एक सुरक्षा उपकरण के रूप में एक छेद - 2, या एपीटी "लाइव चारा" को कैसे पकड़ा जाए

(शीर्षक विचार के लिए धन्यवाद सर्गेई जी। ब्रेस्टर सेब्र्स का धन्यवाद)

सहकर्मियों, इस लेख का उद्देश्य धोखे की प्रौद्योगिकियों पर आधारित IDS समाधानों के एक नए वर्ग के एक साल के परीक्षण संचालन के अनुभव को साझा करने की इच्छा है।



सामग्री की प्रस्तुति के तार्किक सामंजस्य को बनाए रखने के लिए, मैं इसे परिसर से शुरू करना आवश्यक मानता हूं। तो, समस्याएं:

1. निर्देशित हमले सबसे खतरनाक प्रकार के हमले हैं, इस तथ्य के बावजूद कि कुल खतरों की संख्या में उनका हिस्सा छोटा है।
2. परिधि की सुरक्षा के कुछ प्रभावी प्रभावी साधनों (या ऐसे साधनों का एक जटिल) का अभी तक आविष्कार नहीं हुआ है।
3. एक नियम के रूप में, निर्देशित हमले कई चरणों में होते हैं। परिधि पर काबू करना केवल प्रारंभिक चरणों में से एक है, जो (आप मुझ पर पत्थर फेंक सकते हैं) "पीड़ित" को बहुत नुकसान नहीं पहुंचाता है, जब तक कि यह, निश्चित रूप से, एक DEoS (सेवा का विनाश) हमला (एन्क्रिप्टर्स, आदि)। असली "दर्द" बाद में शुरू होता है, जब जब्त की गई संपत्ति का उपयोग "इन-डेप्थ" हमले को रोकने और विकसित करने के लिए किया जाता है, लेकिन हमने इस पर ध्यान नहीं दिया।
4. चूँकि हम हमलावरों द्वारा वास्तविक नुकसान उठाना शुरू कर देते हैं, फिर भी हमले के उद्देश्यों (एप्लिकेशन सर्वर, डीबीएमएस, डेटा स्टोरेज, रिपॉजिटरी, महत्वपूर्ण बुनियादी ढांचे के तत्व) को प्राप्त करते हैं, यह तर्कसंगत है कि आईएस सेवा के कार्यों में से एक इस दुखद घटना से पहले हमलों को रोकना है। लेकिन किसी चीज को बाधित करने के लिए, आपको पहले इसके बारे में पता लगाना होगा। और जितनी जल्दी बेहतर होगा।
5. तदनुसार, सफल जोखिम प्रबंधन के लिए (अर्थात लक्षित हमलों से नुकसान को कम करने के लिए), ऐसे उपकरण होना महत्वपूर्ण है जो एक न्यूनतम टीटीडी प्रदान करते हैं (समय का पता लगाने के लिए - आक्रमण के क्षण से समय तक हमले का पता लगाया जाता है)। उद्योग और क्षेत्र के आधार पर, यह अवधि संयुक्त राज्य अमेरिका में 99 दिन, ईएमईए क्षेत्र में 106 दिन, एपीएसी क्षेत्र में 172 दिन (एम-ट्रेंड्स 2017, ए व्यू फ्रॉम द फ्रंट लाइन्स, मैंडियंट) है।
6. बाजार क्या प्रदान करता है?
   
   • "सैंडबॉक्स"। एक और निवारक नियंत्रण जो आदर्श से बहुत दूर है। सैंडबॉक्स या वाइटेलिस्टिंग समाधानों का पता लगाने और उन्हें दरकिनार करने के लिए प्रभावी तकनीकों के टन हैं। "डार्क साइड" के लोग अभी भी एक कदम आगे हैं।
     
   • UEBA (व्यवहार प्रोफाइलिंग और विचलन का पता लगाने वाले सिस्टम) - सिद्धांत रूप में, यह बहुत प्रभावी हो सकता है। लेकिन, मेरी राय में, यह कुछ समय के लिए दूर का भविष्य है। व्यवहार में, यह अभी भी बहुत महंगा है, अविश्वसनीय है और इसके लिए बहुत परिपक्व और स्थिर आईटी और सूचना सुरक्षा बुनियादी ढांचे की आवश्यकता है, जिसमें पहले से ही सभी उपकरण हैं जो व्यवहार विश्लेषण के लिए डेटा उत्पन्न करेंगे।
     
   • जांच के लिए कोलम्बिया एक अच्छा साधन है, लेकिन यह समय में कुछ देखने और दिखाने में सक्षम नहीं है, क्योंकि सहसंबंध के नियम समान हस्ताक्षर हैं।
   
   
7. नतीजतन, इस तरह के एक साधन के लिए जरूरत बढ़ गई है:
   
   • पहले से ही समझौता परिधि की स्थितियों में सफलतापूर्वक काम किया,
     
   • उपकरण और उपयोग की जाने वाली कमजोरियों की परवाह किए बिना वास्तविक समय मोड के पास सफल हमलों का पता चला,
   • हस्ताक्षर / नियमों / लिपियों / नीतियों / प्रोफाइल और अन्य स्थिर चीजों पर निर्भर नहीं,
   • विश्लेषण के लिए बड़ी मात्रा में डेटा और उनके स्रोतों की उपलब्धता की आवश्यकता नहीं थी,
   • यह हमें "दुनिया में सबसे अच्छा, पेटेंट और इसलिए बंद गणित" के काम के परिणामस्वरूप हमलों को एक तरह के जोखिम स्कोरिंग के रूप में परिभाषित करने की अनुमति नहीं देगा, जिसके लिए अतिरिक्त जांच की आवश्यकता होती है, लेकिन व्यावहारिक रूप से एक द्विआधारी घटना के रूप में - "हाँ, वे हम पर हमला करते हैं या" नहीं, सब कुछ ठीक है ","
   • यह सार्वभौमिक, प्रभावी रूप से स्केलेबल और वास्तव में किसी भी विषम वातावरण में लागू किया गया था, भले ही भौतिक और तार्किक नेटवर्क टोपोलॉजी का उपयोग किया गया हो।

तथाकथित धोखे के समाधान अब इस तरह के उपकरण की भूमिका का दावा करते हैं। यही है, हनीपोट की अच्छी पुरानी अवधारणा पर आधारित समाधान, लेकिन कार्यान्वयन के पूरी तरह से अलग स्तर के साथ। यह विषय अब स्पष्ट रूप से बढ़ रहा है।

गार्टनर सिक्योरिटी एंड रिस्क मैनेजमेंट शिखर सम्मेलन 2017 के परिणामों के अनुसार , धोखे के समाधान को शीर्ष 3 रणनीतियों और उपकरणों में शामिल किया गया है जिन्हें लागू करने की सिफारिश की जाती है।

TAG Cybersecurity Annual 2017 धोखे की रिपोर्ट के अनुसार, Deception IDS घुसपैठ डिटेक्शन सिस्टम) के समाधानों के विकास की मुख्य लाइनों में से एक है।

SCADA पर नवीनतम सिस्को आईटी सुरक्षा स्थिति रिपोर्ट का पूरा खंड बाजार के नेताओं में से एक ट्रैपएक्स सिक्योरिटी (इज़राइल) के डेटा पर बनाया गया है, जिसका समाधान हमारे परीक्षण क्षेत्र में एक साल से काम कर रहा है।

ट्रैपएक्स धोखे की ग्रिड आपको लाइसेंस भार और हार्डवेयर आवश्यकताओं को बढ़ाए बिना, एक बड़े पैमाने पर वितरित आईडीएस को केंद्रीय रूप से लागत और संचालित करने की अनुमति देता है। वास्तव में, ट्रैपएक्स एक निर्माता है जो आपको मौजूदा आईटी बुनियादी ढांचे के तत्वों से पूरे उद्यम पैमाने के हमलों का पता लगाने के लिए एक बड़ा तंत्र बनाने की अनुमति देता है, एक प्रकार का वितरित नेटवर्क "सिग्नलिंग"।

समाधान संरचना

हमारी प्रयोगशाला में, हम लगातार आईटी सुरक्षा के क्षेत्र में विभिन्न नवाचारों का अध्ययन और परीक्षण करते हैं। अब लगभग 50 अलग-अलग वर्चुअल सर्वरों को यहां तैनात किया गया है, जिनमें ट्रैपएक्स धोखे ग्रिड घटक भी शामिल हैं।



तो, ऊपर से नीचे तक:

1. TSOC (ट्रैपएक्स सिक्योरिटी ऑपरेशन कंसोल) - सिस्टम का मस्तिष्क। यह केंद्रीय प्रबंधन कंसोल है जिसके साथ आप कॉन्फ़िगर कर सकते हैं, समाधान को तैनात कर सकते हैं और सभी दैनिक कार्य कर सकते हैं। चूंकि यह एक वेब सेवा है, इसलिए इसे कहीं भी - परिधि पर, क्लाउड में या MSSP प्रदाता पर तैनात किया जा सकता है।
2. ट्रैपएक्स उपकरण (टीएसए) एक वर्चुअल सर्वर है जिसमें हम उन सबनेट को जोड़ने के लिए ट्रंक पोर्ट का उपयोग करते हैं जिन्हें हम मॉनिटर करना चाहते हैं। इसके अलावा, हमारे सभी नेटवर्क सेंसर वास्तव में यहां "लाइव" हैं।
   
   हमारी प्रयोगशाला में एक TSA (mwsapp1) तैनात है, लेकिन वास्तव में कई हो सकते हैं। इसकी आवश्यकता बड़े नेटवर्क में हो सकती है जहां सेगमेंट्स के बीच L2 कनेक्टिविटी नहीं है (एक विशिष्ट उदाहरण "होल्डिंग और सहायक" या "बैंक हेड ऑफिस और ब्रांच") हैं या यदि नेटवर्क में अलग-अलग सेगमेंट हैं, उदाहरण के लिए, प्रोसेस कंट्रोल सिस्टम। ऐसी प्रत्येक शाखा / खंड में, आप अपने टीएसए को तैनात कर सकते हैं और इसे एक एकल टीएसओसी से जोड़ सकते हैं, जहां सभी सूचनाओं को केंद्रीय रूप से संसाधित किया जाएगा। यह आर्किटेक्चर आपको नेटवर्क के एक मौलिक पुनर्गठन या मौजूदा विभाजन को तोड़ने की आवश्यकता के बिना वितरित निगरानी प्रणाली बनाने की अनुमति देता है।
   
   इसके अलावा, टीएसए में हम टीएपी / स्पैन के माध्यम से आउटगोइंग ट्रैफिक की एक प्रति जमा कर सकते हैं। प्रसिद्ध बॉटनेट्स, कमांड सर्वर, टीओआर सत्रों के साथ कनेक्शन का पता लगाने के मामले में, हम कंसोल में भी परिणाम प्राप्त करेंगे। नेटवर्क इंटेलिजेंस सेंसर (NIS) इसके लिए जिम्मेदार है। हमारे वातावरण में, यह कार्यक्षमता फ़ायरवॉल पर कार्यान्वित की जाती है, इसलिए हमने इसका उपयोग यहां नहीं किया।
3. एप्लिकेशन ट्रैप (पूर्ण ओएस) - पारंपरिक विंडोज-आधारित सर्वर हैंडल। उन्हें बहुत अधिक आवश्यकता नहीं है, क्योंकि इन सर्वरों का मुख्य कार्य सेंसरों के अगले स्तर पर आईटी सेवाएं प्रदान करना है या व्यावसायिक अनुप्रयोगों पर हमलों की पहचान करना है जो विंडोज वातावरण में तैनात किए जा सकते हैं। हमारे पास प्रयोगशाला में ऐसा एक सर्वर स्थापित है (FOS01)
   
   
   
4. उत्सर्जित जाल - समाधान का मुख्य घटक, जो हमें हमलावरों के लिए एक बहुत ही घने "खदान" क्षेत्र बनाने के लिए एक एकल मशीन का उपयोग करने की अनुमति देता है और हमारे सेंसर के साथ उद्यम नेटवर्क, इसके सभी वलान-एस को संतृप्त करता है। हमलावर इस तरह के एक सेंसर, या एक प्रेत मेजबान को देखता है, जैसे एक वास्तविक विंडोज पीसी या सर्वर, एक लिनक्स सर्वर, या एक अन्य डिवाइस जिसे हम इसे दिखाने का फैसला करते हैं।
   
   
   
   व्यवसाय और जिज्ञासा के लिए, हमने "जोड़े में प्रत्येक प्राणी" को तैनात किया - विंडोज पीसी और विभिन्न संस्करणों के सर्वर, लिनक्स सर्वर, विंडोज एम्बेडेड के साथ एटीएम, स्विफ्ट वेब एक्सेस, नेटवर्क प्रिंटर, सिस्को स्विच, एक्सिस आईपी कैमरा, मैकबुक, पीएलसी -देवी और यहां तक ​​कि एक स्मार्ट लाइट बल्ब। कुल में - 13 मेजबान। सामान्य तौर पर, विक्रेता वास्तविक सेंसर की संख्या के कम से कम 10% की मात्रा में ऐसे सेंसर तैनात करने की सलाह देता है। ऊपरी पट्टी उपलब्ध पता स्थान है।
   
   एक बहुत महत्वपूर्ण बिंदु यह है कि प्रत्येक ऐसा मेजबान पूर्ण विकसित वर्चुअल मशीन नहीं है जिसे संसाधनों और लाइसेंस की आवश्यकता होती है। यह एक रोड़ा, अनुकरण, टीएसए पर एक प्रक्रिया है, जिसमें मापदंडों का एक सेट और एक आईपी पता है। इसलिए, यहां तक ​​कि एक टीएसए की मदद से, हम सैकड़ों फ़ैंटम होस्ट के साथ नेटवर्क को संतृप्त कर सकते हैं जो अलार्म सिस्टम में सेंसर के रूप में कार्य करेंगे। यह वह तकनीक है जो आपको किसी भी बड़े वितरित उद्यम के पैमाने में "हनिपोट" की अवधारणा को आर्थिक रूप से प्रभावी रूप से प्रभावी बनाने की अनुमति देती है।
   
   हमलावर पक्ष की दृष्टि से, ये मेजबान आकर्षक हैं क्योंकि इनमें कमजोरियां हैं और अपेक्षाकृत आसान लक्ष्य हैं। हमलावर इन मेजबानों पर सेवाओं को देखता है और उनके साथ बातचीत कर सकता है, मानक उपकरण और प्रोटोकॉल (smb / wmi / ssh / telnet / web / dnp / bonjour / Modbus, आदि) का उपयोग करके उन पर हमला कर सकता है। लेकिन एक हमले को विकसित करने और अपने कोड को लॉन्च करने के लिए इन मेजबानों का उपयोग करना असंभव है।
   
5. इन दो प्रौद्योगिकियों (FullOS और एमुलेटेड ट्रैप) का संयोजन हमें एक उच्च सांख्यिकीय संभावना प्राप्त करने की अनुमति देता है कि एक हमलावर जल्दी या बाद में हमारे सिग्नल नेटवर्क के किसी भी तत्व का सामना करेगा। लेकिन इस संभावना को 100% के करीब कैसे बनाएं?
   
   तथाकथित टोकन (धोखे के टोकन) लड़ाई में प्रवेश करते हैं। उनके लिए धन्यवाद, हम अपने वितरित आईडी में सभी उपलब्ध पीसी और एंटरप्राइज़ सर्वर शामिल कर सकते हैं। टोकन वास्तविक पीसी उपयोगकर्ताओं पर रखे जाते हैं। यह समझना महत्वपूर्ण है कि टोकन एक एजेंट नहीं है जो संसाधनों का उपभोग करता है और संघर्ष का कारण बन सकता है। टोकन निष्क्रिय सूचना तत्व हैं, हमलावर पक्ष के लिए "ब्रेड क्रुम्स" का एक प्रकार है, जो इसे एक जाल में ले जाता है। उदाहरण के लिए, मैप किए गए नेटवर्क ड्राइव, ब्राउज़र में फर्जी वेब व्यवस्थापक के लिए बुकमार्क और उनके लिए सहेजे गए पासवर्ड, ssh / rdp / wincp सत्र, मेजबानों की फाइलों में टिप्पणियों के साथ हमारे जाल, स्मृति में संग्रहीत पासवर्ड, कोई नहीं उपयोगकर्ता के क्रेडेंशियल्स, कार्यालय फाइलें, उद्घाटन जो सिस्टम को ट्रिगर करेगा, और बहुत कुछ। इस प्रकार, हम हमलावर को उन हमलावर वैक्टरों से संतृप्त एक विकृत वातावरण में रखते हैं जो वास्तव में हमारे लिए खतरा नहीं हैं, बल्कि इसके विपरीत हैं। और उसके पास यह निर्धारित करने का कोई तरीका नहीं है कि सच्ची जानकारी कहाँ है, और कहाँ गलत है। इस प्रकार, हम न केवल एक हमले की एक त्वरित परिभाषा प्रदान करते हैं, बल्कि इसकी प्रगति को काफी धीमा कर देते हैं।

एक नेटवर्क जाल बनाने और टोकन स्थापित करने का एक उदाहरण। कॉन्फिग, स्क्रिप्ट आदि के अनुकूल इंटरफेस और मैनुअल एडिटिंग।

हमारे वातावरण में, हमने कॉन्फ़िगर किया और FOS01 पर विंडोज सर्वर 2012R2 और विंडोज 7 के तहत एक परीक्षण पीसी पर कई ऐसे टोकन लगाए। ये मशीनें आरडीपी चलाती हैं और हम समय-समय पर उन्हें डीएमजेड में "पोस्ट" करते हैं, जो हमारे सेंसर (एमुलेटेड ट्रैप) की संख्या भी प्रदर्शित करता है। इस प्रकार, हमें घटनाओं की एक निरंतर धारा मिलती है, इसलिए प्राकृतिक तरीके से बोलना है।

तो, वर्ष के लिए एक संक्षिप्त आँकड़े:

56 208 - घटनाएं दर्ज की गईं
2 912 - हमले के स्रोत मेजबान का पता चला।


इंटरएक्टिव, क्लिक करने योग्य हमले का नक्शा

इसी समय, समाधान किसी भी मेगा-लॉग या घटनाओं के फ़ीड को उत्पन्न नहीं करता है, जिसमें समझने में लंबा समय लगता है। इसके बजाय, समाधान स्वयं घटनाओं को उनके प्रकारों के आधार पर वर्गीकृत करता है और आईएस टीम को मुख्य रूप से सबसे खतरनाक लोगों पर ध्यान केंद्रित करने की अनुमति देता है - जब हमलावर पार्टी नियंत्रण सत्र (बातचीत) या जब द्विआधारी पेलोड (संक्रमण) हमारे यातायात में दिखाई देने की कोशिश करता है।



घटनाओं के बारे में सभी जानकारी पठनीय और प्रस्तुत की जाती हैं, मेरी राय में, सूचना सुरक्षा के क्षेत्र में बुनियादी ज्ञान वाले उपयोगकर्ता के लिए एक आसान-से-समझने वाले रूप में भी।

रिपोर्ट की गई अधिकांश घटनाएं हमारे मेजबानों या एकल कनेक्शनों को स्कैन करने का प्रयास हैं।



या RDP के लिए प्रयास का अनुमान लगाने वाला पासवर्ड



लेकिन अधिक दिलचस्प मामले थे, खासकर जब हमलावर आरडीपी के लिए एक पासवर्ड लेने और स्थानीय नेटवर्क तक पहुंच प्राप्त करने में "प्रबंधित" हुए।



एक हमलावर पेसेक का उपयोग करके कोड को निष्पादित करने की कोशिश कर रहा है।



हमलावर को एक बचा हुआ सत्र मिला जिसने उसे लिनक्स सर्वर के रूप में फँसा दिया। कमांड के एक पूर्वनिर्धारित सेट से जुड़ने के तुरंत बाद, उसने सभी लॉग फ़ाइलों और संबंधित सिस्टम चर को नष्ट करने की कोशिश की।



हमलावर SQL को एक जाल में डालने का प्रयास करता है जो SWIFT वेब एक्सेस की नकल करता है।

इस तरह के "प्राकृतिक" हमलों के अलावा, हमने कई परीक्षण किए। सबसे अधिक संकेत में से एक नेटवर्क पर एक नेटवर्क वर्म के पता लगाने के समय का परीक्षण करना है। ऐसा करने के लिए, हमने GuardiCore के एक उपकरण का उपयोग किया जिसे Infection बंदर कहा जाता है। यह एक नेटवर्क वर्म है जो विंडोज और लिनक्स को पकड़ सकता है, लेकिन बिना किसी "पेलोड" के।
हमने एक स्थानीय कमांड सेंटर पर तैनात किया, मशीनों में से एक पर पहला कृमि उदाहरण लॉन्च किया और एक मिनट और डेढ़ से भी कम समय में ट्रैपएक्स कंसोल में पहली सूचना प्राप्त की। TTD 90 सेकंड बनाम औसतन 106 दिन ...

समाधानों के अन्य वर्गों के साथ एकीकृत करने की क्षमता के लिए धन्यवाद, हम केवल खतरों का त्वरित पता लगाने से स्वचालित प्रतिक्रिया के लिए आगे बढ़ सकते हैं।

उदाहरण के लिए, एनएसी (नेटवर्क एक्सेस कंट्रोल) सिस्टम या कार्बनब्लैक के साथ एकीकरण स्वचालित रूप से नेटवर्क से समझौता पीसी को डिस्कनेक्ट कर देगा।



सैंडबॉक्स के साथ एकीकरण आपको विश्लेषण के लिए हमले में शामिल फ़ाइलों को स्वचालित रूप से स्थानांतरित करने की अनुमति देता है।

McAfee एकीकरण

समाधान की अपनी अंतर्निहित घटना सहसंबंध प्रणाली भी है।



लेकिन उसकी क्षमताएं हमें शोभा नहीं देतीं, इसलिए हमने उसे HP ArcSight के साथ एकीकृत कर दिया।



अंतर्निहित टिकटिंग सिस्टम "पूरी दुनिया में" खतरे का पता लगाने में मदद करता है।



चूंकि सरकारी एजेंसियों और बड़े कॉरपोरेट सेगमेंट की जरूरतों के लिए "शुरुआत से" समाधान विकसित किया गया था, इसलिए, निश्चित रूप से, एक भूमिका-आधारित एक्सेस मॉडल, विज्ञापन के साथ एकीकरण, रिपोर्ट और ट्रिगर्स (इवेंट अलर्ट) की एक विकसित प्रणाली, बड़ी होल्डिंग संरचनाओं या एमएसएसपी प्रदाताओं के ऑर्केस्ट्रेशन को वहां लागू किया जाता है।

इसके बजाय एक फिर से शुरू

यदि एक समान निगरानी प्रणाली है जो, आलंकारिक रूप से बोल रही है, हमारी पीठ को कवर करती है, तो परिधि के समझौते के साथ, सब कुछ बस शुरुआत है। सबसे महत्वपूर्ण बात, सूचना सुरक्षा घटनाओं से निपटने का एक वास्तविक अवसर है, न कि उनके परिणामों से निपटने का।