PT Network Attack Discovery को उदाहरण प्रयोग गरेर MITER ATT&CK द्वारा ट्राफिक विश्लेषण प्रणालीहरूले ह्याकर रणनीतिहरू कसरी पत्ता लगाउँछन्।

Verizon के अनुसार, सूचना सुरक्षा घटनाहरूको बहुमत (87%) मिनेटको कुरामा हुन्छ, र 68% कम्पनीहरूको लागि तिनीहरूलाई पत्ता लगाउन महिनौं लाग्छ। यो द्वारा पुष्टि हुन्छ Ponemon संस्थान अनुसन्धान, जस अनुसार घटना पत्ता लगाउन धेरै संस्थाहरूलाई औसत २०६ दिन लाग्छ। हाम्रो अनुसन्धानको अनुभवको आधारमा, ह्याकरहरूले पत्ता नलाइकन वर्षौंसम्म कम्पनीको पूर्वाधार नियन्त्रण गर्न सक्छन्। यसरी, हाम्रा विज्ञहरूले सूचना सुरक्षा घटनाको अनुसन्धान गर्ने संस्थाहरू मध्ये एउटामा, ह्याकरहरूले संस्थाको सम्पूर्ण पूर्वाधारलाई पूर्ण रूपमा नियन्त्रण गरे र नियमित रूपमा महत्त्वपूर्ण जानकारीहरू चोरेको खुलासा भयो। आठ वर्षको लागि.

मानौं तपाईंसँग पहिले नै SIEM चलिरहेको छ जसले लगहरू सङ्कलन गर्दछ र घटनाहरूको विश्लेषण गर्दछ, र एन्टीभाइरस सफ्टवेयर अन्तिम नोडहरूमा स्थापना गरिएको छ। तैपनि, SIEM प्रयोग गरेर सबै कुरा पत्ता लगाउन सकिँदैन, जसरी सम्पूर्ण नेटवर्कमा EDR प्रणालीहरू लागू गर्न असम्भव छ, जसको अर्थ "अन्धो" स्पटहरू बेवास्ता गर्न सकिँदैन। नेटवर्क ट्राफिक विश्लेषण (NTA) प्रणालीहरूले तिनीहरूसँग सम्झौता गर्न मद्दत गर्दछ। यी समाधानहरूले नेटवर्क प्रवेशको प्रारम्भिक चरणहरूमा आक्रमणकारी गतिविधि पत्ता लगाउँछन्, साथसाथै नेटवर्क भित्र एक आक्रमणको विकास र खुट्टा प्राप्त गर्ने प्रयासहरूमा।

त्यहाँ दुई प्रकारका NTAs छन्: केही NetFlow सँग काम गर्छन्, अरूले कच्चा ट्राफिक विश्लेषण गर्छन्। दोस्रो प्रणालीको फाइदा भनेको तिनीहरूले कच्चा ट्राफिक रेकर्डहरू भण्डारण गर्न सक्छन्। यसका लागि धन्यबाद, सूचना सुरक्षा विशेषज्ञले आक्रमणको सफलता प्रमाणित गर्न, खतरालाई स्थानीयकरण गर्न, आक्रमण कसरी भयो र भविष्यमा त्यस्ता घटनाहरूलाई कसरी रोक्न सकिन्छ भनेर बुझ्न सक्छ।

हामी NTA प्रयोग गरेर तपाईंले ज्ञान आधारमा वर्णन गरिएका सबै ज्ञात आक्रमण रणनीतिहरू पहिचान गर्न प्रत्यक्ष वा अप्रत्यक्ष प्रमाणहरू कसरी प्रयोग गर्न सक्नुहुन्छ भनेर देखाउनेछौं। मिटर एटीटी एन्ड सीके। हामी 12 रणनीतिहरू मध्ये प्रत्येकको बारेमा कुरा गर्नेछौं, ट्राफिक द्वारा पत्ता लगाइएका प्रविधिहरूको विश्लेषण गर्नेछौं, र हाम्रो NTA प्रणाली प्रयोग गरेर तिनीहरूको पहिचान प्रदर्शन गर्नेछौं।

ATT&CK ज्ञान आधारको बारेमा

MITER ATT&CK एक सार्वजनिक ज्ञानको आधार हो जुन MITER निगमले वास्तविक-विश्व APTs को विश्लेषणको आधारमा विकसित र मर्मत गरेको हो। यो आक्रमणकारीहरूले प्रयोग गर्ने रणनीति र प्रविधिहरूको संरचित सेट हो। यसले विश्वभरका सूचना सुरक्षा पेशेवरहरूलाई एउटै भाषा बोल्न अनुमति दिन्छ। डाटाबेस लगातार विस्तार र नयाँ ज्ञान संग पूरक छ।

डाटाबेसले 12 रणनीतिहरू पहिचान गर्दछ, जुन साइबर आक्रमणका चरणहरूद्वारा विभाजित छन्:

• प्रारम्भिक पहुँच;
• कार्यान्वयन;
• समेकन (निरन्तरता);
• विशेषाधिकार वृद्धि;
• पत्ता लगाउने रोकथाम (रक्षा चोरी);
• प्रमाणहरू प्राप्त गर्दै (प्रत्यायक पहुँच);
• अन्वेषण;
• परिधि भित्र आन्दोलन (पार्श्व आन्दोलन);
• डाटा सङ्कलन (संकलन);
• आदेश र नियन्त्रण;
• डाटा exfiltration;
• प्रभाव।

प्रत्येक रणनीतिको लागि, ATT&CK ज्ञान आधारले आक्रमणको हालको चरणमा आक्रमणकारीहरूलाई उनीहरूको लक्ष्य हासिल गर्न मद्दत गर्ने प्रविधिहरूको सूची सूचीबद्ध गर्दछ। एउटै प्रविधि विभिन्न चरणहरूमा प्रयोग गर्न सकिन्छ, यसले धेरै रणनीतिहरूलाई सन्दर्भ गर्न सक्छ।

प्रत्येक प्रविधिको विवरण समावेश छ:

• पहिचानकर्ता;
• यो प्रयोग गरिएको रणनीतिहरूको सूची;
• APT समूहहरू द्वारा प्रयोगको उदाहरणहरू;
• यसको प्रयोगबाट क्षति कम गर्न उपायहरू;
• पत्ता लगाउन सिफारिसहरू।

सूचना सुरक्षा विशेषज्ञहरूले हालको आक्रमण विधिहरूको बारेमा जानकारी संरचना गर्न डाटाबेसबाट ज्ञान प्रयोग गर्न सक्छन् र यसलाई ध्यानमा राखेर, प्रभावकारी सुरक्षा प्रणाली निर्माण गर्न सक्छन्। वास्तविक एपीटी समूहहरू कसरी सञ्चालन हुन्छन् भन्ने कुरा बुझ्नु पनि भित्रका खतराहरूको लागि सक्रिय रूपमा खोजी गर्नका लागि परिकल्पनाहरूको स्रोत बन्न सक्छ। खतरा शिकार.

पीटी नेटवर्क आक्रमण खोज बारे

हामी प्रणाली प्रयोग गरेर ATT&CK म्याट्रिक्सबाट प्रविधिहरूको प्रयोग पहिचान गर्नेछौं पीटी नेटवर्क आक्रमण खोज - परिधि र नेटवर्क भित्र आक्रमणहरू पत्ता लगाउन डिजाइन गरिएको सकारात्मक टेक्नोलोजी NTA प्रणाली। PT NAD ले MITER ATT र CK म्याट्रिक्सका सबै १२ कार्यनीतिहरू फरक-फरक डिग्रीहरूमा कभर गर्दछ। उहाँ प्रारम्भिक पहुँच, पार्श्व आन्दोलन, र आदेश र नियन्त्रणको लागि प्रविधिहरू पहिचान गर्नमा सबैभन्दा शक्तिशाली हुनुहुन्छ। तिनीहरूमा, PT NAD ले आधा भन्दा बढी ज्ञात प्रविधिहरू समेट्छ, प्रत्यक्ष वा अप्रत्यक्ष संकेतहरूद्वारा तिनीहरूको प्रयोग पत्ता लगाउने।

प्रणालीले टोलीले बनाएको पत्ता लगाउने नियमहरू प्रयोग गरेर ATT&CK प्रविधिहरू प्रयोग गरेर आक्रमणहरू पत्ता लगाउँदछ PT विशेषज्ञ सुरक्षा केन्द्र (PT ESC), मेसिन लर्निङ, समझौताको संकेतक, गहिरो विश्लेषण र पूर्वव्यापी विश्लेषण। वास्तविक-समय ट्राफिक विश्लेषणले पूर्वव्यापीसँग संयुक्त रूपमा तपाईंलाई हालको लुकेका दुर्भावनापूर्ण गतिविधि पहिचान गर्न र विकास भेक्टरहरू र आक्रमणहरूको कालक्रम ट्र्याक गर्न अनुमति दिन्छ।

यहाँ PT NAD मा MITER ATT र CK म्याट्रिक्सको पूर्ण म्यापिङ। तस्बिर ठूलो छ, त्यसैले हामी तपाईंलाई यसलाई छुट्टै विन्डोमा हेर्न सुझाव दिन्छौं।

प्रारम्भिक पहुँच

प्रारम्भिक पहुँच रणनीतिहरूले कम्पनीको नेटवर्क घुसाउन प्रविधिहरू समावेश गर्दछ। यस चरणमा आक्रमणकारीहरूको लक्ष्य आक्रमण गरिएको प्रणालीमा मालिसियस कोड डेलिभर गर्नु र यसको थप कार्यान्वयनको सम्भावना सुनिश्चित गर्नु हो।

PT NAD बाट ट्राफिक विश्लेषणले प्रारम्भिक पहुँच प्राप्त गर्न सात प्रविधिहरू प्रकट गर्दछ:

1. T1189: ड्राइभ-द्वारा सम्झौता

एउटा प्रविधि जसमा पीडितले वेबसाइट खोल्छ जुन आक्रमणकारीहरूले वेब ब्राउजरको शोषण गर्न र अनुप्रयोग पहुँच टोकनहरू प्राप्त गर्न प्रयोग गरिन्छ।

PT NAD ले के गर्छ?: यदि वेब ट्राफिक इन्क्रिप्ट गरिएको छैन भने, PT NAD ले HTTP सर्भर प्रतिक्रियाहरूको सामग्रीको निरीक्षण गर्दछ। यी प्रतिक्रियाहरूले शोषणहरू समावेश गर्दछ जसले आक्रमणकर्ताहरूलाई ब्राउजर भित्र मनमानी कोड कार्यान्वयन गर्न अनुमति दिन्छ। PT NAD ले पत्ता लगाउने नियमहरू प्रयोग गरेर स्वचालित रूपमा त्यस्ता शोषणहरू पत्ता लगाउँदछ।

थप रूपमा, PT NAD ले अघिल्लो चरणमा खतरा पत्ता लगाउँदछ। यदि प्रयोगकर्ताले उसलाई शोषणको गुच्छा भएको साइटमा रिडिरेक्ट गरेको साइट भ्रमण गर्यो भने सम्झौताका नियम र सूचकहरू ट्रिगर हुन्छन्।

2. T1190: सार्वजनिक अनुहार आवेदन शोषण

इन्टरनेटबाट पहुँचयोग्य सेवाहरूमा कमजोरीहरूको शोषण।

PT NAD ले के गर्छ?: नेटवर्क प्याकेटहरूको सामग्रीहरूको गहिरो निरीक्षण गर्दछ, असामान्य गतिविधिको संकेतहरू पहिचान गर्दछ। विशेष गरी, त्यहाँ नियमहरू छन् जसले तपाईंलाई प्रमुख सामग्री व्यवस्थापन प्रणालीहरू (CMS), नेटवर्क उपकरणहरूको वेब इन्टरफेसहरू, र मेल र FTP सर्भरहरूमा आक्रमणहरू पत्ता लगाउन अनुमति दिन्छ।

3. T1133: बाह्य रिमोट सेवाहरू

आक्रमणकारीहरूले बाहिरबाट आन्तरिक नेटवर्क स्रोतहरूमा जडान गर्न रिमोट पहुँच सेवाहरू प्रयोग गर्छन्।

PT NAD ले के गर्छ?: प्रणालीले पोर्ट नम्बरहरूद्वारा होइन, तर प्याकेटहरूको सामग्रीद्वारा प्रोटोकलहरू पहिचान गर्ने भएकोले, प्रणाली प्रयोगकर्ताहरूले टाढाको पहुँच प्रोटोकलहरूको सबै सत्रहरू फेला पार्न र तिनीहरूको वैधता जाँच गर्न ट्राफिक फिल्टर गर्न सक्छन्।

4. T1193: स्पियरफिशिङ एट्याचमेन्ट

हामी फिसिङ संलग्नकहरूको कुख्यात पठाउने बारेमा कुरा गर्दैछौं।

PT NAD ले के गर्छ?: स्वचालित रूपमा ट्राफिकबाट फाइलहरू निकाल्छ र तिनीहरूलाई सम्झौताको संकेतकहरू विरुद्ध जाँच गर्दछ। एट्याचमेन्टहरूमा कार्यान्वयनयोग्य फाइलहरू मेल ट्राफिकको सामग्रीको विश्लेषण गर्ने नियमहरूद्वारा पत्ता लगाइन्छ। कर्पोरेट वातावरणमा, यस्तो लगानी असामान्य मानिन्छ।

5. T1192: स्पियरफिसिङ लिङ्क

फिसिङ लिङ्कहरू प्रयोग गर्दै। यो प्रविधिले आक्रमणकारीहरूले फिसिङ इमेल पठाउने लिङ्कको साथ समावेश गर्दछ जुन क्लिक गर्दा, खराब प्रोग्राम डाउनलोड गर्दछ। एक नियमको रूपमा, लिङ्क सामाजिक ईन्जिनियरिङ् को सबै नियमहरु अनुसार संकलित पाठ संग छ।

PT NAD ले के गर्छ?: सम्झौताको संकेतकहरू प्रयोग गरेर फिसिङ लिङ्कहरू पत्ता लगाउँदछ। उदाहरणका लागि, PT NAD इन्टरफेसमा हामी फिसिङ ठेगानाहरू (फिशिङ-urls) को सूचीमा समावेश गरिएको लिङ्क मार्फत HTTP जडान भएको सत्र देख्छौं।

कम्प्रोमाइज फिसिङ-urls को सूचकहरूको सूचीबाट लिङ्क मार्फत जडान

6. T1199: विश्वसनीय सम्बन्ध

तेस्रो पक्षहरू मार्फत पीडितको नेटवर्कमा पहुँच जससँग पीडितले विश्वसनीय सम्बन्ध स्थापित गरेको छ। आक्रमणकारीहरूले एक विश्वसनीय संस्था ह्याक गर्न र यसको माध्यमबाट लक्षित नेटवर्कमा जडान गर्न सक्छन्। यो गर्नका लागि, तिनीहरू VPN जडानहरू वा डोमेन ट्रस्टहरू प्रयोग गर्छन्, जुन ट्राफिक विश्लेषण मार्फत पहिचान गर्न सकिन्छ।

PT NAD ले के गर्छ?: एप्लिकेसन प्रोटोकलहरू पार्स गर्दछ र डाटाबेसमा पार्स गरिएका क्षेत्रहरू बचत गर्दछ, ताकि जानकारी सुरक्षा विश्लेषकले डाटाबेसमा सबै संदिग्ध VPN जडानहरू वा क्रस-डोमेन जडानहरू फेला पार्न फिल्टरहरू प्रयोग गर्न सक्छ।

7. T1078: मान्य खाताहरू

बाह्य र आन्तरिक सेवाहरूमा प्राधिकरणको लागि मानक, स्थानीय वा डोमेन प्रमाणहरू प्रयोग गर्दै।

PT NAD ले के गर्छ?: HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE/RPC, SOCKS5, LDAP, Kerberos प्रोटोकलहरूबाट स्वचालित रूपमा प्रमाणहरू पुन: प्राप्त गर्दछ। सामान्यतया, यो लगइन, पासवर्ड र सफल प्रमाणीकरणको संकेत हो। यदि तिनीहरू प्रयोग गरिएको छ भने, तिनीहरू सम्बन्धित सत्र कार्डमा प्रदर्शित हुन्छन्।

कार्यान्वयन

कार्यान्वयन रणनीतिहरूमा आक्रमणकारीहरूले सम्झौता प्रणालीहरूमा कोड कार्यान्वयन गर्न प्रयोग गर्ने प्रविधिहरू समावेश गर्दछ। मालिसियस कोड चलाउनुले आक्रमणकारीहरूलाई उपस्थिति (निरन्तरता युक्ति) स्थापना गर्न र परिधि भित्र सरेर नेटवर्कमा रिमोट प्रणालीहरूमा पहुँच विस्तार गर्न मद्दत गर्दछ।

PT NAD ले तपाईंलाई दुर्भावनापूर्ण कोड कार्यान्वयन गर्न आक्रमणकारीहरूले प्रयोग गर्ने 14 प्रविधिहरूको प्रयोग पत्ता लगाउन अनुमति दिन्छ।

1. T1191: CMSTP (Microsoft Connection Manager Profile Installer)

एउटा रणनीति जसमा आक्रमणकारीहरूले निर्मित विन्डोज उपयोगिता CMSTP.exe (कनेक्सन प्रबन्धक प्रोफाइल स्थापनाकर्ता) को लागि विशेष दुर्भावनापूर्ण स्थापना INF फाइल तयार गर्दछ। CMSTP.exe ले फाइललाई प्यारामिटरको रूपमा लिन्छ र रिमोट जडानको लागि सेवा प्रोफाइल स्थापना गर्दछ। नतिजाको रूपमा, CMSTP.exe लाई रिमोट सर्भरबाट डायनामिक लिङ्क लाइब्रेरीहरू (*.dll) वा स्क्रिप्टलेटहरू (*.sct) लोड गर्न र कार्यान्वयन गर्न प्रयोग गर्न सकिन्छ।

PT NAD ले के गर्छ?: HTTP ट्राफिकमा विशेष प्रकारका INF फाइलहरूको स्थानान्तरण स्वचालित रूपमा पत्ता लगाउँदछ। यसका अतिरिक्त, यसले दुर्भावनापूर्ण स्क्रिप्टलेटहरू र रिमोट सर्भरबाट डायनामिक लिङ्क लाइब्रेरीहरूको HTTP प्रसारण पत्ता लगाउँदछ।

2. T1059: कमांड लाइन इन्टरफेस

आदेश रेखा इन्टरफेस संग अन्तरक्रिया। कमाण्ड लाइन इन्टरफेस स्थानीय वा टाढाबाट अन्तरक्रिया गर्न सकिन्छ, उदाहरणका लागि रिमोट पहुँच उपयोगिताहरू प्रयोग गरेर।

PT NAD ले के गर्छ?: विभिन्न कमाण्ड लाइन उपयोगिताहरू, जस्तै ping, ifconfig सुरु गर्न आदेशहरूको प्रतिक्रियाहरूमा आधारित शेलहरूको उपस्थिति स्वचालित रूपमा पत्ता लगाउँदछ।

3. T1175: घटक वस्तु मोडेल र वितरित COM

COM वा DCOM प्रविधिहरूको प्रयोग स्थानीय वा रिमोट प्रणालीहरूमा कोड कार्यान्वयन गर्नको लागि नेटवर्कमा जाँदा।

PT NAD ले के गर्छ?: संदिग्ध DCOM कलहरू पत्ता लगाउँदछ जुन आक्रमणकारीहरूले सामान्यतया कार्यक्रमहरू सुरु गर्न प्रयोग गर्छन्।

4. T1203: ग्राहक कार्यान्वयनको लागि शोषण

वर्कस्टेशनमा मनमानी कोड कार्यान्वयन गर्न कमजोरीहरूको शोषण। आक्रमणकारीहरूको लागि सबैभन्दा उपयोगी शोषणहरू ती हुन् जसले कोडलाई रिमोट प्रणालीमा कार्यान्वयन गर्न अनुमति दिन्छ, किनकि तिनीहरूले आक्रमणकारीहरूलाई त्यो प्रणालीमा पहुँच प्राप्त गर्न अनुमति दिन सक्छन्। यो प्रविधि निम्न विधिहरू प्रयोग गरेर लागू गर्न सकिन्छ: मालिसियस मेलिङ, ब्राउजर शोषण भएको वेबसाइट, र अनुप्रयोग कमजोरीहरूको रिमोट शोषण।

PT NAD ले के गर्छ?: मेल ट्राफिक पार्स गर्दा, PT NAD ले यसलाई संलग्नकहरूमा कार्यान्वयनयोग्य फाइलहरूको उपस्थितिको लागि जाँच गर्दछ। इमेलहरूबाट कार्यालय कागजातहरू स्वतः निकाल्छ जसमा शोषणहरू हुन सक्छन्। कमजोरीहरूको शोषण गर्ने प्रयासहरू ट्राफिकमा देखिन्छन्, जुन PT NAD ले स्वचालित रूपमा पत्ता लगाउँदछ।

5. T1170: mshta

mshta.exe उपयोगिता प्रयोग गर्नुहोस्, जसले .hta एक्सटेन्सनको साथ Microsoft HTML अनुप्रयोगहरू (HTA) चलाउँछ। किनभने mshta ले ब्राउजर सुरक्षा सेटिङहरू बाइपास गरेर फाइलहरू प्रशोधन गर्दछ, आक्रमणकारीहरूले दुर्भावनापूर्ण HTA, JavaScript, वा VBScript फाइलहरू कार्यान्वयन गर्न mshta.exe प्रयोग गर्न सक्छन्।

PT NAD ले के गर्छ?: mshta मार्फत कार्यान्वयनका लागि hta फाइलहरू पनि नेटवर्कमा प्रसारित हुन्छन् - यो ट्राफिकमा देख्न सकिन्छ। PT NAD ले स्वचालित रूपमा त्यस्ता दुर्भावनापूर्ण फाइलहरूको स्थानान्तरण पत्ता लगाउँदछ। यसले फाइलहरू क्याप्चर गर्छ, र तिनीहरूको बारेमा जानकारी सत्र कार्डमा हेर्न सकिन्छ।

6. T1086: PowerShell

जानकारी फेला पार्न र मालिसियस कोड कार्यान्वयन गर्न PowerShell प्रयोग गर्दै।

PT NAD ले के गर्छ?: जब PowerShell रिमोट आक्रमणकारीहरू द्वारा प्रयोग गरिन्छ, PT NAD ले यो नियमहरू प्रयोग गरेर पत्ता लगाउँदछ। यसले PowerShell भाषा कुञ्जी शब्दहरू पत्ता लगाउँदछ जुन प्रायः दुर्भावनापूर्ण स्क्रिप्टहरूमा प्रयोग गरिन्छ र SMB प्रोटोकलमा PowerShell लिपिहरूको प्रसारण।

7. T1053: निर्धारित कार्य
विन्डोज टास्क शेड्युलर र अन्य उपयोगिताहरू प्रयोग गरी स्वचालित रूपमा प्रोग्रामहरू वा स्क्रिप्टहरू विशेष समयमा चलाउन।

PT NAD ले के गर्छ?: आक्रमणकारीहरूले त्यस्ता कार्यहरू सिर्जना गर्छन्, सामान्यतया टाढैबाट, जसको मतलब त्यस्ता सत्रहरू ट्राफिकमा देखिन्छन्। PT NAD ले स्वचालित रूपमा ATSVC र ITaskSchedulerService RPC इन्टरफेसहरू प्रयोग गरेर शंकास्पद कार्य सिर्जना र परिमार्जन कार्यहरू पत्ता लगाउँदछ।

8. T1064: स्क्रिप्टिङ

आक्रमणकारीहरूको विभिन्न कार्यहरू स्वचालित गर्न स्क्रिप्टहरूको कार्यान्वयन।

PT NAD ले के गर्छ?: नेटवर्कमा स्क्रिप्टहरूको प्रसारण पत्ता लगाउँदछ, अर्थात्, तिनीहरू सुरु हुनु अघि नै। यसले कच्चा ट्राफिकमा स्क्रिप्ट सामग्री पत्ता लगाउँदछ र लोकप्रिय स्क्रिप्टिङ भाषाहरूसँग सम्बन्धित विस्तारहरूसँग फाइलहरूको नेटवर्क प्रसारण पत्ता लगाउँदछ।

9. T1035: सेवा कार्यान्वयन

सेवा नियन्त्रण प्रबन्धक (SCM) जस्ता विन्डोज सेवाहरूसँग अन्तरक्रिया गरेर कार्यान्वयनयोग्य फाइल, कमाण्ड लाइन इन्टरफेस निर्देशनहरू, वा स्क्रिप्ट चलाउनुहोस्।

PT NAD ले के गर्छ?: SMB ट्राफिकको निरीक्षण गर्दछ र सेवा सिर्जना गर्न, परिवर्तन गर्न र सुरु गर्नका लागि नियमहरूको साथ SCM मा पहुँच पत्ता लगाउँदछ।

सेवा स्टार्टअप प्रविधि रिमोट आदेश कार्यान्वयन उपयोगिता PSExec प्रयोग गरेर लागू गर्न सकिन्छ। PT NAD ले SMB प्रोटोकलको विश्लेषण गर्दछ र PSExec को प्रयोग पत्ता लगाउँदछ जब यसले PSEXESVC.exe फाइल वा रिमोट मेसिनमा कोड कार्यान्वयन गर्न मानक PSEXECSVC सेवा नाम प्रयोग गर्दछ। प्रयोगकर्ताले निष्पादित आदेशहरूको सूची र होस्टबाट रिमोट आदेश कार्यान्वयनको वैधता जाँच गर्न आवश्यक छ।

PT NAD मा आक्रमण कार्डले ATT&CK म्याट्रिक्स अनुसार प्रयोग गरिएका रणनीति र प्रविधिहरूमा डेटा प्रदर्शन गर्दछ ताकि प्रयोगकर्ताले आक्रमणकारीहरू कुन चरणमा छन्, तिनीहरूले कुन लक्ष्यहरू पछ्याउँदैछन्, र के क्षतिपूर्ति गर्ने उपायहरू लिने भनेर बुझ्न सक्छन्।

PSExec उपयोगिता प्रयोग गर्ने बारे नियम ट्रिगर गरिएको छ, जसले रिमोट मेसिनमा आदेशहरू कार्यान्वयन गर्ने प्रयासलाई संकेत गर्न सक्छ।

10। T1072: तेस्रो-पक्ष सफ्टवेयर

एउटा प्रविधि जसमा आक्रमणकारीहरूले रिमोट एडमिनिस्ट्रेशन सफ्टवेयर वा कर्पोरेट सफ्टवेयर डिप्लोइमेन्ट प्रणालीमा पहुँच पाउँछन् र यसलाई दुर्भावनापूर्ण कोड चलाउन प्रयोग गर्छन्। त्यस्ता सफ्टवेयरका उदाहरणहरू: SCCM, VNC, TeamViewer, HBSS, Altiris।
वैसे, यो प्रविधि विशेष गरी टाढाको काममा ठूलो संक्रमणको सम्बन्धमा सान्दर्भिक छ र परिणामस्वरूप, संदिग्ध रिमोट पहुँच च्यानलहरू मार्फत असंख्य असुरक्षित घर उपकरणहरूको जडान।

PT NAD ले के गर्छ?: स्वचालित रूपमा नेटवर्कमा त्यस्तो सफ्टवेयरको सञ्चालन पत्ता लगाउँदछ। उदाहरणका लागि, नियमहरू VNC प्रोटोकल र EvilVNC ट्रोजनको गतिविधि मार्फत जडानहरूद्वारा ट्रिगर गरिन्छ, जसले गोप्य रूपमा पीडितको होस्टमा VNC सर्भर स्थापना गर्दछ र यसलाई स्वचालित रूपमा लन्च गर्दछ। साथै, PT NAD ले स्वचालित रूपमा TeamViewer प्रोटोकल पत्ता लगाउँदछ, यसले विश्लेषकलाई फिल्टर प्रयोग गरेर, त्यस्ता सबै सत्रहरू फेला पार्न र तिनीहरूको वैधता जाँच गर्न मद्दत गर्दछ।

11। T1204: प्रयोगकर्ता कार्यान्वयन

एउटा प्रविधि जसमा प्रयोगकर्ताले फाइलहरू चलाउँछ जसले कोड कार्यान्वयन गर्न सक्छ। यो हुन सक्छ, उदाहरणका लागि, यदि उसले कार्यान्वयनयोग्य फाइल खोल्छ वा म्याक्रोको साथ अफिस कागजात चलाउँछ।

PT NAD ले के गर्छ?: त्यस्ता फाइलहरू लन्च हुनु अघि, स्थानान्तरण चरणमा देख्छ। तिनीहरूको बारेमा जानकारी तिनीहरू पठाइएको सत्रहरूको कार्डमा अध्ययन गर्न सकिन्छ।

12। T1047: विन्डोज व्यवस्थापन उपकरण

WMI उपकरणको प्रयोग, जसले Windows प्रणाली कम्पोनेन्टहरूमा स्थानीय र रिमोट पहुँच प्रदान गर्दछ। WMI प्रयोग गरेर, आक्रमणकारीहरूले स्थानीय र रिमोट प्रणालीहरूसँग अन्तरक्रिया गर्न सक्छन् र विभिन्न कार्यहरू गर्न सक्छन्, जस्तै टोही उद्देश्यका लागि जानकारी सङ्कलन गर्ने र पार्श्व रूपमा सर्दै गर्दा टाढाबाट प्रक्रियाहरू सुरु गर्ने।

PT NAD ले के गर्छ?: WMI मार्फत रिमोट प्रणालीहरूसँग अन्तरक्रियाहरू ट्राफिकमा देखिने भएकोले, PT NAD ले WMI सत्रहरू स्थापना गर्न नेटवर्क अनुरोधहरू स्वचालित रूपमा पत्ता लगाउँदछ र WMI प्रयोग गर्ने लिपिहरूको लागि ट्राफिक जाँच गर्दछ।

13। T1028: विन्डोज रिमोट व्यवस्थापन

विन्डोज सेवा र प्रोटोकल प्रयोग गर्दै जसले प्रयोगकर्तालाई रिमोट प्रणालीहरूसँग अन्तर्क्रिया गर्न अनुमति दिन्छ।

PT NAD ले के गर्छ?: विन्डोज रिमोट व्यवस्थापन प्रयोग गरेर स्थापित नेटवर्क जडानहरू हेर्नुहोस्। त्यस्ता सत्रहरू नियमहरूद्वारा स्वचालित रूपमा पत्ता लगाइन्छ।

14। T1220: XSL (एक्सटेन्सिबल स्टाइलसिट भाषा) स्क्रिप्ट प्रशोधन

XSL शैली मार्कअप भाषा XML फाइलहरूमा डाटाको प्रशोधन र दृश्य वर्णन गर्न प्रयोग गरिन्छ। जटिल कार्यहरूलाई समर्थन गर्न, XSL मानकले विभिन्न भाषाहरूमा इम्बेडेड लिपिहरूको लागि समर्थन समावेश गर्दछ। यी भाषाहरूले स्वेच्छाचारी कोडको कार्यान्वयनलाई अनुमति दिन्छ, जसले सेतो सूचीमा आधारित सुरक्षा नीतिहरूलाई बाइपास गर्छ।

PT NAD ले के गर्छ?: नेटवर्कमा त्यस्ता फाइलहरूको स्थानान्तरण पत्ता लगाउँदछ, अर्थात्, तिनीहरू सुरू हुनु अघि नै। यसले स्वचालित रूपमा XSL फाईलहरू नेटवर्कमा प्रसारित भइरहेका र विषम XSL मार्कअप भएका फाइलहरू पत्ता लगाउँदछ।

निम्न सामग्रीहरूमा, हामी कसरी PT Network Attack Discovery NTA प्रणालीले MITER ATT&CK अनुसार अन्य आक्रमणकारी रणनीतिहरू र प्रविधिहरू फेला पार्छ भनेर हेर्नेछौं। सम्पर्कमा रहनुहोस्!

लेखक:

• एन्टोन कुटेपोभ, पीटी विशेषज्ञ सुरक्षा केन्द्र, सकारात्मक टेक्नोलोजीमा विशेषज्ञ
• नतालिया काजान्कोवा, सकारात्मक टेक्नोलोजीमा उत्पादन मार्केटर

स्रोत: www.habr.com