ഒരു സുരക്ഷാ ഉപകരണമായി ദ്വാരം - 2, അല്ലെങ്കിൽ "ലൈവ് ബെയ്റ്റിൽ" APT എങ്ങനെ പിടിക്കാം

(ശീർഷക ആശയത്തിന് സെർജി ജി. ബ്രെസ്റ്ററിന് നന്ദി സെബ്രെസ്)

സഹപ്രവർത്തകരേ, ഈ ലേഖനത്തിന്റെ ഉദ്ദേശം വഞ്ചന സാങ്കേതിക വിദ്യകളെ അടിസ്ഥാനമാക്കിയുള്ള ഒരു പുതിയ ക്ലാസ് IDS സൊല്യൂഷനുകളുടെ ഒരു വർഷം നീണ്ടുനിൽക്കുന്ന പരീക്ഷണ പ്രവർത്തനത്തിന്റെ അനുഭവം പങ്കിടുക എന്നതാണ്.

മെറ്റീരിയലിന്റെ അവതരണത്തിന്റെ യുക്തിസഹമായ സംയോജനം നിലനിർത്തുന്നതിന്, പരിസരത്ത് നിന്ന് ആരംഭിക്കേണ്ടത് ആവശ്യമാണെന്ന് ഞാൻ കരുതുന്നു. അതിനാൽ, പ്രശ്നം:

1. മൊത്തം ഭീഷണികളുടെ എണ്ണത്തിൽ അവയുടെ പങ്ക് ചെറുതാണെങ്കിലും ടാർഗെറ്റഡ് ആക്രമണങ്ങളാണ് ഏറ്റവും അപകടകരമായ ആക്രമണം.
2. ചുറ്റളവ് (അല്ലെങ്കിൽ അത്തരം മാർഗങ്ങളുടെ ഒരു കൂട്ടം) പരിരക്ഷിക്കുന്നതിനുള്ള ഗ്യാരണ്ടീഡ് ഫലപ്രദമായ മാർഗങ്ങളൊന്നും ഇതുവരെ കണ്ടുപിടിച്ചിട്ടില്ല.
3. ചട്ടം പോലെ, ടാർഗെറ്റഡ് ആക്രമണങ്ങൾ പല ഘട്ടങ്ങളിലായി നടക്കുന്നു. ചുറ്റളവ് മറികടക്കുന്നത് പ്രാരംഭ ഘട്ടങ്ങളിലൊന്ന് മാത്രമാണ്, അത് (നിങ്ങൾക്ക് എന്റെ നേരെ കല്ലെറിയാൻ കഴിയും) “ഇര”ക്ക് വലിയ നാശനഷ്ടമുണ്ടാക്കില്ല, തീർച്ചയായും ഇത് ഒരു DEoS (സേവനത്തിന്റെ നാശം) ആക്രമണമല്ലെങ്കിൽ (എൻക്രിപ്റ്ററുകൾ മുതലായവ. .). യഥാർത്ഥ "വേദന" പിന്നീട് ആരംഭിക്കുന്നു, പിടിച്ചെടുത്ത അസറ്റുകൾ ഒരു "ആഴം" ആക്രമണം നടത്തുന്നതിനും വികസിപ്പിക്കുന്നതിനും ഉപയോഗിക്കാൻ തുടങ്ങുമ്പോൾ, ഞങ്ങൾ ഇത് ശ്രദ്ധിച്ചില്ല.
4. ആക്രമണകാരികൾ ആക്രമണത്തിന്റെ ലക്ഷ്യങ്ങളിൽ (അപ്ലിക്കേഷൻ സെർവറുകൾ, ഡിബിഎംഎസ്, ഡാറ്റ വെയർഹൗസുകൾ, റിപ്പോസിറ്ററികൾ, നിർണായക ഇൻഫ്രാസ്ട്രക്ചർ ഘടകങ്ങൾ) എത്തുമ്പോൾ ഞങ്ങൾക്ക് യഥാർത്ഥ നഷ്ടം സംഭവിക്കാൻ തുടങ്ങുന്നതിനാൽ, വിവര സുരക്ഷാ സേവനത്തിന്റെ ചുമതലകളിലൊന്ന് മുമ്പ് ആക്രമണങ്ങളെ തടസ്സപ്പെടുത്തുക എന്നതാണ്. ഈ ദുഃഖകരമായ സംഭവം. എന്നാൽ എന്തെങ്കിലും തടസ്സപ്പെടുത്തുന്നതിന്, നിങ്ങൾ ആദ്യം അതിനെക്കുറിച്ച് കണ്ടെത്തണം. എത്രയും വേഗം, നല്ലത്.
5. അതനുസരിച്ച്, വിജയകരമായ റിസ്ക് മാനേജ്മെന്റിന് (അതായത്, ടാർഗെറ്റുചെയ്‌ത ആക്രമണങ്ങളിൽ നിന്നുള്ള കേടുപാടുകൾ കുറയ്ക്കുന്നതിന്), ഏറ്റവും കുറഞ്ഞ ടിടിഡി (കണ്ടെത്താനുള്ള സമയം - നുഴഞ്ഞുകയറ്റ നിമിഷം മുതൽ ആക്രമണം കണ്ടെത്തുന്നത് വരെയുള്ള സമയം) നൽകുന്ന ഉപകരണങ്ങൾ ഉണ്ടായിരിക്കേണ്ടത് പ്രധാനമാണ്. വ്യവസായത്തെയും പ്രദേശത്തെയും ആശ്രയിച്ച്, ഈ കാലയളവ് യുഎസിൽ ശരാശരി 99 ദിവസവും EMEA മേഖലയിൽ 106 ദിവസവും APAC മേഖലയിൽ 172 ദിവസവും (എം-ട്രെൻഡ്‌സ് 2017, ഫ്രണ്ട് ലൈനുകളിൽ നിന്നുള്ള ഒരു കാഴ്ച, മാൻഡിയന്റ്).
6. വിപണി എന്താണ് വാഗ്ദാനം ചെയ്യുന്നത്?
   • "സാൻഡ്ബോക്സുകൾ". മറ്റൊരു പ്രതിരോധ നിയന്ത്രണം, അത് ആദർശത്തിൽ നിന്ന് വളരെ അകലെയാണ്. സാൻഡ്‌ബോക്‌സുകൾ കണ്ടെത്തുന്നതിനും മറികടക്കുന്നതിനും അല്ലെങ്കിൽ പരിഹാരങ്ങൾ വൈറ്റ്‌ലിസ്റ്റ് ചെയ്യുന്നതിനും ഫലപ്രദമായ നിരവധി സാങ്കേതിക വിദ്യകളുണ്ട്. "ഇരുണ്ട ഭാഗത്ത്" നിന്നുള്ള ആളുകൾ ഇപ്പോഴും ഇവിടെ ഒരു പടി മുന്നിലാണ്.
   • UEBA (പ്രൊഫൈലിംഗ് സ്വഭാവത്തിനും വ്യതിയാനങ്ങൾ തിരിച്ചറിയുന്നതിനുമുള്ള സംവിധാനങ്ങൾ) - സിദ്ധാന്തത്തിൽ, വളരെ ഫലപ്രദമാണ്. പക്ഷേ, എന്റെ അഭിപ്രായത്തിൽ, ഇത് എപ്പോഴെങ്കിലും വിദൂര ഭാവിയിലാണ്. പ്രായോഗികമായി, ഇത് ഇപ്പോഴും വളരെ ചെലവേറിയതും വിശ്വസനീയമല്ലാത്തതും വളരെ പക്വവും സുസ്ഥിരവുമായ ഐടി, ഇൻഫർമേഷൻ സെക്യൂരിറ്റി ഇൻഫ്രാസ്ട്രക്ചർ ആവശ്യമാണ്, പെരുമാറ്റ വിശകലനത്തിനായി ഡാറ്റ സൃഷ്ടിക്കുന്ന എല്ലാ ഉപകരണങ്ങളും ഇതിനോടകം ഉണ്ട്.
   • അന്വേഷണങ്ങൾക്കുള്ള നല്ലൊരു ഉപകരണമാണ് SIEM, എന്നാൽ പുതിയതും യഥാർത്ഥവുമായ എന്തെങ്കിലും സമയബന്ധിതമായി കാണാനും കാണിക്കാനും ഇതിന് കഴിയില്ല, കാരണം പരസ്പര ബന്ധ നിയമങ്ങൾ ഒപ്പുകൾക്ക് തുല്യമാണ്.

