🥕 👏🏿 🥢 कैसे ट्रैफिक एनालिसिस सिस्टम पीटी नेटवर्क अटैक डिस्कवरी का उपयोग करके MITER ATT & CK हैकर टैक्टिक्स का पता लगाता है 🖖🏻 🎼 💓

वेरिज़ोन के अनुसार , अधिकांश (87%) सूचना सुरक्षा घटनाएं मिनटों में होती हैं, और 68% कंपनियों को उनका पता लगाने में महीनों लग जाते हैं। इस बात की पुष्टि पोंमोन इंस्टीट्यूट के अध्ययन से हुई है , जिसके अनुसार ज्यादातर संगठनों को किसी घटना का पता लगाने में औसतन 206 दिन लगते हैं। हमारी जांच के अनुभव के अनुसार, हैकर्स वर्षों तक कंपनी के बुनियादी ढांचे को नियंत्रित कर सकते हैं और उनका पता नहीं लगाया जा सकता है। इसलिए, उन संगठनों में से एक में, जहां हमारे विशेषज्ञों ने आईएस की घटना की जांच की, यह पता चला कि हैकर्स ने संगठन के पूरे बुनियादी ढांचे को पूरी तरह से नियंत्रित किया और नियमित रूप से आठ वर्षों तक महत्वपूर्ण जानकारी चुरा ली ।

मान लीजिए कि आपके पास पहले से ही चल रहा है, जो लॉग्स का संग्रह करता है और घटनाओं का विश्लेषण करता है, और अंत नोड्स पर एंटीवायरस स्थापित होते हैं। फिर भी,नहीं, सब कुछ का उपयोग कर पता लगाया जा सकता है के रूप में डिएगो , बस पूरे नेटवर्क पर EDR सिस्टम को लागू करना असंभव है, जिसका अर्थ है कि अंधा धब्बों से बचा नहीं जा सकता है। नेटवर्क ट्रैफ़िक विश्लेषण (एनटीए) सिस्टम उनके साथ सामना करने में मदद करता है। ये निर्णय नेटवर्क को भेदने के शुरुआती चरणों में हमलावरों की गतिविधि को प्रकट करते हैं, साथ ही साथ एक पैर जमाने और नेटवर्क के भीतर हमले को विकसित करने के प्रयासों के दौरान होते हैं।

दो प्रकार के एनटीए हैं: कुछ नेटफ्लो के साथ काम करते हैं, दूसरा कच्चे यातायात का विश्लेषण करता है। दूसरी प्रणालियों का लाभ यह है कि वे कच्चे यातायात रिकॉर्ड को संग्रहीत कर सकते हैं। इसके लिए धन्यवाद, सूचना सुरक्षा विशेषज्ञ हमले की सफलता को सत्यापित कर सकते हैं, खतरे को स्थानीय कर सकते हैं, समझ सकते हैं कि हमला कैसे हुआ और भविष्य में इसी तरह के एक को कैसे रोका जाए।

हम यह दिखाएंगे कि NTA की मदद से यह कैसे संभव है, प्रत्यक्ष या अप्रत्यक्ष संकेतों द्वारा, MITER ATT & CK ज्ञानकोष में वर्णित सभी ज्ञात आक्रमण रणनीति की पहचान करना । हम प्रत्येक 12 युक्तियों के बारे में बात करेंगे, ट्रैफ़िक द्वारा पता की जाने वाली तकनीकों का विश्लेषण करेंगे और हमारे एनटीए-सिस्टम का उपयोग करके उनकी पहचान का प्रदर्शन करेंगे।

ATT & CK नॉलेज बेस के बारे में

MITER ATT & CK वास्तविक APT के विश्लेषण के आधार पर MITER Corporation द्वारा विकसित और अनुरक्षित एक सार्वजनिक ज्ञानकोष है। यह हमलावरों द्वारा इस्तेमाल की जाने वाली रणनीति और तकनीकों का एक संरचित सेट है। यह दुनिया भर के सूचना सुरक्षा पेशेवरों को एक ही भाषा बोलने की अनुमति देता है। आधार लगातार विस्तार कर रहा है और नए ज्ञान के साथ अद्यतन किया जा रहा है।

डेटाबेस में, 12 रणनीति प्रतिष्ठित हैं, जो एक साइबर हमले के चरणों से विभाजित हैं:

