मैजिक-यूनिकॉर्न-टूल द्वारा निकाले गए विस्तृत Office 365 आउटलुक लॉग: एक हमलावर भुगतान चालान की तलाश में है। खोज क्वेरी का पहला अक्षर 10: 42: 44.548, अंतिम 10: 43: 07.214 पर दर्ज किया गया था। गतिविधि की जानकारी छह महीने के लिए लॉग में संग्रहीत की जाती है।

एक लंबे समय के लिए, अफवाहें थीं कि Office 365 में उपयोगकर्ता गतिविधि को रिकॉर्ड करने के लिए एक अंतर्निहित गुप्त उपकरण है। जून 2018 में, इन अफवाहों की पूरी तरह से पुष्टि की गई थी। यह सब बेनामी द्वारा प्रकाशित एक वीडियो के साथ शुरू हुआ, और फिर क्राउडसर्टिक विशेषज्ञों ने एक विस्तृत रिपोर्ट अपलोड की ।

Microsoft ने किसी भी दुर्भावनापूर्ण उद्देश्य के लिए नहीं, बल्कि डिजिटल फॉरेंसिक के कार्यों के लिए ईमेल क्लाइंट में एक्टिविटी एपीआई की शुरुआत की, यानी कॉर्पोरेट मेल और अन्य डेटा लीक की हैकिंग से जुड़ी घटनाओं की जांच। ऐसा करने के लिए, एक विस्तृत गतिविधि लॉग छह महीने तक बनाए रखा जाता है, भले ही उपयोगकर्ता ने लॉगिंग को अक्षम कर दिया हो ।

ईमेल अकाउंट हैकिंग महामारी

दुनिया भर में कॉर्पोरेट ईमेल खातों को हैक करना इतना व्यापक हो गया है कि कुछ विशेषज्ञ इसे महामारी कहते हैं । हमलावर सामाजिक सुरक्षा संख्या, वित्तीय चालान और व्यापार रहस्य के बारे में विस्तृत जानकारी के साथ स्प्रेडशीट तक पहुंच प्राप्त करते हैं। वे दस्तावेजों पर एक डिजिटल हस्ताक्षर की कमी का लाभ उठाते हुए, बैंक हस्तांतरण और पैसे चोरी करने के बारे में जानकारी की तलाश करते हैं । व्यापार मेल से समझौता करने के माध्यम से विभिन्न प्रकार के धोखाधड़ी क्राउडस्ट्रिच ब्रोशर में वर्णित हैं।

उदाहरण के लिए, जून की शुरुआत में, एफबीआई ने एक अंतरराष्ट्रीय ऑपरेशन किया और कई देशों के 74 लोगों को हिरासत में लिया जो इस व्यवसाय में शामिल थे।

जब हैकिंग के तथ्य ज्ञात हो जाते हैं, तो यह समझना महत्वपूर्ण है: पटाखा को किस डेटा तक पहुंच प्राप्त हुई, उसने क्या देखा और उसने क्या जानकारी कॉपी की। क्या गोपनीय डेटा लीक हुआ है? जांच की घटनाओं को और अधिक कठिन बना दिया गया है क्योंकि Office 365 में लॉगिंग डिफ़ॉल्ट रूप से बंद है। किसी भी वास्तविक जानकारी की अनुपस्थिति में, कंपनी कानून द्वारा सभी आगामी परिणामों के साथ सार्वजनिक रूप से डेटा लीक की घोषणा करने के लिए बाध्य है - प्रतिष्ठित लागत, जुर्माना, आदि।

लेकिन अब यह ज्ञात हो गया है कि ऑफिस 365 में विस्तृत लॉगिंग के साथ एक्टिविटी एपीआई हैं, और अगर कंपनियों को इस एपीआई के बारे में पता था तो इनमें से कई घोटालों से बचा जा सकता है। शायद, इन गुप्त लॉग तक पहुंच केवल कुछ विशेषाधिकार प्राप्त ग्राहकों द्वारा प्राप्त की गई थी। ऐसी जानकारी है कि कुछ कंपनियां जो डिजिटल फोरेंसिक में विशेषज्ञता रखती हैं, वे पिछले साल गुप्त कार्यालय 365 ऑडिट टूल के बारे में जानती थीं। किसी ने उनके बयानों को ब्रवाडो की मार्केटिंग माना, लेकिन यह सच निकला। आश्चर्यजनक रूप से, एक्टिविटी एपीआई मौजूद है, और माइक्रोसॉफ्ट ने वास्तव में इस तरह के एक महत्वपूर्ण और उपयोगी उपकरण के अस्तित्व को छुपाया है, जिसे पेशेवर मैजिक यूनिकॉर्न कहा जाता है, इसलिए लॉग्स के आत्म-विश्लेषण के लिए कार्यक्रम का नाम, जिसका उल्लेख नीचे किया गया है।



