Më mashtro, nëse mundesh: veçoritë e zhvillimit të një testimi sociateknik

Imagjinoni një situatë të tillë. Një mëngjes të ftohtë tetori, një institut projektimi në një qendër rajonale të Rusisë. Një person nga departamenti i burimeve njerëzore hyn në njërën nga faqet e vendeve të punës në faqen e institutit, publikuar disa ditë më parë, dhe sheh një fotografi muri. Mëngjesi shpejt fillon të mos jetë më i mërzitshëm…

Në këtë artikull, Pavel Suprunyk, udhëheqësi teknik i departamentit të auditimit dhe konsulencës në Group-IB, diskuton vendin që sulmet socioteknike zënë në projektet e vlerësimit të mbrojtjes praktike, format e pazakonta që mund të marrin, si dhe mënyrat se si të mbrohemi nga këto sulme. Autori saktëson se artikulli ka një karakter përmbledhës, megjithatë, nëse ndonjë aspekt e intereson lexuesin, ekspertët e Group-IB do të përgjigjen me gatishmëri në komentet.

Pjesa 1. Pse kaq serioz?

Kthehemi te macja jonë. Pas një kohe, departamenti i burimeve njerëzore fshin fotografinë (ekranet këtu dhe më poshtë janë pjesërisht të retushura për të mos zbuluar emrat e vërtetë), por ajo këmbehet vazhdimisht, e fshijnë përsëri, dhe kështu ndodh disa herë. Në departamentin e burimeve njerëzore kuptojnë se qëllimet e maceve janë shumë serioze, ai nuk dëshiron të largohet, dhe thërrasin për ndihmë një programues web-i — personi që e bëri faqen dhe e njeh atë, dhe tani e administron. Programuesi hyn në faqe, fshin përsëri macen e bezdisshme, zbulon se e kishin postuar në emër të vetë departamentit të burimeve njerëzore, dhe pastaj bën hipotezën se fjalëkalimi i departamentit të burimeve njerëzore kishte rrjedhur te ndonjë huligan në rrjet, dhe e ndryshon atë. Macja nuk shfaqet më.

Çfarë ndodhi me të vërtetë? Në lidhje me grupin e kompanive, ku përfshihej instituti, specialistët e Group-IB kryen testimin e depërtimit në një format të ngjashëm me Red Teaming (pjesërisht, kjo është imitim i sulmeve të targetuara ndaj kompanisë tuaj duke përdorur metodologjitë dhe mjetet më të avancuara nga arsenali i grupeve të hakerëve). Ne kemi folur në detaje për Red Teaming. këtu. Është e rëndësishme të dihet se gjatë këtij testi mund të përdoren një gamë e gjerë sulmesh nga ato të miratuara paraprakisht, përfshirë inxhinierinë sociale. E qartë është se vetë vendosja e macës nuk ishte qëllimi përfundimtar. Por qëllimi ishte:

• faqja e internetit e institutit ishte vendosur në një server në vetë rrjetin e institutit, dhe jo në servera të jashtëm;
• kishim gjetur një rrjedhje të llogarisë së departamentit të burimeve njerëzore (një skedar me log-e në rrënjën e faqes). Administrimi i faqes me këtë llogari nuk ishte i mundur, por mund të redaktohej faqet e vendeve të punës;
• duke ndryshuar faqet, mund të vendosnim skripte në gjuhën JavaScript. Zakonisht ato bëjnë faqet interaktive, por në këtë situatë këto skripte mund të vidhnin nga shfletuesi i vizitorit identifikuesin e sesionit që e dallonte departamentin e burimeve njerëzore nga programuesi, dhe programuesin nga një vizitor i zakonshëm. Macja ishte një aktivizues i sulmit dhe një imazh për tërhequr vëmendjen. Në gjuhën e markup-it të faqeve HTML, kjo dukej kështu: nëse ju ngarkohej një imazh, JavaScript kishte ekzekutuar dhe identifikuesi juaj i sesionit së bashku me të dhënat për shfletuesin tuaj dhe IP-në tuaj kishin qenë tashmë të vjedhura.
• Me identifikuesin e sesionit të administratorit që do të bëhej e mundur të mendohej për qasje të plotë në faqe, të vendosnim faqe ekzekutuese në gjuhën PHP, kështu në fund do të mund të merrnim akses në sistemin operativ të serverit, dhe pastaj në vetë rrjetin lokal, që ishte qëllimi i rëndësishëm ndërmjetësor i projektit.

