🖐🏿 🏴 📃 सकारात्मक टेक्नोलॉजीज अध्ययन: 8 वित्तीय संस्थानों में से 7 इंटरनेट से नेटवर्क में प्रवेश कर सकते हैं 🖲️ 💃🏼 👆🏿

हमने वित्तीय संस्थानों के बुनियादी ढांचे की सुरक्षा का विश्लेषण किया । सार्वजनिक रिपोर्ट तैयार करने के लिए, 18 परियोजनाओं को चुना गया (8 बाहरी परीक्षण और 10 आंतरिक), क्रेडिट और वित्तीय क्षेत्र के संगठनों के लिए प्रदर्शन किया गया, जिसमें काम करने वाले ग्राहकों ने परीक्षण किए गए नेटवर्क और सिस्टम की सूची पर महत्वपूर्ण प्रतिबंध नहीं लगाए।

सकारात्मक प्रौद्योगिकियों के विशेषज्ञों ने नेटवर्क परिधि के संरक्षण के समग्र स्तर और वित्तीय संस्थानों के कॉर्पोरेट बुनियादी ढांचे का मूल्यांकन निम्न के रूप में किया है (और कुछ मामलों में बेहद कम)। विशेष रूप से, सर्वेक्षण से पता चला कि 8 सत्यापित संगठनों में से 7 के लिए इंटरनेट से आंतरिक नेटवर्क में प्रवेश की संभावना पाई गई थी।

अध्ययन की मुख्य बातें

बैंक के आंतरिक नेटवर्क को भेदने के लिए औसतन साइबर अपराधियों को पाँच दिनों का समय चाहिए। एक ही समय में, छह परीक्षण संगठनों में परिधि संरक्षण के समग्र स्तर को बहुत कम दर्जा दिया गया था। अधिकांश आक्रमण वैक्टर (44%) वेब अनुप्रयोगों में कमजोरियों के दोहन पर आधारित हैं।

नेटवर्क परिधि पर पुराने सॉफ़्टवेयर संस्करणों का उपयोग एक गंभीर समस्या बनी हुई है: हर दूसरे बैंक में एक प्रसिद्ध सार्वजनिक शोषण का उपयोग करते हुए कम से कम एक पेंटेस्ट अटैक सफल रहा। इसके अलावा, पांच पंचकों के दौरान छह शून्य-दिन की कमजोरियों की पहचान की गई और सफलतापूर्वक उनका शोषण किया गया। इन कमजोरियों में से एक पॉजिटिविटी टेक्नोलॉजीज के विशेषज्ञों द्वारा खोजे गए सिट्रिक्स एप्लिकेशन डिलिवरी कंट्रोलर (ADC) और सिट्रिक्स गेटवे में भेद्यता CVE-2019-19781 थी, जो काल्पनिक रूप से सर्वर पर मनमाने आदेशों को निष्पादित करने और इंटरनेट से कंपनी के स्थानीय नेटवर्क को भेदने की अनुमति देता है।

इस घटना में कि एक संभावित हमलावर ने पहले ही नेटवर्क तक पहुंच प्राप्त कर ली है, बुनियादी ढांचे पर पूर्ण नियंत्रण हासिल करने में औसतन दो दिन लगेंगे। इस प्रकार के हमलों से वित्तीय कंपनियों के संरक्षण के समग्र स्तर का अनुमान विशेषज्ञों द्वारा बहुत कम है। विशेष रूप से, 10 में से 8 बैंकों में, कार्यस्थानों और सर्वरों पर स्थापित एंटी-वायरस सुरक्षा प्रणालियाँ विशेष उपयोगिताओं, जैसे कि सीक्रेटडम्प के प्रक्षेपण को रोक नहीं पाईं। वहाँ भी ज्ञात कमजोरियाँ हैं जो आपको विंडोज पर पूर्ण नियंत्रण प्राप्त करने की अनुमति देती हैं। कुछ साल पहले सुरक्षा बुलेटिन MS17-010 (WannaCry हमले में प्रयुक्त) और (!) MS08-067 पर विचार किया गया था।

सभी संगठनों में जहां आंतरिक पंचक आयोजित किया गया था, वे कॉर्पोरेट बुनियादी ढांचे में अधिकतम विशेषाधिकार प्राप्त करने में कामयाब रहे। एक कंपनी के लिए हमला करने वाले वैक्टर की अधिकतम संख्या पांच है। कई परीक्षण परियोजनाओं में, लक्ष्य एक एटीएम नेटवर्क, कार्ड प्रोसेसिंग सर्वर (धन के गबन की संभावना के प्रदर्शन के साथ), शीर्ष प्रबंधन कार्यस्थानों और एंटी-वायरस सुरक्षा नियंत्रण केंद्रों तक पहुंच थे। सभी मामलों में, परीक्षण ग्राहक को इन लक्ष्यों की उपलब्धि का प्रदर्शन किया गया था।

जाँच - परिणाम

किसी एक मामले में पेन्टेस्ट का परिणाम पहले के हैक्स के निशान की पहचान था। यही है, बैंक पर न केवल एक वास्तविक हमलावर द्वारा हमला किया गया था, बल्कि समय पर हमले का पता नहीं लगा सका।

इन तथ्यों के साथ-साथ सुरक्षा के सामान्य निम्न स्तर को देखते हुए, हम नियमित रूप से रेड टीमिंग के हिस्से के रूप में आईएस कर्मचारियों के प्रवेश परीक्षण और प्रशिक्षण का आयोजन करने की सलाह देते हैं। यह महत्वपूर्ण संसाधनों के लिए संभावित हमले वैक्टर का पता लगाने और समय पर समाप्त करने के लिए, साथ ही साथ एक वास्तविक साइबर हमले की स्थिति में आईएस सेवाओं के कार्यों को पूरा करने और उपयोग किए गए सुरक्षा और निगरानी उपकरणों की प्रभावशीलता को बढ़ाएगा।

व्यावसायिक पटाखे ने समझौता किए गए कंपनियों के बुनियादी ढांचे में अपनी उपस्थिति को ध्यान से छिपाना सीख लिया है। अक्सर, उनके सरल कार्यों का पता केवल नेटवर्क ट्रैफिक के गहन विश्लेषण के दौरान ही अनुप्रयोग स्तर (L7) के प्रोटोकॉल के विश्लेषण से लगाया जा सकता है। यह समस्या नेटवर्क ट्रैफ़िक विश्लेषण (NTA) क्लास सिस्टम द्वारा हल की गई है।

2019 36 NTA- PT Network Attack Discovery. , .

, 27 14:00 Positive Technologies « 2019 » , . , , .

, .

सकारात्मक टेक्नोलॉजीज अध्ययन: 8 वित्तीय संस्थानों में से 7 इंटरनेट से नेटवर्क में प्रवेश कर सकते हैं

अध्ययन की मुख्य बातें

जाँच - परिणाम

More articles: