ProHoster > Blogg > Administration > SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

(tack för idén till rubriken Sergey G. Brester sebres)

Kollegor, syftet med denna artikel Àr att dela med sig av erfarenheterna frÄn ett Ärs testverksamhet med en ny klass av IDS-lösningar baserade pÄ Deception-teknologier.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

För att bevara den logiska sammanhÄllningen i materialet anser jag att det Àr nödvÀndigt att börja med förutsÀttningarna. SÄ, problematiken:

  1. MÄlinriktade attacker Àr den farligaste typen av attacker, trots att deras andel av det totala antalet hot Àr relativt liten.
  2. Det finns fortfarande inget garanterat effektivt skydd för perimeter (eller en uppsÀttning av sÄdana medel).
  3. Som regel genomgÄr mÄlinriktade attacker flera faser. Att övervinna perimetern Àr endast en av de inledande faserna, som (ni kan kasta sten pÄ mig) inte orsakar stor skada för "offret", om det inte handlar om DEoS (Destruction of service) attacker (krypterare och sÄ vidare). Det blir verkligen "ont" senare nÀr de tagna tillgÄngarna börjar anvÀndas för pivotering och utveckling av attacken "inuti", och vi bemÀrker det inte.
  4. Eftersom vi börjar drabbas av verkliga förluster först nÀr angriparna faktiskt nÄr sina mÄl (applikationsservrar, DBMS, datalagringssystem, datalager, kritiska infrastrukturelement), Àr det logiskt att en av uppgifterna för informationssÀkerhetstjÀnsten Àr att avbryta angrepp innan det tragiska intrÀffar. Men för att kunna avbryta nÄgot mÄste man först fÄ veta om det. Ju tidigare, desto bÀttre.
  5. Tillsammans med detta Ă€r det av största vikt att ha verktyg för att framgĂ„ngsrikt hantera risker (det vill sĂ€ga, minska skadan frĂ„n mĂ„linriktade attacker), vilket sĂ€kerstĂ€ller minimi TTD (time to detect – tiden frĂ„n intrĂ„ng till det ögonblick dĂ„ attacken upptĂ€ckts). Beroende pĂ„ bransch och region ligger denna period i genomsnitt pĂ„ 99 dagar i USA, 106 dagar i regionen EMEA, 172 dagar i regionen APAC (M-Trends 2017, A View From the Front Lines, Mandiant).
  6. Vad erbjuder marknaden?
    • «Sandboxar». Ytterligare en preventiv kontroll som Ă€r lĂ„ngt ifrĂ„n idealisk. Det finns mĂ„nga effektiva tekniker för att upptĂ€cka och kringgĂ„ sandlĂ„dor eller whitelisting-lösningar. Killarna frĂ„n "mörka sidan" Ă€r hĂ€r fortfarande ett steg före.
    • UEBA (system för beteendeprofiler och avvikelseidentifiering) kan i teorin vara mycket effektiv. Men enligt min Ă„sikt Ă€r det nĂ„got som ligger lĂ„ngt in i framtiden. I praktiken Ă€r det fortfarande vĂ€ldigt dyrt, opĂ„litligt och krĂ€ver en mycket mogen och stabil IT- och informationssĂ€kerhetsinfrastruktur, dĂ€r alla verktyg som genererar data för beteendeanalys redan finns.
    • SIEM Ă€r ett bra verktyg för utredningar, men det kan inte se och visa nĂ„got nytt, originellt i rĂ€tt tid, eftersom korrelationsreglerna i grunden Ă€r samma som signaturerna.

  7. Som ett resultat finns det ett behov av ett sÄdant verktyg som:
    • framgĂ„ngsrikt kan arbeta i en redan komprometterad perimeter,
    • kan upptĂ€cka lyckade attacker i nĂ€ra realtid oavsett vilka verktyg och sĂ„rbarheter som anvĂ€nds,
    • inte beroende av signaturer/regler/manus/policyer/profiler och andra statiska element,
    • inte krĂ€ver stora datamĂ€ngder och deras kĂ€llor för analys,
    • möjliggör att bestĂ€mma attacker inte som nĂ„gon riskbedömning som ett resultat av "vĂ€rldens bĂ€sta, patenterade och dĂ€rför slutna matematiken", som krĂ€ver ytterligare utredning, utan praktiskt taget som en binĂ€r hĂ€ndelse – "Ja, vi blir attackerade" eller "Nej, allt Ă€r okej",
    • Ă€r universell, effektivt skalbar och faktiskt kan implementeras i en heterogen miljö, oavsett den fysiska och logiska nĂ€tverkstopologi som anvĂ€nds.

De sÄ kallade deception-lösningarna aspirerar nu till rollen som ett sÄdant verktyg. Det vill sÀga lösningar som baseras pÄ den gamla goda konceptet honeypots, men med en helt annan implementationsnivÄ. Detta Àmne Àr definitivt pÄ uppgÄng just nu.

Enligt resultaten av Gartner Security&Risc management summit 2017 Deception-lösningar ligger bland de TOP-3 strategierna och verktygen som rekommenderas att anvÀnda.

Enligt rapporten TAG Cybersecurity Annual 2017 Deception Àr en av de huvudriktningar för utveckling av IDS (Intrusion Detection Systems)-lösningar.

Hela sektionen i den senaste rapporten frÄn Cisco om IT-sÀkerhetsstatus, Àgnas Ät SCADA, bygger pÄ data frÄn en av ledarna pÄ denna marknad, TrapX Security (Israel), vars lösning har varit i vÄr testzon i ett Är.

TrapX Deception Grid gör det möjligt att installera och anvÀnda massiva distribuerade IDS centralt, utan att öka licensbelastningen eller kraven pÄ hÄrdvaruresurser. Faktum Àr att TrapX Àr en byggsats som gör det möjligt att skapa ett stort angreppsdetekteringssystem frÄn element i den befintliga IT-infrastrukturen, en slags distribuerad nÀtverks "signalering" för hela företaget.

Lösningsstruktur

I vÄrt laboratorium studerar och testar vi stÀndigt olika nyheter inom IT-sÀkerhet. För nÀrvarande har vi cirka 50 olika virtuella servrar hÀr, inklusive komponenter frÄn TrapX Deception Grid.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

SÄ, uppifrÄn och ner:

  1. TSOC (TrapX Security Operation Console) – systemets hjĂ€rna. Detta Ă€r den centrala styrkonsolen som anvĂ€nds för att konfigurera, implementera lösningen och all daglig verksamhet. Eftersom det Ă€r en webbtjĂ€nst kan den implementeras var som helst – i perimetrar, i molnet eller hos en MSSP-leverantör.
  2. TrapX Appliance (TSA) – en virtuell server dĂ€r vi via trunk-porten ansluter de subnet som vi vill övervaka. HĂ€r "bor" ocksĂ„ alla vĂ„ra nĂ€tverkssensorer.

    I vÄrt laboratorium Àr en TSA (mwsapp1) implementerad, men i verkligheten kan det finnas mÄnga. Detta kan vara nödvÀndigt i stora nÀtverk dÀr det inte finns L2-kontinuitet mellan segmenten (ett typiskt exempel Àr "holding och dotterföretag" eller "huvudkontoret för banken och filialer") eller om det finns isolerade segment i nÀtverket, till exempel industriella styrsystem. I varje sÄdan filial/segment kan en egen TSA implementeras och anslutas till en gemensam TSOC, dÀr all information behandlas centralt. Denna arkitektur möjliggör byggandet av distribuerade övervakningssystem utan behov av stora nÀtverksomlÀggningar eller störningar av den befintliga segmenteringen.

    Dessutom kan vi pÄ TSA skicka en kopia av den utgÄende trafiken via TAP/SPAN. Vid upptÀckten av anslutningar till kÀnda botnÀt, kommandoservrar, TOR-sessioner fÄr vi ocksÄ resultat i konsolen. Detta hanteras av Network Intelligence Sensor (NIS). I vÄr miljö har denna funktion implementerats pÄ brandvÀggen, sÄ vi har inte anvÀnt den hÀr.

  3. Application Traps (Full OS) – traditionella honeypots baserade pĂ„ Windows-servrar. Det behövs inte mĂ„nga av dem, eftersom huvuduppgiften för dessa servrar Ă€r att tillhandahĂ„lla IT-tjĂ€nster till nĂ€sta nivĂ„ av sensorer eller att upptĂ€cka attacker pĂ„ affĂ€rsapplikationer som kan implementeras i en Windows-miljö. Vi har en sĂ„dan server installerad i vĂ„rt laboratorium (FOS01)

    SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

  4. Emulerade fĂ€llor – den huvudsakliga komponenten i lösningen som lĂ„ter oss med hjĂ€lp av en enda virtuell maskin skapa ett mycket tĂ€tt 'minor' fĂ€lt för angripare och fylla företagsnĂ€tverket, alla dess VLAN, med vĂ„ra sensorer. En angripare ser en sĂ„dan sensor, eller fantomvĂ€rd, som en riktig Windows-PC eller server, Linux-server eller annan enhet som vi vĂ€ljer att visa.

    SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

    För nyfikenhetens skull har vi rullat ut 'varje djur ett par' – Windows-PC och servrar av olika versioner, Linux-servrar, en bankomat med Windows embedded, SWIFT Web Access, en nĂ€tverksskrivare, Cisco-switch, IP-kamera frĂ„n Axis, MacBook, PLC-enhet och till och med en smart lampa. Totalt – 13 vĂ€rdar. Generellt rekommenderar leverantören att implementera sĂ„dana sensorer i en mĂ€ngd av minst 10 % av antalet verkliga vĂ€rdar. Övre grĂ€ns Ă€r det tillgĂ€ngliga adressutrymmet.

    En mycket viktig aspekt Àr att varje sÄdan vÀrd inte Àr en fullstÀndig virtuell maskin som krÀver resurser och licenser. Det Àr en 'falsk' imitation, en emulering, en process pÄ TSA, som har en uppsÀttning parametrar och en IP-adress. DÀrför kan vi med hjÀlp av till och med en TSA fylla nÀtverket med hundratals sÄdana fantomvÀrdar som fungerar som sensorer i alarmsystemet. Just denna teknik gör det ekonomiskt effektivt att skala konceptet 'honeypots' inom vilket stort distribuerat företag som helst.

    Dessa vÀrdar Àr sett ur angriparens perspektiv attraktiva, eftersom de innehÄller sÄrbarheter och verkar vara relativt lÀtta mÄl. Angriparen ser tjÀnster pÄ dessa vÀrdar och kan interagera med dem, attackera dem med standardverktyg och protokoll (smb/wmi/ssh/telnet/web/dnp/bonjour/Modbus och sÄ vidare). Men det Àr omöjligt att anvÀnda dessa vÀrdar för att utveckla attacken eller köra sin kod.

  5. Kombinationen av dessa tvÄ teknologier (FullOS och emulerade fÀllor) gör det möjligt att uppnÄ en hög statistisk sannolikhet för att en angripare förr eller senare verkligen kommer att stöta pÄ nÄgot element i vÄrt signalnÀt. Men hur gör vi sÄ att denna sannolikhet ligger nÀra 100%?

    DÀrför introduceras sÄ kallade token (Deception tokens). Tack vare dem kan vi inkludera alla befintliga datorer och servrar i vÄrt distribuerade IDS. Tokens placeras pÄ verkliga anvÀndardatorer. Det Àr viktigt att förstÄ att tokens inte Àr agenter som förbrukar resurser och kan orsaka konflikter. Tokens Àr passiva informationsenheter, en sorts 'brödsmulor' för angriparsidan som leder dem i fÀllan. Till exempel, anslutna nÀtverksdiskar, bokmÀrken till falska webb-administrationssidor i webblÀsaren och sparade lösenord till dem, sparade ssh/rdp/winscp-sessioner, vÄra fÀllor med kommentarer i hosts-filer, sparade lösenord i minnet, autentiseringsuppgifter för icke-existerande anvÀndare, kontorsfiler vars öppning skulle utlösa systemet, och mycket mer. PÄ sÄ sÀtt placerar vi angriparen i en förvrÀngd miljö, fylld med de attackvektorer som faktiskt inte utgör ett hot för oss, utan snarare tvÀrtom. Och de har ingen möjlighet att avgöra vad som Àr sann information och vad som Àr falsk. PÄ sÄ sÀtt sÀkerstÀller vi inte bara snabb detektering av attacker, utan fördröjer Àven deras gÄng avsevÀrt.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"
Ett exempel pÄ att skapa ett nÀtverksfÀlla och konfigurera tokens. En vÀnlig grÀnssnitt utan att behöva manuellt redigera konfigurationer, skript osv.

I vÄr miljö har vi konfigurerat och placerat ett antal sÄdana tokens pÄ FOS01 som kör Windows Server 2012R2 och en testdator med Windows 7. PÄ dessa maskiner körs RDP och vi 'hÀngde' dem periodiskt i DMZ, dÀr vi ocksÄ har placerat ett antal av vÄra sensorer (emulerade fÀllor). PÄ sÄ sÀtt fÄr vi en konstant ström av incidenter, sÄ att sÀga, pÄ ett naturligt sÀtt.

SÄ, en kort statistik för Äret:

56 208 – incidenter registrerades,
2 912 – angreppskĂ€llor upptĂ€cktes.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"
Interaktiv, klickbar karta över attacker

Lösningen genererar inte en massiv logg eller hĂ€ndelseflöde som krĂ€ver lĂ„ngvarig analys. IstĂ€llet klassificerar lösningen automatiskt hĂ€ndelser efter typ och lĂ„ter IT-sĂ€kerhetsteamet fokusera först och frĂ€mst pĂ„ de mest farliga – nĂ€r angriparen försöker starta styrsessioner (interaction) eller nĂ€r vĂ„rt trafik innefattar binĂ€ra payloads (infection).

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

All information om hÀndelser Àr lÀttlÀst och presenteras, enligt min Äsikt, pÄ ett sÀtt som Àr lÀtt att förstÄ Àven för anvÀndare med grundlÀggande kunskaper inom IT-sÀkerhet.

De flesta av de registrerade incidenterna Àr försök att skanna vÄra vÀrdar eller enstaka anslutningar.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Eller försök att knÀcka lösenord för RDP.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Men det fanns Àven intressanta fall, sÀrskilt nÀr angripare "lyckades" knÀcka lösenordet för RDP och fÄ Ätkomst till det lokala nÀtverket.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Angriparen försöker köra kod med hjÀlp av psexec.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Angriparen hittade en sparad session som ledde honom till en fÀlla i form av en Linux-server. Omedelbart efter anslutningen försökte han med ett förberett kommandoöversÀttningsset att förinta alla loggfiler och relevanta systemvariabler.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Angriparen försöker utföra en SQL-injektion pÄ fÀllan som imiterar SWIFT Web Access.

Förutom sÄdana "naturliga" attacker genomförde vi Àven flera egna tester. Ett av de mest talande Àr testningen av upptÀckttiden för ett nÀtverksmask. För detta anvÀnde vi ett verktyg frÄn GuardiCore som kallas Infection Monkey. Detta Àr en nÀtverksmask som kan infektera Windows och Linux, men utan nÄgon "nyttig" belastning.
Vi implementerade ett lokalt kontrollcenter, startade den första instansen av masken pĂ„ en av maskinerna och fick den första varningen i TrapX-konsolen pĂ„ mindre Ă€n en och en halv minut. TTD 90 sekunder jĂ€mfört med genomsnittliga 106 dagar


Tack vare möjligheten att integrera med andra lösningar kan vi gÄ frÄn snabb hotupptÀckning till automatisk respons.

Till exempel kommer integrationen med NAC (Network Access Control) system eller med CarbonBlack att automatiskt koppla bort komprometterade datorer frÄn nÀtverket.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Integration med sandlÄdor möjliggör automatisk överföring av filer som deltar i attacken för analys.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Integration med McAfee

Lösningen har ocksÄ sitt eget inbyggda system för hÀndelsekorrelation.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Men dess funktioner passade inte oss, sÄ vi integrerade det med HP ArcSight.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Att hantera de upptÀckta hoten "som en gemenskap" underlÀttas av det inbyggda ticket-systemet.

SĂ„rbarhet som sĂ€kerhetsverktyg – 2, eller hur man fĂ„ngar APT "pĂ„ levande"

Eftersom lösningen "frÄn början" utvecklades för behov hos statliga organ och den stora företagssektorn, finns det naturligtvis en rollbaserad Ätkomstmodell, integration med AD, ett avancerat rapporteringssystem och triggers (hÀndelseaviseringar), orkestrering för stora koncernstrukturer eller MSSP-leverantörer.

IstÀllet för en sammanfattning

Om det finns ett liknande övervakningssystem som, bildligt talat, skyddar vÄr rygg, sÄ börjar problemet med intrÄng i perimeter bara dÀr. Det viktigaste Àr att det uppstÄr verkliga möjligheter att bekÀmpa cybersÀkerhetsincidenter istÀllet för att bara hantera deras konsekvenser.

KĂ€lla: habr.com

Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar đŸ”„ Köp pĂ„litlig webbhotell med DDoS-skydd, VPS VDS-servrar | ProHoster