Sulmi përfundoi me një sukses të pjesshëm — identifikuesi i sesionit të administratorit u vodh, por ai ishte lidhur me adresën IP. Të anashkalosh këtë nuk ishte e mundur, ne nuk arritëm të rrisnim privilegjet në faqe në ato administrative, por rritëm disponimin tonë. Rezultati përfundimtar e morëm në një tjetër pjesë të perimetrin të rrjetit.

Pjesa 2. Po ju shkruaj — çfarë tjetër? Po ashtu po ju telefonoj dhe po qëndroj te zyra juaj, duke rënë flash drive.

Ajo që ndodhi në situatën me macen — është një shembull i inxhinierisë sociale, edhe pse jo krejtësisht klasik. Në të vërtetë, në këtë histori ndodhi më shumë se kaq: kishte edhe macen, edhe institutin, edhe departamentin e burimeve njerëzore, edhe programuesin, por gjithashtu kishte edhe email-e me pyetje sqaruese, të cilat u shkruan supozuar "kandidatë" për vetë departamentin e burimeve njerëzore dhe ndryshe për programuesin, për të provokuar ata të hynin në faqen e internetit.

Kujtojmë për email-et. Një email i zakonshëm — ndoshta transporti kryesor për realizimin e inxhinierisë sociale — nuk humbet rëndësinë e tij tash e disa dekada dhe ndonjëherë çon në pasojat më të pazakonta.

Historinë tjetër e tregojmë shpesh në ngjarjet tona, pasi është shumë ilustruese.

Në përgjithësi, pas projekteve të inxhinierisë sociale, ne përpilojmë statistikë, e cila është një gjë e njohur për t'u thënë se është e thatë dhe e mërzitshme. Një përqindje e caktuar e marrësve hapi shtesën në email, një përqindje tjetër kaloi në lidhje, dhe këta tre madje futën emrin dhe fjalëkalimin e tyre. Në një projekt, ne arritëm më shumë se 100% futjeje të fjalëkalimeve — dmth, dolën më shumë se sa i dërguam.

Kjo ndodhi kështu: u dërgua një email phishing, pretenduar nga CISO i një korporate shtetërore, me një kërkesë "urgjente për të testuar ndryshimet në shërbimin e postës". Emaili i shpërndau një drejtuesi të një nënndërmarrjeje të madhe që merrej me mbështetje teknike. Drejtuesi ishte shumë i përkushtuar në përmbushjen e kërkesave nga lartë dhe e dërgoi atë në të gjithë nënshkruesit e tij. Qendra e thirrjeve ishte mjaft e madhe. Në përgjithësi, situatat kur dikush dërgon "interesant" email phishing tek kolegët e tij dhe ata gjithashtu bien pre përbëjnë një fenomen mjaft të zakonshëm. Për ne, kjo është ndër të dhënat më të mira për cilësinë e përgatitjes së emailit.

Pak më vonë na zbuluan (emaili u mor nga një kutinë postare të komprometuar):

Një sukses i tillë i sulmit u shkaktua nga përdorimi i disa dobësive teknike në sistemin e postës së klientit. Ajo ishte e konfiguruar në një mënyrë që të mund të dërgoheshin çdo email nga emri i çdo dërguesi të organizatës pa autorizim, madje edhe nga interneti. Do të thotë, ishte e mundur të imitohej CISO, ose drejtor i mbështetjes teknike, ose dikush tjetër. Më shumë se kaq, ndërfaqja e postës, duke parë emailet nga "domeni" i saj, me kujdes vendoste fotografi nga libri i adreseve, çka i shtonte natyrshmëri dërguesit.

Me të vërtetë, një sulm i tillë nuk përbën teknologji veçanërisht të komplikuar, por është një shfrytëzim i suksesshëm i një gabimi shumë themelor në konfigurimin e postës. Ai rregullisht diskutohen në burime të specializuara IT dhe sigurie të informacionit, por megjithatë akoma ekzistojnë kompani që kanë këto probleme. Duke pasur parasysh se askush nuk është i prirur të kontrollojë me kujdes titujt e shërbimit të protokollit të postës SMTP, emaili zakonisht kontrollohet për "rrezik" sipas simboleve paralajmëruese të ndërfaqes së postës, të cilat nuk i tregojnë gjithmonë të gjitha.