7. തൽഫലമായി, ഒരു ഉപകരണത്തിന്റെ ആവശ്യകതയുണ്ട്:
   • ഇതിനകം വിട്ടുവീഴ്ച ചെയ്ത പരിധിയുടെ സാഹചര്യങ്ങളിൽ വിജയകരമായി പ്രവർത്തിച്ചു,
   • ഉപയോഗിച്ച ഉപകരണങ്ങളും കേടുപാടുകളും പരിഗണിക്കാതെ, തത്സമയം വിജയകരമായ ആക്രമണങ്ങൾ കണ്ടെത്തി,
   • ഒപ്പുകൾ/നിയമങ്ങൾ/സ്ക്രിപ്റ്റുകൾ/നയങ്ങൾ/പ്രൊഫൈലുകൾ, മറ്റ് സ്റ്റാറ്റിക് കാര്യങ്ങൾ എന്നിവയെ ആശ്രയിക്കുന്നില്ല,
   • വിശകലനത്തിനായി വലിയ അളവിലുള്ള ഡാറ്റയും അവയുടെ ഉറവിടങ്ങളും ആവശ്യമില്ല,
   • "ലോകത്തിലെ ഏറ്റവും മികച്ച, പേറ്റന്റുള്ളതും അതിനാൽ അടച്ച ഗണിതശാസ്ത്രത്തിന്റെ" പ്രവർത്തനത്തിന്റെ ഫലമായി ആക്രമണങ്ങളെ നിർവചിക്കാൻ അനുവദിക്കില്ല, ഇതിന് അധിക അന്വേഷണം ആവശ്യമാണ്, പക്ഷേ പ്രായോഗികമായി ഒരു ബൈനറി സംഭവമായി - "അതെ, ഞങ്ങൾ ആക്രമിക്കപ്പെടുന്നു" അല്ലെങ്കിൽ "ഇല്ല, എല്ലാം ശരിയാണ്",
   • ഉപയോഗിച്ച ഭൗതികവും യുക്തിസഹവുമായ നെറ്റ്‌വർക്ക് ടോപ്പോളജി പരിഗണിക്കാതെ, സാർവത്രികവും കാര്യക്ഷമമായി അളക്കാവുന്നതും ഏത് വൈവിധ്യമാർന്ന പരിതസ്ഥിതിയിലും നടപ്പിലാക്കാൻ സാധ്യമായിരുന്നു.

