अपने आप का परीक्षण करें: क्या आप कंपनी को साइबर हमलों से बचा सकते हैं?

हाल ही में, समारा ने सूचना सुरक्षा के लिए वोल्गेटकॉफ़ अंतर्राष्ट्रीय खुली प्रतियोगिता की मेजबानी की। सोलर जेएसओसी साइबर अटैक मॉनिटरिंग एंड रिस्पॉन्स सेंटर के निदेशक व्लादिमीर ड्रुकोविक ने प्रतियोगियों को तीन वास्तविक हमलों के बारे में बताया और पूछा कि उनकी पहचान कैसे की जा सकती है। जाँच करें कि क्या आप सही उत्तर दे सकते हैं।

नीचे व्लादिमीर के भाषण का एक प्रतिलेख है, लेकिन बिना सेंसर और अनौपचारिक संस्करण (दर्शकों की प्रतिक्रियाओं सहित) को देखने के इच्छुक लोगों के लिए - यहां वीडियो है:


तो, व्लादिमीर शब्द:



मैं अपने जीवन की कई कहानियाँ बताना चाहता हूँ। मैं उनमें से अधिकांश को अंत से बताऊंगा - अर्थात्, उस घटना के साथ शुरू करना। और आप यह पता लगाने की कोशिश करते हैं कि इस हमले को शुरुआत में कैसे देखा जा सकता है, ताकि आप कंपनी के रक्षक के रूप में हमलावरों की कार्रवाई को अपने रडार पर ले सकें।

मुझे उम्मीद है कि यह भविष्य में आपकी मदद करेगा जब आप पेशेवर पेंटर बन जाएंगे और पॉजिटिव टेक्नोलॉजीज, डिजिटल सिक्योरिटी या हमारे साथ काम करेंगे। आपको पता चल जाएगा कि निगरानी केंद्र इस तरह के हमलों को कैसे देखता है, यह उनके लिए कैसे प्रतिक्रिया करता है, और - कौन जानता है - शायद यह आपको रक्षा को बायपास करने में मदद करेगा, अपने लक्ष्य को प्राप्त करेगा और ग्राहक को दिखाएगा कि वह उतना अयोग्य नहीं है जितना उसने सोचा था। अच्छा, चलें?

टास्क नंबर 1। यह सेवा खतरनाक और कठिन दोनों है, और पहली नज़र में यह प्रतीत नहीं होता है ...

कहानी इस तथ्य से शुरू हुई कि एक कंपनी की सूचना सुरक्षा सेवा के प्रमुख हमारे पास आए और कहा:

“दोस्तों, मैं कुछ अजीब बकवास कर रहा हूँ। चार कारें हैं जो सहज रूप से रिबूट करना शुरू करती हैं, नीले रंग की स्क्रीन पर गिरती हैं - सामान्य तौर पर, किसी प्रकार की बकवास होती है। चलो इसे सुलझाते हैं। ”

जब फोरेंसिक समूह के लोग साइट पर पहुंचे, तो यह पता चला कि सभी मशीनों पर सुरक्षा लॉग साफ किए गए थे - ऐसी कई गतिविधियां थीं जो सुरक्षा पत्रिका को जल्दी से घुमाया गया (फिर से लिखा गया)। मास्टर फाइल टेबल में कुछ भी दिलचस्प नहीं पाया गया - विखंडन मजबूत है, डेटा जल्दी से ओवरराइट किया गया है। फिर भी, हम सिस्टम लॉग में कुछ खोजने में कामयाब रहे: दिन में एक बार इन चार मशीनों पर it_helpdesk सेवा दिखाई देती है, कुछ अज्ञात करती है (कोई सुरक्षा लॉग नहीं हैं, जैसा कि हम याद करते हैं) और गायब हो जाता है।

हमारे फॉरेंसिक चैप्टर को इस चेहरे की अभिव्यक्ति के बारे में मिला:



वे आगे समझने लगे, और यह पता चला कि it_helpdesk सेवा को वास्तव में PSExec का नाम दिया गया था।

उपयोगिताएं, जैसे टेलनेट, और रिमोट मैनेजमेंट प्रोग्राम, जैसे कि सिमेंटेक के पीसी एनीवेयर, आपको दूरस्थ सिस्टम पर प्रोग्राम चलाने की अनुमति देते हैं, लेकिन उन्हें स्थापित करना इतना आसान नहीं है, क्योंकि आपको उन दूरस्थ सिस्टमों पर क्लाइंट सॉफ़्टवेयर स्थापित करने की आवश्यकता है जो आपको प्राप्त करने की आवश्यकता है पहुँच।

PsExec टेलनेट का एक हल्का संस्करण है। यह आपको रिमोट सिस्टम में प्रक्रियाओं को निष्पादित करने की अनुमति देता है, कंसोल अनुप्रयोगों के इंटरैक्टिव इंटरफ़ेस की सभी विशेषताओं का उपयोग करता है, और क्लाइंट सॉफ़्टवेयर को मैन्युअल रूप से स्थापित करने की कोई आवश्यकता नहीं है। PsExec का मुख्य लाभ रिमोट सिस्टम पर अंतःक्रियात्मक रूप से कमांड लाइन इंटरफेस को लागू करने की क्षमता है और दूर से उपकरण जैसे कि इप्सोंफिग। यह स्थानीय कंप्यूटर स्क्रीन पर दूरस्थ प्रणाली के बारे में जानकारी प्रदर्शित करने का एकमात्र तरीका है।

technet.microsoft.com

अन्य मशीनों पर सिस्टम लॉग की जाँच करने के बाद, हमने देखा कि 4 वर्कस्टेशन शामिल नहीं थे, लेकिन एक महत्वपूर्ण सर्वर सहित 20, प्लस 19 सर्वर। हमने आईटी विशेषज्ञों से बात की और पता चला कि उनका इससे कोई संबंध नहीं है, उनके पास ऐसा कोई सबसिस्टम नहीं है। उन्होंने आगे खुदाई करना शुरू किया, और फिर एक उत्सुक और दुर्लभ चीज की खोज की गई - डीएनएस-टनलिंग, जिसने मैलवेयर मॉड्यूल का उपयोग किया, जो बॉटनेट कंट्रोल सेंटर के साथ संचार के लिए जिम्मेदार था।

डीएनएस-टनलिंग - एक ऐसी तकनीक जो आपको डीएनएस प्रोटोकॉल पर मनमाने ट्रैफिक (वास्तव में, सुरंग को ऊपर उठाने) को स्थानांतरित करने की अनुमति देती है। इसका उपयोग, उदाहरण के लिए, उस बिंदु से इंटरनेट तक पूर्ण पहुंच प्राप्त करने के लिए किया जा सकता है जहां DNS नाम समाधान की अनुमति है।

डीएनएस टनलिंग को साधारण फ़ायरवॉल नियमों द्वारा अस्वीकार नहीं किया जा सकता है, जबकि बाकी डीएनएस ट्रैफ़िक की अनुमति देता है। ऐसा इसलिए है क्योंकि DNS सुरंग ट्रैफ़िक और वैध DNS क्वेरीज़ अप्रभेद्य हैं। DNS टनलिंग का पता क्वेरी की तीव्रता (यदि टनल के माध्यम से ट्रैफ़िक बड़ा है) द्वारा लगाया जा सकता है, साथ ही इंटिग्रेटेड डिटेक्शन सिस्टम का उपयोग करके अधिक परिष्कृत तरीकों से भी किया जा सकता है।

xgu.ru

दुर्भावनापूर्ण कोड ने मेल के माध्यम से संगठन में प्रवेश किया, बुनियादी ढांचे में फैला, और डीएनएस सुरंग के माध्यम से सी एंड सी सर्वर के साथ बातचीत की। इसलिए, सर्वर सेगमेंट में इंटरनेट के साथ बातचीत करने पर प्रतिबंध काम नहीं करता था।

महत्वपूर्ण सर्वरों में से एक में एक keylogger था जो स्वचालित रूप से पासवर्ड पढ़ता था, और मैलवेयर ने आगे क्रॉल करने की कोशिश की, नए उपयोगकर्ता क्रेडेंशियल्स प्राप्त किए, जिसमें बीएसओडी में मशीनों को छोड़ना और इसे उठाने वाले प्रशासकों के पासवर्ड पढ़ना शामिल था।

इससे क्या हुआ? उस समय के दौरान जब मैलवेयर बुनियादी ढांचे में रहता था, बहुत सारे खातों से समझौता किया गया था और इसके अलावा, बड़ी संख्या में अन्य संभावित संवेदनशील डेटा भी थे। जांच के दौरान, हमने हमलावरों के दायरे को स्थानीय कर दिया और उन्हें नेटवर्क से "किक" कर दिया। ग्राहक को एक और चार महीने का आटा मिला - उसने मशीनों के आधे हिस्से को फिर से भरने और डेटाबेस, खातों, और इसी तरह से सभी पासवर्डों को फिर से जारी किया। आईटी अनुभव वाले लोगों को यह समझाने की आवश्यकता नहीं है कि यह एक कठिन कहानी क्या है। लेकिन, फिर भी, सब कुछ अच्छी तरह से समाप्त हो गया।

तो सवाल यह है कि इस हमले का पता कैसे लगाया जा सकता है और हाथ में एक साइबर क्रिमिनल पकड़ा गया है?

टास्क नंबर 2। डरावने किस्से

एक बड़ा बैंक, एक महिला वित्तीय सेवा में काम करती है और सीबीडी के एडब्ल्यूएस तक पहुंच रखती है।

AWP KBR - रूस के बैंक के ग्राहक का एक स्वचालित कार्यस्थल। यह रूस के बैंक के साथ सुरक्षित सूचना विनिमय के लिए एक सॉफ्टवेयर समाधान है, जिसमें भुगतान आदेश, बैंक उड़ानें आदि शामिल हैं।

यह वित्तीय अधिकारी काम करने के लिए Skazki_dlya_bolshih_i_malenkih.pdf.exe नामक एक फ़ाइल के साथ एक फ्लैश ड्राइव लाया। उसकी एक छोटी बेटी थी, और महिला एक बच्चों की किताब में काम करना चाहती थी, जिसे उसने इंटरनेट से डाउनलोड किया था। .Pdf.exe फ़ाइल एक्सटेंशन उसे संदिग्ध नहीं लगा, और फिर, जब उसने फ़ाइल लॉन्च की, तो सामान्य पीडीएफ खुल गई।



महिला ने किताब खोली और घर चली गई। लेकिन .exe विस्तार, ज़ाहिर है, आकस्मिक नहीं था। उसके पीछे रेमो एडमिन टूल था, जो एक वर्कस्टेशन पर बैठा और एक साल से अधिक समय तक सिस्टम प्रक्रियाओं में वहां डूबा रहा।

ऐसे मालवेयर कैसे काम करते हैं? सबसे पहले, वे प्रति मिनट लगभग 15 बार स्क्रीन स्क्रीनशॉट बनाते हैं। एक अलग फ़ाइल में वे keylogger से प्राप्त डेटा जोड़ते हैं - लॉगिन और पासवर्ड, मेल में पत्राचार, तत्काल संदेशवाहक और बहुत कुछ। क्लाइंट से जुड़े होने के बाद, हमने जल्दी से एक संक्रमित मेजबान को देखा और नेटवर्क से वायरस को साफ किया।

प्रश्न: एंटीवायरस द्वारा पहचाने गए "अदृश्य" मैलवेयर का पता लगाना कैसे संभव हो सकता है?

टास्क नंबर 3। "खूनी वेयरज़"

सिस्टम प्रशासक की तुलना और "गोंद" एक साथ 2 .xml फ़ाइलों की आवश्यकता है। वह सरल तरीके से चला गया - एक खोज इंजन में टाइप किया गया "पंजीकरण और एसएमएस के बिना डाउनलोड करें xml विलय"। इस उपयोगिता के डेवलपर की आधिकारिक वेबसाइट अंक में तीसरे स्थान पर थी, और पहले दो में - फ़ाइल साझाकरण। वहां, व्यवस्थापक ने कार्यक्रम डाउनलोड किया।

जैसा कि आप शायद पहले से ही अनुमान लगा चुके हैं, एक अच्छा, उच्च गुणवत्ता वाला विशेषाधिकार वृद्धि मॉड्यूल "मुक्त" उपयोगिता में बनाया गया था। उसने मशीन पर एंटीवायरस एजेंट को ध्वस्त कर दिया और इसके स्थान पर उसी नाम से एक फ़ाइल बनाई। तो मैलवेयर मशीन पर भी लटका रहता है, समय-समय पर नियंत्रण केंद्र के साथ संचार करता है।



सबसे बुरी बात यह थी कि आईटी प्रशासक महल का राजा है, उसकी हर जगह पहुंच है। उसकी मशीन से, वायरस किसी भी मेजबान या सर्वर तक पहुंच सकता है। मैलवेयर डोमेन के शेयर पॉइंट के माध्यम से पूरे नेटवर्क पर क्रॉल हो जाता है, मुख्य फाइनेंसर की कार तक पहुंचने की कोशिश करता है। उस समय, वह पूंछ से पकड़ा गया था, और कहानी बुझ गई थी।

प्रश्न: विशेषाधिकार प्राप्त उपयोगकर्ता की मशीन पर इस तरह के हमले का पता कैसे लगाया जाए?