Është interesante se një dobësi e tillë funksionon edhe në drejtimin e kundërt: një keqbërësi mund të dërgojë një email nga emri i kompanisë suaj te një marrës i jashtëm. Për shembull, ai mund të falsifikojë një faturë për pagesë të rregullt nga emri juaj, duke vendosur në vend të të dhënave tuaja të tjera. Nëse nuk merret parasysh çështjet e antitrafikimit dhe të nxjerrjes së parave, kjo, ndoshta, është një nga mënyrat më të thjeshta të vjedhjes së parave përmes inxhinierisë sociale.

Përveç vjedhjes së fjalëkalimeve nëpërmjet phishing, klasikët e sulmeve sociotécnike janë dërgimi i shtesave të ekzekutueshme. Nëse këto shtesa kalojnë të gjithë masat e mbrojtjes, të cilat zakonisht kompanitë moderne kanë shumë, krijohet një kanal qasjeje të largët në kompjuterin e viktimës. Për të demonstruar pasojat e sulmit, kontrolli i marrë nga distanca mund të zhvillohet deri në qasje në informacionin e veçantë të rëndësishëm konfidencial. Vlen të theksohet se shumica dërrmuese e sulmeve, të cilat i tmerruan mediat, fillojnë pikërisht kështu.

Në departamentin tonë të auditit, për shkak të interesit, ne llogarisim statistikën përkatëse: cila është vlera totale e aktiveve të kompanive, te të cilat ne kemi arritur nivelin "Administrator i Domainit" kryesisht përmes phishingut dhe dërgimit të shtesave të ekzekutueshme? Këtë vit, ajo arriti afërsisht në 150 miliard euro.

Është e qartë se dërgimi i emailave provokuese dhe vendosja e fotografive të maceve në faqe nuk janë mënyrat e vetme të inxhinierisë sociale. Në këto shembuj, ne tentuam të tregojmë larmishmërinë e formave të sulmit dhe pasojat e tyre. Përveç emailave, një sulmues të mundshëm mund të telefonojë për të marrë informacionin e nevojshëm, të shpërndajë media (p.sh., USB) me skedarë ekzekutues në zyrën e kompanisë së synuar, të punësohet si praktikant, të marrë akses fizik në rrjetin lokal duke u bërë si një montues kamerash të videove. Të gjitha këto, për të thënë të vërtetën, janë shembuj nga projektet tona të përfunduara me sukses.

Pjesa 3. Mësimi është dritë, ndërsa ata që nuk mësojnë janë errësirë.

Shqetësimi natyrshëm është: mirë, ka inxhinieri sociale, duket e rrezikshme, çfarë duhet të bëjnë kompanitë me të gjitha këto? Kapiteni i Këtyre Situatave ka një përgjigje: duhet të mbrohemi, dhe kjo në mënyrë të gjërë. Një pjesë e mbrojtjes do të përqendrohet në masat klasike të sigurisë, siç janë mjetet teknike për mbrojtjen e informacionit, monitorimi dhe mbështetje ligjore e procedurave, por sipas mendimit tonë, pjesa më e madhe duhet të fokusohet në punën pa direkt me punonjësit, si pjesa më e dobët e zinxhirit. Sa më shumë të forcojmë teknikën, e sa më shumë rregulla të shkruajmë, gjithmonë do të ketë një përdorues që do të hapë një mënyrë të re për të prishur gjithçka. Sidomos se rregullat dhe teknika nuk do të arrijë kurrë të ndjekin kreativitetin e përdoruesit, veçanërisht kur ai këshillohet nga një kriminel të aftë.

Së pari, është thelbësore të edukosh përdoruesin: të shpjegosh se edhe në punën e tij rutinë mund të ndodhin situata të lidhura me inxhinierinë sociale. Për klientët tanë shpesh organizojmë kurs për higjienën digjitale – një aktivitet që mëson aftësi bazë për t'iu kundërvënë sulmeve në përgjithësi.

Mund të shtoj se një nga masat më të mira të mbrojtjes do të jetë krejt ndryshe nga memorizimi i rregullave të sigurisë së informacionit, por një vlerësim paksa tërësor të situatës:

1. Kush është biseduesi im?
2. Nga ka ardhur oferta ose kërkesa e tij (nuk ka ndodhur ndonjëherë këtë, dhe tani ndodhi)?
3. Çfarë është e pazakontë në këtë kërkesë?

Edhe një tip i pazakontë i fontit të email-it ose një stil i pazakontë i të folurit nga dërguesi mund të nxisë një zinxhir dyshimesh që do të ndalojë sulmin. Instruksionet e shkruara gjithashtu janë të nevojshme, por ato funksionojnë ndryshe, dhe nuk mund të konkretizojnë të gjitha situatat e mundshme. Për shembull, administratorët e sigurisë së informacionit shkruajnë në to se nuk duhet të futni fjalëkalimin tuaj në burime të jashtme. Por çfarë nëse fjalëkalimi i kërkohet nga një burim i 'tij', 'korporativ'? Përdoruesi mendon: 'Në kompaninë tonë ka tashmë dy duzina shërbimesh me një llogari të vetme, përse të mos shfaqet një tjetër?' Nga kjo nxirret një tjetër rregull: një proces i mirëorganizuar në punë ndikon gjithashtu drejtpërdrejt në siguri: nëse departamenti fqinj mund të kërkojë informacion vetëm me shkrim dhe vetëm përmes menaxherit tuaj, ai person 'nga partneri i besueshëm i kompanisë' me siguri nuk do të mund ta kërkojë atë me telefon – për ju do të ishte një absurd. Për më tepër, është veçanërisht e rëndësishme të jesh vigjilent nëse biseduesi juaj kërkon që gjithçka të bëhet pikërisht tani, ose 'ASAP', siç është mode. Edhe në punën e zakonshme, një situatë e tillë shpesh nuk është e shëndetshme, dhe në kushte sulmesh të mundshme, ky është një nxitës i fortë. Nuk ka kohë për të shpjeguar, filloni skedarin tim!

Vërejmë se përdoruesit gjithmonë bien pre e tema që lidhen me para në një formë ose një tjetër: premtimi i ngritjeve në pagë, preferencave, dhuratave, si dhe informacione sipas joshjeve dhe intrigave lokale. Me fjalë të tjera, funksionojnë mëkatet e thjeshta: lakmia për fitim, lakmia dhe kurioziteti i tepruar.

Një edukim i mirë gjithmonë duhet të përfshijë praktikë. Në këtë kuptim, mund të ndihmojnë specialistët e testimit të depërtimit. Pyetja e ardhshme është: çfarë dhe si do ta testojmë? Ne në Group-IB ofrojmë qasjen e mëposhtme – të zgjedhim menjëherë fokusin e testimit: ose të vlerësojmë gatishmërinë për sulme vetëm të vetë përdoruesve, ose të kontrollojmë mbrojtjen e kompanisë në tërësi. Dhe të testojmë me metoda të inxhinierisë sociale, duke imituar sulme reale – pra me phishing, dërgesa dokumentesh ekzekutues, telefonata dhe teknika të tjera.

Në rastin e parë, sulmi përgatitet me kujdes së bashku me përfaqësuesit e klientit, kryesisht me specialistët e TI dhe sigurisë së informacionit. Merren vesh legjendat, mjetet dhe teknikat e sulmeve. Klienti vetë siguron grupet fokale dhe listat e përdoruesve për sulmin, të cilat përfshijnë të gjitha kontaktet e nevojshme. Krijohen përjashtime në mjetet e mbrojtjes, pasi mesazhet dhe ngarkesat ekzekutuese duhet patjetër të arrijnë tek marrësi, sepse në një projekt të tillë interesi përbën vetëm reagimi i njerëzve. Mundësisht, mund të planifikohen në sulm tregues, të cilat përdoruesi mund të kuptojë se është një sulm – për shembull, mund të bëhen disa gabime ortografike në mesazhe ose të lihen pasaktësira në kopjimin e stilit të markës. Në përfundim të projektit, rezulton ai 'statistika e thatë': cilat grupe fokale dhe në çfarë sasi reaguan ndaj skenarëve.

