अव्यक्त रूपमा आकर्षक: हामीले कसरी एक हनीपोट सिर्जना गर्यौं जुन पर्दाफास गर्न सकिँदैन

एन्टिभाइरस कम्पनीहरू, सूचना सुरक्षा विशेषज्ञहरू र केवल उत्साहीहरूले भाइरसको नयाँ संस्करण "सम्झन" वा असामान्य ह्याकर रणनीतिहरू पहिचान गर्न इन्टरनेटमा हनीपोट प्रणालीहरू राख्छन्। हनीपोटहरू यति सामान्य छन् कि साइबर अपराधीहरूले एक प्रकारको प्रतिरोधात्मक क्षमता विकास गरेका छन्: तिनीहरूले चाँडै पहिचान गर्छन् कि तिनीहरू जालको अगाडि छन् र यसलाई बेवास्ता गर्छन्। आधुनिक ह्याकरहरूको कार्यनीति अन्वेषण गर्न, हामीले एक वास्तविक हनीपोट सिर्जना गर्यौं जुन इन्टरनेटमा सात महिनासम्म रह्यो, विभिन्न प्रकारका आक्रमणहरू आकर्षित गर्दै। हामीले हाम्रो अध्ययनमा यो कसरी भयो भनेर कुरा गर्यौं "कार्यमा समातियो: वास्तविक धम्कीहरू कब्जा गर्न एक यथार्थवादी कारखाना हनीपोट चलाउँदै" अध्ययनका केही तथ्यहरू यस पोस्टमा छन्।

हनीपोट विकास: चेकलिस्ट

हाम्रो सुपरट्र्याप सिर्जना गर्नुको मुख्य कार्य भनेको यसमा चासो देखाउने ह्याकरहरूले हामीलाई पर्दाफास हुनबाट रोक्नु थियो। यो धेरै काम आवश्यक छ:

1. कर्मचारीहरूको पूरा नाम र फोटोहरू, फोन नम्बरहरू र इमेलहरू सहित कम्पनीको बारेमा यथार्थपरक कथा सिर्जना गर्नुहोस्।
2. हाम्रो कम्पनीका गतिविधिहरूको बारेमा पौराणिक कथासँग मेल खाने औद्योगिक पूर्वाधारको मोडेलको साथ आउन र कार्यान्वयन गर्न।
3. कुन सञ्जाल सेवाहरू बाहिरबाट पहुँचयोग्य हुनेछन् भन्ने निर्णय गर्नुहोस्, तर कमजोर बन्दरगाहहरू खोल्नबाट टाढा नजानुहोस् ताकि यो चुस्नेहरूका लागि पासो जस्तो नहोस्।
4. कमजोर प्रणालीको बारेमा जानकारी चुहावटको दृश्यतालाई व्यवस्थित गर्नुहोस् र सम्भावित आक्रमणकारीहरू बीच यो जानकारी वितरण गर्नुहोस्।
5. हनीपोट पूर्वाधारमा ह्याकर गतिविधिहरूको विवेकपूर्ण निगरानी लागू गर्नुहोस्।

र अब पहिलो चीजहरू पहिले।

एक पौराणिक कथा सिर्जना गर्दै

साइबर अपराधीहरू पहिले नै धेरै हनीपोटहरू सामना गर्न प्रयोग भइसकेका छन्, त्यसैले तिनीहरूमध्ये सबैभन्दा उन्नत भागले यो जाल होइन भनेर सुनिश्चित गर्न प्रत्येक कमजोर प्रणालीको गहिरो अनुसन्धान गर्दछ। सोही कारणका लागि, हामीले हनीपोट डिजाइन र प्राविधिक पक्षका हिसाबले यथार्थपरक मात्र नभएर वास्तविक कम्पनीको रूप पनि सिर्जना गर्न खोज्यौं।

आफूलाई काल्पनिक कूल ह्याकरको जुत्तामा राखेर, हामीले एउटा प्रमाणीकरण एल्गोरिदम विकास गर्यौं जसले वास्तविक प्रणालीलाई जालबाट छुट्याउन सक्छ। यसले प्रतिष्ठा प्रणालीहरूमा कम्पनीको आईपी ठेगानाहरू खोज्ने, आईपी ठेगानाहरूको इतिहासमा रिभर्स रिसर्च, कम्पनीसँग सम्बन्धित नामहरू र किवर्डहरूको खोजी, साथै यसका समकक्षहरू, र अन्य धेरै कुराहरू समावेश गर्दछ। नतिजाको रूपमा, किंवदंती धेरै विश्वस्त र आकर्षक हुन पुग्यो।

हामीले सैन्य र उड्डयन खण्डमा धेरै ठूला बेनामी ग्राहकहरूको लागि काम गर्ने सानो औद्योगिक प्रोटोटाइपिङ बुटीकको रूपमा डिकोय कारखानालाई स्थान दिने निर्णय गर्यौं। यसले हामीलाई अवस्थित ब्रान्ड प्रयोग गर्न सम्बन्धित कानूनी जटिलताहरूबाट मुक्त गर्‍यो।

त्यसपछि हामीले संगठनको लागि भिजन, मिशन र नाम लिएर आउनुपर्‍यो। हामीले निर्णय गर्यौं कि हाम्रो कम्पनी थोरै संख्यामा कर्मचारीहरू सहितको स्टार्टअप हुनेछ, जसमध्ये प्रत्येक संस्थापक हुनुहुन्छ। यसले हाम्रो व्यवसायको विशेष प्रकृतिको कथामा विश्वसनीयता थप्यो, जसले यसलाई ठूला र महत्त्वपूर्ण ग्राहकहरूका लागि संवेदनशील परियोजनाहरू ह्यान्डल गर्न अनुमति दिन्छ। हामीले हाम्रो कम्पनीलाई साइबरसुरक्षा परिप्रेक्ष्यबाट कमजोर देखाउन चाहन्थ्यौं, तर एकै समयमा यो स्पष्ट थियो कि हामीले लक्ष्य प्रणालीहरूमा महत्त्वपूर्ण सम्पत्तिहरूसँग काम गरिरहेका छौं।

MeTech honeypot वेबसाइटको स्क्रिनसट। स्रोत: ट्रेन्ड माइक्रो

हामीले कम्पनीको नामको रूपमा MeTech शब्द रोज्यौं। साइट नि: शुल्क टेम्प्लेटमा आधारित बनाइएको थियो। तस्बिरहरू फोटो बैंकहरूबाट लिइएका थिए, सबैभन्दा अलोकप्रियहरू प्रयोग गरेर र तिनीहरूलाई कम चिन्न सकिने बनाउन परिमार्जन गर्दै।

हामी कम्पनी वास्तविक देखिन चाहन्थ्यौं, त्यसैले हामीले गतिविधिको प्रोफाइलसँग मेल खाने व्यावसायिक सीप भएका कर्मचारीहरू थप्न आवश्यक छ। हामीले तिनीहरूका लागि नाम र व्यक्तित्वहरू लिएर आएका थियौं र त्यसपछि जातीय आधारमा फोटो बैंकहरूबाट छविहरू चयन गर्ने प्रयास गर्‍यौं।

MeTech honeypot वेबसाइटको स्क्रिनसट। स्रोत: ट्रेन्ड माइक्रो

पत्ता लगाउनबाट बच्न, हामीले राम्रो गुणस्तरको समूह तस्बिरहरू खोज्यौं जसबाट हामीले आवश्यक अनुहारहरू छनोट गर्न सक्छौं। यद्यपि, हामीले यो विकल्प त्याग्यौं, किनकि सम्भावित ह्याकरले रिभर्स छवि खोज प्रयोग गर्न सक्छ र पत्ता लगाउन सक्छ कि हाम्रा "कर्मचारीहरू" फोटो बैंकहरूमा मात्र बस्छन्। अन्तमा, हामीले न्यूरल नेटवर्कहरू प्रयोग गरेर सिर्जना गरिएका अस्तित्वहीन व्यक्तिहरूको फोटोहरू प्रयोग गर्यौं।

साइटमा पोस्ट गरिएका कर्मचारी प्रोफाइलहरूले उनीहरूको प्राविधिक सीपहरूको बारेमा महत्त्वपूर्ण जानकारी समावेश गर्यौं, तर हामीले विशेष विद्यालय वा शहरहरू पहिचान गर्न बेवास्ता गर्यौं।
मेलबक्सहरू सिर्जना गर्न, हामीले होस्टिङ प्रदायकको सर्भर प्रयोग गर्‍यौं, र त्यसपछि संयुक्त राज्यमा धेरै टेलिफोन नम्बरहरू भाडामा लिएर तिनीहरूलाई भ्वाइस मेनु र जवाफ दिने मेसिनको साथ भर्चुअल PBX मा जोड्यौं।

हनीपोट पूर्वाधार

एक्सपोजरबाट बच्नको लागि, हामीले वास्तविक औद्योगिक हार्डवेयर, भौतिक कम्प्युटरहरू र सुरक्षित भर्चुअल मेसिनहरूको संयोजन प्रयोग गर्ने निर्णय गर्यौं। अगाडि हेर्दै, हामी भन्नेछौं कि हामीले शोदान खोज इन्जिन प्रयोग गरेर हाम्रो प्रयासको नतिजा जाँच गर्यौं, र यसले हनीपोट वास्तविक औद्योगिक प्रणाली जस्तो देखिन्छ।

Shodan प्रयोग गरेर एक honeypot स्क्यान को परिणाम। स्रोत: ट्रेन्ड माइक्रो

हामीले हाम्रो पासोको लागि हार्डवेयरको रूपमा चार PLC प्रयोग गर्यौं:

• Siemens S7-1200,
• दुई एलेनब्राडली माइक्रोलोगिक्स ११००,
• Omron CP1L।

यी PLC हरू विश्वव्यापी नियन्त्रण प्रणाली बजारमा तिनीहरूको लोकप्रियताको लागि चयन गरिएको थियो। र यी नियन्त्रकहरू मध्ये प्रत्येकले आफ्नै प्रोटोकल प्रयोग गर्दछ, जसले हामीलाई कुन PLC लाई धेरै पटक आक्रमण गर्ने र तिनीहरूले सिद्धान्तमा कसैलाई चासो दिन्छन् कि भनेर जाँच गर्न अनुमति दिन्छ।

हाम्रो "कारखाना" को उपकरण - जाल। स्रोत: ट्रेन्ड माइक्रो

हामीले हार्डवेयर इन्स्टल गरेर इन्टरनेटमा जडान मात्र गरेका छैनौं। हामीले प्रत्येक नियन्त्रकलाई कार्यहरू गर्नका लागि प्रोग्राम गर्यौं, सहित

• मिश्रण,
• बर्नर र कन्वेयर बेल्ट नियन्त्रण,
• रोबोटिक हेरफेर प्रयोग गरेर प्यालेटाइजिंग।

र उत्पादन प्रक्रियालाई यथार्थपरक बनाउनको लागि, हामीले प्रतिक्रिया मापदण्डहरू अनियमित रूपमा परिवर्तन गर्न, मोटरहरू सुरु हुने र बन्द गर्ने, र बर्नरहरू अन र अफ गर्ने सिमुलेट गर्ने तर्कलाई प्रोग्राम गर्यौं।

हाम्रो कारखानामा तीन भर्चुअल कम्प्युटर र एउटा भौतिक कम्प्युटर थियो। भर्चुअल कम्प्युटरहरू प्लान्ट, प्यालेटाइजर रोबोट, र PLC सफ्टवेयर इन्जिनियरको लागि कार्यस्थानको रूपमा नियन्त्रण गर्न प्रयोग गरियो। भौतिक कम्प्युटरले फाइल सर्भरको रूपमा काम गर्यो।

PLC मा आक्रमणहरू निगरानी गर्नुको अतिरिक्त, हामी हाम्रा यन्त्रहरूमा लोड गरिएका कार्यक्रमहरूको स्थिति निगरानी गर्न चाहन्थ्यौं। यो गर्नको लागि, हामीले एउटा इन्टरफेस सिर्जना गर्यौं जसले हामीलाई हाम्रो भर्चुअल एक्चुएटरहरू र सेटिङहरूको अवस्थाहरू कसरी परिमार्जन गरियो भनेर द्रुत रूपमा निर्धारण गर्न अनुमति दियो। पहिले नै योजनाको चरणमा, हामीले पत्ता लगायौं कि नियन्त्रक तर्कको प्रत्यक्ष प्रोग्रामिंग मार्फत भन्दा नियन्त्रण कार्यक्रम प्रयोग गरेर यसलाई लागू गर्न धेरै सजिलो छ। हामीले पासवर्ड बिना VNC मार्फत हाम्रो हनीपोटको उपकरण व्यवस्थापन इन्टरफेसमा पहुँच खोल्यौं।

औद्योगिक रोबोट आधुनिक स्मार्ट निर्माण को एक प्रमुख घटक हो। यस सम्बन्धमा, हामीले हाम्रो जाल कारखानाको उपकरणमा नियन्त्रण गर्न रोबोट र स्वचालित कार्यस्थल थप्ने निर्णय गर्यौं। "फ्याक्ट्री" लाई अझ यथार्थवादी बनाउन हामीले कन्ट्रोल वर्कस्टेशनमा वास्तविक सफ्टवेयर स्थापना गर्यौं, जसलाई इन्जिनियरहरूले रोबोटको तर्कलाई ग्राफिक रूपमा प्रोग्राम गर्न प्रयोग गर्छन्। ठीक छ, किनकि औद्योगिक रोबोटहरू प्राय: पृथक आन्तरिक नेटवर्कमा अवस्थित हुन्छन्, हामीले VNC मार्फत मात्र नियन्त्रण कार्यस्थानमा असुरक्षित पहुँच छोड्ने निर्णय गर्यौं।

हाम्रो रोबोटको 3D मोडेलको साथ रोबोटस्टुडियो वातावरण। स्रोत: ट्रेन्ड माइक्रो

हामीले रोबोट कन्ट्रोल वर्कस्टेशन भएको भर्चुअल मेसिनमा ABB रोबोटिक्सबाट रोबोटस्टुडियो प्रोग्रामिङ वातावरण स्थापना गर्यौं। RobotStudio कन्फिगर गरिसकेपछि, हामीले हाम्रो रोबोटसँग एउटा सिमुलेशन फाइल खोल्यौं ताकि यसको 3D छवि स्क्रिनमा देखिन सकियोस्। नतिजाको रूपमा, Shodan र अन्य खोज इन्जिनहरूले, असुरक्षित VNC सर्भर पत्ता लगाएपछि, यो स्क्रिन छवि समात्नेछ र नियन्त्रणमा खुला पहुँच भएको औद्योगिक रोबोटहरू खोजिरहेकाहरूलाई देखाउनेछ।

विवरणमा यो ध्यानको बिन्दु आक्रमणकारीहरूको लागि एक आकर्षक र यथार्थपरक लक्ष्य सिर्जना गर्नु थियो, जसले एक पटक फेला पारेपछि फेरि फेरि फर्कनेछन्।

इन्जिनियरको कार्यस्थल

PLC तर्क कार्यक्रम गर्न, हामीले पूर्वाधारमा इन्जिनियरिङ कम्प्युटर थप्यौं। PLC प्रोग्रामिङको लागि औद्योगिक सफ्टवेयर यसमा स्थापना गरिएको थियो:

• Siemens को लागि TIA पोर्टल,
• एलेन-ब्राडली नियन्त्रकका लागि माइक्रोलगिक्स,
• Omron को लागि CX-One।

हामीले निर्णय गर्यौं कि ईन्जिनियरिङ् कार्यक्षेत्र नेटवर्क बाहिर पहुँचयोग्य हुनेछैन। यसको सट्टा, हामीले प्रशासक खाताको लागि रोबोट नियन्त्रण कार्यस्थान र फ्याक्ट्री नियन्त्रण कार्यस्थलमा इन्टरनेटबाट पहुँच गर्न सक्ने समान पासवर्ड सेट गर्छौं। यो कन्फिगरेसन धेरै कम्पनीहरूमा धेरै सामान्य छ।
दुर्भाग्यवश, हाम्रा सबै प्रयासहरूको बावजुद, एउटै आक्रमणकारी इन्जिनियरको कार्यस्थलमा पुग्न सकेनन्।

फाइल सर्भर

हामीलाई यो आक्रमणकारीहरूको लागि चाराको रूपमा र डिकोय कारखानामा हाम्रो आफ्नै "काम" लाई ब्याकअप गर्ने माध्यमको रूपमा आवश्यक थियो। यसले हामीलाई हनीपोट नेटवर्कमा कुनै ट्रेस नछोडी USB यन्त्रहरू प्रयोग गरेर हाम्रो हनीपोटसँग फाइलहरू साझेदारी गर्न अनुमति दियो। हामीले Windows 7 Pro लाई फाइल सर्भरको लागि OS को रूपमा स्थापना गर्यौं, जसमा हामीले साझा फोल्डर सिर्जना गर्यौं जुन कसैले पढ्न र लेख्न सक्छ।

सुरुमा हामीले फाइल सर्भरमा फोल्डर र कागजातहरूको कुनै पदानुक्रम सिर्जना गरेका छैनौं। यद्यपि, हामीले पछि पत्ता लगायौं कि आक्रमणकारीहरूले यो फोल्डर सक्रिय रूपमा अध्ययन गरिरहेका थिए, त्यसैले हामीले यसलाई विभिन्न फाइलहरूले भर्ने निर्णय गर्यौं। यो गर्नको लागि, हामीले एउटा पाइथन स्क्रिप्ट लेख्यौं जसले दिइएको एक्सटेन्सनहरू मध्ये एउटाको साथ अनियमित आकारको फाइल सिर्जना गर्‍यो, शब्दकोषमा आधारित नाम बनाउँछ।

आकर्षक फाइल नामहरू सिर्जना गर्न लिपि। स्रोत: ट्रेन्ड माइक्रो

स्क्रिप्ट चलाउन पछि, हामीले धेरै रोचक नामहरूसँग फाइलहरूले भरिएको फोल्डरको रूपमा इच्छित परिणाम पायौं।

स्क्रिप्टको नतिजा। स्रोत: ट्रेन्ड माइक्रो

अनुगमन वातावरण

एक यथार्थपरक कम्पनी सिर्जना गर्न धेरै प्रयासहरू खर्च गरिसकेपछि, हामीले हाम्रो "आगन्तुकहरू" को निगरानीको लागि वातावरणमा असफल हुन सक्दैनौं। हामीले वास्तविक समयमा सबै डाटा प्राप्त गर्न आवश्यक छ आक्रमणकारीहरूले उनीहरू हेरिरहेका थिए भन्ने महसुस नगरी।

हामीले यसलाई चार USB देखि इथरनेट एडेप्टरहरू, चार शार्कट्याप इथरनेट ट्यापहरू, रास्पबेरी Pi 3, र ठूलो बाह्य ड्राइभ प्रयोग गरेर कार्यान्वयन गर्यौं। हाम्रो नेटवर्क रेखाचित्र यस्तो देखिन्थ्यो:

निगरानी उपकरणको साथ हनीपोट नेटवर्क रेखाचित्र। स्रोत: ट्रेन्ड माइक्रो

हामीले तीनवटा SharkTap ट्यापहरू राख्यौं ताकि PLC मा सबै बाह्य ट्राफिकहरू निगरानी गर्न सकिन्छ, आन्तरिक नेटवर्कबाट मात्र पहुँचयोग्य। चौथो शार्कट्यापले कमजोर भर्चुअल मेसिनका अतिथिहरूको ट्राफिकलाई निगरानी गर्यो।

SharkTap इथरनेट ट्याप र Sierra Wireless AirLink RV50 राउटर। स्रोत: ट्रेन्ड माइक्रो

Raspberry Pi ले दैनिक ट्राफिक क्याप्चर प्रदर्शन गर्‍यो। हामीले एक Sierra Wireless AirLink RV50 सेलुलर राउटर प्रयोग गरेर इन्टरनेटमा जडान गर्यौं, प्रायः औद्योगिक उद्यमहरूमा प्रयोग गरिन्छ।

दुर्भाग्यवश, यस राउटरले हामीलाई हाम्रो योजनाहरूसँग मेल नखाने आक्रमणहरूलाई चयन रूपमा ब्लक गर्न अनुमति दिँदैन, त्यसैले हामीले नेटवर्कमा न्यूनतम प्रभावका साथ ब्लक गर्ने कार्य गर्न पारदर्शी मोडमा नेटवर्कमा Cisco ASA 5505 फायरवाल थप्यौं।

ट्राफिक विश्लेषण

Tshark र tcpdump वर्तमान समस्याहरू द्रुत रूपमा समाधान गर्नका लागि उपयुक्त छन्, तर हाम्रो मामलामा तिनीहरूको क्षमताहरू पर्याप्त थिएनन्, किनकि हामीसँग धेरै गीगाबाइट ट्राफिकहरू थिए, जुन धेरै व्यक्तिहरूले विश्लेषण गरेका थिए। हामीले AOL द्वारा विकसित खुला स्रोत मोलोच विश्लेषक प्रयोग गर्यौं। यो Wireshark सँग कार्यक्षमतामा तुलनात्मक छ, तर सहयोग, वर्णन र प्याकेजहरू ट्यागिङ, निर्यात र अन्य कार्यहरूको लागि थप क्षमताहरू छन्।

हामीले हनीपोट कम्प्युटरहरूमा सङ्कलन गरिएका डाटाहरू प्रशोधन गर्न नचाहने भएकाले, PCAP डम्पहरू हरेक दिन AWS भण्डारणमा निर्यात गरिन्थ्यो, जहाँबाट हामीले तिनीहरूलाई मोलोच मेसिनमा आयात गरिसकेका छौं।

स्क्रिन रेकर्डि।

हाम्रो हनीपोटमा ह्याकरहरूको कार्यहरू कागजात गर्न, हामीले एउटा स्क्रिप्ट लेख्यौं जसले भर्चुअल मेसिनको स्क्रिनसट दिईएको अन्तरालमा लिएको थियो र, अघिल्लो स्क्रिनसटसँग तुलना गर्दै, त्यहाँ केहि भइरहेको छ वा छैन भनेर निर्धारण गर्यौं। जब गतिविधि पत्ता लगाइयो, स्क्रिप्टले स्क्रिन रेकर्डिङ समावेश गर्यो। यो दृष्टिकोण सबैभन्दा प्रभावकारी साबित भयो। हामीले प्रणालीमा के परिवर्तनहरू भएका थिए भनेर बुझ्न PCAP डम्पबाट VNC ट्राफिक विश्लेषण गर्ने प्रयास पनि गर्‍यौं, तर अन्तमा हामीले लागू गरेको स्क्रिन रेकर्डिङ सरल र अधिक भिजुअल हुन पुग्यो।

VNC सत्रहरू निगरानी गर्दै

यसको लागि हामीले Chaosreader र VNCLogger प्रयोग गर्यौं। दुबै उपयोगिताहरूले PCAP डम्पबाट कीस्ट्रोकहरू निकाल्छन्, तर VNCLogger ले ब्याकस्पेस, इन्टर, Ctrl जस्ता कुञ्जीहरूलाई अझ सही रूपमा ह्यान्डल गर्छ।

VNCLogger का दुई बेफाइदाहरू छन्। पहिलो: यसले इन्टरफेसमा ट्राफिकलाई "सुनेर" मात्र कुञ्जीहरू निकाल्न सक्छ, त्यसैले हामीले tcpreplay प्रयोग गरेर यसको लागि VNC सत्र सिमुलेट गर्नुपर्‍यो। VNCLogger को दोस्रो हानि Chaosreader को साथ सामान्य छ: तिनीहरू दुवै क्लिपबोर्डको सामग्री देखाउँदैनन्। यो गर्नको लागि मैले Wireshark प्रयोग गर्नुपर्‍यो।

हामी ह्याकरहरूलाई लोभ्याउँछौं

हामीले आक्रमण गर्न हनीपोट बनायौं। यो प्राप्त गर्न, हामीले सम्भावित आक्रमणकारीहरूको ध्यान आकर्षित गर्न एक सूचना चुहावट मञ्चन गर्यौं। हनीपोटमा निम्न पोर्टहरू खोलिएका थिए:

हाम्रो नेटवर्कमा ठूलो मात्रामा स्क्यानिङ ट्राफिकले कार्यसम्पादन समस्याहरू निम्त्याइरहेको हुनाले हामी लाइभ भएको केही समयपछि RDP पोर्ट बन्द गर्नुपर्‍यो।
VNC टर्मिनलहरूले पहिले पासवर्ड बिना हेर्ने मात्र मोडमा काम गर्यो, र त्यसपछि हामीले "गल्तीले" तिनीहरूलाई पूर्ण पहुँच मोडमा बदल्यौं।

आक्रमणकारीहरूलाई आकर्षित गर्न, हामीले PasteBin मा उपलब्ध औद्योगिक प्रणालीको बारेमा लीक जानकारी सहित दुई पोष्टहरू पोस्ट गर्यौं।

आक्रमणहरू आकर्षित गर्न PasteBin मा पोस्ट गरिएको पोस्टहरू मध्ये एक। स्रोत: ट्रेन्ड माइक्रो

आक्रमणहरू

हनीपोट लगभग सात महिना अनलाइन बस्यो। पहिलो आक्रमण हनीपोट अनलाइन भएको एक महिना पछि भयो।

स्क्यानर

त्यहाँ प्रख्यात कम्पनीहरूको स्क्यानरहरूबाट धेरै ट्राफिक थियो - ip-ip, Rapid, Shadow Server, Shodan, ZoomEye र अन्य। तिनीहरूमध्ये यति धेरै थिए कि हामीले तिनीहरूको IP ठेगानाहरू विश्लेषणबाट बहिष्कार गर्नुपर्‍यो: 610 मध्ये 9452 वा सबै अद्वितीय IP ठेगानाहरूको 6,45% पूर्ण रूपमा वैध स्क्यानरहरूसँग सम्बन्धित थिए।

Scammers

हामीले सामना गरेका सबैभन्दा ठूला जोखिमहरू मध्ये एउटा भनेको आपराधिक उद्देश्यका लागि हाम्रो प्रणालीको प्रयोग हो: ग्राहकको खाता मार्फत स्मार्टफोनहरू किन्न, उपहार कार्डहरू प्रयोग गरेर एयरलाइन माइलहरू नगद र अन्य प्रकारको ठगी।

खानीहरू

हाम्रो प्रणालीमा पहिलो आगन्तुकहरू मध्ये एक खानीमा परिणत भयो। उसले यसमा मोनेरो माइनिङ सफ्टवेयर डाउनलोड गर्यो। कम उत्पादकत्वका कारण उसले हाम्रो विशेष प्रणालीमा धेरै पैसा कमाउन सक्षम हुने थिएन। यद्यपि, यदि हामीले धेरै दर्जन वा सयौं त्यस्ता प्रणालीहरूको प्रयासलाई संयोजन गर्छौं भने, यो धेरै राम्रो हुन सक्छ।

Ransomware

हनीपोटको कामको क्रममा, हामीले वास्तविक ransomware भाइरसहरू दुई पटक सामना गर्यौं। पहिलो अवस्थामा यो Crysis थियो। यसका अपरेटरहरूले VNC मार्फत प्रणालीमा लग इन गरे, तर त्यसपछि TeamViewer स्थापना गरे र थप कार्यहरू गर्न प्रयोग गरे। BTC मा $ 10 को फिरौती माग्न एक जबरजस्ती सन्देश को लागी पर्खिए पछि, हामीले अपराधीहरु संग पत्राचार मा प्रवेश गर्यौं, उनीहरुलाई हाम्रो लागि फाइलहरु मध्ये एक डिक्रिप्ट गर्न भनियो। तिनीहरूले अनुरोधको पालना गरे र फिरौती मागे। हामीले 6 हजार डलर सम्म वार्ता गर्न व्यवस्थित गर्यौं, जस पछि हामीले प्रणालीलाई भर्चुअल मेसिनमा पुन: अपलोड गर्यौं, किनकि हामीले सबै आवश्यक जानकारी प्राप्त गर्यौं।

दोस्रो ransomware फोबोस हो। यसलाई स्थापना गर्ने ह्याकरले हनीपोट फाइल प्रणाली ब्राउज गर्न र नेटवर्क स्क्यान गर्न एक घण्टा बिताए, र अन्तमा ransomware स्थापना गर्यो।
तेस्रो ransomware आक्रमण नक्कली बाहिर भयो। एक अज्ञात "ह्याकर" ले हाम्रो प्रणालीमा haha.bat फाइल डाउनलोड गर्यो, त्यसपछि हामीले केही बेर हेर्‍यौं जब उसले काम गर्न खोज्यो। एउटा प्रयास haha.bat लाई haha.rnsmwr मा नामकरण गर्ने थियो।

"ह्याकर" ले ब्याट फाइलको एक्सटेन्सनलाई .rnsmwr मा परिवर्तन गरेर यसको हानिकारकता बढाउँछ। स्रोत: ट्रेन्ड माइक्रो

जब ब्याच फाइल अन्ततः चल्न थाल्यो, "ह्याकर" ले यसलाई सम्पादन गर्यो, फिरौती $ 200 बाट $ 750 मा बढ्यो। त्यस पछि, उसले सबै फाइलहरू "इन्क्रिप्ट" गर्यो, डेस्कटपमा जबरजस्ती सन्देश छोड्यो र हाम्रो VNC मा पासवर्डहरू परिवर्तन गर्दै गायब भयो।

केही दिन पछि, ह्याकर फर्कियो र, आफैलाई सम्झाउन, एक ब्याच फाइल सुरु गर्यो जसले पोर्न साइटको साथ धेरै विन्डोहरू खोल्यो। यसरी उनले आफ्नो मागप्रति ध्यानाकर्षण गराउन खोजेका हुन् ।

परिणामहरू

अध्ययनको क्रममा, यो पत्ता लाग्यो कि जोखिमको बारेमा जानकारी प्रकाशित हुने बित्तिकै, हनीपोटले ध्यान आकर्षित गर्‍यो, गतिविधि दिन प्रतिदिन बढ्दै गयो। ध्यान आकर्षित गर्न जालको लागि, हाम्रो काल्पनिक कम्पनीले धेरै सुरक्षा उल्लङ्घनहरू भोग्नुपरेको थियो। दुर्भाग्यवश, पूर्ण-समय आईटी र सूचना सुरक्षा कर्मचारीहरू नभएका धेरै वास्तविक कम्पनीहरूमा यो अवस्था असामान्य छैन।

सामान्यतया, संगठनहरूले कम से कम विशेषाधिकारको सिद्धान्त प्रयोग गर्नुपर्छ, जबकि हामीले आक्रमणकारीहरूलाई आकर्षित गर्न यसको ठीक उल्टो लागू गर्यौं। र जति लामो समयसम्म हामीले आक्रमणहरू हेर्यौं, तिनीहरू मानक प्रवेश परीक्षण विधिहरूको तुलनामा अधिक परिष्कृत भए।

र सबैभन्दा महत्त्वपूर्ण कुरा, नेटवर्क सेटअप गर्दा पर्याप्त सुरक्षा उपायहरू लागू गरिएको भए यी सबै आक्रमणहरू असफल हुने थिए। सङ्गठनहरूले उनीहरूको उपकरण र औद्योगिक पूर्वाधारका कम्पोनेन्टहरू इन्टरनेटबाट पहुँचयोग्य छैनन् भनी सुनिश्चित गर्नुपर्छ, जसरी हामीले विशेष रूपमा हाम्रो जालमा गरेका थियौं।

यद्यपि हामीले इन्जिनियरको वर्कस्टेशनमा एउटै आक्रमण रेकर्ड गरेका छैनौं, सबै कम्प्युटरहरूमा एउटै स्थानीय प्रशासक पासवर्ड प्रयोग गरे तापनि, घुसपैठको सम्भावना कम गर्नको लागि यो अभ्यास बेवास्ता गर्नुपर्छ। आखिर, कमजोर सुरक्षाले औद्योगिक प्रणालीहरूमा आक्रमण गर्न थप निमन्त्रणाको रूपमा काम गर्दछ, जुन लामो समयदेखि साइबर अपराधीहरूको चासोको विषय हो।

स्रोत: www.habr.com