Оваа зима, поточно, во еден од деновите помеѓу католичкиот Божиќ и Новата година, инженерите за техничка поддршка на Veeam беа зафатени со необични задачи: тие ловеле група хакери наречени „Veeamonymous“.

Тој раскажа како самите момци дошле и извршиле вистинска потрага во реалноста на нивната работа, со задачи „блиску до борба“ Кирил Стецко, Инженер за ескалација.

- Зошто воопшто го започна ова?

- Отприлика на истиот начин на кој луѓето едно време го смислија Linux - само за забава, за нивно задоволство.

Сакавме движење, а во исто време сакавме да направиме нешто корисно, нешто интересно. Плус беше неопходно да им се даде малку емотивно олеснување на инженерите од нивната секојдневна работа.

- Кој го предложи ова? Чија беше идејата?

- Идејата беше нашата менаџерка Катја Егорова, а потоа концептот и сите понатамошни идеи се родија со заеднички напори. На почетокот мислевме да направиме хакатон. Но, за време на развојот на концептот, идејата прерасна во потрага; на крајот на краиштата, инженерот за техничка поддршка е различен вид активност од програмирањето.

Така, повикавме пријатели, другари, познаници, различни луѓе ни помогнаа со концептот - едно лице од Т2 (втората линија на поддршка е белешка на уредникот), едно лице со Т3, неколку луѓе од тимот SWAT (тим за брз одговор за особено итни случаи - белешка на уредникот). Сите се собравме, седнавме и се обидовме да смислиме задачи за нашата потрага.

— Беше многу неочекувано да се дознае за сето ова, бидејќи, колку што знам, механиката по потрага обично ја работат специјалисти сценаристи, односно не само што сте се занимавале со толку сложена работа, туку и во врска со вашата работа. , на вашето професионално поле на активност.

— Да, сакавме да го направиме не само забава, туку и да ги „напумпаме“ техничките вештини на инженерите. Една од задачите во нашиот оддел е размена на знаење и обука, но таквата потрага е одлична можност да им дозволиме на луѓето да „допрат“ некои нови техники за нив во живо.

- Како дојдовте до задачите?

— Имавме сесија за бура на идеи. Имавме разбирање дека треба да направиме некои технички тестови и такви да бидат интересни и во исто време да донесат нови знаења.
На пример, мислевме дека луѓето треба да се обидат да душкаат сообраќај, да користат хексадетични уредници, да прават нешто за Linux, некои малку подлабоки работи поврзани со нашите производи (Veeam Backup & Replication и други).

Концептот беше исто така важен дел. Решивме да ја изградиме темата за хакери, анонимен пристап и атмосфера на тајност. Маската на Гај Фокс беше направена во симбол, а името дојде природно - Veeamonymous.

„На почетокот беше зборот“

За да го поттикнеме интересот, решивме да организираме ПР кампања на тема потрага пред настанот: закачивме постери со објавата околу нашата канцеларија. А неколку дена подоцна, тајно од сите, ги бојадисаа со спрејови и почнаа „патка“, велат дека некои напаѓачи ги уништиле плакатите, дури прикачиле и фотографија со доказ...

- Па вие самите го направивте тоа, односно тимот на организатори?!

— Да, во петокот, околу 9 часот, кога сите веќе заминаа, отидовме и ја нацртавме буквата „V“ во зелена боја од балони.) Многу учесници во потрагата никогаш не погодија кој го направи тоа - луѓето дојдоа кај нас и праша кој ги уништи постерите? Некој многу сериозно го сфати ова прашање и спроведе цела истрага на оваа тема.

За потрагата, напишавме и аудио датотеки, „искинати“ звуци: на пример, кога инженер се логира во нашиот [производен CRM] систем, има робот кој одговара што кажува секакви фрази, бројки... Еве ние од оние зборови што ги снимил, составил повеќе или помалку значајни фрази, добро, можеби малку искривени - на пример, добивме „Нема пријатели да ви помогнат“ во аудио датотека.

