ຂຸມ​ເປັນ​ເຄື່ອງ​ມື​ຄວາມ​ປອດ​ໄພ - 2​, ຫຼື​ວິ​ທີ​ການ​ຈັບ APT "ສຸດ bait ມີ​ຊີ​ວິດ​"

(ຂໍຂອບໃຈ Sergey G. Brester ສໍາລັບແນວຄວາມຄິດຫົວຂໍ້ sebres)

ເພື່ອນຮ່ວມງານ, ຈຸດປະສົງຂອງບົດຄວາມນີ້ແມ່ນເພື່ອແບ່ງປັນປະສົບການຂອງການປະຕິບັດການທົດສອບທີ່ຍາວນານຂອງຊັ້ນຮຽນໃຫມ່ຂອງການແກ້ໄຂ IDS ໂດຍອີງໃສ່ເຕັກໂນໂລຢີການຫຼອກລວງ.

ເພື່ອຮັກສາຄວາມສອດຄ່ອງຢ່າງມີເຫດຜົນຂອງການນໍາສະເຫນີອຸປະກອນການ, ຂ້າພະເຈົ້າພິຈາລະນາວ່າມັນເປັນສິ່ງຈໍາເປັນທີ່ຈະເລີ່ມຕົ້ນດ້ວຍສະຖານທີ່. ດັ່ງນັ້ນ, ບັນຫາ:

1. ການໂຈມຕີເປົ້າຫມາຍແມ່ນປະເພດການໂຈມຕີທີ່ເປັນອັນຕະລາຍທີ່ສຸດ, ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າສ່ວນແບ່ງຂອງພວກເຂົາໃນຈໍານວນໄພຂົ່ມຂູ່ທັງຫມົດແມ່ນຫນ້ອຍ.
2. ບໍ່ມີການຮັບປະກັນວິທີການປົກປ້ອງ perimeter ທີ່ມີປະສິດຕິຜົນ (ຫຼືຊຸດຂອງວິທີການດັ່ງກ່າວ) ຍັງບໍ່ທັນໄດ້ປະດິດ.
3. ຕາມກົດລະບຽບ, ການໂຈມຕີເປົ້າຫມາຍເກີດຂຶ້ນໃນຫຼາຍຂັ້ນຕອນ. ການເອົາຊະນະຂອບເຂດແມ່ນພຽງແຕ່ຫນຶ່ງໃນຂັ້ນຕອນເບື້ອງຕົ້ນ, ເຊິ່ງ (ທ່ານສາມາດຖິ້ມກ້ອນຫີນໃສ່ຂ້ອຍ) ບໍ່ໄດ້ເຮັດໃຫ້ເກີດຄວາມເສຍຫາຍຫຼາຍຕໍ່ "ຜູ້ຖືກເຄາະຮ້າຍ", ເວັ້ນເສຍແຕ່, ແນ່ນອນ, ມັນແມ່ນການໂຈມຕີ DEoS (ການທໍາລາຍການບໍລິການ) (ຕົວເຂົ້າລະຫັດ, ແລະອື່ນໆ. .). "ຄວາມເຈັບປວດ" ທີ່ແທ້ຈິງເລີ່ມຕົ້ນຕໍ່ມາ, ເມື່ອຊັບສິນທີ່ຖືກຈັບໄດ້ເລີ່ມຖືກນໍາໃຊ້ເພື່ອ pivoting ແລະພັດທະນາການໂຈມຕີ "ຄວາມເລິກ", ແລະພວກເຮົາບໍ່ໄດ້ສັງເກດເຫັນນີ້.
4. ນັບຕັ້ງແຕ່ພວກເຮົາເລີ່ມໄດ້ຮັບການສູນເສຍທີ່ແທ້ຈິງໃນເວລາທີ່ການໂຈມຕີສຸດທ້າຍໄດ້ບັນລຸເປົ້າຫມາຍຂອງການໂຈມຕີ (ເຄື່ອງແມ່ຂ່າຍຂອງຄໍາຮ້ອງສະຫມັກ, DBMS, ຄັງຂໍ້ມູນ, ບ່ອນເກັບມ້ຽນ, ອົງປະກອບພື້ນຖານໂຄງລ່າງທີ່ສໍາຄັນ), ມັນເປັນເຫດຜົນວ່າຫນຶ່ງໃນວຽກງານຂອງການບໍລິການຄວາມປອດໄພຂໍ້ມູນຂ່າວສານແມ່ນການຂັດຂວາງການໂຈມຕີກ່ອນ. ເຫດການທີ່ໂສກເສົ້ານີ້. ແຕ່ເພື່ອຂັດຂວາງບາງສິ່ງບາງຢ່າງ, ກ່ອນອື່ນ ໝົດ ທ່ານຕ້ອງຊອກຫາມັນ. ແລະໄວ, ດີກວ່າ.
5. ດັ່ງນັ້ນ, ສໍາລັບການຄຸ້ມຄອງຄວາມສ່ຽງທີ່ປະສົບຜົນສໍາເລັດ (ຄືການຫຼຸດຜ່ອນຄວາມເສຍຫາຍຈາກການໂຈມຕີເປົ້າຫມາຍ), ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະມີເຄື່ອງມືທີ່ຈະສະຫນອງ TTD ຕໍາ່ສຸດທີ່ (ເວລາທີ່ຈະກວດພົບ - ເວລາຈາກການບຸກລຸກຈົນເຖິງເວລາທີ່ການໂຈມຕີຖືກກວດພົບ). ອີງຕາມອຸດສາຫະກໍາແລະພາກພື້ນ, ໄລຍະເວລານີ້ສະເລ່ຍ 99 ມື້ໃນສະຫະລັດ, 106 ມື້ໃນພາກພື້ນ EMEA, 172 ມື້ໃນພາກພື້ນ APAC (M-Trends 2017, A View From the Front Lines, Mandiant).
6. ຕະຫຼາດສະເຫນີຫຍັງ?
   • "ກ່ອງຊາຍ". ການຄວບຄຸມການປ້ອງກັນອີກອັນຫນຶ່ງ, ເຊິ່ງຢູ່ໄກຈາກທີ່ເຫມາະສົມ. ມີຫຼາຍເຕັກນິກທີ່ມີປະສິດທິຜົນໃນການກວດຫາ ແລະຂ້າມກ່ອງຊາຍ ຫຼືການແກ້ໄຂບັນຊີຂາວ. ຜູ້ຊາຍຈາກ "ດ້ານມືດ" ແມ່ນຍັງກ້າວໄປຂ້າງຫນ້ານີ້.
   • UEBA (ລະບົບສໍາລັບພຶດຕິກໍາ profile ແລະການກໍານົດ deviations) - ໃນທາງທິດສະດີ, ສາມາດມີປະສິດທິພາບຫຼາຍ. ແຕ່, ໃນຄວາມຄິດເຫັນຂອງຂ້າພະເຈົ້າ, ນີ້ແມ່ນບາງຄັ້ງໃນອະນາຄົດອັນໄກ. ໃນທາງປະຕິບັດ, ນີ້ຍັງມີລາຄາແພງຫຼາຍ, ບໍ່ຫນ້າເຊື່ອຖືແລະຕ້ອງການໂຄງສ້າງພື້ນຖານດ້ານຄວາມປອດໄພດ້ານໄອທີແລະຄວາມຫມັ້ນຄົງຂອງຂໍ້ມູນ, ເຊິ່ງມີເຄື່ອງມືທັງຫມົດທີ່ຈະສ້າງຂໍ້ມູນສໍາລັບການວິເຄາະພຶດຕິກໍາ.
   • SIEM ເປັນເຄື່ອງມືທີ່ດີສໍາລັບການສືບສວນ, ແຕ່ມັນບໍ່ສາມາດເບິ່ງເຫັນແລະສະແດງໃຫ້ເຫັນສິ່ງໃຫມ່ແລະຕົ້ນສະບັບໄດ້ທັນເວລາ, ເພາະວ່າກົດລະບຽບການກ່ຽວຂ້ອງແມ່ນຄືກັນກັບລາຍເຊັນ.

