ਇੱਕ ਸੁਰੱਖਿਆ ਟੂਲ ਦੇ ਰੂਪ ਵਿੱਚ ਮੋਰੀ - 2, ਜਾਂ "ਲਾਈਵ ਦਾਣਾ ਉੱਤੇ" ਏਪੀਟੀ ਨੂੰ ਕਿਵੇਂ ਫੜਨਾ ਹੈ

(ਸਿਰਲੇਖ ਵਿਚਾਰ ਲਈ ਸਰਗੇਈ ਜੀ. ਬਰੇਸਟਰ ਦਾ ਧੰਨਵਾਦ sebres)

ਸਾਥੀਓ, ਇਸ ਲੇਖ ਦਾ ਉਦੇਸ਼ ਧੋਖਾ ਤਕਨੀਕਾਂ 'ਤੇ ਅਧਾਰਤ ਆਈਡੀਐਸ ਹੱਲਾਂ ਦੀ ਇੱਕ ਨਵੀਂ ਸ਼੍ਰੇਣੀ ਦੇ ਇੱਕ ਸਾਲ ਲੰਬੇ ਟੈਸਟ ਸੰਚਾਲਨ ਦੇ ਤਜ਼ਰਬੇ ਨੂੰ ਸਾਂਝਾ ਕਰਨਾ ਹੈ।

ਸਮੱਗਰੀ ਦੀ ਪੇਸ਼ਕਾਰੀ ਦੀ ਤਰਕਸੰਗਤ ਇਕਸੁਰਤਾ ਨੂੰ ਕਾਇਮ ਰੱਖਣ ਲਈ, ਮੈਂ ਇਸ ਨੂੰ ਅਹਾਤੇ ਨਾਲ ਸ਼ੁਰੂ ਕਰਨਾ ਜ਼ਰੂਰੀ ਸਮਝਦਾ ਹਾਂ. ਇਸ ਲਈ, ਸਮੱਸਿਆ:

1. ਨਿਸ਼ਾਨਾ ਹਮਲੇ ਸਭ ਤੋਂ ਖ਼ਤਰਨਾਕ ਕਿਸਮ ਦੇ ਹਮਲੇ ਹਨ, ਇਸ ਤੱਥ ਦੇ ਬਾਵਜੂਦ ਕਿ ਖਤਰਿਆਂ ਦੀ ਕੁੱਲ ਸੰਖਿਆ ਵਿੱਚ ਉਹਨਾਂ ਦਾ ਹਿੱਸਾ ਬਹੁਤ ਘੱਟ ਹੈ।
2. ਘੇਰੇ (ਜਾਂ ਅਜਿਹੇ ਸਾਧਨਾਂ ਦਾ ਇੱਕ ਸਮੂਹ) ਦੀ ਸੁਰੱਖਿਆ ਦੇ ਕੋਈ ਗਾਰੰਟੀਸ਼ੁਦਾ ਪ੍ਰਭਾਵੀ ਸਾਧਨਾਂ ਦੀ ਅਜੇ ਤੱਕ ਖੋਜ ਨਹੀਂ ਕੀਤੀ ਗਈ ਹੈ।
3. ਇੱਕ ਨਿਯਮ ਦੇ ਤੌਰ ਤੇ, ਨਿਸ਼ਾਨਾ ਹਮਲੇ ਕਈ ਪੜਾਵਾਂ ਵਿੱਚ ਹੁੰਦੇ ਹਨ। ਘੇਰੇ 'ਤੇ ਕਾਬੂ ਪਾਉਣਾ ਸਿਰਫ ਸ਼ੁਰੂਆਤੀ ਪੜਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ, ਜਿਸ ਨਾਲ (ਤੁਸੀਂ ਮੇਰੇ 'ਤੇ ਪੱਥਰ ਸੁੱਟ ਸਕਦੇ ਹੋ) "ਪੀੜਤ" ਨੂੰ ਜ਼ਿਆਦਾ ਨੁਕਸਾਨ ਨਹੀਂ ਪਹੁੰਚਾਉਂਦਾ, ਜਦੋਂ ਤੱਕ ਕਿ, ਇਹ ਇੱਕ DEoS (ਸੇਵਾ ਦਾ ਵਿਨਾਸ਼) ਹਮਲਾ ਹੈ (ਏਨਕ੍ਰਿਪਟਰਾਂ, ਆਦਿ) .) ਅਸਲ "ਦਰਦ" ਬਾਅਦ ਵਿੱਚ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਜਦੋਂ ਕੈਪਚਰ ਕੀਤੀਆਂ ਸੰਪਤੀਆਂ ਨੂੰ ਇੱਕ "ਡੂੰਘਾਈ" ਹਮਲੇ ਨੂੰ ਵਧਾਉਣ ਅਤੇ ਵਿਕਸਤ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਣਾ ਸ਼ੁਰੂ ਹੋ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਅਸੀਂ ਇਸ ਵੱਲ ਧਿਆਨ ਨਹੀਂ ਦਿੱਤਾ।
4. ਕਿਉਂਕਿ ਅਸੀਂ ਅਸਲ ਨੁਕਸਾਨ ਝੱਲਣਾ ਸ਼ੁਰੂ ਕਰਦੇ ਹਾਂ ਜਦੋਂ ਹਮਲਾਵਰ ਆਖਰਕਾਰ ਹਮਲੇ ਦੇ ਟੀਚਿਆਂ (ਐਪਲੀਕੇਸ਼ਨ ਸਰਵਰ, ਡੀਬੀਐਮਐਸ, ਡੇਟਾ ਵੇਅਰਹਾਊਸ, ਰਿਪੋਜ਼ਟਰੀਆਂ, ਨਾਜ਼ੁਕ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਤੱਤ) ਤੱਕ ਪਹੁੰਚਦੇ ਹਨ, ਇਹ ਤਰਕਪੂਰਨ ਹੈ ਕਿ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਸੇਵਾ ਦੇ ਕਾਰਜਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ ਹਮਲਿਆਂ ਨੂੰ ਰੋਕਣ ਤੋਂ ਪਹਿਲਾਂ. ਇਹ ਉਦਾਸ ਘਟਨਾ. ਪਰ ਕਿਸੇ ਚੀਜ਼ ਵਿੱਚ ਵਿਘਨ ਪਾਉਣ ਲਈ, ਤੁਹਾਨੂੰ ਪਹਿਲਾਂ ਇਸ ਬਾਰੇ ਪਤਾ ਲਗਾਉਣਾ ਚਾਹੀਦਾ ਹੈ. ਅਤੇ ਜਿੰਨੀ ਜਲਦੀ, ਬਿਹਤਰ.
5. ਇਸ ਅਨੁਸਾਰ, ਸਫਲ ਜੋਖਮ ਪ੍ਰਬੰਧਨ (ਭਾਵ, ਨਿਸ਼ਾਨੇ ਵਾਲੇ ਹਮਲਿਆਂ ਤੋਂ ਨੁਕਸਾਨ ਨੂੰ ਘਟਾਉਣਾ) ਲਈ, ਅਜਿਹੇ ਸਾਧਨਾਂ ਦਾ ਹੋਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਜੋ ਘੱਟੋ-ਘੱਟ TTD (ਪਤਾ ਲਗਾਉਣ ਦਾ ਸਮਾਂ - ਘੁਸਪੈਠ ਦੇ ਪਲ ਤੋਂ ਹਮਲੇ ਦਾ ਪਤਾ ਲੱਗਣ ਤੱਕ ਦਾ ਸਮਾਂ) ਪ੍ਰਦਾਨ ਕਰਨਗੇ। ਉਦਯੋਗ ਅਤੇ ਖੇਤਰ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹੋਏ, ਇਹ ਮਿਆਦ ਅਮਰੀਕਾ ਵਿੱਚ ਔਸਤਨ 99 ਦਿਨ, EMEA ਖੇਤਰ ਵਿੱਚ 106 ਦਿਨ, APAC ਖੇਤਰ ਵਿੱਚ 172 ਦਿਨ (M-Trends 2017, A View From the Front Lines, Mandiant) ਹੈ।
6. ਮਾਰਕੀਟ ਕੀ ਪੇਸ਼ਕਸ਼ ਕਰਦਾ ਹੈ?
   • "ਸੈਂਡਬਾਕਸ"। ਇੱਕ ਹੋਰ ਰੋਕਥਾਮ ਨਿਯੰਤਰਣ, ਜੋ ਕਿ ਆਦਰਸ਼ ਤੋਂ ਬਹੁਤ ਦੂਰ ਹੈ. ਸੈਂਡਬੌਕਸ ਜਾਂ ਵਾਈਟਲਿਸਟਿੰਗ ਹੱਲਾਂ ਨੂੰ ਖੋਜਣ ਅਤੇ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਬਹੁਤ ਸਾਰੀਆਂ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਤਕਨੀਕਾਂ ਹਨ। "ਹਨੇਰੇ ਪਾਸੇ" ਦੇ ਮੁੰਡੇ ਅਜੇ ਵੀ ਇੱਥੇ ਇੱਕ ਕਦਮ ਅੱਗੇ ਹਨ.
   • UEBA (ਪ੍ਰੋਫਾਈਲਿੰਗ ਵਿਵਹਾਰ ਅਤੇ ਭਟਕਣਾ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਸਿਸਟਮ) - ਸਿਧਾਂਤ ਵਿੱਚ, ਬਹੁਤ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਹੋ ਸਕਦਾ ਹੈ। ਪਰ, ਮੇਰੀ ਰਾਏ ਵਿੱਚ, ਇਹ ਦੂਰ ਦੇ ਭਵਿੱਖ ਵਿੱਚ ਕਿਸੇ ਸਮੇਂ ਹੈ. ਅਭਿਆਸ ਵਿੱਚ, ਇਹ ਅਜੇ ਵੀ ਬਹੁਤ ਮਹਿੰਗਾ, ਭਰੋਸੇਯੋਗ ਨਹੀਂ ਹੈ ਅਤੇ ਇੱਕ ਬਹੁਤ ਹੀ ਪਰਿਪੱਕ ਅਤੇ ਸਥਿਰ IT ਅਤੇ ਸੂਚਨਾ ਸੁਰੱਖਿਆ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਲੋੜ ਹੈ, ਜਿਸ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਸਾਰੇ ਸਾਧਨ ਹਨ ਜੋ ਵਿਹਾਰਕ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਡੇਟਾ ਤਿਆਰ ਕਰਨਗੇ।
   • SIEM ਜਾਂਚਾਂ ਲਈ ਇੱਕ ਵਧੀਆ ਸਾਧਨ ਹੈ, ਪਰ ਇਹ ਸਮੇਂ ਸਿਰ ਕੁਝ ਨਵਾਂ ਅਤੇ ਅਸਲੀ ਦੇਖਣ ਅਤੇ ਦਿਖਾਉਣ ਦੇ ਯੋਗ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਸਬੰਧਾਂ ਦੇ ਨਿਯਮ ਦਸਤਖਤਾਂ ਦੇ ਸਮਾਨ ਹਨ।

7. ਨਤੀਜੇ ਵਜੋਂ, ਇੱਕ ਸਾਧਨ ਦੀ ਲੋੜ ਹੈ ਜੋ:
   • ਪਹਿਲਾਂ ਹੀ ਸਮਝੌਤਾ ਕੀਤੇ ਘੇਰੇ ਦੀਆਂ ਸਥਿਤੀਆਂ ਵਿੱਚ ਸਫਲਤਾਪੂਰਵਕ ਕੰਮ ਕੀਤਾ,
   • ਵਰਤੇ ਗਏ ਸਾਧਨਾਂ ਅਤੇ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ, ਨੇੜੇ ਦੇ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਸਫਲ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਇਆ,
   • ਦਸਤਖਤਾਂ/ਨਿਯਮਾਂ/ਸਕ੍ਰਿਪਟਾਂ/ਨੀਤੀਆਂ/ਪ੍ਰੋਫਾਈਲਾਂ ਅਤੇ ਹੋਰ ਸਥਿਰ ਚੀਜ਼ਾਂ 'ਤੇ ਨਿਰਭਰ ਨਹੀਂ ਸੀ,
   • ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਵੱਡੀ ਮਾਤਰਾ ਵਿੱਚ ਡੇਟਾ ਅਤੇ ਉਹਨਾਂ ਦੇ ਸਰੋਤਾਂ ਦੀ ਲੋੜ ਨਹੀਂ ਸੀ,
   • ਹਮਲਿਆਂ ਨੂੰ "ਸੰਸਾਰ ਵਿੱਚ ਸਭ ਤੋਂ ਵਧੀਆ, ਪੇਟੈਂਟ ਅਤੇ ਇਸਲਈ ਬੰਦ ਗਣਿਤ" ਦੇ ਕੰਮ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਕਿਸੇ ਕਿਸਮ ਦੇ ਜੋਖਮ-ਸਕੋਰਿੰਗ ਵਜੋਂ ਪਰਿਭਾਸ਼ਿਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ, ਜਿਸ ਲਈ ਵਾਧੂ ਜਾਂਚ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਪਰ ਅਮਲੀ ਤੌਰ 'ਤੇ ਇੱਕ ਬਾਈਨਰੀ ਘਟਨਾ ਵਜੋਂ - "ਹਾਂ, ਸਾਡੇ 'ਤੇ ਹਮਲਾ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ" ਜਾਂ "ਨਹੀਂ, ਸਭ ਕੁਝ ਠੀਕ ਹੈ",
   • ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਭੌਤਿਕ ਅਤੇ ਲਾਜ਼ੀਕਲ ਨੈੱਟਵਰਕ ਟੋਪੋਲੋਜੀ ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ, ਸਰਵ ਵਿਆਪਕ, ਕੁਸ਼ਲਤਾ ਨਾਲ ਮਾਪਯੋਗ ਅਤੇ ਕਿਸੇ ਵੀ ਵਿਭਿੰਨ ਵਾਤਾਵਰਣ ਵਿੱਚ ਲਾਗੂ ਕਰਨ ਲਈ ਵਿਹਾਰਕ ਸੀ।

ਅਖੌਤੀ ਧੋਖੇ ਦੇ ਹੱਲ ਹੁਣ ਅਜਿਹੇ ਸਾਧਨ ਦੀ ਭੂਮਿਕਾ ਲਈ ਦੌੜ ਰਹੇ ਹਨ। ਭਾਵ, ਹਨੀਪੌਟਸ ਦੀ ਚੰਗੀ ਪੁਰਾਣੀ ਧਾਰਨਾ 'ਤੇ ਅਧਾਰਤ ਹੱਲ, ਪਰ ਲਾਗੂ ਕਰਨ ਦੇ ਬਿਲਕੁਲ ਵੱਖਰੇ ਪੱਧਰ ਦੇ ਨਾਲ। ਇਹ ਵਿਸ਼ਾ ਯਕੀਨੀ ਤੌਰ 'ਤੇ ਹੁਣ ਵਧ ਰਿਹਾ ਹੈ.

ਨਤੀਜਿਆਂ ਅਨੁਸਾਰ ਗਾਰਟਨਰ ਸੁਰੱਖਿਆ ਅਤੇ ਜੋਖਮ ਪ੍ਰਬੰਧਨ ਸੰਮੇਲਨ 2017 ਧੋਖੇ ਦੇ ਹੱਲ ਚੋਟੀ ਦੀਆਂ 3 ਰਣਨੀਤੀਆਂ ਅਤੇ ਸਾਧਨਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤੇ ਗਏ ਹਨ ਜਿਨ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਰਿਪੋਰਟ ਦੇ ਅਨੁਸਾਰ TAG ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਸਲਾਨਾ 2017 ਧੋਖਾ IDS ਘੁਸਪੈਠ ਖੋਜ ਪ੍ਰਣਾਲੀਆਂ) ਹੱਲਾਂ ਦੇ ਵਿਕਾਸ ਦੀਆਂ ਮੁੱਖ ਦਿਸ਼ਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ।

ਬਾਅਦ ਦਾ ਇੱਕ ਪੂਰਾ ਭਾਗ ਸਿਸਕੋ ਸਟੇਟ ਆਫ਼ ਆਈਟੀ ਸੁਰੱਖਿਆ ਰਿਪੋਰਟ, SCADA ਨੂੰ ਸਮਰਪਿਤ, ਇਸ ਮਾਰਕੀਟ ਦੇ ਇੱਕ ਲੀਡਰ, TrapX ਸੁਰੱਖਿਆ (ਇਜ਼ਰਾਈਲ) ਦੇ ਡੇਟਾ 'ਤੇ ਅਧਾਰਤ ਹੈ, ਜਿਸਦਾ ਹੱਲ ਸਾਡੇ ਟੈਸਟ ਖੇਤਰ ਵਿੱਚ ਇੱਕ ਸਾਲ ਤੋਂ ਕੰਮ ਕਰ ਰਿਹਾ ਹੈ।

ਟ੍ਰੈਪਐਕਸ ਧੋਖਾਧੜੀ ਗਰਿੱਡ ਤੁਹਾਨੂੰ ਹਾਰਡਵੇਅਰ ਸਰੋਤਾਂ ਲਈ ਲਾਇਸੈਂਸ ਲੋਡ ਅਤੇ ਲੋੜਾਂ ਨੂੰ ਵਧਾਏ ਬਿਨਾਂ, ਕੇਂਦਰੀ ਤੌਰ 'ਤੇ ਵੱਡੇ ਪੱਧਰ 'ਤੇ ਵੰਡੇ ਗਏ IDS ਦੀ ਲਾਗਤ ਅਤੇ ਸੰਚਾਲਨ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਵਾਸਤਵ ਵਿੱਚ, TrapX ਇੱਕ ਕੰਸਟਰਕਟਰ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਮੌਜੂਦਾ IT ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਤੱਤਾਂ ਤੋਂ ਇੱਕ ਐਂਟਰਪ੍ਰਾਈਜ਼-ਵਿਆਪਕ ਪੈਮਾਨੇ 'ਤੇ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਇੱਕ ਵੱਡੀ ਵਿਧੀ ਬਣਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਇੱਕ ਕਿਸਮ ਦਾ ਵਿਤਰਿਤ ਨੈੱਟਵਰਕ "ਅਲਾਰਮ"।

ਹੱਲ ਬਣਤਰ

ਸਾਡੀ ਪ੍ਰਯੋਗਸ਼ਾਲਾ ਵਿੱਚ ਅਸੀਂ ਲਗਾਤਾਰ IT ਸੁਰੱਖਿਆ ਦੇ ਖੇਤਰ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਨਵੇਂ ਉਤਪਾਦਾਂ ਦਾ ਅਧਿਐਨ ਅਤੇ ਜਾਂਚ ਕਰਦੇ ਹਾਂ। ਵਰਤਮਾਨ ਵਿੱਚ, ਇੱਥੇ ਲਗਭਗ 50 ਵੱਖ-ਵੱਖ ਵਰਚੁਅਲ ਸਰਵਰ ਤਾਇਨਾਤ ਕੀਤੇ ਗਏ ਹਨ, ਜਿਸ ਵਿੱਚ TrapX ਧੋਖਾਧੜੀ ਗਰਿੱਡ ਭਾਗ ਸ਼ਾਮਲ ਹਨ।

ਇਸ ਲਈ, ਉੱਪਰ ਤੋਂ ਹੇਠਾਂ ਤੱਕ:

1. TSOC (TrapX ਸੁਰੱਖਿਆ ਓਪਰੇਸ਼ਨ ਕੰਸੋਲ) ਸਿਸਟਮ ਦਾ ਦਿਮਾਗ ਹੈ। ਇਹ ਕੇਂਦਰੀ ਪ੍ਰਬੰਧਨ ਕੰਸੋਲ ਹੈ ਜਿਸ ਦੁਆਰਾ ਸੰਰਚਨਾ, ਹੱਲ ਦੀ ਤੈਨਾਤੀ ਅਤੇ ਸਾਰੇ ਦਿਨ-ਪ੍ਰਤੀ-ਦਿਨ ਦੇ ਕੰਮ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਕਿਉਂਕਿ ਇਹ ਇੱਕ ਵੈੱਬ ਸੇਵਾ ਹੈ, ਇਸ ਨੂੰ ਕਿਤੇ ਵੀ ਲਗਾਇਆ ਜਾ ਸਕਦਾ ਹੈ - ਘੇਰੇ 'ਤੇ, ਕਲਾਉਡ ਵਿੱਚ ਜਾਂ ਇੱਕ MSSP ਪ੍ਰਦਾਤਾ 'ਤੇ।
2. TrapX ਉਪਕਰਣ (TSA) ਇੱਕ ਵਰਚੁਅਲ ਸਰਵਰ ਹੈ ਜਿਸ ਵਿੱਚ ਅਸੀਂ ਟਰੰਕ ਪੋਰਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਉਹ ਸਬਨੈੱਟ ਜੋ ਅਸੀਂ ਨਿਗਰਾਨੀ ਨਾਲ ਕਵਰ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹਾਂ, ਨਾਲ ਜੁੜਦੇ ਹਾਂ। ਨਾਲ ਹੀ, ਸਾਡੇ ਸਾਰੇ ਨੈਟਵਰਕ ਸੈਂਸਰ ਅਸਲ ਵਿੱਚ ਇੱਥੇ "ਲਾਈਵ" ਹਨ।

   ਸਾਡੀ ਲੈਬ ਵਿੱਚ ਇੱਕ TSA ਤੈਨਾਤ ਹੈ (mwsapp1), ਪਰ ਅਸਲ ਵਿੱਚ ਬਹੁਤ ਸਾਰੇ ਹੋ ਸਕਦੇ ਹਨ। ਇਹ ਉਹਨਾਂ ਵੱਡੇ ਨੈੱਟਵਰਕਾਂ ਵਿੱਚ ਜ਼ਰੂਰੀ ਹੋ ਸਕਦਾ ਹੈ ਜਿੱਥੇ ਖੰਡਾਂ ਵਿਚਕਾਰ ਕੋਈ L2 ਕਨੈਕਟੀਵਿਟੀ ਨਹੀਂ ਹੈ (ਇੱਕ ਖਾਸ ਉਦਾਹਰਨ "ਹੋਲਡਿੰਗ ਅਤੇ ਸਹਾਇਕ ਕੰਪਨੀਆਂ" ਜਾਂ "ਬੈਂਕ ਹੈੱਡ ਆਫਿਸ ਅਤੇ ਬ੍ਰਾਂਚਾਂ") ਜਾਂ ਜੇਕਰ ਨੈੱਟਵਰਕ ਵਿੱਚ ਅਲੱਗ-ਥਲੱਗ ਹਿੱਸੇ ਹਨ, ਉਦਾਹਰਨ ਲਈ, ਸਵੈਚਲਿਤ ਪ੍ਰਕਿਰਿਆ ਨਿਯੰਤਰਣ ਪ੍ਰਣਾਲੀਆਂ। ਹਰੇਕ ਅਜਿਹੀ ਸ਼ਾਖਾ/ਖੰਡ ਵਿੱਚ, ਤੁਸੀਂ ਆਪਣਾ TSA ਤੈਨਾਤ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਇਸਨੂੰ ਇੱਕ ਸਿੰਗਲ TSOC ਨਾਲ ਜੋੜ ਸਕਦੇ ਹੋ, ਜਿੱਥੇ ਸਾਰੀ ਜਾਣਕਾਰੀ ਕੇਂਦਰੀ ਤੌਰ 'ਤੇ ਪ੍ਰਕਿਰਿਆ ਕੀਤੀ ਜਾਵੇਗੀ। ਇਹ ਆਰਕੀਟੈਕਚਰ ਤੁਹਾਨੂੰ ਨੈੱਟਵਰਕ ਨੂੰ ਮੂਲ ਰੂਪ ਵਿੱਚ ਪੁਨਰਗਠਨ ਕਰਨ ਜਾਂ ਮੌਜੂਦਾ ਵਿਭਾਜਨ ਨੂੰ ਵਿਗਾੜਨ ਦੀ ਲੋੜ ਤੋਂ ਬਿਨਾਂ ਵੰਡੇ ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਬਣਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।

   ਨਾਲ ਹੀ, ਅਸੀਂ TAP/SPAN ਰਾਹੀਂ TSA ਨੂੰ ਆਊਟਗੋਇੰਗ ਟ੍ਰੈਫਿਕ ਦੀ ਇੱਕ ਕਾਪੀ ਜਮ੍ਹਾਂ ਕਰ ਸਕਦੇ ਹਾਂ। ਜੇਕਰ ਅਸੀਂ ਜਾਣੇ-ਪਛਾਣੇ ਬੋਟਨੈੱਟ, ਕਮਾਂਡ ਅਤੇ ਕੰਟਰੋਲ ਸਰਵਰਾਂ, ਜਾਂ TOR ਸੈਸ਼ਨਾਂ ਨਾਲ ਕਨੈਕਸ਼ਨਾਂ ਦਾ ਪਤਾ ਲਗਾਉਂਦੇ ਹਾਂ, ਤਾਂ ਅਸੀਂ ਕੰਸੋਲ ਵਿੱਚ ਨਤੀਜਾ ਵੀ ਪ੍ਰਾਪਤ ਕਰਾਂਗੇ। ਨੈੱਟਵਰਕ ਇੰਟੈਲੀਜੈਂਸ ਸੈਂਸਰ (NIS) ਇਸ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ। ਸਾਡੇ ਵਾਤਾਵਰਣ ਵਿੱਚ, ਇਹ ਕਾਰਜਸ਼ੀਲਤਾ ਫਾਇਰਵਾਲ ਉੱਤੇ ਲਾਗੂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਇਸਲਈ ਅਸੀਂ ਇਸਨੂੰ ਇੱਥੇ ਨਹੀਂ ਵਰਤਿਆ।

3. ਐਪਲੀਕੇਸ਼ਨ ਟਰੈਪ (ਪੂਰਾ OS) - ਵਿੰਡੋਜ਼ ਸਰਵਰਾਂ 'ਤੇ ਅਧਾਰਤ ਰਵਾਇਤੀ ਹਨੀਪੌਟਸ। ਤੁਹਾਨੂੰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਬਹੁਤਿਆਂ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਕਿਉਂਕਿ ਇਹਨਾਂ ਸਰਵਰਾਂ ਦਾ ਮੁੱਖ ਉਦੇਸ਼ ਸੈਂਸਰਾਂ ਦੀ ਅਗਲੀ ਪਰਤ ਨੂੰ IT ਸੇਵਾਵਾਂ ਪ੍ਰਦਾਨ ਕਰਨਾ ਹੈ ਜਾਂ ਕਾਰੋਬਾਰੀ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣਾ ਹੈ ਜੋ ਵਿੰਡੋਜ਼ ਵਾਤਾਵਰਣ ਵਿੱਚ ਤੈਨਾਤ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ। ਸਾਡੇ ਕੋਲ ਸਾਡੀ ਪ੍ਰਯੋਗਸ਼ਾਲਾ (FOS01) ਵਿੱਚ ਇੱਕ ਅਜਿਹਾ ਸਰਵਰ ਸਥਾਪਤ ਹੈ

   

4. ਇਮੂਲੇਟਿਡ ਟਰੈਪ ਹੱਲ ਦਾ ਮੁੱਖ ਹਿੱਸਾ ਹਨ, ਜੋ ਸਾਨੂੰ, ਇੱਕ ਸਿੰਗਲ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਦੀ ਵਰਤੋਂ ਕਰਕੇ, ਹਮਲਾਵਰਾਂ ਲਈ ਇੱਕ ਬਹੁਤ ਹੀ ਸੰਘਣੀ "ਮਾਈਨਫੀਲਡ" ਬਣਾਉਣ ਅਤੇ ਸਾਡੇ ਸੈਂਸਰਾਂ ਦੇ ਨਾਲ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਨੈਟਵਰਕ, ਇਸਦੇ ਸਾਰੇ ਵਲੈਨਾਂ ਨੂੰ ਸੰਤ੍ਰਿਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਹਮਲਾਵਰ ਅਜਿਹੇ ਸੈਂਸਰ, ਜਾਂ ਫੈਂਟਮ ਹੋਸਟ ਨੂੰ ਇੱਕ ਅਸਲੀ ਵਿੰਡੋਜ਼ ਪੀਸੀ ਜਾਂ ਸਰਵਰ, ਲੀਨਕਸ ਸਰਵਰ ਜਾਂ ਹੋਰ ਡਿਵਾਈਸ ਦੇ ਰੂਪ ਵਿੱਚ ਦੇਖਦਾ ਹੈ ਜੋ ਅਸੀਂ ਉਸਨੂੰ ਦਿਖਾਉਣ ਦਾ ਫੈਸਲਾ ਕਰਦੇ ਹਾਂ।

   
   
   ਵਪਾਰ ਦੇ ਭਲੇ ਲਈ ਅਤੇ ਉਤਸੁਕਤਾ ਦੀ ਖ਼ਾਤਰ, ਅਸੀਂ "ਹਰੇਕ ਪ੍ਰਾਣੀ ਦਾ ਇੱਕ ਜੋੜਾ" ਤੈਨਾਤ ਕੀਤਾ ਹੈ - ਵਿੰਡੋਜ਼ ਪੀਸੀ ਅਤੇ ਵੱਖ-ਵੱਖ ਸੰਸਕਰਣਾਂ ਦੇ ਸਰਵਰ, ਲੀਨਕਸ ਸਰਵਰ, ਵਿੰਡੋਜ਼ ਏਮਬੇਡਡ ਇੱਕ ਏਟੀਐਮ, ਸਵਿਫਟ ਵੈੱਬ ਐਕਸੈਸ, ਇੱਕ ਨੈਟਵਰਕ ਪ੍ਰਿੰਟਰ, ਇੱਕ ਸਿਸਕੋ ਸਵਿੱਚ, ਇੱਕ ਐਕਸਿਸ IP ਕੈਮਰਾ, ਇੱਕ ਮੈਕਬੁੱਕ, PLC-ਡਿਵਾਈਸ ਅਤੇ ਇੱਕ ਸਮਾਰਟ ਲਾਈਟ ਬਲਬ ਵੀ। ਕੁੱਲ 13 ਮੇਜ਼ਬਾਨ ਹਨ। ਆਮ ਤੌਰ 'ਤੇ, ਵਿਕਰੇਤਾ ਅਸਲ ਮੇਜ਼ਬਾਨਾਂ ਦੀ ਗਿਣਤੀ ਦੇ ਘੱਟੋ-ਘੱਟ 10% ਦੀ ਮਾਤਰਾ ਵਿੱਚ ਅਜਿਹੇ ਸੈਂਸਰਾਂ ਨੂੰ ਤਾਇਨਾਤ ਕਰਨ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕਰਦਾ ਹੈ। ਸਿਖਰ ਪੱਟੀ ਉਪਲਬਧ ਪਤਾ ਸਪੇਸ ਹੈ।

   ਇੱਕ ਬਹੁਤ ਮਹੱਤਵਪੂਰਨ ਨੁਕਤਾ ਇਹ ਹੈ ਕਿ ਹਰੇਕ ਅਜਿਹੀ ਮੇਜ਼ਬਾਨ ਇੱਕ ਪੂਰੀ ਤਰ੍ਹਾਂ ਦੀ ਵਰਚੁਅਲ ਮਸ਼ੀਨ ਨਹੀਂ ਹੈ ਜਿਸ ਲਈ ਸਰੋਤਾਂ ਅਤੇ ਲਾਇਸੈਂਸਾਂ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਇਹ ਇੱਕ ਡੀਕੋਏ, ਇਮੂਲੇਸ਼ਨ, TSA 'ਤੇ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਹੈ, ਜਿਸ ਵਿੱਚ ਪੈਰਾਮੀਟਰਾਂ ਦਾ ਇੱਕ ਸੈੱਟ ਅਤੇ ਇੱਕ IP ਪਤਾ ਹੁੰਦਾ ਹੈ। ਇਸ ਲਈ, ਇੱਥੋਂ ਤੱਕ ਕਿ ਇੱਕ TSA ਦੀ ਮਦਦ ਨਾਲ, ਅਸੀਂ ਸੈਂਕੜੇ ਅਜਿਹੇ ਫੈਂਟਮ ਹੋਸਟਾਂ ਨਾਲ ਨੈੱਟਵਰਕ ਨੂੰ ਸੰਤ੍ਰਿਪਤ ਕਰ ਸਕਦੇ ਹਾਂ, ਜੋ ਅਲਾਰਮ ਸਿਸਟਮ ਵਿੱਚ ਸੈਂਸਰ ਵਜੋਂ ਕੰਮ ਕਰਨਗੇ। ਇਹ ਇਹ ਤਕਨੀਕ ਹੈ ਜੋ ਕਿਸੇ ਵੀ ਵੱਡੇ ਵੰਡੇ ਹੋਏ ਉੱਦਮ ਵਿੱਚ ਹਨੀਪਾਟ ਸੰਕਲਪ ਨੂੰ ਲਾਗਤ-ਅਸਰਦਾਰ ਢੰਗ ਨਾਲ ਸਕੇਲ ਕਰਨਾ ਸੰਭਵ ਬਣਾਉਂਦੀ ਹੈ।

   ਹਮਲਾਵਰ ਦੇ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ, ਇਹ ਮੇਜ਼ਬਾਨ ਆਕਰਸ਼ਕ ਹੁੰਦੇ ਹਨ ਕਿਉਂਕਿ ਉਹਨਾਂ ਵਿੱਚ ਕਮਜ਼ੋਰੀਆਂ ਹੁੰਦੀਆਂ ਹਨ ਅਤੇ ਮੁਕਾਬਲਤਨ ਆਸਾਨ ਨਿਸ਼ਾਨੇ ਹੁੰਦੇ ਹਨ। ਹਮਲਾਵਰ ਇਹਨਾਂ ਮੇਜ਼ਬਾਨਾਂ 'ਤੇ ਸੇਵਾਵਾਂ ਦੇਖਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨਾਲ ਗੱਲਬਾਤ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਸਟੈਂਡਰਡ ਟੂਲਸ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, ਆਦਿ) ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਉਹਨਾਂ 'ਤੇ ਹਮਲਾ ਕਰ ਸਕਦਾ ਹੈ। ਪਰ ਇਹਨਾਂ ਮੇਜ਼ਬਾਨਾਂ ਦੀ ਵਰਤੋਂ ਹਮਲੇ ਨੂੰ ਵਿਕਸਤ ਕਰਨ ਜਾਂ ਆਪਣੇ ਖੁਦ ਦੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਲਈ ਅਸੰਭਵ ਹੈ.

5. ਇਹਨਾਂ ਦੋ ਤਕਨਾਲੋਜੀਆਂ (FullOS ਅਤੇ ਇਮੂਲੇਟਿਡ ਟ੍ਰੈਪ) ਦਾ ਸੁਮੇਲ ਸਾਨੂੰ ਇੱਕ ਉੱਚ ਅੰਕੜਾ ਸੰਭਾਵਤਤਾ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਕਿ ਇੱਕ ਹਮਲਾਵਰ ਜਲਦੀ ਜਾਂ ਬਾਅਦ ਵਿੱਚ ਸਾਡੇ ਸਿਗਨਲਿੰਗ ਨੈਟਵਰਕ ਦੇ ਕੁਝ ਤੱਤ ਦਾ ਸਾਹਮਣਾ ਕਰੇਗਾ। ਪਰ ਅਸੀਂ ਇਹ ਕਿਵੇਂ ਯਕੀਨੀ ਬਣਾ ਸਕਦੇ ਹਾਂ ਕਿ ਇਹ ਸੰਭਾਵਨਾ 100% ਦੇ ਨੇੜੇ ਹੈ?

   ਅਖੌਤੀ ਧੋਖੇ ਟੋਕਨ ਲੜਾਈ ਵਿੱਚ ਦਾਖਲ ਹੁੰਦੇ ਹਨ. ਉਹਨਾਂ ਦਾ ਧੰਨਵਾਦ, ਅਸੀਂ ਸਾਡੇ ਵਿਤਰਿਤ ਆਈਡੀਐਸ ਵਿੱਚ ਐਂਟਰਪ੍ਰਾਈਜ਼ ਦੇ ਸਾਰੇ ਮੌਜੂਦਾ ਪੀਸੀ ਅਤੇ ਸਰਵਰਾਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰ ਸਕਦੇ ਹਾਂ। ਟੋਕਨ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਅਸਲ ਪੀਸੀ 'ਤੇ ਰੱਖੇ ਜਾਂਦੇ ਹਨ। ਇਹ ਸਮਝਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਟੋਕਨ ਅਜਿਹੇ ਏਜੰਟ ਨਹੀਂ ਹਨ ਜੋ ਸਰੋਤਾਂ ਦੀ ਖਪਤ ਕਰਦੇ ਹਨ ਅਤੇ ਟਕਰਾਅ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੇ ਹਨ। ਟੋਕਨ ਪੈਸਿਵ ਜਾਣਕਾਰੀ ਤੱਤ ਹਨ, ਹਮਲਾ ਕਰਨ ਵਾਲੇ ਪਾਸੇ ਲਈ ਇੱਕ ਕਿਸਮ ਦੇ "ਬ੍ਰੈੱਡਕ੍ਰੰਬਸ" ਜੋ ਇਸਨੂੰ ਇੱਕ ਜਾਲ ਵਿੱਚ ਲੈ ਜਾਂਦੇ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਮੈਪ ਕੀਤੀਆਂ ਨੈੱਟਵਰਕ ਡਰਾਈਵਾਂ, ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਜਾਅਲੀ ਵੈੱਬ ਪ੍ਰਸ਼ਾਸਕਾਂ ਲਈ ਬੁੱਕਮਾਰਕ ਅਤੇ ਉਹਨਾਂ ਲਈ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਪਾਸਵਰਡ, ਸੁਰੱਖਿਅਤ ਕੀਤੇ ssh/rdp/winscp ਸੈਸ਼ਨ, ਮੇਜ਼ਬਾਨ ਫਾਈਲਾਂ ਵਿੱਚ ਟਿੱਪਣੀਆਂ ਵਾਲੇ ਸਾਡੇ ਜਾਲ, ਮੈਮੋਰੀ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕੀਤੇ ਪਾਸਵਰਡ, ਗੈਰ-ਮੌਜੂਦ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਪ੍ਰਮਾਣ ਪੱਤਰ, ਦਫਤਰ ਫਾਈਲਾਂ, ਓਪਨਿੰਗ ਜੋ ਸਿਸਟਮ ਨੂੰ ਟਰਿੱਗਰ ਕਰੇਗੀ, ਅਤੇ ਹੋਰ ਬਹੁਤ ਕੁਝ। ਇਸ ਤਰ੍ਹਾਂ, ਅਸੀਂ ਹਮਲਾਵਰ ਨੂੰ ਇੱਕ ਵਿਗਾੜ ਵਾਲੇ ਵਾਤਾਵਰਣ ਵਿੱਚ ਰੱਖਦੇ ਹਾਂ, ਜੋ ਹਮਲਾਵਰ ਵੈਕਟਰਾਂ ਨਾਲ ਸੰਤ੍ਰਿਪਤ ਹੁੰਦਾ ਹੈ ਜੋ ਅਸਲ ਵਿੱਚ ਸਾਡੇ ਲਈ ਖ਼ਤਰਾ ਨਹੀਂ ਹੁੰਦਾ, ਸਗੋਂ ਉਲਟ ਹੁੰਦਾ ਹੈ। ਅਤੇ ਉਸ ਕੋਲ ਇਹ ਨਿਰਧਾਰਤ ਕਰਨ ਦਾ ਕੋਈ ਤਰੀਕਾ ਨਹੀਂ ਹੈ ਕਿ ਜਾਣਕਾਰੀ ਕਿੱਥੇ ਸੱਚੀ ਹੈ ਅਤੇ ਕਿੱਥੇ ਝੂਠੀ ਹੈ। ਇਸ ਤਰ੍ਹਾਂ, ਅਸੀਂ ਨਾ ਸਿਰਫ਼ ਹਮਲੇ ਦਾ ਤੁਰੰਤ ਪਤਾ ਲਗਾਉਣਾ ਯਕੀਨੀ ਬਣਾਉਂਦੇ ਹਾਂ, ਸਗੋਂ ਇਸਦੀ ਪ੍ਰਗਤੀ ਨੂੰ ਵੀ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਹੌਲੀ ਕਰਦੇ ਹਾਂ।

ਇੱਕ ਨੈਟਵਰਕ ਟ੍ਰੈਪ ਬਣਾਉਣ ਅਤੇ ਟੋਕਨ ਸਥਾਪਤ ਕਰਨ ਦੀ ਇੱਕ ਉਦਾਹਰਣ। ਦੋਸਤਾਨਾ ਇੰਟਰਫੇਸ ਅਤੇ ਕੌਂਫਿਗਸ, ਸਕ੍ਰਿਪਟਾਂ ਆਦਿ ਦਾ ਕੋਈ ਦਸਤੀ ਸੰਪਾਦਨ ਨਹੀਂ।

ਸਾਡੇ ਵਾਤਾਵਰਣ ਵਿੱਚ, ਅਸੀਂ ਵਿੰਡੋਜ਼ ਸਰਵਰ 01R2012 'ਤੇ ਚੱਲ ਰਹੇ FOS2 ਅਤੇ Windows 7 'ਤੇ ਚੱਲ ਰਹੇ ਇੱਕ ਟੈਸਟ ਪੀਸੀ 'ਤੇ ਅਜਿਹੇ ਕਈ ਟੋਕਨਾਂ ਨੂੰ ਕੌਂਫਿਗਰ ਕੀਤਾ ਅਤੇ ਰੱਖਿਆ। (ਇਮੂਲੇਟਿਡ ਟਰੈਪ) ਵੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਇਸ ਲਈ ਸਾਨੂੰ ਘਟਨਾਵਾਂ ਦੀ ਇੱਕ ਨਿਰੰਤਰ ਧਾਰਾ ਮਿਲਦੀ ਹੈ, ਕੁਦਰਤੀ ਤੌਰ 'ਤੇ ਇਸ ਤਰ੍ਹਾਂ ਬੋਲਣ ਲਈ.

ਇਸ ਲਈ, ਇੱਥੇ ਸਾਲ ਲਈ ਕੁਝ ਤੇਜ਼ ਅੰਕੜੇ ਹਨ:

56 - ਘਟਨਾਵਾਂ ਦਰਜ ਕੀਤੀਆਂ ਗਈਆਂ,
2 - ਹਮਲੇ ਦੇ ਸਰੋਤ ਹੋਸਟਾਂ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ।

ਇੰਟਰਐਕਟਿਵ, ਕਲਿੱਕ ਕਰਨ ਯੋਗ ਹਮਲੇ ਦਾ ਨਕਸ਼ਾ

ਇਸ ਦੇ ਨਾਲ ਹੀ, ਹੱਲ ਕਿਸੇ ਕਿਸਮ ਦੀ ਮੈਗਾ-ਲੌਗ ਜਾਂ ਇਵੈਂਟ ਫੀਡ ਪੈਦਾ ਨਹੀਂ ਕਰਦਾ ਹੈ, ਜਿਸ ਨੂੰ ਸਮਝਣ ਵਿੱਚ ਲੰਬਾ ਸਮਾਂ ਲੱਗਦਾ ਹੈ। ਇਸ ਦੀ ਬਜਾਏ, ਹੱਲ ਖੁਦ ਈਵੈਂਟਾਂ ਨੂੰ ਉਹਨਾਂ ਦੀਆਂ ਕਿਸਮਾਂ ਦੁਆਰਾ ਸ਼੍ਰੇਣੀਬੱਧ ਕਰਦਾ ਹੈ ਅਤੇ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਟੀਮ ਨੂੰ ਮੁੱਖ ਤੌਰ 'ਤੇ ਸਭ ਤੋਂ ਖਤਰਨਾਕ ਲੋਕਾਂ 'ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ - ਜਦੋਂ ਹਮਲਾਵਰ ਨਿਯੰਤਰਣ ਸੈਸ਼ਨਾਂ (ਇੰਟਰੈਕਸ਼ਨ) ਨੂੰ ਵਧਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ਜਾਂ ਜਦੋਂ ਸਾਡੇ ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਬਾਈਨਰੀ ਪੇਲੋਡ (ਇਨਫੈਕਸ਼ਨ) ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ।

ਘਟਨਾਵਾਂ ਬਾਰੇ ਸਾਰੀ ਜਾਣਕਾਰੀ ਪੜ੍ਹਨਯੋਗ ਅਤੇ ਪੇਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਮੇਰੀ ਰਾਏ ਵਿੱਚ, ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਦੇ ਖੇਤਰ ਵਿੱਚ ਬੁਨਿਆਦੀ ਗਿਆਨ ਵਾਲੇ ਉਪਭੋਗਤਾ ਲਈ ਵੀ ਸਮਝਣ ਵਿੱਚ ਆਸਾਨ ਰੂਪ ਵਿੱਚ.

ਜ਼ਿਆਦਾਤਰ ਰਿਕਾਰਡ ਕੀਤੀਆਂ ਘਟਨਾਵਾਂ ਸਾਡੇ ਮੇਜ਼ਬਾਨਾਂ ਜਾਂ ਸਿੰਗਲ ਕੁਨੈਕਸ਼ਨਾਂ ਨੂੰ ਸਕੈਨ ਕਰਨ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਹਨ।

ਜਾਂ RDP ਲਈ ਜ਼ਬਰਦਸਤੀ ਪਾਸਵਰਡ ਬਣਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ

ਪਰ ਇੱਥੇ ਹੋਰ ਵੀ ਦਿਲਚਸਪ ਮਾਮਲੇ ਸਨ, ਖਾਸ ਤੌਰ 'ਤੇ ਜਦੋਂ ਹਮਲਾਵਰਾਂ ਨੇ RDP ਲਈ ਪਾਸਵਰਡ ਦਾ ਅਨੁਮਾਨ ਲਗਾਉਣ ਅਤੇ ਸਥਾਨਕ ਨੈਟਵਰਕ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ "ਪ੍ਰਬੰਧਿਤ" ਕੀਤਾ।

ਇੱਕ ਹਮਲਾਵਰ psexec ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ।

ਹਮਲਾਵਰ ਨੇ ਇੱਕ ਸੁਰੱਖਿਅਤ ਸੈਸ਼ਨ ਲੱਭਿਆ, ਜਿਸ ਨਾਲ ਉਹ ਲੀਨਕਸ ਸਰਵਰ ਦੇ ਰੂਪ ਵਿੱਚ ਇੱਕ ਜਾਲ ਵਿੱਚ ਫਸ ਗਿਆ। ਕਨੈਕਟ ਕਰਨ ਤੋਂ ਤੁਰੰਤ ਬਾਅਦ, ਕਮਾਂਡਾਂ ਦੇ ਇੱਕ ਪੂਰਵ-ਤਿਆਰ ਸੈੱਟ ਨਾਲ, ਇਸਨੇ ਸਾਰੀਆਂ ਲੌਗ ਫਾਈਲਾਂ ਅਤੇ ਸੰਬੰਧਿਤ ਸਿਸਟਮ ਵੇਰੀਏਬਲਾਂ ਨੂੰ ਨਸ਼ਟ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ।

ਇੱਕ ਹਮਲਾਵਰ ਹਨੀਪਾਟ 'ਤੇ SQL ਇੰਜੈਕਸ਼ਨ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹੈ ਜੋ SWIFT ਵੈੱਬ ਐਕਸੈਸ ਦੀ ਨਕਲ ਕਰਦਾ ਹੈ।

ਅਜਿਹੇ "ਕੁਦਰਤੀ" ਹਮਲਿਆਂ ਤੋਂ ਇਲਾਵਾ, ਅਸੀਂ ਆਪਣੇ ਖੁਦ ਦੇ ਕਈ ਟੈਸਟ ਵੀ ਕਰਵਾਏ। ਸਭ ਤੋਂ ਵੱਧ ਖੁਲਾਸਾ ਕਰਨ ਵਾਲਾ ਇੱਕ ਨੈਟਵਰਕ ਤੇ ਇੱਕ ਨੈਟਵਰਕ ਕੀੜੇ ਦੀ ਖੋਜ ਦੇ ਸਮੇਂ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ. ਅਜਿਹਾ ਕਰਨ ਲਈ ਅਸੀਂ ਗਾਰਡੀਕੋਰ ਨਾਮਕ ਟੂਲ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਲਾਗ ਬਾਂਦਰ. ਇਹ ਇੱਕ ਨੈਟਵਰਕ ਕੀੜਾ ਹੈ ਜੋ ਵਿੰਡੋਜ਼ ਅਤੇ ਲੀਨਕਸ ਨੂੰ ਹਾਈਜੈਕ ਕਰ ਸਕਦਾ ਹੈ, ਪਰ ਬਿਨਾਂ ਕਿਸੇ "ਪੇਲੋਡ" ਦੇ।
ਅਸੀਂ ਇੱਕ ਸਥਾਨਕ ਕਮਾਂਡ ਸੈਂਟਰ ਤੈਨਾਤ ਕੀਤਾ, ਇੱਕ ਮਸ਼ੀਨ 'ਤੇ ਕੀੜੇ ਦੀ ਪਹਿਲੀ ਘਟਨਾ ਸ਼ੁਰੂ ਕੀਤੀ, ਅਤੇ ਡੇਢ ਮਿੰਟ ਤੋਂ ਵੀ ਘੱਟ ਸਮੇਂ ਵਿੱਚ TrapX ਕੰਸੋਲ ਵਿੱਚ ਪਹਿਲੀ ਚੇਤਾਵਨੀ ਪ੍ਰਾਪਤ ਕੀਤੀ। TTD 90 ਸਕਿੰਟ ਬਨਾਮ ਔਸਤਨ 106 ਦਿਨ...

ਹੱਲਾਂ ਦੀਆਂ ਹੋਰ ਸ਼੍ਰੇਣੀਆਂ ਨਾਲ ਏਕੀਕ੍ਰਿਤ ਕਰਨ ਦੀ ਯੋਗਤਾ ਲਈ ਧੰਨਵਾਦ, ਅਸੀਂ ਖਤਰਿਆਂ ਦਾ ਤੁਰੰਤ ਪਤਾ ਲਗਾਉਣ ਤੋਂ ਆਪਣੇ ਆਪ ਜਵਾਬ ਦੇਣ ਲਈ ਅੱਗੇ ਵਧ ਸਕਦੇ ਹਾਂ।

ਉਦਾਹਰਨ ਲਈ, NAC (ਨੈੱਟਵਰਕ ਐਕਸੈਸ ਕੰਟਰੋਲ) ਸਿਸਟਮ ਜਾਂ ਕਾਰਬਨਬਲੈਕ ਨਾਲ ਏਕੀਕਰਣ ਤੁਹਾਨੂੰ ਨੈੱਟਵਰਕ ਤੋਂ ਸਮਝੌਤਾ ਕੀਤੇ PCs ਨੂੰ ਆਪਣੇ ਆਪ ਡਿਸਕਨੈਕਟ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ।

ਸੈਂਡਬੌਕਸ ਦੇ ਨਾਲ ਏਕੀਕਰਣ ਹਮਲੇ ਵਿੱਚ ਸ਼ਾਮਲ ਫਾਈਲਾਂ ਨੂੰ ਵਿਸ਼ਲੇਸ਼ਣ ਲਈ ਸਵੈਚਲਿਤ ਤੌਰ 'ਤੇ ਸਪੁਰਦ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ।

McAfee ਏਕੀਕਰਣ

ਹੱਲ ਦਾ ਆਪਣਾ ਬਿਲਟ-ਇਨ ਇਵੈਂਟ ਕੋਰਿਲੇਸ਼ਨ ਸਿਸਟਮ ਵੀ ਹੈ।

ਪਰ ਅਸੀਂ ਇਸ ਦੀਆਂ ਸਮਰੱਥਾਵਾਂ ਤੋਂ ਸੰਤੁਸ਼ਟ ਨਹੀਂ ਸੀ, ਇਸਲਈ ਅਸੀਂ ਇਸਨੂੰ HP ArcSight ਨਾਲ ਜੋੜ ਦਿੱਤਾ।

ਬਿਲਟ-ਇਨ ਟਿਕਟਿੰਗ ਸਿਸਟਮ ਪੂਰੀ ਦੁਨੀਆ ਨੂੰ ਖੋਜੇ ਗਏ ਖਤਰਿਆਂ ਨਾਲ ਸਿੱਝਣ ਵਿੱਚ ਮਦਦ ਕਰਦਾ ਹੈ।

ਕਿਉਂਕਿ ਹੱਲ "ਸ਼ੁਰੂ ਤੋਂ" ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ ਅਤੇ ਇੱਕ ਵੱਡੇ ਕਾਰਪੋਰੇਟ ਹਿੱਸੇ ਦੀਆਂ ਲੋੜਾਂ ਲਈ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਸੀ, ਇਹ ਕੁਦਰਤੀ ਤੌਰ 'ਤੇ ਇੱਕ ਭੂਮਿਕਾ-ਅਧਾਰਿਤ ਐਕਸੈਸ ਮਾਡਲ, AD ਨਾਲ ਏਕੀਕਰਣ, ਰਿਪੋਰਟਾਂ ਅਤੇ ਟਰਿਗਰਾਂ ਦੀ ਇੱਕ ਵਿਕਸਤ ਪ੍ਰਣਾਲੀ (ਈਵੈਂਟ ਅਲਰਟ), ਆਰਕੇਸਟ੍ਰੇਸ਼ਨ ਨੂੰ ਲਾਗੂ ਕਰਦਾ ਹੈ। ਵੱਡੇ ਹੋਲਡਿੰਗ ਢਾਂਚੇ ਜਾਂ MSSP ਪ੍ਰਦਾਤਾ।

ਰੈਜ਼ਿਊਮੇ ਦੀ ਬਜਾਏ

ਜੇ ਕੋਈ ਅਜਿਹੀ ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀ ਹੈ, ਜੋ, ਲਾਖਣਿਕ ਤੌਰ 'ਤੇ, ਸਾਡੀ ਪਿੱਠ ਨੂੰ ਢੱਕਦੀ ਹੈ, ਤਾਂ ਘੇਰੇ ਦੇ ਸਮਝੌਤਾ ਨਾਲ ਸਭ ਕੁਝ ਸ਼ੁਰੂ ਹੋ ਰਿਹਾ ਹੈ. ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਗੱਲ ਇਹ ਹੈ ਕਿ ਜਾਣਕਾਰੀ ਸੁਰੱਖਿਆ ਦੀਆਂ ਘਟਨਾਵਾਂ ਨਾਲ ਨਜਿੱਠਣ ਦਾ ਅਸਲ ਮੌਕਾ ਹੈ, ਨਾ ਕਿ ਉਹਨਾਂ ਦੇ ਨਤੀਜਿਆਂ ਨਾਲ ਨਜਿੱਠਣ ਲਈ.

ਸਰੋਤ: www.habr.com