(ka lebaka la Sergey G. Brester bakeng sa mohopolo oa sehlooho )
Basebetsi-'moho, sepheo sa sengoloa sena ke ho arolelana boiphihlelo ba tlhahlobo ea selemo kaofela ea sehlopha se secha sa litharollo tsa IDS tse thehiloeng ho mahlale a Thetso.
E le ho boloka momahano o utloahalang oa tlhahiso ea boitsebiso, ke nka ho hlokahala ho qala ka sebaka. Kahoo, bothata ke:
- Litlhaselo tse lebisitsoeng ke mofuta o kotsi ka ho fetisisa oa tlhaselo, ho sa tsotellehe hore karolo ea bona palo eohle ea litšokelo e nyenyane.
- Ha ho na mokhoa o tiisitsoeng o sebetsang oa tšireletso ea perimeter (kapa mokhoa o rarahaneng oa mekhoa e joalo) o seng o qapiloe.
- Ka tloaelo, litlhaselo tse lebisitsoeng li etsahala ka mekhahlelo e mengata. Ho senya ho pota-pota ke e 'ngoe ea mehato ea pele, eo (o ka nkotla ka majoe) ha e bake tšenyo e ngata ho "lehlatsipa", ntle le haeba, ha e le hantle, ke tlhaselo ea DEoS (Tshenyo ea Tšebeletso) (encryptors, joalo-joalo). "Bohloko" ba sebele bo qala hamorao, ha thepa e hapuoeng e qala ho sebelisoa bakeng sa pivoting le ho hlahisa tlhaselo "ka botebo", 'me ha rea ka ra e hlokomela.
- Kaha re qala ho utloa bohloko ba tahlehelo ea 'nete ha bahlaseli ba qetella ba fihlile lipakaneng tsa tlhaselo (li-server tsa kopo, DBMS, polokelo ea data, li-repositories, lisebelisoa tsa bohlokoa tsa mehaho), hoa utloahala hore e' ngoe ea mesebetsi ea ts'ebeletso ea ts'ireletso ea tlhahisoleseding ke ho sitisa litlhaselo pele ho ketsahalo ena e bohloko. Empa e le hore u sitise ntho e itseng, u lokela ho qala ka ho tseba ka eona. 'Me kapele - ho molemo.
- Ka lebaka leo, bakeng sa taolo e atlehileng ea kotsi (ke hore, ho fokotsa tšenyo ho tloha litlhaselong tse lebisitsoeng), ke habohlokoa ho ba le lisebelisoa tse tla netefatsa bonyane ba TTD (nako ea ho lemoha - nako ea ho tloha nakong ea ho kenella ho fihlela motsotso oa ho lemoha tlhaselo). Ho ipapisitsoe le indasteri le sebaka, nako ena ke ka karolelano matsatsi a 99 naheng ea Amerika, matsatsi a 106 sebakeng sa EMEA, matsatsi a 172 sebakeng sa APAC (M-Trends 2017, A View From the Front Lines, Mandiant).
- 'Maraka o fana ka eng?
- "Mabokose a lehlabathe". Taolo e 'ngoe e thibelang, e leng hole le ho feta. Ho na le mekhoa e mengata e sebetsang ea ho bona le ho feta li-sandbox kapa litharollo tsa whitelist. Mathaka a tsoang "lehlakoreng le lefifi" a ntse a le mohato o le mong pele mona.
- UEBA (boitšoaro ba profiling le mekhoa e sa tloaelehang ea ho lemoha) - ka khopolo, e ka sebetsa haholo. Empa, ka maikutlo a ka, sena ke nako e 'ngoe ea bokamoso bo hole. Ha e le hantle, e ntse e le theko e boima haholo, e sa tšepahaleng 'me e hloka mekhoa e metle ea IT le IS, moo lisebelisoa tsohle tse tla hlahisa lintlha tsa tlhahlobo ea boitšoaro li se li ntse li le teng.
- SIEM ke sesebelisoa se setle sa lipatlisiso, empa ha e khone ho bona kapa ho bonts'a eng kapa eng e ncha kapa ea mantlha ka nako, hobane melao ea khokahano ha e le hantle e tšoana le mesaeno.
