हम MITER ATT और CK का अध्ययन करते हैं। मोबाइल मैट्रिसेस: डिवाइस एक्सेस। भाग ४

रक्षा रक्षा

सभी भागों के लिंक:
भाग 1. मोबाइल डिवाइस पर प्रारंभिक एक्सेस (आरंभिक एक्सेस)
भाग 2. दृढ़ता और वृद्धि
भाग 3. क्रेडेंशियल एक्सेस प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 4. रक्षा चोरी
भाग 5. डिस्कवरी और पार्श्व आंदोलन

विशिष्ट सुरक्षा को कम करने के परिणामस्वरूप कुछ सामरिक लक्ष्यों को प्राप्त करने के लिए अपनी दुर्भावनापूर्ण गतिविधि का पता लगाने या अन्य हमले तकनीकों के साथ संयोजन के रूप में साइबर अपराधियों द्वारा सुरक्षा उपकरणों को दरकिनार करने के तरीकों का उपयोग किया जाता है। इस प्रकार, रक्षा हमले को दुश्मन द्वारा हमले के सभी चरणों में उपयोग की जाने वाली तकनीकों का एक सेट माना जा सकता है।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी एटीटी @ सीके मोबाइल मैट्रिसेस: डिवाइस एक्सेस की सामग्री का एक मुफ्त रीटेलिंग है।

आवेदन डिस्कवरी

प्लेटफ़ॉर्म: Android, iOS
विवरण: हमलावर सुरक्षा उपायों की उपलब्धता की पहचान करने के लिए डिवाइस पर इंस्टॉल किए गए सभी अनुप्रयोगों की पहचान करने का प्रयास कर सकते हैं जो पहचान के जोखिम को बढ़ा सकते हैं, या इसके विपरीत - उन अनुप्रयोगों की पहचान करने के लिए जो एक और हमले से लक्षित होंगे।

एंड्रॉइड एप्लिकेशन पैकेज कमांडर क्लास विधि का उपयोग करके अन्य एप्लिकेशन या अन्य कमांड लाइन ऑब्जेक्ट को शाम कमांड का उपयोग करने के लिए सूचीबद्ध कर सकते हैं। iOS ऐप डिवाइस पर इंस्टॉल किए गए ऐप की सूची प्राप्त करने के लिए निजी एपीआई कॉल का उपयोग कर सकते हैं। हालांकि, AppStore के माध्यम से निजी एपीआई कॉल का उपयोग करके किसी एप्लिकेशन को वितरित करना असंभव है।

सुरक्षा सिफारिशें: एंड्रॉइड एप्लिकेशन की जांच के लिए तरीकों में अतिरिक्त विश्लेषण करने के उद्देश्य से अन्य अनुप्रयोगों को सूचीबद्ध करने के लिए अनुप्रयोगों द्वारा पैकेजमैनगर वर्ग के उपयोग का पता लगाने के लिए साधन शामिल होना चाहिए। हालाँकि, यह दृष्टिकोण अव्यवहारिक हो सकता है क्योंकि कई अनुप्रयोग पैकेजमेनगर वर्ग के तरीकों को अपने नियमित कार्य के हिस्से के रूप में कह सकते हैं। IOS पर, सत्यापन के तरीके समान रूप से निजी API कॉल की तलाश कर सकते हैं, हालांकि यह ध्यान रखना महत्वपूर्ण है कि निजी API कॉल का उपयोग करने वाला एप्लिकेशन शायद AppStore में स्वीकार नहीं किया जाएगा।

रूट एक्सेस या जेलब्रेक संकेतक (डिस्गाइज़ रूट / जेलब्रेक संकेतक)

प्लेटफ़ॉर्म: Android, iOS
विवरण: एक विरोधी पता लगाने से बचने के लिए सुरक्षा एल्गोरिदम के ज्ञान का उपयोग कर सकता है। उदाहरण के लिए, कुछ मोबाइल डिवाइस सुरक्षा उपकरण विशिष्ट कलाकृतियों की पहचान करके एक समझौते का पता लगाते हैं, जैसे कि स्थापित सु बाइनरी, लेकिन आप बाइनरी को अलग नाम देकर इसके चारों ओर प्राप्त कर सकते हैं। हस्ताक्षर विश्लेषण द्वारा पता लगाने से बचने के लिए एक विरोधी एक बहुरूपिक कोड का उपयोग कर सकता है।

