कंपनी के आंतरिक नेटवर्क में प्रवेश करने के 17 तरीके

सुरक्षा। शब्द का अर्थ किसी व्यक्ति / संगठन की किसी चीज़ / किसी से सुरक्षा है। साइबर सुरक्षा के युग में , हम इस बारे में अधिक नहीं सोच रहे हैं कि शारीरिक रूप से खुद को कैसे बचाया जाए, बल्कि बाहरी खतरों ( साइबर खतरों ) से खुद को कैसे बचाया जाए।

आज हम इस बारे में बात करेंगे कि आप एक आधुनिक कॉरपोरेट नेटवर्क में कैसे प्रवेश कर सकते हैं, जो कि परिधि पर संरक्षित है, यहां तक ​​कि बहुत अच्छे, नेटवर्क सुरक्षा के साधन और सबसे महत्वपूर्ण बात, हम इस बारे में बात करेंगे कि इससे कैसे निपटें।



आइए एक आधुनिक नेटवर्क को देखें जो सुरक्षा के क्षेत्र में नवीनतम तकनीक का उपयोग करता है।



आपके पास एक परिधि संरक्षित है, विभिन्न फायरवॉल, अगली पीढ़ी के फायरवॉल और कई अन्य परिधि सुरक्षा उपकरण हैं।

आपके कॉर्पोरेट नेटवर्क को भेदने के लिए क्या विकल्प हैं और किन मामलों में आपकी अगली पीढ़ी का फ़ायरवॉल आपकी मदद नहीं करेगा?

एक पल के लिए सोचो। इस प्रश्न का उत्तर देने का प्रयास करें, लेकिन मैं कुछ उदाहरण देना चाहूंगा जो यह प्रदर्शित कर सकते हैं कि कोई भी बात कितनी भी शक्तिशाली, शांत, व्यापक रूप से विज्ञापित क्यों न हो, जो कि सबसे अच्छे वर्ग, मंडलियों, गार्टनर, वन वक्रों और इसी तरह से आते हैं, वैसे उत्पाद, जिनका आपने उपयोग नहीं किया था, वैसे भी आपके कॉर्पोरेट या विभागीय नेटवर्क पर हमलावरों द्वारा हमला करने की संभावना है, और इसलिए आपको परिधि की रक्षा की तुलना में थोड़ा व्यापक दिखने की आवश्यकता है।

इसलिए, सिस्को के सामने आने वाले उदाहरणों में से एक यह है कि जानकारी चोरी करने के लिए DNS प्रोटोकॉल का उपयोग किया जाता है।



आमतौर पर, साइबर अपराधी कुछ नए मॉड्यूल लोड करने के लिए DNS प्रोटोकॉल का उपयोग करते हैं या कुछ "कमांड सर्वर" वाले संक्रमित कंप्यूटर पर कॉर्पोरेट / विभागीय नेटवर्क के अंदर पहले से स्थापित मॉड्यूल के बीच बातचीत के रूप में DNS का उपयोग करते हैं। इस स्थिति में, DNS प्रोटोकॉल का उपयोग डोमेन नाम में जानकारी लीक करने के लिए किया गया था। आंकड़ों के अनुसार, अधिकांश डोमेन, तीसरे स्तर के डोमेन नामों में 25-30 से अधिक वर्ण नहीं होते हैं, हालांकि, हम देखते हैं कि सही ग्राफ़ पर, हमारे डोमेन की लंबाई 200-230 वर्ण हैं।

एक व्यक्ति इस तरह के डोमेन के साथ आने में सक्षम नहीं है। वह उसे याद भी नहीं कर पा रहा है। अपने शुद्ध रूप में, यह एक प्रकार का "विसंगति" है जो हमें बता सकता है कि या तो डोमेन का उपयोग कुछ विपणन उद्देश्यों के लिए किया जाता है, लेकिन आमतौर पर ये लंबे समय तक विपणन उद्देश्यों के लिए भी उपयोग नहीं किए जाते हैं, या ये हमलावरों के कार्य हैं। और इस मामले में, इस दुर्भावनापूर्ण डोमेन की सेवा करने वाले DNS सर्वरों में से एक का उपयोग यह सुनिश्चित करने के लिए किया गया था कि पर्याप्त लंबे पाठ स्ट्रिंग ( 231 वर्ण) वाले डोमेन नाम डिक्रिप्ट किए गए थे और उनमें क्रेडिट कार्ड नंबर चोरी हो गए थे। जैसा कि हम समझते हैं, यह देखते हुए कि DNS आधुनिक इंटरनेट, कॉर्पोरेट या विभागीय नेटवर्क के लिए वास्तविक मानक है, हम DNS को ब्लॉक नहीं कर सकते हैं और यहां तक ​​कि फ़ायरवॉल पर DNS का निरीक्षण करने से हमें हमेशा मदद नहीं मिलती है, क्योंकि इस मामले में, हमलावर एक गैर-मानक का उपयोग करते हैं परिधि सुरक्षा को दरकिनार करने के लिए दृष्टिकोण।



एक और उदाहरण

यह सिस्को वायरलेस नेटवर्क मॉनिटरिंग सिस्टम से एक उदाहरण है। आप कानूनी रूप से स्थापित एक्सेस पॉइंट्स ( ग्रीन सर्कल ) के स्थानों के निर्माण के नक्शे पर देखते हैं, लेकिन, ध्यान दें, यहाँ हम देखते हैं कि अनधिकृत वायरलेस एक्सेस पॉइंट ( लाल वृत्त ), साथ ही वायरलेस, अनधिकृत विदेशी ग्राहक हैं जो कॉर्पोरेट वायरलेस नेटवर्क से कनेक्ट होने का प्रयास कर रहे हैं। ( ग्रे आयतें )। यह स्पष्ट है कि यह कनेक्शन विधि परिधि को भी बाईपास करती है, कॉरपोरेट फायरवॉल के माध्यम से भी नहीं जाती है, और यदि एक्सेस पॉइंट्स की सुरक्षा नहीं की जाती है, तो हमलावर परिधि को दरकिनार करते हुए कॉरपोरेट नेटवर्क में प्रवेश कर सकते हैं, इसी परिधि में खड़े एनजी फायरवॉल को दरकिनार कर सकते हैं। । इसके अलावा, यदि कोई हमलावर एक नकली एक्सेस प्वाइंट बना सकता है, तो जो क्लाइंट एक्सेस प्वाइंट से जुड़ा है, उसे भी इसके बारे में पता नहीं हो सकता है, जबकि हमलावर क्लाइंट से ट्रांसमिट किए गए डेटा को इंटरसेप्ट कर सकता है। यह एक स्मार्टफोन हो सकता है, यह एक टैबलेट, लैपटॉप या यहां तक ​​कि एक स्थिर कंप्यूटर हो सकता है जो एक अनधिकृत, विदेशी, नकली पहुंच बिंदु से जुड़ा हुआ है, और इस मामले में, दुर्भाग्य से, फायरवॉल ने भी हमारी मदद नहीं की।

एक और उदाहरण

इस घटना के बाद, सिस्को ने नेटवर्क उपकरणों की सुरक्षा वास्तुकला को महत्वपूर्ण रूप से बदल दिया है। हार्डवेयर और सॉफ़्टवेयर घटक जोड़े गए जो आपको उपकरण में बुकमार्क ट्रैक करने की अनुमति देते हैं, साथ ही इन बुकमार्क की उपस्थिति को रोकते हैं, लेकिन 2000 के दशक की शुरुआत में ऐसे उदाहरण थे।



उनमें से कई ऐसे थे जिन्हें हम ठीक करने में कामयाब रहे, और इस मामले में हमारा सामना एक ऐसी स्थिति से होता है जहाँ, एक निश्चित डिलीवरी के हिस्से के रूप में, ग्राहक को पहले से इंस्टॉल किए गए दुर्भावनापूर्ण कोड वाले उपकरण प्राप्त होते हैं। चूंकि वह शुरू में अपने आपूर्तिकर्ता पर भरोसा करता है, इसलिए वह नेटवर्क उपकरण की जांच करने की आवश्यकता के बारे में नहीं सोचता है। सत्यापन सॉफ्टवेयर के माध्यम से किया जा सकता है जिसे ग्राहक आधिकारिक वेबसाइट से डाउनलोड कर सकते हैं। यह सुनिश्चित करने के लिए आवश्यक है कि उपकरण में कोई बुकमार्क नहीं है, और यह नेटवर्क डिवाइस के माध्यम से प्रसारित होने वाली जानकारी को चोरी नहीं करता है। ऐसे कई मामले भी थे जिनमें प्रशासक, उनके द्वारा खरीदे गए उपकरणों के तकनीकी समर्थन अनुबंध के बिना, थर्ड-पार्टी साइट्स से नए फर्मवेयर डाउनलोड करने के लिए मजबूर थे। यह भी इस तथ्य के कारण है कि इन फर्मवेयर में दुर्भावनापूर्ण कोड था जो सभी ट्रैफ़िक को "प्रतिबिंबित" करता था और इसे एक हमलावर को भेजता था। यही है, इस मामले में, हम यह भी समझते हैं कि क्लासिक परिधि सुरक्षा उपकरण इस बारे में कुछ नहीं कर सकते, क्योंकि बुकमार्क फायरवॉल का सामना करने वाले उपकरणों पर हैं।

आप एक और ताजा उदाहरण याद कर सकते हैं जब सिस्को (सिस्को टैलो का विभाजन) ने वीपीएन-फिल्टर नामक एक खतरे की खोज की, जब हमलावरों ने विभिन्न निर्माताओं (डी-लिंक, आसुस, आदि) के विभिन्न नेटवर्क उपकरणों को संक्रमित किया और उन पर संबंधित दुर्भावनापूर्ण कोड स्थापित किया, जो कि ट्रैफ़िक की चोरी करें और उसे हमलावरों पर पुनर्निर्देशित करें। यही है, इस समस्या को कम करके देखने से यह पता चलता है कि नेटवर्क के बुनियादी ढांचे का निचला स्तर पूरी तरह से असुरक्षित बना हुआ है, और निश्चित रूप से, कोई फायरवॉल यहां मदद नहीं करता है, क्योंकि नेटवर्क डिवाइस फायरवॉल से पहले स्थित हैं, वे सभी ट्रैफिक को संचारित कर सकते हैं, खासकर अगर यह घुसपैठियों के लिए एन्क्रिप्टेड नहीं है।



एक और उदाहरण

2 साल पहले (2017 में), हमलावरों को सबसे बड़े क्रेडिट ब्यूरो इक्विफैक्स में से एक के वेब पोर्टल पर भेद्यता मिली। इस भेद्यता को वेब पोर्टल तक पहुंचने और उस पर कुछ कमांड निष्पादित करने की अनुमति है। भेद्यता की पहचान करने के बाद, हमलावरों ने एक शोषण शुरू किया और प्रशासनिक अधिकारों के साथ सिस्टम तक पहुंच प्राप्त की। उस समय कोई डेटा चोरी नहीं हुआ था। यही है, हमलावरों ने केवल प्रशासनिक अधिकारों के साथ वेब पोर्टल पर काम करने की बहुत संभावना का परीक्षण किया। लेकिन फिर लगभग 2 महीनों के बाद, किसी कारण से हल नहीं होने वाली भेद्यता का शोषण किया गया।



हमलावरों ने क्रेडिट ब्यूरो के आंतरिक सिस्टम में प्रवेश किया और नेटवर्क सुरक्षा से अपनी गतिविधियों को प्रच्छन्न किया। सबसे पहले, डेटाबेस सर्वर सहित वेब पोर्टल और आंतरिक सर्वर के बीच भरोसेमंद संबंध के कारण, सुरक्षा प्रणाली ने किसी भी तरह से कनेक्शन डेटा को नियंत्रित नहीं किया और हमलावर को कॉर्पोरेट नेटवर्क में प्रवेश करने की अनुमति दी। इसके अलावा, हमलावरों ने एक एन्क्रिप्टेड कनेक्शन का उपयोग किया, और यह नेटवर्क सुरक्षा के मामले में अनियंत्रित रहा। कई महीनों के लिए, हमलावर जानकारी चुराने में कामयाब रहे, जिसके परिणामस्वरूप संयुक्त राज्य अमेरिका, ग्रेट ब्रिटेन और कुछ अन्य देशों के 140 मिलियन से अधिक नागरिक प्रभावित हुए, जिनके डेटा को इस हमले के परिणामस्वरूप चोरी कर लिया गया, परिधि सुरक्षा की उपलब्धता के बावजूद, जो दुर्भाग्य से, इस मामले में नहीं है मदद की।



एक और उदाहरण

एक और उदाहरण जो पिछले 2018 वर्ष में हुआ था, जब 21 अगस्त और 5 सितंबर के बीच दो सप्ताह की अवधि में, मैजिक आर्ट नामक एक हैकर समूह ने ब्रिटिश एयरवेज के सर्वर को हैक किया और व्यक्तिगत डेटा और क्रेडिट कार्ड की जानकारी सहित 380,000 ग्राहकों के डेटा चुरा लिए। ब्रिटिश एयरवेज के अनुसार, दो सप्ताह में लगभग आधे मिलियन ग्राहक पीड़ित हुए।



सबसे दिलचस्प बात यह है कि हमलावरों ने कॉर्पोरेट नेटवर्क में घुसने की कोशिश भी नहीं की! उन्होंने एयरलाइन की वेबसाइट को हैक किया, ग्राहक डेटा एकत्र करने वाली स्क्रिप्ट को बदल दिया, और इस डेटा को एक दुर्भावनापूर्ण संसाधन पर भेज दिया जिसे साइबर अपराधियों द्वारा नियंत्रित किया गया था। इसके अलावा, इस घटना के एक संस्करण में, यह माना जाता है कि हमलावर ब्रिटिश एयरवेज की मुख्य साइट में हैक नहीं हुए थे, लेकिन इसकी कैश्ड कॉपी (सीडीएन, संचार प्रदाताओं द्वारा लोकप्रिय संसाधनों को कैश करने के लिए इस्तेमाल किया गया था)। इस प्रकार, परिधि रक्षा ने इस हमले से बचाव करने में मदद नहीं की।



एक अन्य हमला , जिसे "वॉटर होल" कहा जाता था, जो कुछ समय पहले अमेरिकी कानून प्रवर्तन एजेंसियों द्वारा दर्ज किया गया था। संयुक्त राज्य अमेरिका में कई ऊर्जा कंपनियों के खिलाफ हमलों को दर्ज किया गया था, और जांच के हिस्से के रूप में एक बहुत ही अपरंपरागत योजना की पहचान की गई थी, जो हालांकि, काफी लोकप्रिय हो गई है।

इसे पानी वाली जगह क्यों कहा जाता है?

यदि हम जानवरों (विशेष रूप से अफ्रीका के जानवरों) के जीवन को याद करते हैं, तो सूखे के दौरान कई जानवर दुर्लभ पानी वाले स्थानों पर आते हैं जो सूखे के दौरान सूख नहीं गए थे, और प्रकृति बनाती है कि जानवर पानी के छेद के दौरान एक दूसरे पर हमला नहीं करते हैं, लेकिन बात यह है कि सिर्फ पानी भरने की जगह के रास्ते पर, शिकारी बहुत बार जानवरों का इंतजार करते हैं और खुद को और उनकी सवारी को खिलाने के लिए उन्हें खाते हैं। इसलिए, हमलावरों ने बिल्कुल उसी रणनीति का इस्तेमाल किया।
पीड़ित कंपनियों को तोड़ने के बजाय जिनके लिए वे अपने प्रयासों को केंद्रित करते हैं, और ऐसी कई कंपनियां (इकाइयां, दसवीं या सैकड़ों) हो सकती हैं, कभी-कभी यह सिर्फ एक सॉफ्टवेयर निर्माता को हैक करने के लिए पर्याप्त होती है, जिनकी साइट से हर कोई तब सॉफ्टवेयर डाउनलोड करना शुरू कर देता है सॉफ्टवेयर (नया फर्मवेयर, पैच, अपडेट या नए सॉफ्टवेयर संस्करण)। यदि निर्माता को हैक किया गया था, तो इन अपडेट के साथ जो उसकी वेबसाइट से डाउनलोड किया गया है, पीड़ित कंपनी के नेटवर्क पर दुर्भावनापूर्ण कोड डालना संभव है, जो तब हैकर्स के लिए पीड़ित के पहले से ही समझौता किए गए नेटवर्क के अंदर एक ब्रिजहेड विकसित करना आसान बनाता है। यानी इतने गोल चक्कर में, लेकिन हैकर्स ने अपना लक्ष्य हासिल कर लिया। 2016 में संयुक्त राज्य अमेरिका में इस तरह का हमला दर्ज किया गया था। उसके बाद, कई समान परिदृश्य थे। अभी हाल ही में (2018 के अंत में), Asus पर एक हमला दर्ज किया गया था, जिसने अपनी वेबसाइट से दुर्भावनापूर्ण अपडेट वितरित किए। अवास्ट में वही काम किया गया था, जिसने सीसीरजेनर नामक विंडोज सिस्टम के संचालन को डीफ़्रैग्मेन्ट करने और अनुकूलन के लिए एक संक्रमित कार्यक्रम वितरित किया था। इस दुर्भावनापूर्ण अभियान का पता सिस्को तलोस द्वारा 2017 में लगाया गया और इसे हटा दिया गया।

ये सभी उदाहरण हैं जब पीड़ित कंपनी को स्वयं दरार करने के लिए हमेशा आवश्यक है। इसे सेवा देने वाले संगठनों को हैक करना संभव है, और पीड़ित कंपनी और हैक की गई कंपनी के बीच कुछ भरोसेमंद संबंधों के कारण, उनके बीच सभी संचार कम नियंत्रण के अधीन हैं, और हमलावर सक्रिय रूप से इसका उपयोग कर रहे हैं।



अंत में, अंतिम और सबसे हाल के उदाहरणों में से एक।

18 जून, 2019 को, नासा की एयरोस्पेस एजेंसी ने रिकॉर्ड किया और घोषणा की कि हैकर्स अप्रैल 2018 में पहले ही इसकी एक इकाई (इसकी प्रयोगशालाओं में से एक) के आंतरिक नेटवर्क में प्रवेश कर चुके हैं। यही है, वे लंबे समय तक किसी का ध्यान नहीं गए और मंगल ग्रह पर मिशन पर 500 एमबी से अधिक डेटा चोरी करने में सक्षम थे। सबसे दिलचस्प बात यह है कि रास्पबेरी पाई हार्डवेयर पोर्टेबल कंप्यूटर की शुरुआत के कारण था, जो नासा नेटवर्क पर स्थापित किया गया था और जिसने जानकारी चुरा ली और इसे बाहर प्रसारित किया।

ये सभी उदाहरण बहुत अच्छी तरह से प्रदर्शित करते हैं कि यहां तक ​​कि बहुत शक्तिशाली, अच्छी तरह से डिजाइन किए गए, अच्छी तरह से डिजाइन किए गए परिधि रक्षा प्रणालियों की उपस्थिति भी गारंटी नहीं देती है कि घुसपैठिए घुसना नहीं करेंगे।



यह इस तथ्य के कारण है कि उनके पास हमारे संगठन में प्रवेश के 17 चैनल हैं , जिनमें से कुछ हम पहले ही देख चुके हैं।

कुछ चैनल हैं जो समीक्षा के दायरे से परे हैं (उदाहरण के लिए, एक नियमित वीपीएन कनेक्शन, या साइट-टू-साइट वीपीएन के साथ रिमोट साइट, या रिमोट एक्सेस वीपीएन दूरस्थ उपयोगकर्ताओं के साथ), लेकिन अगर पूरी तरह से ट्रैफ़िक ट्रैफ़िक के अलावा, इस पर एक सुरक्षित कनेक्शन है , कंपनी के आंतरिक नेटवर्क में घुसना और घुसपैठ कर सकता है। संगठन के प्रवेश द्वार के सामने पार्किंग स्थल में फेंके गए यूएसबी फ्लैश ड्राइव भी एक पसंदीदा उपकरण है जिसका उपयोग साइबर अपराधी कॉर्पोरेट सूचना सुरक्षा या विभागीय सूचना सुरक्षा के साधनों को बाईपास करने के लिए करते हैं, क्योंकि इस तरह के यूएसबी फ्लैश ड्राइव को कंप्यूटर में प्लग करके, सभी परिधि का मतलब है। सुरक्षा। कोई केवल यह आशा कर सकता है कि विचारधारा में पुराने एंटीवायरस की तुलना में कंप्यूटर पर कुछ और आधुनिक स्थापित किया गया है, जो आयोजन के उद्देश्य से कोई लक्षित हमला नहीं देखता है।

एक और उदाहरण सिस्को का सामना दो साल पहले हुआ था।

दुर्भावनापूर्ण कोड WannaCry के साथ अपने घर के लैपटॉप पर एक बड़ी रूसी ऊर्जा कंपनी "संक्रमित" के सीईओ। यह शुक्रवार की रात को हुआ, जैसे ही WannaCry दुनिया भर में फैलने लगी। शनिवार की सुबह, निर्देशक काम करने के लिए एक संक्रमित लैपटॉप लाया। भला इसे और कहां से लाएं? घर पर कोई आईटी विशेषज्ञ नहीं हैं, लेकिन वे काम पर हैं।

जबकि ये विशेषज्ञ, जिन्हें तत्काल सीईओ द्वारा बुलाया गया था, काम करने के लिए गाड़ी चला रहे थे, दुर्भावनापूर्ण कोड कॉर्पोरेट नेटवर्क के माध्यम से फैलने में कामयाब रहे, क्योंकि सीईओ ने इस लैपटॉप को कॉर्पोरेट नेटवर्क से जोड़ा था। वह स्वचालित रूप से जुड़ा हुआ था, जिसके बाद भी बाहरी दुनिया से अलग कॉर्पोरेट नेटवर्क WannaCry से पीड़ित था।

यह स्पष्ट है कि एक उच्च रैंकिंग या अधिकृत कर्मचारी, प्रबंधक, मध्य या वरिष्ठ प्रबंधक काम करने के लिए सिस्को के कई और उदाहरण हो सकते हैं, जो काम करने के लिए एक घरेलू उपकरण लाते हैं, जो किसी कारण से संक्रमित हो सकता है। यह केवल एक कर्मचारी भी नहीं हो सकता है। यह एक लेखा परीक्षक हो सकता है। यह एक ठेकेदार हो सकता है जो इस तरह के उपकरण को संरक्षित साइट पर कुछ नियमित रखरखाव के हिस्से के रूप में लाता है। उदाहरण के लिए, 2003 में, यह संयुक्त राज्य अमेरिका में डेविस - बेसे परमाणु ऊर्जा संयंत्र में आंतरिक नेटवर्क से अपने लैपटॉप को जोड़ने वाले ठेकेदार के कारण था कि न्यूक्लियर पावर प्लांट को कन्फ़र्म वर्म से संक्रमित किया गया था, जिसके कारण रिएक्टर बंद हो गया और संयुक्त राज्य के पूरे पूर्वी तट पर ब्लैकआउट लुढ़क गया। ।

एक अन्य उदाहरण जब परिधि सुरक्षा के तरीके काम नहीं करते हैं, वे डेवलपर्स हैं जो DevOps में शामिल हैं, जो, एक नियम के रूप में, अपने स्वयं के "गेम के नियम" हैं, जो कंपनी द्वारा जारी किए गए कंप्यूटर पर नहीं, बल्कि अपने सॉफ़्टवेयर के साथ लैपटॉप पर काम करना पसंद करते हैं जिस पर हमेशा सुरक्षा के कुछ साधन डालना संभव नहीं होता है, और यह कॉर्पोरेट नेटवर्क में एक तरह का "एंट्री पॉइंट" है, या संगठन में विकसित सॉफ़्टवेयर में बुकमार्क का परिचय है।

अंत में, हमें बादलों के बारे में नहीं भूलना चाहिए।

यदि आपका संगठन बड़े पैमाने पर बादलों का उपयोग करता है, तो कोई भी कॉर्पोरेट परिधि सुरक्षा में मदद नहीं करेगी। परिधि से परे सुरक्षा प्रणाली का विस्तार करना और आंतरिक बुनियादी ढांचे की निगरानी करना आवश्यक है।



नेटफ्लो प्रोटोकॉल, जो मूल रूप से नेटवर्क ट्रैफिक आंकड़ों का विश्लेषण करने के लिए समस्या निवारण के लिए विकसित किया गया था, इसमें मदद करेगा, लेकिन इसकी क्षमताओं के कारण, विशेष रूप से नेटफ्लो प्रोटोकॉल के नौवें संस्करण में मौजूद उन्नत विशेषताओं के कारण, या आईपीएफएक्स के मानक संस्करण में, सवालों का जवाब देना संभव है। सूचना सुरक्षा के दृष्टिकोण से इंजीनियरों के लिए रुचि रखते हैं (कौन ?, क्या ?, कब ?, कैसे ?, किस मात्रा में? कुछ बातचीत की?)। फिर, उस पर उचित निर्णय लेने वाले एल्गोरिदम लगाए जाने से, किसी विशेष खतरे, एक या किसी अन्य विसंगति की उपस्थिति के बारे में निष्कर्ष निकालना संभव हो जाता है, जो सूचना सुरक्षा के संदर्भ में दिलचस्प हो सकता है।



एक समाधान का एक उदाहरण जो सूचना सुरक्षा उद्देश्यों के लिए इस विशेष डिज़ाइन का उपयोग करता है, वह है सिस्को स्टील्थवॉच समाधान ।

यह एक समाधान है जो फ्लो प्रोटोकॉल (न केवल नेटफ्लो) का विश्लेषण करता है। यह sFlow, Jflow, IPFIX, NetStream हो सकता है - यह महत्वपूर्ण नहीं है। यही है, यह समाधान न केवल सिस्को इन्फ्रास्ट्रक्चर पर, बल्कि अन्य विक्रेताओं के बुनियादी ढांचे पर भी काम करेगा (जिसमें रूसी निर्माता भी शामिल हैं, जो फ्लो के साथ प्रोटोकॉल का समर्थन करते हैं) या जब पैन या एयरस्पैन के माध्यम से सिस्को स्टेलवॉच समाधान और कीमत पर यातायात को स्थानांतरित करना संभव है मौजूदा बुनियादी ढांचे का विश्लेषण, कुछ विसंगतियों, कॉर्पोरेट या विभागीय नेटवर्क में कुछ खतरों की पहचान करना संभव है।

इस दृष्टिकोण और परिधि सुरक्षा के बीच एक महत्वपूर्ण अंतर यह है कि व्यवस्थापक को अलग-अलग सेंसर स्थापित करने की आवश्यकता नहीं है, नियंत्रण बिंदुओं पर नेटवर्क के नियंत्रण बिंदुओं में अलग-अलग नल।सिस्को इस तरह के वितरित निगरानी प्रणाली में मौजूदा नेटवर्क के बुनियादी ढांचे को बदल रहा है।



अपने न्यूनतम पर, सिस्को स्टील्थव्यू समाधान में दो घटक होते हैं - फ्लो कलेक्टर, जो फ्लो प्रोटोकॉल का समर्थन करने वाले उपकरणों से डेटा एकत्र करता है, और प्रबंधन कंसोल, जो प्रबंधन, विज़ुअलाइज़ेशन, रिपोर्ट जनरेशन और इतने पर जिम्मेदार है। ऐसे मामलों में, जहां किसी कारण से, डिवाइस या तो फ़्लो का समर्थन नहीं करता है, या फ़्लो को सक्षम करने के लिए समर्थन एक महत्वपूर्ण प्रोसेसर लोड की ओर जाता है, तथाकथित "फ़्लो सेंसर" का उपयोग किया जा सकता है। यह एक हार्डवेयर या आभासी समाधान है जो नेटवर्क ट्रैफ़िक को स्वयं से गुजरता है, इसे नेटफ्लो में स्थानांतरित करता है और इसे फ्लो कलेक्टर में स्थानांतरित करता है। इस प्रकार, स्पेंसर पोर्ट को जोड़ने के बजाय फ्लो सेंसर से कुछ उपकरण कनेक्ट करना संभव है जो शुरू में फ्लो प्रोटोकॉल का समर्थन नहीं करता है और आंतरिक नेटवर्क की पूर्ण और अधिक दृश्यता प्रदान करता है, न कि केवल इसकी परिधि।

फ़्लो सेंसरों के अलावा, यूडीपी डाइरेक्रोट जैसे एक घटक भी है, जो आपको दूरस्थ साइटों से डेटा को कुशलतापूर्वक संसाधित करने की अनुमति देता है। जब दूरस्थ साइट और मुख्यालय के बीच एक कमजोर इंटरनेट चैनल होता है, लेकिन नेटफ्लो डेटा प्रसारित किया जाना चाहिए, तो UDP Direcrot ऐसे ट्रैफ़िक के प्रसारण का अनुकूलन करता है।

इसके अलावा, सिस्को ने एक विशेष प्रोटोकॉल nvzFlow विकसित किया है, जो आपको होस्ट के साथ नेटवर्क घटक को एकीकृत करने की अनुमति देता है, और नेटवर्क दृश्यता मॉड्यूल के माध्यम से, AnyConnect में बनाया गया मॉड्यूल (यह एक सॉफ़्टवेयर सुरक्षा क्लाइंट है जो विंडोज, लिनक्स, मैक ओएस, आईओएस, एंड्रॉइड और इतने पर इंस्टॉल होता है) )। इसके लिए धन्यवाद, नेटफ्लो के समान प्रोटोकॉल में नोड व्यवहार, उपयोगकर्ता अनुप्रयोग व्यवहार और नेटवर्क स्तर पर होने वाली घटनाओं के साथ नोड पर होने वाली घटनाओं को स्वचालित रूप से सहसंबंधित करना संभव हो गया, जिससे कॉर्पोरेट या विभागीय नेटवर्क में सूचना सुरक्षा निगरानी की स्थिति में सुधार हुआ।

एक अन्य तत्व जो फ्लो कलेक्टर को डेटा भेज सकता है वह एक प्रॉक्सी सर्वर है, और इस प्रकार आप नेटफ्लो या अन्य फ्लो प्रोटोकॉल और एप्लिकेशन लेयर का विश्लेषण करने के बाद प्राप्त नेटवर्क लेयर डेटा को सहसंबंधित कर सकते हैं, जो हमें विभिन्न प्रॉक्सी सर्वरों से प्राप्त होता है, जिससे यह संभव है। एन्क्रिप्टर्स के काम को रिकॉर्ड करना, कमांड सर्वरों के साथ बातचीत, टोर नेटवर्क द्वारा नेटवर्क ऑपरेशन, और इसी तरह।

अवैध गतिविधि के सबूत इकट्ठा करने के लिए, इसे स्टोर करने के लिए, एक जांच का संचालन करने या इसे कानून प्रवर्तन में स्थानांतरित करने के लिए, सिस्को सुरक्षा पैकेट विश्लेषक सिस्को सुरक्षा पैकेट विश्लेषक घटक के साथ एकीकृत होता है, जो कानून प्रवर्तन एजेंसियों के लिए आगे की जांच और बातचीत के लिए आवश्यक सभी जानकारी संग्रहीत करता है।

सबसे दिलचस्प बात यह है कि यह समाधान न केवल कॉरपोरेट / विभागीय नेटवर्क के अंदर काम करता है, न केवल डेटा सेंटर के अंदर, न केवल औद्योगिक साइट के अंदर (उदाहरण के लिए, स्वचालित प्रक्रिया नियंत्रण प्रणालियों में), लेकिन यह विभिन्न क्लाउड प्लेटफ़ॉर्म पर भी काम कर सकता है, जिससे एक एकल आपको विभिन्न क्षेत्रों को देखने की अनुमति देता है कॉर्पोरेट या विभागीय नेटवर्क। उनमें विसंगतियां देखें, खतरा देखें और तदनुसार संकेत दें और यदि आवश्यक हो, तो इन खतरों को अवरुद्ध करें, न केवल उस पर निर्भर करते हुए जो कॉर्पोरेट परिधि से गुजरता है। यदि आप किसी प्रकार के फ्लैश ड्राइव को देखते हैं, तो असुरक्षित वाई-फाई, रास्पबेरी पाई को कॉर्पोरेट नेटवर्क में गिरा दिया, और इसी तरह, परिधि यह नहीं देखेगा। यह एक Stealthwatch को देखेगा जो नेटवर्क इंफ्रास्ट्रक्चर से गुजरने वाली हर चीज पर ठीक से नजर रखता है।हमलावर के रूप में कोई फर्क नहीं पड़ता, वह हमेशा स्विच और राउटर से गुजरता है जो हमने कॉर्पोरेट या विभागीय नेटवर्क पर स्थित है। वह उन्हें सिद्धांत रूप में बायपास नहीं कर सकता है, और इस मामले में, Stealthwatch काम करता है, जो सभी नेटवर्क ट्रैफ़िक को देखता है और बड़ी संख्या में विभिन्न एल्गोरिदम लगाने के कारण, कुछ विसंगतियों या खतरों का पता लगा सकता है।

यह इस प्रकार दिखता है।



तस्वीर शीर्ष नोड्स को दिखाती है जो एक निश्चित समय अंतराल के लिए तय की जाती हैं। इनमें से एक नोड का पता 10.201.3.149 है। यह एक वर्कस्टेशन है। यह उपयोगकर्ता डिवाइस समूह में है। यह देखा जा सकता है कि इस नोड पर कब और क्या गतिविधि हुई। आप देख सकते हैं कि इस नोड में कौन सी नीतियाँ लागू हैं। यह देखा जा सकता है कि इस नोड पर किस प्रकार का उपयोगकर्ता काम कर रहा है, उदाहरण के लिए सक्रिय निर्देशिका के साथ एकीकरण के कारण। इस प्रकार, हम एक विशिष्ट उपयोगकर्ता, संगठन के एक विशिष्ट कर्मचारी को जानते हैं, जो इस मेजबान पर एक विशेष क्षण में काम करता है और यह घटनाओं की अधिक तेजी से जांच के लिए अनुमति देता है।

लेकिन यह सब देखा जा सकता है।



मान लीजिए कि हम घटनाओं को बहुत उच्च स्तर के संदेह, तथाकथित चिंता सूचकांक के साथ देखते हैं, और हम इस घटना के पीछे क्या छिपा है, इसके बारे में अधिक विस्तृत जानकारी प्राप्त करना चाहते हैं। हम इस सूचना रिसाव खतरे से जुड़े सभी संबद्ध कनेक्शन प्राप्त करना चाहते हैं।



ऐसा करने के बाद, यह पता चला कि घुसपैठिए आंतरिक कॉर्पोरेट नेटवर्क से डेटा कैप्चर करने के लिए SSH प्रोटोकॉल का उपयोग करते हैं। कृपया ध्यान दें कि हमलावर की साइट से केवल एक गीगाबाइट डेटा भेजा गया था, जबकि 160 जीबी से अधिक डेटा प्राप्त हुआ था। यह संभव है कि हम एक हमलावर के बारे में बात कर रहे हैं जो डेटा पर कब्जा करने की कोशिश कर रहा है जिसे वह "पहुंच" के लिए प्रबंधित करता है और इसे अपने कंप्यूटर पर डाउनलोड करता है। किस लिए?



यहाँ Stealthwatch भी मदद करता है।

इस मामले में, यह देखा जा सकता है कि हैकर किसी एचटीटीपीएस कनेक्शन के माध्यम से डेटा को किसी बाहरी होस्ट को "मर्ज" करता है। यही है, शायद यह वास्तव में एक हमलावर है, जैसे कि स्नोडेन की कहानी को याद करते हुए, शुरुआत में खुद को उन सभी डेटा की प्रतिलिपि बनाई जो वह पहुंच सकता था, और फिर वह कंपनी के बाहर इसे स्थानांतरित करने की कोशिश करता है। स्नोडेन के मामले में, उन्होंने बाहरी मीडिया पर ऐसा किया, उन्हें चौकी के बाहर ले गए। इस मामले के मामले में, हमलावर HTTPS के माध्यम से डेटा को कुछ कमांड सर्वर से क्लाउड पर, या कहीं और "मर्ज" करने का प्रयास कर रहा है।



सिस्को चुपके की मदद कैसे कर सकते हैं एक और उदाहरण। उदाहरण के लिए, कॉर्पोरेट नेटवर्क के भीतर कीड़े या दुर्भावनापूर्ण कोड का प्रसार।

आमतौर पर, इसे ठीक करने के लिए, आपको मेजबान पर एजेंट / एजेंट रखने की आवश्यकता होती है। कोई एंटीवायरस हो सकता है। यह एक वर्ग निर्णय और एक ईडीआर (समापन बिंदु का पता लगाने और प्रतिक्रिया) हो सकता है। यह कुछ और हो सकता है, जो नोड पर गतिविधि का विश्लेषण करके, दुर्भावनापूर्ण कोड के कार्यों का पता लगाता है। लेकिन अगर हम नोड्स पर एजेंट स्थापित नहीं कर सकते हैं तो हमें क्या करना चाहिए (उदाहरण के लिए, ये एजेंट भी प्रोसेसर पावर को खाते हैं, या उस पर लोड बढ़ाते हैं, या "रैम खाते हैं")? कंप्यूटर धीमा हो जाता है और इसलिए उस पर कोई सुरक्षात्मक एजेंट नहीं डालना चाहता (उदाहरण के लिए, डेटा सेंटर में)। या यह एक सेगमेंट है, जिस पर आप किसी भी सुरक्षात्मक एजेंट को नहीं डाल सकते। यह एक औद्योगिक सेगमेंट (APCS) हो सकता है, यह ऑपरेटिंग सिस्टम वाला एक सेगमेंट हो सकता है जिसके लिए सुरक्षात्मक एजेंट विकसित नहीं किए गए हैं। इसके कई कारण हो सकते हैं। दूसरे शब्दों मेंमेजबान सुरक्षा के अभाव में, इंजीनियर अंधे बने रहते हैं। दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए उनके पास एकमात्र डेटा स्रोत है - यह नेटवर्क ट्रैफ़िक है और स्टेलवॉच फिर से यहां मदद करता है, जिसने इस मामले में दुर्भावनापूर्ण कोड की कार्रवाई दर्ज की। नोड स्कैनिंग घटनाएं दिखाई देती हैं, और इस घटना के विवरण में, आप देख सकते हैं कि यह गतिविधि नेटवर्क पर कीड़े के प्रसार में अंतर्निहित है।

इसकी कल्पना की जा सकती है।



इस रूप में विजित।

विज़ुअलाइज़ेशन हो रहा है और हम समझ सकते हैं कि शुरुआती बिंदु कहाँ था, जो वितरण के तहत गिर गया और जल्दी से समस्या का स्थानीयकरण किया, इसे हमारे नेटवर्क पर विकसित करने से रोका, हमलावर को हमारे कॉर्पोरेट या विभागीय नेटवर्क में "ब्रिजहेड" का विस्तार करने से रोका। और उन स्थितियों में क्या करना है जहां हमलावर एन्क्रिप्शन का सक्रिय रूप से उपयोग करना शुरू करते हैं, उदाहरण के लिए इक्विफैक्स के साथ मामला?



दुर्भाग्य से, सिस्को के आंकड़ों के अनुसार, पिछले एक साल में साइबर अपराधियों ने दुर्भावनापूर्ण कार्यक्रमों की संख्या में 3 गुना वृद्धि की है जो वे अपनी गतिविधियों के लिए उपयोग करते हैं, या बल्कि इसे छिपाने के लिए - एन्क्रिप्शन। यह सिद्धांत से जाना जाता है कि "सही" एन्क्रिप्शन एल्गोरिदम को हैक नहीं किया जा सकता है। एन्क्रिप्ट किए गए ट्रैफ़िक के अंदर क्या छिपा हुआ है, यह समझने के लिए, आपको या तो इसे जानने की कुंजी को डिक्रिप्ट करना चाहिए, या इसे विभिन्न ट्रिक्स के साथ, या माथे में हैक करके, या क्रिप्टोग्राफ़िक प्रोटोकॉल में कुछ कमजोरियों का उपयोग करके डिक्रिप्ट करने की कोशिश करनी चाहिए।

वास्तव में, यह पता चला कि व्यवहार में डिक्रिप्ट किए बिना एन्क्रिप्ट किए गए ट्रैफ़िक का विश्लेषण करने के अन्य तरीके हैं। इस विधि को बस "मशीन लर्निंग" कहा जाता है। यह पता चला कि अगर साइबर अपराधियों द्वारा उपयोग किए जाने वाले विभिन्न ट्रैफ़िक की एक बहुत बड़ी मात्रा को एक विशेष क्लासिफायरियर के इनपुट पर लागू किया गया था और इस तरह की दुर्भावनापूर्ण कार्रवाई को वर्गीकृत करने के लिए प्रशिक्षित किया गया था, तो भी एन्क्रिप्टेड ट्रैफ़िक के अंदर जिसे हम डिक्रिप्ट या डिक्रिप्ट नहीं कर सकते हैं, सिस्टम बहुत अधिक संभावना के साथ पता लगा सकता है। एन्क्रिप्टेड ट्रैफ़िक के अंदर दुर्भावनापूर्ण कोड।



कृपया ध्यान दें कि पता लगाने की सटीकता 99.99% है। झूठी सकारात्मकता सौ प्रतिशत है। यही है, सिस्को नेटवर्क के उपकरणों से प्राप्त टेलीमेटरी के विश्लेषण के आधार पर, यहां तक ​​कि किसी भी क्रिप्टोग्राफिक परिवर्तनों के बिना, यह कहा जा सकता है कि दुर्भावनापूर्ण गतिविधि इस या उस एन्क्रिप्टेड ट्रैफ़िक के अंदर छिपी हुई है और इससे आंतरिक बुनियादी ढांचे की अधिक कुशल निगरानी की अनुमति मिलती है।
आज, कई कंपनियां, कई सेवा एप्लिकेशन टीएलएस 1.3 प्रोटोकॉल की ओर बढ़ रहे हैं ।जिसे शुरू में डिक्रिप्ट नहीं किया जा सकता है। यही है, इसे विशेष रूप से डिज़ाइन किया गया है ताकि मध्य में कानूनी मैन भी बनाना असंभव हो। यह उपयोगकर्ता डेटा की गोपनीयता सुनिश्चित करने के लिए किया जाता है। यह उपयोगकर्ता गोपनीयता, दुर्भाग्य से, हाथों में नहीं खेलता है, लेकिन कॉर्पोरेट सुरक्षा सेवाओं के खिलाफ, जो पहले (टीएलएस 1.3 से पहले) अभी भी विभिन्न SCAffolders का उपयोग करके परिधि पर यातायात को डिक्रिप्ट कर सकता है, लेकिन अब, दुर्भाग्य से, यह पहले से ही है असंभव। लेकिन Cisco Stealthwatch में जो तकनीक एम्बेडेड है, जिसे Encrypted Traffic Analytics कहा जाता है, बिना ट्रैफिक डिक्रिप्शन के अनुमति देता हैसमझें कि अंदर क्या है। बेशक, कोई भी नहीं समझ पाएगा कि वहां क्या लिखा गया है। यह संभव नहीं है। क्रिप्टोग्राफी यहाँ काम करता है। लेकिन आप इस ट्रैफ़िक के प्रकार को समझ सकते हैं और यदि यह दुर्भावनापूर्ण है, तो उचित निर्णय लें।



यहां बताया गया है कि एन्क्रिप्टेड ट्रैफ़िक एनालिटिक्स तकनीक कैसी दिखती है।

यह देखा जा सकता है कि जानकारी एक विशिष्ट नोड से लीक ("एक्सफ़िल्टरेशन" शिलालेख - डेटा लीक) हो रही है, जो रोलैंड टॉर्सिलो के नाम से एक उपयोगकर्ता काम कर रहा है और "एनक्रिप्टेड" चिह्न दिखाई दे रहा है। इसका मतलब है कि ट्रैफ़िक एन्क्रिप्टेड है। यही है, एन्क्रिप्शन की उपस्थिति के बावजूद, सूचना रिसाव के तथ्य को रिकॉर्ड करना संभव है, अर्थात, कॉर्पोरेट संसाधन को नुकसान।



मैं यह नोट करना चाहता हूं कि सिस्को स्टील्थवॉच समाधान में कई महत्वपूर्ण विशेषताएं हैं। महत्वपूर्ण लाभ।

• -, , .
• -, . Cisco , , Cisco .
• . , , . Flow .
• और सबसे दिलचस्प। इस तथ्य के बावजूद कि सिस्को स्टील्थवॉच समाधान विकसित किया गया था और सिस्को द्वारा पेश किया गया था, जिसे नेटवर्क के दिल में संरक्षित किया जाना चाहिए, न केवल सिस्को का बुनियादी ढांचा हो सकता है , बल्कि विभिन्न अन्य निर्माताओं की संरचनाएं भी हो सकती हैं । इस मामले में, सिस्को विक्रेता एग्नॉस्टिक (निर्माता सुरक्षा प्रणाली)। इससे कोई फर्क नहीं पड़ता कि आधार में "झूठ" क्या है। यह सिस्को हो सकता है, यह हुआवेई हो सकता है, यह जुनिपर, 3com, Hewlett हो सकता है, यह पॉलीगॉन, रस्टीलेट, ज़ेलेक्स, नैटेक्स और इतने पर रूसी निर्माता हो सकते हैं। कोई भी नेटवर्क इंफ्रास्ट्रक्चर जो फ्लो प्रोटोकॉल या सपैन / आरएसपीएएन का समर्थन करता है, उसे वितरित अटैक डिटेक्शन सिस्टम में बदल दिया जा सकता है।

कुछ दुर्भावनापूर्ण गतिविधि दर्ज होने के बाद, सवाल उठता है: "इसे कैसे अवरुद्ध करें?"।




इस मामले में, सिस्को आईएसई (आइडेंटिटी सर्विसेज इंजन) समाधान बहुत उपयुक्त है, जो एक नेटवर्क बुनियादी ढांचे को बदल देता है जो पहले से ही वितरित हमले का पता लगाने वाली प्रणाली में बदल गया है, सिस्को आईएसई इसे वितरित फ़ायरवॉल में बदल देता है। ऐसा तब होता है जब प्रत्येक स्विच, प्रत्येक राउटर, प्रत्येक एक्सेस पॉइंट का उपयोग निर्णय बिंदु के रूप में किया जाता है - "स्टार्ट अप या स्टार्ट अप?", "स्टार्ट अप यूजर?", "स्टार्ट अप डिवाइस?", "स्टार्ट अप एप्लीकेशन?" अनुरोधित संसाधन के लिए। सिस्को आईएसई मौजूदा बुनियादी ढांचे को बदल देता है (और सिस्को की उत्पत्ति ही नहीं, यह अन्य विक्रेताओं पर किया जा सकता है) एक वितरित फ़ायरवॉल में। यदि एनजी फायरवॉल (उदाहरण के लिए, सिस्को फायरपावर) और एनजीआईपीएस (उदाहरण के लिए, सिस्को फायरपावर आईपीएस) आमतौर पर परिधि पर उपयोग किए जाते हैं, तो आप आंतरिक नेटवर्क में सिस्को चुपके एंड सिस्को आईएसई बंडलों का उपयोग कर सकते हैं।



साथ में वे आपको आंतरिक बुनियादी ढांचे तक पहुंच की निगरानी और नियंत्रण करने की अनुमति देते हैं, हमले के क्षेत्र को काफी कम करते हैं और सबसे महत्वपूर्ण बात यह है कि उन्हें परिधि के रक्षा उपकरणों के साथ एकीकृत किया जा सकता है और उनके पास एक ही एंड-टू-एंड सुरक्षा नीति है। इस घटना में कि सिस्को समाधान परिधि पर नहीं है, वैसे भी, सिस्को आईएसई के कारण, आप एक एकल एंड-टू-एंड सुरक्षा नीति बना सकते हैं, जिससे घुसपैठियों के कार्यों से कॉर्पोरेट / विभागीय संसाधनों की सुरक्षा बढ़ जाती है जिन्होंने सीखा है कि परिधि सुरक्षा प्रणाली को अलग-अलग तरीकों से कैसे बायपास किया जाए।

वीडियो प्रस्तुति:


ऑडियो प्रस्तुति:


प्रदान की गई सभी जानकारी के लिए, सिस्को के लिए बहुत धन्यवाद और

एलेक्सी लुकात्स्की