Рупа као сигурносни алат – 2, или како ухватити АПТ „живим мамцем“

(хвала Сергеју Г. Брестеру на идеји за наслов себрес)

Колеге, сврха овог чланка је да подели искуство једногодишњег тестног рада нове класе ИДС решења заснованих на Децептион технологијама.

Да би се одржала логичка кохерентност излагања градива, сматрам да је неопходно почети од премиса. Дакле, проблем:

1. Циљани напади су најопаснији тип напада, упркос чињеници да је њихов удео у укупном броју претњи мали.
2. Још увек није измишљено загарантовано ефикасно средство за заштиту периметра (или скуп таквих средстава).
3. Циљани напади се по правилу одвијају у неколико фаза. Превазилажење периметра је само једна од почетних фаза, која (можете да бацате камење на мене) не наноси велику штету „жртви“, осим ако се, наравно, не ради о ДЕоС (Деструцтион оф сервице) нападу (шифротори итд. .). Прави „бол“ почиње касније, када заробљена средства почињу да се користе за окретање и развијање „дубинског“ напада, а ми то нисмо приметили.
4. Пошто почињемо да трпимо стварне губитке када нападачи коначно стигну до циљева напада (сервери апликација, ДБМС, складишта података, ризнице, елементи критичне инфраструктуре), логично је да је један од задатака службе информационе безбедности да прекине нападе пре него што овај тужни догађај. Али да бисте нешто прекинули, прво морате сазнати за то. И што пре, то боље.
5. Сходно томе, за успешно управљање ризиком (односно, смањење штете од циљаних напада), кључно је имати алате који ће обезбедити минимални ТТД (време за откривање – време од тренутка упада до тренутка откривања напада). У зависности од индустрије и региона, овај период у просеку износи 99 дана у САД, 106 дана у ЕМЕА региону, 172 дана у АПАЦ региону (М-Трендс 2017, Поглед са фронта, Мандиант).
6. Шта тржиште нуди?
   • „Пешчаре”. Још једна превентивна контрола, која је далеко од идеалне. Постоји много ефикасних техника за откривање и заобилажење сандбок-а или решења за стављање на белу листу. Момци са „мрачне стране“ су и даље корак испред.
   • УЕБА (системи за профилисање понашања и идентификовање одступања) – у теорији, може бити веома ефикасан. Али, по мом мишљењу, ово је негде у далекој будућности. У пракси, ово је и даље веома скупо, непоуздано и захтева веома зрелу и стабилну ИТ и инфраструктуру за безбедност информација, која већ поседује све алате који ће генерисати податке за анализу понашања.
   • СИЕМ је добар алат за истраживање, али није у стању да благовремено види и покаже нешто ново и оригинално, јер су правила корелације иста као и потписи.

7. Као резултат тога, постоји потреба за алатом који би:
   • успешно радио у условима већ компромитованог периметра,
   • открили успешне нападе у скоро реалном времену, без обзира на коришћене алате и рањивости,
   • није зависило од потписа/правила/скрипти/политика/профила и других статичних ствари,
   • нису захтевале велике количине података и њихове изворе за анализу,
   • омогућило би да се напади дефинишу не као нека врста оцењивања ризика као резултат рада „најбоље на свету, патентиране и самим тим затворене математике“, што захтева додатно истраживање, већ практично као бинарни догађај – „Да, нападнути смо“ или „Не, све је у реду“,
   • био универзалан, ефикасно скалабилан и изводљив за имплементацију у било ком хетерогеном окружењу, без обзира на коришћену физичку и логичку топологију мреже.

Такозвана решења обмане сада се боре за улогу таквог алата. Односно, решења заснована на добром старом концепту хонеипотс, али са потпуно другачијим нивоом имплементације. Ова тема је сада дефинитивно у порасту.

Према резултатима Гартнер Сецурити&Рисц самит менаџмента 2017 Решења за превару су укључена у ТОП 3 стратегије и алате који се препоручују за коришћење.

Према извештају ТАГ Циберсецурити Аннуал 2017 Обмана је један од главних праваца развоја решења ИДС Интрусион Детецтион Системс).

Читав део овог последњег Извештај компаније Цисцо о стању ИТ безбедности, посвећен СЦАДА-и, заснован је на подацима једног од лидера на овом тржишту, ТрапКс Сецурити (Израел), чије решење ради на нашем тестном подручју већ годину дана.

ТрапКс Децептион Грид вам омогућава да централно коштате и управљате масовно дистрибуираним ИДС-ом, без повећања оптерећења лиценцирања и захтева за хардверским ресурсима. У ствари, ТрапКс је конструктор који вам омогућава да од елемената постојеће ИТ инфраструктуре креирате један велики механизам за откривање напада на нивоу предузећа, неку врсту дистрибуираног мрежног „аларма“.

Структура решења

У нашој лабораторији стално проучавамо и тестирамо различите нове производе из области ИТ безбедности. Тренутно је овде распоређено око 50 различитих виртуелних сервера, укључујући ТрапКс Децептион Грид компоненте.

Дакле, од врха до дна:

1. ТСОЦ (ТрапКс Сецурити Оператион Цонсоле) је мозак система. Ово је централна управљачка конзола преко које се обављају конфигурација, имплементација решења и све свакодневне операције. Пошто је ово веб услуга, може се применити било где - на периметру, у облаку или код МССП провајдера.
2. ТрапКс Апплианце (ТСА) је виртуелни сервер на који повезујемо, користећи трунк порт, оне подмреже које желимо да покријемо надгледањем. Такође, сви наши мрежни сензори заправо "живе" овде.

   Наша лабораторија има један ТСА распоређен (мвсапп1), али у стварности их може бити много. Ово може бити неопходно у великим мрежама где не постоји Л2 повезаност између сегмената (типичан пример је „Холдинг и подружнице“ или „Седиште банке и филијале“) или ако мрежа има изоловане сегменте, на пример, аутоматизоване системе за контролу процеса. У свакој таквој грани/сегменту можете да примените сопствени ТСА и повежете га са једним ТСОЦ-ом, где ће све информације бити централно обрађене. Ова архитектура вам омогућава да изградите дистрибуиране системе за праћење без потребе за радикалним реструктурирањем мреже или ометањем постојеће сегментације.

   Такође, можемо да доставимо копију одлазног саобраћаја ТСА преко ТАП/СПАН. Ако откријемо везе са познатим ботнетима, командним и контролним серверима или ТОР сесијама, такође ћемо добити резултат у конзоли. За ово је одговоран мрежни интелигентни сензор (НИС). У нашем окружењу, ова функционалност је имплементирана на заштитном зиду, тако да је нисмо користили овде.

3. Замке апликација (Фулл ОС) – традиционални хонеипотс засновани на Виндовс серверима. Не треба вам их много, пошто је главна сврха ових сервера да обезбеде ИТ услуге следећем слоју сензора или открију нападе на пословне апликације које се могу применити у Виндовс окружењу. Имамо један такав сервер инсталиран у нашој лабораторији (ФОС01)

   

4. Емулиране замке су главна компонента решења, која нам омогућава да помоћу једне виртуелне машине направимо веома густо „минско поље“ за нападаче и заситимо мрежу предузећа, све њене влан-ове, нашим сензорима. Нападач види такав сензор, или фантомски хост, као прави Виндовс рачунар или сервер, Линук сервер или други уређај који ми одлучимо да му покажемо.

   
   
   За добробит пословања и радозналости, поставили смо „пар од сваког створења“ - Виндовс рачунаре и сервере различитих верзија, Линук сервере, банкомат са уграђеним Виндовс-ом, СВИФТ Веб Аццесс, мрежни штампач, Цисцо прекидач, Акис ИП камера, МацБоок, ПЛЦ уређај, па чак и паметна сијалица. Укупно има 13 домаћина. Генерално, продавац препоручује постављање таквих сензора у количини од најмање 10% од броја правих хостова. Горња трака је доступни адресни простор.

   Веома важна тачка је да сваки такав домаћин није пуноправна виртуелна машина која захтева ресурсе и лиценце. Ово је мамац, емулација, један процес на ТСА, који има скуп параметара и ИП адресу. Стога, уз помоћ чак и једног ТСА, можемо заситити мрежу стотинама таквих фантомских домаћина, који ће радити као сензори у алармном систему. Управо ова технологија омогућава економично скалирање концепта хонеипот у било које велико дистрибуирано предузеће.

   Са тачке гледишта нападача, ови домаћини су атрактивни јер садрже рањивости и изгледају као релативно лаке мете. Нападач види услуге на овим хостовима и може да комуницира са њима и да их нападне користећи стандардне алате и протоколе (смб/вми/ссх/телнет/веб/днп/боњоур/Модбус, итд.). Али немогуће је користити ове хостове за развој напада или покретање сопственог кода.

5. Комбинација ове две технологије (ФуллОС и емулиране замке) омогућава нам да постигнемо високу статистичку вероватноћу да ће нападач пре или касније наићи на неки елемент наше сигналне мреже. Али како можемо да будемо сигурни да је ова вероватноћа близу 100%?

   У битку улазе такозвани жетони за превару. Захваљујући њима, можемо укључити све постојеће рачунаре и сервере предузећа у наш дистрибуирани ИДС. Токени се постављају на стварне рачунаре корисника. Важно је разумети да токени нису агенти који троше ресурсе и могу изазвати конфликте. Токени су пасивни информациони елементи, нека врста „хлебних мрвица“ за нападачку страну које је воде у замку. На пример, мапирани мрежни дискови, обележивачи лажних веб администратора у прегледачу и сачуване лозинке за њих, сачуване ссх/рдп/винсцп сесије, наше замке са коментарима у фајловима хостова, лозинке сачуване у меморији, акредитиви непостојећих корисника, канцеларија датотеке, отварање које ће покренути систем и још много тога. Тако нападача постављамо у искривљено окружење, засићено векторима напада који нам заправо не представљају претњу, већ супротно. И нема начина да утврди где је информација истинита, а где лажна. Тиме не само да обезбеђујемо брзо откривање напада, већ и значајно успоравамо његов напредак.

Пример креирања мрежне замке и подешавања токена. Пријатељски интерфејс и без ручног уређивања конфигурација, скрипти итд.

У нашем окружењу, конфигурисали смо и поставили одређени број таквих токена на ФОС01 који ради под оперативним системом Виндовс Сервер 2012Р2 и на тест рачунару који ради под оперативним системом Виндовс 7. РДП ради на овим машинама и ми их периодично „окачимо“ у ДМЗ, где је велики број наших сензора (емулиране замке) су такође приказане. Дакле, добијамо константан ток инцидената, природно да тако кажем.

Дакле, ево неколико брзих статистичких података за годину:

56 – забележени инциденти,
2 – откривени су хостови извора напада.

Интерактивна мапа напада на коју се може кликнути

У исто време, решење не генерише неку врсту мега-лог или феед догађаја, за чије разумевање је потребно много времена. Уместо тога, само решење класификује догађаје по њиховим типовима и омогућава тиму за безбедност информација да се фокусира првенствено на оне најопасније – када нападач покуша да подигне контролне сесије (интеракција) или када се у нашем саобраћају појаве бинарни терети (инфекција).

Све информације о догађајима су читљиве и представљене, по мом мишљењу, у лако разумљивој форми чак и за корисника са основним знањем из области информационе безбедности.

Већина забележених инцидената су покушаји скенирања наших хостова или појединачних веза.

Или покушаји да се наметну лозинке за РДП

Али било је и занимљивијих случајева, посебно када су нападачи „успели“ да погоде лозинку за РДП и добију приступ локалној мрежи.

Нападач покушава да изврши код користећи псекец.

Нападач је пронашао сачувану сесију, што га је довело у замку у виду Линук сервера. Одмах након повезивања, са једним унапред припремљеним скупом команди, покушао је да уништи све датотеке евиденције и одговарајуће системске варијабле.

Нападач покушава да изврши СКЛ ињекцију на хонеипот који имитира СВИФТ Веб Аццесс.

Поред оваквих „природних“ напада, спровели смо и бројне сопствене тестове. Један од најоткривенијих је тестирање времена детекције мрежног црва на мрежи. Да бисмо то урадили, користили смо алатку из ГуардиЦоре-а под називом Инфецтион Монкеи. Ово је мрежни црв који може да отме Виндовс и Линук, али без икаквог „корисног оптерећења“.
Поставили смо локални командни центар, покренули прву инстанцу црва на једној од машина и примили прво упозорење на ТрапКс конзоли за мање од минут и по. ТТД 90 секунди наспрам 106 дана у просеку...

Захваљујући могућности интеграције са другим класама решења, можемо да пређемо са само брзог откривања претњи на аутоматско реаговање на њих.

На пример, интеграција са НАЦ (Нетворк Аццесс Цонтрол) системима или са ЦарбонБлацк ће вам омогућити да аутоматски искључите компромитоване рачунаре са мреже.

Интеграција са сандбоковима омогућава да се датотеке укључене у напад аутоматски предају на анализу.

МцАфее интеграција

Решење такође има сопствени уграђени систем корелације догађаја.

Али нисмо били задовољни његовим могућностима, па смо га интегрисали са ХП АрцСигхт.

Уграђени систем за продају карата помаже целом свету да се носи са откривеним претњама.

Пошто је решење развијено „од старта“ за потребе владиних агенција и великог корпоративног сегмента, природно имплементира модел приступа заснован на улогама, интеграцију са АД, развијен систем извештаја и окидача (упозорења о догађајима), оркестрацију за велике холдинг структуре или МССП провајдери.

Уместо резимеа

Ако постоји такав систем праћења, који нам, сликовито речено, покрива леђа, онда са компромисом периметра све тек почиње. Најважније је да постоји реална могућност да се бавимо инцидентима безбедности информација, а не да се бавимо њиховим последицама.

Извор: ввв.хабр.цом