ट्रॅफिक अॅनालिसिस सिस्टीम पीटी नेटवर्क अटॅक डिस्कवरीचे उदाहरण वापरून एमआयटीएआर एटीटी अँड सीके वापरून हॅकरची युक्ती कशी शोधते

Verizon मते, माहितीच्या सुरक्षिततेच्या बहुतांश घटना काही मिनिटांत घडतात आणि 87% कंपन्यांना ते शोधण्यासाठी काही महिने लागतात. द्वारे याची पुष्टी केली जाते Ponemon संस्था संशोधन, त्यानुसार घटना शोधण्यासाठी बहुतेक संस्थांना सरासरी 206 दिवस लागतात. आमच्या तपासणीच्या अनुभवाच्या आधारे, हॅकर्स शोधल्याशिवाय कंपनीच्या पायाभूत सुविधांवर वर्षानुवर्षे नियंत्रण ठेवू शकतात. अशा प्रकारे, आमच्या तज्ञांनी माहिती सुरक्षिततेच्या घटनेची तपासणी केलेल्या एका संस्थेमध्ये हे उघड झाले की हॅकर्सने संस्थेच्या संपूर्ण पायाभूत सुविधांवर पूर्णपणे नियंत्रण ठेवले आणि नियमितपणे महत्त्वाची माहिती चोरली. आठ वर्षे.

समजा तुमच्याकडे आधीपासूनच SIEM चालू आहे जे लॉग गोळा करते आणि इव्हेंटचे विश्लेषण करते आणि अँटीव्हायरस सॉफ्टवेअर शेवटच्या नोड्सवर स्थापित केले आहे. असे असले तरी, SIEM वापरून सर्व काही शोधले जाऊ शकत नाही, ज्याप्रमाणे संपूर्ण नेटवर्कमध्ये EDR प्रणाली लागू करणे अशक्य आहे, याचा अर्थ असा की "अंध" स्पॉट्स टाळता येत नाहीत. नेटवर्क ट्रॅफिक अॅनालिसिस (NTA) सिस्टीम त्यांना हाताळण्यास मदत करतात. हे सोल्यूशन्स नेटवर्क प्रवेशाच्या सुरुवातीच्या टप्प्यावर, तसेच नेटवर्कमध्ये पाऊल ठेवण्याच्या आणि आक्रमण विकसित करण्याच्या प्रयत्नांमध्ये हल्लेखोर क्रियाकलाप शोधतात.

NTA चे दोन प्रकार आहेत: काही NetFlow सह काम करतात, तर काही रॉ ट्रॅफिकचे विश्लेषण करतात. दुसऱ्या सिस्टीमचा फायदा असा आहे की ते कच्च्या रहदारीच्या नोंदी ठेवू शकतात. याबद्दल धन्यवाद, माहिती सुरक्षा तज्ञ हल्ल्याच्या यशाची पडताळणी करू शकतो, धोक्याचे स्थानिकीकरण करू शकतो, हल्ला कसा झाला आणि भविष्यात तत्सम प्रकार कसा रोखायचा हे समजू शकतो.

NTA वापरून तुम्ही ज्ञान बेसमध्ये वर्णन केलेल्या सर्व ज्ञात हल्ल्याच्या युक्त्या ओळखण्यासाठी प्रत्यक्ष किंवा अप्रत्यक्ष पुरावे कसे वापरू शकता हे आम्ही दाखवू. मिटर एटीटी आणि सीके. आम्ही प्रत्येक 12 युक्त्यांबद्दल बोलू, ट्रॅफिकद्वारे शोधलेल्या तंत्रांचे विश्लेषण करू आणि आमची NTA प्रणाली वापरून त्यांची ओळख दाखवू.

ATT&CK ज्ञान बेस बद्दल

MITER ATT&CK हा MITER कॉर्पोरेशन द्वारे वास्तविक-जगातील APTs च्या विश्लेषणावर आधारित विकसित आणि देखरेख करणारा सार्वजनिक ज्ञान आधार आहे. हे हल्लेखोरांद्वारे वापरल्या जाणार्‍या रणनीती आणि तंत्रांचा संरचित संच आहे. हे जगभरातील माहिती सुरक्षा व्यावसायिकांना समान भाषा बोलण्याची अनुमती देते. डेटाबेस सतत विस्तारत आहे आणि नवीन ज्ञानासह पूरक आहे.

डेटाबेस 12 युक्त्या ओळखतो, ज्या सायबर हल्ल्याच्या टप्प्यांनुसार विभागल्या जातात:

• प्रारंभिक प्रवेश;
• अंमलबजावणी;
• एकत्रीकरण (चिकाटी);
• विशेषाधिकार वाढवणे;
• शोध प्रतिबंध (संरक्षण चोरी);
• क्रेडेन्शियल मिळवणे (क्रेडेन्शियल ऍक्सेस);
• शोध
• परिमितीच्या आत हालचाल (बाजूची हालचाल);
• डेटा संग्रह (संकलन);
• आदेश आणि नियंत्रण;
• डेटा एक्सफिल्टेशन;
• प्रभाव

प्रत्येक रणनीतीसाठी, ATT&CK नॉलेज बेस अशा तंत्रांची सूची देते जे आक्रमणकर्त्यांना हल्ल्याच्या सध्याच्या टप्प्यावर त्यांचे लक्ष्य साध्य करण्यात मदत करतात. एकच तंत्र वेगवेगळ्या टप्प्यांवर वापरता येत असल्याने, ते अनेक युक्तींचा संदर्भ घेऊ शकते.

प्रत्येक तंत्राच्या वर्णनात हे समाविष्ट आहे:

• ओळखकर्ता;
• युक्तीची यादी ज्यामध्ये ती वापरली जाते;
• एपीटी गटांच्या वापराची उदाहरणे;
• त्याच्या वापरामुळे होणारे नुकसान कमी करण्यासाठी उपाय;
• शोध शिफारसी.

माहिती सुरक्षा तज्ञ डेटाबेसमधील ज्ञानाचा वापर सध्याच्या हल्ल्याच्या पद्धतींबद्दल माहिती तयार करण्यासाठी करू शकतात आणि हे लक्षात घेऊन एक प्रभावी सुरक्षा प्रणाली तयार करू शकतात. वास्तविक एपीटी गट कसे कार्य करतात हे समजून घेणे देखील आतल्या धमक्यांना सक्रियपणे शोधण्यासाठी गृहितकांचे स्रोत बनू शकते धमकीची शिकार.

पीटी नेटवर्क अटॅक डिस्कवरी बद्दल

आम्ही प्रणाली वापरून एटीटी आणि सीके मॅट्रिक्समधील तंत्रांचा वापर ओळखू पीटी नेटवर्क हल्ला शोध — पॉझिटिव्ह टेक्नॉलॉजीज NTA सिस्टम, परिमितीवर आणि नेटवर्कच्या आत हल्ले शोधण्यासाठी डिझाइन केलेले. PT NAD MITER ATT आणि CK मॅट्रिक्सच्या सर्व 12 युक्त्या वेगवेगळ्या प्रमाणात कव्हर करते. प्रारंभिक प्रवेश, बाजूकडील हालचाली आणि कमांड आणि नियंत्रण यासाठी तंत्र ओळखण्यात तो सर्वात शक्तिशाली आहे. त्यांच्यामध्ये, PT NAD मध्ये अर्ध्याहून अधिक ज्ञात तंत्रांचा समावेश आहे, प्रत्यक्ष किंवा अप्रत्यक्ष चिन्हांद्वारे त्यांचा अनुप्रयोग शोधणे.

टीमने तयार केलेल्या डिटेक्शन नियमांचा वापर करून सिस्टम एटीटी आणि सीके तंत्र वापरून हल्ले शोधते पीटी तज्ञ सुरक्षा केंद्र (PT ESC), मशीन लर्निंग, तडजोडीचे संकेतक, सखोल विश्लेषण आणि पूर्वलक्षी विश्लेषण. रिअल-टाइम ट्रॅफिक विश्लेषण पूर्वलक्ष्यीसह एकत्रित केल्याने आपल्याला वर्तमान लपविलेल्या दुर्भावनापूर्ण क्रियाकलाप ओळखण्यास आणि विकास वेक्टर आणि हल्ल्यांच्या कालक्रमाचा मागोवा घेण्यास अनुमती देते.

येथे PT NAD ते MITER ATT आणि CK मॅट्रिक्सचे संपूर्ण मॅपिंग. चित्र मोठे आहे, म्हणून आम्ही तुम्हाला ते वेगळ्या विंडोमध्ये पाहण्याची शिफारस करतो.

प्रारंभिक प्रवेश

प्रारंभिक प्रवेश युक्तींमध्ये कंपनीच्या नेटवर्कमध्ये प्रवेश करण्याच्या तंत्रांचा समावेश होतो. या टप्प्यावर हल्लेखोरांचे लक्ष्य आक्रमण केलेल्या सिस्टमला दुर्भावनापूर्ण कोड वितरित करणे आणि त्याच्या पुढील अंमलबजावणीची शक्यता सुनिश्चित करणे हे आहे.

PT NAD मधील वाहतूक विश्लेषणात प्रारंभिक प्रवेश मिळविण्यासाठी सात तंत्रे प्रकट होतात:

1. T1189: तडजोड करून

एक तंत्र ज्यामध्ये पीडित व्यक्ती वेबसाइट उघडते ज्याचा वापर हल्लेखोरांनी वेब ब्राउझरचे शोषण करण्यासाठी आणि ऍप्लिकेशन ऍक्सेस टोकन मिळविण्यासाठी केला आहे.

PT NAD काय करते?: वेब ट्रॅफिक एनक्रिप्ट केलेले नसल्यास, PT NAD HTTP सर्व्हर प्रतिसादांच्या सामग्रीची तपासणी करते. या प्रतिसादांमध्ये असे शोषण आहे जे आक्रमणकर्त्यांना ब्राउझरमध्ये अनियंत्रित कोड अंमलात आणण्याची परवानगी देतात. PT NAD आपोआप ओळख नियम वापरून अशा शोषणांचा शोध घेते.

याव्यतिरिक्त, PT NAD मागील चरणात धोका ओळखतो. जर वापरकर्त्याने अशा साइटला भेट दिली ज्याने त्याला अनेक शोषणांसह साइटवर पुनर्निर्देशित केले असेल तर तडजोडीचे नियम आणि संकेतक ट्रिगर केले जातात.

2. T1190: सार्वजनिक-फेसिंग अनुप्रयोग शोषण

इंटरनेटवरून उपलब्ध असलेल्या सेवांमधील असुरक्षिततेचे शोषण.

PT NAD काय करते?: नेटवर्क पॅकेटमधील सामग्रीची सखोल तपासणी करते, विसंगत क्रियाकलापांची चिन्हे ओळखतात. विशेषतः, असे नियम आहेत जे तुम्हाला प्रमुख सामग्री व्यवस्थापन प्रणाली (CMS), नेटवर्क उपकरणांचे वेब इंटरफेस आणि मेल आणि FTP सर्व्हरवरील हल्ले शोधण्याची परवानगी देतात.

3. T1133: बाह्य रिमोट सेवा

हल्लेखोर बाहेरून अंतर्गत नेटवर्क संसाधनांशी कनेक्ट करण्यासाठी रिमोट ऍक्सेस सेवा वापरतात.

PT NAD काय करते?: प्रणाली पोर्ट क्रमांकांद्वारे नव्हे तर पॅकेट्सच्या सामग्रीद्वारे प्रोटोकॉल ओळखत असल्याने, सिस्टम वापरकर्ते रिमोट ऍक्सेस प्रोटोकॉलची सर्व सत्रे शोधण्यासाठी रहदारी फिल्टर करू शकतात आणि त्यांची वैधता तपासू शकतात.

4. T1193: spearphishing संलग्नक

आम्ही फिशिंग संलग्नकांच्या कुख्यात पाठवण्याबद्दल बोलत आहोत.

PT NAD काय करते?: ट्रॅफिकमधून फायली आपोआप काढते आणि तडजोडीच्या सूचकांच्या विरूद्ध त्यांची तपासणी करते. मेल ट्रॅफिकच्या सामग्रीचे विश्लेषण करणार्‍या नियमांद्वारे संलग्नकांमधील एक्झिक्युटेबल फाइल्स शोधल्या जातात. कॉर्पोरेट वातावरणात, अशी गुंतवणूक विसंगत मानली जाते.

5. T1192: स्पियरफिशिंग लिंक

फिशिंग लिंक्स वापरणे. या तंत्रात हल्लेखोरांनी फिशिंग ईमेल पाठवल्याचा समावेश आहे, ज्यावर क्लिक केल्यावर, दुर्भावनापूर्ण प्रोग्राम डाउनलोड होतो. नियमानुसार, दुवा सामाजिक अभियांत्रिकीच्या सर्व नियमांनुसार संकलित केलेल्या मजकुरासह आहे.

PT NAD काय करते?: तडजोडीचे संकेतक वापरून फिशिंग लिंक शोधते. उदाहरणार्थ, PT NAD इंटरफेसमध्ये आम्ही एक सत्र पाहतो ज्यामध्ये फिशिंग पत्त्यांच्या (फिशिंग-urls) सूचीमध्ये समाविष्ट केलेल्या लिंकद्वारे HTTP कनेक्शन होते.

तडजोड फिशिंग-urls च्या सूचकांच्या सूचीमधून दुव्याद्वारे कनेक्शन

6. T1199: विश्वासार्ह नाते

पीडितेच्या नेटवर्कमध्ये तृतीय पक्षांद्वारे प्रवेश करणे ज्यांच्याशी पीडितेने विश्वासार्ह संबंध प्रस्थापित केला आहे. हल्लेखोर विश्वसनीय संस्था हॅक करू शकतात आणि त्याद्वारे लक्ष्य नेटवर्कशी कनेक्ट होऊ शकतात. हे करण्यासाठी, ते VPN कनेक्शन किंवा डोमेन ट्रस्ट वापरतात, जे रहदारी विश्लेषणाद्वारे ओळखले जाऊ शकतात.

PT NAD काय करते?: ऍप्लिकेशन प्रोटोकॉल पार्स करते आणि विश्लेषित फील्ड डेटाबेसमध्ये सेव्ह करते, जेणेकरून माहिती सुरक्षा विश्लेषक डेटाबेसमधील सर्व संशयास्पद VPN कनेक्शन किंवा क्रॉस-डोमेन कनेक्शन शोधण्यासाठी फिल्टर वापरू शकतात.

7. T1078: वैध खाती

बाह्य आणि अंतर्गत सेवांच्या अधिकृततेसाठी मानक, स्थानिक किंवा डोमेन क्रेडेन्शियल वापरणे.

PT NAD काय करते?: HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos प्रोटोकॉल वरून स्वयंचलितपणे क्रेडेन्शियल पुनर्प्राप्त करते. सर्वसाधारणपणे, हे लॉगिन, पासवर्ड आणि यशस्वी प्रमाणीकरणाचे चिन्ह आहे. ते वापरले गेले असल्यास, ते संबंधित सत्र कार्डमध्ये प्रदर्शित केले जातात.

अंमलबजावणी

अंमलबजावणीच्या रणनीतींमध्ये अशा तंत्रांचा समावेश होतो ज्याचा वापर आक्रमणकर्ते तडजोड केलेल्या प्रणालींवर कोड कार्यान्वित करण्यासाठी करतात. दुर्भावनापूर्ण कोड चालवल्याने आक्रमणकर्त्यांना उपस्थिती (सततता युक्ती) स्थापित करण्यात आणि परिमितीच्या आत हलवून नेटवर्कवरील रिमोट सिस्टममध्ये प्रवेश वाढविण्यात मदत होते.

PT NAD तुम्हाला दुर्भावनापूर्ण कोड कार्यान्वित करण्यासाठी आक्रमणकर्त्यांनी वापरलेल्या 14 तंत्रांचा वापर शोधण्याची परवानगी देते.

1. T1191: CMSTP (मायक्रोसॉफ्ट कनेक्शन मॅनेजर प्रोफाइल इंस्टॉलर)

एक युक्ती ज्यामध्ये आक्रमणकर्ते अंगभूत विंडोज युटिलिटी CMSTP.exe (कनेक्शन मॅनेजर प्रोफाइल इंस्टॉलर) साठी विशेष दुर्भावनापूर्ण इंस्टॉलेशन INF फाइल तयार करतात. CMSTP.exe फाईल पॅरामीटर म्हणून घेते आणि रिमोट कनेक्शनसाठी सेवा प्रोफाइल स्थापित करते. परिणामी, CMSTP.exe चा वापर रिमोट सर्व्हरवरून डायनॅमिक लिंक लायब्ररी (*.dll) किंवा स्क्रिप्टलेट (*.sct) लोड आणि कार्यान्वित करण्यासाठी केला जाऊ शकतो.

PT NAD काय करते?: HTTP ट्रॅफिकमध्ये विशेष प्रकारच्या INF फाइल्सचे हस्तांतरण स्वयंचलितपणे शोधते. या व्यतिरिक्त, ते रिमोट सर्व्हरवरून दुर्भावनापूर्ण स्क्रिप्टलेट आणि डायनॅमिक लिंक लायब्ररींचे HTTP ट्रांसमिशन शोधते.

2. T1059: कमांड लाइन इंटरफेस

कमांड लाइन इंटरफेससह परस्परसंवाद. कमांड लाइन इंटरफेस स्थानिक किंवा दूरस्थपणे संवाद साधला जाऊ शकतो, उदाहरणार्थ रिमोट ऍक्सेस युटिलिटी वापरणे.

PT NAD काय करते?: ping, ifconfig सारख्या विविध कमांड लाइन युटिलिटीज लाँच करण्यासाठी कमांडच्या प्रतिसादांवर आधारित शेलची उपस्थिती स्वयंचलितपणे ओळखते.

3. T1175: घटक ऑब्जेक्ट मॉडेल आणि वितरित COM

नेटवर्कवर फिरताना स्थानिक किंवा रिमोट सिस्टमवर कोड कार्यान्वित करण्यासाठी COM किंवा DCOM तंत्रज्ञानाचा वापर.

PT NAD काय करते?: संशयास्पद DCOM कॉल शोधते जे हल्लेखोर सामान्यत: प्रोग्राम लॉन्च करण्यासाठी वापरतात.

4. T1203: क्लायंटच्या अंमलबजावणीसाठी शोषण

वर्कस्टेशनवर अनियंत्रित कोड अंमलात आणण्यासाठी भेद्यतेचे शोषण. हल्लेखोरांसाठी सर्वात उपयुक्त शोषणे ते आहेत जे रिमोट सिस्टमवर कोड अंमलात आणण्याची परवानगी देतात, कारण ते आक्रमणकर्त्यांना त्या सिस्टममध्ये प्रवेश मिळवू शकतात. तंत्र खालील पद्धती वापरून लागू केले जाऊ शकते: दुर्भावनापूर्ण मेलिंग, ब्राउझर शोषण असलेली वेबसाइट आणि अनुप्रयोग भेद्यतेचे दूरस्थ शोषण.

PT NAD काय करते?: मेल ट्रॅफिक पार्स करताना, PT NAD संलग्नकांमध्ये एक्झिक्युटेबल फाइल्सच्या उपस्थितीसाठी तपासते. ईमेलमधून ऑफिस दस्तऐवज स्वयंचलितपणे काढते ज्यात शोषण असू शकते. ट्रॅफिकमध्ये भेद्यतेचे शोषण करण्याचे प्रयत्न दिसून येतात, जे PT NAD आपोआप ओळखते.

5. T1170: mshta

mshta.exe युटिलिटी वापरा, जी .hta एक्स्टेंशनसह Microsoft HTML अॅप्लिकेशन्स (HTA) चालवते. mshta ब्राउझर सुरक्षा सेटिंग्ज बायपास करून फाइल्सवर प्रक्रिया करत असल्यामुळे, आक्रमणकर्ते दुर्भावनापूर्ण HTA, JavaScript किंवा VBScript फाइल्स चालवण्यासाठी mshta.exe वापरू शकतात.

PT NAD काय करते?: .mshta द्वारे अंमलबजावणीसाठी hta फाइल्स देखील नेटवर्कवर प्रसारित केल्या जातात - हे रहदारीमध्ये पाहिले जाऊ शकते. PT NAD अशा दुर्भावनापूर्ण फाइल्सचे हस्तांतरण आपोआप शोधते. हे फाइल्स कॅप्चर करते आणि त्यांच्याबद्दलची माहिती सत्र कार्डमध्ये पाहिली जाऊ शकते.

6. T1086: पॉवरशेल

माहिती शोधण्यासाठी आणि दुर्भावनापूर्ण कोड कार्यान्वित करण्यासाठी PowerShell वापरणे.

PT NAD काय करते?: जेव्हा PowerShell रिमोट आक्रमणकर्त्यांद्वारे वापरले जाते, तेव्हा PT NAD हे नियम वापरून शोधते. हे पॉवरशेल भाषेतील कीवर्ड शोधते जे बहुतेक वेळा दुर्भावनापूर्ण स्क्रिप्ट्समध्ये वापरले जातात आणि पॉवरशेल स्क्रिप्टचे SMB प्रोटोकॉलवर प्रसारित करतात.

7. T1053: नियोजित कार्य
विशिष्ट वेळी प्रोग्राम्स किंवा स्क्रिप्ट्स स्वयंचलितपणे चालवण्यासाठी Windows टास्क शेड्युलर आणि इतर उपयुक्तता वापरणे.

PT NAD काय करते?: हल्लेखोर अशी कार्ये तयार करतात, सहसा दूरस्थपणे, याचा अर्थ अशी सत्रे रहदारीमध्ये दृश्यमान असतात. PT NAD ATSVC आणि ITaskSchedulerService RPC इंटरफेस वापरून संशयास्पद कार्य निर्मिती आणि सुधारणा ऑपरेशन्स स्वयंचलितपणे शोधते.

8. T1064: स्क्रिप्टिंग

हल्लेखोरांच्या विविध क्रिया स्वयंचलित करण्यासाठी स्क्रिप्टची अंमलबजावणी.

PT NAD काय करते?: नेटवर्कवर स्क्रिप्ट्सचे प्रसारण ओळखते, म्हणजे ते लॉन्च होण्यापूर्वीच. हे कच्च्या रहदारीमध्ये स्क्रिप्ट सामग्री शोधते आणि लोकप्रिय स्क्रिप्टिंग भाषांशी संबंधित विस्तारांसह फाइल्सचे नेटवर्क ट्रान्समिशन शोधते.

9. T1035: सेवा अंमलबजावणी

सर्व्हिस कंट्रोल मॅनेजर (एससीएम) सारख्या Windows सेवांशी संवाद साधून एक्झिक्यूटेबल फाइल, कमांड लाइन इंटरफेस सूचना किंवा स्क्रिप्ट चालवा.

PT NAD काय करते?: SMB रहदारीची तपासणी करते आणि सेवा तयार करणे, बदलणे आणि सुरू करण्यासाठी नियमांसह SCM मध्ये प्रवेश शोधतो.

रिमोट कमांड एक्झिक्युशन युटिलिटी PSExec वापरून सर्व्हिस स्टार्टअप तंत्र लागू केले जाऊ शकते. PT NAD SMB प्रोटोकॉलचे विश्लेषण करते आणि PSExec चा वापर शोधते जेव्हा ते PSEXESVC.exe फाइल किंवा रिमोट मशीनवर कोड कार्यान्वित करण्यासाठी मानक PSEXECSVC सेवा नाव वापरते. वापरकर्त्याने निष्पादित आदेशांची सूची आणि होस्टकडून रिमोट कमांडच्या अंमलबजावणीची वैधता तपासणे आवश्यक आहे.

PT NAD मधील अटॅक कार्ड ATT&CK मॅट्रिक्सनुसार वापरल्या जाणार्‍या रणनीती आणि तंत्रांवरील डेटा प्रदर्शित करते जेणेकरून वापरकर्त्याला समजू शकेल की आक्रमणकर्ते कोणत्या टप्प्यावर आहेत, ते कोणत्या ध्येयांचा पाठपुरावा करत आहेत आणि कोणती नुकसानभरपाई उपाययोजना करायच्या आहेत.

PSExec युटिलिटी वापरण्याबाबतचा नियम ट्रिगर झाला आहे, जो रिमोट मशीनवर कमांड कार्यान्वित करण्याचा प्रयत्न दर्शवू शकतो.

10. T1072: तृतीय-पक्ष सॉफ्टवेअर

एक तंत्र ज्यामध्ये हल्लेखोर रिमोट अॅडमिनिस्ट्रेशन सॉफ्टवेअर किंवा कॉर्पोरेट सॉफ्टवेअर डिप्लॉयमेंट सिस्टममध्ये प्रवेश मिळवतात आणि दुर्भावनापूर्ण कोड चालवण्यासाठी त्याचा वापर करतात. अशा सॉफ्टवेअरची उदाहरणे: SCCM, VNC, TeamViewer, HBSS, Altiris.
तसे, हे तंत्र विशेषतः रिमोट कामाच्या मोठ्या संक्रमणाशी संबंधित आहे आणि परिणामी, संशयास्पद रिमोट ऍक्सेस चॅनेलद्वारे असंख्य असुरक्षित होम डिव्हाइसेसचे कनेक्शन.

PT NAD काय करते?: नेटवर्कवरील अशा सॉफ्टवेअरचे ऑपरेशन स्वयंचलितपणे शोधते. उदाहरणार्थ, नियम VNC प्रोटोकॉलद्वारे कनेक्शनद्वारे आणि EvilVNC ट्रोजनच्या क्रियाकलापांद्वारे ट्रिगर केले जातात, जे पीडिताच्या होस्टवर गुप्तपणे VNC सर्व्हर स्थापित करते आणि स्वयंचलितपणे लॉन्च करते. तसेच, PT NAD आपोआप टीम व्ह्यूअर प्रोटोकॉल शोधते, हे विश्लेषकाला, फिल्टर वापरून, अशी सर्व सत्रे शोधण्यात आणि त्यांची वैधता तपासण्यात मदत करते.

11. T1204: वापरकर्ता अंमलबजावणी

एक तंत्र ज्यामध्ये वापरकर्ता फाइल्स चालवतो ज्यामुळे कोडची अंमलबजावणी होऊ शकते. हे असू शकते, उदाहरणार्थ, जर त्याने एक्झिक्युटेबल फाइल उघडली किंवा मॅक्रोसह ऑफिस दस्तऐवज चालवला.

PT NAD काय करते?: अशा फाइल्स लाँच करण्यापूर्वी, ट्रान्सफर स्टेजवर पाहते. त्यांच्याबद्दलची माहिती ज्या सत्रांमध्ये प्रसारित केली गेली त्या सत्राच्या कार्डमध्ये अभ्यासली जाऊ शकते.

12. T1047:विंडोज मॅनेजमेंट इंस्ट्रुमेंटेशन

WMI टूलचा वापर, जे Windows सिस्टम घटकांना स्थानिक आणि दूरस्थ प्रवेश प्रदान करते. WMI वापरून, हल्लेखोर स्थानिक आणि रिमोट सिस्टमशी संवाद साधू शकतात आणि विविध कार्ये करू शकतात, जसे की टोपण हेतूंसाठी माहिती गोळा करणे आणि पार्श्वभागी फिरत असताना दूरस्थपणे प्रक्रिया सुरू करणे.

PT NAD काय करते?: WMI द्वारे रिमोट सिस्टमसह परस्परसंवाद ट्रॅफिकमध्ये दृश्यमान असल्याने, PT NAD WMI सत्रे स्थापित करण्यासाठी नेटवर्क विनंत्या स्वयंचलितपणे शोधते आणि WMI वापरणाऱ्या स्क्रिप्टसाठी रहदारी तपासते.

13. T1028: विंडोज रिमोट मॅनेजमेंट

Windows सेवा आणि प्रोटोकॉल वापरणे जे वापरकर्त्याला रिमोट सिस्टमशी संवाद साधण्याची परवानगी देते.

PT NAD काय करते?: विंडोज रिमोट मॅनेजमेंट वापरून स्थापित केलेले नेटवर्क कनेक्शन पाहते. अशी सत्रे नियमांद्वारे आपोआप ओळखली जातात.

14. T1220: XSL (एक्सटेंसिबल स्टाइलशीट भाषा) स्क्रिप्ट प्रक्रिया

XSL शैली मार्कअप भाषा XML फायलींमधील डेटाची प्रक्रिया आणि व्हिज्युअलायझेशन वर्णन करण्यासाठी वापरली जाते. जटिल ऑपरेशन्सना समर्थन देण्यासाठी, XSL मानक विविध भाषांमधील एम्बेडेड स्क्रिप्टसाठी समर्थन समाविष्ट करते. या भाषा अनियंत्रित कोडची अंमलबजावणी करण्यास परवानगी देतात, ज्यामुळे पांढर्‍या सूचीवर आधारित सुरक्षा धोरणांना बायपास केले जाते.

PT NAD काय करते?: नेटवर्कवर अशा फायलींचे हस्तांतरण शोधते, म्हणजे ते लॉन्च होण्यापूर्वीच. हे नेटवर्कवरून प्रसारित होत असलेल्या XSL फाइल्स आणि विसंगत XSL मार्कअप असलेल्या फाइल्स आपोआप ओळखते.

खालील सामग्रीमध्ये, आम्ही पीटी नेटवर्क अटॅक डिस्कव्हरी एनटीए सिस्टम MITER ATT&CK च्या अनुषंगाने इतर हल्लेखोर रणनीती आणि तंत्रे कशी शोधते ते पाहू. संपर्कात रहा!

लेखक:

• अँटोन कुटेपोव्ह, पीटी एक्सपर्ट सिक्युरिटी सेंटर, पॉझिटिव्ह टेक्नॉलॉजीजचे विशेषज्ञ
• नतालिया काझान्कोवा, पॉझिटिव्ह टेक्नॉलॉजीजमधील उत्पादन विक्रेते

स्त्रोत: www.habr.com