വഞ്ചന പരിഹാരങ്ങൾ എന്ന് വിളിക്കപ്പെടുന്ന അത്തരം ഒരു ഉപകരണത്തിന്റെ പങ്ക് ഇപ്പോൾ മത്സരിക്കുന്നു. അതായത്, ഹണിപോട്ടുകളുടെ പഴയ നല്ല ആശയത്തെ അടിസ്ഥാനമാക്കിയുള്ള പരിഹാരങ്ങൾ, എന്നാൽ തികച്ചും വ്യത്യസ്തമായ നിർവ്വഹണ നിലവാരം. ഈ വിഷയം തീർച്ചയായും ഇപ്പോൾ ഉയരുകയാണ്.

ഫലങ്ങൾ അനുസരിച്ച് ഗാർട്ട്നർ സെക്യൂരിറ്റി & റിസ്ക് മാനേജ്മെന്റ് ഉച്ചകോടി 2017 വഞ്ചനയ്ക്കുള്ള പരിഹാരങ്ങൾ TOP 3 തന്ത്രങ്ങളിലും ഉപയോഗിക്കാൻ ശുപാർശ ചെയ്യുന്ന ടൂളുകളിലും ഉൾപ്പെടുത്തിയിട്ടുണ്ട്.

റിപ്പോർട്ട് പ്രകാരം TAG സൈബർ സുരക്ഷ വാർഷികം 2017 ഐഡിഎസ് ഇൻട്രൂഷൻ ഡിറ്റക്ഷൻ സിസ്റ്റംസ്) പരിഹാരങ്ങളുടെ വികസനത്തിന്റെ പ്രധാന ദിശകളിലൊന്നാണ് വഞ്ചന.

പിന്നീടുള്ള ഒരു മുഴുവൻ വിഭാഗം സിസ്കോ സ്റ്റേറ്റ് ഓഫ് ഐടി സെക്യൂരിറ്റി റിപ്പോർട്ട്, SCADA-യ്‌ക്കായി സമർപ്പിച്ചിരിക്കുന്നത്, ഈ വിപണിയിലെ പ്രമുഖരിൽ ഒരാളായ ട്രാപ്‌എക്‌സ് സെക്യൂരിറ്റി (ഇസ്രായേൽ) നിന്നുള്ള ഡാറ്റയെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്, ഇതിന്റെ പരിഹാരം ഒരു വർഷമായി ഞങ്ങളുടെ ടെസ്റ്റ് ഏരിയയിൽ പ്രവർത്തിക്കുന്നു.

ട്രാപ്‌എക്‌സ് ഡിസെപ്ഷൻ ഗ്രിഡ്, ഹാർഡ്‌വെയർ ഉറവിടങ്ങളുടെ ലൈസൻസിംഗ് ലോഡും ആവശ്യകതകളും വർദ്ധിപ്പിക്കാതെ, വൻതോതിൽ വിതരണം ചെയ്യുന്ന ഐഡിഎസ് കേന്ദ്രീകൃതമായി ചെലവാക്കാനും പ്രവർത്തിപ്പിക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു. യഥാർത്ഥത്തിൽ, നിലവിലുള്ള ഐടി ഇൻഫ്രാസ്ട്രക്ചറിന്റെ ഘടകങ്ങളിൽ നിന്ന് എന്റർപ്രൈസ്-വൈഡ് സ്കെയിലിലെ ആക്രമണങ്ങൾ കണ്ടെത്തുന്നതിനുള്ള ഒരു വലിയ സംവിധാനം സൃഷ്ടിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു കൺസ്ട്രക്റ്ററാണ് TrapX, ഒരു തരം വിതരണം ചെയ്ത നെറ്റ്‌വർക്ക് "അലാറം".

പരിഹാര ഘടന

ഞങ്ങളുടെ ലബോറട്ടറിയിൽ ഞങ്ങൾ ഐടി സുരക്ഷാ മേഖലയിലെ വിവിധ പുതിയ ഉൽപ്പന്നങ്ങൾ നിരന്തരം പഠിക്കുകയും പരീക്ഷിക്കുകയും ചെയ്യുന്നു. നിലവിൽ, TrapX Deception Grid ഘടകങ്ങൾ ഉൾപ്പെടെ ഏകദേശം 50 വ്യത്യസ്ത വെർച്വൽ സെർവറുകൾ ഇവിടെ വിന്യസിച്ചിട്ടുണ്ട്.

അതിനാൽ, മുകളിൽ നിന്ന് താഴേക്ക്:

1. TSOC (TrapX സെക്യൂരിറ്റി ഓപ്പറേഷൻ കൺസോൾ) ആണ് സിസ്റ്റത്തിന്റെ തലച്ചോറ്. കോൺഫിഗറേഷൻ, പരിഹാരത്തിന്റെ വിന്യാസം, എല്ലാ ദൈനംദിന പ്രവർത്തനങ്ങളും നടത്തുന്ന സെൻട്രൽ മാനേജ്‌മെന്റ് കൺസോൾ ഇതാണ്. ഇതൊരു വെബ് സേവനമായതിനാൽ, ഇത് എവിടെയും വിന്യസിക്കാൻ കഴിയും - ചുറ്റളവിൽ, ക്ലൗഡിൽ അല്ലെങ്കിൽ ഒരു MSSP ദാതാവിൽ.
2. TrapX Appliance (TSA) എന്നത് ഒരു വെർച്വൽ സെർവറാണ്, അത് ട്രങ്ക് പോർട്ട് ഉപയോഗിച്ച്, നമ്മൾ മോണിറ്ററിംഗ് ഉപയോഗിച്ച് മറയ്ക്കാൻ ആഗ്രഹിക്കുന്ന സബ്‌നെറ്റുകൾ ഉപയോഗിക്കുന്നു. കൂടാതെ, ഞങ്ങളുടെ എല്ലാ നെറ്റ്‌വർക്ക് സെൻസറുകളും യഥാർത്ഥത്തിൽ ഇവിടെ "ലൈവ്" ചെയ്യുന്നു.

   ഞങ്ങളുടെ ലാബിൽ ഒരു TSA വിന്യസിച്ചിട്ടുണ്ട് (mwsapp1), എന്നാൽ വാസ്തവത്തിൽ പലതും ഉണ്ടാകാം. സെഗ്‌മെന്റുകൾക്കിടയിൽ L2 കണക്റ്റിവിറ്റി ഇല്ലാത്ത വലിയ നെറ്റ്‌വർക്കുകളിൽ ഇത് ആവശ്യമായി വന്നേക്കാം (ഒരു സാധാരണ ഉദാഹരണം "ഹോൾഡിംഗും അനുബന്ധ സ്ഥാപനങ്ങളും" അല്ലെങ്കിൽ "ബാങ്ക് ഹെഡ് ഓഫീസും ശാഖകളും") അല്ലെങ്കിൽ നെറ്റ്‌വർക്കിന് ഒറ്റപ്പെട്ട സെഗ്‌മെന്റുകൾ ഉണ്ടെങ്കിൽ, ഉദാഹരണത്തിന്, ഓട്ടോമേറ്റഡ് പ്രോസസ്സ് കൺട്രോൾ സിസ്റ്റങ്ങൾ. അത്തരം ഓരോ ബ്രാഞ്ചിലും/സെഗ്‌മെന്റിലും, നിങ്ങൾക്ക് നിങ്ങളുടേതായ TSA വിന്യസിക്കാനും എല്ലാ വിവരങ്ങളും കേന്ദ്രീകൃതമായി പ്രോസസ്സ് ചെയ്യുന്ന ഒരൊറ്റ TSOC-ലേക്ക് ബന്ധിപ്പിക്കാനും കഴിയും. നെറ്റ്‌വർക്കിനെ സമൂലമായി പുനഃക്രമീകരിക്കുകയോ നിലവിലുള്ള സെഗ്‌മെന്റേഷനെ തടസ്സപ്പെടുത്തുകയോ ചെയ്യാതെ തന്നെ ഡിസ്ട്രിബ്യൂട്ട് മോണിറ്ററിംഗ് സിസ്റ്റങ്ങൾ നിർമ്മിക്കാൻ ഈ ആർക്കിടെക്ചർ നിങ്ങളെ അനുവദിക്കുന്നു.

   കൂടാതെ, TAP/SPAN വഴി TSA-യിലേക്ക് ഔട്ട്‌ഗോയിംഗ് ട്രാഫിക്കിന്റെ ഒരു പകർപ്പ് ഞങ്ങൾക്ക് സമർപ്പിക്കാം. അറിയപ്പെടുന്ന ബോട്ട്‌നെറ്റുകൾ, കമാൻഡ് ആൻഡ് കൺട്രോൾ സെർവറുകൾ അല്ലെങ്കിൽ TOR സെഷനുകൾ എന്നിവയുമായുള്ള കണക്ഷനുകൾ ഞങ്ങൾ കണ്ടെത്തുകയാണെങ്കിൽ, ഞങ്ങൾക്ക് കൺസോളിലും ഫലം ലഭിക്കും. നെറ്റ്‌വർക്ക് ഇന്റലിജൻസ് സെൻസർ (എൻഐഎസ്) ആണ് ഇതിന് ഉത്തരവാദി. ഞങ്ങളുടെ പരിതസ്ഥിതിയിൽ, ഈ പ്രവർത്തനം ഫയർവാളിൽ നടപ്പിലാക്കുന്നു, അതിനാൽ ഞങ്ങൾ അത് ഇവിടെ ഉപയോഗിച്ചില്ല.

3. ആപ്ലിക്കേഷൻ ട്രാപ്പുകൾ (ഫുൾ ഒഎസ്) - വിൻഡോസ് സെർവറുകൾ അടിസ്ഥാനമാക്കിയുള്ള പരമ്പരാഗത ഹണിപോട്ടുകൾ. നിങ്ങൾക്ക് അവയിൽ പലതും ആവശ്യമില്ല, കാരണം ഈ സെർവറുകളുടെ പ്രധാന ഉദ്ദേശം സെൻസറുകളുടെ അടുത്ത ലെയറിലേക്ക് ഐടി സേവനങ്ങൾ നൽകുക അല്ലെങ്കിൽ ഒരു Windows പരിതസ്ഥിതിയിൽ വിന്യസിച്ചേക്കാവുന്ന ബിസിനസ്സ് ആപ്ലിക്കേഷനുകളിൽ ആക്രമണങ്ങൾ കണ്ടെത്തുക എന്നതാണ്. ഞങ്ങളുടെ ലബോറട്ടറിയിൽ അത്തരത്തിലുള്ള ഒരു സെർവർ ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട് (FOS01)

   