7. ດັ່ງນັ້ນ, ມີຄວາມຈໍາເປັນສໍາລັບເຄື່ອງມືທີ່ຈະ:
   • ປະສົບຜົນສໍາເລັດໃນເງື່ອນໄຂຂອງເຂດພື້ນທີ່ທີ່ຖືກທໍາລາຍແລ້ວ,
   • ກວດ​ພົບ​ການ​ໂຈມ​ຕີ​ທີ່​ມີ​ຜົນ​ສໍາ​ເລັດ​ໃນ​ເວ​ລາ​ທີ່​ແທ້​ຈິງ​ທີ່​ໃກ້​ຊິດ​, ໂດຍ​ບໍ່​ສົນ​ເລື່ອງ​ຂອງ​ເຄື່ອງ​ມື​ແລະ​ຊ່ອງ​ໂຫວ່​ການ​ນໍາ​ໃຊ້​,
   • ບໍ່ໄດ້ຂຶ້ນກັບລາຍເຊັນ/ກົດລະບຽບ/ສະຄຣິບ/ນະໂຍບາຍ/ໂປຣໄຟລ໌ ແລະສິ່ງຄົງທີ່ອື່ນໆ,
   • ບໍ່ຈໍາເປັນຕ້ອງມີຂໍ້ມູນຈໍານວນຫຼວງຫຼາຍແລະແຫຼ່ງຂໍ້ມູນສໍາລັບການວິເຄາະ,
   • ອາດຈະອະນຸຍາດໃຫ້ການໂຈມຕີບໍ່ໄດ້ກໍານົດວ່າເປັນປະເພດຂອງການໃຫ້ຄະແນນຄວາມສ່ຽງເປັນຜົນມາຈາກການເຮັດວຽກຂອງ "ທີ່ດີທີ່ສຸດໃນໂລກ, ສິດທິບັດແລະດັ່ງນັ້ນຄະນິດສາດປິດ", ເຊິ່ງຮຽກຮ້ອງໃຫ້ມີການສືບສວນເພີ່ມເຕີມ, ແຕ່ການປະຕິບັດເປັນເຫດການຄູ່ - "ແມ່ນແລ້ວ, ພວກເຮົາຖືກໂຈມຕີ" ຫຼື "ບໍ່, ທຸກຢ່າງແມ່ນດີ",
   • ແມ່ນທົ່ວໄປ, ສາມາດຂະຫຍາຍໄດ້ຢ່າງມີປະສິດທິພາບ ແລະ ເປັນໄປໄດ້ໃນການປະຕິບັດໃນສະພາບແວດລ້ອມທີ່ຫຼາກຫຼາຍຊະນິດ, ໂດຍບໍ່ສົນເລື່ອງຂອງ topology ເຄືອຂ່າຍທາງກາຍະພາບ ແລະຢ່າງມີເຫດຜົນ.

ອັນທີ່ເອີ້ນວ່າການແກ້ໄຂການຫຼອກລວງໃນປັດຈຸບັນກໍາລັງປະເຊີນກັບບົດບາດຂອງເຄື່ອງມືດັ່ງກ່າວ. ນັ້ນແມ່ນ, ວິທີແກ້ໄຂໂດຍອີງໃສ່ແນວຄວາມຄິດເກົ່າທີ່ດີຂອງ honeypots, ແຕ່ມີລະດັບການປະຕິບັດທີ່ແຕກຕ່າງກັນຫມົດ. ຫົວຂໍ້ນີ້ແມ່ນແນ່ນອນທີ່ເພີ່ມຂຶ້ນໃນປັດຈຸບັນ.

ອີງຕາມຜົນໄດ້ຮັບ ກອງປະຊຸມສຸດຍອດການຄຸ້ມຄອງຄວາມປອດໄພ & Risc ຂອງ Gartner 2017 ການແກ້ໄຂການຫຼອກລວງແມ່ນລວມຢູ່ໃນ TOP 3 ຍຸດທະສາດແລະເຄື່ອງມືທີ່ແນະນໍາໃຫ້ໃຊ້.

ອີງຕາມບົດລາຍງານ TAG Cybersecurity ປະຈຳປີ 2017 ການຫຼອກລວງແມ່ນຫນຶ່ງໃນບັນດາທິດທາງຕົ້ນຕໍຂອງການພັດທະນາລະບົບ IDS Intrusion Detection Systems) ການແກ້ໄຂ.

ພາກສ່ວນທັງໝົດຂອງອັນສຸດທ້າຍ Cisco State of IT Security Report, ອຸທິດຕົນເພື່ອ SCADA, ແມ່ນອີງໃສ່ຂໍ້ມູນຈາກຫນຶ່ງໃນຜູ້ນໍາໃນຕະຫຼາດນີ້, TrapX Security (Israel), ການແກ້ໄຂທີ່ໄດ້ເຮັດວຽກຢູ່ໃນເຂດການທົດສອບຂອງພວກເຮົາສໍາລັບຫນຶ່ງປີ.

TrapX Deception Grid ອະນຸຍາດໃຫ້ທ່ານມີຄ່າໃຊ້ຈ່າຍແລະປະຕິບັດການແຈກຢາຍຢ່າງຫຼວງຫຼາຍຂອງ IDS ສູນກາງ, ໂດຍບໍ່ມີການເພີ່ມການໂຫຼດໃບອະນຸຍາດແລະຄວາມຕ້ອງການຊັບພະຍາກອນຮາດແວ. ໃນຄວາມເປັນຈິງ, TrapX ແມ່ນຜູ້ກໍ່ສ້າງທີ່ຊ່ວຍໃຫ້ທ່ານສ້າງຈາກອົງປະກອບຂອງໂຄງສ້າງພື້ນຖານ IT ທີ່ມີຢູ່ແລ້ວ, ກົນໄກຂະຫນາດໃຫຍ່ສໍາລັບການກວດສອບການໂຈມຕີໃນລະດັບວິສາຫະກິດ, ປະເພດຂອງເຄືອຂ່າຍທີ່ແຈກຢາຍ "ປຸກ."

ໂຄງສ້າງການແກ້ໄຂ

ຢູ່ໃນຫ້ອງທົດລອງຂອງພວກເຮົາ ພວກເຮົາສຶກສາ ແລະ ທົດສອບຜະລິດຕະພັນໃໝ່ຕ່າງໆຢ່າງຕໍ່ເນື່ອງ ໃນດ້ານຄວາມປອດໄພດ້ານໄອທີ. ໃນປັດຈຸບັນ, ປະມານ 50 ເຊີບເວີ virtual ທີ່ແຕກຕ່າງກັນໄດ້ຖືກປະຕິບັດຢູ່ທີ່ນີ້, ລວມທັງອົງປະກອບ TrapX Deception Grid.

ດັ່ງນັ້ນ, ຈາກເທິງຫາລຸ່ມສຸດ:

1. TSOC (TrapX Security Operation Console) ແມ່ນສະຫມອງຂອງລະບົບ. ນີ້ແມ່ນ console ການຈັດການສູນກາງໂດຍຜ່ານການຕັ້ງຄ່າ, ການປະຕິບັດການແກ້ໄຂແລະການດໍາເນີນການທັງຫມົດປະຈໍາວັນ. ເນື່ອງຈາກວ່ານີ້ແມ່ນການບໍລິການເວັບໄຊຕ໌, ມັນສາມາດຖືກນໍາໄປໃຊ້ຢູ່ທຸກບ່ອນ - ໃນຂອບເຂດ, ໃນຄລາວຫຼືຢູ່ໃນຜູ້ໃຫ້ບໍລິການ MSSP.
2. TrapX Appliance (TSA) ແມ່ນເຊີບເວີ virtual ທີ່ພວກເຮົາເຊື່ອມຕໍ່, ໂດຍໃຊ້ພອດລໍາຕົ້ນ, ເຄືອຂ່າຍຍ່ອຍເຫຼົ່ານັ້ນທີ່ພວກເຮົາຕ້ອງການທີ່ຈະກວມເອົາກັບການຕິດຕາມ. ນອກຈາກນີ້, ເຊັນເຊີເຄືອຂ່າຍທັງໝົດຂອງພວກເຮົາ “ຢູ່” ຢູ່ທີ່ນີ້.

   ຫ້ອງທົດລອງຂອງພວກເຮົາມີ TSA ອັນໜຶ່ງຖືກນຳໃຊ້ (mwsapp1), ແຕ່ໃນຄວາມເປັນຈິງອາດມີຫຼາຍອັນ. ນີ້ອາດຈະມີຄວາມຈໍາເປັນໃນເຄືອຂ່າຍຂະຫນາດໃຫຍ່ທີ່ບໍ່ມີການເຊື່ອມຕໍ່ L2 ລະຫວ່າງ segments (ຕົວຢ່າງປົກກະຕິແມ່ນ "ການຖືແລະບໍລິສັດຍ່ອຍ" ຫຼື "ສໍານັກງານໃຫຍ່ຂອງທະນາຄານແລະສາຂາ") ຫຼືຖ້າເຄືອຂ່າຍມີສ່ວນທີ່ໂດດດ່ຽວ, ຕົວຢ່າງ, ລະບົບການຄວບຄຸມຂະບວນການອັດຕະໂນມັດ. ໃນແຕ່ລະສາຂາ / ພາກສ່ວນດັ່ງກ່າວ, ທ່ານສາມາດປະຕິບັດ TSA ຂອງທ່ານເອງແລະເຊື່ອມຕໍ່ມັນກັບ TSOC ດຽວ, ບ່ອນທີ່ຂໍ້ມູນທັງຫມົດຈະຖືກປຸງແຕ່ງໂດຍສູນກາງ. ສະຖາປັດຕະຍະກໍານີ້ຊ່ວຍໃຫ້ທ່ານສ້າງລະບົບການຕິດຕາມແບບແຈກຢາຍໂດຍບໍ່ຈໍາເປັນຕ້ອງປັບໂຄງສ້າງເຄືອຂ່າຍຄືນໃຫມ່ຫຼືລົບກວນການແບ່ງສ່ວນທີ່ມີຢູ່ແລ້ວ.

   ນອກຈາກນັ້ນ, ພວກເຮົາສາມາດສົ່ງສໍາເນົາຂອງການຈະລາຈອນຂາອອກໄປຫາ TSA ຜ່ານ TAP/SPAN. ຖ້າພວກເຮົາກວດພົບການເຊື່ອມຕໍ່ກັບ botnets ທີ່ຮູ້ຈັກ, ຄໍາສັ່ງແລະເຄື່ອງແມ່ຂ່າຍການຄວບຄຸມ, ຫຼື TOR sessions, ພວກເຮົາຍັງຈະໄດ້ຮັບຜົນໄດ້ຮັບໃນ console. Network Intelligence Sensor (NIS) ຮັບຜິດຊອບຕໍ່ເລື່ອງນີ້. ໃນສະພາບແວດລ້ອມຂອງພວກເຮົາ, ຫນ້າທີ່ນີ້ຖືກປະຕິບັດຢູ່ໃນໄຟວໍ, ດັ່ງນັ້ນພວກເຮົາບໍ່ໄດ້ໃຊ້ມັນຢູ່ທີ່ນີ້.

3. Application Traps (Full OS) – honeypots ແບບດັ້ງເດີມໂດຍອີງໃສ່ເຄື່ອງແມ່ຂ່າຍຂອງ Windows. ທ່ານບໍ່ຕ້ອງການຈໍານວນຫຼາຍຂອງພວກເຂົາ, ເນື່ອງຈາກວ່າຈຸດປະສົງຕົ້ນຕໍຂອງເຄື່ອງແມ່ຂ່າຍເຫຼົ່ານີ້ແມ່ນໃຫ້ບໍລິການ IT ກັບຊັ້ນຕໍ່ໄປຂອງເຊັນເຊີຫຼືກວດພົບການໂຈມຕີໃນແອັບພລິເຄຊັນທຸລະກິດທີ່ອາດຈະຖືກນໍາໄປໃຊ້ໃນສະພາບແວດລ້ອມ Windows. ພວກເຮົາມີເຄື່ອງແມ່ຂ່າຍດັ່ງກ່າວຕິດຕັ້ງຢູ່ໃນຫ້ອງທົດລອງຂອງພວກເຮົາ (FOS01)

   

4. ກັບດັກ Emulated ແມ່ນອົງປະກອບຕົ້ນຕໍຂອງການແກ້ໄຂ, ເຊິ່ງອະນຸຍາດໃຫ້ພວກເຮົາ, ການນໍາໃຊ້ເຄື່ອງ virtual ດຽວ, ເພື່ອສ້າງ "minefield" ທີ່ຫນາແຫນ້ນຫຼາຍສໍາລັບຜູ້ໂຈມຕີແລະ saturate ເຄືອຂ່າຍວິສາຫະກິດ, vlans ທັງຫມົດຂອງຕົນ, ກັບເຊັນເຊີຂອງພວກເຮົາ. ຜູ້ໂຈມຕີເຫັນເຊັນເຊີດັ່ງກ່າວ, ຫຼື phantom host, ເປັນ Windows PC ຫຼືເຄື່ອງແມ່ຂ່າຍທີ່ແທ້ຈິງ, ເຊີຟເວີ Linux ຫຼືອຸປະກອນອື່ນໆທີ່ພວກເຮົາຕັດສິນໃຈສະແດງໃຫ້ລາວ.

   
   
   ເພື່ອຄວາມດີຂອງທຸລະກິດ ແລະເພື່ອຄວາມຢາກຮູ້ຢາກເຫັນ, ພວກເຮົາໄດ້ນຳໃຊ້ “ຄູ່ຂອງແຕ່ລະສິ່ງມີຊີວິດ” - Windows PCs ແລະ servers ຂອງລຸ້ນຕ່າງໆ, Linux servers, ATM with Windows embedded, SWIFT Web Access, a network printer, a Cisco ສະຫຼັບ, ກ້ອງ Axis IP, MacBook, PLC -device ແລະແມ້ແຕ່ຫລອດໄຟອັດສະລິຍະ. ທັງໝົດມີ 13 ເຈົ້າພາບ. ໂດຍທົ່ວໄປ, ຜູ້ຂາຍແນະນໍາໃຫ້ນໍາໃຊ້ເຊັນເຊີດັ່ງກ່າວໃນຈໍານວນຢ່າງຫນ້ອຍ 10% ຂອງຈໍານວນເຈົ້າພາບທີ່ແທ້ຈິງ. ແຖບດ້ານເທິງແມ່ນພື້ນທີ່ທີ່ຢູ່ທີ່ມີຢູ່.

   ຈຸດສໍາຄັນຫຼາຍແມ່ນວ່າແຕ່ລະເຈົ້າພາບດັ່ງກ່າວບໍ່ແມ່ນເຄື່ອງ virtual ເຕັມຮູບແບບທີ່ຕ້ອງການຊັບພະຍາກອນແລະໃບອະນຸຍາດ. ນີ້ແມ່ນ decoy, emulation, ຂະບວນການຫນຶ່ງກ່ຽວກັບ TSA, ເຊິ່ງມີຊຸດຂອງຕົວກໍານົດການແລະທີ່ຢູ່ IP. ດັ່ງນັ້ນ, ດ້ວຍການຊ່ວຍເຫຼືອຂອງ TSA ແມ້ແຕ່ຫນຶ່ງ, ພວກເຮົາສາມາດ saturate ເຄືອຂ່າຍທີ່ມີຫຼາຍຮ້ອຍຄົນຂອງ phantom hosts ດັ່ງກ່າວ, ເຊິ່ງຈະເຮັດວຽກເປັນເຊັນເຊີໃນລະບົບປຸກ. ມັນເປັນເທກໂນໂລຍີນີ້ທີ່ເຮັດໃຫ້ມັນສາມາດຂະຫຍາຍແນວຄວາມຄິດຂອງ honeypot ໄດ້ຢ່າງມີປະສິດທິພາບໃນທົ່ວວິສາຫະກິດຂະຫນາດໃຫຍ່ທີ່ແຈກຢາຍ.

   ຈາກທັດສະນະຂອງຜູ້ໂຈມຕີ, ເຈົ້າພາບເຫຼົ່ານີ້ມີຄວາມດຶງດູດໃຈເພາະວ່າພວກມັນມີຈຸດອ່ອນແລະເບິ່ງຄືວ່າເປັນເປົ້າຫມາຍທີ່ຂ້ອນຂ້າງງ່າຍ. ຜູ້ໂຈມຕີເຫັນການບໍລິການຢູ່ໃນໂຮດເຫຼົ່ານີ້ແລະສາມາດພົວພັນກັບພວກເຂົາແລະໂຈມຕີພວກເຂົາໂດຍໃຊ້ເຄື່ອງມືມາດຕະຖານແລະໂປໂຕຄອນ (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, ແລະອື່ນໆ). ແຕ່ມັນເປັນໄປບໍ່ໄດ້ທີ່ຈະໃຊ້ໂຮດເຫຼົ່ານີ້ເພື່ອພັດທະນາການໂຈມຕີຫຼືແລ່ນລະຫັດຂອງທ່ານເອງ.

5. ການປະສົມປະສານຂອງສອງເທກໂນໂລຍີນີ້ (FullOS ແລະ emulated traps) ຊ່ວຍໃຫ້ພວກເຮົາບັນລຸຄວາມເປັນໄປໄດ້ທາງສະຖິຕິສູງທີ່ຜູ້ໂຈມຕີຈະພົບກັບອົງປະກອບບາງຢ່າງຂອງເຄືອຂ່າຍສັນຍານຂອງພວກເຮົາ. ແຕ່ພວກເຮົາຈະເຮັດແນວໃດໃຫ້ແນ່ໃຈວ່າຄວາມເປັນໄປໄດ້ນີ້ແມ່ນຢູ່ໃກ້ກັບ 100%?

   ອັນທີ່ເອີ້ນວ່າ deception tokens ເຂົ້າໄປໃນການສູ້ຮົບ. ຂໍຂອບໃຈກັບພວກເຂົາ, ພວກເຮົາສາມາດລວມເອົາເຄື່ອງຄອມພິວເຕີແລະເຄື່ອງແມ່ຂ່າຍຂອງວິສາຫະກິດທີ່ມີຢູ່ໃນ IDS ຂອງພວກເຮົາ. ໂທເຄັນຖືກວາງໄວ້ໃນເຄື່ອງຄອມພິວເຕີທີ່ແທ້ຈິງຂອງຜູ້ໃຊ້. ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະເຂົ້າໃຈວ່າ tokens ບໍ່ແມ່ນຕົວແທນທີ່ບໍລິໂພກຊັບພະຍາກອນແລະສາມາດເຮັດໃຫ້ເກີດຄວາມຂັດແຍ້ງ. ໂຕເຄັນແມ່ນອົງປະກອບຂໍ້ມູນຂ່າວສານແບບ passive, ປະເພດຂອງ "breadcrumbs" ສໍາລັບຝ່າຍໂຈມຕີທີ່ນໍາມັນເຂົ້າໄປໃນຈັ່ນຈັບ. ຕົວຢ່າງເຊັ່ນ, ແຜນທີ່ເຄືອຂ່າຍໄດຣຟ໌, ບຸກມາກໃສ່ຜູ້ເບິ່ງແຍງເວັບປອມໃນບຣາວເຊີ ແລະລະຫັດຜ່ານທີ່ບັນທຶກໄວ້ສໍາລັບພວກເຂົາ, ເຊດຊັນ ssh/rdp/winscp ທີ່ບັນທຶກໄວ້, ກັບດັກຂອງພວກເຮົາກັບຄໍາຄິດເຫັນໃນໄຟລ໌ເຈົ້າພາບ, ລະຫັດຜ່ານທີ່ບັນທຶກໄວ້ໃນຫນ່ວຍຄວາມຈໍາ, ຂໍ້ມູນປະຈໍາຕົວຂອງຜູ້ໃຊ້ທີ່ບໍ່ມີຢູ່, ຫ້ອງການ. ໄຟລ໌, ການເປີດເຊິ່ງຈະກະຕຸ້ນລະບົບ, ແລະອື່ນໆອີກ. ດັ່ງນັ້ນ, ພວກເຮົາວາງຕົວໂຈມຕີຢູ່ໃນສະພາບແວດລ້ອມທີ່ບິດເບືອນ, ອີ່ມຕົວດ້ວຍ vectors ການໂຈມຕີທີ່ຕົວຈິງແລ້ວບໍ່ໄດ້ເປັນໄພຂົ່ມຂູ່ຕໍ່ພວກເຮົາ, ແຕ່ກົງກັນຂ້າມ. ແລະລາວບໍ່ມີທາງທີ່ຈະກໍານົດບ່ອນທີ່ຂໍ້ມູນເປັນຄວາມຈິງແລະບ່ອນທີ່ມັນເປັນຄວາມຈິງ. ດັ່ງນັ້ນ, ພວກເຮົາບໍ່ພຽງແຕ່ຮັບປະກັນການກວດພົບການໂຈມຕີຢ່າງໄວວາ, ແຕ່ຍັງເຮັດໃຫ້ຄວາມກ້າວຫນ້າຂອງມັນຊ້າລົງຢ່າງຫຼວງຫຼາຍ.

ຕົວຢ່າງຂອງການສ້າງ trap ເຄືອຂ່າຍແລະການຕັ້ງຄ່າ tokens. ການໂຕ້ຕອບທີ່ເປັນມິດແລະບໍ່ມີການດັດແກ້ດ້ວຍຕົນເອງຂອງການຕັ້ງຄ່າ, scripts, ແລະອື່ນໆ.

ໃນສະພາບແວດລ້ອມຂອງພວກເຮົາ, ພວກເຮົາໄດ້ຕັ້ງຄ່າແລະວາງຈໍານວນຫນຶ່ງຂອງ tokens ດັ່ງກ່າວໃສ່ FOS01 ແລ່ນ Windows Server 2012R2 ແລະ PC ທົດສອບທີ່ໃຊ້ Windows 7. RDP ກໍາລັງແລ່ນຢູ່ໃນເຄື່ອງເຫຼົ່ານີ້ແລະພວກເຮົາ "ວາງສາຍ" ເປັນໄລຍະໆຢູ່ໃນ DMZ, ບ່ອນທີ່ມີເຊັນເຊີຈໍານວນຫນຶ່ງຂອງພວກເຮົາ. (ໃສ່ກັບດັກ emulated) ຍັງຖືກສະແດງ. ດັ່ງນັ້ນພວກເຮົາໄດ້ຮັບນ້ໍາຄົງທີ່ຂອງເຫດການ, ຕາມທໍາມະຊາດເພື່ອເວົ້າ.

ດັ່ງນັ້ນ, ນີ້ແມ່ນບາງສະຖິຕິໄວສໍາລັບປີ:

56 - ເຫດການທີ່ບັນທຶກໄວ້,
2 - ກວດພົບເຈົ້າພາບແຫຼ່ງການໂຈມຕີ.

ແຜນທີ່ການໂຈມຕີແບບໂຕ້ຕອບ, ສາມາດຄລິກໄດ້

ໃນເວລາດຽວກັນ, ການແກ້ໄຂບໍ່ໄດ້ສ້າງບາງປະເພດຂອງ mega-log ຫຼືອາຫານເຫດການ, ເຊິ່ງໃຊ້ເວລາດົນທີ່ຈະເຂົ້າໃຈ. ແທນທີ່ຈະ, ການແກ້ໄຂຕົວມັນເອງຈັດປະເພດເຫດການຕາມປະເພດຂອງພວກເຂົາແລະອະນຸຍາດໃຫ້ທີມງານຄວາມປອດໄພຂອງຂໍ້ມູນສຸມໃສ່ຕົ້ນຕໍກ່ຽວກັບອັນຕະລາຍທີ່ສຸດ - ເມື່ອຜູ້ໂຈມຕີພະຍາຍາມເພີ່ມກອງປະຊຸມຄວບຄຸມ (ການໂຕ້ຕອບ) ຫຼືໃນເວລາທີ່ payloads binary (ການຕິດເຊື້ອ) ປາກົດຢູ່ໃນການຈະລາຈອນຂອງພວກເຮົາ.

ຂໍ້ມູນທັງຫມົດກ່ຽວກັບເຫດການແມ່ນສາມາດອ່ານໄດ້ແລະນໍາສະເຫນີ, ໃນຄວາມຄິດເຫັນຂອງຂ້ອຍ, ໃນຮູບແບບທີ່ເຂົ້າໃຈງ່າຍເຖິງແມ່ນວ່າສໍາລັບຜູ້ໃຊ້ທີ່ມີຄວາມຮູ້ພື້ນຖານໃນດ້ານຄວາມປອດໄພຂອງຂໍ້ມູນ.

ສ່ວນໃຫຍ່ຂອງເຫດການທີ່ບັນທຶກໄວ້ແມ່ນຄວາມພະຍາຍາມທີ່ຈະສະແກນໂຮດຂອງພວກເຮົາຫຼືການເຊື່ອມຕໍ່ດຽວ.

ຫຼືພະຍາຍາມ brute ບັງຄັບລະຫັດຜ່ານສໍາລັບ RDP

ແຕ່ກໍ່ຍັງມີກໍລະນີທີ່ຫນ້າສົນໃຈຫຼາຍ, ໂດຍສະເພາະໃນເວລາທີ່ຜູ້ໂຈມຕີ "ຈັດການ" ຄາດເດົາລະຫັດຜ່ານສໍາລັບ RDP ແລະເຂົ້າເຖິງເຄືອຂ່າຍທ້ອງຖິ່ນ.

ຜູ້ໂຈມຕີພະຍາຍາມປະຕິບັດລະຫັດໂດຍໃຊ້ psexec.

ຜູ້ໂຈມຕີໄດ້ພົບເຫັນກອງປະຊຸມທີ່ບັນທຶກໄວ້, ເຊິ່ງເຮັດໃຫ້ລາວເຂົ້າໄປໃນຈັ່ນຈັບໃນຮູບແບບຂອງເຄື່ອງແມ່ຂ່າຍຂອງ Linux. ທັນທີຫຼັງຈາກການເຊື່ອມຕໍ່, ດ້ວຍຊຸດຄໍາສັ່ງທີ່ກຽມໄວ້ລ່ວງຫນ້າ, ມັນພະຍາຍາມທໍາລາຍໄຟລ໌ບັນທຶກທັງຫມົດແລະຕົວແປຂອງລະບົບທີ່ສອດຄ້ອງກັນ.

ຜູ້ໂຈມຕີພະຍາຍາມປະຕິບັດການສີດ SQL ໃສ່ honeypot ທີ່ຮຽນແບບ SWIFT Web Access.

ນອກເຫນືອຈາກການໂຈມຕີ "ທໍາມະຊາດ" ດັ່ງກ່າວ, ພວກເຮົາຍັງໄດ້ດໍາເນີນການທົດສອບຂອງຕົນເອງຈໍານວນຫນຶ່ງ. ຫນຶ່ງໃນການເປີດເຜີຍຫຼາຍທີ່ສຸດແມ່ນການທົດສອບເວລາກວດພົບຂອງແມ່ທ້ອງເຄືອຂ່າຍໃນເຄືອຂ່າຍ. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາໄດ້ນໍາໃຊ້ເຄື່ອງມືຈາກ GuardiCore ເອີ້ນວ່າ Monkey ການຕິດເຊື້ອ. ນີ້ແມ່ນແມ່ທ້ອງເຄືອຂ່າຍທີ່ສາມາດ hijack Windows ແລະ Linux, ແຕ່ບໍ່ມີ " payload ".
ພວກ​ເຮົາ​ໄດ້​ນຳ​ໃຊ້​ສູນ​ບັນຊາ​ການ​ທ້ອງ​ຖິ່ນ, ​ເປີດ​ຕົວ​ແມ່​ທ້ອງ​ຄັ້ງ​ທຳ​ອິດ​ຢູ່​ໃນ​ເຄື່ອງ​ໜຶ່ງ, ​ແລະ​ໄດ້​ຮັບ​ການ​ແຈ້ງ​ເຕືອນ​ຄັ້ງ​ທຳ​ອິດ​ຢູ່​ໃນ TrapX console ​ໃນ​ເວລາ​ບໍ່​ຮອດ​ໜຶ່ງ​ນາທີ​ເຄິ່ງ. TTD 90 ວິນາທີທຽບກັບ 106 ວັນໂດຍສະເລ່ຍ...

ຂໍຂອບໃຈກັບຄວາມສາມາດໃນການປະສົມປະສານກັບຫ້ອງຮຽນອື່ນໆຂອງວິທີແກ້ໄຂ, ພວກເຮົາສາມາດຍ້າຍຈາກພຽງແຕ່ໄວກວດພົບໄພຂົ່ມຂູ່ທີ່ຈະຕອບສະຫນອງອັດຕະໂນມັດໃຫ້ເຂົາເຈົ້າ.

ຕົວຢ່າງ, ການເຊື່ອມໂຍງກັບລະບົບ NAC (Network Access Control) ຫຼືກັບ CarbonBlack ຈະຊ່ວຍໃຫ້ທ່ານສາມາດຕັດການເຊື່ອມຕໍ່ຄອມພິວເຕີທີ່ຖືກທໍາລາຍຈາກເຄືອຂ່າຍໂດຍອັດຕະໂນມັດ.

ການປະສົມປະສານກັບ sandboxes ອະນຸຍາດໃຫ້ໄຟລ໌ທີ່ກ່ຽວຂ້ອງກັບການໂຈມຕີຖືກສົ່ງໂດຍອັດຕະໂນມັດສໍາລັບການວິເຄາະ.

ການເຊື່ອມໂຍງ McAfee

ການ​ແກ້​ໄຂ​ຍັງ​ມີ​ລະ​ບົບ​ການ​ພົວ​ພັນ​ເຫດ​ການ​ຂອງ​ຕົນ​ເອງ​.

ແຕ່ພວກເຮົາບໍ່ພໍໃຈກັບຄວາມສາມາດຂອງມັນ, ດັ່ງນັ້ນພວກເຮົາໄດ້ປະສົມປະສານມັນກັບ HP ArcSight.

ລະບົບຕົ໋ວທີ່ຕິດຕັ້ງໄວ້ຊ່ວຍໃຫ້ໂລກທັງຫມົດຮັບມືກັບໄພຂົ່ມຂູ່ທີ່ກວດພົບ.

ນັບຕັ້ງແຕ່ການແກ້ໄຂໄດ້ຖືກພັດທະນາ "ຕັ້ງແຕ່ເລີ່ມຕົ້ນ" ສໍາລັບຄວາມຕ້ອງການຂອງອົງການຂອງລັດຖະບານແລະບໍລິສັດຂະຫນາດໃຫຍ່, ມັນປະຕິບັດຕົວແບບການເຂົ້າເຖິງໂດຍອີງໃສ່ບົດບາດ, ການປະສົມປະສານກັບ AD, ລະບົບການລາຍງານທີ່ພັດທະນາແລະຜົນກະທົບຕໍ່ (ການແຈ້ງເຕືອນເຫດການ), orchestration ສໍາລັບ ໂຄງສ້າງການຖືຄອງຂະຫນາດໃຫຍ່ ຫຼືຜູ້ໃຫ້ບໍລິການ MSSP.

ແທນທີ່ຈະເປັນໃບສະຫມັກ

ຖ້າມີລະບົບການຕິດຕາມດັ່ງກ່າວ, ເຊິ່ງ, ໃນຕົວເລກທີ່ເວົ້າ, ກວມເອົາດ້ານຫລັງຂອງພວກເຮົາ, ຫຼັງຈາກນັ້ນດ້ວຍການປະນີປະນອມຂອງ perimeter ທຸກສິ່ງທຸກຢ່າງແມ່ນພຽງແຕ່ເລີ່ມຕົ້ນ. ສິ່ງທີ່ສໍາຄັນທີ່ສຸດແມ່ນວ່າມີໂອກາດທີ່ແທ້ຈິງທີ່ຈະຈັດການກັບເຫດການຄວາມປອດໄພຂອງຂໍ້ມູນ, ແລະບໍ່ຈັດການກັບຜົນສະທ້ອນຂອງພວກເຂົາ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com