가능하다면 나를 속이세요: 사회기술적 침투 테스트 수행의 특징

이런 상황을 상상해 보세요. 추운 XNUMX월의 아침, 러시아 지역 중 하나의 지역 중심에 있는 디자인 연구소. 인사부 직원이 며칠 전 올라온 연구소 홈페이지 공석 페이지에 접속해 고양이 사진 한 장을 발견했다. 아침이 금방 지루해집니다...

이 기사에서 Group-IB 감사 및 컨설팅 부서의 기술 책임자인 Pavel Suprunyuk은 실제 보안을 평가하는 프로젝트에서 사회 기술적 공격이 일어나는 위치, 이러한 공격이 취할 수 있는 비정상적인 형태, 그러한 공격으로부터 보호하는 방법에 대해 설명합니다. 저자는 이 기사가 리뷰 성격을 띠고 있음을 분명히 밝혔습니다. 그러나 독자의 관심 사항이 있는 경우 Group-IB 전문가가 댓글을 통해 질문에 쉽게 답변할 것입니다.

1부. 왜 그렇게 심각한가?

우리 고양이에게 돌아가자. 얼마 후 HR 부서에서 사진을 삭제했지만 (여기 및 아래 스크린 샷은 실명이 공개되지 않도록 부분적으로 수정했습니다) 고집스럽게 돌아와서 다시 삭제되고 이런 일이 여러 번 더 발생합니다. HR 부서는 고양이가 가장 진지한 의도를 가지고 있고 떠나고 싶지 않다는 것을 이해하고 사이트를 만들고 이해하고 현재 관리하는 웹 프로그래머에게 도움을 요청합니다. 프로그래머는 사이트에 가서 짜증나는 고양이를 다시 한 번 삭제하고 그것이 HR 부서 자체를 대신하여 게시되었음을 알아낸 다음 HR 부서 비밀번호가 일부 온라인 훌리건에게 유출되었다고 가정하고 변경합니다. 고양이는 다시 나타나지 않습니다.

실제로 무슨 일이 일어났나요? 연구소가 포함된 기업군을 대상으로 Group-IB 전문가들이 레드팀링(Red Teaming)에 가까운 형식으로 침투 테스트를 진행했습니다. 해커 그룹의 무기고). 우리는 Red Teaming에 대해 자세히 이야기했습니다. 여기에. 이러한 테스트를 수행할 때 사회 공학을 포함하여 매우 광범위한 사전 합의된 공격이 사용될 수 있다는 점을 아는 것이 중요합니다. 고양이를 배치하는 것 자체가 무슨 일이 일어나고 있는지의 궁극적인 목표가 아니었음이 분명합니다. 그리고 다음과 같은 내용이 있었습니다.

• 연구소의 웹사이트는 제XNUMX자 서버가 아닌 연구소 네트워크 자체 내의 서버에서 호스팅되었습니다.
• HR 부서 계정에서 유출이 발견되었습니다(이메일 로그 파일은 사이트 루트에 있습니다). 이 계정으로 사이트 관리는 불가능했지만, 작업 페이지 편집은 가능했습니다.
• 페이지를 변경하면 스크립트를 JavaScript에 배치할 수 있습니다. 일반적으로 페이지를 대화형으로 만들지만 이 상황에서는 동일한 스크립트가 HR 부서와 프로그래머를 구별하고 프로그래머와 일반 방문자를 구별하는 방문자의 브라우저에서 사이트의 세션 식별자를 훔칠 수 있습니다. 고양이는 공격의 방아쇠이자 관심을 끌기 위한 그림이었다. HTML 웹사이트 마크업 언어에서는 다음과 같이 보입니다. 이미지가 로드된 경우 JavaScript가 이미 실행되었으며 브라우저 및 IP 주소에 대한 데이터와 함께 세션 ID가 이미 도난당한 것입니다.
• 도난당한 관리자 세션 ID를 사용하면 사이트에 대한 전체 액세스 권한을 얻고 PHP에서 실행 가능한 페이지를 호스팅하여 서버 운영 체제에 액세스한 다음 로컬 네트워크 자체에 액세스할 수 있게 됩니다. 이는 중요한 중간 목표였습니다. 프로젝트.

공격은 부분적으로 성공했습니다. 관리자의 세션 ID가 도난당했지만 IP 주소에 연결되어 있었습니다. 우리는 이 문제를 해결할 수 없었고 사이트 권한을 관리자 권한으로 높일 수는 없었지만 기분은 좋아졌습니다. 최종 결과는 결국 네트워크 경계의 다른 섹션에서 얻어졌습니다.

2부. 나는 당신에게 편지를 쓰고 있습니다. 또 무엇이 있습니까? 나는 또한 당신의 사무실에 전화해서 놀면서 플래시 드라이브를 떨어 뜨립니다.

고양이와 관련된 상황에서 일어난 일은 비록 고전적이지는 않지만 사회 공학의 한 예입니다. 사실, 이 이야기에는 더 많은 이벤트가 있었습니다. 고양이, 연구소, 인사부, 프로그래머가 있었지만 "후보자"가 인사부 자체와 개인적으로 쓴 것으로 추정되는 명확한 질문이 포함된 이메일도 있었습니다. 프로그래머에게 사이트 페이지로 이동하도록 유도합니다.

편지 말하기. 아마도 사회 공학을 수행하는 주요 수단인 일반 이메일은 수십 년 동안 관련성을 잃지 않았으며 때로는 가장 특이한 결과를 초래하기도 합니다.

우리는 행사에서 다음과 같은 이야기를 자주 합니다. 그 이야기는 매우 시사적이기 때문입니다.

일반적으로 우리는 사회 공학 프로젝트의 결과를 바탕으로 통계를 작성하는데, 이는 아시다시피 건조하고 지루한 것입니다. 수신자 중 상당수가 편지의 첨부 파일을 열었고 많은 사람들이 링크를 따라갔지만 실제로는 이 세 사람이 자신의 사용자 이름과 비밀번호를 입력했습니다. 한 프로젝트에서는 입력된 비밀번호의 100% 이상을 받았습니다. 즉, 우리가 보낸 것보다 더 많은 비밀번호가 나왔습니다.

이런 일이 일어났습니다. 국영 기업의 CISO로 추정되는 피싱 편지가 발송되었으며, "메일 서비스의 변경 사항을 긴급하게 테스트"하라는 요구가 포함되었습니다. 이 편지는 기술 지원을 담당하는 대규모 부서의 책임자에게 전달되었습니다. 관리자는 고위 당국의 지시를 매우 부지런히 수행했으며 이를 모든 부하 직원에게 전달했습니다. 콜센터 자체가 상당히 큰 것으로 나타났습니다. 일반적으로 누군가가 동료에게 "흥미로운" 피싱 이메일을 전달했는데 그들도 적발되는 상황은 매우 흔히 발생합니다. 우리에게는 이것이 편지 작성의 질에 대한 최고의 피드백입니다.

조금 후에 그들은 우리에 대해 알게 되었습니다(편지는 손상된 사서함에 들어있었습니다):

공격이 성공할 수 있었던 이유는 메일링이 클라이언트 메일 시스템의 여러 기술적 결함을 악용했기 때문입니다. 인터넷을 통해서도 승인 없이 조직 자체의 보낸 사람을 대신하여 편지를 보낼 수 있도록 구성되었습니다. 즉, CISO나 기술 지원 책임자 또는 다른 사람인 것처럼 가장할 수 있습니다. 또한 메일 인터페이스는 '자신의' 도메인에서 온 편지를 관찰하여 주소록의 사진을 조심스럽게 삽입하여 보낸 사람에게 자연스러움을 더했습니다.

실제로 이러한 공격은 특별히 복잡한 기술은 아니며 메일 설정의 매우 기본적인 결함을 성공적으로 악용한 것입니다. 전문 IT 및 정보 보안 리소스에 대해 정기적으로 검토되지만 그럼에도 불구하고 여전히 이 모든 것을 갖춘 회사가 있습니다. SMTP 메일 프로토콜의 서비스 헤더를 철저하게 확인하려는 사람은 아무도 없기 때문에 일반적으로 메일 인터페이스의 경고 아이콘을 사용하여 편지의 "위험"을 확인하지만 항상 전체 그림을 표시하지는 않습니다.

흥미롭게도 유사한 취약점은 다른 방향에서도 작동합니다. 즉, 공격자가 회사를 대신하여 제XNUMX자 수신자에게 이메일을 보낼 수 있습니다. 예를 들어, 그는 귀하를 대신하여 정기 결제 송장을 위조하여 귀하 대신 다른 세부 정보를 표시할 수 있습니다. 사기 방지 및 현금 인출 문제 외에도 이는 아마도 사회 공학을 통해 돈을 훔치는 가장 쉬운 방법 중 하나일 것입니다.

피싱을 통해 비밀번호를 훔치는 것 외에도 전형적인 사회기술적 공격은 실행 가능한 첨부 파일을 보내는 것입니다. 이러한 투자가 현대 기업에서 일반적으로 많이 사용하는 모든 보안 조치를 극복하면 피해자의 컴퓨터에 대한 원격 액세스 채널이 생성됩니다. 공격의 결과를 보여주기 위해 결과적인 원격 제어는 특히 중요한 기밀 정보에 대한 액세스까지 개발될 수 있습니다. 미디어가 모든 사람에게 겁을 주기 위해 사용하는 대부분의 공격이 정확히 이와 같이 시작된다는 점은 주목할 만합니다.

감사 부서에서는 재미삼아 대략적인 통계를 계산합니다. 주로 피싱과 실행 가능한 첨부 파일 전송을 통해 도메인 관리자 액세스 권한을 얻은 회사 자산의 총 가치는 얼마입니까? 올해 그 규모는 약 150억 유로에 달했습니다.

도발적인 이메일을 보내거나 웹사이트에 고양이 사진을 게시하는 것이 사회공학의 유일한 방법은 아니라는 것은 분명합니다. 이 예에서 우리는 다양한 공격 형태와 그 결과를 보여 주려고 노력했습니다. 잠재적인 공격자는 편지 외에도 전화를 걸어 필요한 정보를 얻고, 대상 회사 사무실에 실행 파일이 포함된 미디어(예: 플래시 드라이브)를 분산시키고, 인턴으로 취업하고, 로컬 네트워크에 물리적으로 액세스할 수 있습니다. CCTV 카메라 설치자를 가장하여. 그런데 이 모든 것은 성공적으로 완료된 프로젝트의 예입니다.

3부. 가르침은 빛이지만 배우지 못한 사람은 어두움이다

합리적인 질문이 생깁니다. 사회공학이 있습니다. 위험해 보이지만, 기업은 이 모든 것에 대해 어떻게 해야 할까요? Captain Obvious가 구조하러 옵니다. 포괄적인 방식으로 자신을 방어해야 합니다. 보호의 일부 부분은 정보 보호를 위한 기술적 수단, 모니터링, 프로세스의 조직적, 법적 지원과 같은 이미 고전적인 보안 조치를 목표로 할 것이지만, 우리 의견으로는 주요 부분은 직원과의 직접적인 작업으로 지향되어야 합니다. 가장 약한 링크. 결국 아무리 기술을 강화하고, 가혹한 규제를 써도 모든 것을 깨뜨릴 수 있는 새로운 방법을 발견하는 사용자는 늘 있기 마련이다. 더욱이 규정이나 기술 모두 사용자의 창의력을 따라잡을 수 없으며, 특히 자격을 갖춘 공격자가 사용자를 자극하는 경우에는 더욱 그렇습니다.

우선, 사용자를 교육하는 것이 중요합니다. 일상적인 작업 중에도 사회 공학과 관련된 상황이 발생할 수 있음을 설명하십시오. 고객을 위해 우리는 종종 코스 디지털 위생 - 일반적인 공격에 대응하기 위한 기본 기술을 가르치는 이벤트입니다.

최선의 보호 조치 중 하나는 정보 보안 규칙을 전혀 암기하는 것이 아니라 약간 분리된 방식으로 상황을 평가하는 것이라고 덧붙일 수 있습니다.

1. 내 대담자는 누구입니까?
2. 그의 제안이나 요청은 어디에서 왔습니까? (이전에는 이런 일이 없었고 지금은 나타났습니다)?
3. 이 요청의 특이한 점은 무엇입니까?

보내는 사람에게 특이한 유형의 문자 글꼴이나 말투도 공격을 중단시키는 의심의 사슬을 촉발할 수 있습니다. 처방된 지침도 필요하지만 다르게 작동하며 가능한 모든 상황을 지정할 수는 없습니다. 예를 들어, 정보 보안 관리자는 타사 리소스에 비밀번호를 입력할 수 없다고 기록합니다. "귀하의", "회사" 네트워크 리소스에서 비밀번호를 요청하면 어떻게 되나요? 사용자는 다음과 같이 생각합니다. "우리 회사는 이미 단일 계정으로 XNUMX개의 서비스를 보유하고 있는데 다른 계정을 갖는 것은 어떨까요?" 이것은 또 다른 규칙으로 이어집니다. 잘 구조화된 업무 프로세스는 보안에도 직접적인 영향을 미칩니다. 이웃 부서가 서면으로만 그리고 관리자를 통해서만 정보를 요청할 수 있다면 "회사의 신뢰할 수 있는 파트너로부터 온" 사람은 확실히 그렇지 않을 것입니다. 전화로 요청할 수 있습니다. 이것은 말도 안되는 일입니다. 대담자가 모든 것을 지금 당장 또는 "최대한 빨리" 작성하도록 요구하는 경우 특히 주의해야 합니다. 정상적인 업무에서도 이러한 상황은 건전하지 않은 경우가 많으며, 공격 가능성이 있는 상황에서는 강력한 유발 요인이 됩니다. 설명할 시간이 없습니다. 내 파일을 실행해 보세요!

우리는 사용자가 어떤 형태로든 돈과 관련된 주제, 즉 판촉 약속, 특혜, 선물, 지역 가십 및 음모로 추정되는 정보에 의해 항상 사회기술적 공격의 전설적인 표적이 된다는 것을 알고 있습니다. 즉, 이익에 대한 갈증, 탐욕, 과도한 호기심이라는 진부한 "대죄"가 작용하고 있습니다.

좋은 훈련에는 항상 연습이 포함되어야 합니다. 침투 테스트 전문가가 도움을 줄 수 있는 곳이 바로 여기입니다. 다음 질문은 무엇을, 어떻게 테스트할 것인가입니다. Group-IB에서는 다음과 같은 접근 방식을 제안합니다. 즉시 테스트 초점을 선택합니다. 즉, 사용자 자신의 공격 준비 상태를 평가하거나 회사 전체의 보안을 확인합니다. 그리고 사회 공학적 방법을 사용하여 실제 공격을 시뮬레이션합니다. 즉, 동일한 피싱, 실행 가능한 문서 전송, 통화 및 기타 기술을 시뮬레이션합니다.

첫 번째 경우에는 고객 대표, 주로 IT 및 정보 보안 전문가와 함께 공격을 신중하게 준비합니다. 전설, 도구 및 공격 기술이 일관됩니다. 고객은 필요한 모든 연락처를 포함하는 공격 대상 사용자 목록과 포커스 그룹을 직접 제공합니다. 메시지와 실행 파일 로드는 수신자에게 도달해야 하기 때문에 보안 조치에 대한 예외가 생성됩니다. 이러한 프로젝트에서는 사람들의 반응에만 관심이 있기 때문입니다. 선택적으로 공격에 마커를 포함하여 사용자가 이것이 공격임을 추측할 수 있습니다. 예를 들어 메시지에 몇 가지 철자 오류를 범하거나 회사 스타일을 복사할 때 부정확한 내용을 남길 수 있습니다. 프로젝트가 끝나면 동일한 "건조한 통계"가 얻어집니다. 즉 어떤 포커스 그룹이 시나리오에 어느 정도 반응했는지를 알 수 있습니다.

두 번째 경우에는 '블랙박스' 방식을 사용해 초기 지식 없이 공격을 수행한다. 우리는 회사, 직원, 네트워크 경계에 대한 정보를 독립적으로 수집하고, 공격 범례를 작성하고, 방법을 선택하고, 대상 회사에서 사용되는 가능한 보안 조치를 찾고, 도구를 적용하고, 시나리오를 작성합니다. 우리 전문가들은 전통적인 오픈 소스 인텔리전스(OSINT) 방법과 Group-IB의 자체 제품인 Threat Intelligence를 모두 사용합니다. Threat Intelligence는 피싱에 대비할 때 기밀 정보를 포함하여 장기간에 걸쳐 회사에 대한 정보를 수집하는 역할을 할 수 있는 시스템입니다. 물론 공격이 불쾌한 놀라움이 되지 않도록 세부 사항도 고객과 합의합니다. 본격적인 침투 테스트인 것으로 밝혀졌지만, 고급 사회공학을 기반으로 할 예정이다. 이 경우 논리적 옵션은 내부 시스템에서 가장 높은 권한을 획득할 때까지 네트워크 내에서 공격을 전개하는 것입니다. 그건 그렇고, 비슷한 방식으로 우리는 사회 기술적 공격을 사용합니다. 레드 팀 구성, 일부 침투 테스트에서도 마찬가지입니다. 결과적으로 고객은 특정 유형의 사회 기술적 공격에 대한 보안에 대한 독립적이고 포괄적인 비전을 얻을 뿐만 아니라 외부 위협에 대한 구축된 방어선의 효율성(또는 반대로 비효율성)에 대한 데모를 받게 됩니다.

이 교육은 최소한 XNUMX년에 두 번 실시하는 것이 좋습니다. 첫째, 어느 회사에서나 직원 이직이 있고 직원들은 이전 경험을 점차 잊고 있습니다. 둘째, 공격 방법과 기술은 지속적으로 변화하고 있으며 이로 인해 보안 프로세스와 보호 도구를 조정할 필요가 있습니다.

공격으로부터 보호하기 위한 기술적 조치에 관해 이야기할 때 다음이 가장 도움이 됩니다.

• 인터넷에 게시된 서비스에는 필수 이중 인증이 있습니다. 2019년에 SSO(Single Sign On) 시스템 없이, 암호 무차별 공격으로부터 보호하지 않고, 수백 명 규모의 회사에서 이중 인증 없이 이러한 서비스를 출시하는 것은 "나를 무너뜨리라"는 공개 요청과 같습니다. 적절하게 구현된 보호 기능을 사용하면 도난당한 비밀번호를 신속하게 사용할 수 없으며 피싱 공격의 결과를 제거할 시간을 확보할 수 있습니다.
• 액세스 제어를 제어하고, 시스템에서 사용자 권한을 최소화하며, 각 주요 제조업체에서 발표한 안전한 제품 구성에 대한 지침을 따릅니다. 이는 본질적으로 단순한 경우가 많지만 매우 효과적이고 구현하기 어려운 조치로 모든 사람이 어느 정도 속도 때문에 무시합니다. 그리고 일부는 너무 필요해서 그들 없이는 어떤 보호 수단도 구할 수 없습니다.
• 잘 구축된 이메일 필터링 라인. 안티스팸, 샌드박스를 통한 동적 테스트를 포함하여 악성 코드에 대한 첨부 파일 전체 검사. 잘 준비된 공격은 실행 가능한 첨부 파일이 바이러스 백신 도구에 의해 감지되지 않음을 의미합니다. 반대로 샌드박스는 사람이 파일을 사용하는 것과 동일한 방식으로 파일을 사용하여 모든 것을 자체적으로 테스트합니다. 결과적으로 샌드박스 내부의 변경 사항으로 인해 잠재적인 악성 구성 요소가 드러납니다.
• 표적 공격으로부터 보호하는 수단. 이미 언급했듯이 기존의 바이러스 백신 도구는 잘 준비된 공격이 발생할 경우 악성 파일을 탐지하지 않습니다. 최첨단 제품은 개별 호스트 수준과 네트워크 내 트래픽 수준 모두에서 네트워크에서 발생하는 전체 이벤트를 자동으로 모니터링해야 합니다. 공격의 경우 이러한 종류의 이벤트에 초점을 맞춰 모니터링하면 추적하고 중지할 수 있는 매우 특징적인 이벤트 체인이 나타납니다.

원본 기사 출판 된 잡지 "정보 보안/정보 보안" #6, 2019에서.

출처 : habr.com