वर्टिस के साथ एनटीएलएम के माध्यम से ब्रूटफोर्स अटैक डिटेक्शन

आज हम वास्तविक वर्कफ़्लो का वर्णन करेंगे जो एनटीएलएम के माध्यम से ब्रोंस इंसीडेंट रिस्पांस टीम का उपयोग ब्रूट फ़ोर्स अटैक हमलों (बाद में ब्रूट फ़ोर्स अटैक के रूप में संदर्भित) की जांच के लिए किया जाता है। ये हमले काफी आम हैं, और हमारी टीम अक्सर दुनिया भर के ग्राहकों के साथ उनका सामना करती है।

खोज

यदि आपको वोरोनिस डैशबोर्ड में इनमें से कोई अलर्ट दिखाई देता है, तो आप NTLM के माध्यम से एक क्रूर बल के हमले के संपर्क में आ सकते हैं:

• पासवर्ड एक ही स्रोत से छिड़काव
• NTLM के माध्यम से खाता गणना
• मल्टीपल अकाउंट लॉकआउट

आप संदिग्ध गतिविधियों को खोजने के लिए वरोनिस डैशबोर्ड में सभी विफल प्रमाणीकरण प्रयासों की खोज कर सकते हैं, जिनकी जांच की जानी चाहिए।

1. वरोनिस इंटरफेस में प्रारंभिक जांच

Varonis डैशबोर्ड में Analytics पर क्लिक करें।
सर्वर ड्रॉप-डाउन सूची में, DirectoryServices चुनें।

ईवेंट प्रकार द्वारा फ़िल्टर प्रकार के लिए, "खाता प्रमाणीकरण" चुनें। नतीजतन, आपको एक निश्चित समय अवधि के लिए लॉगिन प्रयासों से संबंधित घटनाओं का चयन मिलेगा।



अज्ञात उपयोगकर्ताओं के लिए असफल लॉगिन प्रयास देखें, जो सामान्य खाता नाम जैसे "व्यवस्थापक" या "सेवा" द्वारा एक शब्दकोश हमले का संकेत दे सकते हैं। Varonis "सार / कोई भी" (हाइलाइट किए गए फ़ील्ड उपयोगकर्ता नाम (ईवेंट)) जैसे खाते प्रदर्शित करता है क्योंकि वे सक्रिय निर्देशिका में मौजूद नहीं हैं और उनका मिलान नहीं किया जा सकता है।

"डिवाइस का नाम" कॉलम में, आप प्रमाणीकरण अनुरोधों के लिए उपयोग किए जाने वाले मशीन का प्रच्छन्न नाम देखेंगे। आप शायद इस मशीन को नहीं जानते हैं, और इसका नाम कॉर्पोरेट डिवाइस नामकरण नीति का पालन नहीं करेगा। हमलावर अक्सर अपनी गतिविधि को छिपाने की उम्मीद में "वर्कस्टेशन" या "mstsc" जैसे डिवाइस नामों का उपयोग करते हैं। कभी-कभी वे डिवाइस का नाम पूरी तरह से खाली छोड़ देते हैं।



यदि आपने यह निर्धारित किया है कि NTLM के माध्यम से एक क्रूर बल का हमला वास्तव में एक जगह है, तो आपको लॉग में और अधिक विस्तार से गहरा करने की आवश्यकता है।

निम्नलिखित फिल्टर का उपयोग करके NTLM के माध्यम से सभी विफल लॉगिन प्रयासों के लिए देखें:

• घटना का विवरण 'NTLM' होता है
• घटना की स्थिति = विफल
• घटना प्रकार = TGT प्रमाणीकरण

यह सत्यापित करने के लिए साइबर क्रिमिनल्स द्वारा उपयोग किए गए डिवाइस नामों द्वारा सभी सफल प्रमाणीकरणों की तलाश करें कि फिलहाल सफल समझौते के तत्काल संकेत नहीं हैं। घटनाओं का विश्लेषण करने के लिए "संग्रह डिवाइस होस्टनाम" फ़ील्ड का मान रिकॉर्ड करें। यह डोमेन नियंत्रक का नाम है, जिसमें से जांच के अगले चरण को शुरू करना है।

2. एनटीएलएम ऑडिट तैयार करना

डिफ़ॉल्ट डोमेन नीति को हाइलाइट करें ताकि हम बाद में सभी डोमेन नियंत्रकों से इवेंट प्राप्त कर सकें।



