Дупка како безбедносна алатка - 2, или како да се фати APT „со жива мамка“

(Благодарност до Сергеј Г. Брестер за идејата за насловот себрес)

Колеги, целта на овој напис е да го сподели искуството од едногодишната тест операција на нова класа решенија IDS базирани на технологии за измама.

За да се одржи логичката кохерентност на презентацијата на материјалот, сметам дека е неопходно да се започне со просториите. Значи, проблемот:

1. Целните напади се најопасниот тип на напад и покрај тоа што нивниот удел во вкупниот број на закани е мал.
2. Сè уште не е измислено гарантирано ефективно средство за заштита на периметарот (или збир од такви средства).
3. Како по правило, целните напади се одвиваат во неколку фази. Надминувањето на периметарот е само една од почетните фази, која (може да фрлате камења по мене) не предизвикува голема штета на „жртвата“, освен ако, се разбира, не е напад DEoS (Уништување на услугата) (енкриптори итн. .). Вистинската „болка“ започнува подоцна, кога заробените средства почнуваат да се користат за вртење и развој на напад „длабочина“, а ние тоа не го забележавме.
4. Бидејќи почнуваме да трпиме вистински загуби кога напаѓачите конечно ќе стигнат до целите на нападот (сервери за апликации, DBMS, складишта на податоци, складишта, елементи на критична инфраструктура), логично е дека една од задачите на службата за безбедност на информации е да ги прекине нападите пред овој тажен настан. Но, за да прекинете нешто, прво мора да дознаете за тоа. И колку побрзо, толку подобро.
5. Соодветно на тоа, за успешно управување со ризикот (односно, намалување на штетата од насочени напади), од клучно значење е да се имаат алатки кои ќе обезбедат минимум TTD (време за откривање - време од моментот на упад до моментот на откривање на нападот). Во зависност од индустријата и регионот, овој период во просек изнесува 99 дена во САД, 106 дена во регионот EMEA, 172 дена во регионот APAC (М-трендови 2017, Поглед од предната линија, Мандиант).
6. Што нуди пазарот?
   • „Кути со песок“. Друга превентивна контрола, која е далеку од идеална. Постојат многу ефективни техники за откривање и заобиколување на песочни кутии или решенија за ставање на бела листа. Момците од „темната страна“ се уште се чекор понапред овде.
   • UEBA (системи за профилирање на однесување и идентификување на отстапувања) - во теорија, може да биде многу ефикасен. Но, според мене, ова е некаде во далечна иднина. Во пракса, ова е сè уште многу скапо, несигурно и бара многу зрела и стабилна инфраструктура за ИТ и безбедност на информации, која веќе ги има сите алатки кои ќе генерираат податоци за анализа на однесувањето.
   • SIEM е добра алатка за истраги, но не може навремено да види и покаже нешто ново и оригинално, бидејќи правилата за корелација се исти како и потписите.

7. Како резултат на тоа, постои потреба од алатка која би:
   • успешно работено во услови на веќе компромитиран периметар,
   • откриле успешни напади во скоро реално време, без оглед на користените алатки и пропусти,
   • не зависеше од потписи/правила/скрипти/политики/профили и други статични работи,
   • не бараше големи количини на податоци и нивните извори за анализа,
   • би дозволил нападите да се дефинираат не како некаков вид на оценување на ризик како резултат на работата на „најдобрите во светот, патентирана и затоа затворена математика“, што бара дополнително истражување, туку практично како бинарен настан - „Да, нè напаѓаат“ или „Не, се е во ред“,
   • беше универзален, ефикасно скалабилен и изводлив за имплементација во која било хетерогена средина, без оглед на употребената физичка и логичка мрежна топологија.

Таканаречените решенија за измама сега се борат за улогата на таква алатка. Односно решенија базирани на стариот добар концепт на honeypots, но со сосема поинакво ниво на имплементација. Темава сега дефинитивно е во подем.

Според резултатите Самит за управување со Gartner Security&Risc 2017 година Решенијата за измама се вклучени во ТОП 3 стратегии и алатки кои се препорачуваат да се користат.

Според извештајот TAG Cybersecurity Годишен 2017 година Измамата е една од главните насоки на развој на решенијата IDS Intrusion Detection Systems.

Цел дел од второто Извештај за безбедност на состојбата на ИТ на Cisco, посветен на SCADA, се заснова на податоци од еден од лидерите на овој пазар, TrapX Security (Израел), чиешто решение функционира во нашата тест област веќе една година.

TrapX Deception Grid ви овозможува да чините и да работите масовно со дистрибуирани IDS централно, без зголемување на оптоварувањето на лиценцирањето и барањата за хардверски ресурси. Всушност, TrapX е конструктор кој ви овозможува да креирате од елементи на постоечката ИТ инфраструктура еден голем механизам за откривање напади на ниво на целата компанија, еден вид дистрибуиран мрежен „аларм“.

Структура на решение

Во нашата лабораторија постојано проучуваме и тестираме различни нови производи од областа на ИТ безбедноста. Во моментов, тука се распоредени околу 50 различни виртуелни сервери, вклучувајќи ги и компонентите на TrapX Deception Grid.

Значи, од врвот до дното:

1. TSOC (TrapX Security Operation Console) е мозокот на системот. Ова е централната управувачка конзола преку која се извршуваат конфигурацијата, распоредувањето на решението и сите секојдневни операции. Бидејќи ова е веб-услуга, може да се распореди насекаде - на периметарот, во облакот или кај давателот на MSSP.
2. TrapX Appliance (TSA) е виртуелен сервер во кој ги поврзуваме, користејќи ја портата на багажникот, оние подмрежи што сакаме да ги покриеме со мониторинг. Исто така, сите наши мрежни сензори всушност „живеат“ овде.

   Нашата лабораторија има распоредена една TSA (mwsapp1), но во реалноста може да ги има многу. Ова може да биде неопходно во големи мрежи каде што нема поврзување L2 помеѓу сегментите (типичен пример е „Холдинг и подружници“ или „Седиште и филијали на банка“) или ако мрежата има изолирани сегменти, на пример, автоматизирани системи за контрола на процесите. Во секоја таква гранка/сегмент, можете да распоредите сопствена TSA и да ја поврзете со еден TSOC, каде што сите информации ќе бидат централно обработени. Оваа архитектура ви овозможува да изградите дистрибуирани системи за следење без потреба од радикално преструктуирање на мрежата или нарушување на постоечката сегментација.

   Исто така, можеме да поднесеме копија од појдовниот сообраќај до TSA преку TAP/SPAN. Ако откриеме врски со познати ботнети, сервери за команди и контрола или TOR сесии, резултатот ќе го добиеме и во конзолата. За ова е одговорен мрежен интелигентен сензор (НИС). Во нашата средина, оваа функционалност е имплементирана на заштитниот ѕид, така што не ја користевме овде.

3. Замки за апликации (Целосен оперативен систем) – традиционални саксии засновани на сервери на Windows. Не ви се потребни многу од нив, бидејќи главната цел на овие сервери е да обезбедат ИТ услуги на следниот слој на сензори или да откријат напади на деловни апликации што може да се распоредат во околина на Windows. Имаме еден таков сервер инсталиран во нашата лабораторија (FOS01)

   

4. Емулираните стапици се главната компонента на решението, што ни овозможува, користејќи една единствена виртуелна машина, да создадеме многу густо „минско поле“ за напаѓачите и да ја заситиме мрежата на претпријатието, сите нејзини системи, со нашите сензори. Напаѓачот гледа таков сензор, или фантомски домаќин, како вистински Windows PC или сервер, Linux сервер или друг уред што ќе решиме да му го покажеме.

   
   
   За доброто на бизнисот и за доброто на љубопитноста, распоредивме „пар од секое суштество“ - компјутери со Windows и сервери од различни верзии, сервери на Linux, банкомат со вграден Windows, SWIFT Web Access, мрежен печатач, Cisco прекинувач, Axis IP камера, MacBook, PLC-уред, па дури и паметна сијалица. Има вкупно 13 домаќини. Општо земено, продавачот препорачува распоредување на такви сензори во количина од најмалку 10% од бројот на вистински домаќини. Горната лента е достапниот адресен простор.

   Многу важна точка е дека секој таков домаќин не е полноправна виртуелна машина која бара ресурси и лиценци. Ова е мамка, емулација, еден процес на TSA, кој има сет на параметри и IP адреса. Затоа, со помош дури и на еден TSA, можеме да ја заситиме мрежата со стотици такви фантомски домаќини, кои ќе работат како сензори во алармниот систем. Токму оваа технологија овозможува економично да се зголеми концептот на honeypot во секое големо дистрибуирано претпријатие.

   Од гледна точка на напаѓачот, овие домаќини се привлечни бидејќи содржат ранливости и изгледаат како релативно лесни цели. Напаѓачот ги гледа услугите на овие хостови и може да комуницира со нив и да ги нападне користејќи стандардни алатки и протоколи (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus итн.). Но, невозможно е да се користат овие хостови за да се развие напад или да се изврши сопствен код.

5. Комбинацијата на овие две технологии (FullOS и емулирани стапици) ни овозможува да постигнеме голема статистичка веројатност дека напаѓачот порано или подоцна ќе наиде на некој елемент од нашата сигнална мрежа. Но, како можеме да се увериме дека оваа веројатност е блиску до 100%?

   Во битката влегуваат таканаречените жетони за измама. Благодарение на нив, можеме да ги вклучиме сите постоечки компјутери и сервери на претпријатието во нашите дистрибуирани IDS. Жетоните се ставаат на вистинските компјутери на корисниците. Важно е да се разбере дека токените не се агенти кои трошат ресурси и можат да предизвикаат конфликти. Жетоните се пасивни информациски елементи, еден вид „лебни трошки“ за напаѓачката страна што ја водат во стапица. На пример, мапирани мрежни дискови, обележувачи на лажни веб-администратори во прелистувачот и зачувани лозинки за нив, зачувани сесии ssh/rdp/winscp, нашите замки со коментари во датотеките на домаќините, лозинките зачувани во меморијата, ингеренциите на непостоечки корисници, канцеларија датотеки, отворање што ќе го активира системот и многу повеќе. Така, го ставаме напаѓачот во искривена средина, заситена со вектори на напад кои всушност не претставуваат закана за нас, туку напротив. И тој нема начин да утврди каде е точна, а каде неточна информацијата. Така, ние не само што обезбедуваме брзо откривање на напад, туку и значително го забавуваме неговиот напредок.

Пример за создавање мрежна замка и поставување токени. Пријателски интерфејс и без рачно уредување на конфигурации, скрипти итн.

Во нашата средина, конфигуриравме и поставивме голем број такви токени на FOS01 со Windows Server 2012R2 и тест компјутер со Windows 7. RDP работи на овие машини и периодично ги „закачуваме“ во DMZ, каде што голем број наши сензори се прикажуваат и (емулирани стапици). Така, добиваме постојан прилив на инциденти, природно така да се каже.

Значи, еве неколку брзи статистики за годината:

56 – евидентирани инциденти,
2 – откриени домаќини на извор на напад.

Интерактивна карта за напад со кликнување

Во исто време, решението не генерира некаков вид мега-дневник или довод на настани, за што е потребно долго време за да се разбере. Наместо тоа, самото решение ги класифицира настаните според нивните типови и му овозможува на тимот за безбедност на информациите да се фокусира првенствено на најопасните - кога напаѓачот се обидува да ги подигне контролните сесии (интеракција) или кога бинарни носивост (инфекција) се појавуваат во нашиот сообраќај.

Сите информации за настаните се читливи и претставени, според мене, во лесно разбирлива форма дури и за корисник со основни познавања од областа на информациската безбедност.

Повеќето од снимените инциденти се обиди за скенирање на нашите домаќини или единечни врски.

Или обиди за брутална сила лозинки за RDP

Но, имаше и поинтересни случаи, особено кога напаѓачите „успеаа“ да ја погодат лозинката за RDP и да добијат пристап до локалната мрежа.

Напаѓачот се обидува да изврши код користејќи psexec.

Напаѓачот пронашол зачувана сесија, која го одвела во стапица во форма на сервер Линукс. Веднаш по поврзувањето, со еден претходно подготвен сет на команди, се обиде да ги уништи сите датотеки за евиденција и соодветните системски променливи.

Напаѓачот се обидува да изврши инјектирање SQL на сандаче што имитира SWIFT Web Access.

Покрај ваквите „природни“ напади, извршивме и голем број наши тестови. Еден од најоткривачите е тестирањето на времето за откривање на мрежниот црв на мрежата. За да го направите ова, користевме алатка од GuardiCore наречена Инфекција мајмун. Ова е мрежен црв кој може да ги киднапира Windows и Linux, но без никакво „оптоварување“.
Распоредувавме локален команден центар, го лансиравме првиот примерок на црвот на една од машините и го добивме првото предупредување во конзолата TrapX за помалку од минута и половина. TTD 90 секунди наспроти 106 дена во просек...

Благодарение на способноста да се интегрираме со други класи на решенија, можеме да преминеме од само брзо откривање закани до автоматско одговарање на нив.

На пример, интеграцијата со системите NAC (Network Access Control) или со CarbonBlack ќе ви овозможи автоматски да ги исклучите компромитираните компјутери од мрежата.

Интеграцијата со sandboxes овозможува датотеките вклучени во напад автоматски да се доставуваат за анализа.

Интеграција на McAfee

Решението има и сопствен вграден систем за корелација на настани.

Но, не бевме задоволни од неговите можности, па го интегриравме со HP ArcSight.

Вградениот систем за билети му помага на целиот свет да се справи со откриените закани.

Бидејќи решението е развиено „од самиот почеток“ за потребите на владините агенции и голем корпоративен сегмент, природно имплементира модел за пристап заснован на улоги, интеграција со АД, развиен систем на извештаи и предизвикувачи (предупредувања за настани), оркестрација за големи холдинг структури или даватели на MSSP.

Наместо резиме

Ако постои таков мониторинг систем, кој фигуративно кажано ни го покрива грбот, тогаш со компромисот на периметарот сè допрва почнува. Најважно е дека постои реална можност да се справиме со инцидентите со информациската безбедност, а не да се справуваме со нивните последици.

Извор: www.habr.com