एडवांसरी टैक्टिक्स, तकनीक और सामान्य ज्ञान (ATT @ CK) सीखें। एंटरप्राइज टैक्टिक्स। भाग १०

एक्सफ़िलिएशन या डेटा रिसाव

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10 बहिष्कार
भाग 11. कमान और नियंत्रण

एटीटी एंड सीके एंटरप्राइज टैक्टिक्स के इस खंड में एक समझौता प्रणाली से लक्षित सूचना को हटाने / चोरी / लीक करने के लिए साइबर क्रिमिनल्स / मैलवेयर द्वारा उपयोग की जाने वाली डेटा ट्रांसफर तकनीकों का वर्णन किया गया है।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री का मुफ़्त रीटेलिंग है।

स्वचालित बहिष्कार

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: लक्ष्य जानकारी के संग्रह के दौरान या उसके दौरान स्वचालित जानकारी प्रसंस्करण टूल और स्क्रिप्ट का उपयोग करके गोपनीय जानकारी वाले डेटा की घुसपैठ की जा सकती है। एक्सफ़िलिएशन के स्वचालन के माध्यम के साथ, नियंत्रण चैनल (C2) या एक वैकल्पिक प्रोटोकॉल के माध्यम से एक्सफ़िल्टरेशन के तरीकों को नेटवर्क पर डेटा संचारित करने के लिए भी लागू किया जा सकता है।

सुरक्षा की सिफारिशें: संभावित रूप से खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर की पहचान करें और अनुप्रयोग श्वेत सूची उपकरण जैसे AppLocker या सॉफ़्टवेयर प्रतिबंध नीतियों का उपयोग करके ब्लॉक करें।

डेटा संकुचित

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: डेटा की मात्रा को कम करने के लिए विपक्षी, एक्सफ़िल्टरेशन के लिए एकत्र किए गए लक्ष्य डेटा को संपीड़ित कर सकता है। संप्रेषण उपयोगकर्ता सॉफ्टवेयर, एक संपीड़न एल्गोरिथ्म, या 7zip, RAR, ज़िप, या zlib जैसे एक सामान्य पुस्तकालय / उपयोगिता का उपयोग करके ट्रांसमिशन चैनल के बाहर किया जाता है।

सुरक्षा सिफारिशें: आईपीएस या डीएलपी को बायपास करने के लिए, जो एक निश्चित प्रकार की फ़ाइलों के प्रसारण को अवरुद्ध करते हैं या एक अनियंत्रित संचार चैनलों पर एक निश्चित हेडर युक्त होते हैं, एक हमलावर एक एक्सफ़िल्टरेशन चैनल के एन्क्रिप्शन पर स्विच कर सकता है। संपीड़न सॉफ्टवेयर और संपीड़ित फ़ाइलों को पहले से ही ज्ञात डेटा संपीड़न उपयोगिताओं को कॉल करने से संबंधित निगरानी प्रक्रियाओं और कमांड लाइन तर्कों द्वारा अग्रिम में पता लगाया जा सकता है, लेकिन इस दृष्टिकोण में बड़ी संख्या में झूठी घटनाओं का विश्लेषण करना शामिल है।

डेटा एन्क्रिप्ट किया गया

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक्सफ़िलिएशन से पहले, चुराई गई जानकारी को छिपाने के लिए, पता लगाने के लिए या प्रक्रिया को कम ध्यान देने योग्य बनाने के लिए लक्ष्य डेटा को एन्क्रिप्ट किया जा सकता है। एन्क्रिप्शन एक उपयोगिता, पुस्तकालय या उपयोगकर्ता एल्गोरिथ्म का उपयोग करके किया जाता है और नियंत्रण चैनल (C2) और फ़ाइल स्थानांतरण प्रोटोकॉल के बाहर किया जाता है। डेटा एन्क्रिप्शन का समर्थन करने वाले सामान्य संग्रह प्रारूप RAR और ज़िप हैं।

सुरक्षा सिफारिशें: अच्छी तरह से ज्ञात फ़ाइल एन्क्रिप्शन सॉफ़्टवेयर के लॉन्च को निगरानी प्रक्रियाओं और कमांड लाइन तर्कों द्वारा पता लगाया जा सकता है, लेकिन इस दृष्टिकोण में बड़ी संख्या में झूठी घटनाओं का विश्लेषण करना शामिल है। Windows DLL crypt.32.dll को लोड करने वाली प्रक्रियाओं का उपयोग एक एन्क्रिप्शन, डिक्रिप्शन या सत्यापन हस्ताक्षर करने के लिए एक विरोधी द्वारा किया जा सकता है। नेटवर्क ट्रैफिक के एन्ट्रापी का विश्लेषण करके एन्क्रिप्टेड डेटा ट्रांसमिशन के तथ्य की पहचान की जा सकती है। यदि चैनल एन्क्रिप्ट नहीं किया गया है, तो आईडीएस या डीएलपी सिस्टम द्वारा फाइल हेडर का विश्लेषण करके ज्ञात प्रकारों के फ़ाइल स्थानांतरण का पता लगाया जा सकता है।

डाटा ट्रांसफर साइज लिमिट

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: नेटवर्क पर प्रेषित डेटा की स्वीकार्य सीमा से अधिक होने के बारे में सुरक्षा उपकरणों और संभावित चेतावनियों से छिपाने के लिए, एक हमलावर एक ही आकार के कई टुकड़ों में एक्सफ़िल्ट की गई फ़ाइलों को तोड़ सकता है या थ्रेशोल्ड मान से नीचे नेटवर्क पैकेट के आकार को सीमित कर सकता है।

सुरक्षा सिफारिशें: आईडीएस और डीएलपी, हस्ताक्षर-आधारित यातायात विश्लेषण का उपयोग करते हुए, केवल ज्ञात विशिष्ट नियंत्रण और निगरानी उपकरण (सी 2) और दुर्भावनापूर्ण कार्यक्रमों का पता लगाने और अवरुद्ध करने के लिए उपयोग किया जा सकता है, इसलिए प्रतिकूल समय में उपयोग किए जाने वाले उपकरणों को बदलने या डेटा स्थानांतरण प्रोटोकॉल को कॉन्फ़िगर करने की संभावना सबसे अधिक होगी। उसे ज्ञात सुरक्षा के माध्यम से पता लगाने से बचने के लिए।

एक पहचान तकनीक के रूप में, असामान्य डेटा धाराओं के लिए नेटवर्क ट्रैफ़िक का विश्लेषण करने की सिफारिश की जाती है (उदाहरण के लिए, क्लाइंट सर्वर से प्राप्त डेटा की तुलना में काफी अधिक डेटा भेजता है)। एक दुर्भावनापूर्ण प्रक्रिया लंबे समय तक एक निश्चित आकार के पैकेट भेजने के लिए एक कनेक्शन बनाए रख सकती है या एक कनेक्शन खोल सकती है और निश्चित अंतराल पर डेटा स्थानांतरित कर सकती है। प्रक्रियाओं की ऐसी गतिविधि जो आमतौर पर नेटवर्क का उपयोग नहीं करती है संदिग्ध होना चाहिए। डेटा ट्रांसफर के साथ उपयोग किए जाने वाले पोर्ट नंबर की असंगतता और नेटवर्क प्रोटोकॉल में डिफ़ॉल्ट रूप से सेट पोर्ट नंबर भी दुर्भावनापूर्ण गतिविधि का संकेत दे सकता है।

वैकल्पिक प्रोटोकॉल पर घुसपैठ

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक नियम के रूप में, डेटा एक्सफ़िल्टरेशन, एक वैकल्पिक प्रोटोकॉल के अनुसार किया जाता है, एक नियंत्रण चैनल (C2) को व्यवस्थित करने के लिए विरोधी द्वारा उपयोग किए जाने वाले प्रोटोकॉल से अलग है। वैकल्पिक प्रोटोकॉल में एफ़टीपी, एसएमटीपी, एचटीटीपी / एस, डीएनएस और अन्य नेटवर्क प्रोटोकॉल, साथ ही बाहरी वेब सेवाएं जैसे क्लाउड स्टोरेज शामिल हैं।

सुरक्षा सिफारिशें : फायरवॉल को कॉन्फ़िगर करने के लिए सिफारिशों का पालन करें, नेटवर्क से यातायात की प्रविष्टि और निकास को प्रतिबंधित करने के लिए केवल अनुमत बंदरगाहों तक। उदाहरण के लिए, यदि आप नेटवर्क के बाहर सूचना भेजने के लिए एफ़टीपी सेवा का उपयोग नहीं करते हैं, तो नेटवर्क परिधि के आसपास एफ़टीपी प्रोटोकॉल से जुड़े बंदरगाहों को अवरुद्ध करें। नियंत्रण चैनल और एक्सफ़िलिएशन के आयोजन की संभावना को कम करने के लिए, डीएनएस जैसी सेवाओं के लिए प्रॉक्सी सर्वर और समर्पित सर्वर का उपयोग करें, और सिस्टम को केवल उपयुक्त पोर्ट और प्रोटोकॉल के माध्यम से संवाद करने की अनुमति दें।

नियंत्रण चैनल को व्यवस्थित करने और डेटा को बाहर निकालने के ज्ञात तरीकों का पता लगाने और रोकने के लिए, हस्ताक्षर-आधारित यातायात विश्लेषण का उपयोग करके आईडीएस / आईपीएस सिस्टम का उपयोग करें। हालांकि, हमलावरों को सुरक्षा साधनों द्वारा पता लगाने से बचने के लिए समय के साथ नियंत्रण और बहिष्कार प्रोटोकॉल को बदलने की संभावना है।

एक पहचान तकनीक के रूप में, असामान्य डेटा धाराओं के लिए नेटवर्क ट्रैफ़िक का विश्लेषण करने की भी सिफारिश की जाती है (उदाहरण के लिए, क्लाइंट सर्वर से प्राप्त होने वाले डेटा की तुलना में काफी अधिक डेटा भेजता है)। डिफ़ॉल्ट नेटवर्क प्रोटोकॉल में उपयोग किए गए पोर्ट नंबर और पोर्ट नंबर के बीच असंगतता भी दुर्भावनापूर्ण गतिविधि का संकेत दे सकती है।

कमान और नियंत्रण चैनल पर घुसपैठ

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: डेटा एक्सफ़िल्टरेशन उसी प्रोटोकॉल के अनुसार किया जा सकता है जो किसी हमलावर द्वारा कंट्रोल चैनल (C2) के रूप में उपयोग किया जाता है।

सुरक्षा सिफारिशें: नियंत्रण चैनल और बहिष्कार के आयोजन के ज्ञात साधनों की पहचान करने के लिए ट्रैफ़िक के हस्ताक्षर विश्लेषण को व्यवस्थित करने के लिए आईडीएस / आईपीएस सिस्टम का उपयोग करें। असामान्य डेटा प्रवाह के लिए ट्रैफ़िक का विश्लेषण करें (उदाहरण के लिए, क्लाइंट सर्वर से प्राप्त डेटा की तुलना में काफी अधिक डेटा भेजता है)। डिफ़ॉल्ट नेटवर्क प्रोटोकॉल में उपयोग किए गए पोर्ट नंबर और पोर्ट नंबर के बीच असंगतता भी दुर्भावनापूर्ण गतिविधि का संकेत दे सकती है।

अन्य नेटवर्क माध्यम से अधिक घुसपैठ

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: डेटा बहिष्कार एक नेटवर्क वातावरण में पर्यावरण से अलग हो सकता है जिसमें नियंत्रण चैनल आयोजित किया जाता है (C2)। यदि नियंत्रण चैनल वायर्ड इंटरनेट कनेक्शन का उपयोग करता है, तो एक वायरलेस कनेक्शन - वाईफाई, सेलुलर नेटवर्क, ब्लूटूथ कनेक्शन या किसी अन्य रेडियो चैनल के माध्यम से एक्सफ़िल्टरेशन हो सकता है। यदि पहुंच और निकटता है, तो प्रतिकूल वैकल्पिक डेटा ट्रांसमिशन माध्यम का उपयोग करेगा, क्योंकि इसमें ट्रैफ़िक को हमले वाले कॉर्पोरेट नेटवर्क के माध्यम से रूट नहीं किया जाएगा, और नेटवर्क कनेक्शन सुरक्षित या खुला हो सकता है।

सुरक्षा सिफारिशें: सुनिश्चित करें कि मेजबान सुरक्षा सेंसर सभी नेटवर्क एडेप्टर के ऑडिटिंग का समर्थन करते हैं और यदि संभव हो तो नए लोगों को कनेक्ट करने से रोकते हैं। नेटवर्क इंटरफेस जोड़ने या प्रतिकृति करने से संबंधित नेटवर्क एडाप्टर सेटिंग्स में परिवर्तन को ट्रैक और विश्लेषण करें।

शारीरिक माध्यम से अधिक घुसपैठ

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: कुछ परिस्थितियों में, जैसे कि किसी समझौता किए गए नेटवर्क का भौतिक अलगाव, भौतिक मीडिया या उपयोगकर्ता द्वारा जुड़े डिवाइस के माध्यम से बहिष्कार हो सकता है। इस तरह की मीडिया एक बाहरी हार्ड ड्राइव, यूएसबी-ड्राइव, सेल फोन, एमपी-प्लेयर या किसी अन्य हटाने योग्य डिवाइस के भंडारण या प्रसंस्करण की जानकारी के लिए हो सकती है। भौतिक माध्यम या उपकरण का उपयोग विपत्ति के अंत बिंदु के रूप में एक्सफ़िल्टरेशन या पृथक सिस्टम के बीच संक्रमण के लिए किया जा सकता है।

सुरक्षा सिफारिशें: हटाने योग्य भंडारण उपकरणों के ऑटोरन को अक्षम करें। यदि वे व्यवसाय संचालन के लिए आवश्यक नहीं हैं, तो संगठन की सुरक्षा नीति स्तर पर हटाने योग्य उपकरणों के उपयोग को प्रतिबंधित या प्रतिबंधित करें।

भौतिक वातावरण के माध्यम से बहिष्कार का पता लगाने के लिए एक उपाय के रूप में, हटाने योग्य मीडिया पर फ़ाइलों तक पहुंच की निगरानी को व्यवस्थित करने की सिफारिश की जाती है, साथ ही हटाने योग्य मीडिया से जुड़े होने पर शुरू होने वाली प्रक्रियाओं का ऑडिट भी किया जाता है।

अनुसूचित हस्तांतरण

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: डेटा एक्सफ़िलिएशन केवल दिन के एक निश्चित समय पर या कुछ निश्चित अंतराल पर किया जा सकता है। ऐसी योजना का उपयोग नेटवर्क पर सामान्य ट्रैफ़िक के साथ एक्सफ़िल्ट किए गए डेटा को मिलाने के लिए किया जाता है। नियोजित बहिष्कार का उपयोग करते समय, अन्य सूचना रिसाव विधियों का भी उपयोग किया जाता है, जैसे कि नियंत्रण चैनल (C2) और एक वैकल्पिक प्रोटोकॉल के माध्यम से बहिष्कार।

सुरक्षा सिफारिशें: हस्ताक्षर-आधारित यातायात विश्लेषण के साथ आईडीएस / आईपीएस सिस्टम का उपयोग। दुर्भावनापूर्ण गतिविधि का पता लगाने के उपायों के रूप में, फ़ाइलों और प्रोसेस और स्क्रिप्ट्स के लिए प्रोसेस एक्सेस मॉडल की निगरानी करने की सिफारिश की जाती है जो फ़ाइल सिस्टम को स्कैन करते हैं और फिर नेटवर्क ट्रैफ़िक को स्कैन करते हैं। दिन के एक ही समय में होने वाले एक ही पते पर कई दिनों के लिए नेटवर्क कनेक्शन संदिग्ध होना चाहिए।