एक हमलावर भुगतान चालान युक्त संदेशों को स्कैन करता है और W-9 बनाता है। मैजिक-यूनिकॉर्न-टूल द्वारा निकाले गए विस्तृत लॉग

क्राउडस्ट्राइक जांच

CrowdStrike ने विस्तार से वर्णन किया कि कैसे डिफ़ॉल्ट रूप से Office 365 जर्नलिंग सभी उपयोगकर्ताओं के लिए काम करता है। इस सुविधा में एक वेब API शामिल है जो Exchange वेब सेवाएँ (EWS) के माध्यम से Office 365 Outlook गतिविधि जानकारी प्राप्त करता है। एपीआई तक पहुंच उन सभी के लिए खुली है जो समापन बिंदु और विशिष्ट HTTP हेडर को जानते हैं।

अनिर्दिष्ट गतिविधियाँ एपीआई आउटलुक रीस्ट एपीआई (1.0, 2.0 और बीटा) के सभी तीन संस्करणों का सबसेट है। बाकी सबटेट्स की तरह, एपीआई कॉल को OAuth 2.0 या मूल प्रमाणीकरण का उपयोग करके प्रमाणित किया जाना चाहिए।

अंतिम बिंदु इस प्रकार है:

https://outlook.office.com/api/v2.0/{user_context}/Activities 

सभी अनुरोधों को HTTP GET पैकेट के रूप में भेजा जाता है, जिसमें निम्नलिखित HTTP हेडर शामिल होना चाहिए:

 Prefer: exchange.behavior="ActivityAccess" 

इस शीर्ष लेख के बिना अनुरोध HTTP 400 Bad Request लौटाएगा।

Authorization शीर्ष लेख भी Authorization :

 Authorization: Bearer <access token> 

इस शीर्ष लेख के बिना अनुरोध HTTP 403 Unauthorized प्रतिक्रिया लौटाएगा।

परीक्षण उद्देश्यों के लिए, Oauth सैंडबॉक्स में एक OAuth 2.0 एक्सेस टोकन उत्पन्न किया जा सकता है। यह 60 मिनट के लिए वैध है।

एपीआई के लिए सबसे सरल कॉल इसकी अंतिम दस गतिविधियों का अनुरोध करना है।

 GET https://outlook.office.com/api/v2.0/me/Activities 

JSON प्रारूप में API से एक उदाहरण प्रतिक्रिया मानक गतिविधि गुण दिखाती है:

 { "value": [ { "Id":"WOGVSAiPKrfJ4apAPcBksT2en7whzDz4NIbUs3==", "ActivityCreationTime":"2010-04-01T12:34:56.789Z", "ActivityIdType":"ReadingPaneDisplayStart", "AppIdType":"Outlook", "ClientVersion":"15.00.0000.000", "ClientSessionId":"679126f3-02de-3513-e336-0eac1294b120", "ActivityItemId":"NjKG5m6OmaCjGKq6WlbjIzvp94czUDg30qGopD==", "TimeStamp":"2010-04-01T12:34:56.789Z", "TenantId":"679126f3-02de-3513-e336-0eac1294b120", } ] } 

एपीआई के माध्यम से, आप न केवल स्वयं के लिए, बल्कि अन्य उपयोगकर्ताओं के लिए भी गतिविधि का अनुरोध कर सकते हैं, यदि अनुमति साझा मेलबॉक्स या आवेदन पत्र के माध्यम से प्राप्त की जाती है:

 GET https://outlook.office.com/api/v2.0/Users('victim@contoso.com')/Activities 

क्रियाएँ API कई क्वेरी मापदंडों का समर्थन करता है:

• $orderby : दी गई अभिव्यक्ति द्वारा क्रमबद्ध परिणाम
• $filter : फ़िल्टर परिणाम दिनांक और / या गतिविधि के प्रकार से
• $select : वापसी गुणों का चयन करें
• $top : लौटी गतिविधियों की अधिकतम संख्या
• $skip : परिणामों में छोड़ी गई गतिविधियों की संख्या

फिलहाल, क्राउडस्ट्राइक ने 30 प्रकार की गतिविधियों की पहचान की है, लेकिन वास्तव में अधिक हो सकती है। यहाँ सबसे उपयोगी हैं:

• Delete : एक पत्र को हटाना
• Forward : ईमेल अग्रेषण
• LinkClicked : एक ईमेल में एक लिंक पर क्लिक करना
• MarkAsRead : संदेश चिह्नित पढ़ा
• MarkAsUnread : संदेश अपठित चिह्नित
• MessageDelivered : मेलबॉक्स को दिया गया पत्र
• MessageSent : मेलबॉक्स से भेजा गया ईमेल
• Move : ईमेल को पुनर्निर्धारित किया गया है
• OpenedAnAttachment : खुला आवेदन
• ReadingPaneDisplayEnd : दृश्य फलक में ReadingPaneDisplayEnd पत्र का ReadingPaneDisplayEnd है
• ReadingPaneDisplayStart : दृश्य फलक में लिखने के लिए एक हाइलाइट चुनें।
• Reply : पत्र का जवाब
• SearchResult : खोज परिणाम उत्पन्न करना
• ServerLogon : प्राधिकरण घटना

घटनाओं की जाँच में उपयोगी अन्य दिलचस्प प्रकार की गतिविधियाँ हैं: SenderSmtpAddress , Recipients , Subject , SentTime , InternetMessageId , ClientIP , UserAgent , आदि।

क्राउडस्ट्राइक विशेषज्ञों ने पायथन मॉड्यूल प्रकाशित किया है जो Office 365 आउटलुक एक्टिविटीज एपीआई से जानकारी निकालता है और प्राप्त डेटा को एक सीएसवी फ़ाइल में लिखता है।

कार्यक्रम जादू-यूनिकॉर्न-उपकरण

मैजिक-यूनिकॉर्न-टूल प्रोग्राम उपरोक्त पायथन मॉड्यूल द्वारा प्राप्त गतिविधियों एपीआई लॉग को पार्स करता है। फिलहाल, यह निम्नलिखित जानकारी को पार्स और प्रदर्शित करने में सक्षम है:

• मेलबॉक्स में खोज क्वेरी, संदेश देखने के लिए समय और / या अधिकृत सत्र।
• प्राधिकरण ईवेंट्स (लॉगऑन और सर्वरलॉगन), दिनांक, समय, आईपी पता और ब्राउज़र प्रकार।
• सभी मेल गतिविधि को वितरित और पढ़े गए अक्षरों के रूप में चिह्नित किया गया है।
• अंतिम प्राधिकरण घटना के संदर्भ में सत्र आईडी से दर्ज की गई खोज घटनाएं।
• पैनल पढ़ना।
• अनुलग्नक देखें।

विभिन्न IP पतों से अपने खाते में साइन इन करें

मैजिक-यूनिकॉर्न-टूल को कोड हस्ताक्षर के बिना वितरित किया जाता है, लेकिन खुले स्रोत के साथ।

उपयोगकर्ताओं के ज्ञान के बिना एक्टिविटी एपीआई जैसे उपकरणों को लागू करना पूरे डिजिटल फोरेंसिक उद्योग के लिए कई व्यावहारिक और नैतिक मुद्दों को उठाता है। डिफ़ॉल्ट रूप से, जर्नलिंग Office 365 खातों पर अक्षम है। यह मानक ProPlus और E1 योजनाओं का हिस्सा नहीं है। कंपनियों को खातों के ऑडिट के लिए अतिरिक्त पैसे का भुगतान करना पड़ता है, और लॉग की कमी (जैसा कि उन्होंने सोचा था) के कारण, कई कंपनियों को नुकसान उठाना पड़ा। इसी समय, एक्टिविटी एपीआई लॉग ग्रैन्युलैरिटी यूनिफाइड ऑडिट लॉग जैसे डॉक्युमेंटेड लॉगिंग विधियों की ग्रैन्युलैरिटी को पार कर जाती है।

LMG सुरक्षा के डिजिटल फोरेंसिक विशेषज्ञ गतिविधि लॉगिंग के लिए मानकों को अपनाने और क्लाउड प्रदाताओं पर अनिवार्य बोझ के रूप में रखने के लिए बुला रहे हैं, क्योंकि डेटा केंद्रों में फायर अलार्म सिस्टम अब एक अनिवार्य बोझ है।

मानकों को अपनाने की आवश्यकता है ताकि प्रदाता न केवल लॉग रखें, बल्कि उन्हें ग्राहकों और ऑडिट कंपनियों के लिए एक मानक रूप में प्रदान करें, और चयनित ग्राहकों के लिए अधिक महंगी टैरिफ योजना या एक अलग भुगतान सेवा के रूप में गुप्त न रखें।

---

जीएमओ GlobalSign रूस कार्रवाई के लिए हबर सब्सक्राइबर्स


आप GlobalSign प्रबंधक से फोन पर संपर्क करके अतिरिक्त जानकारी प्राप्त कर सकते हैं: +7 (499) 678 2210, या प्रोमो कोड CS002HBFR का संकेत देते हुए वेबसाइट पर फ़ॉर्म भरें।