На пример, ја претставивме IP адресата во бинарен код и повторно, користејќи ги овие бројки [изговорени од роботот], додадовме секакви застрашувачки звуци. Видеото сами го снимивме: во видеото имаме човек кој седи во црна качулка и маска на Гај Фокс, но во реалноста нема една личност, туку три, бидејќи двајца стојат зад него и држат „заднина“ направена од ќебе :).

- Па, збунет си, отворено да кажам.

- Да, се запаливме. Во принцип, прво дојдовме до нашите технички спецификации, а потоа составивме литературен и разигран преглед на темата за тоа што наводно се случило. Според сценариото, учесниците ловеле група хакери наречени „Veeamonymous“. Идејата беше, исто така, дека ние, како што беше, ќе го „скршиме 4-тиот ѕид“, односно ќе ги пренесеме настаните во реалност - насликавме од конзерва за прскање, на пример.

Во литературната обработка на текстот ни помогна еден од говорителите на мајчин англиски јазик од нашиот оддел.

- Чекај, зошто мајчин јазик? Дали сето тоа го направивте и на англиски?!

— Да, го направивме тоа за канцелариите во Санкт Петербург и Букурешт, така што сè беше на англиски.

За првото искуство се обидовме сè да функционира, така што сценариото беше линеарно и прилично едноставно. Додадовме повеќе околина: тајни текстови, шифри, слики.

Користивме и меми: имаше еден куп слики на теми за истраги, НЛО, некои популарни хорор приказни - некои тимови беа одвлечени од ова, обидувајќи се да најдат некои скриени пораки таму, да го применат своето знаење за стеганографија и други работи... но, се разбира, немаше ништо слично.

За трње

Но, во текот на подготвителниот процес се соочивме и со неочекувани предизвици.

Многу се мачевме со нив и решивме секакви неочекувани прашања, а околу една недела пред потрагата мислевме дека сè е изгубено.

Веројатно вреди да се каже малку за техничката основа на потрагата.

Сè беше направено во нашата внатрешна лабораторија ESXi. Имавме 6 тима, што значи дека требаше да одвоиме 6 ресурси. Така, за секој тим распоредивме посебен базен со потребните виртуелни машини (иста IP адреса). Но, бидејќи сето ова беше лоцирано на сервери кои се на иста мрежа, сегашната конфигурација на нашите VLAN не ни дозволуваше да изолираме машини во различни базени. И, на пример, за време на тестирање, добивме ситуации кога машина од еден базен е поврзана со машина од друга.

– Како успеавте да ја поправите ситуацијата?

— Отпрвин размислувавме долго време, тестиравме секакви опции со дозволи, одделни vLAN за машини. Како резултат на тоа, тие го направија ова - секој тим го гледа само серверот Veeam Backup, преку кој се одвива целата понатамошна работа, но не го гледа скриениот подбазен, кој содржи:

• неколку Windows машини
• Основен сервер за Windows
• Линукс машина
• пар VTL (Виртуелна библиотека со касета)

На сите базени им е доделена посебна група на порти на прекинувачот vDS и нивниот сопствен приватен VLAN. Оваа двојна изолација е токму она што е потребно за целосно да се елиминира можноста за мрежна интеракција.

За храбрите

- Дали некој би можел да учествува во потрагата? Како се формираа тимовите?

- Ова беше наше прво искуство за одржување на ваков настан, а можностите на нашата лабораторија беа ограничени на 6 тима.

Прво, како што веќе реков, спроведовме ПР кампања: користејќи постери и пораки, објавивме дека ќе се одржи потрага. Имавме дури и некои индиции - фразите беа шифрирани во бинарен код на самите постери. На овој начин ги заинтересиравме луѓето, а луѓето веќе постигнаа договори меѓу себе, со пријателите, со пријателите и соработуваа. Како резултат на тоа, повеќе луѓе одговорија отколку што имавме базени, па моравме да спроведеме избор: смисливме едноставна задача за тестирање и ја испративме до секој што одговори. Тоа беше логички проблем што мораше брзо да се реши.

На тимот му беше дозволено до 5 лица. Немаше потреба од капитен, идејата беше соработка, комуникација меѓу себе. Некој е силен, на пример, во Linux, некој е силен во касети (резервни копии на касети), и секој, гледајќи ја задачата, би можел да ги вложи своите напори во целокупното решение. Сите комуницираа меѓу себе и најдоа решение.

- Во кој момент започна овој настан? Дали имавте некој вид „час Х“?

— Да, имавме строго одреден ден, го избравме за да има помал обем на работа во одделот. Секако, водечките тимови беа однапред известени дека таквите и таквите тимови се поканети да учествуваат во потрагата и требаше да им се даде одредено олеснување [во врска со вчитувањето] тој ден. Изгледаше дека треба да биде крајот на годината, 28 декември, петок. Очекувавме дека ќе трае околу 5 часа, но сите тимови го завршија побрзо.

— Дали сите беа на еднаква основа, дали сите имаа исти задачи врз основа на реални случаи?

- Па, да, секој од составувачите зеде неколку приказни од лично искуство. Знаевме за нешто дека тоа може да се случи во реалноста, и би било интересно човек да го „почувствува“, погледне и сфати. Зедоа и некои поспецифични работи - на пример, враќање на податоците од оштетените ленти. Некои со навестувања, но повеќето од тимовите тоа го направија сами.

Или беше неопходно да се користи магијата на брзите скрипти - на пример, имавме приказна дека некоја „логична бомба“ „искина“ повеќетомна архива во случајни папки долж дрвото и беше неопходно да се соберат податоците. Можете да го направите ова рачно - најдете и копирајте [датотеки] еден по еден, или можете да напишете скрипта користејќи маска.

Во принцип, се обидовме да се придржуваме до гледиштето дека еден проблем може да се реши на различни начини. На пример, ако сте малку поискусни или сакате да се збуните, тогаш можете побрзо да го решите, но постои директен начин да го решите директно - но во исто време ќе потрошите повеќе време на проблемот. Односно, речиси секоја задача имаше неколку решенија, а интересно беше кои патеки ќе ги изберат тимовите. Значи нелинеарноста беше токму во изборот на опцијата за решение.

Патем, проблемот со Linux се покажа како најтежок - само еден тим го реши самостојно, без никакви навестувања.

- Можеш ли да земеш совети? Како во вистинска потрага??

— Да, беше можно да се преземе, бидејќи разбравме дека луѓето се различни, а оние на кои им недостасува одредено знаење може да влезат во истиот тим, па за да не го одложиме преминот и да не изгубиме конкурентен интерес, решивме да би совети. За да го направите ова, секој тим беше набљудуван од лице од организаторите. Па, се погриживме никој да не изневерува.

За ѕвездите

- Имаше ли награди за победниците?

— Да, се обидовме да ги направиме најпријатните награди и за сите учесници и за победниците: победниците добија дизајнерски дуксери со логото Veeam и фраза шифрирана во хексадецимален код, црна). Сите учесници добија маска Гај Фокс и брендирана чанта со логото и истата шифра.

- Односно, сè беше како во вистинска потрага!

„Па, сакавме да направиме кул, возрасна работа и мислам дека успеавме“.

- Ова е вистина! Каква беше конечната реакција на оние кои учествуваа во оваа потрага? Дали ја постигнавте целта?

- Да, многумина се појавија подоцна и рекоа дека јасно ги видоа нивните слаби точки и сакаат да ги подобрат. Некој престана да се плаши од одредени технологии - на пример, фрлање блокови од ленти и обидувајќи се да зграпчи нешто таму... Некој сфатил дека треба да го подобри Linux итн. Се обидовме да дадеме прилично широк опсег на задачи, но не сосема тривијални.

Победничкиот тим

„Кој сака, ќе го постигне!

— Дали бараше многу труд од оние што ја подготвија потрагата?

- Всушност да. Но, тоа најверојатно се должеше на фактот што немавме искуство во подготовка на вакви потраги, ваква инфраструктура. (Да направиме резервација дека ова не е нашата вистинска инфраструктура - таа едноставно требаше да извршува некои функции на играта.)

Тоа беше многу интересно искуство за нас. Отпрвин бев скептичен, бидејќи идејата ми се чинеше премногу кул, мислев дека ќе биде многу тешко да се спроведе. Но, почнавме да го правиме тоа, почнавме да ораме, се почна да се запали и на крајот успеавме. И практично немаше преклопувања.

Вкупно поминавме 3 месеци. Во најголем дел, дојдовме до концепт и разговаравме за тоа што можеме да имплементираме. Во тој процес, нормално, некои работи се сменија, бидејќи сфативме дека немаме техничка можност да направиме нешто. Попатно моравме да направиме нешто одново, но на таков начин што целата контура, историја и логика не се скрши. Се обидовме не само да дадеме список на технички задачи, туку да се вклопи во приказната, за да биде кохерентна и логична. Главната работа траеше последниот месец, односно 3-4 недели пред денот X.

— Значи, покрај главната активност, одвоивте време и за подготовка?

— Ова го правевме паралелно со нашата главна работа, да.

- Дали од вас се бара да го направите ова повторно?

- Да, имаме многу барања за повторување.

- И ти?

- Имаме нови идеи, нови концепти, сакаме да привлечеме повеќе луѓе и да го прошириме со текот на времето - и процесот на селекција и самиот процес на игра. Во принцип, ние сме инспирирани од проектот „Cicada“, можете да го Гуглувате - тоа е многу кул ИТ тема, луѓе од целиот свет се обединуваат таму, започнуваат теми на Reddit, на форуми, користат преводи на кодови, решаваат загатки , и сето тоа.

– Идејата беше одлична, само почит кон идејата и имплементацијата, бидејќи навистина вреди многу. Искрено посакувам да не ја изгубите оваа инспирација и сите ваши нови проекти да бидат исто така успешни. Ви благодарам!

- Да, можеш ли да погледнеш пример на задача што дефинитивно нема да ја користиш повторно?

„Се сомневам дека нема повторно да користиме ниту еден од нив“. Затоа, можам да ви кажам за напредокот на целата потрага.

Бонус песнаНа самиот почеток, играчите го имаат името на виртуелната машина и ингеренциите од vCenter. Откако се најавени во неа, тие ја гледаат оваа машина, но таа не се вклучува. Тука треба да погодите дека нешто не е во ред со датотеката .vmx. Откако ќе го преземат, го гледаат барањето што е потребно за вториот чекор. Во суштина, се вели дека базата на податоци што ја користи Veeam Backup & Replication е шифрирана.
По отстранувањето на промптот, преземањето на датотеката .vmx назад и успешно вклучувањето на машината, тие гледаат дека еден од дисковите всушност содржи шифрирана база на податоци base64. Според тоа, задачата е да се дешифрира и да се добие целосно функционален Veeam сервер.

Малку за виртуелната машина на која се случува сето ова. Како што се сеќаваме, според заплетот, главниот лик на потрагата е прилично мрачна личност и прави нешто што очигледно не е многу легално. Затоа, неговиот работен компјутер треба да има сосема хакерски изглед, кој моравме да го создадеме и покрај тоа што е Windows. Првото нешто што го направивме беше да додадеме многу реквизити, како што се информации за големи хакери, DDoS напади и слично. Потоа го инсталираа сиот типичен софтвер и насекаде поставија разни депонии, фајлови со хаш итн. Сè е како во филмовите. Меѓу другото, имаше папки со име затворени случаи*** и отворени случаи***
За да напредуваат понатаму, играчите треба да ги обноват советите од резервните датотеки.

