एसओसी बिल्डरों के मिथकों और किंवदंतियों, या साइबर हमलों की निगरानी और जवाब देने के लिए केंद्रों के बारे में 3 गलत धारणाएं

वी एसओसी फोरम, रूस में घटनाओं का पता लगाने और उनका विश्लेषण करने की सबसे बड़ी घटना कल से शुरू होगा। मुझे यकीन है कि इस हब के कई पाठक वहां होंगे और सूचना सुरक्षा के इस क्षेत्र में बहुत सारी पेशेवर रिपोर्टें सुनेंगे। लेकिन शर्तों, परिभाषाओं और स्थापित अभ्यास के अलावा, जो वास्तविक जीवन में एसओसी फोरम में शामिल है, आपमें से प्रत्येक ने शायद एसओसी के कामकाज, एपीटी हमलों के खिलाफ सुरक्षा, आदि के बारे में बहुत से अलग-अलग राय सुनी हैं। आज हम कई लोकप्रिय मिथकों और किंवदंतियों पर चर्चा करेंगे।



हम उनमें से प्रत्येक पर आपकी राय के लिए इच्छुक हैं, इसलिए हम आपकी टिप्पणियों की प्रतीक्षा कर रहे हैं। बिल्ली में आपका स्वागत है।

मिथक 1 - एक स्ट्रिंग पर एसओसी, या नेटवर्क ट्रैफ़िक का विश्लेषण करने का जादू

बहुत बार, जब बाहरी घुसपैठियों के खिलाफ ग्राहक व्यापक सुरक्षा के साथ चर्चा करते हैं, तो हम सुनते हैं: "और हमारे पास हार्डवेयर ए है, यह विक्रेता की विशेषज्ञता और नए खतरों के बारे में जानकारी से समृद्ध है, और यह हमें बाहरी हमलों से पूरी तरह से बचाता है।" और ठीक है, अगर इन शब्दों के बाद हमें मल्टी-मॉड्यूल एंटी-एपीटी समाधान दिखाया गया - सवाल होंगे, लेकिन उनमें से बहुत कम होंगे। सबसे अधिक बार, इस "यूनिवर्सल डिवाइस" के पीछे एक साधारण आईडीएस है, कभी-कभी https ट्रैफ़िक का विश्लेषण करने के लिए बुनियादी कार्यक्षमता के साथ। हम साइबर सुरक्षा के क्षेत्र में विक्रेताओं की विशेषज्ञता और हैकर्स की गतिविधियों के बारे में उनके ज्ञान के साथ-साथ नेटवर्क ट्रैफ़िक की रिकॉर्डिंग और विश्लेषण की उपयोगिता पर सवाल नहीं उठाते हैं (यह विषय निश्चित रूप से फ़ोरम में बार-बार उठाया जाएगा), लेकिन हम अभी भी दृष्टिकोण की सीमाओं पर ध्यान केंद्रित करना चाहते हैं। जो SOC केवल नेटवर्क इवेंट्स पर केंद्रित है।

