कैसे आईटी और सुरक्षा पेशेवर खुद की रक्षा करते हैं: सिस्को कनेक्ट, ब्लैकहैट, आरएसएसी और एमडब्ल्यूसी के साथ वास्तविक मामले

आधुनिक तकनीकों से दूर लोगों की एक विस्तृत मंडली में, यह आमतौर पर स्वीकार किया जाता है कि आईटी और इससे भी अधिक सूचना सुरक्षा विशेषज्ञ पागल हैं, जो पेशेवर विरूपण के प्रभाव के तहत पुनर्बीमित होते हैं और सुरक्षा के दर्जनों विभिन्न साधनों के साथ खुद को बचाते हैं, अक्सर एक दूसरे को अधिक विश्वसनीयता के साथ अतिव्यापी करते हैं। काश, वास्तविकता थोड़ी अलग होती और आज मैं वह दिखाना चाहता जो आमतौर पर एक व्यापक दृष्टिकोण से छिपा होता है। यह आधुनिक सूचना प्रौद्योगिकी और सूचना सुरक्षा के लिए समर्पित विभिन्न प्रमुख अंतरराष्ट्रीय और राष्ट्रीय घटनाओं के लिए आगंतुकों की इंटरनेट गतिविधि की निगरानी के परिणामों पर ध्यान केंद्रित करेगा। सिस्को अक्सर सैन फ्रांसिस्को में RSA, सिंगापुर में ब्लैकहैट, बार्सिलोना में मोबाइल वर्ल्ड कांग्रेस, और सिस्को लाइव या सिस्को कनेक्ट नामक विभिन्न देशों में अपने स्वयं के कार्यक्रम का आयोजन करता है, जैसे सम्मेलनों और प्रदर्शनियों का एक प्रौद्योगिकी भागीदार है। और हर जगह हम अपनी निगरानी तकनीकों का उपयोग करते हैं जिन्हें मैं साझा करना चाहता हूं।


मैं रूसी सिस्को कनेक्ट के साथ शुरू करूंगा, जो मॉस्को में साल में एक बार होता है, और जहां सिस्को अपने नवीनतम उत्पादों को प्रस्तुत करता है, विभिन्न व्यवसाय और आईटी समस्याओं को हल करने के लिए उनके उपयोग के अनुभव के बारे में बात करता है। इस सम्मेलन में 2 हजार से अधिक लोग शामिल होते हैं, जो मुख्य रूप से इंजीनियरों की श्रेणी से संबंधित हैं और प्रमुख विशेषज्ञ अपने इन्फ्रास्ट्रक्चर के संचालन के लिए जिम्मेदार हैं, कई सौ से दसियों तक और सैकड़ों हजारों नोड्स। ये विशेषज्ञ सिस्को कनेक्ट कॉन्फ्रेंस में आते हैं और नए ज्ञान प्राप्त करने के साथ, अपने प्रबंधन या अधीनस्थों के साथ संपर्क में रहते हैं, काम के मेल का जवाब देते हैं या उभरते सवालों के जवाब की तलाश में विभिन्न इंटरनेट संसाधनों पर जाते हैं। दूसरे शब्दों में, सिस्को कनेक्ट आगंतुक सक्रिय रूप से मोबाइल उपकरणों (टैबलेट, स्मार्टफोन और लैपटॉप) और सिस्को इंटरनेट का उपयोग कर रहे हैं। पिछली बार, वसंत में, हमने अपने वायरलेस इंटरनेट एक्सेस इंफ्रास्ट्रक्चर को डीएनएस मॉनिटरिंग सिस्टम - सिस्को छाता के साथ एकीकृत करने का निर्णय लिया।

हमने अनुमान नहीं लगाया कि कितने सिस्को कनेक्ट प्रतिभागियों ने वायरलेस इंटरनेट एक्सेस का उपयोग किया है, लेकिन कितने ने अपने मोबाइल ऑपरेटर द्वारा प्रदान किए गए 3 जी / 4 जी एक्सेस का उपयोग किया है। लेकिन सम्मेलन के दो दिनों के दौरान 4 अप्रैल को सुबह 7 बजे से 9 बजे तक, सिस्को अंब्रेला सेवा के माध्यम से लगभग 600 हज़ार DNS प्रश्न पास हुए। यह पूरी सेवा के पैमाने पर इतना नहीं है, जो प्रति दिन लगभग 120-150 बिलियन अनुरोधों को संसाधित करता है। इस अनुरोध के 0.08% में स्पष्ट रूप से दुर्भावनापूर्ण अभिविन्यास था और अवरुद्ध था।



यह दिलचस्प है कि पहले दिन जब हमारे द्वारा दिन के पहले भाग में (सुबह 10 बजे से दोपहर 1 बजे तक) सभी दुर्भावनापूर्ण अनुरोधों में से लगभग आधे दर्ज किए गए थे, जब प्लेनरी रिपोर्टें थीं, दूसरे दिन शाम को 4 बजे के बाद सभी खराब चीजों की सक्रियता शुरू हुई, जब सम्मेलन समाप्त हो रहा था और प्रतिभागी एक सांस्कृतिक कार्यक्रम - एक छोटी बुफे मेज और संगीत कार्यक्रम में भाग लेने की तैयारी कर रहे थे। बाकी समय के दौरान कम गतिविधि यह इंगित करती है कि सिस्को कनेक्ट प्रतिभागियों ने सिस्को विशेषज्ञों और उसके भागीदारों के भाषणों को सक्रिय रूप से सुना और इंटरनेट पर सर्फिंग और मोबाइल उपकरणों पर काम करने से विचलित नहीं हुए।



आंकड़ों के अनुसार, अवरुद्ध पहुंच के अधिकांश प्रयास दुर्भावनापूर्ण कोड से जुड़े थे।



सिस्को छाता सेवा अकेले यह नहीं बता सकती है कि दौरा किया गया संसाधन संक्रमित है या नहीं। डोमेन से जुड़े दुर्भावनापूर्ण नमूने केवल यह कहते हैं कि वे किसी तरह अवरुद्ध डोमेन या आईपी पते के साथ संचार कर रहे हैं। उदाहरण के लिए, इस डोमेन से दुर्भावनापूर्ण कोड के प्रसार के कारण। या दुर्भावनापूर्ण कोड के कारण इस डोमेन को किल स्विच के रूप में एक्सेस किया जा सकता है (उसी WannaCry ने ऐसा काम किया)। या कमांड सर्वर के रूप में डोमेन के उपयोग के कारण। किसी भी मामले में, यह एक अतिरिक्त जांच के लिए एक अवसर है।



कमांड सर्वर के लिए, हमने ऐसे प्रयास दर्ज किए।





मैं इस तथ्य पर आपका ध्यान आकर्षित करना चाहूंगा कि साइबर अपराधी क्लोन डोमेन या डोमेन के उपयोग से संबंधित विषय का सक्रिय रूप से शोषण करते हैं, जिनके नाम वास्तविक लोगों के समान हैं। इसलिए यह सिस्को कनेक्ट के दौरान था, जब हमने onedrive [।] सु डोमेन पर पहुंचने का प्रयास रिकॉर्ड किया था।



अंत में, कई प्रयास क्रिप्टो खनिकों की गतिविधियों से संबंधित थे। यह एक अन्य सीमा क्षेत्र है जिसे अतिरिक्त जांच की आवश्यकता है, क्योंकि यह पहले से नहीं कहा जा सकता है कि क्या इस मामले में खनन कानूनी है (अचानक किसी ने कुछ अतिरिक्त पैसा बनाने का फैसला किया है) या यदि उपयोगकर्ता के कंप्यूटर का उपयोग गुप्त रूप से और अन्य प्रयोजनों के लिए किया जाता है। मैंने पहले से ही सिस्को समाधानों का उपयोग करके खनन का पता लगाने के विभिन्न तरीकों के बारे में लिखा है - तब से हमने इस क्षेत्र में केवल अपनी क्षमताओं को मजबूत किया है।







यह ध्यान दिया जा सकता है कि अन्य आईटी और सूचना सुरक्षा घटनाओं की तुलना में, सिस्को कनेक्ट इतना बड़ा नहीं है (हालांकि रूस में यह सबसे बड़ा है)। लेकिन 2000 से अधिक आगंतुकों के लिए भी, दुर्भावनापूर्ण कोड से जुड़े डोमेन के साथ बातचीत करने के लगभग 250 प्रयास रिकॉर्ड किए गए, जो दर्शकों के लिए बहुत कुछ है, जो इस खतरे के पूरे खतरे को पूरी तरह से समझना चाहिए और इससे निपटने में सक्षम होना चाहिए। आइए देखें कि हम इस साल अप्रैल में सैन फ्रांसिस्को में आयोजित दुनिया की सबसे बड़ी साइबर सुरक्षा प्रदर्शनी - आरएसएसी में वाई-फाई पर्यावरण की निगरानी के हिस्से के रूप में क्या खोज पाए थे। उसे 42 हजार लोगों ने देखा था। आरआईएसए के साथ सिस्को ने आरएसए एसओसी (पांचवीं बार) प्रदान किया, जिसका कार्य मॉस्कॉन सेंटर के वायरलेस बुनियादी ढांचे (प्रदर्शनी और सम्मेलन के लिए जगह) पर हमलों को रोकना था। सिस्को - सिस्को थ्रेट ग्रिड सैंडबॉक्स, सिस्को अंब्रेला डीएनएस मॉनिटरिंग सिस्टम, और थ्रेट इंटेलिजेंस सॉल्यूशंस - सिस्को विजिबिलिटी और टैलोस इंटेलिजेंस द्वारा निम्नलिखित समाधान प्रदान किए गए थे।



यह दिलचस्प है कि सिस्को कनेक्ट की तुलना में एक बहुत बड़ी घटना में, दुर्भावनापूर्ण डोमेन की संख्या तुलनीय थी - 207। लेकिन हमने सिस्को के भीतर इस्तेमाल किए जाने वाले क्रिप्टो खनन डोमेन दर्ज किए हैं जो सिस्को अंब्रेला का अधिक परिमाण के आदेश का उपयोग करते हुए 155 - अधिक सक्रिय हैं:

• ऑर्टेडमाइन [।] कॉम
• संयोग [।] कॉम
• minergate [।] कॉम
• www [।] क्रिप्टोकरंसी [।] सह
• api.bitfinex [।] com
• poloniex [।] com (यह सिस्को कनेक्ट पर भी तय किया गया था)
• www [।] कॉइनबेस [।] कॉम
• api.coinone.co [।] kr
• बायनेन्स [। com
• gemius [।] pl

विरोधाभासी रूप से, सबसे बड़े विश्व सूचना सुरक्षा कार्यक्रम में, जहां पूरे उद्योग का प्रकाश (अच्छी तरह से, या अधिकांश में) जा रहा है, उपयोगकर्ताओं ने अभी भी अनएन्क्रिप्टेड HTTP कनेक्शन का उपयोग करना जारी रखा है और चालान, एयरलाइन टिकट, व्यापार ऑफ़र, सामग्री सहित उनके माध्यम से फ़ाइलों को डाउनलोड किया है। निवेशकों के लिए, आदि। यह वही है जिसे हमने साप्ताहिक निगरानी के दौरान मुख्य समस्या के रूप में नोट किया था। ऐसा लगता है कि आरएसए प्रतिभागियों ने सम्मेलन में घर पर महसूस किया और उनकी सुरक्षा के बारे में ज्यादा परवाह नहीं की। लेकिन यह सब जानकारी फ़िशिंग को व्यवस्थित करने के लिए इस्तेमाल की जा सकती है - बड़ी मात्रा में मूल्यवान जानकारी अवरोधन के लिए खुली थी।



निवेशकों के साथ ब्रीफिंग के लिए प्रस्तुति आमतौर पर एक दिलचस्प स्थिति बन गई। इसमें आरएसए प्रायोजकों में से एक से बहुमूल्य जानकारी शामिल थी - मुझे तत्काल उनके लिए प्रदर्शनी में देखना था, एसओसी के लिए एक भ्रमण करना था, ताकि वे इस मौके पर देख सकें कि उनके कार्य खतरनाक थे और पता लगाया कि क्या असुरक्षित रूप में प्रसारित होने वाली जानकारी पहले से ही मीडिया और विश्लेषकों के लिए सुलभ है।



सम्मेलन के केवल 5 दिनों में, आरएसए एसओसी ने लगभग 1000 दुर्भावनापूर्ण फाइलें दर्ज कीं, जिनमें से कुछ ऐसे थीं जैसे स्काईनेट वर्जन संस्करण।





कमांड सर्वर के साथ बातचीत रिकॉर्ड की गई (ऐसे 24 प्रयास थे),



साथ ही क्लोनिंग फ़िशिंग साइट्स। उदाहरण के लिए, cragslist [।] ऑर्ग, जो 90 के दशक में सैन फ्रांसिस्को में लॉन्च की गई प्रसिद्ध ग्रेगलिस्ट इलेक्ट्रॉनिक क्लासिफाइड वेबसाइट की नकल करता है और अमेरिकियों के बीच बहुत लोकप्रिय है।



नकली साइट ने उन्हें आकर्षित किया, हालांकि यह खुद चेक गणराज्य में पंजीकृत था।



पिछले एक साल में आरएसएसी में क्या बदलाव आया है? क्रिप्टो खनिकों (विशेष रूप से मोनेरो) की गतिविधि में वृद्धि हुई है और मोबाइल मैलवेयर दिखाई दिए हैं। लेकिन उपयोगकर्ताओं की लापरवाही समान स्तर पर रही - पुरानी पीओपी और IMAPv2 प्रोटोकॉल का उपयोग करके 30-35% ई-मेल को अनएन्क्रिप्टेड रूप में प्रेषित किया गया। यद्यपि अन्य अनुप्रयोग मुख्य रूप से एन्क्रिप्शन का उपयोग करते थे, यह कमजोर था और कमजोर क्रिप्टोग्राफ़िक प्रोटोकॉल पर बनाया गया था, उदाहरण के लिए, टीएलएस 1.0। इसके अलावा, कई एप्लिकेशन, उदाहरण के लिए, होम वीडियो सर्विलांस, डेटिंग साइट्स (बिजनेस ट्रिप सिक्योरिटी :-), स्मार्ट होम से भरपूर), हालांकि उन्होंने ऑथेंटिकेशन का इस्तेमाल किया, ऑथेंटिकेशन डेटा को क्लियर टेक्स्ट में ट्रांसमिट किया गया था! एक विडंबनापूर्ण घटना।

इस वर्ष की पहली तिमाही में बार्सिलोना में मोबाइल वर्ल्ड कांग्रेस में एक अलग तस्वीर थी, जिसमें 107 हजार लोगों ने भाग लिया था। वायरलेस नेटवर्क की निगरानी के लिए, हमने अपने सिस्को स्टेलवॉच विश्लेषण प्रणाली का उपयोग किया। 85% मामलों में वेब ट्रैफ़िक एन्क्रिप्शन का उपयोग किया गया था (सिंगापुर में ब्लैकहैट पर यह मान 96% तक पहुंच गया था)।



नेटफ्लो का विश्लेषण करते हुए, दो दिनों (26 फरवरी और 27 फरवरी) में हमने 32,000 सुरक्षा कार्यक्रम दर्ज किए, जिनमें से 350 को गंभीर घटनाओं के रूप में पहचाना जा सकता है:

• क्रिप्टो माइनर गतिविधि
• Android के लिए ट्रोजन (Android.spy, Boqx, संक्रमित फर्मवेयर)
• दुर्भावनापूर्ण कोड बिक्री
• मैलवेयर, सक्रिय रूप से SMB सेवाओं की स्कैनिंग
• OSX मालवेयर जिनीओ
• कन्फर्म कीड़े
• RevMob
• AdInjectors
• कई एंड्रॉइड मोबाइल डिवाइस संक्रमित थे
• टो और बिटटोरेंट जैसे अनधिकृत प्रोटोकॉल।

कुछ मैलवेयर ने HTTPS पर कमांड सर्वर के साथ इंटरैक्ट करने के लिए PowerShell का उपयोग किया। सामान्य तौर पर, मैलवेयर एन्क्रिप्टेड कनेक्शन (पिछले छह महीनों में 268% की वृद्धि) का उपयोग कर रहा है। हमने उन्हें Cisco Stealthwatch में निर्मित एन्क्रिप्टेड ट्रैफ़िक एनालिटिक्स तकनीक का उपयोग करके विश्लेषण किया, जो एन्क्रिप्ट किए गए ट्रैफ़िक में दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए बिना डिक्रिप्ट किए और डिक्रिप्ट किए हुए है।



मैं सूचना सुरक्षा और आईटी कार्यक्रमों के दृश्यों के पीछे क्या हो रहा है, के बारे में लेख समाप्त करता हूं, जहां विशेषज्ञ साइबर अपराधियों और साइबर अपराधियों के वितरण के तहत भी आते हैं, साथ ही साथ सामान्य उपयोगकर्ता, एक कहानी के साथ कि हम मार्च 2018 में सिंगापुर के ब्लैक हैट में सुरक्षा की निगरानी कैसे करते हैं। इस बार हम एनओसी का हिस्सा थे, जो एशियाई आईबी कार्यक्रम की सुरक्षा के लिए जिम्मेदार था। लेकिन आरएसएसी की तरह, उन्होंने समाधानों के एक ही सेट का उपयोग किया - फाइलों का विश्लेषण करने के लिए सिस्को थ्रेटग्रिड, डीएनएस का विश्लेषण करने के लिए सिस्को छाता, और खतरे की खुफिया के लिए सिस्को विजिबिलिटी। चूंकि कई रिपोर्टों, प्रयोगशालाओं, प्रदर्शनों और प्रशिक्षणों में दुर्भावनापूर्ण साइटों और फ़ाइलों तक पहुंच की आवश्यकता होती है, इसलिए हमने उन्हें ब्लॉक नहीं किया, बल्कि केवल उन्हें देखा। सामान्य तौर पर, तस्वीर ऊपर वर्णित के समान थी, लेकिन मैं एक दिलचस्प मामले के बारे में बात करना चाहूंगा।

सम्मेलन के पहले दिन, हमने असामान्य गतिविधि दर्ज की - डोमेन www.blekeyrfid [।] पर 1 घंटे में 1000 से अधिक DNS प्रश्न। एक अतिरिक्त जांच से पता चला है कि सभी गतिविधि एक पीसी से थी और केवल सम्मेलन के दौरान।



सिस्को अंब्रेला कंसोल से सिस्को अंब्रेला इनवेस्टिगेशन इन्वेस्टिगेशन टूल पर चलते हुए, हमने अध्ययन करना शुरू किया कि यह किस तरह का डोमेन था। जिस आईपी पर डोमेन स्थित था, वह छाता ब्लैकलिस्ट पर था। ब्लैक हैट एशिया सम्मेलन के प्रतिभागियों के लिए ऐसी साइटों तक पहुंच स्वीकार्य थी। हालाँकि, हमने सम्मेलन संपत्तियों से इसकी पहुँच को अवरुद्ध कर दिया।



ThreatGrid का उपयोग करते हुए एक जांच से पता चला कि इस डोमेन ने एक्सेस कंट्रोल स्पूफिंग समाधानों का विज्ञापन किया था। इसके अलावा, जानकारी को आयोजकों को हस्तांतरित कर दिया गया था, जिन्होंने खुद पहले ही एक उपयुक्त जांच की थी, कि यह गतिविधि कानूनी थी या नहीं।



लेकिन ब्लैक हैट एशिया में सबसे आम सुरक्षा कार्यक्रम क्रिप्टो खनिक था। पहली बार, हमने 2017 की यूरोपीय ब्लैक हैट पर इस तरह की गतिविधि दर्ज की। सिंगापुर में, यह सिर्फ एक संकट बन गया। सम्मेलन से अधिकांश ट्रैफ़िक को ऑर्डमेडाइन []] कॉम डोमेन के लिए निर्देशित किया गया था, जो कॉइनहाइव [कॉ।] से जुड़ा हुआ है।



सिस्को अंब्रेला इनवेस्टिगेट में इस डोमेन के विश्लेषण से पता चला कि यह बहुत सारे दुर्भावनापूर्ण नमूनों के साथ जुड़ा हुआ है जिसका विश्लेषण हमने सिस्को थ्रैटग्रिड में किया था।



हाल ही में जारी नए सिस्को दृश्यता के साथ, हम हमलावरों की वास्तुकला और आईपी पते, कलाकृतियों, यूआरएल और दुर्भावनापूर्ण नमूनों के बीच संबंधों को बेहतर ढंग से समझने में सक्षम हैं।



आमतौर पर, क्रिप्टो खनन दो तरीकों से लागू किया जाता है:

• स्पष्ट - उपयोगकर्ता स्पष्ट रूप से खनन में भाग लेने के लिए सहमत है और प्रयास करता है ताकि उसका एंटीवायरस और अन्य सुरक्षा सॉफ़्टवेयर क्रिप्टोकरेंसी को अवरुद्ध न करें
• निहित - उपयोगकर्ता को पता नहीं है कि उसके द्वारा खोला गया ब्राउज़र कंप्यूटर संसाधनों का उपयोग करके क्रिप्टोक्यूरेंसी को खनन कर रहा है।

ओर्टमेडाइन के मालिक [।] कॉम का दावा है (थ्रिएटग्रिड में विश्लेषण के रूप में पता चलता है) कि वे पहले विकल्प का उपयोग कर रहे हैं।



हालाँकि, साइट पर ही, एक .js स्क्रिप्ट का उपयोग खनन के लिए किया जाता है (विधि आमतौर पर दूसरे संस्करण में उपयोग की जाती है), जिसे उपयोगकर्ता की सहमति के बिना अस्थायी इंटरनेट फ़ाइलों पर अपलोड किया जाता है।



एकीकृत और वैश्विक खतरे के खुफिया डेटा का उपयोग करते हुए, हम देखते हैं कि इस स्क्रिप्ट का उपयोग अन्य अन्य नमूनों में एक विरूपण साक्ष्य के रूप में किया जाता है जिसे हमने सिस्को थ्रैटग्रिड का उपयोग करके विश्लेषण किया था।



अन्य खनन डोमेन दर्ज किए गए:

• www [।] क्रिप्टोकरंसी [।] सह
• बिटपे [।] कॉम
• www [।] उत्पत्ति-खनन [।] कॉम
• ws010 [।] सिक्का [।] कॉम
• www।]। क्रिप्टोमाइनिंग [।] फ़ार्म
• www [।] ledgerwallet [। com
• इथेरियम [।] माइनिंगपुलब [।] कॉम
• माइनिंगपुलब [।] कॉम
• धक्का [।] coinone.co [।] kr
• ws [।] coinone.co [।] kr
• getmonero [।] org
• विगेट्स [।] बिटकॉइन [।] कॉम
• index [।] बिटकॉइन [।] com
• एपी [[।] नैनोपोल [।] ओआरजी
• wss [।] बिथंब [।] कॉम
• एपीआई [।] बिटफ़ाइनक्स [।] कॉम

2018 में विभिन्न आईटी और सूचना सुरक्षा घटनाओं पर नजर रखने के हमारे प्रयासों की इस समीक्षा का मैं क्या निष्कर्ष निकालना चाहूंगा:

• यहां तक ​​कि सुरक्षा या आईटी पेशेवर जिन्हें नौकरी से खुद का बचाव करने में सक्षम होना चाहिए, वे हमेशा इसे सही नहीं करते हैं।
• सूचना सुरक्षा और आईटी के सम्मेलनों में, कई विशेषज्ञ लापरवाह होते हैं और न केवल एक नकली पहुंच बिंदु से जुड़ सकते हैं, बल्कि विभिन्न संसाधनों पर प्रमाणीकरण के लिए या ईमेल के साथ काम करने, हमलावरों के लिए दिलचस्प और खतरनाक अवसरों को खोलने के लिए असुरक्षित प्रोटोकॉल का भी उपयोग कर सकते हैं।
• मोबाइल डिवाइस हमलावरों के लिए एक दिलचस्प लक्ष्य हैं। स्थिति इस तथ्य से बढ़ जाती है कि ऐसे उपकरण आमतौर पर खराब रूप से संरक्षित होते हैं और परिधि ITU, IDS, DLP, एक्सेस कंट्रोल सिस्टम और ई-मेल सुरक्षा की छाया में नहीं होते हैं। इस तरह के उपकरणों के संक्रमण और उनके साथ काम करने के लिए आने से उपयोगकर्ता के साथ असंगत खनन की तुलना में बहुत अधिक दुखद परिणाम हो सकते हैं।

पुनश्च: बहुत जल्द, अगस्त में, हम फिर से लास वेगास में ब्लैक हैट की सुरक्षा की निगरानी करेंगे और निश्चित रूप से रोबर्ट पाठकों के साथ हमारे काम के परिणामों को साझा करेंगे।