नेटवर्क विसंगति विश्लेषण उपकरण लगाने के मामले: ब्राउज़र प्लग-इन के माध्यम से हमला

ब्राउज़रों पर हमले हमलावरों के लिए एक काफी लोकप्रिय वेक्टर हैं, जो इंटरनेट पर सर्फिंग कार्यक्रमों में विभिन्न कमजोरियों के माध्यम से या उनके लिए कमजोर संरक्षित प्लग-इन के माध्यम से, कॉर्पोरेट और विभागीय नेटवर्क के अंदर घुसने की कोशिश करते हैं। यह आमतौर पर पूरी तरह से कानूनी और यहां तक ​​कि श्वेतसूची में शुरू होता है जिसमें साइबर अपराधियों द्वारा उपयोग की जाने वाली कमजोरियां होती हैं। ऐड-ऑन, एक्सटेंशन, प्लगइन्स, एक बार अच्छे उद्देश्यों के लिए स्थापित होने के बाद, उपयोगकर्ता गतिविधि की निगरानी करना शुरू करते हैं, डेवलपर्स के लिए विज़िट की गई साइटों के इतिहास को "मर्ज" करते हैं, कभी-कभी दुर्भावनापूर्ण विज्ञापनों को पृष्ठों में पेश करते हैं। उपयोगकर्ता अक्सर यह भी नहीं समझ पाते हैं कि साइट के पृष्ठ पर उनके द्वारा देखे गए विज्ञापन बैनर को उनके द्वारा इंस्टॉल किए गए प्लगइन द्वारा जोड़ा गया था;यह मूल रूप से पृष्ठ पर एम्बेडेड नहीं है। और कभी-कभी ऐसे प्लग-इन और एक्सटेंशन यहां तक ​​कि उपयोगकर्ताओं के कंप्यूटरों के लिए हमलावरों के लिए एक प्रवेश द्वार के रूप में काम करते हैं, जहां से उद्यम के आंतरिक नेटवर्क के माध्यम से विजयी मार्च शुरू होता है। यह इन एक्सटेंशनों के माध्यम से है कि हमलावर दुर्भावनापूर्ण कोड स्थापित कर सकते हैं, डेटा ट्रैक कर सकते हैं या चोरी कर सकते हैं। उसी समय, हम हमेशा सभी उपयोगकर्ताओं को अपने ब्राउज़र को ठीक से कॉन्फ़िगर करने और उनके कॉन्फ़िगरेशन की निगरानी करने के लिए मजबूर करने में सक्षम नहीं होते हैं। ऐसी स्थिति में क्या करें जब केवल एक उपयोगकर्ता सबसे कमजोर लिंक बन सकता है और "गेट टू हेल" खोल सकता है? नेटवर्क यातायात निगरानी समाधान इस मामले में मदद कर सकते हैं।जिसके साथ उद्यम के आंतरिक नेटवर्क पर विजयी जुलूस शुरू होता है। यह इन एक्सटेंशनों के माध्यम से है कि हमलावर दुर्भावनापूर्ण कोड स्थापित कर सकते हैं, डेटा ट्रैक कर सकते हैं या चोरी कर सकते हैं। उसी समय, हम हमेशा सभी उपयोगकर्ताओं को अपने ब्राउज़र को ठीक से कॉन्फ़िगर करने और उनके कॉन्फ़िगरेशन की निगरानी करने के लिए मजबूर करने में सक्षम नहीं होते हैं। ऐसी स्थिति में क्या करें जब केवल एक उपयोगकर्ता सबसे कमजोर लिंक बन सकता है और "गेट टू हेल" खोल सकता है? नेटवर्क यातायात निगरानी समाधान इस मामले में मदद कर सकते हैं।जिसके साथ उद्यम के आंतरिक नेटवर्क पर विजयी जुलूस शुरू होता है। यह इन एक्सटेंशनों के माध्यम से है कि हमलावर दुर्भावनापूर्ण कोड स्थापित कर सकते हैं, डेटा ट्रैक कर सकते हैं या चोरी कर सकते हैं। उसी समय, हम हमेशा सभी उपयोगकर्ताओं को अपने ब्राउज़र को ठीक से कॉन्फ़िगर करने और उनके कॉन्फ़िगरेशन की निगरानी करने के लिए मजबूर करने में सक्षम नहीं होते हैं। ऐसी स्थिति में क्या करें जब केवल एक उपयोगकर्ता सबसे कमजोर लिंक बन सकता है और "गेट टू हेल" खोल सकता है? नेटवर्क यातायात निगरानी समाधान इस मामले में मदद कर सकते हैं।जब केवल एक उपयोगकर्ता सबसे कमजोर लिंक बन सकता है और "गेट टू हेल" खोल सकता है? नेटवर्क यातायात निगरानी समाधान इस मामले में मदद कर सकते हैं।जब केवल एक उपयोगकर्ता सबसे कमजोर लिंक बन सकता है और "गेट टू हेल" खोल सकता है? नेटवर्क यातायात निगरानी समाधान इस मामले में मदद कर सकते हैं।




सिस्को की एक शोध इकाई, सिस्को कॉग्निटिव इंटेलिजेंस, जो चेक कंपनी कॉग्निटिव सिक्योरिटी द्वारा कई साल पहले खरीदी गई थी, से पता चला कि कई दुर्भावनापूर्ण ब्राउज़र प्लग-इन में अद्वितीय विशेषताएं हैं जिन्हें नेटवर्क ट्रैफ़िक के विश्लेषण के भाग के रूप में पहचाना और मॉनिटर किया जा सकता है। पिछले तीन मामलों की तुलना में जो एकमात्र अंतर मौजूद है, वह पहले ( लीक का पता लगाने , दुर्भावनापूर्ण कोड और DNSpionage अभियानों की जांच) है) - उन विज्ञापनों की गतिविधि का पता लगाने के लिए जो विज्ञापन प्रस्तुत करते हैं, जिनके लिए साइबर अपराधी पैसा कमाते हैं या जो आपके डेटा को मर्ज करते हैं, आपको खुद बहुत शोध करने की आवश्यकता है (व्यवहार के पैटर्न की पहचान करने और उनका वर्णन करने के लिए कई हजार प्लगइन्स का विश्लेषण करते हुए हमने एक साल बिताया), या विश्वास NTA वर्ग समाधान के निर्माता, जिसमें ऐसा अवसर होता है।

यहाँ यह सुविधा सिस्को स्टेलवॉच समाधान में कैसी दिखती है। हम देखते हैं कि 10.201.3.45 और 10.201.3.108 के पते के साथ आंतरिक नेटवर्क के दो पते से, क्लिक धोखाधड़ी से जुड़ी गतिविधि, पृष्ठों में विज्ञापनों की शुरूआत (विज्ञापन इंजेक्शन), और दुर्भावनापूर्ण विज्ञापन दर्ज किए जाते हैं।



जाहिर है, हम इस गतिविधि की जांच करना चाहते हैं:



हम देखते हैं कि कॉर्पोरेट नेटवर्क में नोड कानूनी अमेज़ॅन पर स्थित डोमेन के साथ बातचीत करता है (इसलिए, यह आईपी पते द्वारा ब्लॉक करने के लिए काम नहीं करेगा; यदि आप Roskomnadzor नहीं हैं, तो निश्चित रूप से)। हालांकि, ट्रैफ़िक के लिए विभिन्न मशीन लर्निंग एल्गोरिदम के आवेदन से पता चलता है कि यह गतिविधि दुर्भावनापूर्ण है।




एक और भी गहरा गोता हमें खतरे के बारे में और भी अधिक विवरण समझने की अनुमति देता है।



उदाहरण के लिए, केस # CADP01 दुर्भावनापूर्ण कोड AdPeak के साथ जुड़ा हुआ है, जो विज़िट किए गए वेब पेजों में अतिरिक्त विज्ञापन इंजेक्ट करता है और उनके प्रदर्शन के लिए हमलावर पैसे कमाते हैं।



केस # CDPY01 एक संभावित अवांछित एप्लिकेशन से जुड़ा है जो विज्ञापनों को ब्राउज़र सत्र में इंजेक्ट करता है और कंप्यूटर के बाद के संक्रमण को जन्म दे सकता है।



चूंकि दुर्भावनापूर्ण ब्राउज़र गतिविधि का पता लगाना एक संक्रमण का संकेत हो सकता है जो पहले से ही हुआ है, हमें एक जांच करने की आवश्यकता है जो यह दिखाएगी कि समझौता नोड हमारे नेटवर्क पर किसके साथ बातचीत कर रहा है, यह किस प्रकार का नोड है, इसकी भूमिका क्या है, इसके लिए उपयोगकर्ता क्या काम करता है, आदि।



उदाहरण के लिए, उल्लिखित नोड 10.201.3.45 विकास समूह (विकास या सॉफ्टवेयर विकास) से संबंधित है। हम इस नोड और मुख्य सुरक्षा घटनाओं से जुड़े सभी डेटा स्ट्रीम भी देखते हैं।



दिलचस्प बात यह है कि जिस नोड में हम रुचि रखते हैं, वह अक्सर स्थानीय DNS सर्वरों के साथ बातचीत करता है, जो DNS पर या DNS के माध्यम से संभावित हमले के बारे में विचार करता है ( अंतिम पोस्ट में वर्णित DNSpionage या सी कछुए को याद रखें )।

सुरक्षा घटनाओं की सूची में हम क्या देखते हैं? प्रवाह अस्वीकृत। यह क्या है? इस सवाल का जवाब बहुत हद तक संदर्भ पर निर्भर करता है, क्योंकि आंतरिक नोड्स के आंतरिक लोगों के कनेक्शन आंतरिक नोड्स के बाहरी लोगों के कनेक्शन से बहुत अलग हैं, और बहुत अलग चीजों का मतलब हो सकता है। उदाहरण के लिए, यदि आंतरिक नोड में एक ही पोर्ट के माध्यम से आंतरिक संसाधन के लिए कई निषिद्ध कनेक्शन (प्रवाह) हैं, तो यह संभवतः किसी भी एप्लिकेशन के लिए गलत कॉन्फ़िगरेशन है। विभिन्न बंदरगाहों या आंतरिक नोड्स के साथ बहुत सारे निषिद्ध प्रवाह, सबसे अधिक संभावना टोही की बात करते हैं, किसी भी हमले में पहले चरणों में से एक। बाहरी इंटरनेट साइटों के अंदर से अवरुद्ध प्रवाह दुर्भावनापूर्ण कोड, रिमोट एक्सेस यूटिलिटीज (आरएटी), सूचना रिसाव और कई अन्य "दिलचस्प" घटनाओं के संचालन को चिह्नित कर सकता है जो आपकी सुरक्षा नीति निषिद्ध है।और जब से वे आपके नेटवर्क ट्रैफ़िक विश्लेषण प्रणाली द्वारा पहचाने जाते हैं, तो इसका मतलब है कि आपके साथ कुछ गलत है।

यह मामला दिलचस्प है कि यह एनटीए वर्ग की प्रणालियों की क्षमताओं पर थोड़ा बदलाव करता है, जो अपने काम में नेटफ्लो (या अन्य प्रवाह प्रोटोकॉल) के विश्लेषण पर भरोसा करते हैं। यह देखा जा सकता है कि ऐसी प्रणालियां न केवल नेटवर्क स्तर पर काम कर सकती हैं, बल्कि हमें आवेदन स्तर पर बहुत अधिक वृद्धि और हमलों का पता लगाने की अनुमति देती हैं, जो हमेशा फ़ायरवॉल या यहां तक ​​कि टर्मिनल उपकरणों की सुरक्षा के साधन से दूर दिखाई देती हैं।