रिमोट वर्क सहित सिस्को थ्रेट रिस्पांस का उपयोग करके एक DNSpionage अभियान की जांच करना

मैंने पहले से ही नि: शुल्क सिस्को धमकी प्रतिक्रिया (सीटीआर) समाधान के बारे में बात की है, जो कई अलग-अलग प्रकार के समझौता संकेतकों - फ़ाइल हैश, आईपी पते, डोमेन नाम, ई-मेल पते, आदि की घटनाओं की जांच करने के लिए समय को काफी कम कर सकता है। लेकिन पिछले नोट या तो अलग सिस्को समाधानों के साथ सीटीआर का उपयोग करने के उदाहरणों के लिए समर्पित थे, या गोसोप्का और फिनसीईआरटी के साथ इसके एकीकरण के लिए। आज मैं यह वर्णन करना चाहूंगा कि CTR का उपयोग व्यक्तिगत हैकर अभियानों की जांच के लिए कैसे किया जा सकता है जो कंपनी के भीतर कई अलग-अलग लक्ष्यों के खिलाफ कई वैक्टर का उपयोग कर सकते हैं। एक उदाहरण के रूप में, मैंने पिछले लेख में उल्लेखित DNSpionage अभियान को लिया ।

पिछली बार मैंने दिखाया कि कैसे सिर्फ एक समाधान के साथ इसका पता लगाया जा सकता है - सिस्को स्टील्थवॉच एंटरप्राइज नेटवर्क विसंगति विश्लेषण प्रणाली। फिर हमने डीएनएस प्रोटोकॉल के माध्यम से कमांड सर्वर के साथ दुर्भावनापूर्ण क्लाइंट भाग की बातचीत को रिकॉर्ड किया, जो कि एक संकेतक के रूप में कार्य करता था यदि इसे कॉर्पोरेट नेटवर्क के भीतर अनधिकृत नोड्स पर उपयोग किया जाता था। वास्तव में, हमने किसी घटना के संकेतों की तलाश के लिए नेटवर्क ट्रैफ़िक में विसंगतियों को देखा। अब देखते हैं कि दुर्भावनापूर्ण गतिविधि (IOC) के अधिक परिचित संकेतकों का उपयोग करके DNSpionage अभियान की पहचान कैसे करें?

हम किसी भी थ्रेट इंटेलिजेंस बुलेटिन में संकेतक की सूची देख सकते हैं। इस मामले में, हम दुनिया के सबसे बड़े गैर-सरकारी घटना जांच समूह सिस्को तलोस की साइट का उपयोग करेंगे, जिसने सबसे पहले DNSpionage अभियान (इधर और उधर )।



समाचार पत्र में हम संकेतक की सूची देखते हैं - फ़ाइल हैश, आईपी और कमांड के डोमेन पते और हमले में शामिल फ़िशिंग सर्वर।



यदि हम प्रत्येक संकेतक को सुरक्षा के उचित साधनों के माध्यम से "ड्राइव" करते हैं, तो यह हमें बहुत लंबा लगेगा। उदाहरण के लिए, एंडपॉइंट के लिए सिस्को एएमपी में, ईडीआर वर्ग का एक समाधान, हम खोज पट्टी (शीर्ष दाएं) में हमारे लिए एक या कई हैश में प्रवेश करते हैं:



और हमें वह परिणाम मिलता है जिसमें हम रुचि रखते हैं - हमें एक नोड मिला, जिस पर एक दुर्भावनापूर्ण प्रोग्राम की गतिविधि का पता चला था जिसके लिए हमारे पास हैश है ।



वैसे, मैं यह नोट करना चाहता हूं कि हैश खोज का उपयोग न केवल दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए किया जा सकता है, बल्कि सूचना लीक से निपटने के लिए भी किया जा सकता है। याद रखें कि लीक से निपटने के लिए प्रौद्योगिकियों में से एक (कंटेनर / टैग और सामग्री विश्लेषण के साथ) डिजिटल फिंगरप्रिंट का उपयोग होता है, जिसे केवल एएमपी 4 ई नियंत्रित करेगा (साथ ही साथ अन्य सिस्को समाधान जो शामिल हो सकते हैं) का उपयोग करके लागू किया जा सकता है लागू एएमपी इंजन - सिस्को फायरपावर, सिस्को ईमेल सुरक्षा उपकरण, सिस्को वेब सुरक्षा उपकरण, सिस्को छाता, आदि)। सच है, इस तरह के एक तंत्र केवल शायद ही कभी संशोधित फ़ाइलों के लिए काम करता है। यदि आप रुचि रखते हैं कि सिस्को लीक से निपटने के लिए क्या पेशकश करता है, तो मैं रिकॉर्डिंग और प्रस्तुति की सिफारिश कर सकता हूं ।हमारा नवीनतम वेबिनार, जिसे हमने इस विषय को समर्पित किया है।

लेकिन हमारी कहानी पर वापस आते हैं। यदि आप कमांड या फ़िशिंग सर्वर के डोमेन तक पहुंच को ट्रैक करने का प्रयास करते हैं, तो सिस्को छाता हमारी मदद कर सकता है।



चूंकि अधिकांश घटनाओं में संक्रमण का मुख्य वेक्टर ईमेल है, इसलिए हमें ई-मेल में हमारे लिए ब्याज के संकेतक भी तलाशने होंगे। ऐसा करने के लिए, हम सिस्को सुरक्षा प्रबंधन उपकरण या सिस्को ई-मेल सुरक्षा उपकरण में संबंधित संकेतक के हैश का संकेत



देते हैं : हम 5 मेलबॉक्स ढूंढते हैं जिसमें उन फ़ाइलों के निशान मिलते हैं जिनकी हम तलाश कर रहे हैं।



अंत में, सिस्को फायरपावर, अगली पीढ़ी के फ़ायरवॉल में अंतर्निहित घुसपैठ रोकथाम प्रणाली के साथ, हमें आईपी पते को ट्रैक करने (और ब्लॉक) में मदद करता है जो दुर्भावनापूर्ण अभियान के ग्राहक भाग के साथ बातचीत करता है।



इस उदाहरण में, यद्यपि हम DNSpionage के संकेतों का पता लगाते हैं, हम उतनी तेजी से नहीं कर रहे हैं जितना हम चाहते थे। हम कंसोल के बीच स्विच कर रहे हैं। हम कई कॉपी-पिछले ऑपरेशन करते हैं और 4 अलग-अलग उत्पाद समझौता के 4 अलग-अलग प्रकार के संकेतकों की तलाश कर रहे हैं, जिससे जांच और प्रतिक्रिया का समय बढ़ रहा है। क्या इस प्रक्रिया को तेज किया जा सकता है? बेशक। आप सिएम का उपयोग कर सकते हैं, जिसे टीआई स्रोतों के साथ एकीकृत किया जा सकता है, या जिसमें आप बाहरी टीआई स्रोतों से समझौता के संकेतक डाउनलोड कर सकते हैं। लेकिन यह महंगा है अगर यह वाणिज्यिक है, या उच्च दक्षताओं की आवश्यकता है, अगर यह खुले स्रोत की श्रेणी से है। एक सरल और सभी अधिक निशुल्क समाधान है - सिस्को थ्रेट रिस्पांस, जो मुख्य रूप से सिस्को समाधानों पर केंद्रित है, साथ ही साथ अन्य विक्रेताओं के समाधान पर भी है।ब्राउज़र प्लग-इन का उपयोग करते हुए, हम DNSpionage अभियान का वर्णन करते हुए सिस्को तालोस ब्लॉग पेज से सभी संकेतक "खींचते हैं"।



प्रतिक्रिया प्रक्रिया को तेज करने के लिए, हम संबंधित संकेतकों को सीधे प्लगइन के माध्यम से ब्लॉक कर सकते हैं।



लेकिन हम यह समझने की कोशिश में घटना की जांच करने में रुचि रखते हैं कि हमारे कौन से नोड्स और उपयोगकर्ताओं से समझौता किया गया था। और सब कुछ एक स्क्रीन पर देखना उचित है। CTR ही हमें यह अवसर प्रदान करती है। ग्राफिकल इंटरफ़ेस के ऊपरी बाएँ में, हम अपने सभी संकेतक देखते हैं। निचले बाएं हिस्से में - हमारे "संक्रमण" का एक नक्शा।



बैंगनी रंग हमारे बुनियादी ढांचे में पहले से ही प्रभावित लक्ष्यों को दिखाता है - पीसी, मेलबॉक्स, सबनेट, आदि। ऊपरी दाएं भाग में हम एक टाइमलाइन देखते हैं जो हमारे नेटवर्क वातावरण में संकेतकों की उपस्थिति (पहले सहित) को प्रदर्शित करता है। अंत में, निचला दायां क्षेत्र हमें प्रत्येक संकेतक पर विस्तृत जानकारी प्राप्त करने की अनुमति देता है, बाहरी TI स्रोतों द्वारा समृद्ध और सत्यापित, उदाहरण के लिए, VirusTotal, या तृतीय-पक्ष सुरक्षा उपकरण।



संक्रमण की सीमा को समझने के बाद, हम सिस्को अम्ब्रेला के माध्यम से इसकी घटना को रोककर पहचाने गए खतरे का उचित रूप से जवाब देना शुरू कर सकते हैं, जो कमांड सर्वर डोमेन के साथ बातचीत को अवरुद्ध करता है:



या एंडपॉइंट के लिए सिस्को एएमपी के माध्यम से, जो एक दुर्भावनापूर्ण फ़ाइल या प्रक्रिया के संचालन को अलग करता है।



CTR इंटरफ़ेस से तुरंत, हम किसी फ़ाइल, डोमेन या अन्य संकेतक को अवरुद्ध करने का परिणाम देख सकते हैं।



सिस्को ई-मेल सुरक्षा उपकरण या सिस्को फायरपावर के साथ सीटीआर को एकीकृत करके, हम क्रमशः संक्रमित मेलबॉक्सों या समझौता साइटों को अलग कर सकते हैं।

क्या यह एक ही बात करना संभव है, लेकिन सिस्को थ्रेट रिस्पॉन्स इंटरफ़ेस का उपयोग किए बिना? कभी-कभी आप इसके लिए अपने स्वयं के, अधिक परिचित उपकरणों का उपयोग करना चाहते हैं। हाँ तुम कर सकते हो। उदाहरण के लिए, हम किसी भी तकनीक में सीटीआर कार्यक्षमता को एम्बेड कर सकते हैं जो एक ब्राउज़र का समर्थन करता है (उदाहरण के लिए, हमारे अपने पोर्टल में), और एपीआई की उपलब्धता के कारण, सीटीआर कार्यों को कहीं से भी एक्सेस किया जा सकता है।

मान लीजिए कि आप एक कमांड लाइन इंटरफेस पसंद करते हैं और कीबोर्ड से सभी कमांड दर्ज करके जांच और जवाब देना चाहते हैं। यह करना भी आसान है। उदाहरण के लिए, यहाँ CTR एकीकरण Cisco Webex Teams टीमवर्क प्रणाली के साथ कैसे काम करता है और इसके लिए एक उदाहरण के रूप में DNSpionage अभियान का उपयोग करके AskWill बॉट विकसित किया गया है। सिस्को वेबेक्स टीमें अक्सर हमारे ग्राहकों द्वारा सूचना सुरक्षा विशेषज्ञों की बातचीत को व्यवस्थित करने के लिए उपयोग की जाती हैं। यह उदाहरण सभी अधिक दिलचस्प है क्योंकि यह दर्शाता है कि आप दूरस्थ रूप से काम करते समय कैसे जांच और प्रतिक्रिया की एक प्रक्रिया का निर्माण कर सकते हैं, जब, एकमात्र चीज जो एसओसी विशेषज्ञों को एकजुट करती है, एक संचार प्रणाली है।

उदाहरण के लिए, हम डोमेन 0ffice36o.com के लिए स्थिति प्राप्त करना चाहते हैं, जिसका उपयोग कमांड सर्वर ने DNSpage के हिस्से के रूप में किया था। हम देखते हैं कि सिस्को छाता हमें "दुर्भावनापूर्ण" की स्थिति देता है।



और यहां बताया गया है कि टीम इस बात की जानकारी लेगी कि क्या एक बार में हमारे बुनियादी ढांचे में सिस्को तलोस द्वारा पहचाने गए DNSpionage अभियान के लिए समझौता करने के कई संकेतक हैं।



फिर हम Cisco छाता या Cisco Stealthwatch Cloud के माध्यम से दुर्भावनापूर्ण डोमेन को ब्लॉक कर सकते हैं। बाद के मामले में, विसंगति विश्लेषण प्रणाली अमेज़ॅन एडब्ल्यूएस, एमएस एज़ुर क्लाउड इन्फ्रास्ट्रक्चर जिसका हम उपयोग करते हैं, आदि के लिए कमांड सर्वर के साथ बातचीत को अवरुद्ध करेगा।



अंत में, यदि हमने गलती से किसी संकेतक को अवरुद्ध कर दिया है, या समय के साथ यह ज्ञात हो गया है कि यह खतरा पैदा करना बंद कर दिया है, तो हम इसे सुरक्षात्मक समाधानों की काली सूची से निकाल सकते हैं।



यह नि: शुल्क सिस्को धमकी प्रतिक्रिया समाधान कैसे काम करता है, जिसका मुख्य कार्य घटनाओं की जांच और प्रतिक्रिया करने के लिए समय कम करना है। और जैसा कि हमारे ग्राहक कहते हैं, सीटीआर उन्हें इसे कम करने की अनुमति देता है। 60% उपयोगकर्ताओं की 50% की कमी है; अन्य 23% में कम से कम 25% है। एक नि: शुल्क समाधान के लिए बुरा नहीं, हुह?!

अतिरिक्त जानकारी:

• सिस्को थ्रेट रिस्पांस और सिस्को स्टील्थवॉच एंटरप्राइज का एकीकरण
• GosSOPKoy और FinCERT में सिस्को समाधान की बातचीत
• सिस्को स्प्लंक क्यों नहीं खरीदता है या सिस्को प्लेटफॉर्म खतरे के शिकार के लिए कैसे काम करता है, इस बारे में बात करता है
• सिस्को दृश्यता के साथ खतरा शिकार
• नेटवर्क एनोमली एनालिसिस टूल्स का उपयोग करने के लिए केस स्टडीज: DNSpionage कैंपेन डिस्कवरी