🤦🏽 📵 👩‍🌾 सैंडबॉक्स अनुकूलन: आपको अभी इसकी आवश्यकता क्यों है 🚡 👰🏾 🤭

सैंडबॉक्स छवियों को अनुकूलित करने का मुद्दा उनकी स्थापना के बाद से प्रासंगिक रहा है। इस तरह के कार्यक्रमों के पहले संस्करण सूचना सुरक्षा कंपनियों के आंतरिक समाधान थे, लेकिन फिर भी पृथक मशीनों की श्रमसाध्य ट्यूनिंग की आवश्यकता थी। और यह न केवल सिस्टम की स्थिति की निगरानी के लिए सहायक सॉफ्टवेयर की स्थापना थी।

यहां तक कि 10 साल पहले, पर्यावरणीय विशेषताओं को इकट्ठा करने और संसाधित करने का तर्क दुर्भावनापूर्ण नमूनों में अंतर्निहित था: उपयोगकर्ता नाम और कंप्यूटर, घर या कॉर्पोरेट डोमेन, व्यवस्थापक अधिकार, भाषा लेआउट, प्रोसेसर कोर की संख्या, ऑपरेटिंग सिस्टम का संस्करण, एंटीवायरस सॉफ़्टवेयर की उपस्थिति, वर्चुअलाइजेशन के संकेत और यहां तक कि अपडेट की उपस्थिति भी। प्रणाली । आज तक, उन्हें प्राप्त करने के लिए मापदंडों और विधियों की संख्या में वृद्धि हुई है।

सैंडबॉक्स बायपास मैलवेयर तकनीक

सबसे पहले, दृष्टिकोण काफी सीधा था: यदि मैलवेयर उपयोगकर्ता को नाम परीक्षण के साथ जांचता है, तो हम उसे जॉन कहेंगे; यदि हम यह पता लगाने के लिए रजिस्ट्री कुंजी सिस्टम \ CurrentControlSet \ Enum \ SCSI \ Disk & Ven_VMware_ & Prod_VMware_Virtual_S का उपयोग करते हैं कि क्या हम एक आभासी वातावरण में हैं, तो (यदि संभव हो तो हम कॉल को इंटरसेप्ट करके कुंजी या बदले हुए परिणामों को बदल देंगे। कई अध्ययनों के परिणामस्वरूप, बाईपास विधियों का पता लगाने का एक निश्चित ज्ञान आधार भर्ती किया गया था, जो तब पर्यावरण को स्थापित करने के लिए उपयोग किया जाता था। वर्षों बीत गए, वायरस लेखकों ( और न केवल ) ने तेजी से अपने काम में इस ज्ञान का उपयोग करना शुरू कर दिया, जो अंततः निम्नलिखित का कारण बना।

सवाल "क्या यह एक शोध का माहौल है?" "क्या पर्यावरण दिलचस्प है?" और ब्याज बाद के डेटा चोरी के लिए कुछ एफ़टीपी ग्राहक के निशान खोजने में नहीं है। अब, यदि यह एक लेखा कर्मचारी की मशीन है जो विशिष्ट सॉफ़्टवेयर का उपयोग करता है, तो एक और बात। अन्य दृष्टिकोण हैं: उपयोगकर्ता को एक हल्के बूटलोडर के साथ संक्रमित करें जो सिस्टम के बारे में सभी आवश्यक जानकारी एकत्र करता है, इसे प्रबंधन सर्वर को भेजता है और ... प्रतिक्रिया में पेलोड प्राप्त नहीं करता है। अज्ञात सर्वर तर्क ने निर्णय लिया है कि यह पीड़ित हित का नहीं है।

तो हम देखते हैं: डिफ़ॉल्ट रूप से कॉन्फ़िगर किए गए सैंडबॉक्स प्रभावी व्यवसाय समाधान नहीं हैं। हमलावर तेजी से पता लगाने के खिलाफ आत्मरक्षा पर भरोसा नहीं कर रहे हैं, लेकिन हमले के आगे के विकास के लिए दिलचस्प लक्ष्यों की खोज की सीमा को कम कर रहे हैं।

हम उनसे कैसे लड़ेंगे?

सरल शब्दों में, हम एक अलग वातावरण की एक अनूठी छवि बनाने की पेशकश करते हैं। लक्ष्य एक ऐसे वातावरण को फिर से बनाना है जो हमलावरों तक आकर्षक पहुंच के साथ कर्मचारी के कार्य केंद्र के समान है: एक वित्त विभाग, विकास के दौरान निरंतर एकीकरण के लिए एक बिल्ड सर्वर, एक वेब सर्वर, एक डोमेन व्यवस्थापक की मशीन, और अंत में, एक सीईओ का स्टेशन।

बेशक, इस तरह के कार्य के लिए, आप "बोर्ड पर" उपयुक्त सॉफ़्टवेयर के साथ कई रिक्त स्थान जारी कर सकते हैं, लेकिन फिर आपको उन्हें विशिष्ट डेटा के साथ शुरू करने की आवश्यकता है जो किसी विशेष संगठन से मेल खाती है: डोमेन नाम, संसाधनों या उपयोग किए गए अनुप्रयोग, काम करने वाले दस्तावेजों के नाम और सामग्री - अधिक बारीकियां, बेहतर। । कभी-कभी सिस्टम अपडेट संस्करणों और पैच तक पर्यावरण को बारीक से ट्यून करने की आवश्यकता होती है। सबसे सरल मामले में, छवि को केवल "छिद्रों से भरा हुआ" बनाया जा सकता है। हालाँकि, यदि आपका आईटी इन्फ्रास्ट्रक्चर पार्क कुछ संस्करणों से अधिक पुराना नहीं है, तो यह भी ध्यान में रखा जा सकता है और निश्चित संख्या में कमजोरियों का उपयोग करते हुए कई अप्रासंगिक प्रवेश वैक्टर को समाप्त कर सकता है।

नतीजतन, हमें एक ऐसी छवि मिलती है जो वायरस लेखकों के लिए अज्ञात है, वास्तव में उनके लिए रुचि है, और जिससे लक्षित हमले का पता लगाने की संभावना बहुत बढ़ जाती है।

मुझे "लाइव" कंप्यूटर के काम का अनुकरण करने की आवश्यकता क्यों है?

उपयोगकर्ता क्रियाओं का अनुकरण एक जरूरी है, जिसके बिना सैंडबॉक्स अपनी प्रभावशीलता खो देता है। कुछ मामलों में, कार्यों की अनुपस्थिति सैंडबॉक्स में उपस्थिति का पता लगाने के लिए नेतृत्व करेगी: उदाहरण के लिए, यदि माउस कर्सर लंबे समय तक अपनी स्थिति नहीं बदलता है, तो नई खिड़कियां दिखाई नहीं देती हैं, अनुप्रयोग समाप्त नहीं होते हैं या बहुत कम लॉन्च किए जाते हैं, यदि नए निर्देशिका अस्थायी निर्देशिका में नहीं दिखाई देते हैं, तो नहीं नेटवर्क गतिविधि। अन्य स्थितियों में, यह स्वयं मालवेयर के संचालन को प्रभावित करेगा: उदाहरण के लिए, इसे चलाने के लिए, कार्यालय दस्तावेज़ में मैक्रोज़ को शामिल करने के लिए उपयोगकर्ता की सहमति आवश्यक है, या ट्रोजन एक मध्यवर्ती संवाद बॉक्स दिखाएगा जिसमें किसी चीज़ से सहमत होना आवश्यक होगा (या किसी चीज़ से) मना करना) अपना काम जारी रखना।

कभी-कभी नगण्य क्रियाएँ बस आवश्यक होती हैं: उपयोगकर्ता को कुछ दस्तावेज़ खोलना होगा और कुछ नीचे लिखना होगा या आगे के इनपुट के लिए क्लिपबोर्ड पर पासवर्ड की प्रतिलिपि बनाना होगा - यह ठीक ऐसे क्षणों में है कि एक जासूस ट्रोजन काम कर सकता है, जो महत्वपूर्ण डेटा को बाधित करेगा और इसे अपने लेखक के सर्वर पर भेज देगा।

यह हमारे साथ कैसे किया जाता है?

हमारे समाधान को धीरे-धीरे नए कार्यों के साथ फिर से भरना है जो एक जीवित उपयोगकर्ता के काम का अनुकरण करते हैं। बेशक, किसी भी जटिलता की योजनाबद्ध घटनाओं के पूर्वनिर्धारित अनुक्रमों की वास्तविक उपयोग की विविधता के साथ कभी भी तुलना नहीं की जा सकती है। हम उत्पाद के इस पक्ष पर शोध करना और सुधार करना जारी रखते हैं, जिससे इसकी प्रभावशीलता बढ़ जाती है।

ऊपर वर्णित कार्यों के अलावा, यह एक मौलिक विशेषता पर ध्यान देने योग्य है: हमारा सैंडबॉक्स एजेंट रहित लोगों के वर्ग से संबंधित है। अधिकांश समाधानों में, वर्चुअल मशीन के अंदर एक सहायक एजेंट होता है जो मेजबान सर्वर के लिए दिलचस्प घटनाओं और कलाकृतियों को प्राप्त करने और प्रसारित करने, सिस्टम की स्थिति के प्रबंधन के लिए जिम्मेदार होता है। निगरानी और मेजबान और अतिथि मशीनों के बीच बातचीत के स्पष्ट सिद्धांत में फायदे के बावजूद, इस समाधान में एक महत्वपूर्ण कमी है: मैलवेयर से एजेंट के साथ जुड़ी वस्तुओं को छिपाने और उनकी रक्षा करने की आवश्यकता। मामले में जब कोई घटना प्रदाता नहीं है, तो सवाल उठता है: कैसे, फिर, वर्चुअल मशीन के अंदर क्या हो रहा है, इसके बारे में जानकारी प्राप्त करने के लिए?

इसके लिए हम टेक्नोलॉजी एक्सटेंडेड पेज टेबल का उपयोग करते हैं(ईपीटी) इंटेल कॉर्पोरेशन। यह एक मध्यवर्ती मेमोरी पेज है जो अतिथि भौतिक मेमोरी और होस्ट भौतिक मेमोरी के बीच बैठता है। संक्षेप में, यह आपको निम्नलिखित कार्य करने की अनुमति देता है:

अतिथि मशीन के मेमोरी पृष्ठों के प्रदर्शन की जांच करें;
दिलचस्प खंडों को उजागर करें (उदाहरण के लिए, पते या परमाणु कार्यों के कोड);
चयनित पृष्ठों को चिह्नित करें ताकि ईपीटी में मेमोरी पेजों तक पहुंच अधिकार अतिथि मशीन में पेजों तक पहुंच अधिकार के साथ मेल न खाएं;
स्मृति के चिह्नित-अप खंडों में अपील को पकड़ने के लिए (इस समय एक एक्सेस त्रुटि (#PF) घटित होगी, परिणामस्वरूप, अतिथि मशीन निलंबित हो जाएगी);
राज्य का विश्लेषण करें, घटना के बारे में आवश्यक जानकारी निकालें;
सही स्थिति में मेमोरी पेज को फिर से लेआउट करें;
अतिथि मशीन को पुनर्स्थापित करें।

जो कुछ भी होता है उसकी निगरानी अलग-थलग मशीन के बाहर की जाती है। मैलवेयर जो अंदर है, अवलोकन के तथ्य का पता नहीं लगा सकता है।

सैंडबॉक्स में एक नमूना चलाना और उसके व्यवहार का विश्लेषण करना एक जटिल उत्पाद के घटकों में से एक है। शुरू करने के बाद, दुर्भावनापूर्ण कोड के लिए प्रक्रिया मेमोरी को स्कैन किया जाता है, नेटवर्क गतिविधि दर्ज की जाती है, जिसे बाद में 5000 से अधिक डिटेक्शन नियमों का उपयोग करके विश्लेषण किया जाता है। इसके अलावा, सुरक्षित इंटरैक्शन को डिक्रिप्ट करना संभव है।

समझौता (आईओसी) के सभी संकेतक, जो अध्ययन के दौरान पहचानने में सक्षम थे, प्रतिष्ठा सूचियों द्वारा जांचे जाते हैं। गतिशील विश्लेषण से गुजरने से पहले, नमूना को स्थैतिक प्रसंस्करण के लिए भेजा जाता है: यह कई एंटीवायरस पर पूर्वनिर्मित है और विशेषज्ञ सुरक्षा केंद्र (पीटी विशेषज्ञ सुरक्षा केंद्र) के विशेषज्ञों से पता लगाने के नियमों के साथ हमारे अपने इंजन द्वारा स्कैन किया गया है । हम एक व्यापक परीक्षा का उपयोग करते हैं, जिसमें मेटा-सूचना और नमूना की एम्बेडेड कलाकृतियों में विसंगतियों की पहचान करना शामिल है।

पीटी सैंडबॉक्स सबसे अच्छा और क्यों करता है?

पीटी सैंडबॉक्स लक्षित हमलों का सामना करने के लिए कई टीमों और उत्पादों के ज्ञान और अनुभव को जोड़ती है। इस तथ्य के बावजूद कि उत्पाद का उपयोग खतरों (रोकथाम) का मुकाबला करने के तरीके में किया जा सकता है, यह अभी भी मुख्य रूप से आईटी सिस्टम की सुरक्षा की निगरानी (पता लगाने) का एक साधन है। क्लासिक समापन बिंदु सुरक्षा समाधान से महत्वपूर्ण अंतर यह है कि पीटी सैंडबॉक्स का कार्य विसंगतियों पर ध्यान देना और पहले से अज्ञात खतरे को दर्ज करना है। एलेक्सी विष्णकोव, वरिष्ठ विशेषज्ञ, थ्रेट टेक्नोलॉजीज रिसर्च ग्रुप, पॉजिटिव टेक्नोलॉजीज

द्वारा पोस्ट किया गया

सैंडबॉक्स अनुकूलन: आपको अभी इसकी आवश्यकता क्यों है

सैंडबॉक्स बायपास मैलवेयर तकनीक

हम उनसे कैसे लड़ेंगे?

मुझे "लाइव" कंप्यूटर के काम का अनुकरण करने की आवश्यकता क्यों है?

यह हमारे साथ कैसे किया जाता है?

पीटी सैंडबॉक्स सबसे अच्छा और क्यों करता है?

More articles: