PT Network Attack Discovery को उदाहरण प्रयोग गरेर MITER ATT&CK द्वारा ट्राफिक विश्लेषण प्रणालीहरूले ह्याकर रणनीतिहरू कसरी पत्ता लगाउँछन्।

भेरिजनका अनुसार, अधिकांश (८७%) सूचना सुरक्षा घटनाहरू मिनेटमा हुन्छन्, जबकि ६८% कम्पनीहरूले तिनीहरूलाई पत्ता लगाउन महिनौं लिन्छन्। यो पुष्टि हुन्छ पोनेमोन इन्स्टिच्युट द्वारा अनुसन्धान, जस अनुसार धेरैजसो संस्थाहरूले घटना पत्ता लगाउन औसत २०६ दिन लिन्छन्। हाम्रो अनुसन्धानको आधारमा, ह्याकरहरूले पत्ता नलागेर वर्षौंसम्म कम्पनीको पूर्वाधार नियन्त्रण गर्न सक्छन्। उदाहरणका लागि, एउटा संस्थामा जहाँ हाम्रा विज्ञहरूले सूचना सुरक्षा घटनाको अनुसन्धान गरे, त्यहाँ पत्ता लाग्यो कि ह्याकरहरूले सम्पूर्ण संस्थाको पूर्वाधारमा पूर्ण नियन्त्रण राखेका थिए र नियमित रूपमा महत्त्वपूर्ण जानकारी चोरेका थिए। आठ वर्षसम्म.

मानौं तपाईंसँग पहिले नै एउटा SIEM चलिरहेको छ जसले लगहरू सङ्कलन गर्छ र घटनाहरूको विश्लेषण गर्छ, र तपाईंको अन्तिम बिन्दुहरूमा एन्टिभाइरस सफ्टवेयर स्थापना गरिएको छ। यद्यपि, SIEM मार्फत सबै कुरा पत्ता लगाउन सकिँदैन।, जसरी सम्पूर्ण नेटवर्कमा EDR प्रणालीहरू लागू गर्न असम्भव छ, जसको अर्थ "अन्धा" क्षेत्रहरूलाई बेवास्ता गर्न सकिँदैन। नेटवर्क ट्राफिक विश्लेषण (NTA) प्रणालीहरूले तिनीहरूसँग सामना गर्न मद्दत गर्छन्। यी समाधानहरूले नेटवर्कमा प्रवेशको प्रारम्भिक चरणहरूमा, साथै नेटवर्क भित्र पाइला राख्ने र आक्रमण विकास गर्ने प्रयासहरूको समयमा घुसपैठकर्ताहरूको गतिविधि पत्ता लगाउँछन्।

NTA दुई प्रकारका हुन्छन्: केहीले NetFlow सँग काम गर्छन्, अरूले कच्चा ट्राफिकको विश्लेषण गर्छन्। पछिल्लो प्रणालीहरूको फाइदा यो हो कि तिनीहरूले कच्चा ट्राफिक रेकर्डहरू भण्डारण गर्न सक्छन्। यसको लागि धन्यवाद, एक सूचना सुरक्षा विशेषज्ञले आक्रमणको सफलता जाँच गर्न, खतरालाई स्थानीयकरण गर्न, आक्रमण कसरी भयो र भविष्यमा यस्तै घटनालाई कसरी रोक्न सकिन्छ भनेर बुझ्न सक्छ।

हामी ज्ञान आधारमा वर्णन गरिएका सबै ज्ञात आक्रमण रणनीतिहरू प्रत्यक्ष वा अप्रत्यक्ष रूपमा पहिचान गर्न NTA कसरी प्रयोग गर्न सकिन्छ भनेर देखाउनेछौं। मिटर एटीटी एन्ड सीके। हामी १२ वटा रणनीतिहरूको बारेमा कुरा गर्नेछौं, ट्राफिकले पत्ता लगाउने प्रविधिहरूको विश्लेषण गर्नेछौं, र हाम्रो NTA प्रणाली प्रयोग गरेर तिनीहरूको पहिचान प्रदर्शन गर्नेछौं।

ATT&CK ज्ञान आधारको बारेमा

MITRE ATT&CK वास्तविक APT हरूको विश्लेषणमा आधारित MITRE Corporation द्वारा विकसित र मर्मत गरिएको सार्वजनिक रूपमा उपलब्ध ज्ञान आधार हो। यो आक्रमणकारीहरूले प्रयोग गर्ने रणनीति र प्रविधिहरूको संरचित सेट हो। यसले विश्वभरका सूचना सुरक्षा पेशेवरहरूलाई एउटै भाषा बोल्न अनुमति दिन्छ। आधार निरन्तर विस्तार हुँदैछ र नयाँ ज्ञानले पूरक हुँदैछ।

डाटाबेसले १२ रणनीतिहरू पहिचान गर्दछ, जुन साइबर आक्रमणका चरणहरूमा विभाजित छन्:

• प्रारम्भिक पहुँच;
• कार्यान्वयन;
• दृढता;
• विशेषाधिकार वृद्धि;
• रक्षा चोरी;
• प्रमाणपत्रहरू प्राप्त गर्ने (प्रमाणपत्र पहुँच);
• जासूसी (खोज);
• परिधि भित्रको आन्दोलन (पार्श्व आन्दोलन);
• तथ्याङ्क सङ्कलन;
• आदेश र नियन्त्रण;
• डेटा एक्सफिल्ट्रेसन;
• प्रभाव।

प्रत्येक रणनीतिको लागि, ATT&CK ज्ञान आधारले आक्रमणकारीहरूलाई आक्रमणको हालको चरणमा आफ्नो लक्ष्य प्राप्त गर्न मद्दत गर्ने प्रविधिहरू सूचीबद्ध गर्दछ। एउटै प्रविधि विभिन्न चरणहरूमा प्रयोग गर्न सकिने भएकोले, यो एक भन्दा बढी रणनीतिहरूसँग सम्बन्धित हुन सक्छ।

प्रत्येक प्रविधिको विवरणमा समावेश छ:

• पहिचानकर्ता;
• यसलाई प्रयोग गरिने रणनीतिहरूको सूची;
• APT समूहहरू द्वारा प्रयोगका उदाहरणहरू;
• यसको प्रयोगबाट हुने क्षति कम गर्ने उपायहरू;
• पत्ता लगाउने सिफारिसहरू।

सूचना सुरक्षा विशेषज्ञहरूले डाटाबेसबाट प्राप्त ज्ञानलाई हालको आक्रमण विधिहरूको बारेमा जानकारी संरचना गर्न र त्यसमा आधारित प्रभावकारी सुरक्षा प्रणाली निर्माण गर्न प्रयोग गर्न सक्छन्। वास्तविक APT समूहहरू कसरी सञ्चालन हुन्छन् भन्ने कुरा बुझ्नु पनि भित्र सक्रिय खतरा खोजीको लागि परिकल्पनाको स्रोत बन्न सक्छ। खतरा शिकार.

पीटी नेटवर्क आक्रमण डिस्कवरीको बारेमा

हामी प्रणाली प्रयोग गरेर ATT&CK म्याट्रिक्सबाट प्रविधिहरूको प्रयोग पहिचान गर्नेछौं। पीटी नेटवर्क आक्रमण खोज — परिधि र नेटवर्क भित्र आक्रमणहरू पत्ता लगाउन डिजाइन गरिएको सकारात्मक टेक्नोलोजीहरूद्वारा NTA प्रणाली। PT NAD ले MITRE ATT&CK म्याट्रिक्सका सबै १२ रणनीतिहरूलाई फरक-फरक मात्रामा समेट्छ। यो प्रारम्भिक पहुँच, पार्श्व चाल, र आदेश र नियन्त्रण प्रविधिहरू पत्ता लगाउन सबैभन्दा शक्तिशाली छ। यीमा, PT NAD ले प्रत्यक्ष वा अप्रत्यक्ष संकेतहरूद्वारा तिनीहरूको प्रयोग पत्ता लगाउँदै, ज्ञात प्रविधिहरूको आधा भन्दा बढीलाई समेट्छ।

यो प्रणालीले टोलीद्वारा सिर्जना गरिएका पत्ता लगाउने नियमहरू प्रयोग गरेर ATT&CK प्रविधिहरू प्रयोग गरेर आक्रमणहरू पत्ता लगाउँछ। पीटी विशेषज्ञ सुरक्षा केन्द्र (PT ESC), मेसिन लर्निङ, सम्झौताका सूचकहरू, गहिरो विश्लेषण र पूर्वव्यापी विश्लेषण। पूर्वव्यापी विश्लेषणसँग मिलेर वास्तविक-समय ट्राफिक विश्लेषणले तपाईंलाई चलिरहेको लुकेको दुर्भावनापूर्ण गतिविधि पहिचान गर्न र आक्रमणहरूको विकास भेक्टरहरू र कालक्रम ट्र्याक गर्न अनुमति दिन्छ।

यहाँ PT NAD देखि MITRE ATT&CK म्याट्रिक्सको पूर्ण म्यापिङ। तस्वीर ठूलो छ, त्यसैले हामी तपाईंलाई यसलाई छुट्टै विन्डोमा हेर्न सुझाव दिन्छौं।

प्रारम्भिक पहुँच

प्रारम्भिक पहुँच रणनीतिहरूमा कम्पनीको नेटवर्कमा प्रवेश गर्ने प्रविधिहरू समावेश छन्। यस चरणमा आक्रमणकारीहरूको लक्ष्य आक्रमण गरिएको प्रणालीमा दुर्भावनापूर्ण कोड पुर्‍याउनु र यसको थप कार्यान्वयनको सम्भावना सुनिश्चित गर्नु हो।

PT NAD सँगको ट्राफिक विश्लेषणले प्रारम्भिक पहुँच प्राप्त गर्ने सात तरिकाहरू प्रकट गर्दछ:

1. T1189: ड्राइभ-बाई सम्झौता

एउटा प्रविधि जसमा पीडितले वेबसाइट खोल्छ जुन आक्रमणकारीहरूले वेब ब्राउजरको शोषण गर्न प्रयोग गर्छन्, अनुप्रयोगमा पहुँच टोकनहरू प्राप्त गर्छन्।

PT NAD ले के गर्छ?: यदि वेब ट्राफिक इन्क्रिप्ट गरिएको छैन भने, PT NAD ले HTTP सर्भर प्रतिक्रियाहरूको सामग्रीको निरीक्षण गर्दछ। यी प्रतिक्रियाहरूमा आक्रमणकारीहरूलाई ब्राउजर भित्र मनमानी कोड कार्यान्वयन गर्न अनुमति दिने शोषणहरू हुन्छन्। PT NAD ले पत्ता लगाउने नियमहरू प्रयोग गरेर स्वचालित रूपमा त्यस्ता शोषणहरू पत्ता लगाउँछ।

थप रूपमा, PT NAD ले अघिल्लो चरणमा खतरा पत्ता लगाउँछ। यदि प्रयोगकर्ताले शोषणको बन्डल भएको साइटमा रिडिरेक्ट गर्ने साइटमा भ्रमण गर्यो भने सम्झौताका नियम र सूचकहरू ट्रिगर हुन्छन्।

2. T1190: सार्वजनिक-मुखी अनुप्रयोगको शोषण गर्नुहोस्

इन्टरनेटबाट पहुँचयोग्य सेवाहरूमा कमजोरीहरूको शोषण।

PT NAD ले के गर्छ?: नेटवर्क प्याकेटहरूको सामग्रीको गहिरो निरीक्षण गर्दछ, असामान्य गतिविधिका संकेतहरू पहिचान गर्दछ। विशेष गरी, त्यहाँ नियमहरू छन् जसले प्रमुख सामग्री व्यवस्थापन प्रणाली (CMS), नेटवर्क उपकरणहरूको वेब इन्टरफेस, मेल र FTP सर्भरहरूमा आक्रमणहरू पत्ता लगाउन अनुमति दिन्छ।

3. T1133: बाह्य रिमोट सेवाहरू

बाहिरबाट आन्तरिक नेटवर्क स्रोतहरूमा जडान गर्न आक्रमणकारीहरूद्वारा रिमोट पहुँच सेवाहरूको प्रयोग।

PT NAD ले के गर्छ?: प्रणालीले प्रोटोकलहरूलाई पोर्ट नम्बरहरूद्वारा नभई प्याकेट सामग्रीहरूद्वारा पहिचान गर्ने भएकोले, प्रणालीका प्रयोगकर्ताहरूले सबै रिमोट एक्सेस प्रोटोकल सत्रहरू फेला पार्न र तिनीहरूको वैधता जाँच गर्न ट्राफिक फिल्टर गर्न सक्छन्।

4. T1193: स्पियरफिसिङ संलग्नक

हामी कुख्यात फिसिङ एट्याचमेन्ट पठाउने बारेमा कुरा गर्दैछौं।

PT NAD ले के गर्छ?: स्वचालित रूपमा ट्राफिकबाट फाइलहरू निकाल्छ र सम्झौताको सूचकहरूको लागि तिनीहरूलाई जाँच गर्दछ। संलग्नकहरूमा कार्यान्वयन योग्य फाइलहरू मेल ट्राफिकको सामग्री विश्लेषण गर्ने नियमहरूद्वारा पत्ता लगाइन्छ। कर्पोरेट वातावरणमा, यस्तो संलग्नकलाई असामान्य मानिन्छ।

5. T1192: स्पियरफिसिङ लिङ्क

फिसिङ लिङ्कहरू प्रयोग गर्दै। यस प्रविधिमा आक्रमणकारीहरूले एउटा लिङ्क भएको फिसिङ इमेल पठाउने समावेश छ जुन क्लिक गर्दा, एक दुर्भावनापूर्ण प्रोग्राम डाउनलोड हुन्छ। नियमको रूपमा, लिङ्क सामाजिक इन्जिनियरिङका सबै नियमहरू अनुसार बनाइएको पाठको साथमा हुन्छ।

PT NAD ले के गर्छ?: सम्झौताका सूचकहरू प्रयोग गरेर फिसिङ लिङ्कहरू पत्ता लगाउँछ। उदाहरणका लागि, PT NAD इन्टरफेसमा हामी एउटा सत्र देख्छौं जसमा फिसिङ url हरूमा सूचीबद्ध लिङ्कमा HTTP जडान थियो।

सम्झौता सूचीको फिसिङ-urls सूचकबाट लिङ्कमा लिङ्क गर्नुहोस्

6. T1199: विश्वसनीय सम्बन्ध

पीडितले विश्वसनीय सम्बन्ध स्थापित गरेका तेस्रो पक्षहरू मार्फत पीडितको नेटवर्कमा पहुँच। आक्रमणकारीहरूले विश्वसनीय संस्थालाई ह्याक गर्न सक्छन् र यसको माध्यमबाट लक्षित नेटवर्कमा जडान गर्न सक्छन्। यो गर्न, तिनीहरूले VPN जडानहरू वा डोमेन विश्वास सम्बन्धहरू प्रयोग गर्छन्, जुन ट्राफिक विश्लेषण मार्फत पत्ता लगाउन सकिन्छ।

PT NAD ले के गर्छ?: एप्लिकेसन प्रोटोकलहरू पार्स गर्छ र पार्स गरिएका फिल्डहरूलाई डाटाबेसमा बचत गर्छ, जसले गर्दा सूचना सुरक्षा विश्लेषकले डाटाबेसमा सबै शंकास्पद VPN जडानहरू वा क्रस-डोमेन जडानहरू फेला पार्न फिल्टरहरू प्रयोग गर्न सक्छन्।

7. T1078: मान्य खाताहरू

बाह्य र आन्तरिक सेवाहरूमा लग इन गर्न मानक, स्थानीय वा डोमेन प्रमाणहरू प्रयोग गर्नुहोस्।

PT NAD ले के गर्छ?: HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos प्रोटोकलहरूबाट स्वचालित रूपमा प्रमाणपत्रहरू निकाल्छ। सामान्यतया, यी लगइन, पासवर्ड, र प्रमाणीकरण सफलता सूचक हुन्। यदि तिनीहरू प्रयोग गरिएको थियो भने, तिनीहरू सम्बन्धित सत्र कार्डमा प्रदर्शित हुन्छन्।

कार्यान्वयन

कार्यान्वयन रणनीतिमा आक्रमणकारीहरूले सम्झौता गरिएका प्रणालीहरूमा कोड कार्यान्वयन गर्न प्रयोग गर्ने प्रविधिहरू समावेश छन्। मालिसियस कोड चलाउँदा आक्रमणकारीहरूलाई उपस्थिति (दृढता रणनीति) स्थापित गर्न र परिधि भित्र सरेर नेटवर्कमा टाढाको प्रणालीहरूमा आफ्नो पहुँच विस्तार गर्न मद्दत गर्दछ।

PT NAD ले आक्रमणकारीहरूले दुर्भावनापूर्ण कोड कार्यान्वयन गर्न १४ प्रविधिहरूको प्रयोग पत्ता लगाउन सक्छ।

1. T1191: CMSTP (माइक्रोसफ्ट जडान प्रबन्धक प्रोफाइल स्थापनाकर्ता)

एउटा यस्तो रणनीति जसमा आक्रमणकारीहरूले बिल्ट-इन विन्डोज युटिलिटी CMSTP.exe (कनेक्सन म्यानेजर प्रोफाइल इन्स्टलर) को लागि विशेष मालिसियस स्थापना INF फाइल तयार गर्छन्। CMSTP.exe ले फाइललाई प्यारामिटरको रूपमा लिन्छ र रिमोट जडानको लागि सेवा प्रोफाइल स्थापना गर्दछ। फलस्वरूप, CMSTP.exe लाई रिमोट सर्भरहरूबाट डायनामिक-लिङ्क लाइब्रेरीहरू (*.dll) वा स्क्रिप्टलेटहरू (*.sct) डाउनलोड र कार्यान्वयन गर्न प्रयोग गर्न सकिन्छ।

PT NAD ले के गर्छ?: HTTP ट्राफिकमा विशेष प्रकारका INF फाइलहरूको स्थानान्तरण स्वचालित रूपमा पत्ता लगाउँछ। यसको अतिरिक्त, यसले HTTP मार्फत रिमोट सर्भरबाट दुर्भावनापूर्ण स्क्रिप्टलेटहरू र गतिशील रूपमा लिङ्क गरिएका पुस्तकालयहरूको स्थानान्तरण पत्ता लगाउँछ।

2. T1059: कमाण्ड-लाइन इन्टरफेस

कमाण्ड लाइन इन्टरफेससँग अन्तर्क्रिया गर्दै। तपाईं स्थानीय वा टाढाबाट कमाण्ड लाइन इन्टरफेससँग अन्तर्क्रिया गर्न सक्नुहुन्छ, उदाहरणका लागि रिमोट एक्सेस उपयोगिताहरू प्रयोग गरेर।

PT NAD ले के गर्छ?: पिङ, इफकन्फिग जस्ता विभिन्न कमाण्ड लाइन उपयोगिताहरू सुरु गर्न आदेशहरूको प्रतिक्रियाको आधारमा शेलहरूको उपस्थिति स्वचालित रूपमा पत्ता लगाउँछ।

3. T1175: कम्पोनेन्ट वस्तु मोडेल र वितरित COM

नेटवर्कमा सर्दा स्थानीय वा टाढाको प्रणालीहरूमा कोड कार्यान्वयन गर्न COM वा DCOM प्रविधिहरू प्रयोग गर्दै।

PT NAD ले के गर्छ?: आक्रमणकारीहरूले सामान्यतया कार्यक्रमहरू सुरु गर्न प्रयोग गर्ने शंकास्पद DCOM कलहरू पत्ता लगाउँछ।

4. T1203: ग्राहक कार्यान्वयनको लागि शोषण

कार्यस्थानमा मनमानी कोड कार्यान्वयन गर्न कमजोरीहरूको शोषण। आक्रमणकारीहरूका लागि सबैभन्दा उपयोगी शोषणहरू ती हुन् जसले रिमोट प्रणालीमा कोड कार्यान्वयन गर्न अनुमति दिन्छन्, किनकि तिनीहरूले आक्रमणकारीहरूलाई त्यो प्रणालीमा पहुँच प्राप्त गर्न अनुमति दिन्छन्। यो प्रविधि निम्न विधिहरू प्रयोग गरेर लागू गर्न सकिन्छ: दुर्भावनापूर्ण इमेल अभियानहरू, ब्राउजर शोषण भएको वेबसाइट, र अनुप्रयोग कमजोरीहरूको टाढाको शोषण।

PT NAD ले के गर्छ?: इमेल ट्राफिक पार्स गर्दा, PT NAD ले संलग्नकहरूमा कार्यान्वयनयोग्य फाइलहरूको लागि जाँच गर्छ। शोषणहरू समावेश हुन सक्ने इमेलहरूबाट कार्यालय कागजातहरू स्वचालित रूपमा निकाल्छ। ट्राफिकमा कमजोरीहरूको शोषण गर्ने प्रयासहरू देखिन्छन्, जुन PT NAD ले स्वचालित रूपमा पत्ता लगाउँछ।

5. T1170: मश्ता

mshta.exe उपयोगिता प्रयोग गर्दै, जसले .hta एक्सटेन्सनसँग Microsoft HTML अनुप्रयोगहरू (HTA) कार्यान्वयन गर्दछ। mshta ले ब्राउजर सुरक्षा सेटिङहरू बाइपास गरेर फाइलहरू प्रशोधन गर्ने भएकोले, आक्रमणकारीहरूले दुर्भावनापूर्ण HTA, JavaScript, वा VBScript फाइलहरू कार्यान्वयन गर्न mshta.exe प्रयोग गर्न सक्छन्।

PT NAD ले के गर्छ?: mshta मार्फत कार्यान्वयनको लागि .hta फाइलहरू नेटवर्क मार्फत पनि स्थानान्तरण गरिन्छ - यो ट्राफिकमा देख्न सकिन्छ। PT NAD ले त्यस्ता दुर्भावनापूर्ण फाइलहरूको स्थानान्तरण स्वचालित रूपमा पत्ता लगाउँछ। यसले फाइलहरू क्याप्चर गर्दछ, र तिनीहरूको बारेमा जानकारी सत्र कार्डमा हेर्न सकिन्छ।

6. T1086: पावरशेल

जानकारी खोज्न र मालिसियस कोड कार्यान्वयन गर्न PowerShell प्रयोग गर्दै।

PT NAD ले के गर्छ?: आक्रमणकारीहरूले टाढाबाट PowerShell प्रयोग गर्दा, PT NAD ले नियमहरू प्रयोग गरेर यसलाई पत्ता लगाउँछ। यसले PowerShell कीवर्डहरू पत्ता लगाउँछ जुन प्रायः दुर्भावनापूर्ण स्क्रिप्टहरूमा र SMB प्रोटोकल मार्फत PowerShell स्क्रिप्टहरूको स्थानान्तरणमा प्रयोग गरिन्छ।

7. T1053: निर्धारित कार्य
विन्डोज टास्क शेड्युलर र अन्य उपयोगिताहरू प्रयोग गरेर निश्चित समयमा प्रोग्रामहरू वा स्क्रिप्टहरू स्वचालित रूपमा चलाउनुहोस्।

PT NAD ले के गर्छ?: आक्रमणकारीहरूले त्यस्ता कार्यहरू सिर्जना गर्छन्, सामान्यतया टाढाबाट, जसको अर्थ त्यस्ता सत्रहरू ट्राफिकमा देखिन्छन्। PT NAD ले ATSVC र ITaskSchedulerService RPC इन्टरफेसहरू प्रयोग गरेर कार्यहरू सिर्जना र परिमार्जन गर्न शंकास्पद कार्यहरू स्वचालित रूपमा पत्ता लगाउँछ।

8. T1064: स्क्रिप्टिङ

आक्रमणकारीहरूको विभिन्न कार्यहरू स्वचालित गर्न स्क्रिप्टहरूको कार्यान्वयन।

PT NAD ले के गर्छ?: नेटवर्कमा स्क्रिप्ट प्रसारणको तथ्यहरू पत्ता लगाउँछ, अर्थात् तिनीहरू सुरु हुनुभन्दा पहिले नै। यसले कच्चा ट्राफिकमा स्क्रिप्ट सामग्री पत्ता लगाउँछ र लोकप्रिय स्क्रिप्टिङ भाषाहरूसँग सम्बन्धित एक्सटेन्सनहरू सहित नेटवर्कमा फाइलहरूको प्रसारण पत्ता लगाउँछ।

9. T1035: सेवा कार्यान्वयन

सेवा नियन्त्रण प्रबन्धक (SCM) जस्ता विन्डोज सेवाहरूसँग अन्तर्क्रिया गरेर कार्यान्वयनयोग्य फाइल, कमाण्ड-लाइन इन्टरफेस निर्देशनहरू, वा स्क्रिप्ट चलाउनुहोस्।

PT NAD ले के गर्छ?: SMB ट्राफिकको निरीक्षण गर्दछ र सेवा सिर्जना गर्ने, परिवर्तन गर्ने र सुरु गर्ने नियमहरू सहित SCM मा पहुँच पत्ता लगाउँछ।

सेवाहरू सुरु गर्ने प्रविधि PSExec रिमोट कमाण्ड कार्यान्वयन उपयोगिता प्रयोग गरेर कार्यान्वयन गर्न सकिन्छ। PT NAD ले SMB प्रोटोकलको विश्लेषण गर्छ र रिमोट मेसिनमा कोड कार्यान्वयन गर्न PSEXESVC.exe फाइल वा मानक सेवा नाम PSEXECSVC प्रयोग गर्दा PSExec को प्रयोग पत्ता लगाउँछ। प्रयोगकर्ताले निष्पादित आदेशहरूको सूची र नोडबाट रिमोट कमाण्ड कार्यान्वयनको वैधता जाँच गर्नुपर्छ।

PT NAD मा रहेको आक्रमण कार्डले ATT&CK म्याट्रिक्समा प्रयोग गरिएका रणनीति र प्रविधिहरूको डेटा प्रदर्शन गर्दछ ताकि प्रयोगकर्ताले आक्रमणकारीहरू आक्रमणको कुन चरणमा छन्, उनीहरूले कुन लक्ष्यहरू पछ्याइरहेका छन् र कस्ता प्रतिकारात्मक उपायहरू अपनाउने भनेर बुझ्न सकून्।

PSExec उपयोगिता प्रयोग गर्ने बारे एउटा नियम ट्रिगर गरिएको थियो, जसले टाढाको मेसिनमा आदेशहरू कार्यान्वयन गर्ने प्रयासलाई संकेत गर्न सक्छ।

10। T1072: तेस्रो-पक्ष सफ्टवेयर

एउटा यस्तो प्रविधि जसद्वारा आक्रमणकारीहरूले रिमोट एडमिनिस्ट्रेशन सफ्टवेयर वा कर्पोरेट सफ्टवेयर डिप्लोयमेन्ट प्रणालीमा पहुँच प्राप्त गर्छन् र यसलाई मालिसियस कोड सुरु गर्न प्रयोग गर्छन्। यस्ता सफ्टवेयरका उदाहरणहरू समावेश छन्: SCCM, VNC, TeamViewer, HBSS, Altiris।
खैर, यो प्रविधि विशेष गरी टाढाको काममा व्यापक संक्रमण र फलस्वरूप, शंकास्पद रिमोट पहुँच च्यानलहरू मार्फत असंख्य असुरक्षित घर उपकरणहरूको जडानको सम्बन्धमा सान्दर्भिक छ।

PT NAD ले के गर्छ?: नेटवर्कमा यस्तो सफ्टवेयरको सञ्चालन स्वचालित रूपमा पत्ता लगाउँछ। उदाहरणका लागि, नियमहरू VNC प्रोटोकल मार्फत जडानको तथ्यहरू र EvilVNC ट्रोजनको गतिविधिद्वारा ट्रिगर हुन्छन्, जसले गोप्य रूपमा पीडितको होस्टमा VNC सर्भर स्थापना गर्दछ र स्वचालित रूपमा यसलाई सुरु गर्दछ। PT NAD ले स्वचालित रूपमा TeamViewer प्रोटोकल पनि पत्ता लगाउँछ, जसले विश्लेषकलाई फिल्टर प्रयोग गरेर त्यस्ता सबै सत्रहरू फेला पार्न र तिनीहरूको वैधता जाँच गर्न मद्दत गर्दछ।

11। T1204: प्रयोगकर्ता कार्यान्वयन

एउटा प्रविधि जहाँ प्रयोगकर्ताले कोड कार्यान्वयन गराउन सक्ने फाइलहरू चलाउँछ। उदाहरणका लागि, यदि तिनीहरूले कार्यान्वयनयोग्य फाइल खोल्छन् वा म्याक्रोको साथ अफिस कागजात चलाउँछन् भने यो हुन सक्छ।

PT NAD ले के गर्छ?: यस्ता फाइलहरू सुरु हुनुभन्दा पहिले नै स्थानान्तरण चरणमा देख्छ। तिनीहरूको बारेमा जानकारी सत्र कार्डमा अध्ययन गर्न सकिन्छ जसमा तिनीहरू स्थानान्तरण गरिएको थियो।

12। T1047: विन्डोज व्यवस्थापन उपकरण

WMI उपकरण प्रयोग गरेर, जसले विन्डोज प्रणाली कम्पोनेन्टहरूमा स्थानीय र टाढाको पहुँच प्रदान गर्दछ। WMI प्रयोग गरेर, आक्रमणकारीहरूले स्थानीय र टाढाको प्रणालीहरूसँग अन्तर्क्रिया गर्न सक्छन् र विभिन्न कार्यहरू गर्न सक्छन्, जस्तै टोही उद्देश्यका लागि जानकारी सङ्कलन गर्ने र पार्श्व आन्दोलनको समयमा टाढाबाट प्रक्रियाहरू सुरु गर्ने।

PT NAD ले के गर्छ?: WMI मार्फत रिमोट प्रणालीहरूसँगको अन्तर्क्रिया ट्राफिकमा देखिने भएकोले, PT NAD ले WMI सत्रहरू स्थापना गर्न नेटवर्क अनुरोधहरू स्वचालित रूपमा पत्ता लगाउँछ र WMI प्रयोग गर्ने स्क्रिप्टहरू प्रसारण गर्ने तथ्यको लागि ट्राफिक जाँच गर्दछ।

13। T1028: विन्डोज रिमोट व्यवस्थापन

प्रयोगकर्तालाई टाढाको प्रणालीहरूसँग अन्तर्क्रिया गर्न अनुमति दिने विन्डोज सेवा र प्रोटोकलको प्रयोग।

PT NAD ले के गर्छ?: विन्डोज रिमोट व्यवस्थापन प्रयोग गरेर स्थापित नेटवर्क जडानहरू देख्छ। त्यस्ता सत्रहरू नियमहरूद्वारा स्वचालित रूपमा पत्ता लगाइन्छ।

14। T1220: XSL (एक्सटेन्सिबल स्टाइलसिट भाषा) स्क्रिप्ट प्रशोधन

XSL स्टाइलसिट मार्कअप भाषा XML फाइलहरूमा डेटाको प्रशोधन र दृश्यीकरण वर्णन गर्न प्रयोग गरिन्छ। जटिल कार्यहरूलाई समर्थन गर्न, XSL मानकले विभिन्न भाषाहरूमा एम्बेडेड स्क्रिप्टहरूको लागि समर्थन समावेश गर्दछ। यी भाषाहरूले मनमानी कोडलाई कार्यान्वयन गर्न अनुमति दिन्छ, जसले श्वेतसूचीहरूमा आधारित सुरक्षा नीतिहरूको बाइपासमा पुर्‍याउँछ।

PT NAD ले के गर्छ?: नेटवर्कमा त्यस्ता फाइलहरू स्थानान्तरण गर्ने तथ्य पत्ता लगाउँछ, अर्थात् तिनीहरू सुरु हुनुभन्दा पहिले नै। यसले नेटवर्कमा XSL फाइलहरू र असामान्य XSL मार्कअप भएका फाइलहरू स्थानान्तरण गर्ने तथ्य स्वचालित रूपमा पत्ता लगाउँछ।

भविष्यका पोस्टहरूमा, हामी MITRE ATT&CK अनुसार PT Network Attack Discovery NTA ले अन्य विरोधी रणनीति र प्रविधिहरू कसरी पत्ता लगाउँछ भनेर हेर्नेछौं। सम्पर्कमा रहनुहोस्!

लेखक:

• एन्टोन कुटेपोभ, विशेषज्ञ सुरक्षा केन्द्र (पीटी विशेषज्ञ सुरक्षा केन्द्र) का विशेषज्ञ सकारात्मक प्रविधिहरू
• नतालिया काजानकोभा, उत्पादन मार्केटर, सकारात्मक प्रविधिहरू

स्रोत: www.habr.com