खतरा खुफिया महाकाव्य गाथा

सूचना सुरक्षा परिपक्वता के एक निश्चित चरण में, कई कंपनियां यह सोचना शुरू करती हैं कि साइबर खतरों के बारे में जानकारी कैसे प्राप्त करें और उनका उपयोग करें जो उनके लिए प्रासंगिक हैं। संगठन के उद्योग की बारीकियों के आधार पर, विभिन्न प्रकार के खतरे ब्याज का कारण बन सकते हैं। इस तरह की जानकारी के उपयोग के दृष्टिकोण का निर्माण लॉकहीड मार्टिन ने सामग्री इंटेलिजेंस ड्रिवेन डिफेंस में किया था ।

सौभाग्य से, सूचना सुरक्षा सेवाओं के पास उन्हें प्राप्त करने के लिए बहुत सारे स्रोत हैं, और यहां तक ​​कि समाधानों की एक अलग श्रेणी - थ्रेट इंटेलिजेंस प्लेटफ़ॉर्म (टीआईपी), जो आपको सुरक्षा साधनों में उनकी प्राप्ति, पीढ़ी और एकीकरण की प्रक्रियाओं का प्रबंधन करने की अनुमति देती है।

सूचना सुरक्षा घटनाओं की निगरानी और प्रतिक्रिया के लिए एक केंद्र के रूप में, हमारे लिए यह अत्यंत महत्वपूर्ण है कि साइबर खतरों के बारे में जानकारी जो हम प्राप्त करते हैं और उत्पन्न करते हैं, प्रासंगिक, लागू और, महत्वपूर्ण, प्रबंधनीय है। आखिरकार, जिन संगठनों ने हमें अपने बुनियादी ढांचे की सुरक्षा का जिम्मा सौंपा है, उनकी सुरक्षा इस पर निर्भर करती है।

हमने जेट सीएसआईआरटी पर टीआई के अपने दृष्टिकोण को साझा करने का फैसला किया और साइबर खतरे की खुफिया जानकारी के प्रबंधन के लिए विभिन्न संभावित उपयोगी दृष्टिकोणों को अपनाने की कोशिश करने के बारे में बात की।

साइबर सुरक्षा के क्षेत्र में set'n'forget के सिद्धांत पर बहुत कम काम करता है। जब तक फ़िल्टर कॉन्फ़िगर नहीं किए जाते, तब तक फ़ायरवॉल पैकेट को ब्लॉक नहीं करेगा, IPS को ट्रैफ़िक में दुर्भावनापूर्ण गतिविधि के संकेत नहीं मिलते हैं, जब तक कि हस्ताक्षर इसे डाउनलोड नहीं किए जाते हैं, और CRM स्वतंत्र रूप से सहसंबंध नियम लिखना शुरू करता है और गलत सकारात्मकता निर्धारित करता है। थ्रेट इंटेलिजेंस कोई अपवाद नहीं है।

एक समाधान को लागू करने की जटिलता जो वास्तव में थ्रेट इंटेलिजेंस अवधारणा को दर्शाती है, इसकी परिभाषा में निहित है।

थ्रेट इंटेलिजेंस एक निश्चित सूचना सुरक्षा समुदाय के साइबर सुरक्षा को बढ़ाने और सूचना सुरक्षा जागरूकता बढ़ाने के लिए वर्तमान साइबर खतरों के बारे में जानकारी प्राप्त करने और संचय करने के लिए सूचना के कुछ स्रोतों के अनुसंधान और विश्लेषण की एक प्रक्रिया है।

कुछ स्रोतों में शामिल हो सकते हैं:

• जानकारी के स्रोत खोलें। Google, यैंडेक्स, बिंग और अधिक विशिष्ट उपकरण जैसे कि शोडान, सेंन्सिस, नैम्प का उपयोग करके पाया जा सकता है। इन स्रोतों के विश्लेषण की प्रक्रिया को ओपन सोर्स इंटेलिजेंस (OSINT) कहा जाता है। यह ध्यान दिया जाना चाहिए कि OSINT के माध्यम से प्राप्त जानकारी खुले (अवर्गीकृत) स्रोतों से आती है। यदि स्रोत का भुगतान किया जाता है, तो यह इसे गुप्त नहीं बना सकता है, जिसका अर्थ है कि ऐसे स्रोत का विश्लेषण भी OSINT है।

• मीडिया। सब कुछ जो मीडिया में और सोशल प्लेटफॉर्म सोशल मीडिया इंटेलिजेंस (SOCMINT) पर पाया जा सकता है। इस प्रकार का डेटा अधिग्रहण अनिवार्य रूप से OSINT का अभिन्न अंग है।

• बंद वेन्यू और फ़ोरम जो आगामी साइबरक्राइम (डीप्वेब, डार्कनेट) के विवरण पर चर्चा करते हैं। ज्यादातर छाया क्षेत्रों में आप DDoS हमलों के बारे में या एक नया मैलवेयर बनाने के बारे में जानकारी प्राप्त कर सकते हैं जो हैकर्स वहां बेचने की कोशिश कर रहे हैं।

• जानकारी तक पहुंच वाले लोग। "सहकर्मी" और जो लोग सोशल इंजीनियरिंग के तरीकों के आगे झुकते हैं वे भी ऐसे स्रोत हैं जो जानकारी साझा कर सकते हैं।
  
  केवल विशेष सेवाओं के लिए अधिक गंभीर तरीके उपलब्ध हैं। इस मामले में, डेटा या तो साइबर क्राइम वातावरण में अंडरकवर काम करने वाले एजेंटों से आ सकता है, या साइबर क्राइम में शामिल लोगों से और जांच में सहयोग कर सकता है। एक शब्द में, यह सब Human Intelligence (HUMINT) कहलाता है। बेशक, हम जेट CSIRT पर HUMINT का अभ्यास नहीं करते हैं।

