माइनर्स, डायवर्सर्स और कोबाल्ट: हम ग्राहकों को सुरक्षित इंटरनेट एक्सेस कैसे प्रदान करते हैं

उनके जीवन का प्रत्येक सुरक्षा अधिकारी इस तथ्य के साथ आया है कि कर्मचारी इंटरनेट पर जाते हैं, परदे के पीछे से, धार के माध्यम से फिल्में डाउनलोड करते हैं और टीम व्यूअर का उपयोग करते हैं। इस पोस्ट में, हम इस बारे में थोड़ी बात करेंगे कि हम सेवा मॉडल का उपयोग करके सुरक्षित इंटरनेट एक्सेस के आयोजन के साथ समस्याओं को कैसे हल करते हैं और ग्राहकों के साथ हमारे सामने आने वाले नारकीय मामलों को साझा करते हैं।

बहुत समय पहले नहीं, हमने यूनिफाइड साइबर स्पेस सर्विसेज प्लेटफॉर्म (EPSC) की वास्तुकला के बारे में बात की , जो कि प्रबंधित साइबर सुरक्षा सेवाओं के सौर MSS पारिस्थितिकी तंत्र का मूल है। में नेटवर्क खतरों से सुरक्षा पर सेवा भी शामिल है - यूनिफाइड थ्रेट मैनेजमेंट (UTM)।

प्रत्येक UTM निर्माता के कार्यों का अपना सेट होता है। हमारे पास निम्नलिखित हैं:

1. फ़ायरवॉल;
2. घुसपैठ की रोकथाम प्रणाली;
3. नेटवर्क एंटीवायरस;
4. वेब ट्रैफ़िक फ़िल्टरिंग
5. अनुप्रयोग उपयोग नियंत्रण।

यह अक्सर होता है (यह बैंकों या खुदरा के लिए विशेष रूप से सच है) कि एक कंपनी का एक प्रधान कार्यालय है जिसमें सूचना सुरक्षा अधिक या कम स्वीकार्य स्तर पर है, और एक शाखा नेटवर्क भी है जहां सब कुछ इतना सरल नहीं है। प्रत्येक कार्यालय का अपना सिस्टम प्रशासक होता है और अपने स्वयं के झुनझुने। और इस पूरे बुनियादी ढांचे की सुरक्षा के लिए एक सुरक्षा गार्ड जिम्मेदार है। खैर, या सूचना सुरक्षा विभाग, लेकिन, एक तरह से या किसी अन्य में, वे दूरस्थ विशेषज्ञ हैं।

निम्नलिखित समस्याएं आमतौर पर यहां उत्पन्न होती हैं: सबसे पहले, आपको किसी तरह प्रत्येक दूरस्थ सिस्टम व्यवस्थापक के कार्यों को नियंत्रित करने की आवश्यकता है। दूसरे, और इससे भी महत्वपूर्ण बात, यह आवश्यक है कि किसी भी तरह से सभी शाखाओं के लिए सुरक्षा उपकरणों की एकीकृत सेटिंग्स को रोल आउट किया जाए, और फिर सत्यापित करें कि वे सही और जल्दी से अपडेट किए गए हैं। इस स्थिति में कई सुरक्षा गार्ड भी बहुत जल्दी सभी शाखाओं के लिए इंटरनेट एक्सेस को केंद्रीकृत करने के विचार के साथ आते हैं, जो बहुत मुश्किल है। ऐसा करने के लिए, आपको सभी शाखाओं और प्रधान कार्यालय (या डेटा सेंटर) के बीच कनेक्टिविटी स्थापित करने और परिधि से केंद्र तक सभी ट्रैफ़िक को निर्देशित करने की आवश्यकता है। यह काफी महंगा है, साथ ही पहले और दूसरे सवाल अनसुलझे हैं।

हमारा व्यवसाय मॉडल एक ही बार में इन सभी समस्याओं के समाधान की पेशकश करने के लिए बनाया गया है। हम वर्चुअलाइज्ड सूचना सुरक्षा सेवाओं के एक मंच के माध्यम से ग्राहक साइटों की कनेक्टिविटी को व्यवस्थित करते हैं। नतीजतन, कार्यालयों से इंटरनेट और बैक तक का सारा ट्रैफ़िक UTM से होकर जाता है।



इस प्रकार, हम इंटरनेट के लिए एक केंद्रीकृत पहुँच, सभी शाखाओं के लिए एक समान सेटिंग्स और सूचना सुरक्षा के लिए नियंत्रण का एक बिंदु प्राप्त करते हैं। यह सुनिश्चित करता है कि ऐसी स्थितियाँ नहीं हैं जब सिस्टम प्रशासक ने एक बार दूरस्थ प्रशासन पोर्ट खोले और उन्हें बंद करना भूल गया, और फिर कंपनी उनके माध्यम से हैक कर ली गई। समानांतर में, यह संगठन की शाखाओं को एक एकल केएसपीडी में संयोजित करने की समस्या को हल करता है (हमने पहले से ही एसडी-वैन तकनीक के "अच्छाइयों" के बारे में बात की थी)।

इसके अतिरिक्त, यह दृष्टिकोण कंपनी में निषिद्ध अनुप्रयोगों के उपयोग के जोखिम को कम करने में मदद करता है। आमतौर पर, ग्राहक को प्लेटफ़ॉर्म से जोड़ने के बाद, हम पहले सबसे लोकप्रिय अनुप्रयोगों को देखते हैं और मूल्यांकन करते हैं कि वे कितने ट्रैफ़िक का उपभोग करते हैं। यह आपको दूरस्थ प्रशासन, टोरेंट, हैकिंग उपयोगिताओं और पायरेटेड सॉफ़्टवेयर के लिए टूल के उपयोग की शीघ्रता से पहचान करने की अनुमति देता है।

माइनिल-मिनिल, लेकिन मेरा नहीं था

एक संगठन में, हमने एक सिस्टम एडमिनिस्ट्रेटर की पहचान की, जो अपनी कंपनी के संसाधनों का उपयोग करके कैश डेस्क को छोड़े बिना , एक क्रिप्टैक्स - एक खनन व्यक्ति का उपयोग करता था। माइनर एक परीक्षण सर्वर पर स्थापित किया गया था और इसलिए तब तक किसी का ध्यान नहीं गया जब तक कि ग्राहक अपने बुनियादी ढांचे को हमारे प्लेटफॉर्म से नहीं जोड़ता।



सामान्य तौर पर, मैं क्रिप्टोकरेंसी की दरों का पालन नहीं करता हूं, लेकिन, जाहिरा तौर पर, वे फिर से बढ़ रहे हैं - हाल ही में हम अक्सर ऐसे मामलों में सामने आए हैं जब प्रशासक कॉर्पोरेट सर्वर पर मेरा प्रयास करते हैं।

फाइलें डालो

एक अन्य ओपेरा से एक उदाहरण। हमने अगले ग्राहक को प्लेटफ़ॉर्म से जोड़ा, जिसने आधिकारिक तौर पर अपने सभी प्रशासकों को टीम व्यूअर का उपयोग करने की अनुमति दी। दरअसल, हम इस तरह के अभ्यास का स्वागत नहीं करते हैं, लेकिन अब यह हर जगह है, और सामान्य तौर पर, हमारा व्यवसाय चेतावनी देना है। और कुछ बिंदु पर हम देखते हैं कि कम-ज्ञात रिमोट एडमिनिस्ट्रेशन टूल स्पलैशटॉप के माध्यम से एक दिन में एक बार एक बार में से एक के वर्कस्टेशन पर एक कनेक्शन स्थापित होता है।



ग्राहक को सूचित किया - अपेक्षा के अनुसार, कार्रवाई अधिकृत नहीं थी। हमने होस्ट से सत्रों को देखा: यह पता चला कि जिस समय स्पलैशटॉप को लॉन्च किया गया था, उस समय बाहरी फ़ाइल होस्टिंग सेवा के साथ एक कनेक्शन स्थापित किया गया था, जहां लगभग 500 एमबी स्थानांतरित किया गया था। दुर्भाग्य से, मेजबान लॉगिंग कॉन्फ़िगर नहीं किया गया था, इसलिए घटना के कारण को जल्दी से निर्धारित करना संभव नहीं था। उन्होंने हार्ड ड्राइव का विश्लेषण करना शुरू किया और एक समझौता सूचक पाया - हमारे थ्रेट इंटेलिजेंस डेटाबेस में सूचीबद्ध फ़ाइलों में से एक का एक हैश। यह फ़ाइल PassView उपयोगिता के रूप में निकली, जिसका उपयोग छिपे हुए पासवर्ड को निकालने के लिए किया जाता है। एंटी-वायरस ने इसे केवल अवांछनीय सॉफ़्टवेयर (वायरस नहीं) के रूप में परिभाषित किया और कोई कार्रवाई नहीं की। और इस उपयोगिता की विधानसभा में एक दूरस्थ प्रशासन उपकरण निकला - स्प्लैशटॉप।

लॉग की कमी के कारण, यह ज्ञात नहीं है कि हमलावर ने बुनियादी ढांचे में कितना समय बिताया है, लेकिन अंतिम कनेक्शन के साथ, कई आंतरिक दस्तावेज "जिसमें" स्टांप स्टैम्प "पार्टिकलबोर्ड" "बाएं" कंपनी शामिल है।

स्यूडोएडामिन स्थानीय फैल

हमारे डेटा के अनुसार, सभी आंतरिक सूचना सुरक्षा घटनाओं में से लगभग 50% गोपनीय जानकारी के ठीक लीक हैं। मुझे कहना होगा, हमारे कई वर्षों के अभ्यास के लिए, हमने बड़ी संख्या में आंतरिक उल्लंघनों का सामना किया है। अक्सर उनकी पहचान वास्तव में एक घास के मैदान में सुई के लिए खोज होती है: सूचना स्रोतों की एक छोटी संख्या की स्थितियों में, कई नियमित कार्यों को हल करना पड़ता है, जबकि यूटीएम में, वेब ट्रैफिक फ़िल्टरिंग मॉड्यूल लीक से निपटने में मदद करता है। तो आप होस्टिंग फाइल करने के लिए पहचान और / या ब्लॉक को एक्सेस कर सकते हैं।

हमारे ग्राहकों में से एक में, प्रशासकों को फ़ाइल होस्टिंग सेवाओं का उपयोग करने की अनुमति दी गई थी, लेकिन बाकी कर्मचारी नहीं थे। रिपोर्ट संकलित करते समय, हमने देखा कि एक प्रशासक बाकी संसाधनों की तुलना में बहुत अधिक जानकारी अपलोड करता है। हमने ग्राहक को सूचित किया - इस तथ्य ने उसे बहुत आश्चर्यचकित किया। व्यवस्थापक ने दावा किया कि उसने इस महीने में फ़ाइल साझाकरण का उपयोग नहीं किया।



उन्होंने UTM लॉग का विश्लेषण करना शुरू किया और देखा कि दो अलग-अलग मेजबानों से व्यवस्थापक खाते के प्रमाणीकरण के तहत जगह लेता है। उपयोगकर्ताओं में से एक ने बिना किसी प्रतिबंध के व्यवस्थापक पासवर्ड और संगठन के लिए संवेदनशील डेटा को चुरा लिया। उपयोगकर्ता की गणना करना मुश्किल नहीं था: उसने व्यवस्थापक के रूप में और उसी मेजबान से अपने तहत लॉग इन किया।

सौर जेएसओसी की देखरेख में

इसलिए हां, पहले से मौजूद घटनाक्रमों को छोड़ना मूर्खतापूर्ण होगा, इसलिए ईपीसीएस मंच हमारे एसओसी के अनुभव और ज्ञान का सबसे अधिक उपयोग करता है - उदाहरण के लिए, खतरों पर जानकारी एकत्र करने और एकत्र करने के मामले में। यह विभिन्न घटनाओं का पता लगाने और उन्हें रोकने में बहुत मदद करता है।

इसलिए, ग्राहकों में से एक के साथ पायलट कनेक्शन के चरण में, जांच के दौरान संचित संकेतकों के हमारे डेटाबेस के लिए धन्यवाद, हमने पाया कि कुछ मेजबान आईपी पते का उपयोग करते हैं जो हैकर समूह कोबाल्ट से संबंधित हैं।



हमने इन मेजबानों की जांच की - यह पता चला कि एक वर्ष से अधिक समय तक (बस!), एंटीवायरस हस्ताक्षर अपडेट नहीं किए गए थे और मशीनें ट्रोजन से संक्रमित थीं। सौभाग्य से, यह एक बैंक नहीं था, इसलिए कंपनी को केवल इस तथ्य से बचाया गया था कि वे घुसपैठियों के लिए प्रतिबंध थे।

उनके फ़ायरवॉल के साथ समस्याओं के कारण एक और कंपनी पायलट के पास आई। हर दो दिन में वह युद्ध की घोषणा किए बिना "गिर गया"। ग्राहक सटीक समस्या की पहचान नहीं कर सका - उसने सुझाव दिया कि दोष यातायात की मात्रा पर था। लेकिन, चूंकि नए फ़ायरवॉल के लिए कोई पैसा नहीं है, इसलिए हमने एक सेवा मॉडल पर स्विच करने के विकल्प पर विचार करने का फैसला किया।

हमारे प्लेटफ़ॉर्म से कनेक्ट होने के बाद पहले 10 मिनट में, हमने एक दिलचस्प और एक ही समय में भयानक तस्वीर देखी: संगठन के चार होस्ट 445, 22, 3389 पोर्ट पर पूरे इंटरनेट को स्कैन करते हैं, और वे प्रसिद्ध सी एंड सी सर्वर भी एक्सेस कर रहे हैं।



ग्राहक को तुरंत सूचित किया गया, मेजबानों को अवरुद्ध कर दिया गया। कार्यवाही के दौरान, यह पता चला कि वे ठेकेदार के विशेषज्ञों से संबंधित हैं, जो ग्राहक की साइट पर कुछ काम करते हैं और विभिन्न प्रकार के मैलवेयर से संक्रमित अपने निजी लैपटॉप का उपयोग करते हैं। यदि ग्राहक के सार्वजनिक IP पते से कोई हमला हुआ है, तो इसे हल्के प्रतिष्ठा के लिए रखा जाएगा।

Artyom Kildyushev, सोलर JSOC उत्पादों और सेवाओं के लिए विशेषज्ञ परिरक्षकों का एक समूह