2018 के I छमाही के लिए सूचना सुरक्षा निगरानी केंद्र की रिपोर्ट

हम दर्ज की गई घटनाओं और सूचना सुरक्षा की घटनाओं के विश्लेषण के लिए समर्पित हमारे निगरानी केंद्र की सातवीं नियमित रिपोर्ट प्रकाशित करते हैं।

मुख्य आंकड़े:

• 112 मिलियन घटनाओं को दर्ज किया गया (पिछली अवधि की तुलना में दो गुना कम)।
• 434 घटनाओं की पुष्टि की गई (हमने प्रति दिन औसतन तीन घटनाओं को संसाधित किया)।
• निगरानी के तहत 28,200 नोड्स (दो साल में मॉनिटर किए गए नोड्स की संख्या 19 गुना बढ़ गई)।

शब्दों में परिभाषित करते हैं

• IS घटना किसी सिस्टम, सेवा या नेटवर्क की एक निश्चित स्थिति की पहचान है, जो IS नीति के संभावित उल्लंघन या सुरक्षात्मक उपायों की विफलता या पूर्व अज्ञात स्थिति की घटना का संकेत है जो सुरक्षा से संबंधित हो सकती है।
• आईएस की घटना - एक या अधिक अवांछनीय या अप्रत्याशित आईएस घटनाओं की घटना, जो व्यवसाय के संचालन से समझौता करने और आईएस के खतरे पैदा करने की महत्वपूर्ण संभावना से जुड़ी हैं।

घटनाओं के स्रोत नेटवर्क और होस्ट आईडीएस, नेटवर्क डिवाइस, सुरक्षा स्कैनर, एंटीवायरस समाधान और हनीपोट्स हैं।

आंतरिक प्रसंस्करण के हिस्से के रूप में, हम शामिल संसाधनों के अनुसार घटनाओं को वर्गीकृत करते हैं।

उच्च आलोचना	सर्वर सेगमेंट के प्रमुख संसाधनों या उपयोगकर्ता सेगमेंट के महत्वपूर्ण संसाधनों से संबंधित घटनाएं (ऐसे संसाधन जो व्यवसाय, वित्त या कानून के दृष्टिकोण से महत्वपूर्ण जानकारी को संसाधित करते हैं)।
मध्यम महत्वपूर्णता	सर्वर सेगमेंट के गैर-महत्वपूर्ण संसाधनों से संबंधित घटनाएं।
कम आलोचना	उपयोगकर्ता खंड (सामान्य उपयोगकर्ता) के गैर-महत्वपूर्ण संसाधनों से संबंधित घटनाएं।

मॉनिटरिंग सेंटर के एक विश्लेषक ने मनमाने ढंग से आलोचना की डिग्री निर्धारित की यदि वह मानता है कि इस घटना से गंभीर नकारात्मक परिणाम हो सकते हैं।

निगरानी के परिणाम

1 जनवरी से 30 जून, 2018 की अवधि में, निगरानी केंद्र के कर्मचारियों ने लगभग 28,200 (वर्कस्टेशन, वेब, मेल, फ़ाइल स्टोरेज, आदि) के जुड़े नोड्स की कुल संख्या के साथ संगठनों की सूचना प्रणाली को नियंत्रित किया। सूचना सुरक्षा निगरानी केंद्रों के निर्माण और संचालन में बढ़ती रुचि के कारण, हम नए नियमित ग्राहकों को आकर्षित करने और 2018 की पहली छमाही के लिए कई पायलट प्रोजेक्ट लॉन्च करने में कामयाब रहे।

2018 के छह महीनों में, सेंसर ने 112 मिलियन सूचना सुरक्षा घटनाओं को दर्ज किया।



आईएस की पंजीकृत घटनाओं की संख्या में कमी, निगरानी संसाधनों और घटनाओं की संख्या में वृद्धि को ध्यान में रखते हुए निम्न कारकों के कारण है:

1. हमारे हस्ताक्षर विश्लेषक हस्ताक्षर को अंतिम रूप दे रहे हैं जो एक विशिष्ट नियंत्रित सूचना प्रणाली में बड़ी संख्या में झूठी-सकारात्मक प्रतिक्रियाएं देते हैं। नियमों को लिखने और विभिन्न संगठनों में उनके व्यवहार का मूल्यांकन करने के लिए पहले से ही काफी अनुभव के लिए धन्यवाद, हस्ताक्षर "खराब" ट्रैफ़िक की उपस्थिति में दक्षता खोए बिना, एक ही समय में नेटवर्क सुविधाओं पर और अधिक एकीकृत हो गए हैं।
2. AM नियम डेटाबेस के कुछ नियमों को अनुकूलित किया गया है। इसके लिए धन्यवाद, कई समान घटनाओं को एकत्र किया जाता है।
3. पहले दो बिंदुओं के लिए धन्यवाद, मॉनिटरिंग केंद्र डीडीओएस हमलों और अन्य सूचना सुरक्षा घटनाओं के लिए तेजी से प्रतिक्रिया करता है, बड़ी संख्या में हस्ताक्षर ट्रिगर में प्रकट होते हैं, और शुरुआती स्तर पर उनके विकास को रोकने में मदद करते हैं।

434 घटनाएं दर्ज की गईं।



2017 की दूसरी छमाही की तुलना में घटनाओं की संख्या में बीस प्रतिशत की वृद्धि इस तथ्य के कारण है कि नए ग्राहक सक्रिय रूप से निगरानी केंद्र से जुड़े थे। और नए निगरानी बुनियादी ढांचे की पहचान की गई घटनाओं की संख्या में लगभग वृद्धि की गारंटी है जो कि बुनियादी ढांचा मालिक पहले नोटिस नहीं कर सकता है। एक बार जब इस "नए शिखर" से निपटा जाता है, तो रिकॉर्ड की गई घटनाओं की संख्या नाटकीय रूप से गिर जाती है।

"सूचना घटना" - ऐसी घटनाएँ जो एक सूचनात्मक अभिविन्यास लेती हैं जो एक घटना को पार्स करने में उपयोगी हो सकती हैं। "हमला या शोषण" - ऐसी घटनाएं जो कोड को दूरस्थ रूप से निष्पादित करने के प्रयासों को इंगित करती हैं या नियंत्रित संसाधनों पर कमजोरियों का फायदा उठाती हैं। "स्कैन" - ऐसी घटनाएं जो हमले के प्रयास से पहले नेटवर्क के अध्ययन को इंगित करती हैं। "पासवर्ड चयन" - प्रमाणीकरण डेटा का चयन करके नियंत्रित संसाधनों तक पहुंच प्राप्त करने के प्रयासों को इंगित करने वाली घटनाएं।

"सूचना सुरक्षा नीति का उल्लंघन" - ऐसी घटनाएं जो उन कार्यों को इंगित करती हैं जो कथित रूप से नियंत्रित संगठन की सुरक्षा नीति की आवश्यकताओं का उल्लंघन करती हैं। "ट्रोजन और वायरस" - ऐसी घटनाएं जो वायरस या मैलवेयर गतिविधि के साथ नियंत्रित संसाधनों के संक्रमण के तथ्य को दर्शाती हैं। "DDoS" - ऐसी घटनाएं जो सेवा हमलों के वितरण से इनकार करने के प्रयासों को इंगित करती हैं।

2017 के उत्तरार्ध की तुलना में दर्ज घटनाओं के वितरण में बहुत बदलाव नहीं हुआ है। सबसे अधिक ध्यान देने योग्य परिवर्तन विभिन्न सेवाओं के लिए पासवर्ड का चयन करने के प्रयासों के पहले स्थान पर प्रवेश है। नीतियों, स्कैन और सूचनात्मक घटनाओं का उल्लंघन अभी भी "शीर्ष" में है।

स्कैन श्रेणी में घटनाओं की संख्या में वृद्धि हुई है। वर्ष की पहली छमाही में हमने ग्राहकों की संख्या में वृद्धि की है, और, परिणामस्वरूप, नोड्स की संख्या। यदि मॉनिटर की गई साइट सीधे इंटरनेट पर दिखाई देती है, तो यह बॉट्स द्वारा दैनिक स्कैन की एक बड़ी संख्या के संपर्क में है। अधिकांश ग्राहक बाहरी नेटवर्क से हमलों को नियंत्रित करने के लिए प्राथमिकता लेते हैं, इसलिए सफेद पते वाले नोड्स को भी निगरानी में रखा जाता है। इसके परिणामस्वरूप "स्कैन" में वृद्धि होती है और "सूचना घटनाओं" में कमी आती है, जो आंतरिक नोड्स की अधिक विशेषता है।

रिपोर्ट की गई घटनाएं

पहचान की गई 434 घटनाओं में से:

हादसा वर्ग	कम आलोचना	मध्यम महत्वपूर्णता	उच्च आलोचना	कुल घटनाएं	घटनाओं का हिस्सा
मैलवेयर	3	75	101	179	41%
हमलों और शोषण के प्रयास	4	68	57	129	30%
पासवर्ड मिलान	2	27	35	64	15%
सुरक्षा नीति का उल्लंघन	6	32	6	44	10%
DDoS	3	5	10	18	4%

सबसे बड़े वर्ग - मैलवेयर में, हमने निम्नलिखित रुझान देखे:

1. अधिक निगरानी नोड्स, मैलवेयर के साथ अधिक घटनाएं।
2. 2017 की दूसरी तिमाही में, WannaCry और Petya / notPetya परिवार द्वारा मैलवेयर के संक्रमण जारी हैं। इस समस्या के सामान्य कवरेज के बावजूद, अभी भी बहुत सारे असुरक्षित नोड्स हैं।
3. मैलवेयर पाए जाने वाले अधिकांश क्रिप्टोक्यूरेंसी खनन सॉफ्टवेयर हैं। हैकर्स थोड़ा "दयालु" हो गए हैं और उपयोगकर्ता संसाधनों को भुनाने की कोशिश कर रहे हैं।
4. हम अक्सर एडवेयर संभावित अनचाहे सॉफ़्टवेयर भी ढूंढते हैं। मूल रूप से, उपयोगकर्ता इसे हैक किए गए या मुफ्त कार्यक्रमों के साथ डाउनलोड करते हैं और सॉफ़्टवेयर स्थापित करने के लिए जल्दी से ड्राइवर ढूंढते हैं, उदाहरण के लिए, DriverPack और इसके एनालॉग्स।

भेद्यता शोषण के बारे में, हम Apache Struts, Drupalgeddon, और EternalBlue में कमजोरियों का फायदा उठाने के प्रयासों की एक बड़ी संख्या का निरीक्षण करना जारी रखते हैं।

इटरनलब्यू भेद्यता का फायदा उठाने के लिए बड़ी संख्या में घटनाओं को स्थापित किया गया था। यह दुखद लगता है, लेकिन आंकड़े बताते हैं कि उपयोगकर्ताओं ने अभी भी इस तरह की सनसनीखेज कमजोरियों के खिलाफ खुद का बचाव नहीं किया है। इस तथ्य के बावजूद कि इस भेद्यता के माध्यम से रैंसमवेयर का डाउनलोड पहले से ही न्यूनतम है, यह सक्रिय रूप से अन्य मैलवेयर वितरित करने के लिए उपयोग किया जाता है। और अगर एन्क्रिप्ट किया गया डेटा तुरंत दिखाई देता है, तो औसत उपयोगकर्ता द्वारा किसी अन्य मैलवेयर की गतिविधि पर भी ध्यान नहीं दिया जा सकता है।

उदाहरण के लिए, जून के अंत में, हमने एक क्रिप्टोग्राफिक एजेंट से संक्रमित मशीन का अध्ययन किया। हमने पाया कि सिस्टम के लिए एक दूरस्थ कनेक्शन के माध्यम से विनाशकारी कार्रवाई की गई थी। हमलावर ने रैंसमवेयर प्रोग्राम लॉन्च किया और कुछ मिनटों के बाद पीड़ित की साइट से डिस्कनेक्ट हो गया।

हमारे शोधकर्ताओं ने एक चल रैनसमवेयर की एक फ़ाइल को svhost.exe प्रक्रिया (ग्लोबइम्पोस्टर 2.0 परिवार का एक एन्क्रिप्शन प्रोग्राम, जैसा कि फ़ाइल के विस्तृत विश्लेषण के दौरान निकला) के साथ-साथ अन्य संदिग्ध कार्यक्रमों के लॉन्च के रूप में प्रच्छन्न पाया। उनमें स्थापित प्रोसेसरहैकर उपयोगिता (KProcessHacker ड्राइवर के साथ) थी। इसकी मदद से, हमलावर ने विशेषाधिकार प्राप्त प्रक्रियाओं को पूरा किया और अपने बाद के एन्क्रिप्शन के लिए प्रक्रियाओं द्वारा कब्जा कर ली गई फ़ाइलों को मुक्त कर दिया। हैकर यहीं नहीं रुका और उसने मौके का फायदा उठाते हुए एक खनिक को संक्रमित सिस्टम (अधिकतम क्यों नहीं लिया?) में पेश किया।

सिस्टम डायरेक्टरी में Litecoin (LTC) क्रिप्टोकरेंसी माइनिंग फाइल्स का पता लगाया गया। इनमें माइनर फ़ाइल स्वयं थी, मल्टीथ्रेडिंग का समर्थन करने और HTTP अनुरोध भेजने के लिए पुस्तकालय, साथ ही हमलावर के लिए आवश्यक मापदंडों के साथ यह सब एकत्र और लॉन्च करने वाला एक कार्यक्रम। यह फ़ाइल टास्क शेड्यूलर में जोड़ा गया था और हर सिस्टम स्टार्टअप पर लॉन्च किया गया था।

यदि किसी हमलावर ने हैक किए गए सिस्टम पर एक एनक्रिप्ट नहीं किया है, तो शायद AWP के मालिक ने बाहरी उपस्थिति पर ध्यान नहीं दिया होगा। और सिस्टम के संसाधनों का उपयोग स्थानीय नेटवर्क पर अन्य उपयोगकर्ताओं पर क्रिप्टोक्यूरेंसी और / या हमलों के खनन के लिए किया जाएगा।

श्रेणी की बाकी घटनाएं XSS, और PHP और SQL इंजेक्शन की शुरूआत का फायदा उठाने का प्रयास हैं।

2018 की पहली छमाही में सप्ताह के दिनों के सापेक्ष आईएस की घटनाओं का वितरण:



आमतौर पर सोमवार को फ़िशिंग मेलिंग की जाती है, वे मेल-मिलाप, कृत्य आदि के रूप में प्रच्छन्न मालवेयर भेजते हैं। सबसे अधिक संभावना है, ऐसी गतिविधि उन लोगों के लिए लक्षित होती है, जिन्होंने अभी तक सप्ताहांत नहीं छोड़ा है। हम सप्ताह की शुरुआत के बाद से नए ग्राहकों के थोक को भी जोड़ते हैं, जो घटनाओं में भी एक बड़ी वृद्धि देता है, खासकर पासवर्ड चयन, हमले और कमजोरियों के शोषण जैसी श्रेणियों के लिए।

2018 की पहली छमाही के लिए आईएस की घटनाओं का वितरण:


घटनाओं में वृद्धि हमारे ग्राहकों के नेटवर्क के विस्तार से जुड़ी है। अप्रैल तक कम से कम 2 संगठनों ने नियंत्रित सुविधाओं पर सेंसर की संख्या में वृद्धि की। इसके अलावा, वसंत और गर्मियों में कई पायलट परियोजनाएं थीं।

इसके अलावा, हमारे हस्ताक्षर विश्लेषक ताजा कमजोरियों के लिए लगातार नियम लिख रहे हैं, जो ग्राहक संसाधनों पर नए हमलों को पकड़ने में मदद करता है।

शीर्ष स्रोत

इस मामले में, हमलों के स्रोतों को आईपी पते के रूप में समझा जाता है जो नियंत्रित पते के साथ नेटवर्क इंटरैक्शन में भाग लेते थे और बुनियादी ढांचे को नुकसान पहुंचाने की कोशिश करते थे।

नक्शा पंजीकृत घटनाओं की संख्या से पहले सौ आईपी पते का स्थान दिखाता है। इनमें से अधिकांश पते रूस, यूक्रेन, चीन, अमेरिका, जर्मनी और नीदरलैंड में स्थित हैं।

शीर्ष दुर्घटना प्रभावित खंड

2018 की पहली छमाही में, यह उपयोगकर्ता कार्यस्थान था जो अक्सर अवांछनीय थे, जो कि नियंत्रित संसाधनों के साथ सभी घटनाओं का 60% है। दूसरे स्थान पर वेब-सर्वर और अन्य सेवाओं पर हमले हैं।

वेब जानवर बल के खिलाफ मुख्य प्रकार के हमले और अपाचे वेब सर्वर सहित कमजोरियों का फायदा उठाने का प्रयास करते हैं। उपयोगकर्ता कार्यस्थानों पर - मैलवेयर, ब्राउज़रों में कमजोरियों का फायदा उठाने का प्रयास करता है। बड़ी संख्या में खनिक अवैध रूप से स्थापित किए गए।

पिछले लेख:

• PHDays 8 - SOC व्यू में टकराव
• .NET WPF में TextBox.GetLineText चलाते समय बग
• IPv6 में कोटेशन मार्क कहां लगाएं