែនរបស់ក្រុមហ៊ុនប្រឹក្សាផ្សេងៗសម្រាប់ការផ្ញើអ៊ីមែលបន្លំផងដែរ។ ឧទាហរណ៍ ដែន swift-department.com, saudconsultancy.com, vbgrigoryanpartners.com។

ក្រុម Cobalt

នៅខែធ្នូ ឆ្នាំ 2018 ក្រុមហេគឃ័រ Cobalt ដែលមានឯកទេសក្នុងការវាយប្រហារតាមគោលដៅលើធនាគារ បានបញ្ជូនយុទ្ធនាការផ្ញើសំបុត្រក្នុងនាមធនាគារជាតិនៃកាហ្សាក់ស្ថាន។

អក្សរមានតំណភ្ជាប់ទៅកាន់ hXXps://nationalbank.bz/Doc/Prikaz.doc ។ ឯកសារដែលបានទាញយកមានម៉ាក្រូដែលបើកដំណើរការ Powershell ដែលនឹងព្យាយាមផ្ទុក និងប្រតិបត្តិឯកសារពី hXXp://wateroilclub.com/file/dwm.exe ក្នុង %Temp%einmrmdmy.exe ។ ឯកសារ %Temp%einmrmdmy.exe aka dwm.exe គឺជាដំណាក់កាល CobInt ដែលបានកំណត់រចនាសម្ព័ន្ធដើម្បីធ្វើអន្តរកម្មជាមួយម៉ាស៊ីនមេ hXXp://admvmsopp.com/rilruietguadvtoefmuy ។

ស្រមៃថាមិនអាចទទួលបានអ៊ីមែលបន្លំទាំងនេះ និងធ្វើការវិភាគពេញលេញនៃឯកសារព្យាបាទ។ ក្រាហ្វសម្រាប់ធនាគារជាតិនៃដែនព្យាបាទ[.]bz បង្ហាញការភ្ជាប់ជាមួយដែនព្យាបាទផ្សេងទៀតភ្លាមៗ ដោយកំណត់គុណលក្ខណៈវាទៅជាក្រុម និងបង្ហាញថាឯកសារណាមួយត្រូវបានប្រើប្រាស់ក្នុងការវាយប្រហារ។

តោះយកអាសយដ្ឋាន IP 46.173.219[.]152 ពីក្រាហ្វនេះ ហើយបង្កើតក្រាហ្វពីវាក្នុងមួយវគ្គ ហើយបិទការសម្អាត។ មាន 40 domains ដែលភ្ជាប់ជាមួយវា ឧទាហរណ៍ bl0ckchain[.]ug
paypal.co.uk.qlg6[.]pw
cryptoelips[.]com

ដោយវិនិច្ឆ័យដោយឈ្មោះដែន វាហាក់បីដូចជាពួកវាត្រូវបានប្រើក្នុងគ្រោងការណ៍ក្លែងបន្លំ ប៉ុន្តែក្បួនដោះស្រាយការសម្អាតបានដឹងថាពួកគេមិនពាក់ព័ន្ធនឹងការវាយប្រហារនេះទេ ហើយមិនបានដាក់វានៅលើក្រាហ្វ ដែលជួយសម្រួលដល់ដំណើរការវិភាគ និងគុណលក្ខណៈបានយ៉ាងងាយស្រួល។

ប្រសិនបើអ្នកបង្កើតក្រាហ្វឡើងវិញដោយប្រើធនាគារជាតិ [.]bz ប៉ុន្តែការបិទដំណើរការក្បួនដោះស្រាយការសម្អាតក្រាហ្វ នោះវានឹងមានធាតុច្រើនជាង 500 ដែលភាគច្រើនមិនមានពាក់ព័ន្ធនឹងក្រុម Cobalt ឬការវាយប្រហាររបស់ពួកគេទេ។ ឧទាហរណ៍នៃអ្វីដែលក្រាហ្វបែបនេះមើលទៅដូចត្រូវបានផ្តល់ឱ្យខាងក្រោម:

សេចក្តីសន្និដ្ឋាន

បន្ទាប់ពីជាច្រើនឆ្នាំនៃការកែតម្រូវ ការសាកល្បងនៅក្នុងការស៊ើបអង្កេតពិតប្រាកដ ការស្រាវជ្រាវការគំរាមកំហែង និងការប្រមាញ់អ្នកវាយប្រហារ យើងបានគ្រប់គ្រងមិនត្រឹមតែដើម្បីបង្កើតឧបករណ៍ពិសេសមួយប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងផ្លាស់ប្តូរអាកប្បកិរិយារបស់អ្នកជំនាញនៅក្នុងក្រុមហ៊ុនចំពោះវាផងដែរ។ ដំបូងឡើយ អ្នកជំនាញបច្ចេកទេសចង់បានការគ្រប់គ្រងពេញលេញលើដំណើរការសាងសង់ក្រាហ្វ។ ការបញ្ចុះបញ្ចូលពួកគេថាការសាងសង់ក្រាហ្វដោយស្វ័យប្រវត្តិអាចធ្វើវាបានប្រសើរជាងមនុស្សដែលមានបទពិសោធន៍ច្រើនឆ្នាំគឺពិបាកខ្លាំងណាស់។ អ្វីគ្រប់យ៉ាងត្រូវបានសម្រេចដោយពេលវេលា និងការត្រួតពិនិត្យ "ដោយដៃ" ជាច្រើននៃលទ្ធផលនៃអ្វីដែលក្រាហ្វបានផលិត។ ឥឡូវនេះអ្នកជំនាញរបស់យើងមិនត្រឹមតែជឿជាក់លើប្រព័ន្ធប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងប្រើលទ្ធផលដែលទទួលបានក្នុងការងារប្រចាំថ្ងៃរបស់ពួកគេផងដែរ។ បច្ចេកវិទ្យានេះដំណើរការនៅក្នុងប្រព័ន្ធរបស់យើងនីមួយៗ និងអនុញ្ញាតឱ្យយើងកំណត់អត្តសញ្ញាណការគំរាមកំហែងនៃប្រភេទណាមួយ។ ចំណុចប្រទាក់សម្រាប់ការវិភាគក្រាហ្វដោយដៃត្រូវបានបង្កើតឡើងនៅក្នុងផលិតផល Group-IB ទាំងអស់ និងពង្រីកសមត្ថភាពយ៉ាងសំខាន់សម្រាប់ការប្រមាញ់ឧក្រិដ្ឋកម្មតាមអ៊ីនធឺណិត។ នេះត្រូវបានបញ្ជាក់ដោយការវាយតម្លៃរបស់អ្នកវិភាគពីអតិថិជនរបស់យើង។ ហើយយើងបន្តពង្រឹងក្រាហ្វជាមួយនឹងទិន្នន័យ និងធ្វើការលើក្បួនដោះស្រាយថ្មីដោយប្រើបញ្ញាសិប្បនិម្មិត ដើម្បីបង្កើតក្រាហ្វបណ្តាញត្រឹមត្រូវបំផុត។

ប្រភព: www.habr.com