रनटाइम पर नया कोड डाउनलोड करें

प्लेटफ़ॉर्म: Android, iOS
विवरण: कॉर्पोरेट वातावरण या एप्लिकेशन स्टोर में स्थिर कोड विश्लेषण विधियों (संभवतः गतिशील) का उपयोग करके चेक के दौरान दुर्भावनापूर्ण कोड का पता लगाने से बचने के लिए, एक दुर्भावनापूर्ण एप्लिकेशन इंस्टॉल होने के बाद डायनेमिक कोड (एप्लिकेशन पैकेज में शामिल नहीं) को डाउनलोड और निष्पादित कर सकता है।
Android में, डायनेमिक कोड में देशी कोड, Dalvik कोड या जावास्क्रिप्ट कोड शामिल हो सकते हैं जो JavascriptInterface Android WebView फ़ंक्शन का उपयोग करते हैं। IOS में एप्लिकेशन इंस्टॉल करने के बाद लोड किए गए डायनामिक कोड को निष्पादित करने के तरीके भी हैं।

सुरक्षा सिफारिशें: एप्लिकेशन सत्यापन प्रौद्योगिकियां (स्थिर और गतिशील विश्लेषण) उन संकेतों का पता लगा सकती हैं कि एप्लिकेशन रनटाइम पर नया कोड लोड कर रहा है (उदाहरण के लिए, एंड्रॉइड में यह DexClassLoader, System.load या WebView JavaScryptInterface का उपयोग कर रहा है, iOS में JSPatch या इसी तरह की सुविधाओं का उपयोग कर रहा है)। दुर्भाग्य से, यह जोखिमों को कम करने का केवल एक आंशिक तरीका है, क्योंकि पहचाने गए अनुप्रयोगों को इस तथ्य के कारण अतिरिक्त सत्यापन की आवश्यकता होगी कि इन तरीकों का उपयोग अक्सर डेवलपर्स द्वारा दुर्भावनापूर्ण इरादे के बिना किया जाता है, और यह भी कि आवेदन अन्य तरीकों का उपयोग कर सकते हैं, जैसे छिपाना रनटाइम पर कोड लोडिंग विधियों का उपयोग करना।

असुरक्षित या दुर्भावनापूर्ण कॉन्फ़िगरेशन स्थापित करें

प्लेटफ़ॉर्म: Android, iOS
विवरण: एक विरोधी एक फ़िशिंग ईमेल का उपयोग करके मोबाइल डिवाइस पर एक असुरक्षित या दुर्भावनापूर्ण कॉन्फ़िगरेशन स्थापित करने का प्रयास कर सकता है या कॉन्फ़िगरेशन पैरामीटर के रूप में एक कॉन्फ़िगरेशन फ़ाइल या एक पाठ संदेश कॉन्फ़िगरेशन कॉन्फ़िगरेशन के लिए वेब लिंक का उपयोग कर सकता है। कॉन्फ़िगरेशन पैरामीटर सेट करते समय, उपयोगकर्ता को सामाजिक इंजीनियरिंग विधियों का उपयोग करके धोखा दिया जा सकता है। उदाहरण के लिए, कॉन्फ़िगरेशन सेट करके, प्रमाणन प्राधिकरण (CA) का एक अवांछित प्रमाणपत्र डिवाइस के विश्वसनीय प्रमाणपत्र स्टोर में रखा जा सकता है, जिससे डिवाइस की संवेदनशीलता मध्य-व्यक्ति के हमलों में बढ़ जाएगी।

IOS पर, दुर्भावनापूर्ण कॉन्फ़िगरेशन प्रोफाइल में अवांछित प्रमाणपत्र प्राधिकरण (CA) प्रमाणपत्र या अन्य असुरक्षित सेटिंग्स शामिल हो सकती हैं, जैसे कि हमलावर सिस्टम के माध्यम से डिवाइस ट्रैफ़िक को रूट करने के लिए अवांछित प्रॉक्सी या वीपीएन सर्वर का पता या दुश्मन मोबाइल डिवाइस प्रबंधन प्रणाली (एमडीएम) के साथ लक्ष्य डिवाइस को पंजीकृत करना।

सुरक्षा सिफारिशें: आईओएस 10.3 और इसके बाद के संस्करण में, एक अतिरिक्त कदम जोड़ा जाता है जिसके लिए उपयोगकर्ता को नए विश्वसनीय सीए प्रमाणपत्र स्थापित करने के लिए कुछ कार्रवाई करने की आवश्यकता होती है। एंड्रॉइड एप्लिकेशन एंड्रॉइड 7 और उच्चतर (एपीआई स्तर 24) के साथ संगत हैं, डिफ़ॉल्ट रूप से, केवल सीए प्रमाण पत्र हैं जो ओएस के साथ वितरित किए जाते हैं, और उपयोगकर्ता या व्यवस्थापक द्वारा नहीं जोड़े जाते हैं, जो मानव-में-मध्य हमलों के लिए उनकी संवेदनशीलता को कम करता है।

सामान्य तौर पर, असुरक्षित या दुर्भावनापूर्ण कॉन्फ़िगरेशन सेटिंग्स उपयोगकर्ता की सहमति के बिना सेट नहीं की जाती हैं। उपयोगकर्ताओं को अनपेक्षित कॉन्फ़िगरेशन पैरामीटर (CA प्रमाणपत्र, iOS कॉन्फ़िगरेशन प्रोफ़ाइल, MDM कनेक्शन) सेट नहीं करना चाहिए।

एंड्रॉइड पर, एक उपयोगकर्ता संदिग्ध प्रमाणपत्रों की पहचान करने के लिए डिवाइस सेटिंग्स के माध्यम से विश्वसनीय सीए प्रमाण पत्र देख सकता है। इसी तरह, मोबाइल डिवाइस प्रोटेक्शन विसंगतियों के लिए सर्टिफिकेट स्टोर की जांच कर सकते हैं। IOS पर, उपयोगकर्ता डिवाइस सेटिंग्स के माध्यम से स्थापित कॉन्फ़िगरेशन प्रोफाइल देख सकता है और संदिग्ध प्रोफाइल की पहचान कर सकता है। इसी तरह, एमडीएम सिस्टम विसंगतियों के लिए स्थापित प्रोफाइल की सूची की जांच करने के लिए आईओएस एमडीएम एपीआई का उपयोग कर सकता है।

OS कर्नेल या बूट विभाजन को संशोधित करें (OS कर्नेल या बूट विभाजन को संशोधित करें)

प्लेटफ़ॉर्म: Android, iOS
विवरण: विशेषाधिकारों को बढ़ाने के लिए एक अवसर का नाम, एक विरोधी ओएस के कर्नेल में दुर्भावनापूर्ण कोड या बूट विभाजन के घटकों को रखने का प्रयास कर सकता है, जहां कोड का पता नहीं लगाया जा सकता है, डिवाइस को रिबूट होने के बाद बचाया जाएगा, और उपयोगकर्ता द्वारा हटाया नहीं जा सकता। कुछ मामलों में (उदाहरण के लिए, सैमसंग नॉक्स), एक हमले का पता लगाया जा सकता है, लेकिन डिवाइस को सीमित कार्यक्षमता मोड में स्थानांतरित करना होगा।

कई एंड्रॉइड डिवाइस डेवलपमेंट उद्देश्यों के लिए बूटलोडर को अनलॉक करने की क्षमता प्रदान करते हैं, लेकिन यह कार्यक्षमता दुर्भावनापूर्ण रूप से कर्नेल या अन्य बूट पार्टीशन कोड को अपडेट करने की क्षमता प्रदान करती है। यदि बूटलोडर को अभी भी अनलॉक नहीं किया गया है, तो कर्नेल कोड को अपडेट करने के लिए कमजोरियों का उपयोग करने की संभावित संभावना बनी हुई है।

सुरक्षा सिफारिशें: एक कॉर्पोरेट वातावरण में, सुरक्षा अपडेट की स्थापना, मोबाइल उपकरणों के दूरस्थ प्रमाणीकरण (एंड्रॉइड सेफ्टीनेट, सैमसंग KNOX TIMA) की स्थापना को व्यवस्थित करें, और उन उपकरणों को भी रोकें, जिन्होंने कॉर्पोरेट संसाधनों तक पहुँचने से प्रमाणीकरण पारित नहीं किया है। बूटलोडर लॉक स्थिति की जांच करें उन उपकरणों पर जो बूटलोडर को अनलॉक करने की क्षमता प्रदान करते हैं (इसलिए किसी भी OS कोड को डिवाइस पर लिखने की अनुमति देते हैं)।

एंड्रॉइड सेफ्टी नेट अटैचमेंट एपीआई का उपयोग दूरस्थ रूप से पहचाने जाने और समझौता किए गए उपकरणों का जवाब देने के लिए किया जा सकता है। सैमसंग KNOX समर्थित सैमसंग Android उपकरणों पर दूरस्थ प्रमाणन क्षमता प्रदान करता है। सैमसंग KNOX उपकरणों में एक अपरिवर्तनीय बिट फ़्यूज़ शामिल होता है जो डिवाइस पर एक गैर-KNOX कर्नेल लोड होने पर काम करेगा। जब ट्रिगर किया जाता है, तो एंटरप्राइज़ KNOX कंटेनर सेवाएं डिवाइस पर उपलब्ध नहीं होंगी।

जैसा कि iOS सुरक्षा गाइड में वर्णित है, अनधिकृत परिवर्तनों का पता चलने पर iOS डिवाइस बूट नहीं कर सकते हैं या डिवाइस सक्रियण की अनुमति नहीं दे सकते हैं। कई एंटरप्राइज़ एप्लिकेशन अपने स्वयं के चेक प्रदर्शन करते हैं और समझौता किए गए उपकरणों का जवाब देते हैं। इस तरह के चेक एक विश्वसनीय साधन नहीं हैं, लेकिन वे समझौते के प्राथमिक संकेतों का पता लगा सकते हैं।

सिस्टम विभाजन को संशोधित करें

प्लेटफ़ॉर्म: Android, iOS
विवरण: यदि विरोधी विशेषाधिकार बढ़ाता है, तो वह उन्हें डिवाइस के सिस्टम अनुभाग में दुर्भावनापूर्ण कोड रखने के लिए उपयोग करने में सक्षम होगा, जहां ओएस को रिबूट होने के बाद कोड को सहेजा जाएगा और उपयोगकर्ता द्वारा हटाने के लिए आसानी से सुलभ नहीं होगा। कई एंड्रॉइड डिवाइस आपको विकास के उद्देश्यों के लिए बूटलोडर को अनलॉक करने की अनुमति देते हैं। सिस्टम विभाजन को संशोधित करने के लिए इस सुविधा का उपयोग एक विरोधी द्वारा भी किया जा सकता है।

सुरक्षा सिफारिशें: सत्यापित बूट समर्थन वाले एंड्रॉइड डिवाइस सिस्टम विभाजन की अखंडता का क्रिप्टोग्राफिक सत्यापन करते हैं। एंड्रॉइड सेफ्टीनेट एपीआई का उपयोग समझौता किए गए उपकरणों की पहचान करने के लिए किया जा सकता है। सैमसंग KNOX समर्थित उपकरणों पर रिमोट कंट्रोल क्षमता भी प्रदान करता है। IOS डिवाइस बूट नहीं होंगे या किसी ऐसे डिवाइस की सक्रियता की अनुमति नहीं देंगे जिसमें अनधिकृत परिवर्तनों का पता लगाया जाए।

टीईई संशोधन (विश्वसनीय निष्पादन पर्यावरण को संशोधित करें)

प्लेटफ़ॉर्म: Android
विवरण: उपयुक्त विशेषाधिकारों के साथ, एक हमलावर किसी विश्वसनीय रनटाइम (TEE) या अन्य समान पृथक रनटाइम में दुर्भावनापूर्ण कोड को रखने का प्रयास कर सकता है, जहां कोड का पता लगाने योग्य नहीं है, डिवाइस को रिबूट होने के बाद बचाया जाएगा, और उपयोगकर्ता द्वारा हटाया नहीं जा सकता। टीईई में निष्पादन कोड डिवाइस संचालन को नियंत्रित करने या मिथ्याकरण करने की क्षमता के साथ एक विरोधी प्रदान करेगा।

सुरक्षा युक्तियाँ: डिवाइस को उस समय कोड पर अखंडता जांच करनी चाहिए जो बूट समय पर टीईई में चलती है। सुरक्षित एनक्लेव में चल रहा कोड डिजिटल हस्ताक्षर सत्यापन विफल होने पर iOS बूट नहीं होगा।

ओफ़्फ़ुसेटेड फ़ाइलें या सूचना

प्लेटफ़ॉर्म: Android, iOS
विवरण: एक दुर्भावनापूर्ण एप्लिकेशन डेवलपर लक्ष्य डिवाइस पर एप्लिकेशन निष्पादन के दौरान अपघटित या कोड के एन्क्रिप्शन का उपयोग कर सकता है जो कि अपघटित और डिक्रिप्टेड है।

सुरक्षा सिफारिशें: आवेदन सत्यापन उपकरण अनुप्रयोगों में बाधित या एन्क्रिप्टेड कोड की उपस्थिति के बारे में चेतावनी दे सकते हैं। दुर्भाग्य से, इस तरह के चेक अप्रभावी होते हैं, क्योंकि कई एप्लिकेशन मोडिफिकेशन तकनीकों से बचाव के लिए ऑबफिकेशन और एन्क्रिप्शन का उपयोग करते हैं, जैसे कि एप्लिकेशन को रीपैकेजिंग करना। कुछ मामलों में गतिशील विश्लेषण स्पष्ट पाठ में इसे चलाने के समय का पता लगाकर मोटे या एन्क्रिप्टेड कोड की पहचान कर सकता है। कुछ एप्लिकेशन सत्यापन उपकरण डेवलपर प्रतिष्ठा विश्लेषण का उपयोग करते हैं और वास्तव में कोड का विश्लेषण किए बिना संभावित खतरनाक अनुप्रयोगों की चेतावनी दे सकते हैं।