गतिरोध: यह कैसे था

नमस्ते! PHDays 9 के रक्षकों के रैंक में द स्टैंडऑफ़ में क्या हो रहा है, इस पर पर्याप्त रुचि देखने के बाद, हमने जेट सिक्योरिटी टीम के हिस्से के रूप में जेट CSIRT की आँखों के माध्यम से तैयारी और "स्टैंडऑफ़" के बारे में बात करने का फैसला किया।

गुओ स्टैंडऑफ, मैंने बनाया

कुछ इस तरह के सहयोगियों ने बताया कि हम एक बार फिर से द स्टैंडऑफ़ में भाग ले रहे हैं, और हम स्वाभाविक रूप से सहमत हैं।

अभी यह ध्यान देने योग्य है कि रक्षकों के लिए इस वर्ष प्रतियोगिता का प्रारूप कुछ बदल गया है। सभी टीमों को बहुत समान कार्यालय संरचनाएं प्राप्त हुईं, और इससे आयोजकों के लिए कुछ तोतों में रक्षकों की रेटिंग दर्ज करना संभव हो गया। और जेट सिक्योरिटी टीम के लिए, यह पहला "टकराव" था, जहां कार्यालय का बचाव किया गया था, न कि औद्योगिक अवसंरचना।

हमें अप्रैल के अंत में साइबर युद्ध की तैयारी के लिए बुनियादी ढाँचे तक पहुँच मिली। बुनियादी ढांचे के ऑडिट के बाद, कमियों का एक पूरा वैगन इकट्ठा किया गया था, यहां उनमें से कुछ ही हैं। पूरी तरह से बुनियादी ढांचे में वास्तविक पैच नहीं थे। सभी उपयोगकर्ताओं के पासवर्ड क्लीयरटेक्स्ट में Ntds.dit के माध्यम से प्राप्त किए जा सकते हैं। इसके अलावा, कुछ उपयोगकर्ताओं के पास आसानी से प्रतिवर्ती हैश के साथ TOP-500 सूची या पासवर्ड से पासवर्ड थे। सिस्टम हार्डनिंग कुछ भी नहीं या कुछ भी नहीं के करीब था। DMZ में कुछ होस्ट सर्वर सबनेट में एक इंटरफ़ेस था।

ऑडिट के परिणामों के आधार पर, हमने कुछ सुरक्षा उपायों को विकसित किया, बदले में, आयोजकों ने प्रारंभिक अनुमोदन के बाद, हमें अपनी आवश्यक नीतियों को लागू करने और किसी भी सुरक्षा उपकरण और उपकरणों को लाने की अनुमति दी, जो एक आभासी वातावरण में तैनात किए जा सकते हैं। तंग समय सीमा के कारण, सुरक्षात्मक उपायों पर कुछ विचार शुरू में ही गिर गए। एसपीआई की मुख्य सेटिंग्स और प्रोफाइलिंग मई की छुट्टियों के दौरान की गई (सभी को नमस्कार, जिन्होंने पिकनिक से तस्वीरें फेंक दीं, हम आपसे भी प्यार करते हैं), और साइट पर शुरुआत से ठीक पहले कुछ सुरक्षात्मक उपकरणों को ट्यून करना पड़ा। इसके अलावा, कई सेवाओं को पैच करने और दृढ़ता से पुन: कॉन्फ़िगर करने के लिए मना किया गया था। उदाहरण के लिए, इनमें से एक सीवीई-2019-2725 के साथ ओरेकल वेबलॉजिक था, जिसे पीओसी मई 2019 के शुरुआती दिनों में जारी किया गया था।

खैर, और एक सूची जो हम अपने साथ लाए हैं:

• फ़ायरवॉल (आयोजकों द्वारा प्रतिस्थापित किया गया है);
• एंटीवायरस समाधान;
• WAF;
• EDR;
• धोखे के समाधान के एक जोड़े;
• भेद्यता स्कैनर की एक जोड़ी;
• अतिरिक्त नेटफ्लो विश्लेषण के लिए ईएलके स्टैक;
• सिएम।

हमें इस बारे में भी बात करनी चाहिए कि क्या हुआ था। घटनाओं के स्रोतों के रूप में, हमारे पास Windows लॉग्स, Sysmon, Auditd लॉग्स और, जैसा कि आप अनुमान लगा सकते हैं, SZI से ही ईवेंट का निपटान किया गया था। यदि पहले दो के साथ कोई विशेष समस्या नहीं थी, और हम जल्दी से सिस्मोन नीति और कॉन्फ़िगरेशन में बदलाव पर सहमत हुए, तो हमें ऑडिट विन्यास के लिए आयोजकों के साथ कुश्ती करनी थी।

इसके समानांतर, हमने मुख्य आक्रमण वैक्टर की पहचान की, और इसके आधार पर हमने संबंधित परिदृश्यों और सहसंबंध नियमों को चुना और अनुकूलित किया - कुल लगभग 160 सहसंबंध नियम। इसके अलावा, महत्वपूर्ण नोड्स, SZI और गेमिंग इंफ्रास्ट्रक्चर में विशेष ध्यान देने के लिए मोटली डैशबोर्ड का एक सेट इकट्ठा किया गया था।

गतिरोध

द स्टैंडऑफ़ के लिए, हमने बाहरी और आंतरिक घटनाओं को अलग करने की अवधारणा का पालन करने का निर्णय लिया, क्योंकि एक सटीक समझ थी कि हम सक्रिय रूप से वेब को बाहर से क्रॉल करने और संचालित करने का प्रयास करेंगे। स्कैनिंग से संबंधित घटनाओं और WAF को दरकिनार करने के प्रयासों को कम प्राथमिकता पर अलग से मॉनिटर किया गया था, इससे हमें आंतरिक घटनाओं पर ध्यान केंद्रित करने की अनुमति मिली। एसपीआई के लिए डैशबोर्ड जिम्मेदारी के क्षेत्रों में रक्षकों के बीच वितरित किए गए थे, और रोटेशन और आराम की संभावना के लिए कम से कम 2 लोगों को प्रत्येक उपकरण को सौंपा गया था।

जैसा कि हमें उम्मीद थी, सब कुछ हुआ। टकराव लगभग 10 बजे शुरू हुआ, और जैसे ही शुरुआत हुई, सर्ज सिस्टम ने एक बाहरी स्कैन से संबंधित घटनाओं का एक गुच्छा देना शुरू कर दिया और हमलावरों द्वारा वेब का शोषण करने का प्रयास किया। कुछ मामलों में, यहां तक ​​कि समूह भी नहीं बचा। इसके साथ ही, आयोजकों के चेकर्स ने कार्यालय में विभिन्न सेवाओं की स्थिति की जाँच करते हुए काम करना शुरू कर दिया, जिससे हमें उनसे जुड़ी झूठी सकारात्मक चीजों को काटने के लिए कुछ हद तक फिर से संचालन करने के लिए मजबूर होना पड़ा।

खेल के पहले घंटों में, Hack.ERS टीम संसाधनों में से किसी एक के CMS पर व्यवस्थापक (व्यवस्थापक / व्यवस्थापक) से मानक क्रेडेंशियल्स खोजने और संभावित LFI भेद्यता का पता लगाने में कामयाब रही। इन प्रयासों पर ध्यान नहीं गया, हमारे रक्षकों ने एक परिचालन प्रतिक्रिया की, और अंत में हमलावर आगे नहीं बढ़ सके।

पहले गेम के दिन के अंत तक, तरीकों में बदलाव नहीं हुआ, WAF ने अभी भी कंपनी की वेबसाइटों के लिए कुछ दिलचस्प अपलोड करने के सभी प्रयासों को हरा दिया, और एक ही "बाहरी पते" को बंद किए बिना, हमारे संसाधनों को स्कैन करने की कोशिश की।



कुल मिलाकर, पूरे आयोजन के लिए, स्कैनिंग के प्रयासों से संबंधित 3000 घटनाएं दर्ज की गईं, घटनाओं में घटनाओं के समूह को ध्यान में रखते हुए।



और WAF को दरकिनार करने के प्रयासों के साथ लगभग 2500 घटनाएं, घटनाओं में घटनाओं के समूह को ध्यान में रखे बिना।

रात के दौरान, सभी गतिविधियों की तीव्रता कम हो गई - इसके कई कारण थे। डिफेंडरों और हमलावरों का एक हिस्सा कॉन्सर्ट के साउंडचेक और रिहर्सल का विरोध नहीं कर सकता था, जिसे अगले दिन आयोजित किया जाना था। कुछ हमलावर टीमों ने एक ब्रेक लेने का फैसला किया और हमलों को सुबह के करीब जारी रखने की उम्मीद की कि रक्षकों और निगरानी में कम निगरानी संसाधन और कुछ थकान होगी।

दूसरे दिन की सुबह, हमलावरों ने रणनीति बदल दी। कंपनी के एक वेबसाइट पर इसके कर्मचारियों के एक हिस्से की जानकारी पोस्ट की गई थी। हैकर्स ने इस जानकारी का लाभ उठाया और एक्सचेंज (स्क्रीनशॉट में प्रयासों के आंकड़े) के माध्यम से उपयोगकर्ता खातों को सक्रिय रूप से इकट्ठा करना शुरू कर दिया।



थोड़ी देर बाद, वीपीएन गेटवे पर एक पासवर्ड का चयन करने के लिए असुरक्षित प्रयास किए गए, जो खाते हमारे बुनियादी ढांचे में नहीं थे, वे ब्रूट में भाग लेते थे। उच्च संभावना के साथ, हमलावरों ने इस उम्मीद में पहले से ही हैक किए गए बुनियादी ढांचे से खातों का उपयोग करने की कोशिश की कि आयोजकों ने उन्हें हर जगह समान छोड़ दिया। नतीजतन, जानवर बल के साथ पूरी स्थिति ने हमें उपयोगकर्ता प्रमाणीकरण के संदर्भ में रुझानों के लिए डैशबोर्ड का एक समूह बनाने के लिए प्रेरित किया। इसके अलावा, हमने सफल ब्रूट फोर्स से संबंधित घटनाओं पर निगरानी को कड़ा कर दिया, लेकिन सौभाग्य से, ऐसे मामलों का पता नहीं चला।

खेल के अंत से लगभग एक घंटे पहले, रुझानों ने कई उपयोगकर्ताओं को प्रमाणित करने के लिए एकल सफल प्रयास देखे, जिनमें एक्सचेंज पर, परिचालन विश्लेषण से पता चला कि स्रोत सीधे उपयोगकर्ता मशीन थे, अधिकांश घटनाओं ने संकेत दिया कि आयोजक वीएमवेयर कंसोल से लॉग इन करते हैं vCenter।

उसी समय, हमने एक नोड से एक आंतरिक स्कैन रिकॉर्ड किया जो वीपीएन के माध्यम से सफलतापूर्वक जुड़ा हुआ था। घटना से संबंधित घटनाओं के एक परिचालन विश्लेषण के बाद, यह स्पष्ट हो गया कि हमलावर कई उपयोगकर्ताओं की साख से समझौता करने में सक्षम थे, और असफल प्रमाणीकरण प्रयासों की अनुपस्थिति को देखते हुए, यह संभावना है कि उपयोगकर्ता डेटा "लीक" था।

रक्षकों को सूचना दी गई। समझौता किए गए उपयोगकर्ताओं के व्यक्तिगत कंप्यूटरों पर पूरे प्रतिक्रिया समय के दौरान, सिस्टम में एक पैर जमाने की क्षमता को धीमा करने के लिए एंडपॉइंट समाधान को एक निवारक सुरक्षा मोड में रखा गया था। वीपीएन गेटवे पर हमला सत्रों को जबरन गिरा दिया गया, और हमलावरों को संरक्षित परिधि से बाहर कर दिया गया। समझौता किए गए UZ में, पासवर्ड तुरंत बदल दिए गए थे।

उसी क्षण, True0xA3 टीम के लोगों ने मंच ले लिया और सफलतापूर्वक OSINT का उपयोग किया और बेहाल कार्यालय के समझौते की सूचना दी, जो किसी अन्य टीम के संरक्षण में है। हमलावरों ने डोमेन व्यवस्थापक से समझौता कर लिया। आयोजकों को हमारी घटना के बारे में सूचित किया गया था और सबूत प्रदान किए गए थे।

पिछले घंटे विशेष रूप से अचानक OSINT के कारण गर्म था, हर कोई आयोजकों की कुछ और तैयारियों का इंतजार कर रहा था। निगरानी टीम, बारी-बारी से, सभी संदिग्ध विसंगतियों और घटनाओं पर नजर रखती थी, लेकिन हैकिंग के नए प्रयासों को विफल करने के असफल प्रयास के बाद, इसका पालन नहीं किया गया। इसलिए खेलने का अंतिम समय बीत गया, और जेट सिक्योरिटी टीम द्वारा संरक्षित कार्यालय की सफल हैकिंग नहीं हुई।

और दो गेमिंग दिनों के लिए थोड़ा अंतिम आँकड़े:

• 1200 ईपीएस औसत और चोटी पर 3000 ईपीएस से थोड़ा कम;
• लगभग 7000 घटनाएं;
• 120 मिलियन से अधिक कार्यक्रम।

ऐसे कारक जिन्होंने हमारी जीत में मदद की

• भूमिकाओं का सक्षम वितरण। प्रत्येक सेट अप किया गया था और वह रोजमर्रा की परियोजनाओं में सबसे ज्यादा काम में लगा था। "दमड़ी के लिए फ़ायरवॉल" की श्रेणी से किसी को भी सामग्री का अध्ययन नहीं करना था।
• सहसंबंध नियमों का संचालन रूपरेखा। सभी झूठी सकारात्मक कार्रवाई की गई और गेमिंग बुनियादी ढांचे की सुविधाओं से संबंधित सुधार किए गए।
• शीघ्र प्रतिक्रिया। इस तथ्य के कारण कि कई लोगों को प्रत्येक प्रकार के SZI और प्रणालियों को सौंपा गया था, हमें इस तथ्य से कोई समस्या नहीं थी कि जिम्मेदार व्यक्ति को आराम करना था या बस कुछ मिनटों के लिए चले गए। निगरानी से सभी जानकारी जितनी जल्दी हो सके संसाधित की गई थी।
• विभिन्न अवसंरचनाओं को सख्त और मॉनिटर करने में अनुभव।

पीएस विशेष ने सभी के लिए धन्यवाद, जिन्होंने आए और सवाल पूछे, और हम उन लोगों से माफी मांगते हैं, जो इस प्रक्रिया में कुछ बताने में सक्षम नहीं थे - टीम हमलावरों से "गलत तरीके से कोस्कैक्स" की प्रतीक्षा कर रही थी और सभी विवरणों का खुलासा नहीं कर सकती थी।

दिमित्री लीफानोव, सेंटर फॉर मॉनिटरिंग एंड रिस्पॉन्स टू इन्फॉर्मेशन सिक्योरिटी इंसिडेंट्स जेट सीएसआईआरटी के विशेषज्ञ