🕺🏽 📱 🍐 धमकी खुफिया को समृद्ध करने के लिए आक्रामक तरीकों का उपयोग करना 💨 ✂️ 🤛🏻

आज, थ्रेट इंटेलिजेंस, या सूचना सुरक्षा खतरों के बारे में जानकारी का सक्रिय संग्रह, सूचना सुरक्षा घटनाओं की पहचान करने की प्रक्रिया में एक आवश्यक उपकरण है। विशिष्ट टीआई स्रोतों में दुर्भावनापूर्ण संकेतक, हार्डवेयर और सॉफ्टवेयर निर्माताओं के बुलेटिन, कमजोरियों का वर्णन करने वाले, खतरों के विस्तृत विवरण के साथ सुरक्षा शोधकर्ताओं की रिपोर्ट, साथ ही साथ टीआई विक्रेताओं के वाणिज्यिक सदस्यता भी शामिल हैं। इसके अलावा, अक्सर उपरोक्त स्रोतों का उपयोग करके प्राप्त जानकारी में पूर्णता और प्रासंगिकता की पर्याप्त डिग्री नहीं होती है। सूचना सुरक्षा में OSINT (ओपन सोर्स इंटेलिजेंस) और आपत्तिजनक तरीके (यानी वे तरीके जो डिफेंडर की विशेषता नहीं हैं, लेकिन हमलावर हैं), इस आलेख में चर्चा की जाएगी, जो दक्षता बढ़ाने और TI की गुणवत्ता में सुधार करने में योगदान दे सकता है।

अस्वीकरण

यह लेख केवल सूचना के उद्देश्यों के लिए है। लेखक लेख में वर्णित कुछ क्रियाओं के प्रदर्शन से जुड़े तीसरे पक्षों के नेटवर्क और / या सेवाओं के संभावित नुकसान और / या विघटन के लिए उत्तरदायी नहीं है। लेखक पाठकों को कानून के अनुपालन के लिए भी प्रोत्साहित करता है।

इसके बजाय नहीं, बल्कि एक साथ

मैं तुरंत एक आरक्षण करना चाहूंगा कि यह पारंपरिक भुगतान और मुक्त स्रोतों से प्राप्त जानकारी के साथ थ्रेट इंटेलिजेंस को मना करने या बदलने के बारे में नहीं होगा, लेकिन इसे पूरक और समृद्ध करने के बारे में है।

तो, अतिरिक्त TI विधियों का उपयोग इसकी दक्षता को बढ़ा सकता है और कई समस्याओं को हल करने में मदद कर सकता है। उदाहरण के लिए, अगले IoT महामारी फर्मवेयर के कुछ कमजोर संस्करणों को प्रभावित करने के साथ, जल्द ही परिधि पर उनकी गतिविधि का पता लगाने के लिए मैं संभावित कमजोर उपकरणों के आईपी पते के साथ फ़ीड प्राप्त कर सकता हूं? या, जब निगरानी प्रणाली के नियमों को एक संकेतक (आईपी पते या डोमेन नाम) द्वारा ट्रिगर किया जाता है जो एक वर्ष या उससे अधिक पहले दुर्भावनापूर्ण रूप से चिह्नित किया गया था, तो यह कैसे समझें कि क्या यह अभी भी दुर्भावनापूर्ण है, बशर्ते कि आप संकेतक के कुछ अतिरिक्त सत्यापन शुरू करें "अभी के लिए" आमतौर पर असंभव है।

डेविड बियान्को [0] (आईपी पते, डोमेन नाम, नेटवर्क कलाकृतियों) के अनुसार, इसके अलावा और संवर्धन मध्य-जीवन के संकेतकों के लिए विशेष रूप से उपयोगी होगा, हालांकि, कुछ परिस्थितियों में नए लंबे समय तक रहने वाले संकेतक (पिरामिड) प्राप्त करना संभव है विश्लेषकों।

इंटरनेट स्कैन

थ्रेट इंटेलिजेंस प्राप्त करने के लिए उपयोगी तरीकों में से एक नेटवर्क स्कैनिंग है।

स्कैन करते समय आमतौर पर क्या एकत्र किया जाता है

सबसे अधिक बार, जब एक स्कैन का आयोजन किया जाता है, तो सबसे दिलचस्प परिणाम तथाकथित "बैनर" इकट्ठा करके प्राप्त किए जाते हैं - स्कैनर अनुरोधों के लिए स्कैन किए गए सिस्टम एप्लिकेशन सॉफ़्टवेयर की प्रतिक्रियाएं। "बैनर" में एप्लिकेशन सॉफ़्टवेयर और इसके विभिन्न मापदंडों को "दूसरी तरफ" पहचानने वाले बहुत सारे डेटा होते हैं, और इस तरह के सत्यापन को बहुत तेज़ी से किया जाता है।

थ्रेट इंटेलिजेंस के दायरे के विस्तार के कार्य को हल करते समय, स्कैन पूरे इंटरनेट को लक्षित करेगा। सार्वजनिक पते की जगह (~ 3.7 बिलियन IPv4 पते, आरक्षित पते को छोड़कर) को स्कैन करते समय, आप निम्नलिखित उपयोगी जानकारी निकाल सकते हैं:

कौन से नोड्स कमजोरियों के प्रति संवेदनशील हैं जिनका वास्तविक दुर्भावनापूर्ण अभियानों के हिस्से के रूप में व्यापक रूप से शोषण किया जाता है और इस तथ्य को देखते हुए, दुर्भावनापूर्ण प्रदर्शन के संभावित स्रोत हैं।
कौन-से नोड बॉटनेट नेटवर्क के नियंत्रण सर्वर हैं [1] , जिसकी पहुंच संरक्षित परिधि में एक समझौता नोड द्वारा की जा सकती है।
कौन से नोड वितरित वितरित नेटवर्क के गैर-सार्वजनिक भाग से संबंधित हैं, जिसका उपयोग संरक्षित परिधि के बाहर अनियंत्रित रूप से बाहर निकलने के लिए किया जा सकता है।
निगरानी प्रणाली के संचालन में नोड्स के बारे में अधिक विस्तृत जानकारी।

उपकरण चयन

सूचना नेटवर्क के विकास के वर्षों में, नेटवर्क स्कैनिंग के लिए बड़ी संख्या में उपकरण बनाए गए हैं। वर्तमान सॉफ़्टवेयर में, निम्न स्कैनर को प्रतिष्ठित किया जा सकता है:

Nmap [2]
Zmap [3]
मस्केन [4]

इंटरनेट स्पेस में TI के संवर्धन के लिए इन उपकरणों के मुख्य लाभों और नुकसानों पर संक्षेप में विचार करें।

Nmap

शायद सबसे प्रसिद्ध नेटवर्क स्कैनर, 20 साल पहले बनाया गया था। कस्टम स्क्रिप्ट (Nmap स्क्रिप्टिंग इंजन के माध्यम से) का उपयोग करने की संभावना के कारण, यह एक अत्यंत लचीला उपकरण है, जो केवल लागू किए गए "बैनर" तक सीमित नहीं है। फिलहाल, एनएसई स्क्रिप्ट की एक बड़ी संख्या लिखी गई है, जिनमें से कई मुफ्त में उपलब्ध हैं। चूंकि नैंप प्रत्येक कनेक्शन की निगरानी करता है, दूसरे शब्दों में, इसकी एक समकालिक प्रकृति है, यह स्कैनर की कम गति के कारण इंटरनेट जैसे बड़े नेटवर्क के लिए इसका उपयोग करने के लायक नहीं है। इसी समय, एनएसई की शक्ति के कारण, तेज उपकरण द्वारा प्राप्त पते के छोटे नमूनों पर इस उपकरण का उपयोग करना उचित है।

Nmap स्पीड के बारे में

शुरुआत में कम उत्पादकता के बावजूद, इस स्कैनर के जारी होने के बाद, इसके डेवलपर्स ने कई विशेषताएं जोड़ी हैं जो स्कैनिंग गति को बढ़ाते हैं। इनमें समानांतर ऑपरेटिंग मोड और पैकेट में प्रति सेकंड की दर से कार्य शामिल हैं। हालांकि, यहां तक कि मुड़ सेटिंग्स के साथ, नैंप गति में अपने अतुल्यकालिक प्रतियोगियों से पीछे है। 1 Xeon Gold 6140 CPU और एक गीगाबिट चैनल के साथ एक वर्चुअल मशीन से 443 / tcp पोर्ट पर स्कैनिंग / 15 सबनेट के उदाहरण का उपयोग करके हमें मिलता है:

मापदंडों के साथ -T5 -n -Pn -p 443 --open --min-rate 1000000 --randomize-hosts --defeat-rst-ratelimit –oG nmap.txt लिए 71.08 सेकंड -T5 -n -Pn -p 443 --open --min-rate 1000000 --randomize-hosts --defeat-rst-ratelimit –oG nmap.txt
पैरामीटर -p 443 –o zmap.txt साथ ज़ैम्प के लिए 9.15 सेकंड

Zmap

एक काफी प्रसिद्ध, हालांकि अपनी तरह का पहला नहीं है, अतुल्यकालिक नेटवर्क स्कैनर, जो 2013 में दिखाई दिया। 22 वें USENIX सुरक्षा सिम्पोजियम सम्मेलन [5] में प्रकाशित एक डेवलपर्स रिपोर्ट के अनुसार, उपकरण 45 मिनट से भी कम समय में (एक पोर्ट के माध्यम से), एक गीगाबिट इंटरनेट कनेक्शन के साथ औसत कंप्यूटर पर चलने वाली संपूर्ण सार्वजनिक पता सीमा को स्कैन करने में सक्षम है। Zmap के लाभों में शामिल हैं:

उच्च गति; PF_RING फ्रेमवर्क और 10-गीगाबिट कनेक्शन का उपयोग करते हुए, सार्वजनिक IPv4 एड्रेस स्पेस का सैद्धांतिक स्कैन समय 5 मिनट (एक पोर्ट) है।
नेटवर्क पते के यादृच्छिक स्कैनिंग के लिए समर्थन।
TCP SYN स्कैन, ICMP, DNS क्वेरीज़, UPnP, BACNET [6] , UDP साउंडिंग के लिए मॉड्यूल समर्थन।
सामान्य जीएनयू / लिनक्स वितरण के रिपॉजिटरी में उपस्थिति (इसके अलावा, मैक ओएस और बीएसडी के लिए समर्थन है)।
ज़ैम्प के अलावा, कई संबंधित उपयोगिता परियोजनाएं विकसित की गई हैं जो स्कैनर की कार्यक्षमता का विस्तार करती हैं।

अगर हम ज़ैम्प के नुकसान के बारे में बात करते हैं, तो यहां हम केवल एक पोर्ट पर पतों को स्कैन करने की क्षमता को नोट कर सकते हैं।

ज़ैम्प से संबंधित परियोजनाओं में, ब्याज के कार्यों के लिए अपनी कार्यक्षमता का विस्तार करते हुए, निम्नलिखित को प्रतिष्ठित किया जा सकता है:

ZGrab TTP, HTTPS, SSH, टेलनेट, FTP, SMTP, POP3, IMAP, Modbus, BACNET, Siemens S7 और ट्रिडियम फॉक्स प्रोटोकॉल (एडवांस्ड फीचर्स के लिए बैनर धरनेवाला) के समर्थन के साथ एक एप्लिकेशन प्रोटोकॉल स्कैनर है।
ZDNS तेजी से DNS प्रश्नों के लिए एक उपयोगिता है।
ZTag ZGrab द्वारा प्रदान किए गए स्कैन परिणामों को टैग करने के लिए एक उपयोगिता है।
ZBrowse वेबसाइट सामग्री परिवर्तनों पर नज़र रखने के लिए एक क्रोम-आधारित हेडलेस वितरण उपयोगिता है।

ZGrab फीचर्स के बारे में

एप्लिकेशन प्रोटोकॉल ZGrab का उन्नत स्कैनर, जिसके लिए संस्करण 2.0 पहले ही जारी किया जा चुका है (संस्करण 1.X के साथ कोई पूर्ण कार्यात्मक समानता नहीं है, लेकिन निकट भविष्य में इसे प्राप्त किया जाएगा, जिसके बाद पुराने संस्करण के नए के साथ पूर्ण प्रतिस्थापन के बारे में बात करना संभव होगा), जो आपको परिणामों को काफी लचीले ढंग से फ़िल्टर करने की अनुमति देता है। संरचित आउटपुट स्वरूप (JSON) के लिए समर्थन के लिए धन्यवाद स्कैनिंग। उदाहरण के लिए, HTTPS प्रमाणपत्र से केवल विशिष्ट नाम जारीकर्ता और विषय को इकट्ठा करने के लिए, एक साधारण आदेश पर्याप्त है:

 zmap --target-port=443 --output-fields=saddr | ./zgrab2 tls -o - | jq '.ip + "|" + .data.tls.result.handshake_log.server_certificates.certificate.parsed.issuer_dn + "|" + .data.tls.result.handshake_log.server_certificates.certificate.parsed.subject_dn' > zmap-dn-443.txt

Masscan

Zap के रूप में एक ही वर्ष में बनाया गया अतुल्यकालिक स्कैनर, Nmap के कमांड सिंटैक्स के समान है।

निर्माता (रॉबर्ट डेविड ग्राहम) ने उस समय मौजूद सभी अतुल्यकालिक स्कैनर की तुलना में अधिक उत्पादकता की घोषणा की, जिसमें Zmap सहित, एक कस्टम टीसीपी / आईपी स्टैक के उपयोग के माध्यम से हासिल किया गया था।

स्कैनर लाभ:

10 मिलियन पैकेट प्रति सेकंड के सैद्धांतिक प्रदर्शन के साथ उच्च गति, जो आपको 10-गीगाबिट कनेक्शन पर कुछ मिनटों में (एक बंदरगाह पर) सभी आईपीवी 4 सार्वजनिक स्थान को स्कैन करने की अनुमति देता है - पीएफ_RR फ्रेमवर्क का उपयोग करते हुए ज़ैम्प में।
टीसीपी, एससीटीपी और यूडीपी प्रोटोकॉल के लिए समर्थन (एनएपीपी से यूडीपी पेलोड भेजने के माध्यम से)।
नेटवर्क पते के यादृच्छिक स्कैनिंग के लिए समर्थन।
स्कैन करते समय दोनों आईपी रेंज और पोर्ट रेंज का चयन करने के लिए समर्थन।
स्कैन परिणाम (XML, grepable, JSON, बाइनरी, एक सूची के रूप में) आउटपुट के लिए विभिन्न प्रारूपों के लिए समर्थन।

इसी समय, स्कैनर के कई नुकसान हैं:

कस्टम टीसीपी / आईपी स्टैक के उपयोग के संबंध में, ओएस स्टैक के साथ संघर्ष से बचने के लिए एक समर्पित आईपी पर एक स्कैन चलाने की सिफारिश की जाती है।
ZGrab की तुलना में, बैनर ग्रैबर की संभावनाएं सीमित हैं।

स्कैनर तुलना चार्ट

नीचे दी गई सारांश तालिका इन स्कैनरों की कार्यक्षमता की तुलना प्रदान करती है।

तालिका पंक्तियों में मान

"++" - बहुत अच्छी तरह से लागू किया गया
"+" - कार्यान्वित किया गया
"" "- प्रतिबंधों के साथ लागू किया गया
"-" - लागू नहीं

लक्ष्य और स्कैनिंग विधि का चयन करना

किस उपकरण का उपयोग करने के लिए चुनने के बाद, आपको स्कैन के ऑब्जेक्ट और उद्देश्य पर निर्णय लेने की आवश्यकता है, अर्थात, समझें कि क्या और क्यों स्कैन करना है। यदि पहला, एक नियम के रूप में, कोई सवाल नहीं उठता है (यह एक अपवाद के साथ सार्वजनिक IPv4 पता स्थान है), तो दूसरे के साथ यह सब वांछित अंतिम परिणाम पर निर्भर करता है। उदाहरण के लिए:

नोड्स की पहचान करने के लिए जो एक विशेष भेद्यता के अधीन हैं, पहले यह उचित है कि वे कमजोर सेवाओं के खुले बंदरगाहों के साथ नोड्स की पहचान करने के लिए एक त्वरित उपकरण (ज़ैम्प, मैस्कैन) के साथ स्कैन रेंज के माध्यम से जाएं; पतों की सूची को अंतिम रूप देने के बाद, यदि कोई मौजूद है, या सुरक्षा शोधकर्ताओं के प्रकाशनों में भेद्यता के बारे में उपलब्ध जानकारी के आधार पर एक कस्टम स्क्रिप्ट बना रहा है, तो संबंधित NSE स्क्रिप्ट के साथ Nmap का उपयोग करने के लायक है। कभी-कभी एकत्रित एप्लिकेशन बैनर के लिए एक साधारण grep पर्याप्त होता है, क्योंकि कई सेवाएं इसमें अपने संस्करण के बारे में जानकारी प्रदर्शित करती हैं।
छिपे हुए बुनियादी ढांचे के नोड्स की पहचान करने के लिए - दोनों गुमनाम नेटवर्क और सी 2 नोड (जो कि बॉटनेट नेटवर्क के नियंत्रण सर्वर हैं) - यह कस्टम पेलोड / जांच को संकलित करने के लिए आवश्यक होगा।
समझौता किए गए नोड्स की पहचान करने में कई प्रकार की समस्याओं को हल करने के लिए, अनाम नेटवर्क के बुनियादी ढांचे के हिस्से और अन्य चीजें, प्रमाण पत्र का संग्रह और पार्सिंग टीएलएस हैंडशेक के दौरान बहुत कुछ दे सकते हैं।

इंफ्रास्ट्रक्चर च्वाइस

तथ्य यह है कि आधुनिक फास्ट स्कैनर औसत प्रोसेसर के मामूली संसाधनों पर प्रभावशाली परिणाम दिखा सकते हैं इसका मतलब यह नहीं है कि नेटवर्क के बुनियादी ढांचे पर भार महत्वहीन होगा। स्कैनिंग के दौरान उत्पन्न ट्रैफ़िक की बारीकियों के कारण, प्रति सेकंड पैकेट की पर्याप्त महत्वपूर्ण दर प्राप्त की जाती है। अनुभव के अनुसार, औसत प्रोसेसर का एक कोर (हाल के वर्षों के उत्पादन सीपीयू पर, आभासी वातावरण में, किसी भी ओएस के तहत, टीसीपी / आईपी स्टैक के बिना किसी भी ट्यूनिंग के बिना) ~ 50 एमबी / एस प्रति सेकंड प्रति लेन के 100-150 हजार पैकेट के आदेश की एक धारा उत्पन्न करने में सक्षम है। , जो सॉफ्टवेयर राउटर्स के लिए एक गंभीर बोझ है। हार्डवेयर नेटवर्क उपकरण में ASIC प्रदर्शन की सीमा तक पहुँचने में समस्याएँ हो सकती हैं। एक ही समय में, 100-150 Kpps (हजार पैकेट प्रति सेकंड) की स्कैन गति पर, सार्वजनिक IPv4 रेंज को दरकिनार करते हुए 10 घंटे से अधिक लग सकते हैं, अर्थात। समय की एक महत्वपूर्ण राशि। वास्तव में तेज़ स्कैन के लिए, आपको स्कैनिंग नोड्स के एक वितरित नेटवर्क का उपयोग करना चाहिए जो स्कैन किए गए पूल को भागों में विभाजित करता है। एक यादृच्छिक स्कैन ऑर्डर भी आवश्यक है ताकि "अंतिम मील" पर इंटरनेट चैनलों और प्रदाताओं के उपकरणों के बैच लोडिंग का उपयोग महत्वपूर्ण न हो।

कठिनाइयाँ और "सूक्ष्म" क्षण

व्यवहार में, जब बड़े पैमाने पर नेटवर्क स्कैन का आयोजन किया जाता है, तो तकनीकी और संगठनात्मक-कानूनी दोनों प्रकार की कठिनाइयों का सामना करना पड़ सकता है।

प्रदर्शन और उपलब्धता के मुद्दे

जैसा कि पहले उल्लेख किया गया है, मास नेटवर्क स्कैनिंग एक उच्च पीपीएस मूल्य के साथ एक ट्रैफ़िक स्ट्रीम बनाता है, जिससे स्थानीय बुनियादी ढांचे और प्रदाता नेटवर्क दोनों पर एक बड़ा भार होता है, जिससे स्कैनिंग नोड जुड़े होते हैं। अनुसंधान उद्देश्यों के लिए किसी भी स्कैन का संचालन करने से पहले, स्थानीय प्रशासकों और प्रदाता के प्रतिनिधियों के साथ सभी कार्यों का समन्वय करना अनिवार्य है। दूसरी ओर, प्रदर्शन की समस्याएँ इंटरनेट होस्टिंग सेवाओं पर वर्चुअल सर्वर को किराए पर देने पर एंड स्कैनिंग नोड्स पर हो सकती हैं।

सभी VPS समान रूप से उपयोगी नहीं हैं।

गैर-मुख्यधारा के हॉस्टल से किराए पर दिए गए वीपीएस पर, एक ऐसी स्थिति का सामना कर सकता है जहां उत्पादक वीएम (कई वीसीपीयू और एक जोड़ी गीगाबाइट्स मेमोरी) पर, ज़ैम्प और मस्केन पैकेट दर एक दर्जन से अधिक केजी से ऊपर नहीं उठते हैं। सबसे अधिक बार, पुराने हार्डवेयर का संयोजन और आभासी पर्यावरण सॉफ्टवेयर का एक गैर-इष्टतम संयोजन एक नकारात्मक भूमिका निभाता है। एक तरह से या दूसरे, लेखक के अनुभव के अनुसार, प्रदर्शन की अधिक या कम पर्याप्त गारंटी केवल कंपनियों - बाजार के नेताओं से प्राप्त की जा सकती है।

इसके अलावा, कमजोर नोड्स की पहचान करते समय, यह विचार करने योग्य है कि कुछ एनएसई चेक स्कैन किए गए नोड्स पर सेवा से इनकार कर सकते हैं। स्थिति का ऐसा विकास केवल नैतिक नहीं है, लेकिन यह निश्चित रूप से कानूनी क्षेत्र के बाहर स्थित है और आपराधिक तक की देयता के रूप में परिणामों की शुरुआत को मजबूर करता है।

हम क्या और कैसे खोज रहे हैं?

कुछ खोजने के लिए, आपको यह जानना होगा कि किसी चीज़ की तलाश कैसे करें। खतरे लगातार विकसित हो रहे हैं, और उन्हें पहचानने के लिए एक नए विश्लेषणात्मक अध्ययन की लगातार आवश्यकता है। कभी-कभी अनुसंधान दस्तावेजों में प्रकाशित विश्लेषिकी पुरानी हो जाती है, जिससे उन्हें अपने स्वयं के अनुसंधान करने के लिए प्रेरित किया जाता है।

एक प्रसिद्ध उदाहरण

एक उदाहरण के रूप में, हम Zmap के लेखकों द्वारा 2013 का एक अध्ययन [5] ले सकते हैं, जो एक टीओआर नेटवर्क के नोड्स की पहचान के लिए समर्पित है। दस्तावेज़ के प्रकाशन के समय, प्रमाणपत्रों की श्रृंखला का विश्लेषण करके और स्व-हस्ताक्षरित प्रमाणपत्रों में विशेष रूप से उत्पन्न विषय नाम की पहचान करके, tcp / 443 पोर्ट पर काम करने वाले ~ 67 हजार TOR नोड्स और tcp / 9001 पर काम करने वाले ~ 2.9 हजार नोड्स पाए गए। वर्तमान में, इस विधि द्वारा पता लगाए गए टीओआर नोड्स की सूची बहुत छोटी है (बंदरगाहों की एक विस्तृत विविधता का उपयोग किया जाता है, ओफ़्फ़ ट्रांसपोर्ट का उपयोग किया जाता है, लेट्स एनक्रिप्ट क्रिप्ट में माइग्रेशन किया जाता है), जो एक समान समस्या को हल करने के लिए अन्य विश्लेषणात्मक तरीकों के उपयोग को मजबूर करता है।

शिकायतों का दुरुपयोग

इंटरनेट स्कैन करते समय, दुरुपयोग की शिकायतों की एक धारा प्राप्त करने का लगभग 100% जोखिम होता है। विशेष रूप से कष्टप्रद दर्जन SYN पैकेट के एक जोड़े के लिए स्वचालित रूप से उत्पन्न दुरुपयोग है। और अगर स्कैन नियमित रूप से दोहराया जाता है, तो मैन्युअल रूप से बनाई गई शिकायतें भी बह सकती हैं।

जो अक्सर शिकायत करता है

दुरुपयोग के मुख्य स्रोत (ज्यादातर स्वचालित) * .edu डोमेन क्षेत्र में शैक्षिक संस्थान हैं। अनुभव से, आपको विशेष रूप से इंडियाना विश्वविद्यालय (यूएसए) के स्वामित्व वाले एएसएन से स्कैनिंग पतों से बचना चाहिए। ज़ैम्प [5] और मासकैन [7] की प्रस्तुतियों में भी , किसी को नेटवर्क स्कैनिंग के लिए अपर्याप्त प्रतिक्रिया के कुछ दिलचस्प उदाहरण मिल सकते हैं।

इस दुरुपयोग को हल्के में न लें, क्योंकि:

शिकायतों के मामले में, होस्टर अक्सर ट्रैफ़िक को किराए पर दी गई वर्चुअल मशीनों से या उनके संचालन को रोक देता है या यहां तक कि उनके संचालन को निलंबित कर देता है।
स्वायत्त प्रणाली को अवरुद्ध करने के जोखिमों को खत्म करने के लिए एक आईएसपी अपलिंक को निष्क्रिय कर सकता है।

शिकायतों को कम करने के लिए सबसे अच्छा अभ्यास है:

आपके इंटरनेट / होस्टिंग प्रदाता की सेवा की शर्तों से परिचित होना।
स्कैन स्रोत पते पर एक सूचना पृष्ठ बनाना जो स्कैन के उद्देश्य के बारे में बता रहा हो; DNS TXT रिकॉर्ड में उचित स्पष्टीकरण देना।
दुरुपयोग की शिकायत मिलने पर स्कैन का स्पष्टीकरण।
स्कैनिंग से बहिष्करण की एक सूची को बनाए रखना, पहले पृष्ठ पर लागू होने वाले सबनेट के बहिष्करण को जोड़ना, सूचना पृष्ठ पर बहिष्करण बनाने की प्रक्रिया पर स्पष्टीकरण प्रदान करना।
स्कैन अब कार्य को हल करने के लिए आवश्यक नहीं रह गया है।
स्रोत, गंतव्य पते और साथ ही संभव होने पर समय के अनुसार स्कैनिंग ट्रैफ़िक का वितरण।

नेटवर्क स्कैन आउटसोर्सिंग

स्वतंत्र द्रव्यमान स्कैन करने के लिए एक संतुलित दृष्टिकोण की आवश्यकता होती है (जोखिम ऊपर वर्णित हैं), जबकि आपको पता होना चाहिए कि यदि उपयोग किए गए स्कैन परिणामों का विश्लेषणात्मक प्रसंस्करण पर्याप्त गहरा नहीं है, तो अंतिम परिणाम असंतोषजनक हो सकता है। कम से कम तकनीकी शब्दों में, आप मौजूदा वाणिज्यिक उपकरणों का उपयोग करके कार्य को आसान कर सकते हैं, जैसे:

शोदान [8]
सेंसर [९]
ज़ूमएय [10]

और सेवाएँ

उल्लिखित सेवाओं के अलावा, काफी बड़ी संख्या में परियोजनाएं हैं, एक तरीका या दूसरा वैश्विक नेटवर्क स्कैनिंग के साथ जुड़ा हुआ है। उदाहरण के लिए:

Punk.sh (पूर्व में PunkSPIDER वेब सर्च इंजन)
प्रोजेक्ट सोनार (रैपिड 7 से नेटवर्क स्कैन के परिणामों के साथ डेटासेट)
थिंगफुल (एक और IoT सर्च इंजन)

Shodan

इंटरनेट पर प्रकाशित सेवाओं के लिए पहला और सबसे प्रसिद्ध खोज इंजन, जो मूल रूप से एक IoT खोज इंजन के रूप में बनाया गया था और 2009 में जॉन मेटरले [11] द्वारा लॉन्च किया गया था। वर्तमान में, खोज इंजन अपने भीतर सूचना के कई स्तर प्रदान करता है। पंजीकरण के बिना, संभावनाएं बहुत बुनियादी हैं, जब सदस्यता दर्ज करना और खरीदना, निम्नलिखित कार्यक्षमता उपलब्ध हो जाती है:

बुनियादी फिल्टर द्वारा खोजें।
नोड्स ("कच्चे डेटा") के बारे में विस्तृत जानकारी जारी करना।
माल्टेगो, मेटस्प्लोइट, नैमप और अन्य जैसे सामान्य उपयोगिताओं के साथ एकीकृत करने की क्षमता के साथ एक "बुनियादी" एपीआई।
खोज परिणामों को निर्यात करने की क्षमता (शुल्क के लिए, "क्रेडिट" के लिए - सेवा की आंतरिक मुद्रा)।
अनुरोध पर व्यक्तिगत पते और सीमाओं को स्कैन करने की क्षमता (शुल्क के लिए, "क्रेडिट" के लिए)।

मूल OSINT [12] के लिए उल्लिखित विशेषताएं पहले से ही पर्याप्त हैं, हालांकि, खोज इंजन एंटरप्राइज़ सदस्यता के साथ अपनी क्षमताओं को पूरी तरह से प्रकट करता है, अर्थात्:

इंटरनेट की संपूर्ण सार्वजनिक आईपीवी 4 रेंज की ऑन-डिमांड स्कैनिंग, जिसमें बंदरगाहों की निर्दिष्ट सीमा की जांच करना और प्रोटोकॉल-विशिष्ट बैनर कलेक्टरों को निर्दिष्ट करना शामिल है।
रनिंग स्कैन के परिणामों के आधार पर वास्तविक समय की सूचनाएं।
आगे के विश्लेषण के लिए कच्चे स्कैन के परिणाम अपलोड करने की क्षमता (कोई प्रतिबंध नहीं, संपूर्ण डेटाबेस उपलब्ध है)।
विशिष्ट कार्यों (गैर-मानक प्रोटोकॉल, आदि) के लिए कस्टम कलेक्टरों को विकसित करने की क्षमता।
ऐतिहासिक स्कैन परिणामों तक पहुंच (अक्टूबर 2015 तक)।

Shodan परियोजना ने कई संबंधित परियोजनाएं बनाई हैं, जैसे मैलवेयर-हंटर, हनीपोट स्कैन, शोषण, स्कैन परिणाम को समृद्ध करना।

Censys

IoT पर खोज इंजन और न केवल, Zmap लेखक जाकिर दुरुमेरिक द्वारा निर्मित और सार्वजनिक रूप से 2015 में प्रस्तुत किया गया। खोज इंजन Zmap तकनीक और संबंधित परियोजनाओं (ZGrab और ZTag) का उपयोग करता है। पंजीकरण के बिना, शोडान के विपरीत, खोज इंजन एक आईपी से प्रति दिन 5 अनुरोधों तक सीमित है। पंजीकरण के बाद, उपयोग की संभावनाओं का विस्तार किया जाता है: एक एपीआई प्रकट होता है, अनुरोधों के लिए खोज परिणाम बढ़ जाते हैं (1000 परिणाम तक), हालांकि, ऐतिहासिक डेटा डाउनलोड करने सहित सबसे पूर्ण पहुंच केवल एंटरप्राइज प्लान पर उपलब्ध हो जाती है।

Shodan पर सर्च इंजन के फायदों में निम्नलिखित विशेषताएं शामिल हैं:

बुनियादी टैरिफ योजनाओं पर खोज फ़िल्टर पर कोई प्रतिबंध नहीं है।
स्वचालित स्कैनिंग के परिणामों को अपडेट करने की उच्च गति (दैनिक, लेखकों के अनुसार, शोडान की गति बहुत कम है)।

नुकसान में शामिल हैं:

Shodan की तुलना में बहुत कम बंदरगाहों की स्कैन की गई।
"ऑन डिमांड" (दोनों आईपी रेंज और पोर्ट द्वारा) स्कैन करने में असमर्थता।
परिणाम को "बॉक्स से बाहर" (जो स्पष्ट है, संबंधित परियोजनाओं के माध्यम से कार्यान्वित शोडान उपकरण की अधिक संख्या को देखते हुए) के साथ परिणाम को समृद्ध करने की कम गहराई।

यदि Censys समर्थित पोर्ट रेंज पर एकत्रित परिणाम इस लक्ष्य को प्राप्त करने के लिए पर्याप्त हैं, तो स्कैन परिणामों को अपडेट करने की उच्च गति के कारण मांग पर स्कैन करने की क्षमता की कमी एक गंभीर बाधा नहीं होनी चाहिए।

ZoomEye

2013 में चीनी सूचना सुरक्षा कंपनी नोज़ेक इंक द्वारा बनाया गया एक IoT सर्च इंजन। आज खोज इंजन अपने स्वयं के विकास का उपयोग करके काम करता है - Xmap (होस्ट स्कैनर) और Wmap (वेब स्कैनर)। खोज इंजन बंदरगाहों की एक विस्तृत श्रृंखला पर जानकारी एकत्र करता है, जब खोज करना संभव है कि प्रत्येक मेजबान के लिए विवरण (आवेदन बैनर की सामग्री) के साथ बड़ी संख्या में मापदंड (बंदरगाह, सेवाओं, ओएस, अनुप्रयोगों) के अनुसार वर्गीकृत किया जा सके। खोज परिणाम संबंधित SeeBug परियोजना (प्रयोज्यता के लिए जाँच किए बिना) से पहचाने गए एप्लिकेशन सॉफ़्टवेयर की संभावित कमजोरियों की सूची देता है। पंजीकृत खातों के लिए, फ़िल्टर के एक पूरे सेट के साथ एक एपीआई और वेब खोज भी उपलब्ध है, लेकिन प्रदर्शित परिणामों की संख्या पर सीमा के साथ। प्रतिबंधों को हटाने के लिए, एंटरप्राइज़ योजना खरीदना प्रस्तावित है। एक खोज इंजन के फायदों में, हम नोट कर सकते हैं:

बड़ी संख्या में स्कैन किए गए पोर्ट (लगभग Shodan के समान)।
विस्तारित वेब समर्थन।
आवेदन और ओएस पहचानकर्ता।

नुकसान में शामिल हैं:

स्कैन परिणामों के लिए धीरे-धीरे अपडेट अंतराल।
मांग पर स्कैन करने में असमर्थता।
स्कैन परिणामों का संवर्धन सेवाओं, एप्लिकेशन सॉफ़्टवेयर, OS और संभावित कमजोरियों की पहचान तक सीमित है।

सेवा तुलना चार्ट

नीचे दी गई सारांश तालिका में विचारित सेवाओं की कार्यक्षमता की तुलना प्रदान की गई है।

तालिका पंक्तियों में मान

अपने आप को स्कैन करें

खुद का बुनियादी ढांचा भी टीआई का एक उपयोगी स्रोत हो सकता है, इसलिए आप समझ सकते हैं कि नेटवर्क पर नए मेजबान और सेवाएं क्या दिखाई देती हैं, क्या वे कमजोर या दुर्भावनापूर्ण हैं? यदि परिधि को स्कैन करने के लिए बाहरी सेवाओं का उपयोग किया जा सकता है (उदाहरण के लिए, इस तरह के उपयोग के मामले को आधिकारिक तौर पर Shodan उपयोगकर्ता मामले द्वारा समर्थित है), तो परिधि के अंदर सभी कार्यों को केवल स्वतंत्र रूप से किया जा सकता है। इस मामले में नेटवर्क विश्लेषण के लिए साधनों की सीमा काफी व्यापक हो सकती है: ये दोनों निष्क्रिय विश्लेषक हैं, जैसे कि Bro [13] , Argus [14] , Nfdump [15] , p0f [16] और सक्रिय स्कैनर - Nmap, Zmap, Masscan और उनके वाणिज्यिक प्रतियोगियों। IVRE फ्रेमवर्क [17] , जो आपको अपना खुद का Shodan / Censys- जैसा उपकरण प्राप्त करने की अनुमति देता है, परिणामों की व्याख्या करने में मदद कर सकता है।

फ्रेमवर्क को सूचना सुरक्षा शोधकर्ताओं के एक समूह द्वारा विकसित किया गया था, लेखकों में से एक स्काइप उपयोगिता का एक सक्रिय डेवलपर है [18] पियरे ललित [19] । ढांचे की विशेषताओं में शामिल हैं:

पैटर्न और असामान्य असामान्यताओं की पहचान करने के लिए दृश्य विश्लेषण का उपयोग।
स्कैन परिणामों के विस्तृत पार्सिंग के साथ उन्नत खोज इंजन।
पायथन समर्थन के साथ एपीआई के माध्यम से तृतीय-पक्ष उपयोगिताओं के साथ एकीकरण।

आईवीआरई इंटरनेट के बड़े स्कैन का विश्लेषण करने के लिए भी उपयुक्त है।

निष्कर्ष

स्कैनिंग और सक्रिय नेटवर्क खुफिया उत्कृष्ट उपकरण हैं जो लंबे समय से विभिन्न शोधकर्ताओं द्वारा सूचना सुरक्षा के क्षेत्र में उपयोग किए जाते हैं। हालांकि, "क्लासिक" सुरक्षा गार्ड के लिए, इस तरह के काम करने के तरीके अभी भी नए हैं। क्लासिक रक्षात्मक-साधनों के साथ संयोजन में OSINT और आक्रामक तरीकों का उपयोग सुरक्षा को काफी मजबूत करेगा और इसकी सक्रियता सुनिश्चित करेगा।

संदर्भ

[0] https://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html
[1] https://malware-hunter.shodan.io/
[2] https://nmap.org
[3] https://zmap.io
[4] https://github.com/robertdavidgraham/masscan
[5] https://zmap.io/paper.pdf
[6] https://en.wikipedia.org/wiki/BACnet
[7] https://www.defcon.org/images/defcon-22/dc-22-presentations/Graham-McMillan-Tentler/DEFCON-22-Graham-McMillan-Tentler-Masscaning-the-Internet.pdf
[8] https://shodan.io
[9] https://censys.io
[10] https://www.zoomeye.org
[11] https://twitter.com/achillean
[12] https://en.wikipedia.org/wiki/Open-source_intelligence
[13] https://www.bro.org/
[14] http://qosient.com/argus/
[15] http://nfdump.sourceforge.net/
[16] http://lcamtuf.coredump.cx/p0f/
[17] https://github.com/cea-sec/ivre
[18] https://scapy.net/
[19] https://github.com/pl-

मिखाइल लारिन, सेंटर फॉर मॉनिटरिंग एंड रिस्पॉन्स टू इन्फॉर्मेशन सिक्योरिटी इंसिडेंट्स जेट CSIRT, जेट इंफोसिस्टम्स के विशेषज्ञ।

धमकी खुफिया को समृद्ध करने के लिए आक्रामक तरीकों का उपयोग करना

अस्वीकरण

इसके बजाय नहीं, बल्कि एक साथ

इंटरनेट स्कैन

उपकरण चयन

Nmap

Zmap

Masscan

स्कैनर तुलना चार्ट

लक्ष्य और स्कैनिंग विधि का चयन करना

इंफ्रास्ट्रक्चर च्वाइस

कठिनाइयाँ और "सूक्ष्म" क्षण

प्रदर्शन और उपलब्धता के मुद्दे

हम क्या और कैसे खोज रहे हैं?

शिकायतों का दुरुपयोग

नेटवर्क स्कैन आउटसोर्सिंग

Shodan

Censys

ZoomEye

सेवा तुलना चार्ट

अपने आप को स्कैन करें

निष्कर्ष

More articles: