बड़े पैमाने पर हमले: हाल के वर्षों के अनुभव पर प्रतिक्रिया की विशेषताएं

कई सुरक्षा केंद्र हैकर्स के खिलाफ लड़ाई करते हैं और उनके काम के बिंदु और यहां तक ​​कि उनके जीवन पर हमला करते हैं। मामला वास्तव में महत्वपूर्ण है और बौद्धिक रूप से बहुत ही विशिष्ट है। हम थ्रेट इंटेलिजेंस डेटा का अध्ययन करते हैं, समूहों और उसके टीटीपी (रणनीति, तकनीक और प्रक्रियाओं) के लिए अटेंशन इकट्ठा करते हैं, घटनाओं का पता लगाने के लिए अलग-अलग परिदृश्य और नियम विकसित करते हैं और शक्तिशाली तकनीकी समाधानों को लागू करते हैं। यह किसी भी सुरक्षा टीम के लिए काम का एक बहुत बड़ा और महत्वपूर्ण टुकड़ा है, और इससे भी ज्यादा किसी भी परिपक्व एसओसी के लिए।



लेकिन समय-समय पर, निगरानी के माध्यम से सुरक्षा के सभी शास्त्रीय दृष्टिकोणों को शून्य से गुणा किया जाता है जब एक बड़े और अप्रिय बड़े पैमाने पर हमला होता है। वह भी जो आपकी दादी माँ के बारे में जानती है। हम परंपरागत रूप से इस तरह के हमले को मीडिया साइबर महामारी कहेंगे, ताकि नियमित कोबाल्ट मेलिंग या चालाक साइलेंस टूल्स के साथ भ्रमित न हों (अनुभवी के लिए वे पहले से ही सफेद शोर जैसी चीज बन चुके हैं)। हम बात कर रहे हैं हार्टब्लेड, शेलशॉक, वान्नाय्री, सिस्को के उपकरणों में कमजोरियां और अन्य। क्या उन्हें अन्य साइबर विविधताओं से अलग करता है? एसओसी में व्यवहार करने के लिए (या इसके लायक नहीं) कंपनी की सूचना सुरक्षा सेवा के लायक कैसे है? आइए इसे कट के नीचे समझें।

नई धमकी या पुरानी समस्या?

यदि आप ऐसी घटनाओं को अधिक बारीकी से देखते हैं, तो यह जल्दी से स्पष्ट हो जाता है कि उन्हें अन्य सभी से अलग क्या है: उनमें से प्रत्येक में कुछ मौलिक महत्वपूर्ण भेद्यता है। 2017 में इटरनल ब्लू ने अपनी फसल काट ली, जो विभिन्न नामों (डबलपल्सर, वानक्री, नोटपेटिया) के तहत प्रच्छन्न था, अप्रैल 2018 भेद्यता CVE-2018-0171 के साथ भड़का रहा था, अब तक ब्लूकीप के लिए समय नहीं आया है (लेकिन यह सटीक नहीं है)। परिणामस्वरूप, प्रमुख घटकों में उन्नत हमलों से अंतर होता है:

• मैलवेयर पहुंचाने का एक तेज़ और निराशाजनक रूप से व्यापक तरीका (परिधि के माध्यम से सीधे प्रवेश तक),
• कवच-भेदी बंदूक (व्यापक कवरेज की कमजोरी, उच्च जीवन शक्ति, गंभीर "मर्मज्ञ" प्रभाव),
• आदिम उपकरण (और अक्सर लक्ष्य)।

हकीकत में, हम एक हथौड़ा के बारे में बात कर रहे हैं, न कि एक रैपियर। दुर्भाग्य से, विक्रेता विद्रूप कर सकते हैं और हमें ऊब नहीं होने देते हैं, और हमलावर ऐसे हथौड़ों को अपने हाथों में लेते हैं। प्रत्येक बड़े और बड़े पैमाने पर हमले में विक्रेताओं में से एक की अपनी महान और भयानक भेद्यता थी। ऐसी स्थितियों में, महत्वपूर्ण कमजोरियों पर नज़र रखना और उनके साथ समय पर काम करना सूचना सुरक्षा स्थिति केंद्र की स्थिति के मुख्य पहलुओं में से एक बन जाता है, जो अक्सर सुरक्षा संचालन केंद्र के साथ समान होता है।

यहां मैं शायद सिफारिशों पर जा सकता हूं और इस पोस्ट को खत्म कर सकता हूं ... अगर हमें पिछले मीडिया साइबर महामारी के दौरान दर्शकों से कुछ आपत्तियों का सामना नहीं करना पड़ा।

बस पानी डाल पैच डालें

एक बहुत ही लोकप्रिय आपत्ति: "लेकिन क्या ( सेंसरशिप ने मुझे दंडित किया ) क्या बुद्धिमान व्यक्ति ने पैच के बिना इंटरनेट पर सेवा को लटका दिया?", "कमजोरियों के आसपास इतने लंबे समय से हैं - क्या वे वास्तव में समय में अपडेट हो सकते हैं?" और इसी तरह।



यदि आप, हॉक रीडर, WSUS या SCCM के एक क्लिक के साथ बुनियादी ढांचे को अपडेट करते हैं या बहुत कम उपयोगकर्ता हैं जो आप हाथ से सब कुछ डाल सकते हैं, तो आप लेख के अंत में दाईं ओर स्क्रॉल कर सकते हैं - शायद कुछ युक्तियां उपयोगी होंगी। लेकिन बड़े कॉर्पोरेट वातावरण में, जेडी की सुरक्षा का रास्ता इसे बंद करने की भेद्यता के बारे में जानकारी प्राप्त करने से काफी लंबा है।

आईएस अधिकारी के रास्ते में क्या है?

• कार्यस्थानों का एक बड़ा बेड़ा जो एक ही समय में कभी भी सुलभ नहीं होता है, और कुछ उपयोगकर्ता भी उन्हें स्वचालित रूप से पुनः आरंभ नहीं कर सकते हैं।
• अनुप्रयोग सॉफ्टवेयर, विशेष प्रोटोकॉल आदि के साथ संगतता के लिए ओएस और हार्डवेयर पैच का परीक्षण करने की आवश्यकता।
• मुख्य प्रणालियों पर लोड परीक्षण ताकि पैच गलती से सिस्टम की गति को न मारें (जो स्पेक्टर / मेल्टडाउन के इतिहास को याद नहीं करते हैं, कृपया xakep.ru/2018/01/10/meltdown-spectre-slowdown )।
• एक सरल व्यवसाय प्रक्रिया और सेवा, जो एक कॉर्पोरेट वातावरण में भी समन्वय करना मुश्किल है, और जब आईसीएस उपकरणों में कमजोरियों की बात आती है ... ठीक है, यह पूरी तरह से एक और कहानी है।

सामान्य तौर पर, मुझे उम्मीद है कि निकट भविष्य में (यह एक वादा-बिगाड़ने वाला है) हम कॉर्पोरेट वातावरण में भेद्यता प्रबंधन के विषय पर एक अलग लेख या चक्र लिखेंगे। इस बीच, हम अपने आप को आंकड़ों तक सीमित रखते हैं - एक औसत कंपनी को कमजोरियों के साथ कब तक काम करने की जरूरत है:



जैसा कि आप देख सकते हैं, 40 दिनों से कम समय में, एक दुर्लभ बड़ी पक्षी कंपनी भेद्यता समस्याओं को बंद कर देती है। इसलिए, बड़े संगठनों को प्रतिपूरक उपायों, प्राथमिकताओं और अन्य लाठी और रस्सियों के बारे में सोचना होगा, जिन्हें नई महत्वपूर्ण कमजोरियों की समस्या को हल करने के लिए काम करने की आवश्यकता है।

भेड़ियों, भेड़ियों, या एक लूट के बिना

ऐसा लगता है कि पहले से उल्लेखित सभी समस्याओं और अद्यतन करने की कठिनाइयों के साथ, यह केवल सबसे महत्वपूर्ण अंतराल को पैच करने के लिए समझ में आता है। या, जैसा कि ब्लूकीप -1 के बारे में हमारी खबर पर विशेषज्ञों में से एक की टिप्पणी में लिखा गया है, केवल उन लोगों के लिए जो पहले से ही सार्वजनिक रूप से तैयार शोषण है। स्थिति वास्तव में अस्तित्व का अधिकार है: क्यों आईटी विशेषज्ञों को चलाने और उनके साथ संबंध खराब करने के लिए व्यर्थ? और यह सुनिश्चित करने के लिए कि लड़के के बारे में कल्पित कहानी, जिसे हमने अनुभाग के शीर्षक में निर्दिष्ट किया है, हर कोई जानता है, लेकिन, हमेशा की तरह इस स्थिति में, एक अति सूक्ष्म अंतर है।

और इसमें यह तथ्य शामिल है कि साल-दर-साल हम साइबर अपराधियों के उपकरणों के दोहराया विकास और डार्कनेट में "नए उत्पादों" के आवेदन की दर देखते हैं। इससे पता चलता है कि बहुत कम समय में भेद्यता के लिए लिखे गए शोषण का उपयोग पहले से ही कंपनियों के बुनियादी ढांचे पर हमले में किया जा सकता है। और इस मामले में, कॉर्पोरेट सुरक्षा अधिकारी के पास अब काउंटरमेस तैयार करने, पैक करने और लेने का अवसर नहीं है। चित्रण के लिए, कुछ आँकड़े:



Time2Attack

यह बड़े विश्लेषणों का एक अंश है, जो समय-समय पर एक सार्वजनिक शोषण की उपस्थिति के लिए भेद्यता के वास्तविक प्रकाशन के बीच अंतराल को समाप्त करता है, और फिर शोषणकर्ता से हमलावरों के पहले सार्वजनिक (ज्ञात) हमले तक। आइए अब हम ब्ल्यूकीप के साथ स्थिति को छोड़ दें, जो वास्तव में अभी तक स्वतंत्र प्रकृति में नहीं दिखा है, लेकिन बाकी सभी स्थितियों के लिए यह काफी सांकेतिक है: एक नियम के रूप में, यह महीनों के बारे में नहीं है, लेकिन शोषण के प्रकट होने से पहले के हफ्तों के बारे में है, और इसके बाद के दिनों के बारे में है। पहले उपयोग करें। स्थिति Adobe भेद्यता (CVE-2018-15982) के लिए विशेष रूप से दुखी दिखती है, जिसका उपयोग शोषण की उपस्थिति के एक दिन बाद हमले में किया गया था। पोस्ट को थोड़ा ऊपर स्क्रॉल करें और देखें कि अगर हम शोषण का इंतजार करते हैं तो हमारे पास बुनियादी ढांचे पर पैच लगाने का समय नहीं है। इसलिए, इसके बिना हमारे जीवन की वास्तविकताओं में, यह काफी "ढाल" है और आईटी विभागों के साथ संभावित समस्याओं के डर के बिना, पहले हमारे बुनियादी ढांचे की देखभाल करना बेहतर है।

कुछ उपयोगी / बेकार (रेखांकित) युक्तियाँ

यह सब तर्क हमें किस ओर ले जाता है? प्रत्येक पहचानी गई महत्वपूर्ण भेद्यता का जवाब देने के लिए किसी कंपनी को आदर्श रूप से एक नक्शा या कार्यप्रणाली की क्या आवश्यकता होती है? प्रत्येक मामले में, वह शैतान के लिए व्यक्तिगत होगी, लेकिन मैं खुद से कुछ उपयोगी सुझाव साझा करना चाहती हूं।

• हम एक नियमित आधार पर कमजोरियों की निगरानी करते हैं, एक शोषण प्रकट होने से पहले "आतंक" के लिए शुरू करते हैं - प्रक्रिया को व्यवस्थित करना उतना मुश्किल नहीं है जितना लगता है। हम विक्रेता साइटों (पैच मंगलवार, आदि), समाचार फ़ीड, कई विषयगत हाबरा खातों और अन्य ब्लॉगों की सदस्यता लेते हैं, बुनियादी ढांचे से विशिष्ट विक्रेताओं से समाचार पत्र जोड़ते हैं और सुबह में कम से कम एक बार प्रकाशित जानकारी पढ़ते हैं। यह आमतौर पर अद्यतित रहने के लिए एक अच्छा पहला कदम है।
• हम खुली सेवाओं के लिए संगठन की परिधि की जांच करते हैं - इन्फ्रास्ट्रक्चर की जटिलता अब बढ़ रही है, और आईटी विभागों के काम पर नियंत्रण जटिल है (इसलिए, परिधि पर आरडीपी बड़ी कंपनियों में भी आश्चर्य की बात नहीं है)। इसका मतलब यह है कि आपको महत्वपूर्ण भेद्यता का पता लगाने के तथ्य पर कम से कम एक बार नीट स्कैन के साथ अपने बाहरी पते की जांच करने की आवश्यकता है, और आदर्श रूप से इसे नियमित रूप से करें (समुद्र से उपकरण - लगभग मुफ्त शोडान से वाणिज्यिक सेवाओं तक)। और हां, इस प्रक्रिया को आपके दांतों को ब्रश करने जैसा माना जाना चाहिए।
  
  नायब! बेशक, यह केवल तभी काम करेगा जब हम वास्तव में हमारे बाहरी परिधि और बाहरी पते जानते हैं और इसकी सूची में लगे हुए हैं।
• ऑपरेटिंग सिस्टम या कार्यालय सॉफ्टवेयर पर आरसीई कमजोरियों के मामले में, वर्कस्टेशन को पहले पैच ज़ोन में शामिल किया जाना चाहिए। बेशक, सबसे महत्वपूर्ण सर्वर सेगमेंट में संग्रहीत किया जाता है, लेकिन परिधि के बंद होने पर हार का पहला बिंदु उपयोगकर्ता (फ़िशिंग ईमेल, संक्रमित फ्लैश ड्राइव, आदि के माध्यम से) होने की संभावना है और उनसे महामारी पूरे नेटवर्क में फैल जाएगी। इसके अलावा, AWP पर पैच स्थापित करना, एक नियम के रूप में, समन्वय और परीक्षण चक्र के संदर्भ में कम दर्दनाक है।
• यदि हम नेटवर्क के बीच SOA / IPS का उपयोग करते हैं, तो हम कमजोरियों के शोषण के संकेतों की पहचान करने के लिए विक्रेताओं से हस्ताक्षर की प्रतीक्षा कर रहे हैं, या हम इसे स्वयं लिखेंगे (यदि हमारे पास आवश्यक विशेषज्ञता है)। एक विशेष खंड में खतरे को अलग करने से क्षति के क्षेत्र में काफी कमी आएगी।
• फिर भी, हम तब तक शांत नहीं होते जब तक हम पूरे बुनियादी ढांचे पर पैच नहीं डालते। मालवेयर डिलीवरी वैक्टर और मेलफैक्टर्स के हमले बेहद विविध हैं, और यहां तक ​​कि एक बचत पुस्तक भी हमारे जीवन में कोई गारंटी नहीं देती है।

मुझे आशा है कि हमारी सिफारिशें किसी को अगले ज़ोंबी बड़े हमलों से जल्दी से लड़ने में मदद करेंगी।