- Ka lebaka leo, ho ne ho hlokahala sesebelisoa se neng se tla:
- e sebelitse ka katleho sebakeng se seng se senyehile,
- e lemoha litlhaselo tse atlehileng ka nako ea nnete ho sa tsotelehe lisebelisoa le bofokoli bo sebelisitsoeng,
- e ne e sa itšetlehe ka li-signature / melao / lingoloa / maano / liprofaele le lintho tse ling tse tsitsitseng,
- ha e hloke lintlha tse ngata le mehloli ea tsona bakeng sa tlhahlobo,
- e ka re lumella ho hlalosa litlhaselo eseng mofuta o itseng oa ho ipeha kotsing ka lebaka la mosebetsi oa "lipalo tse ntle ka ho fetisisa lefatšeng, tse nang le tokelo ea molao le tse koetsoeng", tse hlokang lipatlisiso tse eketsehileng, empa hoo e batlang e le ketsahalo ea binary - "E, rea hlaseloa" kapa "Che, ntho e 'ngoe le e' ngoe e lokile",
- e ne e le bokahohleng, e ka senyeha ka mokhoa o nepahetseng 'me e ka khoneha ho kenya ts'ebetsong tikolohong efe kapa efe e sa tšoaneng, ho sa tsotellehe hore na topology ea marang-rang e sebelisitsoeng joang le e utloahalang.
Seo ho thoeng ke litharollo tsa thetso hajoale se tseka karolo ea sesebelisoa se joalo. Ke hore, litharollo tse thehiloeng khopolong e ntle ea khale ea mahe a linotsi, empa ka boemo bo fapaneng ka ho feletseng ba ts'ebetsong. Ka sebele sehlooho sena se ntse se phahama hona joale.
Ho latela liphetho Litharollo tsa bolotsana ke tse ling tsa maano a TOP 3 le lisebelisoa tse khothalletsoang hore li sebelisoe.
Ho latela tlaleho Thetso ke e 'ngoe ea litataiso tsa mantlha tsa nts'etsopele ea tharollo ea IDS Intrusion Detection Systems).
Karolo e felletseng ea ho qetela , e inehetseng ho SCADA, e itšetlehile ka boitsebiso bo tsoang ho e mong oa baeta-pele ba 'marakeng ona, TrapX Security (Israel), eo tharollo e 'nileng ea sebetsa sebakeng sa rona sa liteko ka selemo hona joale.
TrapX Deception Grid e o lumella ho aha le ho sebelisa li-IDS tse phatlalalitsoeng bohareng, ntle le ho eketsa mojaro oa laesense le litlhoko tsa lisebelisoa tsa thepa. Ha e le hantle, TrapX ke sehahi se u lumellang hore u thehe mokhoa o le mong o moholo oa ho lemoha litlhaselo tsa khoebo ho tloha likarolong tsa lisebelisoa tsa IT tse teng, mofuta oa "alamo" ea marang-rang.
Sebopeho sa Tharollo
Ka laboratoring ea rona re lula re ithuta le ho leka mekhoa e fapaneng e fapaneng tšimong ea ts'ireletso ea IT. Hajoale, ho na le li-server tse ka bang 50 tse fapaneng tse kentsoeng mona, ho kenyeletsoa likarolo tsa TrapX Deception Grid.
Kahoo, ho tloha holimo ho ea tlase:
- TSOC (TrapX Security Operation Console) ke boko ba tsamaiso. Ena ke setsi sa tsamaiso se bohareng, ka thuso ea hore tharollo e lokisoe, e sebelisoe 'me mosebetsi oohle oa letsatsi le letsatsi o etsoa. Kaha ena ke ts'ebeletso ea webo, e ka romelloa kae kapa kae - sebakeng se haufi, marung kapa ho mofani oa MSSP.
- TrapX Appliance (TSA) ke seva sa nnete seo re hokelang li-subnets tseo re batlang ho li beha leihlo ka boema-kepe ba kutu. Li-sensor tsa rona tsa marang-rang kaofela li "phela" mona.
Lab ea rona, re kentse TSA (mwsapp1) e le 'ngoe, empa ha e le hantle ho ka ba le tse ngata tsa tsona. Sena se ka 'na sa hlokahala ho marang-rang a maholo moo ho se nang khokahanyo ea L2 pakeng tsa likarolo (mohlala o tloaelehileng ke "Ho tšoara le li-subsidiaries" kapa "ofisi ea hlooho ea banka le makala") kapa haeba ho na le likarolo tse ka thōko ho marang-rang, mohlala, mokhoa oa ho laola mokhoa o ikemetseng. Lekaleng le leng le le leng / karolo e joalo, o ka tsamaisa TSA ea hau mme oa e hokahanya le TSOC e le 'ngoe, moo tlhahisoleseling eohle e tla sebetsoa bohareng. Meaho ena e u lumella ho haha mekhoa ea ho shebella e ajoang ntle le tlhokahalo ea tlhophiso e matla ea marang-rang kapa tšitiso ea likarolo tse teng.
Hape re ka romella kopi ea sephethephethe se tsoang TSA ka TAP/SPAN. Tabeng ea ho fumanoa ha likhokahano le li-botnets tse tsejoang, li-server tsa litaelo, linako tsa TOR, re tla boela re fumane sephetho ho console. Network Intelligence Sensor (NIS) e ikarabella bakeng sa sena. Sebakeng sa rona, ts'ebetso ena e sebelisoa ho firewall, kahoo ha rea e sebelisa mona.
- Lithapo tsa Kopo (Ts'ebetso e Felletseng) – lipitsa tsa mahe a linotši tsa setso tse thehiloeng ho Windows-di-server. Ha ho hlokahale tse ngata, kaha morero o ka sehloohong oa li-server tsena ke ho fana ka lits'ebeletso tsa IT ho lera le latelang la li-sensor kapa ho lemoha litlhaselo lits'ebetsong tsa khoebo tse ka sebelisoang ho Windows-Laboraro. Re na le seva e le 'ngoe e joalo (FOS01) e kentsoeng laboratoring ea rona.
- Maraba a etsisitsoeng ke karolo ea bohlokoa ea tharollo, e re lumellang ho theha sebaka se teteaneng haholo bakeng sa bahlaseli ba sebelisang mochini o le mong oa sebele le ho tlatsa marang-rang a khoebo, ho kenyeletsoa le li-VLAN tsohle tsa eona, ka li-sensor tsa rona. Mohlaseli o bona sensor e joalo, kapa moamoheli oa phantom, e le oa 'nete. Windows PC kapa seva, Linux seva kapa sesebelisoa se seng seo re etsang qeto ea ho se bontša.
Bakeng sa khoebo le bohelehele, re ile ra beha "para ea sebopuoa se seng le se seng" - Windows Likhomphutha le li-server tsa mefuta e fapaneng, Linux-liseva, ATM c Windows e kentsweng, SWIFT Web Access, printa ya netweke, switch ya Cisco, khamera ya Axis IP, MacBook, sesebediswa sa PLC, esita le lebone le bohlale. Ke di-host tse 13 kaofela. Ka kakaretso, morekisi o kgothaletsa ho kenya di-sensor tse jwalo bonyane 10% ya palo yohle ya di-host tsa nnete. Moedi o ka hodimo ke sebaka sa aterese se fumanehang.Ntlha ea bohlokoa haholo ke hore moamoheli e mong le e mong ea joalo ha se mochini o felletseng o hlokang lisebelisoa le laesense. Ke "dummy", emulation, ts'ebetso e le 'ngoe ho TSA, e nang le litekanyetso le aterese ea IP. Ka hona, ka thuso ea TSA e le 'ngoe, re ka tlatsa marang-rang ka makholo a mabotho a joalo a phantom a tla sebetsa e le li-sensor tsamaisong ea alamo. Ke theknoloji ena e lumellang mohopolo oa "lipitsa tsa mahe a linotsi" hore o be le moruo le ka mokhoa o atlehileng sekaleng sa khoebo efe kapa efe e kholo e ajoang.
Baahi bana ba khahleha ho ea ka pono ea bahlaseli, kaha ba na le bofokoli 'me ba shebahala joalo ka liphofu tse batlang li le bonolo. Mohlaseli o bona lits'ebeletso ho mabotho ana mme a ka sebelisana le bona, a ba hlasela a sebelisa lisebelisoa le liprothokholo tse tloaelehileng (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus, joalo-joalo). Empa ha ho khonehe ho sebelisa mabotho ana ho hlahisa tlhaselo le ho qala khoutu ea hau.
- Motsoako oa litheknoloji tsena tse peli (FullOS le lipitsa tsa mahe a linotsi tse etsisitsoeng) li re lumella ho fihlela monyetla o phahameng oa lipalo-palo oa hore mohlaseli o tla qetella a kopane le karolo e itseng ea marang-rang a rona a matšoao. Empa re ka etsa joang hore monyetla ona o be haufi le 100%?
Seo ho thoeng ke matšoao (li-tokens tsa thetso) li kena ntoeng. Ka lebaka la bona, re ka kenyelletsa li-PC tsohle tse fumanehang le li-server tsa khoebo ho IDS ea rona e phatlalalitsoeng. Li-tokens li behiloe ho li-PC tsa sebele tsa basebelisi. Ke habohlokoa ho utloisisa hore li-tokens ha se moemeli ea jang lisebelisoa mme a ka baka likhohlano. Li-tokens ke likarolo tsa tlhahisoleseling tse sa sebetseng, mofuta oa "breadcrumbs" bakeng sa mokha o hlaselang, o o lebisang lerabeng. Ka mohlala, li-drive tsa marang-rang tse hokahaneng, li-bookmark ho liphanele tsa tsamaiso ea marang-rang ea fake ho sebatli le ho boloka li-password ho tsona, li bolokiloe ssh/rdp/winscp linako, maraba a rona a nang le maikutlo ho lifaele tsa mabotho, li-password tse bolokiloeng mohopolong, lintlha tsa basebelisi ba seng teng, lifaele tsa ofisi, ho buloa ha eona ho tla tsosa sistimi, le tse ling tse ngata. Kahoo, re beha mohlaseli sebakeng se sothehileng se nang le li-vector tse hlaselang tse sa hlahiseng tšokelo ho rona, empa ho fapana le hoo. ’Me ha a na mokhoa oa ho fumana hore na boitsebiso boo ke ’nete hokae le hore na bo fosahetse hokae. Kahoo, ha re netefatse feela ho lemoha ka potlako tlhaselo, empa hape re fokotsa haholo tsoelo-pele ea eona.
Mohlala oa ho theha leraba la marang-rang le ho theha li-tokens. Sebopeho se bonolo sa mosebelisi ebile ha se na tokiso ea matsoho ea li-configs, lingoloa, jj.
Tikolohong ea rona, re hlophisitse le ho kenya li-tokens tse ngata tse joalo ho FOS01 tlas'a taolo ea Windows Server 2012R2 le PC ea teko e tlase Windows 7. Mechini ena e tsamaisa RDP, 'me nako le nako re e "leketlisa" ho DMZ, moo li-sensor tsa rona tse 'maloa (maraba a etsisitsoeng) le tsona li leng teng. Ka tsela ena, re fumana letoto la liketsahalo tse sa khaotseng, ka tsela ea tlhaho.
Kahoo, mona ke lipalo-palo tse khutšoane tsa selemo:
56 - liketsahalo tse tlalehiloeng,
2 - mabotho a mohloli oa tlhaselo a fumanoe.
E sebelisanang, 'mapa oa tlhaselo o ka tobehang
Ka nako e ts'oanang, tharollo ha e hlahise mega-log kapa lijo tsa ketsahalo tse nkang nako e telele ho li hlophisa. Ho e-na le hoo, tharollo ka boeona e arola liketsahalo ka mefuta ea tsona 'me e lumella sehlopha sa ts'ireletso ea tlhahisoleseding hore se tsepamise maikutlo haholo-holo ho tse kotsi ka ho fetisisa - ha mohlaseli a leka ho phahamisa linako tsa taolo (tšebelisano) kapa ha litefiso tsa binary (tšoaetso) li hlaha sephethephetheng sa rona.
Lintlha tsohle tse mabapi le liketsahalo li ka baloa 'me li hlahisoa, ka maikutlo a ka, ka mokhoa o bonolo ho utloisisa esita le bakeng sa mosebedisi ea nang le tsebo ea motheo tšimong ea ts'ireletso ea tlhahisoleseding.
Boholo ba liketsahalo tse rekotiloeng ke liteko tsa ho skena baamoheli ba rona kapa likhokahano tsa batho ka bomong.
Kapa ho leka ho senya li-passwords tsa RDP
Empa ho ne ho boetse ho e-na le linyeoe tse ling tse thahasellisang, haholo-holo ha bahlaseli "ba khona" ho nka phasewete bakeng sa RDP le ho fumana marang-rang a sebaka seo.
Mohlaseli o leka ho kenya khoutu a sebelisa psexec.
Mohlaseli o fumane seboka se pholositsoeng se ileng sa mo isa lerabeng ka mokhoa oa Linux-server. Hang ka mora ho hokela, ka ho sebedisa sete e le nngwe ya ditaelo tse lokisitsweng esale pele, e lekile ho senya difaele tsohle tsa log le di-variable tsa sistimi tse tsamaellanang.
Mohlaseli o leka ho etsa ente ea SQL ka pitsa ea linotsi e etsisang SWIFT Web Access.
Ntle le litlhaselo tse joalo tsa "tlhaho", re ile ra boela ra etsa liteko tse ngata tsa rona. E 'ngoe ea tse bontšang ka ho fetisisa ke ho hlahloba nako eo e e nkang ho fumana seboko sa marang-rang marang-rang. Bakeng sa sena, re sebelisitse sesebelisoa se tsoang ho GuardiCore se bitsoang Ena ke seboko sa marang-rang se ka tšoasang Windows и Linux, empa ntle le mojaro o "molemo".
Re ile ra kenya setsi sa litaelo tsa sebaka seo, ra qala mohlala oa pele oa seboko ho o mong oa mechine, 'me ra fumana tsebiso ea pele ho TrapX console ka nako e ka tlaase ho motsotso le halofo. TTD metsotsoana e 90 ha e bapisoa le matsatsi a 106 ka karolelano…
Ka lebaka la bokhoni ba ho ikopanya le lihlopha tse ling tsa litharollo, re ka tloha ho tloha ho lemoha litšokelo ho isa ho arabela ka bohona.
Mohlala, ho hokahana le sistimi ea NAC (Network Access Control) kapa CarbonBlack ho tla lumella li-PC tse senyehileng hore li hokeloe marang-rang.
Ho kopanya le li-sandboxes ho u lumella ho fana ka lifaele tse amehang tlhaselong bakeng sa tlhahlobo.
Ho kopanya ha McAfee
Tharollo e boetse e na le mokhoa oa eona oa ho hokahanya liketsahalo.
Empa ha rea ka ra khotsofala ke bokhoni ba eona, kahoo re e kopantse le HP ArcSight.
Sistimi e hahelletsoeng ea litekete e thusa ho sebetsana ka katleho le litšokelo tse lemohileng "le le sehlopha".
Kaha tharollo e ile ea ntlafatsoa "ho tloha qalong" bakeng sa litlhoko tsa mekhatlo ea 'muso le karolo e kholo ea lik'hamphani, ka tlhaho e sebelisa mokhoa oa ho fihlella o itšetlehileng ka karolo, ho kopanya le AD, tsamaiso e tsoetseng pele ea litlaleho le li-triggers (litsebiso tsa liketsahalo), ho hlophisa lihlopha tse kholo tsa ho tšoara mehaho kapa bafani ba MSSP.
Ho e-na le ho qala hape
Haeba ho na le mokhoa o joalo oa ho shebella, oo, ka tsela ea tšoantšetso, o koahelang mokokotlo oa rona, joale ka ho sekisetsa ha perimeter, ntho e 'ngoe le e' ngoe e qala feela. Ntho ea bohlokoa ka ho fetisisa ke hore monyetla oa sebele o bonahala o loantša liketsahalo tsa ts'ireletso ea tlhahisoleseding, le ho se sebetsane le ho felisoa ha liphello tsa bona.
Source: www.habr.com