4. എമുലേറ്റഡ് ട്രാപ്പുകളാണ് പരിഹാരത്തിന്റെ പ്രധാന ഘടകം, ഇത് ഒരൊറ്റ വെർച്വൽ മെഷീൻ ഉപയോഗിച്ച് ആക്രമണകാരികൾക്കായി വളരെ സാന്ദ്രമായ “മൈൻഫീൽഡ്” സൃഷ്ടിക്കാനും എന്റർപ്രൈസ് നെറ്റ്‌വർക്കിനെയും അതിന്റെ എല്ലാ വ്ലാനുകളും ഞങ്ങളുടെ സെൻസറുകൾ ഉപയോഗിച്ച് പൂരിതമാക്കാനും അനുവദിക്കുന്നു. ആക്രമണകാരി അത്തരം ഒരു സെൻസർ അല്ലെങ്കിൽ ഫാന്റം ഹോസ്റ്റിനെ ഒരു യഥാർത്ഥ Windows PC അല്ലെങ്കിൽ സെർവർ, Linux സെർവർ അല്ലെങ്കിൽ അവനെ കാണിക്കാൻ ഞങ്ങൾ തീരുമാനിക്കുന്ന മറ്റ് ഉപകരണമായി കാണുന്നു.

   
   
   ബിസിനസ്സിന്റെ നന്മയ്‌ക്കും ജിജ്ഞാസയ്‌ക്കും വേണ്ടി, ഞങ്ങൾ “ഓരോ ജീവിയുടെയും ഒരു ജോടി” വിന്യസിച്ചു - വിൻഡോസ് പിസികളും വിവിധ പതിപ്പുകളുടെ സെർവറുകളും, ലിനക്സ് സെർവറുകൾ, വിൻഡോസ് ഉൾച്ചേർത്ത ഒരു എടിഎം, സ്വിഫ്റ്റ് വെബ് ആക്‌സസ്, ഒരു നെറ്റ്‌വർക്ക് പ്രിന്റർ, ഒരു സിസ്കോ സ്വിച്ച്, ഒരു ആക്‌സിസ് ഐപി ക്യാമറ, ഒരു മാക്‌ബുക്ക്, പിഎൽസി-ഉപകരണം കൂടാതെ ഒരു സ്മാർട്ട് ലൈറ്റ് ബൾബ് പോലും. ആകെ 13 ഹോസ്റ്റുകളുണ്ട്. പൊതുവേ, യഥാർത്ഥ ഹോസ്റ്റുകളുടെ എണ്ണത്തിന്റെ 10% എങ്കിലും അത്തരം സെൻസറുകൾ വിന്യസിക്കാൻ വെണ്ടർ ശുപാർശ ചെയ്യുന്നു. മുകളിലെ ബാർ ലഭ്യമായ വിലാസ സ്ഥലമാണ്.

   വളരെ പ്രധാനപ്പെട്ട ഒരു കാര്യം, അത്തരം ഓരോ ഹോസ്റ്റും ഉറവിടങ്ങളും ലൈസൻസുകളും ആവശ്യമുള്ള ഒരു പൂർണ്ണമായ വെർച്വൽ മെഷീനല്ല എന്നതാണ്. ഒരു കൂട്ടം പാരാമീറ്ററുകളും IP വിലാസവും ഉള്ള TSA-യിലെ ഒരു decoy, emulation, ഒരു പ്രക്രിയയാണിത്. അതിനാൽ, ഒരു ടിഎസ്എയുടെ സഹായത്തോടെ പോലും, അത്തരം നൂറുകണക്കിന് ഫാന്റം ഹോസ്റ്റുകൾ ഉപയോഗിച്ച് നമുക്ക് നെറ്റ്‌വർക്കിനെ പൂരിതമാക്കാൻ കഴിയും, അത് അലാറം സിസ്റ്റത്തിൽ സെൻസറായി പ്രവർത്തിക്കും. ഈ സാങ്കേതികവിദ്യയാണ് വിതരണം ചെയ്യുന്ന ഏതൊരു വലിയ സംരംഭത്തിലും ഹണിപോട്ട് ആശയം ചെലവ് കുറഞ്ഞ രീതിയിൽ അളക്കുന്നത് സാധ്യമാക്കുന്നത്.

   ആക്രമണകാരിയുടെ വീക്ഷണകോണിൽ നിന്ന്, ഈ ഹോസ്റ്റുകൾ ആകർഷകമാണ്, കാരണം അവയിൽ കേടുപാടുകൾ അടങ്ങിയിരിക്കുന്നു, മാത്രമല്ല അവ താരതമ്യേന എളുപ്പമുള്ള ലക്ഷ്യങ്ങളായി കാണപ്പെടുന്നു. ആക്രമണകാരി ഈ ഹോസ്റ്റുകളിലെ സേവനങ്ങൾ കാണുകയും അവരുമായി ഇടപഴകുകയും സ്റ്റാൻഡേർഡ് ടൂളുകളും പ്രോട്ടോക്കോളുകളും (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, മുതലായവ) ഉപയോഗിച്ച് അവരെ ആക്രമിക്കുകയും ചെയ്യാം. എന്നാൽ ഒരു ആക്രമണം വികസിപ്പിക്കുന്നതിനോ നിങ്ങളുടെ സ്വന്തം കോഡ് പ്രവർത്തിപ്പിക്കുന്നതിനോ ഈ ഹോസ്റ്റുകൾ ഉപയോഗിക്കുന്നത് അസാധ്യമാണ്.

5. ഈ രണ്ട് സാങ്കേതികവിദ്യകളുടെയും (FullOS ഉം എമുലേറ്റഡ് ട്രാപ്പുകളും) ഒരു ഉയർന്ന സ്ഥിതിവിവരക്കണക്ക് സംഭാവ്യത കൈവരിക്കാൻ ഞങ്ങളെ അനുവദിക്കുന്നു, ആക്രമണകാരി നമ്മുടെ സിഗ്നലിംഗ് ശൃംഖലയിലെ ചില ഘടകങ്ങളെ ഉടൻ അല്ലെങ്കിൽ പിന്നീട് നേരിടും. എന്നാൽ ഈ സംഭാവ്യത 100% അടുത്താണെന്ന് നമുക്ക് എങ്ങനെ ഉറപ്പാക്കാനാകും?

   വഞ്ചന ടോക്കണുകൾ എന്ന് വിളിക്കപ്പെടുന്നവ യുദ്ധത്തിൽ പ്രവേശിക്കുന്നു. അവർക്ക് നന്ദി, ഞങ്ങളുടെ വിതരണം ചെയ്ത ഐഡിഎസിൽ നിലവിലുള്ള എല്ലാ പിസികളും എന്റർപ്രൈസസിന്റെ സെർവറുകളും ഉൾപ്പെടുത്താം. ഉപയോക്താക്കളുടെ യഥാർത്ഥ പിസികളിലാണ് ടോക്കണുകൾ സ്ഥാപിച്ചിരിക്കുന്നത്. ടോക്കണുകൾ വിഭവങ്ങൾ ഉപഭോഗം ചെയ്യുന്നതും സംഘർഷങ്ങൾക്ക് കാരണമാകുന്നതുമായ ഏജന്റുമാരല്ലെന്ന് മനസ്സിലാക്കേണ്ടത് പ്രധാനമാണ്. ടോക്കണുകൾ നിഷ്ക്രിയ വിവര ഘടകങ്ങളാണ്, ആക്രമണകാരിയായ ഭാഗത്തെ ഒരു കെണിയിലേക്ക് നയിക്കുന്ന ഒരുതരം "ബ്രെഡ്ക്രംബ്സ്". ഉദാഹരണത്തിന്, മാപ്പ് ചെയ്‌ത നെറ്റ്‌വർക്ക് ഡ്രൈവുകൾ, ബ്രൗസറിലെ വ്യാജ വെബ് അഡ്‌മിനുകളിലേക്കുള്ള ബുക്ക്‌മാർക്കുകൾ, അവർക്കായി സംരക്ഷിച്ച പാസ്‌വേഡുകൾ, സംരക്ഷിച്ച ssh/rdp/winscp സെഷനുകൾ, ഹോസ്റ്റ് ഫയലുകളിലെ കമന്റുകളുള്ള ഞങ്ങളുടെ ട്രാപ്പുകൾ, മെമ്മറിയിൽ സേവ് ചെയ്ത പാസ്‌വേഡുകൾ, നിലവിലില്ലാത്ത ഉപയോക്താക്കളുടെ ക്രെഡൻഷ്യലുകൾ, ഓഫീസ് ഫയലുകൾ, തുറക്കുന്നത് സിസ്റ്റത്തെ പ്രവർത്തനക്ഷമമാക്കും, കൂടാതെ മറ്റു പലതും. അങ്ങനെ, ഞങ്ങൾ ആക്രമണകാരിയെ ഒരു വികലമായ പരിതസ്ഥിതിയിൽ സ്ഥാപിക്കുന്നു, ആക്രമണ വെക്‌ടറുകൾ കൊണ്ട് പൂരിതമാണ്, അത് യഥാർത്ഥത്തിൽ നമുക്ക് ഭീഷണിയല്ല, മറിച്ച് വിപരീതമാണ്. കൂടാതെ, വിവരങ്ങൾ എവിടെയാണ് ശരിയെന്നും എവിടെയാണ് തെറ്റായതെന്നും നിർണ്ണയിക്കാൻ അദ്ദേഹത്തിന് മാർഗമില്ല. അതിനാൽ, ഒരു ആക്രമണം വേഗത്തിൽ കണ്ടെത്തുന്നത് ഞങ്ങൾ ഉറപ്പാക്കുക മാത്രമല്ല, അതിന്റെ പുരോഗതി ഗണ്യമായി കുറയ്ക്കുകയും ചെയ്യുന്നു.

ഒരു നെറ്റ്‌വർക്ക് ട്രാപ്പ് സൃഷ്ടിക്കുന്നതിനും ടോക്കണുകൾ സജ്ജീകരിക്കുന്നതിനുമുള്ള ഒരു ഉദാഹരണം. ഫ്രണ്ട്ലി ഇന്റർഫേസ്, കോൺഫിഗറേഷനുകൾ, സ്ക്രിപ്റ്റുകൾ മുതലായവയുടെ മാനുവൽ എഡിറ്റിംഗ് ഇല്ല.

ഞങ്ങളുടെ പരിതസ്ഥിതിയിൽ, FOS01-ൽ Windows Server 2012R2-ൽ പ്രവർത്തിക്കുന്ന FOS7-ലും Windows XNUMX-ൽ പ്രവർത്തിക്കുന്ന ഒരു ടെസ്റ്റ് PC-ലും ഞങ്ങൾ കോൺഫിഗർ ചെയ്യുകയും സ്ഥാപിക്കുകയും ചെയ്‌തു. RDP ഈ മെഷീനുകളിൽ പ്രവർത്തിക്കുന്നു, ഞങ്ങൾ അവ ഇടയ്‌ക്കിടെ DMZ-ൽ "ഹാംഗ്" ചെയ്യുന്നു, അവിടെ ഞങ്ങളുടെ നിരവധി സെൻസറുകൾ ഉണ്ട്. (എമുലേറ്റഡ് ട്രാപ്പുകൾ) എന്നിവയും പ്രദർശിപ്പിച്ചിരിക്കുന്നു. അതുകൊണ്ട് സ്വാഭാവികമായും പറഞ്ഞാൽ സംഭവങ്ങളുടെ ഒരു നിരന്തര സ്ട്രീം നമുക്ക് ലഭിക്കുന്നു.

അതിനാൽ, വർഷത്തിലെ ചില ദ്രുത സ്ഥിതിവിവരക്കണക്കുകൾ ഇതാ:

56 - സംഭവങ്ങൾ രേഖപ്പെടുത്തി,
2 - ആക്രമണ ഉറവിട ഹോസ്റ്റുകൾ കണ്ടെത്തി.

സംവേദനാത്മക, ക്ലിക്ക് ചെയ്യാവുന്ന ആക്രമണ മാപ്പ്

അതേ സമയം, പരിഹാരം ഏതെങ്കിലും തരത്തിലുള്ള മെഗാ-ലോഗ് അല്ലെങ്കിൽ ഇവന്റ് ഫീഡ് സൃഷ്ടിക്കുന്നില്ല, അത് മനസ്സിലാക്കാൻ വളരെ സമയമെടുക്കും. പകരം, സൊല്യൂഷൻ തന്നെ സംഭവങ്ങളെ അവയുടെ തരങ്ങൾ അനുസരിച്ച് തരംതിരിക്കുകയും ഏറ്റവും അപകടകരമായവയിൽ പ്രാഥമികമായി ശ്രദ്ധ കേന്ദ്രീകരിക്കാൻ വിവര സുരക്ഷാ ടീമിനെ അനുവദിക്കുകയും ചെയ്യുന്നു - ആക്രമണകാരി നിയന്ത്രണ സെഷനുകൾ (ഇന്ററാക്ഷൻ) ഉയർത്താൻ ശ്രമിക്കുമ്പോഴോ അല്ലെങ്കിൽ നമ്മുടെ ട്രാഫിക്കിൽ ബൈനറി പേലോഡുകൾ (അണുബാധ) ദൃശ്യമാകുമ്പോഴോ.

ഇവന്റുകളെക്കുറിച്ചുള്ള എല്ലാ വിവരങ്ങളും വായിക്കാവുന്നതും അവതരിപ്പിക്കപ്പെടുന്നതുമാണ്, എന്റെ അഭിപ്രായത്തിൽ, വിവര സുരക്ഷാ മേഖലയിൽ അടിസ്ഥാന അറിവുള്ള ഒരു ഉപയോക്താവിന് പോലും മനസ്സിലാക്കാൻ എളുപ്പമുള്ള ഫോമിൽ.

രേഖപ്പെടുത്തിയിരിക്കുന്ന സംഭവങ്ങളിൽ ഭൂരിഭാഗവും ഞങ്ങളുടെ ഹോസ്റ്റുകളോ ഒറ്റ കണക്ഷനുകളോ സ്കാൻ ചെയ്യാനുള്ള ശ്രമങ്ങളാണ്.

അല്ലെങ്കിൽ RDP-യ്‌ക്കുള്ള പാസ്‌വേഡുകൾ ക്രൂരമായി പീഡിപ്പിക്കാനുള്ള ശ്രമങ്ങൾ

എന്നാൽ കൂടുതൽ രസകരമായ കേസുകളും ഉണ്ടായിരുന്നു, പ്രത്യേകിച്ചും ആക്രമണകാരികൾ RDP-യുടെ പാസ്‌വേഡ് ഊഹിക്കാനും പ്രാദേശിക നെറ്റ്‌വർക്കിലേക്ക് ആക്‌സസ് നേടാനും "നിയന്ത്രിച്ചപ്പോൾ".

ഒരു ആക്രമണകാരി psexec ഉപയോഗിച്ച് കോഡ് എക്സിക്യൂട്ട് ചെയ്യാൻ ശ്രമിക്കുന്നു.

ആക്രമണകാരി ഒരു സംരക്ഷിച്ച സെഷൻ കണ്ടെത്തി, അത് അവനെ ഒരു ലിനക്സ് സെർവറിന്റെ രൂപത്തിൽ ഒരു കെണിയിലേക്ക് നയിച്ചു. കണക്റ്റുചെയ്‌ത ഉടൻ, മുൻകൂട്ടി തയ്യാറാക്കിയ ഒരു കൂട്ടം കമാൻഡുകൾ ഉപയോഗിച്ച്, എല്ലാ ലോഗ് ഫയലുകളും അനുബന്ധ സിസ്റ്റം വേരിയബിളുകളും നശിപ്പിക്കാൻ ശ്രമിച്ചു.

SWIFT വെബ് ആക്സസ് അനുകരിക്കുന്ന ഒരു ഹണിപോട്ടിൽ SQL കുത്തിവയ്പ്പ് നടത്താൻ ഒരു ആക്രമണകാരി ശ്രമിക്കുന്നു.

അത്തരം "സ്വാഭാവിക" ആക്രമണങ്ങൾക്ക് പുറമേ, ഞങ്ങൾ ഞങ്ങളുടെ സ്വന്തം പരിശോധനകളും നടത്തി. ഒരു നെറ്റ്‌വർക്കിലെ ഒരു നെറ്റ്‌വർക്ക് വേമിന്റെ കണ്ടെത്തൽ സമയം പരിശോധിക്കുന്നതാണ് ഏറ്റവും വെളിപ്പെടുത്തുന്ന ഒന്ന്. ഇത് ചെയ്യുന്നതിന് ഞങ്ങൾ GuardiCore എന്ന ഒരു ടൂൾ ഉപയോഗിച്ചു അണുബാധ കുരങ്ങൻ. വിൻഡോസും ലിനക്സും ഹൈജാക്ക് ചെയ്യാൻ കഴിയുന്ന ഒരു നെറ്റ്‌വർക്ക് വേമാണ് ഇത്, എന്നാൽ “പേലോഡ്” ഇല്ലാതെ.
ഞങ്ങൾ ഒരു ലോക്കൽ കമാൻഡ് സെന്റർ വിന്യസിച്ചു, മെഷീനുകളിലൊന്നിൽ വിരയുടെ ആദ്യ സന്ദർഭം സമാരംഭിച്ചു, ഒന്നര മിനിറ്റിനുള്ളിൽ TrapX കൺസോളിൽ ആദ്യത്തെ അലേർട്ട് ലഭിച്ചു. ടിടിഡി 90 സെക്കൻഡ്, ശരാശരി 106 ദിവസം...

മറ്റ് തരത്തിലുള്ള പരിഹാരങ്ങളുമായി സംയോജിപ്പിക്കാനുള്ള കഴിവിന് നന്ദി, ഭീഷണികൾ പെട്ടെന്ന് കണ്ടെത്തുന്നതിൽ നിന്ന് അവയോട് സ്വയമേവ പ്രതികരിക്കുന്നതിലേക്ക് നമുക്ക് നീങ്ങാം.

ഉദാഹരണത്തിന്, എൻഎസി (നെറ്റ്‌വർക്ക് ആക്‌സസ് കൺട്രോൾ) സിസ്റ്റങ്ങളുമായോ കാർബൺബ്ലാക്കുമായോ ഉള്ള സംയോജനം, നെറ്റ്‌വർക്കിൽ നിന്ന് വിട്ടുവീഴ്ച ചെയ്യപ്പെടുന്ന പിസികൾ സ്വയമേവ വിച്ഛേദിക്കാൻ നിങ്ങളെ അനുവദിക്കും.

സാൻഡ്‌ബോക്‌സുകളുമായുള്ള സംയോജനം ഒരു ആക്രമണത്തിൽ ഉൾപ്പെട്ട ഫയലുകൾ സ്വയമേവ വിശകലനത്തിനായി സമർപ്പിക്കാൻ അനുവദിക്കുന്നു.

മക്അഫീ ഏകീകരണം

പരിഹാരത്തിന് അതിന്റേതായ ബിൽറ്റ്-ഇൻ ഇവന്റ് കോറിലേഷൻ സംവിധാനവുമുണ്ട്.

എന്നാൽ ഞങ്ങൾ അതിന്റെ കഴിവുകളിൽ തൃപ്തരല്ല, അതിനാൽ ഞങ്ങൾ ഇത് HP ArcSight-മായി സംയോജിപ്പിച്ചു.

കണ്ടെത്തിയ ഭീഷണികളെ നേരിടാൻ ബിൽറ്റ്-ഇൻ ടിക്കറ്റിംഗ് സംവിധാനം ലോകത്തെ മുഴുവൻ സഹായിക്കുന്നു.

സർക്കാർ ഏജൻസികളുടെയും ഒരു വലിയ കോർപ്പറേറ്റ് വിഭാഗത്തിന്റെയും ആവശ്യങ്ങൾക്കായി "ആരംഭം മുതൽ" പരിഹാരം വികസിപ്പിച്ചതിനാൽ, ഇത് സ്വാഭാവികമായും ഒരു റോൾ-ബേസ്ഡ് ആക്സസ് മോഡൽ, AD-യുമായുള്ള സംയോജനം, റിപ്പോർട്ടുകളുടെയും ട്രിഗറുകളുടെയും ഒരു വികസിത സംവിധാനം (ഇവന്റ് അലർട്ടുകൾ), ഓർക്കസ്ട്രേഷൻ എന്നിവ നടപ്പിലാക്കുന്നു. വലിയ ഹോൾഡിംഗ് ഘടനകൾ അല്ലെങ്കിൽ MSSP ദാതാക്കൾ.

ഒരു പുനരാരംഭിക്കുന്നതിന് പകരം

ആലങ്കാരികമായി പറഞ്ഞാൽ, നമ്മുടെ പുറം മൂടുന്ന അത്തരമൊരു നിരീക്ഷണ സംവിധാനം ഉണ്ടെങ്കിൽ, ചുറ്റളവിന്റെ വിട്ടുവീഴ്ചയോടെ എല്ലാം ആരംഭിക്കുന്നു. ഏറ്റവും പ്രധാനപ്പെട്ട കാര്യം, വിവര സുരക്ഷാ സംഭവങ്ങളെ നേരിടാൻ ഒരു യഥാർത്ഥ അവസരമുണ്ട്, അല്ലാതെ അവയുടെ അനന്തരഫലങ്ങൾ കൈകാര്യം ചെയ്യരുത്.

അവലംബം: www.habr.com