👏🏽 🎾 👺 कैसे ट्रैफिक एनालिसिस सिस्टम MITER ATT & CK, भाग 3 द्वारा हैकर रणनीति का पता लगाता है 🥑 👩‍🚒 🈚️

पिछली पोस्टों ( पहले और दूसरे भाग) में, हमने MITER ATT & CK की पाँच रणनीति की तकनीकों की जाँच की:

प्रारंभिक पहुँच
क्रियान्वयन
समेकन (दृढ़ता);
सुविधा वृद्धि
रोकथाम का पता लगाने (रक्षा चोरी)।

इसके अलावा, हमने दिखाया कि कैसे हमारे एनटीए-समाधान की मदद से नेटवर्क ट्रैफ़िक में संदिग्ध गतिविधि को पहचानना संभव है। अब हम आपको दिखाएंगे कि हमारी प्रौद्योगिकियां क्रेडेंशियल एक्सेस और डिस्कवरी तकनीकों के साथ कैसे काम करती हैं।

क्रेडेंशियल एक्सेस प्राप्त करना

इस रणनीति में डेटा चोरी करने के उद्देश्य से तकनीकें शामिल हैं जिनका उपयोग प्रमाणीकरण के लिए किया जा सकता है (उदाहरण के लिए, उपयोगकर्ता नाम और पासवर्ड)। वैध खातों का उपयोग हमलावरों को सिस्टम तक पहुंच प्राप्त करने में मदद करता है, सुरक्षित करने के लिए अधिक रिकॉर्ड बनाता है, और नेटवर्क पर हमलावरों की उपस्थिति का पता लगाना अधिक कठिन बनाता है।

नीचे चार तकनीकें हैं जिन्हें ट्रैफ़िक में संदिग्ध गतिविधि द्वारा पहचाना जा सकता है।

1. T1110 : पाशविक बल

क्रेडेंशियल्स अज्ञात या आंशिक रूप से ज्ञात होने पर ब्रूट बल विधियों का उपयोग करके सेवाओं तक पहुंच प्राप्त करने की तकनीक। आमतौर पर वे उपयोगकर्ता नाम, पासवर्ड या पासवर्ड के हैश का चयन करते हैं।

पीटी नेटवर्क अटैक डिस्कवरी (PT NAD) क्या करता है : स्वचालित मोड में, यह LDAP, Kerberos, SMB, SSH, SMTP, POP3, POP3S, IMAP, IMAPS, FTP के माध्यम से प्रमाणीकरण के लिए पासवर्ड चयन के संकेतों का पता लगाता है। इसके अलावा, यह phpMyAdmin, Joomla, WordPress, Drupal, Confluence, MySQL, Tomcat जैसी लोकप्रिय वेब सेवाओं के लिए क्रेडेंशियल्स चुनने के प्रयासों की पहचान करता है। इस तरह के हमलों से बड़ी संख्या में असफल प्रमाणीकरण प्रयास होते हैं, जो यातायात में देखे जा सकते हैं।

2. T1003 : क्रेडेंशियल डंपिंग

ऑपरेटिंग सिस्टम या सॉफ्टवेयर से क्रेडेंशियल्स (आमतौर पर हैश या ओपन पासवर्ड) प्राप्त करना। हम ट्रैफ़िक में इसकी पहचान प्रदर्शित करने के लिए इस तकनीक पर अधिक विस्तार से विचार करेंगे।

पीटी एनएडी क्या करता है:
पीटी एनएडी डिटेक्शन का एक उदाहरण इम्पेकेट लाइब्रेरी मॉड्यूल के आधार पर हैकर यूटिलिटी सीक्रेट्सडम्प का उपयोग करके डोमेन नियंत्रक रजिस्ट्री तक पहुंच दर्ज करता है। उपयोगिता का मुख्य कार्य उपयोगकर्ता पासवर्ड हैश प्राप्त करना है। इसकी मदद से, हमलावर एसएमबी प्रोटोकॉल के माध्यम से डोमेन नियंत्रक के साथ प्रमाणित करते हैं, सेवा नियंत्रण प्रबंधक (एससीएम) से कनेक्ट होते हैं, फिर रिमोट रजिस्ट्री से कनेक्ट करने और स्थानीय फ़ाइल में आवश्यक डेटा कॉपी करने के लिए वाइनरी प्रोटोकॉल का उपयोग करते हैं। उसके बाद, फ़ाइल को एसएमबी के माध्यम से आपके नेटवर्क नोड में डाउनलोड किया जाता है।

डोमेन उपयोगकर्ता पासवर्डों के हैश युक्त एलएसए रजिस्ट्री कुंजी के लिए एक क्वेरी की पहचान करना

उसी सत्र में, जहां पीटी एनएडी ने डोमेन नियंत्रक रजिस्ट्री तक पहुंच दर्ज की थी, वही फाइलें हस्तांतरित की गई थीं, जो सीक्रेट्सडम्प उपयोगिता ने डोमेन नियंत्रक रजिस्ट्री से महत्वपूर्ण जानकारी को बचाया था। पीटी एनएडी इंटरफेस में ट्रिगर नियमों के नाम से, यह स्पष्ट है कि हमलावरों ने एलएसए से डोमेन उपयोगकर्ताओं के पासवर्ड हैश और एसएएम से स्थानीय लोगों को प्राप्त किया:

हमलावरों को डाउनलोड करने में कामयाब फाइलें सत्र कार्ड में परिलक्षित होती हैं

3. T1212 : क्रेडेंशियल एक्सेस के लिए शोषण

एक सॉफ्टवेयर में कमजोरियों का फायदा उठाने के परिणामस्वरूप क्रेडेंशियल्स तक पहुंच प्राप्त करने के लिए एक हमलावर के लिए एक तकनीक।

पीटी एनएडी क्या करता है : ट्रैफ़िक को कई कमजोरियों का शोषण करता हुआ देखता है। उदाहरण के लिए, MS14-068 का उपयोग कर्बरोस टिकटों को नकली करने के लिए किया जा सकता है। एक हमलावर एक विशेष प्रकार (TGT, टिकट ग्रांटेड टिकट) के टिकट का अनुरोध करता है, खुद को विशेषाधिकार प्राप्त समूह में जोड़ता है और इस टिकट को संशोधित करता है ताकि कमजोर डोमेन नियंत्रक इसे मान्य मानता है। पीटी एनएडी ऐसे टिकटों के लिए अनुरोधों की पहचान करता है।

4. T1208 : केर्बोस्टिंग

नियमित उपयोगकर्ता के रूप में सक्रिय निर्देशिका से सेवा खातों को प्राप्त करने के लिए एक विधि। कोई भी डोमेन उपयोगकर्ता सक्रिय निर्देशिका (टिकट अनुदान सेवा) में सेवा तक पहुंचने के लिए केर्बरोस टिकट का अनुरोध कर सकता है। टीजीएस को उस खाते के पासवर्ड हैश से एन्क्रिप्ट किया गया है जहां से लक्ष्य सेवा चल रही है। इस तरह से TGS प्राप्त करने वाला एक हमलावर अब इसे डिक्रिप्ट कर सकता है, पासवर्ड उठा सकता है और ब्लॉक होने का डर नहीं सकता, क्योंकि यह ऑफ़लाइन है। सफल होने पर, उन्हें सेवा से जुड़े खाते से एक पासवर्ड प्राप्त होता है, जिसे अक्सर विशेषाधिकार प्राप्त होता है।

पीटी एनएडी क्या करता है?: सक्रिय निर्देशिका में लिस्टिंग सेवाओं के लिए अनुरोधों को ठीक करता है जो एक हमले के लिए लक्ष्य बन सकते हैं। हमलावरों के लिए यह चरण आवश्यक है कि हमला करने के लिए एक सेवा का चयन करें, और टीजीएस टिकट और ऑफ़लाइन चयन के लिए अनुरोध से पहले। पीटी एनएडी भी स्वचालित रूप से आरजी 4 एल्गोरिथ्म के साथ एन्क्रिप्ट किए गए टीजीएस टिकटों के लिए अनुरोधों का पता लगाता है, जो कि केर्बरस्टिंग हमले के संकेतों में से एक है।

खोज

एक पैर जमाने और सिस्टम तक पहुंच हासिल करने के बाद, हमलावरों को यह समझने की जरूरत है कि वे बुनियादी ढांचे में कहां हैं, उन्हें क्या घेरता है, वे क्या नियंत्रित कर सकते हैं। टोही के दौरान, हमलावर सिस्टम और आंतरिक नेटवर्क के बारे में डेटा एकत्र करते हैं, जो बुनियादी ढांचे को नेविगेट करने और आगे बढ़ने का फैसला करने में मदद करता है। इसके लिए, ऑपरेटिंग सिस्टम के अंतर्निहित उपकरण अक्सर उपयोग किए जाते हैं।
ट्रैफ़िक विश्लेषण से दस खुफिया तकनीकों के उपयोग का पता चलता है।

1. T1087 : खाता खोज

स्थानीय प्रणाली या डोमेन खातों की एक सूची प्राप्त करने की कोशिश कर रहा है।

पीटी एनएडी क्या करता है:
हमलावरों का पता लगाने का एक उदाहरण LDAP के माध्यम से डोमेन खातों के बारे में एक डोमेन नियंत्रक से जानकारी प्राप्त करने की कोशिश की, एक हल्के निर्देशिका एक्सेस प्रोटोकॉल। PT NAD ने LDAP अनुरोध का पता लगाया। डोमेन खाते प्राप्त करने की यह विधि T1087 (खाता खोज) तकनीक और T1069 (अनुमति समूह खोज) दोनों पर लागू हो सकती है।

LDAP के माध्यम से डोमेन खाता जानकारी प्राप्त करने के लिए खुफिया प्रयास

2. T1482 : डोमेन ट्रस्ट डिस्कवरी

डोमेन ट्रस्ट जानकारी के लिए खोजें। हमलावर मल्टी-डोमेन इन्फ्रास्ट्रक्चर में क्षैतिज आंदोलन के लिए ऐसे संबंधों का उपयोग करते हैं।

पीटी एनएडी क्या करता है : आरपीसी और एलडीएपी प्रश्नों का उपयोग करके डोमेन के बीच विश्वास संबंधों की एक सूची प्राप्त की जा सकती है। PT NAD स्वचालित रूप से LDAP प्रोटोकॉल और EnumTrustDom RPC कॉल का उपयोग करके डोमेन के बीच ट्रस्टों की गणना करने का प्रयास करता है।

3. T1046 : नेटवर्क सेवा स्कैनिंग

दूरस्थ नेटवर्क नोड पर चलने वाली सेवाओं की सूची प्राप्त करने की कोशिश कर रहा है। यह स्थापित पोर्ट स्कैन टूल और कमजोरियों की मदद से संभव है।

पीटी एनएडी क्या करता है : पोर्ट स्कैनिंग टूल और कमजोरियों (उदाहरण के लिए, एनएएमपी उपयोगिताओं), साथ ही ज्ञात बंदरगाहों के लिए गैर-मानक अनुरोधों के संकेतों का पता लगाता है।

4. T1135 : नेटवर्क शेयर डिस्कवरी

साझा नेटवर्क ड्राइव और फ़ोल्डर्स की खोज करें जो विभिन्न नेटवर्क सिस्टम पर फ़ाइल निर्देशिकाओं तक पहुंच की अनुमति देते हैं।

पीटी एनएडी क्या करता है : रिमोट मशीन पर साझा नेटवर्क ड्राइव और फ़ोल्डर्स की सूची के लिए एक अनुरोध का पता लगाता है।

5. T1201 : पासवर्ड पॉलिसी की खोज

एक तकनीक जिसके द्वारा एक हमलावर किसी कंपनी के बुनियादी ढांचे में पासवर्ड नीति के बारे में जानकारी की तलाश करता है। उदाहरण के लिए, एक पॉलिसी न्यूनतम पासवर्ड लंबाई और अनुमत विफल प्रमाणीकरण प्रयासों की संख्या निर्धारित कर सकती है। वर्णों की संख्या जानने से हमलावरों को उपयुक्त सामान्य पासवर्डों की एक सूची बनाने में मदद मिलेगी, एक शब्दकोश का उपयोग करके शब्दकोश की खोज शुरू करें, या संपूर्ण खोज (T1110: जानवर बल) का उपयोग करें।

पीटी एनएडी क्या करता है : स्वचालित रूप से एसएएमआर के माध्यम से पासवर्ड नीति अनुरोधों का पता लगाता है।

6. T1069 : अनुमति समूहों की खोज

इस तकनीक का उपयोग करते हुए, हमलावर स्थानीय या डोमेन समूहों और उनकी पहुंच सेटिंग्स को खोजने की कोशिश करते हैं। इस तरह की जानकारी का इस्तेमाल हमलावरों द्वारा हमले के लिए लक्ष्य चुनते समय किया जा सकता है।

पीटी एनएडी क्या करता है : स्वचालित रूप से एलडीएपी और एसएएमआर के माध्यम से डोमेन समूहों के बारे में जानकारी प्राप्त करने के प्रयासों का पता लगाता है। इस तकनीक की पहचान का एक उदाहरण ऊपर स्क्रीनशॉट में दिखाया गया है।

7. T1018 : दूरस्थ प्रणाली की खोज

एक तकनीक जिसमें हमलावर रिमोट एक्सेस सिस्टम या बिल्ट-इन सिस्टम उपयोगिताओं का उपयोग करके एक हमले वाले नेटवर्क में सिस्टम की एक सूची प्राप्त करने का प्रयास करते हैं। यह आईपी पते, होस्ट नाम, या अन्य पहचानकर्ता द्वारा संभव है, जिसे बाद में वर्तमान प्रणाली से पूरे नेटवर्क में क्षैतिज रूप से स्थानांतरित करने के लिए उपयोग किया जा सकता है।

पीटी एनएडी क्या करता है : डोमेन नियंत्रक, कार्यस्थान और सर्वर, एसपीएन (सेवा सिद्धांत नाम) की सूची के लिए अनुरोध देखता है।

8. T1063 : सुरक्षा सॉफ्टवेयर खोज

एक तकनीक जिसमें हमलावर स्थापित सुरक्षा प्रणालियों, उनके कॉन्फ़िगरेशन और सेंसर के बारे में जानकारी प्राप्त करने का प्रयास करते हैं। इस सूची को प्राप्त करने का एक तरीका डीसीई / आरपीसी अनुरोधों के माध्यम से है।

PT NAD क्या करता है: DCE / RPC अनुरोध देखता है। सिस्टम उपयोगकर्ता इन अनुरोधों के साथ सभी सत्रों को ढूंढ सकता है और दूरस्थ रूप से सुरक्षा सुविधाओं के बारे में जानकारी प्राप्त करने के प्रयासों का पता लगा सकता है।

9. T1033 : सिस्टम के मालिक / उपयोगकर्ता की खोज

इस तकनीक को लागू करते समय, हमलावर सिस्टम के मुख्य उपयोगकर्ता, वर्तमान लॉग-इन उपयोगकर्ता, उन उपयोगकर्ताओं के समूह की पहचान कर सकते हैं जो आमतौर पर सिस्टम का उपयोग करते हैं, और यह निर्धारित करते हैं कि सिस्टम कैसे सक्रिय रूप से उपयोग किया जाता है।

पीटी एनएडी क्या करता है : साइबर अपराधी एसआरवीसीवीसी प्रोटोकॉल पर प्रश्नों का उपयोग करके दूरस्थ होस्ट पर सक्रिय उपयोगकर्ता सत्रों की एक सूची प्राप्त कर सकते हैं। पीटी एनएडी स्वचालित रूप से ऐसे अनुरोधों का पता लगाता है।

10. T1007 : सिस्टम सेवा की खोज

हमलावर पंजीकृत सेवाओं के बारे में जानकारी खोजते हैं।

पीटी एनएडी क्या करता है : हमलावर डीसीई / आरपीसी नेटवर्क अनुरोधों का उपयोग करके इस तरह की जानकारी प्राप्त कर सकते हैं। पीटी एनएडी स्वचालित रूप से डीसीई / आरपीसी प्रोटोकॉल का उपयोग करके सेवा नियंत्रण प्रबंधक (एससीएम) को कॉल का पता लगाता है, जिसमें एक दूरस्थ नेटवर्क नोड पर सेवाओं की सूची और उनकी गतिविधि की स्थिति प्राप्त करने के लिए आदेश शामिल हैं।

एक निष्कर्ष के बजाय

हम आपको याद दिलाते हैं कि MITER ATT & CK मैट्रिक्स में PT NAD की पूरी मैपिंग Habré पर प्रकाशित होती है ।

निम्नलिखित लेखों में, हम हैकर्स की अन्य रणनीति और तकनीकों के बारे में बात करेंगे और पीटी नेटवर्क अटैक डिस्कवरी एनटीए-सिस्टम उनकी पहचान करने में कैसे मदद करता है। हमारे साथ रहें!  

लेखक :

एंटोन कुटेपोव, विशेषज्ञ, पीटी विशेषज्ञ सुरक्षा केंद्र पॉजिटिव टेक्नोलॉजीज
, Positive Technologies

, , . - YouTube. « » 18:00 , .

Positive Technologies , , . YouTube, (1, 2, 3, 4, 5).

कैसे ट्रैफिक एनालिसिस सिस्टम MITER ATT & CK, भाग 3 द्वारा हैकर रणनीति का पता लगाता है