{"id":96242,"date":"2020-10-09T19:42:33","date_gmt":"2020-10-09T17:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza"},"modified":"2020-10-09T19:42:33","modified_gmt":"2020-10-09T17:42:33","slug":"dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","title":{"rendered":"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT \"p\u00e5 levande\"","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p>(tack f\u00f6r id\u00e9n till rubriken Sergey G. Brester <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/users\/sebres\/\" class=\"user_link\">sebres<\/a><\/noindex>)<\/p>\n<p>Kollegor, syftet med denna artikel \u00e4r att dela med sig av erfarenheterna fr\u00e5n ett \u00e5rs testverksamhet med en ny klass av IDS-l\u00f6sningar baserade p\u00e5 Deception-teknologier. <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/f641b6735cf846d12a0081c7709662e7.png\" style=\"display:block;margin: 0 auto;\" \/><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<p>F\u00f6r att bevara den logiska sammanh\u00e5llningen i materialet anser jag att det \u00e4r n\u00f6dv\u00e4ndigt att b\u00f6rja med f\u00f6ruts\u00e4ttningarna. S\u00e5, problematiken:<\/p>\n<ol>\n<li>M\u00e5linriktade attacker \u00e4r den farligaste typen av attacker, trots att deras andel av det totala antalet hot \u00e4r relativt liten. <\/li>\n<li>Det finns fortfarande inget garanterat effektivt skydd f\u00f6r perimeter (eller en upps\u00e4ttning av s\u00e5dana medel). <\/li>\n<li>Som regel genomg\u00e5r m\u00e5linriktade attacker flera faser. Att \u00f6vervinna perimetern \u00e4r endast en av de inledande faserna, som (ni kan kasta sten p\u00e5 mig) inte orsakar stor skada f\u00f6r \"offret\", om det inte handlar om DEoS (Destruction of service) attacker (krypterare och s\u00e5 vidare). Det blir verkligen \"ont\" senare n\u00e4r de tagna tillg\u00e5ngarna b\u00f6rjar anv\u00e4ndas f\u00f6r pivotering och utveckling av attacken \"inuti\", och vi bem\u00e4rker det inte. <\/li>\n<li>Eftersom vi b\u00f6rjar drabbas av verkliga f\u00f6rluster f\u00f6rst n\u00e4r angriparna faktiskt n\u00e5r sina m\u00e5l (applikationsservrar, DBMS, datalagringssystem, datalager, kritiska infrastrukturelement), \u00e4r det logiskt att en av uppgifterna f\u00f6r informationss\u00e4kerhetstj\u00e4nsten \u00e4r att avbryta angrepp innan det tragiska intr\u00e4ffar. Men f\u00f6r att kunna avbryta n\u00e5got m\u00e5ste man f\u00f6rst f\u00e5 veta om det. Ju tidigare, desto b\u00e4ttre. <\/li>\n<li>Tillsammans med detta \u00e4r det av st\u00f6rsta vikt att ha verktyg f\u00f6r att framg\u00e5ngsrikt hantera risker (det vill s\u00e4ga, minska skadan fr\u00e5n m\u00e5linriktade attacker), vilket s\u00e4kerst\u00e4ller minimi TTD (time to detect \u2013 tiden fr\u00e5n intr\u00e5ng till det \u00f6gonblick d\u00e5 attacken uppt\u00e4ckts). Beroende p\u00e5 bransch och region ligger denna period i genomsnitt p\u00e5 99 dagar i USA, 106 dagar i regionen EMEA, 172 dagar i regionen APAC (M-Trends 2017, A View From the Front Lines, Mandiant). <\/li>\n<li>Vad erbjuder marknaden?\n<ul>\n<li>\u00abSandboxar\u00bb. Ytterligare en preventiv kontroll som \u00e4r l\u00e5ngt ifr\u00e5n idealisk. Det finns m\u00e5nga effektiva tekniker f\u00f6r att uppt\u00e4cka och kringg\u00e5 sandl\u00e5dor eller whitelisting-l\u00f6sningar. Killarna fr\u00e5n \"m\u00f6rka sidan\" \u00e4r h\u00e4r fortfarande ett steg f\u00f6re. \n<\/li>\n<li>UEBA (system f\u00f6r beteendeprofiler och avvikelseidentifiering) kan i teorin vara mycket effektiv. Men enligt min \u00e5sikt \u00e4r det n\u00e5got som ligger l\u00e5ngt in i framtiden. I praktiken \u00e4r det fortfarande v\u00e4ldigt dyrt, op\u00e5litligt och kr\u00e4ver en mycket mogen och stabil IT- och informationss\u00e4kerhetsinfrastruktur, d\u00e4r alla verktyg som genererar data f\u00f6r beteendeanalys redan finns.\n<\/li>\n<li>SIEM \u00e4r ett bra verktyg f\u00f6r utredningar, men det kan inte se och visa n\u00e5got nytt, originellt i r\u00e4tt tid, eftersom korrelationsreglerna i grunden \u00e4r samma som signaturerna. <\/li>\n<\/ul>\n<p>\n <\/li>\n<li>Som ett resultat finns det ett behov av ett s\u00e5dant verktyg som:\n<ul>\n<li>framg\u00e5ngsrikt kan arbeta i en redan komprometterad perimeter,\n<\/li>\n<li>kan uppt\u00e4cka lyckade attacker i n\u00e4ra realtid oavsett vilka verktyg och s\u00e5rbarheter som anv\u00e4nds,<\/li>\n<li>inte beroende av signaturer\/regler\/manus\/policyer\/profiler och andra statiska element,<\/li>\n<li>inte kr\u00e4ver stora datam\u00e4ngder och deras k\u00e4llor f\u00f6r analys,<\/li>\n<li>m\u00f6jligg\u00f6r att best\u00e4mma attacker inte som n\u00e5gon riskbed\u00f6mning som ett resultat av \"v\u00e4rldens b\u00e4sta, patenterade och d\u00e4rf\u00f6r slutna matematiken\", som kr\u00e4ver ytterligare utredning, utan praktiskt taget som en bin\u00e4r h\u00e4ndelse \u2013 \"Ja, vi blir attackerade\" eller \"Nej, allt \u00e4r okej\",<\/li>\n<li>\u00e4r universell, effektivt skalbar och faktiskt kan implementeras i en heterogen milj\u00f6, oavsett den fysiska och logiska n\u00e4tverkstopologi som anv\u00e4nds.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>\nDe s\u00e5 kallade deception-l\u00f6sningarna aspirerar nu till rollen som ett s\u00e5dant verktyg. Det vill s\u00e4ga l\u00f6sningar som baseras p\u00e5 den gamla goda konceptet honeypots, men med en helt annan implementationsniv\u00e5. Detta \u00e4mne \u00e4r definitivt p\u00e5 uppg\u00e5ng just nu.<\/p>\n<p>Enligt resultaten av <noindex><a rel=\"nofollow\" href=\"https:\/\/www.gartner.com\/newsroom\/id\/3744917\">Gartner Security&amp;Risc management summit 2017<\/a><\/noindex> Deception-l\u00f6sningar ligger bland de TOP-3 strategierna och verktygen som rekommenderas att anv\u00e4nda. <\/p>\n<p>Enligt rapporten <noindex><a rel=\"nofollow\" href=\"https:\/\/www.tag-cyber.com\/Annual\/2017\/\">TAG Cybersecurity Annual 2017<\/a><\/noindex> Deception \u00e4r en av de huvudriktningar f\u00f6r utveckling av IDS (Intrusion Detection Systems)-l\u00f6sningar.<\/p>\n<p>Hela sektionen i den senaste <noindex><a rel=\"nofollow\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/products\/security\/security-reports.html\">rapporten fr\u00e5n Cisco om IT-s\u00e4kerhetsstatus<\/a><\/noindex>, \u00e4gnas \u00e5t SCADA, bygger p\u00e5 data fr\u00e5n en av ledarna p\u00e5 denna marknad, TrapX Security (Israel), vars l\u00f6sning har varit i v\u00e5r testzon i ett \u00e5r. <\/p>\n<p>TrapX Deception Grid g\u00f6r det m\u00f6jligt att installera och anv\u00e4nda massiva distribuerade IDS centralt, utan att \u00f6ka licensbelastningen eller kraven p\u00e5 h\u00e5rdvaruresurser. Faktum \u00e4r att TrapX \u00e4r en byggsats som g\u00f6r det m\u00f6jligt att skapa ett stort angreppsdetekteringssystem fr\u00e5n element i den befintliga IT-infrastrukturen, en slags distribuerad n\u00e4tverks \"signalering\" f\u00f6r hela f\u00f6retaget. <\/p>\n<h3>L\u00f6sningsstruktur<\/h3>\n<p>\nI v\u00e5rt laboratorium studerar och testar vi st\u00e4ndigt olika nyheter inom IT-s\u00e4kerhet. F\u00f6r n\u00e4rvarande har vi cirka 50 olika virtuella servrar h\u00e4r, inklusive komponenter fr\u00e5n TrapX Deception Grid.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/9c9c21101020c1005edc938a3a7ca393.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nS\u00e5, uppifr\u00e5n och ner:<\/p>\n<ol>\n<li>TSOC (TrapX Security Operation Console) \u2013 systemets hj\u00e4rna. Detta \u00e4r den centrala styrkonsolen som anv\u00e4nds f\u00f6r att konfigurera, implementera l\u00f6sningen och all daglig verksamhet. Eftersom det \u00e4r en webbtj\u00e4nst kan den implementeras var som helst \u2013 i perimetrar, i molnet eller hos en MSSP-leverant\u00f6r. <\/li>\n<li>TrapX Appliance (TSA) \u2013 en virtuell server d\u00e4r vi via trunk-porten ansluter de subnet som vi vill \u00f6vervaka. H\u00e4r \"bor\" ocks\u00e5 alla v\u00e5ra n\u00e4tverkssensorer.\n<p>I v\u00e5rt laboratorium \u00e4r en TSA (mwsapp1) implementerad, men i verkligheten kan det finnas m\u00e5nga. Detta kan vara n\u00f6dv\u00e4ndigt i stora n\u00e4tverk d\u00e4r det inte finns L2-kontinuitet mellan segmenten (ett typiskt exempel \u00e4r \"holding och dotterf\u00f6retag\" eller \"huvudkontoret f\u00f6r banken och filialer\") eller om det finns isolerade segment i n\u00e4tverket, till exempel industriella styrsystem. I varje s\u00e5dan filial\/segment kan en egen TSA implementeras och anslutas till en gemensam TSOC, d\u00e4r all information behandlas centralt. Denna arkitektur m\u00f6jligg\u00f6r byggandet av distribuerade \u00f6vervakningssystem utan behov av stora n\u00e4tverksoml\u00e4ggningar eller st\u00f6rningar av den befintliga segmenteringen.<\/p>\n<p>Dessutom kan vi p\u00e5 TSA skicka en kopia av den utg\u00e5ende trafiken via TAP\/SPAN. Vid uppt\u00e4ckten av anslutningar till k\u00e4nda botn\u00e4t, kommandoservrar, TOR-sessioner f\u00e5r vi ocks\u00e5 resultat i konsolen. Detta hanteras av Network Intelligence Sensor (NIS). I v\u00e5r milj\u00f6 har denna funktion implementerats p\u00e5 brandv\u00e4ggen, s\u00e5 vi har inte anv\u00e4nt den h\u00e4r. <\/li>\n<li>Application Traps (Full OS) \u2013 traditionella honeypots baserade p\u00e5 Windows-servrar. Det beh\u00f6vs inte m\u00e5nga av dem, eftersom huvuduppgiften f\u00f6r dessa servrar \u00e4r att tillhandah\u00e5lla IT-tj\u00e4nster till n\u00e4sta niv\u00e5 av sensorer eller att uppt\u00e4cka attacker p\u00e5 aff\u00e4rsapplikationer som kan implementeras i en Windows-milj\u00f6. Vi har en s\u00e5dan server installerad i v\u00e5rt laboratorium (FOS01)\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/8de44215efff4a49f3b773da10185a73.png\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<li>Emulerade f\u00e4llor \u2013 den huvudsakliga komponenten i l\u00f6sningen som l\u00e5ter oss med hj\u00e4lp av en enda virtuell maskin skapa ett mycket t\u00e4tt 'minor' f\u00e4lt f\u00f6r angripare och fylla f\u00f6retagsn\u00e4tverket, alla dess VLAN, med v\u00e5ra sensorer. En angripare ser en s\u00e5dan sensor, eller fantomv\u00e4rd, som en riktig Windows-PC eller server, Linux-server eller annan enhet som vi v\u00e4ljer att visa.\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/306c21046c5baadd591b66cdfe153ec2.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nF\u00f6r nyfikenhetens skull har vi rullat ut 'varje djur ett par' \u2013 Windows-PC och servrar av olika versioner, Linux-servrar, en bankomat med Windows embedded, SWIFT Web Access, en n\u00e4tverksskrivare, Cisco-switch, IP-kamera fr\u00e5n Axis, MacBook, PLC-enhet och till och med en smart lampa. Totalt \u2013 13 v\u00e4rdar. Generellt rekommenderar leverant\u00f6ren att implementera s\u00e5dana sensorer i en m\u00e4ngd av minst 10 % av antalet verkliga v\u00e4rdar. \u00d6vre gr\u00e4ns \u00e4r det tillg\u00e4ngliga adressutrymmet. <\/p>\n<p>En mycket viktig aspekt \u00e4r att varje s\u00e5dan v\u00e4rd inte \u00e4r en fullst\u00e4ndig virtuell maskin som kr\u00e4ver resurser och licenser. Det \u00e4r en 'falsk' imitation, en emulering, en process p\u00e5 TSA, som har en upps\u00e4ttning parametrar och en IP-adress. D\u00e4rf\u00f6r kan vi med hj\u00e4lp av till och med en TSA fylla n\u00e4tverket med hundratals s\u00e5dana fantomv\u00e4rdar som fungerar som sensorer i alarmsystemet. Just denna teknik g\u00f6r det ekonomiskt effektivt att skala konceptet 'honeypots' inom vilket stort distribuerat f\u00f6retag som helst. <\/p>\n<p>Dessa v\u00e4rdar \u00e4r sett ur angriparens perspektiv attraktiva, eftersom de inneh\u00e5ller s\u00e5rbarheter och verkar vara relativt l\u00e4tta m\u00e5l. Angriparen ser tj\u00e4nster p\u00e5 dessa v\u00e4rdar och kan interagera med dem, attackera dem med standardverktyg och protokoll (smb\/wmi\/ssh\/telnet\/web\/dnp\/bonjour\/Modbus och s\u00e5 vidare). Men det \u00e4r om\u00f6jligt att anv\u00e4nda dessa v\u00e4rdar f\u00f6r att utveckla attacken eller k\u00f6ra sin kod.\n<\/li>\n<li>Kombinationen av dessa tv\u00e5 teknologier (FullOS och emulerade f\u00e4llor) g\u00f6r det m\u00f6jligt att uppn\u00e5 en h\u00f6g statistisk sannolikhet f\u00f6r att en angripare f\u00f6rr eller senare verkligen kommer att st\u00f6ta p\u00e5 n\u00e5got element i v\u00e5rt signaln\u00e4t. Men hur g\u00f6r vi s\u00e5 att denna sannolikhet ligger n\u00e4ra 100%?\n<p>D\u00e4rf\u00f6r introduceras s\u00e5 kallade token (Deception tokens). Tack vare dem kan vi inkludera alla befintliga datorer och servrar i v\u00e5rt distribuerade IDS. Tokens placeras p\u00e5 verkliga anv\u00e4ndardatorer. Det \u00e4r viktigt att f\u00f6rst\u00e5 att tokens inte \u00e4r agenter som f\u00f6rbrukar resurser och kan orsaka konflikter. Tokens \u00e4r passiva informationsenheter, en sorts 'br\u00f6dsmulor' f\u00f6r angriparsidan som leder dem i f\u00e4llan. Till exempel, anslutna n\u00e4tverksdiskar, bokm\u00e4rken till falska webb-administrationssidor i webbl\u00e4saren och sparade l\u00f6senord till dem, sparade ssh\/rdp\/winscp-sessioner, v\u00e5ra f\u00e4llor med kommentarer i hosts-filer, sparade l\u00f6senord i minnet, autentiseringsuppgifter f\u00f6r icke-existerande anv\u00e4ndare, kontorsfiler vars \u00f6ppning skulle utl\u00f6sa systemet, och mycket mer. P\u00e5 s\u00e5 s\u00e4tt placerar vi angriparen i en f\u00f6rvr\u00e4ngd milj\u00f6, fylld med de attackvektorer som faktiskt inte utg\u00f6r ett hot f\u00f6r oss, utan snarare tv\u00e4rtom. Och de har ingen m\u00f6jlighet att avg\u00f6ra vad som \u00e4r sann information och vad som \u00e4r falsk. P\u00e5 s\u00e5 s\u00e4tt s\u00e4kerst\u00e4ller vi inte bara snabb detektering av attacker, utan f\u00f6rdr\u00f6jer \u00e4ven deras g\u00e5ng avsev\u00e4rt. <\/li>\n<\/ol>\n<p>\n<img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/812409dca0c8bc991c7e9812f16d77cf.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Ett exempel p\u00e5 att skapa ett n\u00e4tverksf\u00e4lla och konfigurera tokens. En v\u00e4nlig gr\u00e4nssnitt utan att beh\u00f6va manuellt redigera konfigurationer, skript osv.<\/i><\/p>\n<p>I v\u00e5r milj\u00f6 har vi konfigurerat och placerat ett antal s\u00e5dana tokens p\u00e5 FOS01 som k\u00f6r Windows Server 2012R2 och en testdator med Windows 7. P\u00e5 dessa maskiner k\u00f6rs RDP och vi 'h\u00e4ngde' dem periodiskt i DMZ, d\u00e4r vi ocks\u00e5 har placerat ett antal av v\u00e5ra sensorer (emulerade f\u00e4llor). P\u00e5 s\u00e5 s\u00e4tt f\u00e5r vi en konstant str\u00f6m av incidenter, s\u00e5 att s\u00e4ga, p\u00e5 ett naturligt s\u00e4tt. <\/p>\n<p>S\u00e5, en kort statistik f\u00f6r \u00e5ret:<\/p>\n<p>56 208 \u2013 incidenter registrerades,<br \/>\n2 912 \u2013 angreppsk\u00e4llor uppt\u00e4cktes. <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/0b2404084a997ba5fe4ad33303501612.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<i>Interaktiv, klickbar karta \u00f6ver attacker<\/i><\/p>\n<p>L\u00f6sningen genererar inte en massiv logg eller h\u00e4ndelsefl\u00f6de som kr\u00e4ver l\u00e5ngvarig analys. Ist\u00e4llet klassificerar l\u00f6sningen automatiskt h\u00e4ndelser efter typ och l\u00e5ter IT-s\u00e4kerhetsteamet fokusera f\u00f6rst och fr\u00e4mst p\u00e5 de mest farliga \u2013 n\u00e4r angriparen f\u00f6rs\u00f6ker starta styrsessioner (interaction) eller n\u00e4r v\u00e5rt trafik innefattar bin\u00e4ra payloads (infection). <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/d0ad109bae7dc0fb80182d43be713d4e.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAll information om h\u00e4ndelser \u00e4r l\u00e4ttl\u00e4st och presenteras, enligt min \u00e5sikt, p\u00e5 ett s\u00e4tt som \u00e4r l\u00e4tt att f\u00f6rst\u00e5 \u00e4ven f\u00f6r anv\u00e4ndare med grundl\u00e4ggande kunskaper inom IT-s\u00e4kerhet. <\/p>\n<p>De flesta av de registrerade incidenterna \u00e4r f\u00f6rs\u00f6k att skanna v\u00e5ra v\u00e4rdar eller enstaka anslutningar. <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/ea87b3592b2d3727815050b9fd1f708e.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEller f\u00f6rs\u00f6k att kn\u00e4cka l\u00f6senord f\u00f6r RDP.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/645b5984d1ffaf31758fb23e9a23c9eb.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMen det fanns \u00e4ven intressanta fall, s\u00e4rskilt n\u00e4r angripare \"lyckades\" kn\u00e4cka l\u00f6senordet f\u00f6r RDP och f\u00e5 \u00e5tkomst till det lokala n\u00e4tverket. <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/3cde5beadaa306d32c382f66bd67ec33.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAngriparen f\u00f6rs\u00f6ker k\u00f6ra kod med hj\u00e4lp av psexec.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/1356ef44f3581b37c3163ce454fecf14.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAngriparen hittade en sparad session som ledde honom till en f\u00e4lla i form av en Linux-server. Omedelbart efter anslutningen f\u00f6rs\u00f6kte han med ett f\u00f6rberett kommando\u00f6vers\u00e4ttningsset att f\u00f6rinta alla loggfiler och relevanta systemvariabler.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/6d8994cd3bb2268e45540e5bbcdc74a4.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAngriparen f\u00f6rs\u00f6ker utf\u00f6ra en SQL-injektion p\u00e5 f\u00e4llan som imiterar SWIFT Web Access.<\/p>\n<p>F\u00f6rutom s\u00e5dana \"naturliga\" attacker genomf\u00f6rde vi \u00e4ven flera egna tester. Ett av de mest talande \u00e4r testningen av uppt\u00e4ckttiden f\u00f6r ett n\u00e4tverksmask. F\u00f6r detta anv\u00e4nde vi ett verktyg fr\u00e5n GuardiCore som kallas <noindex><a rel=\"nofollow\" href=\"http:\/\/www.guardicore.com\/infectionmonkey\/\">Infection Monkey<\/a><\/noindex>. Detta \u00e4r en n\u00e4tverksmask som kan infektera Windows och Linux, men utan n\u00e5gon \"nyttig\" belastning. <br \/>\nVi implementerade ett lokalt kontrollcenter, startade den f\u00f6rsta instansen av masken p\u00e5 en av maskinerna och fick den f\u00f6rsta varningen i TrapX-konsolen p\u00e5 mindre \u00e4n en och en halv minut. TTD 90 sekunder j\u00e4mf\u00f6rt med genomsnittliga 106 dagar\u2026 <\/p>\n<p>Tack vare m\u00f6jligheten att integrera med andra l\u00f6sningar kan vi g\u00e5 fr\u00e5n snabb hotuppt\u00e4ckning till automatisk respons. <\/p>\n<p>Till exempel kommer integrationen med NAC (Network Access Control) system eller med CarbonBlack att automatiskt koppla bort komprometterade datorer fr\u00e5n n\u00e4tverket. <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/4364d6374b57e5741e33f8981b4cb0ad.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nIntegration med sandl\u00e5dor m\u00f6jligg\u00f6r automatisk \u00f6verf\u00f6ring av filer som deltar i attacken f\u00f6r analys. <\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/c66b8051d0dbd31c1215329d1b55930b.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h3>Integration med McAfee<\/h3>\n<p>\nL\u00f6sningen har ocks\u00e5 sitt eget inbyggda system f\u00f6r h\u00e4ndelsekorrelation.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/d4030212690f3ee1f1a641c49bc90960.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMen dess funktioner passade inte oss, s\u00e5 vi integrerade det med HP ArcSight.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/f08d607c5b4abf8dc354f65ed2591ebc.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAtt hantera de uppt\u00e4ckta hoten \"som en gemenskap\" underl\u00e4ttas av det inbyggda ticket-systemet.<\/p>\n<p><img decoding=\"async\" alt=\"S\u00e5rbarhet som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT &quot;p\u00e5 levande&quot;\" src=\"\/wp-content\/uploads\/2020\/10\/0e78fa59b2f2b114fa9bdf572f37ea96.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nEftersom l\u00f6sningen \"fr\u00e5n b\u00f6rjan\" utvecklades f\u00f6r behov hos statliga organ och den stora f\u00f6retagssektorn, finns det naturligtvis en rollbaserad \u00e5tkomstmodell, integration med AD, ett avancerat rapporteringssystem och triggers (h\u00e4ndelseaviseringar), orkestrering f\u00f6r stora koncernstrukturer eller MSSP-leverant\u00f6rer. <\/p>\n<h3>Ist\u00e4llet f\u00f6r en sammanfattning<\/h3>\n<p>\nOm det finns ett liknande \u00f6vervakningssystem som, bildligt talat, skyddar v\u00e5r rygg, s\u00e5 b\u00f6rjar problemet med intr\u00e5ng i perimeter bara d\u00e4r. Det viktigaste \u00e4r att det uppst\u00e5r verkliga m\u00f6jligheter att bek\u00e4mpa cybers\u00e4kerhetsincidenter ist\u00e4llet f\u00f6r att bara hantera deras konsekvenser.<br \/>\n<br \/>K\u00e4lla: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/softline\/blog\/413893\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G. Brester sebres) \u041a\u043e\u043b\u043b\u0435\u0433\u0438, \u0446\u0435\u043b\u044c\u044e \u0434\u0430\u043d\u043d\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0438 \u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0436\u0435\u043b\u0430\u043d\u0438\u0435 \u043f\u043e\u0434\u0435\u043b\u0438\u0442\u044c\u0441\u044f \u043e\u043f\u044b\u0442\u043e\u043c \u0433\u043e\u0434\u0438\u0447\u043d\u043e\u0439 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u0439 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u043d\u043e\u0432\u043e\u0433\u043e \u043a\u043b\u0430\u0441\u0441\u0430 IDS-\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 Deception-\u0442\u0435\u0445\u043d\u043e\u043b\u043e\u0433\u0438\u0439. \u0427\u0442\u043e\u0431\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u0438\u0442\u044c \u043b\u043e\u0433\u0438\u0447\u0435\u0441\u043a\u0443\u044e \u0441\u0432\u044f\u0437\u043d\u043e\u0441\u0442\u044c \u0438\u0437\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043c\u0430\u0442\u0435\u0440\u0438\u0430\u043b\u0430, \u0441\u0447\u0438\u0442\u0430\u044e \u043d\u0443\u0436\u043d\u044b\u043c \u043d\u0430\u0447\u0430\u0442\u044c \u0441 \u043f\u0440\u0435\u0434\u043f\u043e\u0441\u044b\u043b\u043e\u043a. \u0418\u0442\u0430\u043a, \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u0442\u0438\u043a\u0430: \u041d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0430\u0442\u0430\u043a\u0438 \u2013 \u043d\u0430\u0438\u0431\u043e\u043b\u0435\u0435 \u043e\u043f\u0430\u0441\u043d\u044b\u0439 \u0432\u0438\u0434 \u0430\u0442\u0430\u043a, \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u0432 \u043e\u0431\u0449\u0435\u043c \u043a\u043e\u043b\u0438\u0447\u0435\u0441\u0442\u0432\u0435 \u0443\u0433\u0440\u043e\u0437 \u0438\u0445 \u0443\u0434\u0435\u043b\u044c\u043d\u044b\u0439 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":96243,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-96242","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sv_SE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0414\u044b\u0440\u0430 \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u2013 2, \u0438\u043b\u0438 \u043a\u0430\u043a \u043b\u043e\u0432\u0438\u0442\u044c APT \u00ab\u043d\u0430 \u0436\u0438\u0432\u0446\u0430\u00bb | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-10-09T17:42:33+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-10-09T17:42:33+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47H\u00e5l som s\u00e4kerhetsverktyg \u2013 2, eller hur man f\u00e5ngar APT \"p\u00e5 levande bete\" | ProHoster","description":"(tack till Sergey G. f\u00f6r id\u00e9en till rubriken","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0414\u044b\u0440\u0430 \u043a\u0430\u043a \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u2013 2, \u0438\u043b\u0438 \u043a\u0430\u043a \u043b\u043e\u0432\u0438\u0442\u044c APT \u00ab\u043d\u0430 \u0436\u0438\u0432\u0446\u0430\u00bb | ProHoster","og:description":"(\u0437\u0430 \u0438\u0434\u0435\u044e \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0430 \u0441\u043f\u0430\u0441\u0438\u0431\u043e Sergey G.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/dyra-kak-instrument-bezopasnosti-2-ili-kak-lovit-apt-na-zhivcza","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-10-09T17:42:33+00:00","article:modified_time":"2020-10-09T17:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"96242","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:47:24","updated":"2022-10-03 07:10:06","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/96242","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=96242"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/96242\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/96243"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=96242"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=96242"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=96242"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}