इन सभी प्रक्रियाओं को एक "बॉक्स" में रखना जो स्वायत्तता से काम करेगा असंभव है। इसलिए, जब टीआई समाधान की बात आती है, तो, सबसे अधिक संभावना है, इसका मुख्य उपभोक्ता मूल्य प्रस्ताव साइबर खतरों के बारे में बहुत जानकारी है और उन्हें कैसे प्रबंधित किया जाए, इसके लिए एक रूप या किसी अन्य में जानकारी सुरक्षा समुदाय को मिलती है ।

साइबर धमकी की जानकारी

2015 में, MWR Infosecurity ने CERT और ग्रेट ब्रिटेन के नेशनल इन्फ्रास्ट्रक्चर प्रोटेक्शन सेंटर के साथ मिलकर एक सूचना विवरणिका प्रकाशित की, जिसमें TI प्रक्रिया से प्राप्त जानकारी की 4 श्रेणियों पर प्रकाश डाला गया। यह वर्गीकरण अब सार्वभौमिक रूप से लागू हो गया है:

• आपरेटिंग। आगामी और चल रहे साइबर हमलों के बारे में जानकारी, एक नियम के रूप में, HUMINT प्रक्रिया के परिणामस्वरूप विशेष सेवाओं द्वारा या हमलावरों के संचार चैनलों के वायरटैपिंग का उपयोग करके।

• रणनीति। किसी संगठन को साइबर हमले का शिकार बनने के लिए जोखिम मूल्यांकन से संबंधित जानकारी। उनके पास कोई तकनीकी जानकारी नहीं है और किसी भी तरह से सुरक्षात्मक उपकरणों पर इस्तेमाल नहीं किया जा सकता है।

• सामरिक। तकनीक, रणनीति, प्रक्रिया (टीटीपी) और उपकरण के बारे में जानकारी जो साइबर अपराधी दुर्भावनापूर्ण अभियान के हिस्से के रूप में उपयोग करते हैं।
  
  
  प्वाइंट में मामला - हाल ही में खोला गया लॉकर गोगा

  • उपकरण : cmd.exe
  • तकनीक : एक क्रिप्टो-लॉकर लॉन्च किया गया है, जो 128-बिट कुंजी लंबाई के साथ ब्लॉक (CTR) एन्क्रिप्शन मोड में AES एल्गोरिथ्म का उपयोग करके पीड़ित के कंप्यूटर (विंडोज कर्नेल फ़ाइलों सहित) पर सभी फ़ाइलों को एन्क्रिप्ट करता है। फ़ाइल कुंजी और आरंभीकरण वेक्टर (IV) RSA-1024 एल्गोरिथ्म का उपयोग करके MGF1 मास्क पीढ़ी फ़ंक्शन (SHA-1) का उपयोग करके एन्क्रिप्ट किया गया है। बदले में, इस फ़ंक्शन की क्रिप्टोग्राफ़िक ताकत बढ़ाने के लिए, OAEP भरने की योजना का उपयोग किया जाता है। फ़ाइल और IV की एन्क्रिप्ट की गई कुंजियाँ तब एन्क्रिप्टेड फ़ाइल के हेडर में ही संग्रहित की जाती हैं।
  • प्रक्रिया : इसके अलावा, मैलवेयर कई समानांतर बाल प्रक्रियाओं को शुरू करता है, प्रत्येक फ़ाइल के प्रत्येक 80,000 बाइट्स को एन्क्रिप्ट करने, एन्क्रिप्शन को गति देने के लिए अगले 80,000 बाइट्स को छोड़ देता है।
  • टैक्टिक्स : इसके बाद फाइलों को डिक्रिप्ट करने की कुंजी के लिए बिटकॉइन में फिरौती की जरूरत होती है।

  
  और पढ़ें यहाँ
  
  
  इस तरह की जानकारी एक दुर्भावनापूर्ण अभियान की गहन जांच के परिणामस्वरूप दिखाई देती है, जिसमें काफी लंबा समय लग सकता है। इन अध्ययनों के परिणाम सिस्को तालोस, फायरई, सिमेंटेक, ग्रुप-आईबी, कैसपर्सकी GREAT, सरकारी संगठनों और नियामकों (FinCERT, NCCCI, US-CERT, FS-ISAC), साथ ही स्वतंत्र शोधकर्ताओं जैसे वाणिज्यिक कंपनियों के समाचार पत्र और रिपोर्ट हैं।
  
  सामरिक जानकारी का उपयोग सुरक्षा उपकरणों पर और नेटवर्क वास्तुकला का निर्माण करते समय किया जा सकता है।

• तकनीकी। दुर्भावनापूर्ण गतिविधि के संकेतों और निबंधों के बारे में जानकारी या उनकी पहचान कैसे करें।

उदाहरण के लिए, मैलवेयर का विश्लेषण करते समय, यह पाया गया कि यह एक .pdf फ़ाइल के रूप में निम्न मापदंडों के साथ फैलता है:

• नाम price_demel.pdf ,
• Pureevil.exe प्रक्रिया शुरू करना,
• 81a284a2b84dde3230ff339415b0112a का MD5 हैश होने,
• जो टीसीपी पोर्ट 1337 पर 123.45.67.89 पर सी एंड सी सर्वर के साथ कनेक्शन स्थापित करने की कोशिश कर रहा है।

इस उदाहरण में, इकाइयाँ फ़ाइल और प्रक्रिया नाम, हैश मान, सर्वर पता और पोर्ट नंबर हैं। संकेत स्वयं और बुनियादी ढांचे के घटकों के बीच इन संस्थाओं की बातचीत हैं: प्रक्रिया शुरू करना, सर्वर के साथ आउटगोइंग नेटवर्क इंटरैक्शन, रजिस्ट्री कुंजी बदलना, आदि।

यह जानकारी इंडीकेटर ऑफ कंप्रोमिस (IoC) की अवधारणा से निकटता से संबंधित है। तकनीकी रूप से, जब तक बुनियादी ढांचे में इकाई नहीं मिलती है, तब भी यह कुछ भी नहीं कहता है। लेकिन, यदि आप कहते हैं, आप नेटवर्क को होस्ट को C & C सर्वर से 123.45.67.89:1337 या Pureevil.exe प्रक्रिया की शुरुआत से कनेक्ट करने के प्रयासों का तथ्य पाते हैं, और यहां तक ​​कि MD5 राशि 81a282a2b84dde3230943315150101a पर भी , तो यह पहले से ही समझौता का एक संकेतक है।