प्रारंभिक पहुँच
क्रियान्वयन
समेकन (दृढ़ता);
सुविधा वृद्धि
पता लगाने की रोकथाम (रक्षा चोरी);
क्रेडेंशियल एक्सेस प्राप्त करना;
बुद्धि (खोज);
परिधि के भीतर आंदोलन (पार्श्व आंदोलन);
डेटा संग्रह (संग्रह);
प्रबंधन और नियंत्रण (कमांड और नियंत्रण);
exfiltration;
प्रभाव

प्रत्येक रणनीति के लिए, एटीटी और सीके ज्ञान आधार उन तकनीकों की एक सूची को सूचीबद्ध करता है जो हमलावरों को हमले के वर्तमान चरण में अपने लक्ष्यों को प्राप्त करने में मदद करते हैं। चूंकि एक ही तकनीक का विभिन्न चरणों में उपयोग किया जा सकता है, इसलिए यह कई तरह की रणनीति से संबंधित हो सकता है।

प्रत्येक तकनीक के विवरण में शामिल हैं:

पहचानकर्ता;
रणनीति की सूची जिसमें इसे लागू किया जाता है;
एपीटी समूहों द्वारा उपयोग के उदाहरण;
इसके उपयोग से क्षति को कम करने के उपाय;
सिफारिशों का पता लगाना।

सूचना सुरक्षा विशेषज्ञ वर्तमान हमले के तरीकों के बारे में जानकारी की संरचना करने के लिए डेटाबेस से ज्ञान का उपयोग कर सकते हैं और, इसे ध्यान में रखते हुए एक प्रभावी सुरक्षा प्रणाली का निर्माण करते हैं। यह समझना कि एपीटी समूह वास्तविक रूप से कैसे काम करते हैं, सहित, खतरे के शिकार के ढांचे में खतरों के लिए सक्रिय खोज के लिए परिकल्पना का एक स्रोत हो सकता है ।

पीटी नेटवर्क अटैक डिस्कवरी के बारे में

हम एटीटी और सीके मैट्रिक्स से पीटी नेटवर्क अटैक डिस्कवरी सिस्टम - पॉजिटिव टेक्नोलॉजीज एनटीए-सिस्टम का उपयोग करके परिधि पर और नेटवर्क के अंदर हमलों का पता लगाने के लिए तकनीकों की पहचान करेंगे । पीटी एनएडी से बदलती डिग्री में MITER ATT & CK मैट्रिक्स की सभी 12 रणनीति शामिल हैं। प्रारंभिक पहुंच, पार्श्व आंदोलन, और कमांड और नियंत्रण के लिए तकनीकों की पहचान करने में वह सबसे शक्तिशाली है। उनमें, पीटी एनएडी ज्ञात तकनीकों के आधे से अधिक को कवर करता है, प्रत्यक्ष या अप्रत्यक्ष संकेतों द्वारा उनके उपयोग का खुलासा करता है।

यह प्रणाली एटीटी और सीके तकनीकों का उपयोग करके हमलों का पता लगाती है, जो पीटी विशेषज्ञ सुरक्षा केंद्र टीम द्वारा बनाए गए पता लगाने के नियमों का उपयोग करते हैं(पीटी ईएससी), मशीन लर्निंग, समझौता के संकेतक, गहराई से विश्लेषण और पूर्वव्यापी विश्लेषण। पूर्वव्यापी के साथ संयोजन में वास्तविक समय यातायात विश्लेषण आपको वर्तमान छिपी हुई दुर्भावनापूर्ण गतिविधि की पहचान करने और विकास वैक्टर को ट्रैक करने और इतिहास पर हमला करने की अनुमति देता है।

यहाँ MITER ATT & CK मैट्रिक्स में PT NAD की पूर्ण मैपिंग है। चित्र बड़ा है, इसलिए हम आपको एक अलग विंडो में विचार करने का सुझाव देते हैं।

प्रारंभिक पहुँच

प्रारंभिक पहुँच प्राप्त करने की रणनीति में कंपनी के नेटवर्क को भेदने की तकनीकें शामिल हैं। इस स्तर पर हमलावरों का लक्ष्य आक्रमण प्रणाली में दुर्भावनापूर्ण कोड वितरित करना और इसके आगे निष्पादन की संभावना सुनिश्चित करना है।

पीटी एनएडी के साथ ट्रैफ़िक विश्लेषण से प्रारंभिक पहुँच प्राप्त करने के लिए सात तकनीकों का पता चलता है:

1. T1189 : ड्राइव-बाय समझौता

एक तकनीक जिसमें एक पीड़ित एक वेबसाइट खोलता है जो साइबर अपराधियों द्वारा एक वेब ब्राउज़र को संचालित करने और एक एप्लिकेशन के लिए एक्सेस टोकन प्राप्त करने के लिए उपयोग किया जाता है।

पीटी एनएडी क्या करता है : यदि वेब ट्रैफ़िक एन्क्रिप्ट नहीं किया गया है, तो पीटी एनएडी HTTP सर्वर प्रतिक्रियाओं की सामग्री का निरीक्षण करता है। यह इन उत्तरों में है कि ऐसे कारनामे हैं जो हमलावरों को ब्राउज़र के अंदर मनमाना कोड निष्पादित करने की अनुमति देते हैं। पता लगाने के नियमों का उपयोग करके पीटी एनएडी स्वचालित रूप से इस तरह के कारनामों का पता लगाता है।

इसके अतिरिक्त, पीटी एनएडी पिछले चरण में खतरे का पता लगाता है। यदि उपयोगकर्ता किसी साइट पर शोषण के एक समूह के साथ उसे साइट पर पुनर्निर्देशित करता है, तो समझौता और नियम के संकेतक चालू हो जाते हैं।

2. T1190 : सार्वजनिक-सामना करने वाले एप्लिकेशन का शोषण करें

इंटरनेट से सुलभ होने वाली सेवाओं में कमजोरियों को उजागर करना।

पीटी एनएडी क्या करता है : नेटवर्क पैकेट की सामग्री का गहन निरीक्षण करता है, इसमें असामान्य गतिविधि के संकेत प्रकट करता है। विशेष रूप से, ऐसे नियम हैं जो आपको मुख्य सामग्री प्रबंधन प्रणाली (सीएमएस), नेटवर्क उपकरणों के वेब इंटरफेस, मेल और एफ़टीपी सर्वर पर हमलों का पता लगाने की अनुमति देते हैं।

3. T1133 : बाहरी दूरस्थ सेवाएँ

बाहर से आंतरिक नेटवर्क संसाधनों से कनेक्ट करने के लिए हमलावरों द्वारा रिमोट एक्सेस सेवाओं का उपयोग।

पीटी एनएडी क्या करता है : चूंकि सिस्टम पोर्ट नंबरों द्वारा प्रोटोकॉल को पहचानता है, लेकिन पैकेट की सामग्री द्वारा, सिस्टम के उपयोगकर्ता ट्रैफ़िक को फ़िल्टर कर सकते हैं ताकि वे रिमोट एक्सेस प्रोटोकॉल के सभी सत्रों को ढूंढ सकें और उनकी वैधता की जांच कर सकें।

4. T1193 : भाला लगाव

हम कुख्यात फ़िशिंग अनुलग्नकों के बारे में बात कर रहे हैं।

पीटी एनएडी क्या करता है : स्वचालित रूप से ट्रैफ़िक से फ़ाइलों को निकालता है और समझौता संकेतकों के खिलाफ उनकी जांच करता है। मेल ट्रैफ़िक की सामग्री का विश्लेषण करने वाले नियमों द्वारा संलग्नक में निष्पादन योग्य फ़ाइलों का पता लगाया जाता है। कॉर्पोरेट वातावरण में, इस तरह के निवेश को असामान्य माना जाता है।

5. T1192 : स्पीयरफिशिंग लिंक

फ़िशिंग लिंक का उपयोग करना। तकनीक में दुर्भावनापूर्ण उपयोगकर्ता द्वारा लिंक के साथ फ़िशिंग ईमेल भेजना शामिल है, जिसे क्लिक करने पर एक दुर्भावनापूर्ण प्रोग्राम डाउनलोड होता है। आमतौर पर, लिंक सामाजिक इंजीनियरिंग के सभी नियमों के अनुसार संकलित पाठ के साथ होता है।

पीटी एनएडी क्या करता है : समझौता संकेतकों का उपयोग करके फ़िशिंग लिंक का पता लगाता है। उदाहरण के लिए, पीटी एनएडी इंटरफेस में हम एक सत्र देखते हैं जिसमें फिशिंग-यूआरएल सूची में सूचीबद्ध लिंक का उपयोग करके एक HTTP कनेक्शन था।

समझौता फ़िशिंग-यूआरएल के संकेतकों की सूची से जोड़ना

6. T1199 : विश्वसनीय संबंध

तीसरे पक्ष के माध्यम से पीड़ित के नेटवर्क तक पहुंच जिसके साथ पीड़ित का विश्वसनीय संबंध है। हमलावर एक विश्वसनीय संगठन में हैक कर सकते हैं और इसके माध्यम से लक्ष्य नेटवर्क से जुड़ सकते हैं। ऐसा करने के लिए, वे वीपीएन कनेक्शन या डोमेन ट्रस्ट का उपयोग करते हैं, जो ट्रैफ़िक विश्लेषण का उपयोग करके पता लगाया जा सकता है।

पीटी एनएडी क्या करता है : यह एप्लिकेशन प्रोटोकॉल को पार्स करता है और डेटाबेस में पार्स किए गए फ़ील्ड्स को बचाता है, इसलिए आईबी विश्लेषक डेटाबेस में सभी संदिग्ध वीपीएन कनेक्शन या क्रॉस-डोमेन कनेक्शन खोजने के लिए फ़िल्टर का उपयोग कर सकते हैं।

7. T1078 : वैध खाते

बाहरी और आंतरिक सेवाओं पर प्राधिकरण के लिए मानक, स्थानीय या डोमेन क्रेडेंशियल्स का उपयोग।

पीटी एनएडी क्या करता है : स्वचालित रूप से HTTP, FTP, SMTP, POP3, IMAP, SMB, DCE / RPC, SOCKS5, LDAP, कर्बरोस से क्रेडेंशियल्स निकालता है। सामान्य तौर पर, यह एक उपयोगकर्ता नाम, पासवर्ड और प्रमाणीकरण सफलता का संकेत है। यदि उनका उपयोग किया गया था, तो उन्हें संबंधित सत्र कार्ड में प्रदर्शित किया जाता है।

क्रियान्वयन

निष्पादन रणनीति में ऐसी तकनीकें शामिल हैं जो साइबर क्रिमिनल समझौता किए गए सिस्टम पर कोड निष्पादित करने के लिए उपयोग करते हैं। दुर्भावनापूर्ण कोड चलाने से हमलावरों को अपनी उपस्थिति (दृढ़ता की रणनीति) को मजबूत करने और परिधि के भीतर जाकर नेटवर्क पर दूरस्थ सिस्टम तक पहुंच का विस्तार करने में मदद मिलती है।

पीटी एनएडी दुर्भावनापूर्ण कोड को निष्पादित करने के लिए उपयोग की जाने वाली 14 तकनीकों के हमलावरों द्वारा उपयोग का पता लगा सकता है।

1. T1191 : CMSTP (Microsoft कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर)

एक रणनीति जिसमें हमलावर विंडोज में निर्मित CMSTP.exe उपयोगिता (कनेक्शन प्रबंधक प्रोफ़ाइल इंस्टॉलर) के लिए एक विशेष दुर्भावनापूर्ण इंस्टॉलेशन INF फ़ाइल तैयार करते हैं। CMSTP.exe फ़ाइल को एक पैरामीटर के रूप में लेता है और दूरस्थ कनेक्शन के लिए सेवा प्रोफ़ाइल सेट करता है। परिणामस्वरूप, CMSTP.exe का उपयोग रिमोट सर्वर से गतिशील रूप से जुड़े पुस्तकालयों (*। Dll) या बुलेटलेट (* .sct) को डाउनलोड करने और निष्पादित करने के लिए किया जा सकता है।

पीटी एनएडी क्या करता है : यह HTTP ट्रैफ़िक में विशेष .inf फ़ाइलों के प्रसारण का पता लगाता है। इसके अतिरिक्त, यह दूरस्थ सर्वर से दुर्भावनापूर्ण स्क्रिप्टलेट और HTTP प्रोटोकॉल के माध्यम से गतिशील रूप से जुड़े पुस्तकालयों के हस्तांतरण का पता लगाता है।

2. T1059 : कमांड-लाइन इंटरफ़ेस

कमांड लाइन इंटरफ़ेस के साथ सहभागिता। आप स्थानीय रूप से या दूरस्थ रूप से कमांड लाइन इंटरफेस के साथ बातचीत कर सकते हैं, उदाहरण के लिए रिमोट एक्सेस उपयोगिताओं का उपयोग कर।

पीटी एनएडी क्या करता है : यह स्वचालित रूप से विभिन्न कमांड-लाइन उपयोगिताओं, जैसे पिंग, ifconfig को लॉन्च करने के लिए आदेशों का जवाब देकर गोले की उपस्थिति का पता लगाता है।

3. T1175 : घटक ऑब्जेक्ट मॉडल और वितरित COM

नेटवर्क के माध्यम से चलते समय स्थानीय या दूरस्थ सिस्टम पर कोड निष्पादित करने के लिए COM या DCOM तकनीकों का उपयोग करना।

पीटी एनएडी क्या करता है : संदिग्ध DCOM कॉल का पता लगाता है कि हमलावर आमतौर पर प्रोग्राम चलाने के लिए उपयोग करते हैं।

4. T1203 : ग्राहक निष्पादन के लिए शोषण

वर्कस्टेशन पर मनमाने कोड को निष्पादित करने के लिए कमजोरियों को उजागर करना। हमलावरों के लिए सबसे उपयोगी कारनामे वे हैं जो एक दूरस्थ प्रणाली पर कोड को निष्पादित करने की अनुमति देते हैं, क्योंकि उनकी मदद से हमलावर ऐसी प्रणाली तक पहुंच प्राप्त कर सकते हैं। तकनीक को निम्नलिखित विधियों का उपयोग करके लागू किया जा सकता है: दुर्भावनापूर्ण मेलिंग सूची, ब्राउज़र कारनामों के साथ वेबसाइट और अनुप्रयोग कमजोरियों का दूरस्थ शोषण।

पीटी एनएडी क्या करता है : मेल ट्रैफ़िक पार्स करते समय, पीटी एनएडी संलग्नक में निष्पादन योग्य फ़ाइलों के लिए इसकी जाँच करता है। स्वचालित रूप से उन पत्रों से कार्यालय दस्तावेज़ निकालता है जिनमें कारनामे हो सकते हैं। कमजोरियों का फायदा उठाने के प्रयास यातायात में दिखाई देते हैं जो पीटी एनएडी स्वचालित रूप से पता लगाता है।

5. T1170 : mshta

Mshta.exe उपयोगिता का उपयोग करना, जो कि .hta एक्सटेंशन के साथ Microsoft HTML एप्लिकेशन (HTA) चलाता है। चूंकि mshta ब्राउज़र सुरक्षा सेटिंग्स को दरकिनार कर फाइलों को संसाधित करता है, हमलावर दुर्भावनापूर्ण HTA, जावास्क्रिप्ट, या VBScript फ़ाइलों को निष्पादित करने के लिए mshta.exe का उपयोग कर सकते हैं।

PT NAD क्या करता है : mshta के माध्यम से निष्पादन के लिए .ta फाइलें नेटवर्क पर संचारित होती हैं - यह यातायात में दिखाई देती है। पीटी एनएडी स्वचालित रूप से ऐसी दुर्भावनापूर्ण फ़ाइलों के हस्तांतरण का पता लगाता है। यह फाइलों को पकड़ता है, और उनके बारे में जानकारी सत्र कार्ड में देखी जा सकती है।

6. T1086 : पॉवरशेल

जानकारी खोजने और दुर्भावनापूर्ण कोड निष्पादित करने के लिए PowerShell का उपयोग करना।

PT NAD क्या करता है : जब PowerShell का उपयोग हमलावरों द्वारा दूर से किया जाता है, तो PT NAD नियमों का उपयोग करके इसका पता लगाता है। यह PowerShell कीवर्ड को दिखाता है जो अक्सर दुर्भावनापूर्ण स्क्रिप्ट में उपयोग किया जाता है, और SMB प्रोटोकॉल का उपयोग करके PowerShell स्क्रिप्ट को स्थानांतरित करता है।

7. T1053 : निर्धारित कार्य
स्वचालित रूप से एक विशेष समय पर प्रोग्राम या स्क्रिप्ट लॉन्च करने के लिए Windows कार्य शेड्यूलर और अन्य उपयोगिताओं का उपयोग करें।

पीटी एनएडी क्या करता है?: हमलावर ऐसे कार्यों का निर्माण करते हैं, आमतौर पर दूरस्थ रूप से, जिसका अर्थ है कि ऐसे सत्र यातायात में दिखाई देते हैं। पीटी एनएडी स्वचालित रूप से ATSVC और ITaskSchedulerService RPC इंटरफेस का उपयोग करके संदिग्ध कार्य निर्माण और संशोधन संचालन का पता लगाता है।

8. T1064 : स्क्रिप्टिंग

विभिन्न हमलावर क्रियाओं को स्वचालित करने के लिए लिपियों को निष्पादित करना।

पीटी एनएडी क्या करता है : यह नेटवर्क पर स्क्रिप्ट ट्रांसमिशन के तथ्यों को प्रकट करता है , अर्थात, लॉन्च होने से पहले ही। यह कच्चे ट्रैफ़िक में स्क्रिप्ट की सामग्री का पता लगाता है और लोकप्रिय स्क्रिप्टिंग भाषाओं के अनुरूप एक्सटेंशन वाले नेटवर्क पर फ़ाइलों के हस्तांतरण का पता लगाता है।

9. T1035 : सेवा निष्पादन

एक निष्पादन योग्य फ़ाइल, कमांड लाइन इंटरफ़ेस निर्देश, या सेवा नियंत्रण प्रबंधक (SCM) जैसे Windows सेवाओं के साथ बातचीत करके एक स्क्रिप्ट चलाएँ।

पीटी एनएडी क्या करता है : एसएमबी ट्रैफिक का निरीक्षण करता है और सेवा शुरू करने, संशोधित करने और सेवा शुरू करने के नियमों के लिए एससीएम पहुंच का पता लगाता है।

PSExec कमांड के दूरस्थ निष्पादन के लिए उपयोगिता का उपयोग करके सेवाओं को शुरू करने की तकनीक को लागू किया जा सकता है। PT NAD SMB प्रोटोकॉल को पार्स करता है और PSEXESVC.exe फ़ाइल या किसी दूरस्थ मशीन पर कोड निष्पादित करने के लिए मानक PSEXECSVC सेवा नाम का उपयोग करते समय PSExec के उपयोग का पता लगाता है। उपयोगकर्ता को निष्पादित कमांड की सूची और नोड से कमांड के दूरस्थ निष्पादन की वैधता की जांच करने की आवश्यकता है।

PT NAD ATT&CK, , , .

PSExec,

10. T1072: third-party software

एक तकनीक जिसमें हमलावर दूरस्थ प्रशासन सॉफ्टवेयर या एक कॉर्पोरेट सॉफ़्टवेयर परिनियोजन प्रणाली तक पहुंच प्राप्त करते हैं और दुर्भावनापूर्ण कोड लॉन्च करने के लिए उनका उपयोग करते हैं। ऐसे सॉफ़्टवेयर के उदाहरण: SCCM, VNC, TeamViewer, HBSS, Altiris।
वैसे, तकनीक दूरस्थ कार्य के लिए बड़े पैमाने पर संक्रमण के संबंध में विशेष रूप से प्रासंगिक है और, परिणामस्वरूप, दूरस्थ रिमोट एक्सेस चैनलों के माध्यम से कई घरेलू असुरक्षित उपकरणों का कनेक्शन।

पीटी एनएडी क्या करता है?: स्वचालित रूप से नेटवर्क पर ऐसे सॉफ़्टवेयर के संचालन का पता लगाता है। उदाहरण के लिए, नियमों को VNC कनेक्शन और EvilVNC ट्रोजन की गतिविधि द्वारा ट्रिगर किया जाता है, जो पीड़ित के मेजबान पर VNC सर्वर को गुप्त रूप से स्थापित करता है और स्वचालित रूप से इसे शुरू करता है। PT NAD भी टीमव्यूअर प्रोटोकॉल का स्वतः पता लगा लेता है, इससे विश्लेषक ऐसे सभी सत्रों को खोजने और उनकी वैधता को सत्यापित करने के लिए फ़िल्टर का उपयोग करने में मदद करता है।

11. T1204 : उपयोगकर्ता निष्पादन

एक तकनीक जिसमें एक उपयोगकर्ता फ़ाइलों को चलाता है जिससे कोड निष्पादन हो सकता है। यह हो सकता है, उदाहरण के लिए, यदि वह एक निष्पादन योग्य फ़ाइल खोलता है या मैक्रो के साथ एक कार्यालय दस्तावेज़ चलाता है।

पीटी एनएडी क्या करता है : लॉन्च होने से पहले वे ऐसी फाइलों को ट्रांसफर स्टेज पर देखते हैं। कार्ड सत्रों में उनके बारे में जानकारी का अध्ययन किया जा सकता है, जिसमें वे संचारित थे।

12. T1047 : विंडोज मैनेजमेंट इंस्ट्रूमेंटेशन

WMI टूल का उपयोग करना, जो विंडोज सिस्टम घटकों के लिए स्थानीय और रिमोट एक्सेस प्रदान करता है। WMI का उपयोग करते हुए, हमलावर स्थानीय और दूरस्थ प्रणालियों के साथ बातचीत कर सकते हैं और कई कार्य कर सकते हैं, उदाहरण के लिए, क्षैतिज गति के दौरान टोही उद्देश्यों और दूर से शुरू होने वाली प्रक्रियाओं के लिए जानकारी एकत्र करना।

पीटी एनएडी क्या करता है : चूंकि डब्ल्यूएमआई के माध्यम से दूरस्थ प्रणालियों के साथ बातचीत यातायात में दिखाई देती है, इसलिए पीटी एनएडी स्वचालित रूप से डब्ल्यूएमआई सत्रों की स्थापना के लिए नेटवर्क अनुरोधों का पता लगाता है और डब्ल्यूएमआई का उपयोग करने वाली स्क्रिप्ट के प्रसारण के लिए ट्रैफिक की जांच करता है।

13. T1028 : विंडोज रिमोट मैनेजमेंट

विंडोज सेवा और प्रोटोकॉल का उपयोग करना, जो उपयोगकर्ता को दूरस्थ सिस्टम के साथ बातचीत करने की अनुमति देता है।

पीटी एनएडी क्या करता है : विंडोज रिमोट मैनेजमेंट का उपयोग करके स्थापित नेटवर्क कनेक्शन देखता है। इस तरह के सत्रों को नियमों द्वारा स्वचालित रूप से पता लगाया जाता है।

14. T1220 : XSL (एक्स्टेंसिबल स्टाइलशीट लैंग्वेज) स्क्रिप्ट प्रोसेसिंग

एक्सएसएल मार्कअप भाषा का उपयोग एक्सएमएल फाइलों में डेटा के प्रसंस्करण और दृश्य का वर्णन करने के लिए किया जाता है। जटिल संचालन का समर्थन करने के लिए, XSL मानक में कई भाषाओं में एम्बेडेड स्क्रिप्ट का समर्थन शामिल है। ये भाषाएं मनमाने कोड को निष्पादित करने की अनुमति देती हैं, जिससे श्वेतसूची के आधार पर सुरक्षा नीतियों को दरकिनार किया जाता है।

पीटी एनएडी क्या करता है : यह नेटवर्क पर ऐसी फ़ाइलों को स्थानांतरित करने के तथ्यों को प्रकट करता है , अर्थात, लॉन्च होने से पहले ही। यह स्वचालित रूप से इस तथ्य का पता लगाता है कि XSL फाइलें नेटवर्क पर संचरित होती हैं और विषम XSL मार्कअप के साथ फाइलें।

निम्नलिखित लेखों में, हम देखेंगे कि कैसे पीटी नेटवर्क अटैक डिस्कवरी एनटीए-सिस्टम MITER ATT & CK के अनुसार हमलावरों की अन्य रणनीति और तकनीक पाता है। बने रहें!

लेखक :

, (PT Expert Security Center) Positive Technologies
, Positive Technologies

कैसे ट्रैफिक एनालिसिस सिस्टम पीटी नेटवर्क अटैक डिस्कवरी का उपयोग करके MITER ATT & CK हैकर टैक्टिक्स का पता लगाता है