पचोटी - की गिनती नहीं है: चेहरे और रंगों में पैच प्रबंधन की कहानी

संभवतः सभी एसओसी विश्लेषक सो रहे हैं और देखते हैं कि कैसे उनके पता लगाने के नियम सरकार समर्थक एपीटी समूहों की फैशनेबल तकनीकों को पकड़ते हैं, और जांच से शून्य-दिन कमजोरियों के लिए कारनामों की खोज होती है। दुर्भाग्य से (या सौभाग्य से), ज्यादातर घटनाओं से औसत प्रतिक्रिया विशेषज्ञ को निपटना बहुत कम रोमांटिक होता है: वितरण के लिए बिना नाम बदलने वाले PsExecs का उपयोग करना, विशेषाधिकार वृद्धि के लिए क्लासिक यूएसी बाईपास के तरीके, और बड़ी संख्या में कमजोरियां, जिनके लिए पैच लंबे समय से जारी हैं। ।



पिछली घटनाओं को याद करते हुए, एक अनजाने में यह निष्कर्ष निकलता है कि उनमें से लगभग हर एक को आसानी से रोका जा सकता है अगर ... यदि सब कुछ किया जाता है, तो यह पहले से ही कई बार अलग-अलग मैनुअल और सर्वोत्तम सूचना सुरक्षा प्रथाओं में वर्णित किया गया है। इसलिए, आज मैं न केवल हमारे हाल की घटना प्रतिक्रिया मामलों में से एक के बारे में बात करना चाहता हूं, बल्कि आपको "टर्नकी सिस्टम" पर भी पैच स्थापित करने की आवश्यकता की याद दिलाता है।

अब तक, अक्सर एक गलत धारणा है कि सूचना सुरक्षा एक कार्य होना चाहिए, लेकिन एक प्रक्रिया नहीं। एक नियम के रूप में, यह निम्नानुसार है: "यह हमारे लिए सुरक्षित रूप से करें, और फिर हम खुद सब कुछ का समर्थन करेंगे।" सूचना सुरक्षा के क्षेत्र में व्यवसाय की विशेषताएं ऐसी हैं कि सेवा इंटीग्रेटर कंपनी, जो "इसे सुरक्षित करती है", ग्राहक के साथ बहस नहीं करेगी। करेंगे और आगे बढ़ेंगे - सूचना सुरक्षा को जन-जन तक ले जाने के लिए। और ग्राहक, काम के वितरण और अनुबंध के तहत धन के भुगतान के कृत्यों पर हस्ताक्षर करने के बाद, इस भोले विश्वास में रहेगा कि उसके साथ सब कुछ ठीक है, सूचना सुरक्षा प्रणाली सदियों से बनाई गई है। आश्चर्य, जैसा कि वे कहते हैं, बाद में आएगा। क्योंकि सूचना सुरक्षा एक सक्रिय, लगातार बदलती प्रक्रिया है जिसे एक बार और सभी के लिए तय नहीं किया जा सकता है। और उपभोक्ता अक्सर इस "छोटी सुविधा" के बारे में भूल जाते हैं। सूचना सुरक्षा, किसी भी व्यावसायिक प्रक्रिया की तरह, इसमें कई तत्व होते हैं जिनके बिना यह काम नहीं करता है। उनमें से एक पैच मैनेजमेंट है।

जैसा कि नाम का अर्थ है, पैच प्रबंधन सुरक्षा छेदों को खत्म करने या सुरक्षा के पर्याप्त स्तर (सर्वर सॉफ्टवेयर या ओएस के विशिष्ट) को बनाए रखने के लिए डिज़ाइन किए गए सॉफ़्टवेयर अपडेट के प्रबंधन के साथ-साथ एप्लिकेशन सॉफ़्टवेयर के साथ समस्याओं को हल करने की प्रक्रिया है।

मामले से

लगभग 200 मेजबानों से मिलकर Microsoft समाधानों पर आधारित एक भौगोलिक रूप से वितरित नेटवर्क बंद हो गया। उनमें से दो दूसरे नेटवर्क कार्ड पर चलते हैं और इंटरनेट का उपयोग करते हैं। सभी मामलों में, बुनियादी ढांचा नंबर 187-एफजेड की आवश्यकताओं के तहत गिरना चाहिए "महत्वपूर्ण सूचना इन्फ्रास्ट्रक्चर की सुरक्षा पर"। मुख्य सॉफ्टवेयर की बारीकियों के कारण, दो सेवा कंपनियां बुनियादी ढांचे के रखरखाव में शामिल हैं। "फायर ब्रिगेड" सोलर जेएसओसी को जोड़ने के समय, बुनियादी ढांचा 2 दिनों से अधिक समय तक काम नहीं कर रहा था।

"पैच" स्थापित करने की आवश्यकता, विशेष रूप से जो सुरक्षा को अद्यतन करने के उद्देश्य से हैं, बहुत बार और अक्सर बात की गई है। यदि आप किसी भी खोज इंजन में "पैच प्रबंधन नीति" चलाते हैं, तो परिणाम लगभग 100 मिलियन परिणाम होंगे, जिसके द्वारा आप 2006 में पहले से शुरू हुई पहली सक्रिय चर्चाओं को ट्रैक कर सकते हैं। 2007 की शुरुआत में, SANS ने “पैच मैनेजमेंट” नामक एक दस्तावेज प्रकाशित किया। मानक संचालन का एक हिस्सा ... ”, जिसकी शुरुआत में यह काफी समझदारी से समझाया गया है कि पैच प्रबंधन क्या है और इसकी आवश्यकता क्यों है। इसके अलावा, यह एक ऐसी भाषा में समझाया गया है जो न केवल एक तकनीकी विशेषज्ञ के लिए सुलभ है, बल्कि एक प्रबंधक के लिए भी है जो आईटी से दूर है। हाल ही में NIST स्पेशल पब्लिकेशन 800-40 रिविजन 3. गाइड टू एंटरप्राइज पैच मैनेजमेंट टेक्नॉलॉजीज डॉक्यूमेंट्स 2013 से तारीखों के साथ आता है और महत्वपूर्ण अपडेट की आवश्यकता पर जोर देता रहता है। रूस में भी इतना प्यारा, आईएसओ / आईईसी 27001: 2015 मानक में 12.6 उपधारा शामिल है। "प्रौद्योगिकी भेद्यता प्रबंधन", जिसका उद्देश्य पहचानी गई कमजोरियों के उपयोग को रोकना है।

मामले से
सेवा कंपनियों द्वारा दी गई जानकारी के अनुसार: पिछले 48 घंटों में, लगभग सभी नेटवर्क मेजबान 100% के क्षेत्र में सीपीयू लोड का अनुभव करते हैं और बीएसओडी का कारण बनते हैं। प्रमाणित एंटी-वायरस सॉफ़्टवेयर का उपयोग करने के कई प्रयास विफल रहे हैं: मैलवेयर ट्रोजन के कई बार-बार संक्रमण दर्ज किए जाते हैं। इसके अलावा, दिसंबर 2017 के लिए एंटीवायरस डेटाबेस के रोलबैक का पता चला था। कोई RDP पहुँच नहीं। और केक पर एक चेरी के रूप में: दोनों इंटीग्रेटर्स और घायल पार्टी डायवर्ज से प्राप्त AWP की संख्या पर डेटा। पहले से इस्तीफा देने वाले सिस्टम एडमिनिस्ट्रेटर द्वारा घटना से कई साल पहले आखिरी इन्वेंट्री की गई थी। निरंतरता योजनाओं की कोई झलक नहीं है।



हालांकि, प्राप्त की गई बिखरी हुई जानकारी हमें नेटवर्क के माध्यम से वायरस फैलाने की विधि के बारे में प्रारंभिक निष्कर्ष निकालने की अनुमति देती है और प्रतिरूपण के लिए पहली सिफारिशें देती है।

उनमें से एक मुख्य नेटवर्क पर मैलवेयर के प्रसार को रोकने के लिए SMBv.1 और SMBv.2 प्रोटोकॉल को अक्षम करना है।

जब तक सिफारिशें जारी नहीं की गईं, तब तक मदद के लिए अनुरोध के बारे में 3 घंटे बीत गए।

सबसे व्यापक रूप से ज्ञात वायरल हमले WannaCry और NotPetya हैं। दोनों वायरस विंडोज सिस्टम में SMB प्रोटोकॉल भेद्यता का फायदा उठाते हैं और अप्रैल 2017 में ShadowBrokers समूह द्वारा प्रकाशित किए गए थे। इसी समय, एक महीने पहले, Microsoft ने अपने सुरक्षा बुलेटिन MS17-010 में EternalBlue भेद्यता को कवर करने वाला एक पैच जारी किया। और इसे मई - जून 2017 में "किक" किया गया। इन वायरस हमलों के परिणाम इतने महत्वपूर्ण नहीं होंगे यदि पीड़ितों ने महत्वपूर्ण अपडेट को अनदेखा नहीं किया और समय पर पैच स्थापित किया। दुर्भाग्य से, ऐसे मामलों में भी जाना जाता है जहां महत्वपूर्ण पैच तीसरे पक्ष के सॉफ़्टवेयर की खराबी का कारण बने, लेकिन परिणाम बड़े पैमाने पर वायरस के हमलों के मामले में वैश्विक नहीं थे।

खनन क्रिप्टोक्यूरेंसी के आसपास प्रचार के मद्देनजर, कंपनी नेटवर्क में कमजोरियां विशेष रूप से आकर्षक हो जाती हैं: आप आवश्यक गणनाओं के लिए अन्य लोगों के संसाधनों का उपयोग कर सकते हैं, मेजबानों को भौतिक विनाश के लिए ला सकते हैं।

मामले से

सोलर जेएसओसी फायर ब्रिगेड ने क्रिप्टोमैंसर वायरस के साथ जांच के तहत बुनियादी ढांचे को संक्रमित करने के कई प्रयासों की पहचान की, जिनमें से एक ने इसे फैलाने के लिए इटरनलब्यू भेद्यता का उपयोग किया।

एंटी-वायरस सुरक्षा संगरोध लॉग और नमूनों के विश्लेषण ने प्रभावित बुनियादी ढांचे में WannaMine मैलवेयर की उपस्थिति भी दिखाई, जो कि मोनरो क्रिप्टोक्यूरेंसी के खनन के लिए है। पता लगाए गए वायरस की विशेषताओं में से एक वितरण तंत्र है, जो पहले दिखाई गए WannaCry के समान है। इसके अलावा, स्पीचट्रैडिंग निर्देशिकाओं में, फाइलें मिलीं जो उस संग्रह से पूरी तरह मिलती-जुलती हैं जो शैडोब्रोकर्स ने डेढ़ साल पहले प्रकाशित की थी।

संक्रमित बुनियादी ढांचे में वायरस के हमले को बेअसर करने के लिए काम करते समय, Microsoft द्वारा 2016 से वर्तमान तक कई अपडेट जारी किए गए थे।

जेएसओसी विशेषज्ञ उस समय से लगभग 50 घंटे व्यतीत कर चुके थे जब तक कि बुनियादी ढांचे को "युद्ध" मोड में डाल दिया गया था। इसके अलावा, अधिकांश समय घायल पार्टी, सेवा कंपनियों और हमारी टीम के बीच समन्वय कार्यों पर खर्च किया गया था।

अभ्यास से पता चलता है कि कई समस्याओं से बचा जा सकता है यदि आपने अपने दिमाग से सब कुछ तक पहुंचने की कोशिश नहीं की। इस तथ्य पर भरोसा न करें कि "हमारे पास अपना, विशेष, तरीका है।" डिजिटल युग में, यह प्रतिमान काम नहीं करता है। अब विभिन्न उत्पत्ति की आपदाओं की रोकथाम पर बड़ी संख्या में सिफारिशें और मैनुअल लिखे गए हैं। इसके अलावा, आधुनिक तकनीक के साथ यह करना अपेक्षाकृत आसान है। बचपन से, मुझे सेवा 01 का उत्कृष्ट वाक्यांश याद है: "आग को बाहर निकालने से रोकने के लिए आसान है", जो पैच प्रबंधन के लिए ध्वनि दृष्टिकोण का सबसे अच्छा तरीका दर्शाता है।

किसी स्ट्रीम पर अपडेट कैसे रखें

सबसे पहले, ओएस, एप्लिकेशन और सिस्टम सॉफ्टवेयर घटकों में पुरानी कमजोरियों का तेजी से समापन और नई कमजोरियों के लिए बुनियादी ढांचे में अपडेट के प्रबंधन की प्रक्रिया का निर्माण करना आवश्यक है:

• ओएस अपडेट, एप्लिकेशन और सिस्टम सॉफ्टवेयर घटकों के प्रबंधन के लिए नियमों को विकसित और लागू करना;
• विंडोज सर्वर अपडेट सर्विसेज (WSUS) के सर्वर सेगमेंट में तैनाती और कॉन्फ़िगरेशन पर काम करना - ऑपरेटिंग सिस्टम और Microsoft उत्पादों को अपडेट करने के लिए एक सेवा;
• प्रभावित पक्ष के बुनियादी ढांचे में स्थापित अद्यतनों की प्रासंगिकता की निरंतर निगरानी करना और नए महत्वपूर्ण सुरक्षा अद्यतनों को जल्दी से स्थापित करना।