😒 ⛈️ 💚 नेटवर्क विसंगति विश्लेषण उपकरण लगाने के मामले: दुर्भावनापूर्ण कोड के प्रसार का पता लगाना 💇🏻 🚏 🤽🏻

मैं NTA (नेटवर्क ट्रैफिक एनालिसिस) क्लास सॉल्यूशन के उपयोग से आईएस की निगरानी के समाधान से संबंधित मामलों की समीक्षा करना जारी रखूंगा। पिछली बार मैंने दिखाया था कि आप सूचना लीक का पता कैसे लगा सकते हैं, लेकिन इस बार हम कॉर्पोरेट या विभागीय नेटवर्क के अंदर दुर्भावनापूर्ण कोड की पहचान करने के बारे में बात करेंगे।

दुर्भावनापूर्ण कोड का पता लगाने में क्या मुश्किल है? वे एक एंटीवायरस डालते हैं और यह किसी भी मैलवेयर को पकड़ता है। अफसोस! यदि यह सब इतना आसान था, तो आप शायद इस समस्या के बारे में हमेशा के लिए भूल सकते हैं, लेकिन नहीं ... सफल मैलवेयर संक्रमणों की संख्या छोटी नहीं होती है, और सभी क्योंकि हमलावर लगातार अपनी तकनीक और रणनीति बदलते हैं, मैलवेयर को संशोधित करते हैं, वे मैलवेयर का उपयोग करते हैं, वे प्रशासन (समान पॉवरशेल) के लिए कानूनी उपयोगिताओं का उपयोग करते हैं ... और ऐसा तब है जब आप उन स्थितियों पर विचार नहीं करते हैं जहां व्यक्तिगत नोड्स में या तो कोई एंटीवायरस नहीं है (आईटी विशेषज्ञ इसे स्थापित नहीं करना चाहते हैं क्योंकि यह नीचे गिरता है), या इस प्लेटफ़ॉर्म के लिए बस मौजूद नहीं है। और शायद एक स्थिति है कि मुझे विभिन्न कंपनियों में बार-बार निपटना पड़ा है।शीर्ष प्रबंधक अपने घरेलू लैपटॉप या टैबलेट पर मैलवेयर चुनता है और इसे कंपनी में ड्रग कर देता है ताकि स्थानीय आईटी विशेषज्ञ इसका पता लगा सकें। डिवाइस स्थानीय वाई-फाई से कनेक्ट होता है और इस तरह आंतरिक महामारी शुरू होती है; इंटरनेट से अलग नेटवर्क में भी। किसी भी मामले में, एंटीवायरस हमेशा आधुनिक दुर्भावनापूर्ण कोड से मुक्ति से दूर है, और हमें अपने नेटवर्क पर बुरे लोगों का पता लगाने के लिए अन्य तरीकों की आवश्यकता है।

आधुनिक दुर्भावनापूर्ण कोड की विशेषता क्या है? क्या कोई संकेत हैं जो हमें बता सकते हैं कि हमारे नेटवर्क में कुछ गलत हो रहा है और हमें अभी भी किसी तरह का संक्रमण है? यदि आप शास्त्रीय वायरस को ध्यान में नहीं रखते हैं, जिसमें नेटवर्क पर स्वतंत्र वितरण का कार्य नहीं है (और आपने लंबे समय तक शास्त्रीय वायरस देखा है), तो उन संकेतों के बीच जो नेटवर्क पर दुर्भावनापूर्ण कोड की उपस्थिति को चिह्नित कर सकते हैं, मैं निम्नलिखित का नाम लूंगा:

ऑपरेटिंग सिस्टम या अनुप्रयोगों में कमजोरियों की तलाश में आंतरिक नोड्स को स्कैन करना
खुले बंदरगाहों की तलाश में आंतरिक नोड्स को स्कैन करना जिसके माध्यम से आप सिस्टम से जुड़ सकते हैं
प्रसिद्ध कमांड सर्वर के साथ बातचीत
मेजबान से एटिपिकल ट्रैफ़िक (पहले बिना प्रोटोकॉल के, ट्रैफ़िक की विशिष्ट मात्रा से अधिक, कार्यस्थानों पर सर्वर प्रोटोकॉल आदि)।

ये नेटवर्क संकेत हैं, जो लगभग स्वतंत्र हैं जिनमें से दुर्भावनापूर्ण कोड का उपयोग किया जाता है। तो, आप उन्हें पहचानने की कोशिश कर सकते हैं, और नेटफ्लो (या अन्य प्रवाह प्रोटोकॉल) के आधार पर विसंगतियों और खतरों की निगरानी के लिए उपकरण इसके लिए सबसे अच्छे उम्मीदवार हैं। आइए देखें कि एक उदाहरण के रूप में सिस्को स्टील्थवॉच समाधान का उपयोग करके यह कैसे किया जा सकता है।

पारंपरिक स्कैन, उदाहरण के लिए, सुरक्षा स्कैनर और दुर्भावनापूर्ण कोड द्वारा स्कैन किए गए स्कैन में क्या अंतर है? पहले मामले में, ज्यादातर स्थितियों में, एक कंप्यूटर पर खुले बंदरगाहों के माध्यम से पुनरावृत्त होता है, फिर दूसरे पर, तीसरे पर और इसी तरह। इस तरह के प्रयासों को आसानी से पहचानने के लिए। यह निर्धारित करना आसान है जब स्कैनर केवल पता सीमा में केवल एक खुले बंदरगाह के लिए जाँच करता है। दुर्भावनापूर्ण कोड के लिए, ऑपरेशन का सिद्धांत अलग है - यह नोड्स को स्कैन करता है, कमजोर लोगों को ढूंढता है, उन पर चढ़ जाता है, फिर से स्कैन करता है, कमजोर लोगों को फिर से पाता है, और इसी तरह।

यह ऐसा विकास है जिसे हम एनटीए में निहित विशेष एल्गोरिदम की मदद से पहचान सकते हैं।

हमारे लिए एक अतिरिक्त संकेत उन कंप्यूटरों की भूमिका है जिनसे स्कैन रिकॉर्ड किया गया था - सभी मामलों में, ये बिक्री और विपणन कर्मचारी हैं जो पूरे सबनेट को स्कैन करते हैं, जो तार्किक रूप से बिक्री प्रभाग से संबंधित हैं।

दुर्भावनापूर्ण कोड के बाद के प्रसार के साथ एक संक्रमण बिंदु पाया गया:

हम दुर्भावनापूर्ण कोड के अन्य संभावित पीड़ितों को खोजने का प्रयास कर सकते हैं:

सही तरीके से कॉन्फ़िगर किया गया विसंगति विश्लेषण प्रणाली, अगली बार अब हम अलग-अलग जांच नहीं कर सकते हैं जो इस सवाल का उत्तर देते हैं कि हमारे पास नेटवर्क स्कैन है या नहीं। ? यह मुख्य कंसोल पर संबंधित अलार्म इंडिकेटर (रीकॉल) को देखने के लिए पर्याप्त होगा:

और उस पर क्लिक करके, उन सभी की सूची प्राप्त करने के लिए जिन्हें "अवैध" कंप्यूटर गतिविधियों में देखा गया है (वैसे, इस लेख में पहला चित्रण दुर्भावनापूर्ण कोड के वितरण के पैमाने की कल्पना करने का एक और तरीका दिखाता है)।

यह याद रखने योग्य है कि एक प्रतीत होता है साधारण स्कैन अधिक गंभीर समस्याओं के लिए पहला संकेत हो सकता है। यदि फ़िशिंग ईमेल पहले चरणों में से एक हैं, जिसके द्वारा हमलावर अपनी गतिविधियों को शुरू करते हैं, तो एक कंप्यूटर को संक्रमित करके, वे अपने ब्रिजहेड का विस्तार करते हैं और ऐसा करने का मुख्य तरीका स्कैन से शुरू होता है। इस तरह WannaCry ने अभिनय किया, इसलिए शमून ने अभिनय किया, इसलिए सैकड़ों अन्य दुर्भावनापूर्ण कार्यक्रम काम करते हैं, जिसके परिणामस्वरूप गंभीर घटनाएं होती हैं।

स्कैन करने और दुर्भावनापूर्ण कोड को फैलाने के तथ्य को दर्ज करने के बाद, हमें एक अधिक विस्तृत जांच करने और यह समझने का काम करना पड़ रहा है कि क्या एक नोड पहले से ही संक्रमित था, जबकि वह संक्रमित था, कब, आदि? NTA वर्ग समाधान अकेले ऐसा नहीं कर सकता, क्योंकि आप अकेले टेलीमेट्री द्वारा इन सवालों का जवाब नहीं दे सकते हैं। लेकिन सिस्को चुपके के मामले में, एक मुफ्त सिस्को धमकी प्रतिक्रिया समाधान हमारी सहायता के लिए आएगा, जिसके बारे में मैंने पहले ही एकीकरण के साथ बात की थी । यह हमारे लिए ब्याज के नोड पर क्लिक करने के लिए पर्याप्त है और ड्रॉप-डाउन संदर्भ मेनू में हम सीटीआर को लॉन्च करने की संभावना देखेंगे, जो बदले में विभिन्न प्रणालियों से हमें ब्याज के नोड के बारे में जानकारी एकत्र कर सकते हैं - सिस्को एएमपी फॉर एंडपॉइंट, सिस्को छाता, सिस्को तलोस, आदि।

यहां यह चित्र कैसा दिख सकता है, जो नि: शुल्क सिस्को खतरा प्रतिक्रिया को समृद्ध करने और सुरक्षा घटनाओं को देखने के लिए अपनी क्षमताओं के आधार पर प्रदर्शित करता है:

सीटीआर हमें हमारे लिए रुचि की साइट से जुड़ी दुर्भावनापूर्ण फाइलें दिखा सकती है, जिसे हम सिस्को थ्रिड ग्रिड सैंडबॉक्स या वायरसटोटल सेवा के माध्यम से देख सकते हैं। एक नोड पर डेटा होने के बाद, हम देख सकते हैं कि उसने किसके साथ बातचीत की या घटना के ढांचे के साथ बातचीत कर रहा है, जहां हमला शुरू हुआ, उसमें क्या दुर्भावनापूर्ण कोड शामिल था, नेटवर्क कैसे घुस गया, और कई अन्य सवालों के जवाब दिए जो सुरक्षा विश्लेषकों के लिए रुचि रखते हैं।

और फिर हम पहले से ही बाहरी थ्रेट इंटेलिजेंस सेवाओं का उपयोग करके प्राप्त कलाकृतियों का अतिरिक्त सत्यापन कर सकते हैं, जो हमें समझौते के अधिक संकेतक, हमलावरों के बारे में अधिक जानकारी, उनके द्वारा उपयोग की जाने वाली तकनीकों और रणनीति के बारे में अधिक जानकारी प्रदान कर सकते हैं। और यह सब Netflow (या किसी अन्य प्रवाह प्रोटोकॉल) का उपयोग कर विसंगतियों के विश्लेषण के लिए समाधान द्वारा पता चला एक सरल नेटवर्क स्कैन के साथ शुरू हुआ।

नेटवर्क विसंगति विश्लेषण उपकरण लगाने के मामले: दुर्भावनापूर्ण कोड के प्रसार का पता लगाना

More articles: