안전 도구로서의 구멍 - 2 또는 "살아있는 미끼로" APT를 잡는 방법

(제목 아이디어를 주신 Sergey G. Brester에게 감사드립니다. 세브레스)

동료 여러분, 이 기사의 목적은 디셉션 기술을 기반으로 한 새로운 종류의 IDS 솔루션에 대한 XNUMX년간의 테스트 운영 경험을 공유하는 것입니다.

자료 제시의 논리적 일관성을 유지하려면 전제부터 시작하는 것이 필요하다고 생각합니다. 문제는 다음과 같습니다.

1. 표적 공격은 전체 위협 수에서 차지하는 비중이 적음에도 불구하고 가장 위험한 공격 유형입니다.
2. 경계선을 보호하기 위한 보장된 효과적인 수단(또는 그러한 수단 세트)은 아직 발명되지 않았습니다.
3. 일반적으로 표적 공격은 여러 단계로 진행됩니다. 경계를 극복하는 것은 초기 단계 중 하나일 뿐이며, 물론 DEoS(서비스 파괴) 공격(암호화기 등)이 아닌 한 (나에게 돌을 던질 수 있음) "피해자"에게 큰 피해를 입히지 않습니다. .). 실제 "고통"은 나중에 캡처된 자산이 "심층" 공격을 피벗하고 개발하는 데 사용되기 시작할 때 시작되지만 우리는 이를 알아차리지 못했습니다.
4. 공격자가 최종적으로 공격 대상(애플리케이션 서버, DBMS, 데이터 웨어하우스, 리포지토리, 중요 인프라 요소)에 도달하면 실질적인 손실을 입기 시작하므로 정보 보안 서비스의 업무 중 하나는 사전에 공격을 차단하는 것이 논리적입니다. 이 슬픈 사건. 하지만 무언가를 방해하려면 먼저 그것에 대해 알아내야 합니다. 그리고 빠를수록 좋습니다.
5. 따라서 성공적인 위험 관리(즉, 표적 공격으로 인한 피해 감소)를 위해서는 최소 TTD(탐지 시간 - 침입 순간부터 공격이 감지되는 순간까지의 시간)를 제공하는 도구를 갖추는 것이 중요합니다. 산업 및 지역에 따라 이 기간은 미국의 경우 평균 99일, EMEA 지역의 경우 106일, APAC 지역의 경우 172일입니다(M-Trends 2017, A View From the Front Lines, Mandiant).
6. 시장은 무엇을 제공합니까?
   • "샌드박스". 이상적이지 않은 또 다른 예방 통제입니다. 샌드박스 또는 화이트리스트 솔루션을 탐지하고 우회하는 효과적인 기술이 많이 있습니다. "어두운 면"의 사람들은 여기에서 여전히 한 발 앞서 있습니다.
   • UEBA(행동 프로파일링 및 편차 식별 시스템)는 이론적으로 매우 효과적일 수 있습니다. 그러나 제 생각에는 이것은 먼 미래의 언젠가일 것입니다. 실제로 이는 여전히 비용이 많이 들고 신뢰할 수 없으며 매우 성숙하고 안정적인 IT 및 정보 보안 인프라가 필요합니다. 여기에는 이미 행동 분석을 위한 데이터를 생성하는 모든 도구가 있습니다.
   • SIEM은 조사에 좋은 도구이지만 상관 규칙이 서명과 동일하기 때문에 새롭고 독창적인 것을 적시에 보고 보여줄 수 없습니다.

7. 결과적으로 다음과 같은 도구가 필요합니다.
   • 이미 손상된 경계 조건에서 성공적으로 작업했으며,
   • 사용된 도구 및 취약점에 관계없이 거의 실시간으로 성공적인 공격을 감지합니다.
   • 서명/규칙/스크립트/정책/프로필 및 기타 정적 항목에 의존하지 않았습니다.
   • 분석을 위해 많은 양의 데이터와 그 소스가 필요하지 않았습니다.
   • 추가 조사가 필요한 "세계 최고, 특허 및 폐쇄 수학" 작업의 결과로 공격을 일종의 위험 점수 매기기로 정의하는 것이 아니라 실제로는 이진 이벤트로 정의할 수 있습니다. 우리는 공격을 받고 있습니다.”또는 “아니요, 다 괜찮아요”,
   • 사용된 물리적 및 논리적 네트워크 토폴로지에 관계없이 보편적이고 효율적으로 확장 가능하며 이기종 환경에서 구현이 가능했습니다.

이제 소위 속임수 솔루션이 이러한 도구의 역할을 놓고 경쟁하고 있습니다. 즉, 허니팟의 오래된 개념을 기반으로 하지만 구현 수준이 완전히 다른 솔루션입니다. 이 주제는 현재 확실히 증가하고 있습니다.

결과에 따르면 Gartner Security&Risc 관리 서밋 2017 사용이 권장되는 TOP 3 전략 및 도구에는 속임수 솔루션이 포함되어 있습니다.

보고서에 따르면 TAG 사이버 보안 연례 2017 속임수는 IDS 침입 탐지 시스템(IDS) 솔루션 개발의 주요 방향 중 하나입니다.

후자의 전체 섹션 Cisco IT 보안 현황 보고서SCADA 전용 은 이 시장의 리더 중 하나인 TrapX Security(이스라엘)의 데이터를 기반으로 하며, 그 솔루션은 XNUMX년 동안 우리 테스트 영역에서 작동해 왔습니다.

TrapX Deception Grid를 사용하면 라이센스 부하와 하드웨어 리소스 요구 사항을 늘리지 않고도 중앙에서 대규모로 분산된 IDS를 운영하고 비용을 절감할 수 있습니다. 실제로 TrapX는 기존 IT 인프라의 요소로부터 전사적 규모의 공격을 탐지하기 위한 일종의 분산 네트워크 "경보"라는 하나의 대규모 메커니즘을 생성할 수 있는 생성자입니다.

솔루션 구조

우리 연구실에서는 IT 보안 분야의 다양한 신제품을 끊임없이 연구하고 테스트하고 있습니다. 현재 TrapX Deception Grid 구성 요소를 포함하여 약 50개의 다양한 가상 서버가 여기에 배포되어 있습니다.

따라서 위에서 아래로 :

1. TSOC(TrapX Security Operation Console)는 시스템의 두뇌입니다. 이는 솔루션 구성, 배포 및 모든 일상적인 작업이 수행되는 중앙 관리 콘솔입니다. 이는 웹 서비스이므로 경계, 클라우드 또는 MSSP 공급자 등 어디에나 배포할 수 있습니다.
2. TSA(TrapX Appliance)는 트렁크 포트를 사용하여 모니터링하려는 서브넷을 연결하는 가상 서버입니다. 또한 우리의 모든 네트워크 센서는 실제로 여기에 "살아있습니다".

   우리 연구실에는 하나의 TSA(mwsapp1)가 배포되어 있지만 실제로는 여러 개가 있을 수 있습니다. 이는 세그먼트 간 L2 연결이 없는 대규모 네트워크(일반적인 예는 "지주 및 자회사" 또는 "은행 본사 및 지점") 또는 네트워크에 자동화된 프로세스 제어 시스템과 같이 격리된 세그먼트가 있는 경우 필요할 수 있습니다. 이러한 각 분기/세그먼트에서 자체 TSA를 배포하고 이를 단일 TSOC에 연결할 수 있으며, 여기에서 모든 정보가 중앙에서 처리됩니다. 이 아키텍처를 사용하면 네트워크를 근본적으로 재구성하거나 기존 분할을 중단할 필요 없이 분산 모니터링 시스템을 구축할 수 있습니다.

   또한 TAP/SPAN을 통해 나가는 트래픽의 사본을 TSA에 제출할 수 있습니다. 알려진 봇넷, 명령 및 제어 서버 또는 TOR 세션과의 연결을 감지하면 콘솔에서도 결과를 받게 됩니다. NIS(Network Intelligence Sensor)가 이를 담당합니다. 우리 환경에서는 이 기능이 방화벽에 구현되어 있으므로 여기서는 사용하지 않았습니다.

3. 애플리케이션 트랩(전체 OS) – Windows 서버 기반의 기존 허니팟입니다. 이러한 서버의 주요 목적은 다음 센서 계층에 IT 서비스를 제공하거나 Windows 환경에 배포될 수 있는 비즈니스 응용 프로그램에 대한 공격을 탐지하는 것이므로 많은 서버가 필요하지 않습니다. 우리 연구실에는 그러한 서버가 하나 설치되어 있습니다(FOS01).

   

4. 에뮬레이트된 트랩은 솔루션의 주요 구성 요소로, 단일 가상 머신을 사용하여 공격자를 위한 매우 밀집된 "지뢰밭"을 만들고 엔터프라이즈 네트워크와 모든 VLAN을 센서로 포화시킬 수 있습니다. 공격자는 이러한 센서 또는 팬텀 호스트를 실제 Windows PC 또는 서버, Linux 서버 또는 우리가 보여주기로 결정한 기타 장치로 간주합니다.

   
   
   비즈니스의 이익과 호기심을 위해 우리는 Windows PC 및 다양한 버전의 서버, Linux 서버, Windows가 내장된 ATM, SWIFT Web Access, 네트워크 프린터, Cisco 등 "각 생물의 쌍"을 배포했습니다. 스위치, Axis IP 카메라, MacBook, PLC 장치 및 스마트 전구까지. 총 13명의 호스트가 있습니다. 일반적으로 공급업체에서는 실제 호스트 수의 최소 10%에 해당하는 센서를 배포할 것을 권장합니다. 상단 표시줄은 사용 가능한 주소 공간입니다.

   매우 중요한 점은 이러한 각 호스트가 리소스와 라이센스가 필요한 본격적인 가상 머신이 아니라는 점입니다. 이는 일련의 매개변수와 IP 주소가 있는 TSA의 미끼, 에뮬레이션, 단일 프로세스입니다. 따라서 하나의 TSA의 도움으로 우리는 경보 시스템의 센서로 작동할 수백 개의 팬텀 호스트로 네트워크를 포화시킬 수 있습니다. 대규모 분산 기업 전반에 걸쳐 허니팟 개념을 비용 효율적으로 확장할 수 있게 해주는 것이 바로 이 기술입니다.

   공격자의 관점에서 볼 때 이러한 호스트는 취약점을 포함하고 상대적으로 쉬운 대상으로 보이기 때문에 매력적입니다. 공격자는 이러한 호스트에서 서비스를 보고 상호 작용하고 표준 도구 및 프로토콜(smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus 등)을 사용하여 공격할 수 있습니다. 그러나 이러한 호스트를 사용하여 공격을 개발하거나 자체 코드를 실행하는 것은 불가능합니다.

5. 이 두 가지 기술(FullOS 및 에뮬레이트된 트랩)을 결합하면 공격자가 조만간 신호 네트워크의 일부 요소를 접하게 될 높은 통계적 확률을 얻을 수 있습니다. 하지만 이 확률이 100%에 가깝다는 것을 어떻게 확인할 수 있을까요?

   소위 속임수 토큰이 전투에 참여합니다. 덕분에 우리는 기업의 모든 기존 PC와 서버를 분산 IDS에 포함시킬 수 있습니다. 토큰은 사용자의 실제 PC에 배치됩니다. 토큰은 리소스를 소비하고 충돌을 일으킬 수 있는 에이전트가 아니라는 점을 이해하는 것이 중요합니다. 토큰은 공격 측을 함정에 빠뜨리는 일종의 "탐색 부스러기"인 수동적인 정보 요소입니다. 예를 들어, 매핑된 네트워크 드라이브, 브라우저의 가짜 웹 관리자에 대한 북마크 및 저장된 비밀번호, 저장된 ssh/rdp/winscp 세션, 호스트 파일의 주석이 포함된 트랩, 메모리에 저장된 비밀번호, 존재하지 않는 사용자의 자격 증명, 사무실 파일, 시스템을 트리거하는 열기 등이 있습니다. 따라서 우리는 실제로 우리에게 위협을 가하지 않고 오히려 그 반대의 공격 벡터로 가득 찬 왜곡된 환경에 공격자를 배치합니다. 그리고 그는 그 정보가 어디가 사실이고 어디가 거짓인지 판단할 방법이 없습니다. 따라서 우리는 공격을 신속하게 탐지할 수 있을 뿐만 아니라 공격 진행 속도도 크게 늦춥니다.

네트워크 트랩 생성 및 토큰 설정의 예입니다. 친숙한 인터페이스와 구성, 스크립트 등을 수동으로 편집할 필요가 없습니다.

우리 환경에서는 Windows Server 01R2012를 실행하는 FOS2과 Windows 7을 실행하는 테스트 PC에 이러한 토큰을 다수 구성하고 배치했습니다. RDP는 이러한 시스템에서 실행되고 있으며 정기적으로 DMZ에 토큰을 "걸어" 놓습니다. (에뮬레이트된 트랩)도 표시됩니다. 그래서 우리는 자연스럽게 말하자면 끊임없는 사건의 흐름을 접하게 됩니다.

올해의 몇 가지 간단한 통계는 다음과 같습니다.

56 – 기록된 사건,
2 – 공격 소스 호스트가 감지되었습니다.

클릭 가능한 대화형 공격 지도

동시에 솔루션은 이해하는 데 오랜 시간이 걸리는 일종의 메가 로그 또는 이벤트 피드를 생성하지 않습니다. 대신, 솔루션 자체는 이벤트를 유형별로 분류하고 정보 보안 팀이 주로 가장 위험한 이벤트(공격자가 제어 세션(상호 작용)을 올리려고 할 때 또는 바이너리 페이로드(감염)가 트래픽에 나타날 때)에 집중할 수 있도록 합니다.

제 생각에는 정보 보안 분야에 대한 기본 지식을 갖춘 사용자라도 이벤트에 대한 모든 정보를 읽고 이해하기 쉬운 형식으로 제공할 수 있습니다.

기록된 사건의 대부분은 호스트 또는 단일 연결을 검색하려는 시도입니다.

또는 RDP에 대한 무차별 암호 대입 시도

그러나 특히 공격자가 RDP의 비밀번호를 추측하고 로컬 네트워크에 액세스하도록 "관리"한 경우보다 더 흥미로운 사례도 있었습니다.

공격자는 psexec를 사용하여 코드 실행을 시도합니다.

공격자는 저장된 세션을 발견했고, 이로 인해 리눅스 서버 형태의 함정에 빠졌다. 연결 직후 미리 준비된 하나의 명령 세트를 사용하여 모든 로그 파일과 해당 시스템 변수를 삭제하려고 시도했습니다.

공격자는 SWIFT Web Access를 모방한 허니팟에 SQL 주입을 시도합니다.

이러한 "자연스러운" 공격 외에도 우리는 자체적으로 여러 가지 테스트를 수행했습니다. 가장 눈에 띄는 것 중 하나는 네트워크에서 네트워크 웜의 탐지 시간을 테스트하는 것입니다. 이를 위해 우리는 GuardiCore의 도구를 사용했습니다. 감염 원숭이. 이는 Windows와 Linux를 하이재킹할 수 있지만 "페이로드"가 없는 네트워크 웜입니다.
우리는 로컬 명령 센터를 배포하고 시스템 중 하나에서 첫 번째 웜 인스턴스를 실행했으며 90분 106초도 안 되어 TrapX 콘솔에서 첫 번째 경고를 받았습니다. TTD XNUMX초 대 평균 XNUMX일…

다른 클래스의 솔루션과 통합할 수 있는 기능 덕분에 위협을 신속하게 탐지하는 것에서 자동으로 대응하는 것으로 이동할 수 있습니다.

예를 들어 NAC(Network Access Control) 시스템 또는 CarbonBlack과 통합하면 손상된 PC를 네트워크에서 자동으로 연결 해제할 수 있습니다.

샌드박스와 통합하면 공격과 관련된 파일을 분석을 위해 자동으로 제출할 수 있습니다.

맥아피 통합

이 솔루션에는 자체 내장 이벤트 상관 관계 시스템도 있습니다.

하지만 우리는 그 기능이 만족스럽지 않아서 HP ArcSight와 통합했습니다.

내장된 티켓팅 시스템은 전 세계가 감지된 위협에 대처할 수 있도록 도와줍니다.

이 솔루션은 "처음부터" 정부 기관 및 대기업 부문의 요구에 맞춰 개발되었기 때문에 자연스럽게 역할 기반 액세스 모델, AD와의 통합, 개발된 보고서 및 트리거(이벤트 경고) 시스템, 오케스트레이션을 구현합니다. 대규모 보유 구조 또는 MSSP 제공자.

이력서 대신에

비유적으로 말하면 우리 등을 덮는 모니터링 시스템이 있다면 경계가 타협되면서 모든 것이 이제 막 시작되었습니다. 가장 중요한 것은 정보 보안 사고를 처리하고 그 결과를 처리할 수 있는 실제 기회가 있다는 것입니다.

출처 : habr.com