डिफ़ॉल्ट डोमेन नीति पर राइट-क्लिक करें और संपादित करें का चयन करें।



समूह नीति प्रबंधन संपादक विंडो खुलती है। पदानुक्रम का विस्तार करते हुए, सुरक्षा विकल्प चुनें।
निम्नलिखित मान बदलें:

• नेटवर्क सुरक्षा: प्रतिबंधित NTLM: ऑडिट इनकमिंग ट्रैफ़िक = सभी खातों के लिए ऑडिटिंग सक्षम करें
• नेटवर्क सुरक्षा: NTLM प्रतिबंधित करें: इस डोमेन में NTLM प्रमाणीकरण ऑडिट करें = सभी को सक्षम करें
• नेटवर्क सुरक्षा: NTLM प्रतिबंधित करें: दूरस्थ सर्वर पर जा रहे NTLM ट्रैफ़िक = सभी का ऑडिट करें

परिवर्तनों को लागू करने के लिए gpupdate / force कमांड चलाएँ।

3. एनटीएलएम लॉग इनवेस्टीगेशन

चरण 1 में "संग्रह डिवाइस होस्टनाम" कॉलम के माध्यम से पहचाने गए डोमेन नियंत्रक पर जाएं।

इवेंट व्यूअर (cmd में Eventvwr कमांड) चलाएँ और अनुप्रयोग और सेवा लॉग> Microsoft> Windows> NTLM> संचालन के लिए पदानुक्रम का विस्तार करें। निर्दिष्ट लॉग पर राइट-क्लिक करें, गुण चुनें और लॉग आकार को कम से कम 20 एमबी तक बढ़ाएं (डिफ़ॉल्ट आकार 1 एमबी है)।

इवेंट ID = 8004 वाले इवेंट अधिकांश भाग दुर्भावनापूर्ण प्रमाणीकरण प्रयासों से जुड़े होंगे।

हम चरण 1 में देखे गए उपकरणों या उपयोगकर्ताओं के नाम का उपयोग करते हुए लॉग में देखें। "सुरक्षित चैनल नाम" फ़ील्ड पर ध्यान दें। यह डिवाइस पर हमला करने का नाम है।

4. उपाय

एक बार जब हम हमले वाले डिवाइस का नाम पहचान लेते हैं, तो हम यह पता लगा सकते हैं कि हमलावर इन प्रमाणीकरण प्रयासों को कैसे भेजता है। फ़ायरवॉल लॉग में, दुर्भावनापूर्ण प्रमाणीकरण प्रयासों के दौरान कनेक्शन की जाँच करें। लक्ष्य डिवाइस पर, आप netstat कमांड या Wireshark उपयोगिता का उपयोग कर सकते हैं। इस प्रकार, हम आईपी पते और पोर्ट की तलाश करते हैं जो हमलावर प्रमाणीकरण अनुरोध भेजने के लिए उपयोग करता है।
जैसे ही हमें यह जानकारी मिलती है, हम शत्रुतापूर्ण गतिविधि को रोकने के लिए उपाय कर सकते हैं - आईपी पते को ब्लॉक करें या पोर्ट को बंद करें।


अंत में, जांच को पूरा करने के लिए, हमें हमलावर डिवाइस पर उपयोगकर्ता खातों को प्रमाणित करने के लिए सभी कार्यों की जांच करने की आवश्यकता है, साथ ही हमला किए गए डिवाइस से अवलोकन किए गए डेटा स्रोतों पर गतिविधि और हमले वाले डिवाइस से आने वाले किसी भी अन्य नोटिफिकेशन की आवश्यकता है। हमें वेरोनिस और एनटीएलएम लॉग को देखने की जरूरत है ताकि यह सुनिश्चित हो सके कि प्रमाणीकरण के प्रयास बंद हैं, और नई गतिविधि की निगरानी करना जारी रखें।

रूस में Varonis टीम एक नि: शुल्क साइबर सुरक्षा विश्लेषण और आईटी बुनियादी ढांचे के जोखिम ऑडिट का आयोजन करती है। ऐसा करने के लिए, साइट पर एक अनुरोध छोड़ दें या सुविधाजनक तरीके से हमसे संपर्क करें ।