WannaCry, NotPetya, BadRabbit और अन्य रैंसमवेयर वायरस हैं जिन्होंने लगभग एक या दो साल पहले पूरी दुनिया को परेशान किया था। आज इस प्रकार के वायरस के हमलों के बारे में शोर कम है, लेकिन हमलों के साथ कहानियां अभी भी होती हैं। इस लेख में, मैं इस तरह के वायरस के हमले को रोकने के लिए उपकरणों में से एक दिखाऊंगा: जल्दी से एक घुसपैठ का पता लगाएं और समस्या का स्थानीयकरण करें। लॉग एनालिटिक्स और घुसपैठ संरक्षण उपकरण क्वेस्ट इनट्रस्ट की मदद से यह सब। बिल्ली के नीचे स्क्रीनशॉट और दुर्भावनापूर्ण लिपियों के भंडार के लिए एक कड़ी है। चलो चलते हैं!

क्वेस्ट इनट्रस्ट एक एकीकृत समाधान है जिसमें विभिन्न प्रकार के उपकरणों के लिए विभिन्न प्रकार के लॉग्स, सिसलॉग डेटा और रेडी-मेड पार्सर का संग्रह शामिल है। हमलों को रोकने के लिए कार्रवाई करने के लिए पूर्वनिर्धारित नियम हैं। अब हम एक एनक्रिप्ट वायरस वायरस के हमले और डोमेन नियंत्रक तक पहुंच प्राप्त करने के उदाहरणों के साथ इस सब पर करीब से नज़र डालेंगे

रैंसमवेयर हमला

हमले का सिद्धांत नई एन्क्रिप्ट की गई फ़ाइलों या फ़ोल्डरों को बनाना और मूल लोगों को हटाना है। खैर, फिर बिटकॉइन या किसी अन्य तरीके से फिरौती का अनुरोध करें। इस प्रकार के हमले की परिभाषा बड़े पैमाने पर विलोपन और फ़ाइल निर्माण का पता लगाने पर आधारित है। खासकर अगर स्कूल के घंटों के बाद ऐसा होता है।


परिवर्तन की घटनाओं को इकट्ठा करने के लिए, हम क्वेस्ट चेंज ऑडिटर ऑडिट समाधान के साथ एकीकरण का उपयोग करते हैं (यह पहले से ही पिछले लेख के बारे में लिखा गया था और यहां तक ​​कि एक प्रतियोगी से उत्पाद की तुलना में )। इस स्रोत से घटनाओं के लिए, InTrust ने विसंगतियों का पता लगाने के लिए पूर्वनिर्धारित नियम बनाए हैं। बेशक, आप यहां किसी भी ईवेंट प्रोसेसिंग लॉजिक को जोड़ सकते हैं। मेरे उदाहरण में, यह निर्धारित किया जाता है कि बल्क में फाइलें बनाते समय (1 मिनट में 5 से अधिक टुकड़े), उपयोगकर्ता खाता अवरुद्ध हो जाएगा और साझा निर्देशिकाओं तक पहुंच से इनकार कर दिया जाएगा।



नीति सेटिंग्स उस निर्देशिका को इंगित करती हैं, जिस पर नियम लागू होता है और सूचनाओं की सूची। यदि विज्ञापन में कर्मचारी अधीनता के बारे में जानकारी है, तो आप उसके पर्यवेक्षक को एक पत्र भेज सकते हैं। एक उपयोगी मामला फाइलों तक पहुंचने के प्रयासों की पहचान है, ऐसा प्रतीत होता है, इस विशेष कर्मचारी द्वारा कर्तव्यों के प्रदर्शन के लिए आवश्यक नहीं हैं। बर्खास्तगी से पहले यह विशेष रूप से प्रासंगिक हो सकता है, जब आप अपने साथ तैयार किए गए विकास को लेना चाहते हैं।



सभी सेटिंग्स की जांच करने के बाद, आइए पहले से तैयार स्क्रिप्ट-एनक्रिप्ट पर जाएं। और इसे चलाते हैं।



हमले का पता लगाने की सेटिंग्स में, "5 से अधिक फाइलें" इंगित की गई थीं, जैसा कि आप देख सकते हैं, 7 फाइलों के बाद वायरस को रोक दिया गया था (उपयोगकर्ता को अवरुद्ध कर दिया गया था और निर्देशिका तक पहुंच अक्षम थी)। उतरना आसान। उसी समय, जिम्मेदार कर्मचारियों ने सूचनाएं प्राप्त कीं।

एक डोमेन नियंत्रक पर हमला

नीचे हमले का परिदृश्य है, जो आपको प्रशासनिक खाते तक पहुंचने की अनुमति देता है और, परिणामस्वरूप, डोमेन नियंत्रक। विशेष दुर्भावनापूर्ण cmdlets के निष्पादन का पता लगाने (उदाहरण के लिए, डोमेन खाते को लोड करना) को पूर्वनिर्धारित क्वेस्ट इनट्रस्ट नियमों (नीचे दी गई छवि में चयन में पहली पंक्ति) की सूची में शामिल किया गया है। इसके अलावा, मेरे उदाहरण में, "सफेद शीट" से उपयोगकर्ताओं को संकेत दिया जाता है कि नियम लागू नहीं होते हैं (नीचे की छवि में चयन में दूसरी पंक्ति)।



इनवोक-मिमिक्ज स्क्रिप्ट का उपयोग करके, खाते के विवरण के डंप का निर्माण सक्षम है। इसी समय, फ़ाइल सिस्टम पर कोई फ़ाइल नहीं बनाई गई है। सबसे पहले, उस खाते का नाम जांचें जिसके तहत आप लॉग इन हैं। जैसा कि आप देख सकते हैं, यह उपयोगकर्ता "सफेद सूची" से है, जो किसी भी cmdlets को स्वतंत्र रूप से निष्पादित कर सकता है।



फिर हम पहले से तैयार स्क्रिप्ट पर अमल करते हैं। आउटपुट पर, हमें एक निष्कर्ष मिलता है जिसमें हम अपने परीक्षण उपयोगकर्ता का विवरण पाते हैं।



अगले चरण में, हमें पता चलता है कि यह उपयोगकर्ता किन समूहों से संबंधित है। प्रशासक समूह मौजूद हैं।



अब हम डोमेन नियंत्रकों के नाम सीखते हैं। मेरे उदाहरण में, वह अकेला है।



एक संभावित हमले में अगला कदम एक डोमेन नियंत्रक पर लॉगिंग है। यह उस पासवर्ड को दर्ज करने के लिए बना हुआ है जिसे पहले ही हाइलाइट किया जा चुका है।



और डोमेन नियंत्रक पर किसी भी कमांड के निष्पादन के लिए पहुँच प्राप्त करें।



अब चलो क्रियाओं के समान एल्गोरिथ्म को करने की कोशिश करते हैं, लेकिन एक उपयोगकर्ता की ओर से जिसे InTrust में "श्वेत सूची" में नहीं जोड़ा गया था। प्रयोग की शुद्धता के लिए, हम उपयोगकर्ता नाम की जाँच करते हैं। फिर हम इनवोक-मिमिकेज़ स्क्रिप्ट पर अमल करते हैं।



इनट्रस्ट में उल्लिखित कार्यों में टर्मिनल एक्सेस सत्र की समाप्ति और उपयोगकर्ता को अवरुद्ध करना था। जो हुआ वही हुआ।



अब फिर से इस खाते की जाँच करें।



हमले को रोका जाता है, उपयोगकर्ता को अवरुद्ध किया जाता है, दुनिया को बचाया जाता है।

यदि आपके पास विभिन्न प्रकार के घुसपैठियों से निपटने के लिए आपकी अपनी नीतियां हैं, तो आप उन्हें इनट्रस्ट में भी निर्दिष्ट कर सकते हैं। InTrust के आधार पर अन्य क्वेस्ट उत्पादों ( चेंज ऑडिटर और एंटरप्राइज रिपोर्टर ) के साथ मिलकर, आप व्यापार पर डिजिटल हमलों के गंभीर परिणामों की पहचान करने और उन्हें रोकने के लिए एक पूर्ण-संचालित CRM सिस्टम का निर्माण कर सकते हैं।

पायलट प्रोजेक्ट के हिस्से के रूप में आपके वातावरण में इनट्रस्ट और अन्य क्वेस्ट उत्पादों को आजमाया जा सकता है। अधिक जानने के लिए एक अनुरोध छोड़ दें ।

टैग gals सॉफ्टवेयर पर हमारे अन्य लेख।