यही है, समझौता का सूचक कुछ संस्थाओं, दुर्भावनापूर्ण गतिविधि के संकेत और प्रासंगिक जानकारी का एक संयोजन है जो सूचना सुरक्षा सेवाओं से प्रतिक्रिया की आवश्यकता है।

उसी समय, सूचना सुरक्षा के क्षेत्र में, यह समझौता करने के संकेतकों को कॉल करने के लिए प्रथा है, जो किसी भी व्यक्ति द्वारा दुर्भावनापूर्ण गतिविधि (आईपी पते, डोमेन नाम, हैश, यूआरएल, फ़ाइल नाम, रजिस्ट्री कुंजी, आदि) पर ध्यान दिया गया था।

एक समझौता सूचक का पता लगाने से केवल संकेत मिलता है कि इस तथ्य पर ध्यान दिया जाना चाहिए और आगे की कार्रवाई निर्धारित करने के लिए विश्लेषण किया जाना चाहिए। सभी परिस्थितियों को स्पष्ट किए बिना SZI पर संकेतक को तुरंत ब्लॉक करने की दृढ़ता से अनुशंसा नहीं की जाती है। लेकिन हम इस बारे में आगे बात करेंगे।

समझौता संकेतक भी आसानी से विभाजित हैं:

• परमाणु। उनमें केवल एक विशेषता है जिसे आगे विभाजित नहीं किया जा सकता है, उदाहरण के लिए:
  
  • C & C सर्वर IP पता - 123.45.67.89
  • हैश राशि 81a284a2b84dde3230ff339415b0112a है
  
  
• समग्र। उनके पास दुर्भावनापूर्ण गतिविधि में देखी गई दो या अधिक संस्थाएँ हैं, उदाहरण के लिए:
  
  • सॉकेट - 123.45.67.89 और 900
  • फ़ाइल का मूल्य__दिल्ली .pdf शुद्ध करेगा । शुद्ध प्रक्रिया 81a284a2b84dde3230ff339415b0112a के हैश के साथ
  
  

जाहिर है, एक समग्र संकेतक का पता लगाने की संभावना प्रणाली के एक समझौते को इंगित करेगी।

तकनीकी जानकारी में समझौते के संकेतकों का पता लगाने और अवरुद्ध करने के लिए विभिन्न इकाइयां भी शामिल हो सकती हैं, उदाहरण के लिए, यारा-नियम, कोलम्बिया के लिए सहसंबंध नियम, हमलों और मैलवेयर का पता लगाने के लिए विभिन्न हस्ताक्षर। इस प्रकार, तकनीकी उपकरणों के लिए तकनीकी जानकारी स्पष्ट रूप से लागू की जा सकती है।

तकनीकी टीआई जानकारी के कुशल उपयोग की समस्याएं

सबसे जल्दी, TI सेवा प्रदाता साइबर खतरों के बारे में बिल्कुल तकनीकी जानकारी प्राप्त कर सकते हैं, और उन्हें कैसे लागू किया जाए यह पूरी तरह से उपभोक्ता के लिए एक प्रश्न है। यह वह जगह है जहाँ ज्यादातर समस्याएं झूठ हैं।

उदाहरण के लिए, आईएस घटना की प्रतिक्रिया के कई चरणों में समझौता के संकेतक लागू किए जा सकते हैं:

• तैयारी के चरण में (तैयारी), SIS पर संकेतक को निश्चित रूप से अवरुद्ध करना (निश्चित रूप से, झूठे-सकारात्मक अपवाद के बाद);
• डिटेक्शन स्टेज पर, मॉनिटरिंग टूल्स (कोलम्बिया, सिम, एलएम) द्वारा वास्तविक समय में संकेतक की पहचान के लिए नियमों के संचालन पर नज़र रखना;
• घटना की जांच के चरण में, पूर्वव्यापी जांच में संकेतक का उपयोग करना;
• प्रभावित परिसंपत्तियों के अधिक गहन विश्लेषण के चरण में, उदाहरण के लिए, दुर्भावनापूर्ण नमूने के स्रोत कोड का विश्लेषण करते समय।

जितना अधिक मैनुअल काम एक चरण या किसी अन्य में शामिल होता है, उतना ही अधिक एनालिटिक्स (प्रासंगिक जानकारी के साथ संकेतक के सार को समृद्ध करना) समझौता के संकेतकों के आपूर्तिकर्ताओं से आवश्यक होगा। इस मामले में, हम बाहरी संदर्भ संबंधी जानकारी के बारे में बात कर रहे हैं, अर्थात्, इस संकेतक के बारे में दूसरों को पहले से ही क्या पता है।

आमतौर पर, समझौता के संकेतक तथाकथित खतरे फ़ीड या फ़ीड के रूप में वितरित किए जाते हैं। यह विभिन्न स्वरूपों में डेटा की ऐसी संरचित सूची है।

उदाहरण के लिए, json प्रारूप में एक दुर्भावनापूर्ण हैश फ़ीड है:



यह एक अच्छा संदर्भ-समृद्ध फ़ीड का एक उदाहरण है:

• खतरे के विश्लेषण के लिए एक लिंक शामिल है;
• नाम, प्रकार और खतरे की श्रेणी;
• प्रकाशन टाइमस्टैम्प।

यह सब आपको सूचना सुरक्षा और निगरानी उपकरणों पर अपलोड करते समय इस फ़ीड से समझौता करने के संकेतकों को प्रबंधित करने की अनुमति देता है, और उन घटनाओं का विश्लेषण करने का समय भी कम कर देता है जो उन पर काम कर चुके हैं।

लेकिन अन्य गुणवत्ता वाले फ़ीड (आमतौर पर खुले स्रोत) हैं। उदाहरण के लिए, निम्नलिखित एक खुले स्रोत से कथित सी और सी सर्वर के पते का एक उदाहरण है:



जैसा कि आप देख सकते हैं, प्रासंगिक जानकारी यहां पूरी तरह से अनुपस्थित है। इन आईपी पते में से कोई भी एक वैध सेवा की मेजबानी कर सकता है, जिनमें से कुछ यांडेक्स या Google क्रॉलर हो सकते हैं जो सूचकांक साइटें हैं। हम इस सूची के बारे में कुछ नहीं कह सकते।

खतरे फ़ीड में संदर्भ की अनुपस्थिति या अपर्याप्तता तकनीकी जानकारी के उपभोक्ताओं के लिए मुख्य समस्याओं में से एक है। संदर्भ के बिना, फ़ीड से निकाय लागू नहीं है और वास्तव में, समझौता का कोई संकेतक नहीं है। दूसरे शब्दों में, SZI पर किसी भी आईपी पते को अवरुद्ध करने के साथ-साथ इस फ़ीड को मॉनिटरिंग टूल पर अपलोड करने से बड़ी संख्या में झूठी सकारात्मक (झूठी सकारात्मक - FP) होने की संभावना है।

यदि हम निगरानी उपकरणों पर पता लगाने के दृष्टिकोण से समझौता के संकेतकों के उपयोग पर विचार करते हैं, तो इस प्रक्रिया को सरल बनाना एक अनुक्रम है:

• निगरानी उपकरण में सूचक एकीकरण;
• सूचक का पता लगाने के नियम को ट्रिगर करना;
• सेवा प्रतिक्रिया विश्लेषण है।

इस क्रम में एक मानव संसाधन की उपस्थिति के कारण, हम केवल संकेतकों की पहचान करने के उन मामलों का विश्लेषण करने में रुचि रखते हैं जो वास्तव में संगठन के लिए खतरा बताते हैं और एफपी की संख्या को कम करते हैं।

मूल रूप से, झूठे सकारात्मक को संभावित संसाधनों के रूप में लोकप्रिय संसाधनों (Google, Microsoft, Yandex, Adobe, आदि) के सार का पता लगाने से चालू किया जाता है।

एक सरल उदाहरण: यह मैलवेयर की जांच करता है जो मेजबान तक पहुंच गया है। यह पता चला है कि यह इंटरनेट अपडेट के लिए जाँच करता है। Update.googleapis.com एसेट को फीड और कॉल्स ऑफ एफपी के संकेतक के रूप में खतरे की सूची में सूचीबद्ध किया गया है। इसी तरह, एक वैध पुस्तकालय या मैलवेयर, सार्वजनिक डीएनएस पते, विभिन्न क्रॉलर्स और मकड़ियों के पते, रिवाइज्ड सीआरएल सर्टिफिकेट (सर्टिफिकेट रिवोकेशन लिस्ट) और URL संक्षिप्तीकरण (बिट.ली, गू) की जाँच के लिए उपयोग की गई राशि का फीड में प्राप्त कर सकते हैं। gl, आदि)।

इस तरह की प्रतिक्रिया का परीक्षण करना, बाहरी संदर्भ में समृद्ध नहीं है, विश्लेषक के लिए काफी बड़ी मात्रा में समय ले सकता है, जिसके दौरान एक वास्तविक घटना याद आ सकती है।

वैसे, ऐसे संकेतक फ़ीड हैं जो एफपी को ट्रिगर कर सकते हैं। ऐसा ही एक उदाहरण है misp-चेतावनी सूची संसाधन ।

समझौता के संकेतकों का प्राथमिकताकरण

एक अन्य समस्या प्रतिक्रियाओं की प्राथमिकता है। सापेक्ष रूप से बोलते हुए, समझौता के एक विशेष संकेतक का पता लगाने पर हमें किस प्रकार का एसएलए होगा। वास्तव में, खतरा फ़ीड प्रदाता उन संस्थाओं को प्राथमिकता नहीं देते हैं जो उनके पास हैं। उपभोक्ताओं की मदद करने के लिए, वे एक इकाई की हानिकारकता में विश्वास की एक डिग्री जोड़ सकते हैं, जैसा कि कास्पर्सकी से फीड में किया जाता है:



हालांकि, संकेतकों की पहचान करने की घटनाओं को प्राथमिकता देना उपभोक्ता का काम है।

जेट CSIRT में इस मुद्दे को हल करने के लिए, हमने COUNTERMEASURE 2016 में Ryan Kazanciyan द्वारा उल्लिखित दृष्टिकोण को अनुकूलित किया। इसका सार यह है कि बुनियादी ढांचे में पाया जा सकने वाले सभी संकेतकों को सिस्टम डोमेन और डेटा डोमेन से संबंधित दृष्टिकोण से माना जाता है ।

डेटा डोमेन 3 श्रेणियों में हैं:

• स्रोत पर वास्तविक समय की गतिविधि (यह वर्तमान में मेमोरी में क्या स्टोर करती है, वास्तविक समय में सूचना सुरक्षा घटनाओं के विश्लेषण के माध्यम से पता लगाया गया है):
  
  • प्रक्रिया शुरू करना, रजिस्ट्री कुंजी बदलना, फाइलें बनाना;
  • नेटवर्क गतिविधि, सक्रिय कनेक्शन;
  • अन्य घटनाओं बस उत्पन्न।
  
  यदि इस श्रेणी के एक संकेतक का पता चला है, तो आईएस सेवाओं से प्रतिक्रिया का समय न्यूनतम है ।
  
• ऐतिहासिक गतिविधि (पहले से ही क्या हुआ है; पूर्वव्यापी जाँच के दौरान पता चला):
  
  • ऐतिहासिक लॉग;
  • टेलीमेटरी;
  • ट्रिगर अलर्ट।
  
  यदि इस श्रेणी के एक संकेतक का पता चला है, तो आईएस सेवाओं से प्रतिक्रिया के लिए समय अनुमेय रूप से सीमित है ।
  
• आराम पर डेटा (हम निगरानी से स्रोत को जोड़ने से पहले ही क्या कर रहे थे; यह लंबी-अप्रत्यक्ष स्थितियों के पूर्वव्यापी जांच के हिस्से के रूप में सामने आया है):
  
  • फ़ाइलें जो लंबे समय से स्रोत पर संग्रहीत हैं;
  • रजिस्ट्री कुंजी;
  • अन्य अप्रयुक्त वस्तुएं।
  
  यदि इस श्रेणी के एक संकेतक का पता चला है, तो आईएस सेवाओं से प्रतिक्रिया के लिए घटना की पूरी जांच की अवधि तक सीमित है ।
  

आमतौर पर, विस्तृत रिपोर्ट और समाचार पत्र हमलावरों के कार्यों के टूटने के साथ इस तरह की जांच के आधार पर संकलित किए जाते हैं, लेकिन ऐसे डेटा की प्रासंगिकता अपेक्षाकृत कम है।

यही है , डेटा डोमेन विश्लेषण किए गए डेटा की स्थिति है जिसमें एक समझौता सूचक का पता चला था।

सिस्टम डोमेन इन्फ्रास्ट्रक्चर सबसिस्टम में से एक के लिए समझौता सूचक के स्रोत की संबद्धता हैं:

• वर्कस्टेशन। रोज़मर्रा के काम करने के लिए उपयोगकर्ता द्वारा सीधे उपयोग किए जाने वाले स्रोत: वर्कस्टेशन, लैपटॉप, टैबलेट, स्मार्टफोन, टर्मिनल (वीओआईपी, वीकेएस, आईएम), एप्लिकेशन प्रोग्राम (सीआरएम, ईआरपी, आदि)।
• सर्वर। यह बुनियादी ढांचे की सेवा करने वाले अन्य उपकरणों को संदर्भित करता है, अर्थात। आईटी कॉम्प्लेक्स के संचालन के लिए डिवाइस: SZI (एफडब्ल्यू, आईडीएस / आईपीएस, एवी, ईडीआर, डीएलपी), नेटवर्क डिवाइस, फाइल / वेब / प्रॉक्सी सर्वर, स्टोरेज सिस्टम, एसीएस, पर्यावरण नियंत्रण। पर्यावरण आदि

समझौता सूचक (परमाणु, मिश्रित) के संकेतों की संरचना के साथ इस जानकारी को मिलाकर, स्वीकार्य प्रतिक्रिया समय के आधार पर, आप इस घटना का पता चलने पर प्राथमिकता को तैयार कर सकते हैं:

1. यथाशीघ्र। एक संकेतक का पता लगाने के लिए प्रतिक्रिया टीम से तत्काल प्रतिक्रिया की आवश्यकता होती है।
2. सीमित। संकेतक की जांच से घटना की परिस्थितियों को स्पष्ट करने और आगे की कार्रवाई तय करने के लिए अतिरिक्त विश्लेषण की आवश्यकता होती है।
3. असीमित। संकेतक की जांच के लिए हमलावरों की गतिविधियों पर गहन जांच और रिपोर्ट तैयार करने की आवश्यकता होती है। आमतौर पर, इस तरह के निष्कर्षों की जांच फोरेंसिक के ढांचे में की जाती है, जो वर्षों तक चल सकती है।

जहां:

• आरसी - वास्तविक समय समग्र सूचक का पता लगाने;
• आरए - वास्तविक समय में एक परमाणु संकेतक का पता लगाना;
• एचसी - पूर्वव्यापी सत्यापन के हिस्से के रूप में एक समग्र संकेतक का पता लगाना;
• हा - पूर्वव्यापी सत्यापन के हिस्से के रूप में एक परमाणु संकेतक का पता लगाना;
• डीसी - लंबे अप्रयुक्त स्रोतों में एक समग्र संकेतक का पता लगाना;
• डीए - लंबे अप्रयुक्त स्रोतों में एक परमाणु संकेतक का पता लगाना।

मुझे कहना होगा कि प्राथमिकता किसी संकेतक का पता लगाने के महत्व से नहीं हटती है, बल्कि अनुमानित समय को दर्शाती है कि हमें बुनियादी ढांचे के संभावित समझौते को रोकना होगा।

यह भी ध्यान देना उचित है कि इस तरह के दृष्टिकोण का उपयोग बुनियादी ढांचे के अलगाव से नहीं किया जा सकता है, हम इस पर लौट आएंगे।

समझौता संकेतकों के जीवन की निगरानी करना

कुछ दुर्भावनापूर्ण संस्थाएं हैं जो हमेशा के लिए समझौता करने का संकेतक छोड़ देती हैं। इस तरह की जानकारी को हटाने के लिए, लंबी अवधि के बाद भी, अनुशंसित नहीं है। यह अक्सर पूर्वव्यापी ऑडिट (NA / HA) और लंबे अप्रयुक्त स्रोतों (DC / DA) के लिए जाँच करते समय प्रासंगिक हो जाता है।

कुछ निगरानी केंद्र और समझौता के संकेतक के आपूर्तिकर्ता सामान्य रूप से सभी संकेतकों के लिए जीवन समय को नियंत्रित करना अनावश्यक मानते हैं। हालांकि, व्यवहार में यह दृष्टिकोण अप्रभावी हो जाता है।



वास्तव में, इस तरह के संकेतकों के रूप में, उदाहरण के लिए, दुर्भावनापूर्ण फ़ाइलों की हैश, मैलवेयर द्वारा बनाई गई रजिस्ट्री कुंजी, और URL जिनके माध्यम से एक नोड संक्रमित है, कभी भी वैध संस्थाएं नहीं बन जाएंगे, अर्थात्। उनकी वैधता सीमित नहीं है।

बिंदु में मामला: C & C सर्वर के साथ डेटा का आदान-प्रदान करने के लिए एक एनएपीसुलेटेड SOAP प्रोटोकॉल के साथ RAT Vermin फ़ाइल के योग का SHA-256 विश्लेषण । विश्लेषण से पता चलता है कि फ़ाइल 2015 में बनाई गई थी। हाल ही में, हमने इसे अपने ग्राहक के फ़ाइल सर्वर पर पाया।



हालांकि, एक पूरी तरह से अलग तस्वीर उन संस्थाओं के प्रकार के साथ होगी जिन्हें दुर्भावनापूर्ण अभियान के लिए थोड़ी देर के लिए बनाया गया था या "उधार" लिया गया था। यही है, वास्तव में, वे घुसपैठियों के नियंत्रण में एंडपॉइंट हैं।

इस तरह की इकाइयाँ फिर से वैध हो सकती हैं जब उनके मालिक समझौता किए गए नोड्स को साफ़ कर देते हैं, या जब हमलावर अगले बुनियादी ढांचे का उपयोग करना बंद कर देते हैं।

इन कारकों को ध्यान में रखते हुए, डेटा डोमेन के संदर्भ में, उनकी प्रासंगिकता की अवधि और उनके जीवन चक्र को नियंत्रित करने की आवश्यकता के साथ समझौते के संकेतकों की एक अनुमानित तालिका बनाना संभव है:



इस तालिका का उद्देश्य तीन सवालों के जवाब देना है:

1. क्या यह संकेतक समय के साथ वैध हो सकता है?
2. विश्लेषण किए गए डेटा की स्थिति के आधार पर एक संकेतक की प्रासंगिकता की न्यूनतम अवधि क्या है?
3. क्या इस सूचक के जीवनकाल को नियंत्रित करना आवश्यक है?

IP C & C सर्वर के उदाहरण का उपयोग करके इस दृष्टिकोण पर विचार करें। आज, हमलावर किसी वितरित अवसंरचना को बढ़ाने के लिए पसंद करते हैं, अक्सर पता नहीं बदलते हैं ताकि प्रदाता को पता चल सके और प्रदाता से संभावित रुकावटों से बचा जा सके। उसी समय, सी एंड सी को अक्सर हैक किए गए नोड्स पर तैनात किया जाता है, उदाहरण के लिए, इमोटेट के मामले में । हालांकि, बोटनेट्स को समाप्त किया जा रहा है, खलनायक पकड़े जा रहे हैं, इसलिए सी एंड सी सर्वर के आईपी पते के रूप में इस तरह के एक संकेतक निश्चित रूप से एक वैध इकाई बन सकता है, जिसका अर्थ है कि इसके जीवन काल को नियंत्रित किया जा सकता है।

यदि हम वास्तविक समय (आरए / आरसी) में आईपी सी एंड सी सर्वर पर कॉल पाते हैं, तो हमारे लिए इसकी प्रासंगिकता की अवधि की गणना दिनों में की जाएगी। आखिरकार, यह संभावना नहीं है कि इस पते की खोज के अगले दिन अब सी एंड सी की मेजबानी नहीं होगी।

पूर्वव्यापी जांच (एचए / एचसी) में इस तरह के एक संकेतक का पता लगाना, जिसमें आमतौर पर लंबे अंतराल (एक बार हर कुछ सप्ताह / महीने) होते हैं, यह संबंधित अंतराल के बराबर प्रासंगिकता की न्यूनतम अवधि का भी संकेत देगा। उसी समय, C & C स्वयं सक्रिय नहीं रह सकता है, लेकिन यदि हम अपने बुनियादी ढांचे में संचलन का एक तथ्य पाते हैं, तो संकेतक हमारे लिए प्रासंगिक होगा।

एक ही तर्क अन्य प्रकार के संकेतकों पर लागू होता है। अपवाद हैश राशियाँ, रजिस्ट्री कुंजियाँ, निर्देशिका प्राधिकरण (DA) टोर नेटवर्क नोड्स और URL।

हैश और रजिस्ट्री मूल्यों के साथ, सब कुछ सरल है - उन्हें प्रकृति से हटाया नहीं जा सकता है, इसलिए यह उनके जीवन काल को नियंत्रित करने के लिए कोई मतलब नहीं है। लेकिन दुर्भावनापूर्ण URL निकाले जा सकते हैं, बेशक वे वैध नहीं होंगे, लेकिन वे निष्क्रिय होंगे। हालाँकि, वे अद्वितीय भी हैं और विशेष रूप से दुर्भावनापूर्ण अभियान के लिए बनाए गए हैं, इसलिए वे वैध नहीं बन सकते हैं।

टोर नेटवर्क के डीए नोड्स के आईपी पते अच्छी तरह से ज्ञात और अपरिवर्तित हैं, उनका जीवनकाल केवल टोर नेटवर्क के जीवनकाल तक ही सीमित है, इसलिए ऐसे संकेतक हमेशा प्रासंगिक होते हैं।

जैसा कि आप देख सकते हैं, तालिका से अधिकांश प्रकार के संकेतकों के लिए, उनके जीवनकाल का नियंत्रण आवश्यक है।

हम जेट सीएसआईआरटी में निम्नलिखित कारणों से इस दृष्टिकोण की वकालत करते हैं।

1. , - , - , , , .
   
   , Microsoft 99 , APT35. - Microsoft .
   
   IP- , -. , IP- «», , .
2. , .
   
   , , , .
3. .
   
   , . 1 MS Office, -, . , , , .

यही कारण है कि हम अब महत्वपूर्ण है कि प्रक्रियाओं को अनुकूलित करने का प्रयास करें और उन संकेतकों के जीवनकाल को नियंत्रित करने के लिए दृष्टिकोण विकसित करें जो सुरक्षा के साधनों में एकीकृत हैं।

इस तरह के एक दृष्टिकोण का वर्णन लक्समबर्ग कंप्यूटर इमरजेंसी रिस्पांस सेंटर (CIRCL) के समझौता सूचक में किया गया है , जिसके कर्मचारियों ने MISP खतरों के बारे में जानकारी के आदान-प्रदान के लिए एक मंच बनाया । यह MISP में है कि इस सामग्री से विचारों को लागू करने की योजना है। ऐसा करने के लिए, मूल रूप से प्रोजेक्ट रिपॉजिटरी ने पहले ही उपयुक्त शाखा खोली है , जो एक बार फिर सूचना सुरक्षा समुदाय के लिए इस समस्या की प्रासंगिकता को साबित करती है।

यह दृष्टिकोण मानता है कि कुछ संकेतकों का जीवनकाल सजातीय नहीं है और निम्नानुसार बदल सकता है:

• साइबर हमलों में हमलावर अपने बुनियादी ढांचे का उपयोग करना बंद कर देते हैं;
• वह अधिक से अधिक सूचना सुरक्षा विशेषज्ञों पर साइबर हमले के बारे में सीखता है और SZI पर ब्लॉक में संकेतक लगाता है, हमलावरों को इस्तेमाल किए गए तत्वों को बदलने के लिए मजबूर करता है।

इस प्रकार, ऐसे संकेतकों के जीवनकाल को एक निश्चित फ़ंक्शन के रूप में वर्णित किया जा सकता है, जो समय-समय पर प्रत्येक संकेतक की समाप्ति तिथि से बाहर निकलने की दर को दर्शाते हैं।

CIRCL के सहयोगी MISP में उपयोग की जाने वाली शर्तों का उपयोग करके अपने मॉडल का निर्माण करते हैं, हालांकि, मॉडल के सामान्य विचार का उपयोग उनके उत्पाद के बाहर किया जा सकता है:

• समझौता का सूचक (ए) एक निश्चित बुनियादी मूल्यांकन सौंपा गया है ( $$), जो 0 से 100 तक होता है;$base\_score_{a}$

CIRCL सामग्री में, इसे संकेतक प्रदाता और संबंधित टैक्सोनॉमी में विश्वसनीयता / विश्वास द्वारा ध्यान में रखा जाता है। उसी समय, संकेतक के बार-बार पता लगाने पर, प्रदाता के एल्गोरिदम के आधार पर मूल मूल्यांकन बदल सकता है - बढ़ सकता है या घट सकता है।

• समय दर्ज किया गया है $$, जिस पर उसका कुल स्कोर = 0 होना चाहिए;$\tau_{a}$
• सूचक समाप्ति दर निकास दर (decay_rate) की अवधारणा पेश की गई है। $$, जो समय के साथ समग्र संकेतक स्कोर की गिरावट की दर को दर्शाता है;$\delta_{a}$
• टाइमस्टैम्प में प्रवेश किया $$और$T_{t}$$$ , क्रमशः, क्रमशः, वर्तमान समय और समय जब संकेतक अंतिम बार देखा गया था।$T_{t-1}$

उपरोक्त सभी स्थितियों को देखते हुए, CIRCL के सहयोगी समग्र स्कोर (1) की गणना के लिए निम्नलिखित सूत्र देते हैं:

$$

$$score_{a} = base\_score_{a}\cdot\left(1 -\left(\frac{t}{\tau_{a}}\right)^{\frac{1}{\delta_{a}}}\right),\ \ \ (1)$$

जहां,
$$पैरामीटर$t= T_{t}-T_{t-1}>0$
$$प्रस्तावित माना जाता है$\tau_{a}$$$ ,कहाँ$(t_{n}- t_{0})+\Delta_{max}$


$$- सूचक के पहले पता लगाने का समय;$t_{0}$
$$- संकेतक के अंतिम पता लगाने का समय;$t_{n}$
$$- दो detections सूचक के बीच अधिक से अधिक समय।विचार यह है कि जब स्कोर = 0 है, तो संबंधित संकेतक को वापस लिया जा सकता है।हमारे डेटा के अनुसार, कुछ खतरे फ़ीड प्रदाता एक निवारक स्तर पर उपयोग की जाने वाली प्रासंगिकता और फ़िल्टर समझौता संकेतकों को नियंत्रित करने के लिए अन्य तरीकों को लागू करते हैं। हालाँकि, इनमें से अधिकांश तकनीकें काफी सरल हैं।हमने संकेतक चरण के लिए CIRCL सामग्री से एल्गोरिथ्म को लागू करने का प्रयास किया, जिसका पता लगाने के चरण में पता लगाया गया और प्रतिक्रिया प्रक्रिया और घटना के बाद की गतिविधि के दौरान SIS पर अवरुद्ध नियमों के रूप में लागू किया गया।जाहिर है, इस दृष्टिकोण को स्पष्ट रूप से केवल उन प्रकार के संकेतकों पर लागू किया जा सकता है जिनके लिए यह जाना जाता है$\Delta_{max}$







$$। CIRCL सामग्री तथाकथित अनुग्रह समय का एक उदाहरण देती है - सुधार के लिए एक निश्चित समय, जो प्रदाता संसाधन के मालिक को देता है, संदिग्ध गतिविधि में देखा गया, संसाधन को डिस्कनेक्ट करने से पहले। लेकिन अधिकांश प्रकार के संकेतकों के लिए$\tau_{a}$$$ अभी तक अज्ञात है।दुर्भाग्य से, हम उस समय का सटीक अनुमान नहीं लगा सकते हैं जब कोई विशेष इकाई वैध हो जाएगी। हालांकि, हम लगभग हमेशा (संकेतक के आपूर्तिकर्ता से या खुले स्रोतों के विश्लेषण से) इस बारे में जानकारी रखते हैं कि इस इकाई को पहली और आखिरी बार कब खोजा गया था, साथ ही साथ किसी तरह का बुनियादी मूल्यांकन भी। इस प्रकार, यह पता लगाने के लिए कि CIRCL सामग्री के अनुसार संकेतक को लिखना कब संभव होगा, केवल एक चर हमें अलग करता है - decay_rate। हालाँकि, यह सभी संकेतकों के लिए इसे निरंतर बनाने के लिए पर्याप्त नहीं है, और इससे भी महत्वपूर्ण बात, सभी बुनियादी सुविधाओं के लिए।$\tau_{a}$



इसलिए, हमने प्रत्येक प्रकार के संकेतक को टाई करने की कोशिश की, जिसके लिए जीवन चक्र की निगरानी संभव है, इसकी समाप्ति दर (decay_rate) के लिए, बुनियादी ढांचे का प्रकार और सूचना सुरक्षा परिपक्वता का स्तर।

विशिष्ट संरक्षित बुनियादी ढांचे की एक सूची लेकर, सॉफ्टवेयर और उपकरणों की आयु का पता लगाना जो इसका उपयोग करता है, हम प्रत्येक प्रकार के समझौता सूचक के लिए decay_rate निर्धारित करते हैं। इस तरह के काम का एक अनुमानित परिणाम तालिका के रूप में प्रस्तुत किया जा सकता है:



मैं एक बार फिर जोर देता हूं कि तालिका में परिणाम अनुमानित है, वास्तव में, मूल्यांकन एक विशिष्ट बुनियादी ढांचे के लिए व्यक्तिगत रूप से किया जाना चाहिए।

प्रत्येक संकेतक की समाप्ति तिथियों के आगमन के साथ, हम अनुमानित समय निर्धारित कर सकते हैं जब उन्हें लिखा जा सकता है। यह भी ध्यान देने योग्य है कि राइट-ऑफ समय की गणना केवल तभी की जानी चाहिए जब बेस इंडिकेटर स्कोर में कमी की प्रवृत्ति हो।

उदाहरण के लिए, 80 के आधार रेटिंग के साथ एक संकेतक पर विचार करें, समय$$ = 120 और विभिन्न decay_rate ($\tau_{a}$$$ )। जैसा कि ग्राफ़ से देखा जा सकता है, मूल्यांकन की अनुमानित महत्वपूर्ण सीमा का निर्धारण (हमारे मामले में - 20, 80 के प्रारंभिक मूल्यांकन के साथ), हम प्रासंगिकता के लिए इस सूचक की जांच के लिए समय निर्धारित कर सकते हैं। जितना अधिक क्षय हो रहा है, उतनी ही तेजी से इस समय आता है। उदाहरण के लिए, decay_rate = 3 और एक मूल्यांकन सीमा = 20 के साथ, कोई SZI में अपने संचालन के लगभग 50 दिनों के लिए इस सूचक की जांच कर सकता है।$\delta_{a}$





वर्णित दृष्टिकोण को लागू करना काफी कठिन है, लेकिन इसका आकर्षण यह है कि हम सूचना सुरक्षा की स्थापित प्रक्रियाओं और ग्राहकों के बुनियादी ढांचे को प्रभावित किए बिना परीक्षण कर सकते हैं। अब हम संकेतकों के एक निश्चित नमूने के जीवनकाल की निगरानी के लिए एल्गोरिथ्म चला रहे हैं, जो काल्पनिक रूप से डिमोशनिंग के तहत गिर सकता है। हालांकि, वास्तव में, ये संकेतक SZI के संचालन में बने हुए हैं। सापेक्ष रूप से, हम संकेतकों का एक नमूना लेते हैं, हम उनके लिए विचार करते हैं$$ और, आधार अनुमान में कमी की प्रवृत्ति पर ध्यान देने के बाद, अगर चेक उनके अप्रासंगिक होने की पुष्टि करता है, तो उन्हें "लिखित" के रूप में चिह्नित करें।इस दृष्टिकोण की प्रभावशीलता के बारे में बात करना जल्दबाजी होगी, लेकिन परीक्षण के परिणाम हमें यह निर्धारित करने में मदद करेंगे कि क्या यह "उत्पादन में" अनुवाद करने लायक है।ऐसी तकनीक संभावित रूप से न केवल उन संकेतकों को नियंत्रित करने में मदद कर सकती है जो घटना की प्रतिक्रिया के कारण एसआईएस पर संचालित होते हैं। साइबरहार्ट सूचना प्रदाताओं द्वारा इस दृष्टिकोण का सफल अनुकूलन उन्हें खतरे के फीड प्रोफाइल की अनुमति देगा ताकि वे विशिष्ट ग्राहकों और अवसंरचना के लिए एक निश्चित जीवनकाल के साथ समझौता करने के संकेतक हों।$\tau_{a}$

निष्कर्ष

ट्रीट इंटेलिजेंस, निश्चित रूप से, एक आवश्यक और उपयोगी सूचना सुरक्षा अवधारणा है जो कंपनी के बुनियादी ढांचे की सुरक्षा को काफी बढ़ा सकती है। टीआई के प्रभावी उपयोग को प्राप्त करने के लिए, आपको यह समझने की आवश्यकता है कि हम इस प्रक्रिया के माध्यम से प्राप्त विभिन्न जानकारी का उपयोग कैसे कर सकते हैं।

थ्रेट इंटेलिजेंस की तकनीकी जानकारी के बारे में बोलते हुए, जैसे कि खतरा फ़ीड्स और समझौता के संकेतक, हमें यह याद रखना चाहिए कि उनके उपयोग की विधि अंधे ब्लैकलिस्टिंग पर आधारित नहीं होनी चाहिए। उपस्थिति में, खतरे का पता लगाने और बाद में अवरुद्ध करने के लिए सरल एल्गोरिदम में वास्तव में कई "नुकसान" होते हैं, इसलिए, तकनीकी जानकारी के प्रभावी उपयोग के लिए, उनकी गुणवत्ता का सही मूल्यांकन करना, जासूसों की प्राथमिकता निर्धारित करना और साथ ही एसपीआई पर भार को कम करने के लिए अपने जीवन समय को नियंत्रित करना आवश्यक है।

हालाँकि, थ्रेट इंटेलिजेंस के तकनीकी ज्ञान पर पूरी तरह से निर्भर हैं। रक्षा प्रक्रियाओं में सामरिक जानकारी को अनुकूलित करने के लिए यह अधिक महत्वपूर्ण है। आखिरकार, हमलावरों के लिए रणनीति, तकनीक और उपकरण बदलना बहुत मुश्किल है, बजाय इसके कि हम समझौता के संकेतकों के एक और हिस्से का पीछा करें, जो एक हैकर हमले के बाद खोजा गया था। लेकिन हम अपने अगले लेखों में इस बारे में बात करेंगे।

लेखक: अलेक्जेंडर अख्मैचिक, जेट इन्फोसिस्टम्स जेट इंफ्रास्ट्रक्चर जेट मॉनिटरिंग एंड रिस्पॉन्स सेंटर, जेट सीएसआईआरटी के विशेषज्ञ