Në rastin e dytë — sulmi kryhet pa njohuri të mëparshme, duke përdorur metodën e "kutisë së zezë". Ne mbledhim informacion në lidhje me kompaninë, punonjësit e saj, përimetrin rrjetor, formulojmë legjenda për sulmin, zgjedhim metoda, kërkojmë mjete të mundshme mbrojtëse që përdoren në kompaninë e synuar, përshtasim mjetet, hartojmë skenarë. Specialistët tanë përdorin si metodat klasike të inteligjencës nga burime të hapura (OSINT), ashtu edhe produktin e zhvilluar vetë nga Group-IB — Threat Intelligence, një sistem që gjatë përgatitjes për phishing mund të shërbejë si një agregator informacioni për kompaninë për një periudhë të gjatë, duke përfshirë informacionin e mbyllur. Natyrisht, që sulmi të mos bëhet një surprizë e pakëndshme, detajet e tij gjithashtu konfirmohen me klientin. Kështu kemi një test të plotë të depërtimit, por baza e tij do të jetë inxhinieria sociale e avancuar. Një opsion logjik në këtë rast është zhvillimi i sulmit brenda rrjetit, deri në arritjen e privilegjeve më të larta në sistemet e brendshme. Për më tepër, në një mënyrë të ngjashme përdorim sulmet socio-teknike gjithashtu në Red Teaming, dhe në disa teste depërtimi. Si rezultat, klienti do të marrë një pamje të pavarur dhe gjithëpërfshirëse të mbrojtjes së tij nga një lloj i caktuar i sulmeve socio-teknike, si dhe një demonstrim të efikasitetit (ose, përndryshe, të pakuptueshmërisë) së linjës mbrojtëse të ndërtuar ndaj kërcënimeve nga jashtë.

Ne rekomandojmë që një trajnim të tillë të bëhet të paktën dy herë në vit. Së pari, në çdo kompani ka rotacion punonjësish dhe përvoja e mëparshme gradualisht harrohet nga punonjësit. Së dyti, metodat dhe teknikat e sulmeve ndryshojnë vazhdimisht dhe kjo nxit nevojën për adaptimin e proceseve të sigurisë dhe mjeteve të mbrojtjes.

Nëse flasim për masat teknike të mbrojtjes nga sulmet, ato që ndihmojnë më së shumti janë:

• Prania e autentifikimit me dy faktorë në shërbimet që janë publikuar në internet. Të lësh shërbime të tilla në vitin 2019 pa sisteme Single Sign On, pa mbrojtje nga provat e fjalëkalimeve dhe pa autentifikim me dy faktorë në një kompani me qindra punonjës është një thirrje e hapur "thyeni më". Një mbrojtje e vendosur siç duhet do të bëjë të pamundur aplikimin e shpejtë të fjalëkalimeve të vjedhura dhe do të japë kohë për të adresuar pasojat e sulmit të phishing.
• Kontrolli i ndarjes së aksesit, minimizimi i të drejtave të përdoruesve në sisteme dhe respektingi i udhëzimeve për konfigurimin e sigurt të produkteve që publikohen nga çdo prodhues i madh. Këto janë shpesh masa që janë të thjeshta në përbërjen e tyre, por shumë efektive dhe të vështira për t'u zbatuar në praktikë, të cilat të gjithë në një nivel ose një tjetër i neglizhojnë për shkak të shpejtësisë së punës. Disa janë kaq të nevojshme, saqë pa to asnjë mjet mbrojtës nuk do të shpëtojë.
• Një linjë e mirë e filtrimit të postave elektronike. Anti-spam, kontroll i plotë i bashkëngjitjeve për praninë e kodit të dëmshëm, përfshirë testimin dinamik përmes sandboxes. Një sulm i mirë përgatitur nënkupton se bashkëngjitja e ekzekutueshme nuk do të zbuloheshin nga mjetet antivirus. Sandbox e verifikon të gjithë, duke përdorur skedarët në të njëjtën mënyrë siç do t'i përdorte një njeri. Si rezultat, komponenti potencialisht i dëmshëm do të zbulohet përmes ndryshimeve që ndodhin brenda sandbox-it.
• Mjetet e mbrojtjes nga sulmet e qëllimshme. Siç është përmendur më parë, mjetet klasike antivirus nuk do të zbulojnë skedarët e dëmshëm gjatë një sulmi të mirë përgatitur. Produktet më të avancuara duhet të ndjekin automatikisht grupin e ngjarjeve që ndodhin në rrjet — si në nivelin e një host-i të veçantë, ashtu edhe në nivelin e trafikut brenda rrjetit. Në rastet e sulmeve shfaqen shumë zinxhirë ngjarjesh karakteristikë, të cilat mund të ndjeken dhe ndalen, nëse kemi një monitorim të fokusuara në ngjarje të këtij lloji.

Origjinali i artikullit është publikuar në revistën "Information Security/ Информационная безопасность" #6, 2019.

Burimi: habr.com