Овде мора да се каже дека на почетокот на играчите им беа дадени доста информации и тие ги добиваа повеќето податоци (како IP, најавувања и лозинки) во текот на потрагата, наоѓајќи индиции во резервните копии или датотеките расфрлани на машините. . Првично, резервните датотеки се наоѓаат во складиштето на Linux, но самата папка на серверот е монтирана со знамето noexec, така што агентот одговорен за обновување на датотеки не може да започне.

Со поправање на складиштето, учесниците добиваат пристап до целата содржина и конечно можат да обноват какви било информации. Останува да се разбере кој е. И за да го направат ова, тие само треба да ги проучат датотеките зачувани на оваа машина, да утврдат кои од нив се „скршени“ и што точно треба да се врати.

Во овој момент, сценариото се оддалечува од општото ИТ знаење на специфичните карактеристики на Veeam.

Во овој конкретен пример (кога го знаете името на датотеката, но не знаете каде да го барате), треба да ја користите функцијата за пребарување во Enterprise Manager итн. Како резултат на тоа, по враќањето на целиот логички синџир, играчите имаат друг излез за најава/лозинка и nmap. Ова ги носи до серверот Windows Core и преку RDP (за да не изгледа животот како мед).

Главната карактеристика на овој сервер: со помош на едноставна скрипта и неколку речници, беше формирана апсолутно бесмислена структура на папки и датотеки. И кога ќе се најавите, добивате порака за добредојде како „Тука експлодираше логичка бомба, па ќе мора да ги соберете индициите за понатамошни чекори“.

Следниот поим беше поделен на повеќетомна архива (40-50 парчиња) и по случаен избор дистрибуиран меѓу овие папки. Нашата идеја беше играчите да ги покажат своите таленти во пишување едноставни скрипти за PowerShell со цел да состават повеќетомна архива користејќи добро позната маска и да ги добијат потребните податоци. (Но, испадна како во таа шега - некои од субјектите се покажаа како невообичаено физички развиени.)

Архивата содржела фотографија од касета (со натпис „Последна вечера - најдобри моменти“), која дава навестување за употребата на поврзана библиотека со касети, која содржела касета со слично име. Имаше само еден проблем - се покажа дека е толку нефункционален што не беше ни каталогизиран. Тука започна веројатно најхардкорот дел од потрагата. Го избришавме заглавието од касетата, па за да ги вратите податоците од него, само треба да ги фрлите „суровини“ блокови и да ги погледнете во хексадецимален уредувач за да најдете маркери за почеток на датотеката.
Го наоѓаме маркерот, го гледаме поместувањето, го множиме блокот со неговата големина, го додаваме поместувањето и, користејќи ја внатрешната алатка, се обидуваме да ја вратиме датотеката од одреден блок. Ако се е направено правилно и математиката се согласи, тогаш играчите ќе имаат датотека .wav во рацете.

Во него, со помош на генератор на глас, меѓу другото, се диктира бинарен код, кој се проширува во друга IP адреса.

Ова, се испоставува, е нов сервер за Windows, каде што сè укажува на потребата да се користи Wireshark, но тоа не е таму. Главниот трик е што на оваа машина се инсталирани два системи - само дискот од вториот е исклучен преку офлајн менаџерот на уреди, а логичкиот синџир води до потреба од рестартирање. Потоа излегува дека по дифолт треба да се подигне сосема поинаков систем, каде што е инсталиран Wireshark. И сето ова време бевме на секундарниот ОС.

Нема потреба да правите ништо посебно овде, само овозможете снимање на еден интерфејс. Релативно внимателно испитување на депонијата открива јасно лево-рачен пакет испратен од помошната машина во редовни интервали, кој содржи линк до видео на YouTube каде од играчите се бара да повикаат одреден број. Првиот што се јавува ќе слушне честитки за првото место, а останатите ќе добијат покана за HR (шега)).

Патем, ние сме отворени слободни работни места за инженери за техничка поддршка и специјализанти. Добредојдовте во тимот!

Извор: www.habr.com