• चलो आधार से शुरू करते हैं और कुछ पहले से ही पस्त हैं। 2013 से, हम मैलवेयर के उपयोग के बिना किए गए हैकर हमलों को देख रहे हैं, और कम से कम प्रबंधन सर्वर के साथ बातचीत के लिए एक मॉड्यूल के बिना। हमलावरों के पास वैध दूरस्थ प्रशासन उपकरण आते हैं, जो सही कॉन्फ़िगरेशन फ़ाइल के साथ उन उपयोगकर्ताओं से अप्रभेद्य व्यवहार करते हैं जो घर से काम करना पसंद करते हैं, या आईटी परिपक्वता के निम्न स्तर वाली कंपनियों में दूरस्थ प्रशासक का काम करते हैं। नेटवर्क घटनाओं के स्तर पर, एक सत्र को दूसरे से अलग करना असंभव है, और सत्र शुरू करने के लिए विधि और कारणों के पूर्ण विश्लेषण के लिए, अंतिम सिस्टम से जानकारी की आवश्यकता है।
• यदि RAT का विचार हमलावर के लिए घृणित है या वे एक विशिष्ट हमले के मामले में लागू नहीं हैं, तो https प्रोटोकॉल बचाव के लिए बातचीत के तरीके के रूप में आता है। ट्रैफ़िक की एक प्रति पर, प्रोटोकॉल डिक्रिप्शन संभव नहीं है, इसलिए सेंसर को केवल पैकेट हेडर के बारे में जानकारी के साथ संतोष करना होगा। यह केवल तब उपयोगी होता है जब नियंत्रण केंद्र एक विशिष्ट क्षेत्र में होता है और आईपी द्वारा गणना की जा सकती है। लेकिन अधिक बार हम बड़ी होस्टिंग सेवाओं या सार्वजनिक सेवाओं के बारे में बात कर रहे हैं (हमने पहले Wordpress पृष्ठों को हैक करने के बारे में लिखा था ), जो हमें यह पहचानने की अनुमति नहीं देता है कि वैध कनेक्शन कहां है और समझौता कहां किया गया है।
• इसकी सभी उपयोगिता के लिए, नेटवर्क कनेक्शन (और हम आमतौर पर परिधि क्षेत्र में लोहे के टुकड़े की बात करते हैं) केवल नियंत्रण केंद्र और बॉट ग्राहकों की शीर्ष श्रृंखला के बीच संबंध रिकॉर्ड करते हैं। अक्सर, वर्तमान हमलावर आंतरिक बॉट ग्राहकों के साथ संवाद करने के लिए प्रॉक्सी सी एंड सी सर्वर (इन्फ्रास्ट्रक्चर कैप्चर का पहला स्तर) की एक श्रृंखला का उपयोग करते हैं। इस बिंदु पर, उपकरण के स्थान पर प्रतिबंध हमले का पूरी तरह से पता नहीं लगाता है।
• एक हमलावर के सभी प्रकार के कार्यों के साथ, उसे समय-समय पर इंटरनेट से आने की आवश्यकता नहीं होती है। दूरस्थ पहुंच खाते से समझौता करना संभव है, और फिर किसी व्यवस्थापक या उपयोगकर्ता के वैध अधिकारों के तहत काम करना है। तेजी से, समूह आपूर्ति श्रृंखला पद्धति का उपयोग कर रहे हैं, एक ठेकेदार को हैक करके एक हमला शुरू कर रहे हैं, जिनके पास अक्सर बुनियादी सुविधाओं और सभी समान विशेषाधिकार वाले खातों के लिए एक स्थिर और खराब नियंत्रित चैनल है। हर साल अधिक से अधिक वैक्टर होते हैं, और वे शास्त्रीय उपचार से दूर और दूर होते हैं।
• सामान्य तौर पर, SOC केवल हैकर्स का मुकाबला करने के बारे में नहीं है। आंतरिक हमलावर, आईएस की नीतियों का उल्लंघन या धोखाधड़ी, क्लाइंट डेटा डाउनलोड करना या समझौता करना, और भी व्यापक एसओसी दृष्टिकोण का हिस्सा हैं। और इसके लिए बहुत अधिक जटिल तकनीकों और उपकरणों की आवश्यकता होती है।

मिथक 2 - बिना पैरों के एसओसी, या पहली पंक्ति के बिना काम करना

हमारे पसंदीदा किंवदंतियों में से एक। एसओसी के बारे में चुटकुले, जहां केवल 1 व्यक्ति काम करता है, इसलिए वह थोड़ा 1 है, थोड़ा 2 और थोड़ा 3 समर्थन लाइन है, पहले से ही इंटरनेट पर बाढ़ आ गई है। लेकिन बहुत सारे ग्राहक, बहुत सारी अलग-अलग रिपोर्टें सुनते हैं और लेख पढ़ते हैं, लोहे / प्रक्रिया / प्रौद्योगिकी (आवश्यक के रूप में रेखांकित) के एक जादुई टुकड़े की आवश्यकता के बारे में बात करना शुरू करते हैं जो पहली पंक्ति की सभी समस्याओं को स्वचालित और हल करेगा। और अक्सर ग्राहक के सिर में पहली पंक्ति 24 * 7 ऑपरेशन के मोड के बराबर होती है (अन्य सभी, एक नियम के रूप में, मानक अनुसूची के अनुसार काम करते हैं), यह स्वचालित रूप से कर्मियों की लागत में एक महत्वपूर्ण कमी की भावना पैदा करता है और कुंजी "1 लाइन" में वार्तालाप उत्पन्न नहीं करता है। जरूरत है, चलो दूसरे के साथ तुरंत निर्माण शुरू करें। "

इस किंवदंती की मुख्य समस्या, हमारी राय में, शब्दावली में भ्रम है। अक्सर, जब वक्ता पहली पंक्ति के बारे में बात करता है, तो उसे आईटीआईएल प्रथाओं द्वारा निर्देशित किया जाता है, जहां परमाणु कार्य वास्तव में ऑपरेटरों के हाथों में आते हैं:

• कार्य का स्वागत
• वर्गीकरण
• संदर्भ जोड़ना (संपत्ति या सूचना प्रणाली)
• प्राथमिकता या प्राथमिकता
• प्रणाली / परीक्षा / कतार के लिए जिम्मेदार व्यक्ति की नियुक्ति।

जब इस तरह के कार्यों की बात आती है, तो निश्चित रूप से, कोई समर्पित पहली पंक्ति की आवश्यकता नहीं है: ये प्रक्रियाएं, हालांकि आसान नहीं हैं, पूरी तरह से स्वचालित हैं। पहली पंक्ति से हमारा क्या मतलब है, हमने पहले ही कई बार लिखा है - उदाहरण के लिए यहां )। फिर भी, पहली पंक्ति स्वचालन का विकल्प नहीं है, और एक टीम भी नहीं है जो विशेष रूप से एक प्लेबुक पर काम कर रही है। ये कर्मचारी जिज्ञासु और खोजी हैं, हालांकि उनके पास घटनाओं का विश्लेषण करने और घटनाओं की जांच करने में केवल बुनियादी कौशल हैं। ITIL के संदर्भ में, ऐसी पंक्ति को 2nd कहा जाएगा, जो तुरंत सभी प्रश्नों और विसंगतियों को दूर करती है।

मैं प्रश्न 24 * 7 को नजरअंदाज नहीं करना चाहूंगा। पारी के संगठन के बारे में, रात में ऑपरेटरों और विश्लेषकों की दक्षता, घटनाओं को देखने पर मनोवैज्ञानिक अंधापन, बहुत अधिक कहा गया है। अभिन्न निष्कर्ष लगभग एक ही हैं - पहली एसओसी लाइन और एक गोल-पार पारी अक्षम और अनावश्यक हो जाती है। हमारे हिस्से के लिए, कई वर्षों के लिए, हमने विभिन्न तरीकों की भी कोशिश की है और फिलहाल, एसओसी का संघीय स्तर हमें रात की पाली के दौरान विशेषज्ञ थकान के जोखिम को कम करने की अनुमति देता है (एक महत्वपूर्ण घटना बस एक अलग समय क्षेत्र में भेजी जाती है), फिर भी, मैं कुछ बिंदुओं पर ध्यान देना चाहूंगा।

• ऑपरेटर के लिए शिफ्ट बार कम करना बहुत अच्छा विचार है। सूचना सुरक्षा में एक या तीन दिन के लिए आईटी ड्यूटी के सिद्धांत पर काम करना असंभव है। हालांकि, घटनाओं पर ध्यान बनाए रखना बहुत महत्वपूर्ण है ...
• लेकिन ... पहली पंक्ति का ऑपरेटर नहीं बैठता है, जैसे फिल्म "द मैट्रिक्स" से ऑपरेटर, विसंगतियों की तलाश में कच्चे घटनाओं की धारा को देखता है। कम से कम किसी एसओसी में हमें ज्ञात नहीं है कि हमने इस तरह के दृष्टिकोण का सामना किया है। उनका काम नियमित रिपोर्ट और शिकार का विश्लेषण करना है, या घटनाओं की पहचान करने के लिए परिदृश्यों पर काम करना है। स्विचिंग ध्यान और गतिविधि के प्रकार के इस मोड में (लाइन पर संख्याओं के सही संतुलन के साथ), तेजी से मनोवैज्ञानिक अंधापन के जोखिम हमें कम से कम लगते हैं।

और निष्कर्ष में - कोई फर्क नहीं पड़ता कि स्वचालन कितना दूर चला गया है, यह किसी विशेषज्ञ को छोड़ने के लिए प्रथागत है जो किसी भी महत्वपूर्ण कार्य स्थल पर मशीनों और रोबोटों के साथ स्थिति की निगरानी करता है। और अगर इस मामले में आपका कांटा है "क्या स्वचालन मुझे शिफ्ट शिफ्ट के लिए 5-6 दरों को आवंटित नहीं करने में मदद कर सकता है," तो हमारा जवाब असमान है: यह नहीं हो सकता।

मिथक 3 - एक भी ब्रेक के बिना परफेक्ट SOC, या हम झूठी सकारात्मकता के बिना काम करते हैं

जितना अधिक आप SOC का निर्माण करते हैं या एक MSSP / MDR प्रदाता के साथ काम करते हैं, उतना ही आप आदर्श चाहते हैं। अब, बहुत सारे ग्राहक बाहरी आपूर्तिकर्ताओं के साथ प्रक्षेप्य या पायलट / अनुबंध के लिए पहले स्वतंत्र दृष्टिकोण के आग, पानी और तांबे के पाइप से गुजरे हैं और हर कोई किसी भी तरह आदर्श के लिए प्रयास कर रहा है। और बाहरी सेवा के लिए जिम्मेदार सिर / व्यक्ति की आंखों में आदर्श आमतौर पर वाक्यांश द्वारा व्यक्त किया जाता है "हर अलर्ट एक पुष्टि की गई घटना है" या "हम संदेह की निगरानी नहीं कर रहे हैं - हम हमलों की रिकॉर्डिंग कर रहे हैं।" और दक्षता के प्रमुख पहलुओं के संदर्भ में, उस कथन के साथ बहस करना कठिन है। लेकिन, हमेशा की तरह, शैतान विवरण में है।

सभी उपलब्ध सूचनाओं पर घटना के गहन विश्लेषण के रूप में, अधिकांश एसओसी कुशल के उद्देश्य से हैं। और वे तेजी से पूर्णता के करीब पहुंच रहे हैं, जब उनके पास उसके लिए गोले लॉग प्राप्त करने का अवसर है। आइए हम वायरस सॉफ़्टवेयर (नियंत्रण केंद्र के साथ संचार के पते) के नेटवर्क संकेतकों के संचालन के तथ्यों पर एक घटना के उदाहरण की जांच करते हैं - उन्हें पहचानने के लिए, आपको इंटरनेट पर नेटवर्क प्रवाह पर कुछ जानकारी की आवश्यकता है, उदाहरण के लिए, फ़ायरवॉल लॉग्स, लेकिन अक्सर एक गलत परिणाम देते हैं। यह हमलावर के लिए होस्टिंग पर अपने मैलवेयर प्रबंधन सर्वर को छिपाने के लिए पर्याप्त है, और हम स्वचालित रूप से बड़ी संख्या में झूठी सकारात्मकता का सामना करेंगे। किसी घटना के प्रभावी फ़िल्टरिंग और विश्लेषण के लिए, आरंभ करने वाले मेजबान (ट्रिगर प्रक्रियाओं, खुली कुर्सियां, आदि) पर गतिविधियों को स्थानीय बनाना आवश्यक है। और यह हमें नेटवर्क पर सभी मेजबानों से घटनाओं को जोड़ने की आवश्यकता है।

कुल: एसओसी के लिए विशेष रूप से हमलों का पता लगाने की संभावना के करीब आने के लिए, झूठी सकारात्मकता के बिना, हमें बुनियादी ढांचे की अधिकतम निगरानी कवरेज सुनिश्चित करने की आवश्यकता है - आदर्श रूप से, सभी वस्तुओं से सभी लॉग एकत्र करने के लिए।

यह हमें एक साथ कई समस्याओं की ओर ले जाता है।

1. आईटी विभागों का वास्तविक विरोध ऑडिट के स्तर को बढ़ाने या संग्रह के लिए अतिरिक्त सिस्टम स्थापित करने के लिए (बुराई से बचने के लिए, हम एसीएस खंडों और प्रौद्योगिकीविदों को जोड़ने के विषय पर भी नहीं छूएंगे)। संगतता परीक्षण, सिस्टम पर लोड में अप्रत्याशित वृद्धि और अन्य कारक जो बुनियादी ढांचे की समग्र उपलब्धता को प्रभावित कर सकते हैं, आईटी और सूचना सुरक्षा के बीच युद्ध के अगले दौर के लिए ट्रिगर हैं। और अक्सर वे एसओसी से बुनियादी ढांचे की निगरानी के नक्शे पर सिर्फ बड़े सफेद धब्बे छोड़ते हैं।
2. पूर्ण कवरेज बनाए रखना। सभी सर्वरों से सभी लॉग एकत्र करना संभव नहीं है। उदाहरण के लिए, नई प्रणालियों में, लॉग को शामिल नहीं किया जा सकता है। अक्सर सर्वर बदलने की प्रक्रिया में, वर्कस्टेशन और एक्सेस प्रतिबंधों पर ऑडिट सेटिंग्स आंशिक रूप से या पूरी तरह से खो जाती हैं। इसके अलावा, सेटिंग्स को अपडेट किया जाना चाहिए क्योंकि नए हमले वैक्टर दिखाई देते हैं। यह सब पूर्ण कवरेज प्रदान करने के लिए परिचालन लागत पैदा करता है, अक्सर निगरानी द्वारा एक अधूरी समीक्षा से जोखिम अधिक होता है, और निश्चित रूप से संभावित झूठी सकारात्मक प्रतिक्रिया की लागत से अधिक होता है।
3. तीसरी समस्या हमें पुराने डीओएम गेम की ओर ले जाती है। क्योंकि, अन्य बातों के अलावा, पूर्ण कवरेज के लिए आपको कोड दर्ज करने की आवश्यकता होती है।
   
   एक। IDKFA - घटनाओं के संग्रह और भंडारण के लिए अंतहीन सर्वर क्षमता के रूप में पूर्ण गोला-बारूद, और जो आर्थिक दृष्टिकोण से बहुत दुखद है, - CRM और अन्य SOC टूल के लिए अंतहीन लाइसेंस।
   
   ख। IDDQD एक विशाल और अमर एसओसी टीम है जो प्रत्येक घटना में अपनी सभी स्पष्ट और अप्रत्यक्ष सुविधाओं का विश्लेषण करने में सक्षम होगी।

ऐसे कारकों, कार्यों और सूचना सुरक्षा के लिए बजट की राशि के संयोग को हरे हाथी की बैठक का मामला माना जाता है और इसलिए इसे एसओसी के जीवन में एक विशिष्ट स्थिति के रूप में नहीं माना जाता है। इसलिए, केवल पुष्टि किए गए हमलों की पहचान करना (स्वचालित साधनों के साथ जितना संभव हो उतना गहराई से विश्लेषण करने की इच्छा के साथ) आधुनिक सुरक्षा गार्डों का एक छोटा सा शानदार सपना है।

एक आफ्टरवर्ड के बजाय

हमने एसओसी-बिल्डिंग उद्योग के केवल सबसे आम मिथकों पर चर्चा करने की कोशिश की। इसलिए, मॉनिटरिंग और घटनाओं पर प्रतिक्रिया देने के लिए लॉन्चिंग प्रक्रियाओं के जटिल बैकवाटर्स में, हम आपको आने वाली सूचनाओं के बारे में संदेह करने की सलाह देते हैं, इसे विभिन्न स्रोतों में सत्यापित करें और अपुष्ट निर्णयों के जालसाजी के डर को अधिकतम करें।

और बल आपके साथ हो सकता है;)।