सिस्को दृश्यता के साथ खतरा शिकार

कल्पना कीजिए कि आपने कोमरसैंट में एक लेख पढ़ा कि पेगासस बैंकों पर हमलों का एक पूरा पैकेज सार्वजनिक रूप से इंटरनेट पर उपलब्ध कराया गया था। आप शायद यह पता लगाना चाहेंगे कि क्या आप वितरण में भी फंस गए हैं और क्या दुर्भावनापूर्ण कोड आपके नेटवर्क पर बैठा है। एक तरफ, आपके पास सुरक्षा के विभिन्न साधनों से लॉग और सुरक्षा घटनाओं का एक समूह है, और दूसरी ओर, आपको किसी भी भुगतान या मुफ्त थ्रेट इंटेलिजेंस सेवा के उदाहरण के रूप में खतरों के बारे में जानकारी मिल सकती है (उदाहरण के लिए, BI.ZONE, राज्य सुरक्षा सेवा से या FinTsERT)। एक तरफ, आपके पास विश्लेषण करने के लिए बहुत सारे डेटा हैं, लेकिन आप नहीं जानते कि क्या आपके पास उन चीज़ों के निशान हैं जिन्हें आप ढूंढ रहे हैं। दूसरी ओर, आपके पास निशानों (जो कि समझौता के संकेतक हैं) के बारे में जानकारी है, लेकिन आप नहीं जानते कि वे आपके लिए कितने लागू हैं। आपको इन दो डेटासेट्स को लागू करने की आवश्यकता है, जिसे आमतौर पर थ्रेट हंटिंग कहा जाता है या अपने बुनियादी ढांचे में हमलों के निशान ढूंढने के लिए। आइए देखें कि आप हाल ही में जारी सिस्को दृश्यता समाधान के साथ इस कार्य को कैसे स्वचालित कर सकते हैं।



आप नहीं जानते कि कहां से शुरू करें? एक ऐसे खतरे के निशान को देखने के लिए जहां आपकी रुचि है? यहाँ एक रिक्त पत्रक है और सिस्को दृश्यता में यह इस तरह दिखता है:



इस विंडो में आप वह सब कुछ लोड करते हैं जो आप खोजेंगे। आइए, टेस्ला क्रिप्ट को एक उदाहरण के रूप में लेते हैं (वास्तविक जीवन में, टेस्ला क्रिप्ट के बजाय, आप किसी अन्य खतरे को प्रतिस्थापित करेंगे, जिसे आपको थ्रेट हंटिंग के दौरान उसके निशान को खोजने या उसकी अनुपस्थिति को साबित करने की आवश्यकता है)। सबसे पहले आपको समझौते के सभी संकेतकों को एक साथ रखना होगा, जिसके लिए आप मौजूदा थ्रेट इंटेलिजेंस सेवाओं का उपयोग करते हैं। उदाहरण के लिए, आप सिस्को तालोस ब्लॉग से टेस्ला क्रिप्टोकरेंसी प्राप्त करते हैं। आपके सामने 9 संकेतक हैं - आईपी पते, मैलवेयर फाइलें और डोमेन के हैश जो अतिरिक्त कमांड प्राप्त करने और क्रिप्टोक्यूरेंसी में फिरौती के लिए भुगतान करने के लिए एन्क्रिप्टेड संपर्कों को तैनात करते हैं। आप इन सभी संकेतकों को सिस्को दृश्यता में लोड करते हैं:



यहां आपको एक छोटा सा विषयांतर करने की आवश्यकता है। सिस्को विजिबिलिटी अब एंडपॉइंट्स के लिए सिस्को एएमपी के डेटा के साथ काम करती है, जो कि एक ईडीआर (एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स) क्लास सॉल्यूशन के साथ है जो विंडोज, लिनक्स, मैकओएस, एंड्रॉइड और आईओएस चलाने वाले पर्सनल और मोबाइल कंप्यूटर पर इंस्टॉल होता है। इसलिए, सिस्को विजिबिलिटी के साथ थ्रेट हंटिंग अब एंडपॉइंट उपकरणों पर किया जाता है, जो हमलावरों द्वारा लक्षित 70% हैं।



सिस्को दृश्यता में संकेतक लोड करने के बाद हम क्या देखते हैं? स्क्रीन का मुख्य क्षेत्र रिश्ते के ग्राफ द्वारा कब्जा कर लिया गया है, जो समझौता संकेतकों, ग्राहक के बुनियादी ढांचे और बाहरी वातावरण से एकत्र की जाने वाली सुरक्षा घटनाओं के बीच बातचीत को दर्शाता है। आप तस्वीर के पैमाने पर एक सामान्य विचार प्राप्त कर सकते हैं कि क्या हो रहा है।



इंटरैक्शन के ग्राफ़ के ऊपर एक पैनल है जो हमारे लिए ब्याज के सभी बिंदुओं का सारांश प्रदर्शित करता है:

• लक्ष्य या बलिदान। इस फ़ील्ड पर क्लिक करके, आप तुरंत अपने नेटवर्क के सभी नोड्स की एक सूची प्राप्त करेंगे, जिस पर आप जो ट्रैक देख रहे हैं, वे मिल गए हैं। यह वही है जो आपको आपदा के पैमाने को समझने के लिए और आपको कितना नुकसान उठाना पड़ा है। यदि यहां कोई नोड नहीं दिखाया गया है, तो आपके पास हमले में शामिल नोड्स नहीं हैं।
• निशान। इस फ़ील्ड पर क्लिक करने से, आपको उन पटरियों की एक सूची मिलेगी, जिन्हें आप खोज रहे हैं, रंग हाइलाइटिंग के साथ जो इस तथ्य को दर्शाता है कि ये ट्रैक सिस्को थ्रेट इंटेलिजेंस डेटाबेस में हैं।
• संकेतक। इस फ़ील्ड पर क्लिक करके, आप अपने अवसंरचना में पाए गए व्यवहार के पैटर्न देखेंगे जो आपके द्वारा खोजे जा रहे निशान से मेल खाते हैं।
• डोमेन, हैश, आईपी पते और यूआरएल। ये फ़ील्ड संबंधित निशान दिखाते हैं।
• मॉड्यूल। यह मेनू आइटम उन मॉड्यूल की सूची को दर्शाता है जिनकी मदद से डेटा को समृद्ध किया गया था और हमलों के निशान का पता लगाया गया था। ऐसे कई मॉड्यूल हैं और उनमें सिस्को समाधान (उदाहरण के लिए, सिस्को थ्रैटग्रिड, सिस्को अम्ब्रेला, सिस्को एएमपी ग्लोबल इंटेलिजेंस, टेलोस इंटेलिजेंस) और तीसरे पक्ष के समाधान (उदाहरण के लिए, वायरसटोटल) दोनों शामिल हैं। इन मॉड्यूल की सूची का विस्तार होगा।

यह देखते हुए कि AMP4E एजेंट सैकड़ों और हजारों कंप्यूटरों में स्थापित किए जा सकते हैं, हम उन सभी में रुचि नहीं रखते हैं, लेकिन केवल वे जो "वितरण के तहत" (यदि उन्हें मिला है, तो)। लक्ष्य फ़ील्ड पर क्लिक करके, हमें उन नोड्स की एक सूची मिलती है, जहाँ खतरे के निशान पाए गए थे। हमारे मामले में, यह सिर्फ एक नोड है।



इस नोड के नाम पर क्लिक करके, हम तुरंत इंटरैक्शन के ग्राफ का क्षेत्र प्राप्त करते हैं, जो वांछित निशान और समझौता किए गए नोड के बीच सभी कनेक्शनों को दर्शाता है।



यह तुरंत स्पष्ट है कि बुनियादी ढांचे का केवल एक छोटा हिस्सा प्रभावित हुआ है, जिस पर आप ध्यान केंद्रित कर सकते हैं।



पाए गए निशान तीसरे पक्ष के समाधान (इस मामले में, VirusTotal) सहित विभिन्न मॉड्यूल का उपयोग करके समृद्ध थे। यह हमें विश्लेषण के परिणामों में अधिक आश्वस्त होने की अनुमति देता है, क्योंकि थ्रेट इंटेलिजेंस के विभिन्न स्रोतों से प्राप्त निशान की पुष्टि हुई थी। इस मामले में, जांच को 5 स्रोतों से टीआई डेटा के साथ समृद्ध किया गया था:



समझौते के कई संकेतक, अर्थात् व्यवहार पैटर्न, मांगे गए निशान के संबंध में पाए गए हैं (19):



"साइटिंग्स टाइमलाइन" स्क्रीन का क्षेत्र हमें एक समयरेखा दिखाता है जिसमें दो महत्वपूर्ण मुद्दों को दर्शाया गया है - जब निशान हमारे स्थानीय बुनियादी ढांचे में पाए गए थे और जब वे कंपनी के बाहर पाए गए थे, तो दुनिया में (पिछले 30 दिनों को प्रदर्शित किया जाता है ताकि वर्तमान क्षण से बहुत दूर न जाएं। )। दो समयसीमा की इस तरह की तुलना हमें यह निष्कर्ष निकालने की अनुमति देती है कि क्या दुर्भावनापूर्ण गतिविधि वैश्विक है (और हम सिर्फ अन्य लोगों की तरह वितरण के तहत गिर गए) या यदि यह फोकल था, विशेष रूप से हमारे लिए डिज़ाइन किया गया।



स्क्रीन के बहुत नीचे हम एक सेक्शन देखेंगे जहाँ आप प्रत्येक ट्रैक, आर्टवर्क, कॉम्प्रोमाइज़ इंडिकेटर के लिए विवरण प्राप्त कर सकते हैं और अधिक विस्तृत विश्लेषण के लिए जा सकते हैं। कृपया ध्यान दें कि हम जिन सभी निशानों की तलाश कर रहे हैं, वे हमारे नेटवर्क में केवल एक से मिले हैं - दुर्भावनापूर्ण फ़ाइल का हैश।



उदाहरण के लिए, यह इसी तरह की हैश के साथ हमारे बुनियादी ढांचे में पता लगाया गया दुर्भावनापूर्ण फ़ाइलों की जानकारी है। हालांकि, इस तरह के एक महत्वपूर्ण बिंदु पर ध्यान देने योग्य है। प्रत्येक ट्रैक के लिए, हम कई टैब देखते हैं। इनमें से पहला निर्णय है। इसमें हम विभिन्न मॉड्यूलों के संदर्भ देखते हैं जो कुछ समय में इन "निशान" को देखते हैं। उदाहरण के लिए, हम देखते हैं कि VirusTotal डेटाबेस में संबंधित हैश है और इसे अलग-अलग एंटी-वायरस इंजन द्वारा मान्यता प्राप्त है। क्या इसका मतलब यह है कि यह खतरा हमारे नेटवर्क में है? अभी नहीं। शायद यह एक पुराना मैलवेयर है जो अब मान्य नहीं है। उदाहरण के लिए, समाप्ति क्षेत्र में एक नोट हो सकता है कि यह ट्रेस आखिरी बार "जंगली में" दो महीने पहले दर्ज किया गया था।



वर्डडिक्ट टैब (अंतिम वाक्य) अधिक महत्वपूर्ण है, जो हमें अपने बुनियादी ढांचे में मौजूद खतरे की मौजूदगी या अनुपस्थिति के बारे में अंतिम निष्कर्ष (विभिन्न आंकड़ों का मूल्यांकन करके, फैसले के भारित परिणाम को प्रदर्शित करता है) को आकर्षित करने की अनुमति देता है।



साइटिंग्स टैब हमें धमकियों द्वारा कलाकृतियों को दिखाता है और जहां उन्हें खोजा गया था:



संकेतक टैब पता लगाए गए निशान में निहित प्रत्येक संकेतक का एक विस्तृत विवरण दिखाता है:



कृपया ध्यान दें कि हमारे पास टोर के साथ बातचीत, बैकअप प्रतियों को हटाने, एंटीवायरस मान्यता, और बड़ी संख्या में कलाकृतियों का निर्माण आदि हैं। हमारे थ्रेट इंटेलिजेंस डेटाबेस में, हम लगभग 1000 विभिन्न संकेतकों का विश्लेषण करते हैं।



हमारे बुनियादी ढांचे में पाए गए एक हमले के निशान के बारे में जानकारी प्राप्त करने के बाद, हम उन उपकरणों का उपयोग करके अधिक विस्तृत जांच कर सकते हैं जो सिस्को दृश्यता को प्रारंभिक डेटा प्रदान करते थे। उदाहरण के लिए, हम किसी विशेष घटना का विस्तृत विश्लेषण प्राप्त करने के लिए एंडपॉइंट के लिए एएमपी चला सकते हैं, जिससे खतरे का पता लगाने की संभावना बढ़ जाती है।



हम पूरी तस्वीर देखते हैं कि क्या हो रहा है। 15 जुलाई को 20:00:00 मॉस्को समय में explorer.exe प्रक्रिया द्वारा बनाई गई दुर्भावनापूर्ण फ़ाइल। हम देखते हैं कि यह फ़ाइल कहाँ स्थित है और विभिन्न एल्गोरिदम (SHA1 और MD5) के अनुसार इसके हैश के मूल्य।



भूतलक्षी सुरक्षा की तकनीक और उपकरण प्रक्षेपवक्र के दृश्य तंत्र का उपयोग करते हुए, हम ब्याज की फ़ाइल द्वारा किए गए या किए गए सभी कार्यों की कल्पना कर सकते हैं। इस स्थिति में, हम देखते हैं कि एक्स्प्लोरर। Exe प्रक्रिया द्वारा बनाई गई t.exe फ़ाइल ऑब्जेक्ट ने पूरी तरह से कानूनी विंडोज यूटिलिटी शुरू की है - vssadmin.exe, जो छाया प्रतियों का प्रबंधन करती है और, अन्य चीजों के अलावा, उन्हें हटाने के लिए अक्सर एन्क्रिप्टर्स द्वारा उपयोग किया जाता है (ताकि इसे पुनर्स्थापित नहीं किया जा सके। एन्क्रिप्टेड डेटा)। यदि आप टेस्ला क्रिप्ट के विवरण को देखते हैं, तो हम देखेंगे कि यह एनक्रिप्टर अपनी गतिविधियों में vssadmin का उपयोग करता है।



वैसे, हमने हाल ही में डिवाइस प्रक्षेपवक्र तंत्र को अद्यतन किया है और अब यह थोड़ा अलग दिखता है:



ऊपर दिए गए उदाहरण में, t.exe फ़ाइल को अवरुद्ध नहीं किया गया था और इसे अलग नहीं किया गया था, हालांकि यह वही है जो वास्तविक जीवन में एंडपॉइंट्स के लिए एएमपी करता है। लेकिन इस लेख के प्रयोजनों के लिए, AMP4E ऑडिट मोड में काम करता है, जो आपको घटनाओं की निगरानी करने की अनुमति देता है, लेकिन उन्हें ब्लॉक नहीं करता है। वैसे, अगर Vssadmin (एक पूरी तरह से कानूनी प्रणाली प्रशासन उपकरण) के बजाय PowerShell लॉन्च किया गया था, तो हम इसे और कमांड लाइन मापदंडों को PowerShell में उपयोग करते हुए देखेंगे।

इसलिए, संक्षेप में, यह स्थानीय बुनियादी ढांचे में खतरों के निशान की खोज करते हुए और विभिन्न थ्रेट इंटेलिजेंस स्रोतों से डेटा के साथ मौजूदा सुरक्षा घटनाओं को समृद्ध करते हुए सिस्को विजिबिलिटी के साथ काम करता है।

पुनश्च: सिस्को दृश्यता सिस्को खतरा खुफिया मॉडल (CTIM) पर आधारित है जिसे हमने विकसित किया, जो बदले में, थ्रेट इंटेलिजेंस संचार मानक - STIX पर आधारित है। लेकिन एसटीआईएक्स के विपरीत, सीटीआईएम मॉडल खतरे के डेटा के प्रारूप को औपचारिक रूप देने पर केंद्रित नहीं है, लेकिन इस डेटा को इकट्ठा करने, भंडारण और विश्लेषण करने की प्रक्रिया पर है। सिस्को थ्रेट इंटेलिजेंस एपीआई के आधार पर (यह एक ओपन सोर्स प्रोजेक्ट है और इसका उपयोग आपके समाधान में किया जा सकता है), हम उन स्रोतों की सूची का विस्तार करने की योजना बनाते हैं, जिनके साथ हम काम करेंगे, सुरक्षा घटनाओं को प्राप्त करने के संदर्भ में, और थिअस इंटेलिजेंस डेटा प्राप्त करने के संदर्भ में। इसके अलावा, हम सिस्को विजिबिलिटी को न केवल समझौता (आईपी, हैश, डोमेन, यूआरएल) के परमाणु संकेतकों के साथ काम करने की क्षमता के साथ जोड़ने की योजना बनाते हैं, बल्कि भेद्यता डेटा (सीवीई), कॉन्फ़िगरेशन प्रोग्राम (सीडब्ल्यूई), और अटैक डेटाबेस (CAPEC) के साथ भी करते हैं। और हमलावर तरीकों, रणनीति और प्रक्रियाओं (एटीटी और सीके) पर एक ज्ञान का आधार। यह काम जारी है।

PPS: नोट की शुरुआत में, मैं थोड़ा चालाक था। सिस्को दृश्यता वास्तव में एक नि: शुल्क समाधान है, लेकिन इसका उपयोग करने के लिए, आपके पास कम से कम आपके संगठन में स्थापित एंडपॉइंट्स के लिए सिस्को एएमपी होना चाहिए (और खतरे के शिकार के लिए डेटा कहां से प्राप्त करें?)। सिस्को थ्रेट ग्रिड (सैंडबॉक्स) और सिस्को छाता (डीएनएस विश्लेषण) सेवाओं तक पहुंच होना भी वांछनीय (लेकिन आवश्यक नहीं) है। इन मामलों में, सिस्को विश्वसनीयता से शुरू की गई निर्दिष्ट सेवाओं के भीतर पहले से ही खतरों (निशान और संकेतक) का गहन विश्लेषण करना संभव होगा। और निश्चित रूप से, आपके पास बाहरी खतरा खुफिया सेवाओं तक पहुंच होनी चाहिए जो सिस्को दृश्यता के साथ एकीकृत होती है। अभी तक यह केवल VirusTotal है (लेकिन हम अभी भी खड़े नहीं हैं और उनकी संख्या का विस्तार करेंगे), जिस तक कोई भी पहुंच सकता है।