👨🏽‍🌾 🦊 👈🏿 दूर रहने के दौरान अपनी कंपनी को हैकर को कैसे नहीं देना चाहिए। एसओसी विशेषज्ञ के लिए युक्तियाँ 🍈 🆔 ☕️

छवियां: अनसप्लस

कई के लिए "दूरस्थ कार्य" की अवधारणा को केवल वायरल संक्रमणों के अप्रसार के उपायों के संबंध में महत्व प्राप्त हुआ, जो हम सभी को, का सामना करना पड़ा। बहुत कम संख्या में कंपनियों के पास किसी दूरस्थ साइट पर कर्मचारियों के बड़े पैमाने पर स्थानांतरण का अनुभव होता है। और यहां तक कि जो एक शक्तिशाली और विकसित आईटी इन्फ्रास्ट्रक्चर द्वारा प्रतिष्ठित हैं, वे अक्सर इसके लिए तैयार नहीं होते हैं और उनके पास संबंधित अंतर्निहित प्रक्रियाएं और सुरक्षा उपकरण का एक सेट नहीं होता है। इसलिए, उनके आईएस विभाग को भी नए, विशिष्ट कार्यों को हल करना होगा। और यहां उद्योग बिल्कुल महत्वपूर्ण नहीं है। ऐसी कंपनियों के उदाहरण हैं, जिनका व्यवसाय इंटरनेट के माध्यम से काम करने पर आधारित है, और वे दूरस्थ रूप से काम और इसकी सुरक्षा में एक कुत्ते को खा रहे हैं - लेकिन नहीं, उन्हें नई वास्तविकता में भी समस्याएं हैं।

अपने सहयोगियों के लिए जीवन को आसान बनाने के लिए, हमने एक दूरस्थ साइट पर काम करने के लिए कई युक्तियों का गठन किया है, जो विशेष रूप से एसओसी इकाइयों (कोई फर्क नहीं पड़ता - जो आंतरिक या आउटसोर्सिंग) के लिए डिज़ाइन किए गए हैं, जो अब नई वास्तविकताओं के लिए भी अनुकूल हैं।

RDP, VPN, DaaS - आपके पास क्या है?

बेशक, यह निर्धारित करना महत्वपूर्ण है कि कैसे दूरदराज के कर्मचारी कंपनी के बुनियादी ढांचे तक पहुंच प्राप्त करेंगे। दूरस्थ कार्य केंद्र तक पहुँच को कई तरीकों से व्यवस्थित किया जा सकता है:

कंपनी के आंतरिक नेटवर्क तक पहुंच के साथ एक कर्मचारी को प्रदान किए गए कॉर्पोरेट डिवाइस से;
कंपनी की कुछ प्रकाशित सेवाओं के लिए मोटे ग्राहक की मदद से;
एक ब्राउज़र के माध्यम से एक पतली क्लाइंट का उपयोग करके, प्रकाशित सेवाओं के लिए जो एक वेब इंटरफ़ेस है।

एक तरफ, एक मोटा ग्राहक बेहतर होता है, क्योंकि यह आपको डिवाइस को नियंत्रित करने की अनुमति देता है। दूसरी ओर, व्यक्तिगत उपकरणों पर इसे स्थापित करना सेवा से समझौता करने के जोखिम से भरा है, क्योंकि इस मामले में डिवाइस पर सॉफ़्टवेयर की स्थिति की निगरानी नहीं की जाती है (कोई भेद्यता प्रबंधन और अनुपालन नहीं है, आप एंटी-वायरस सुरक्षा और कुछ ओएस सेटिंग्स की उपलब्धता को सत्यापित नहीं कर सकते हैं)। एक निजी उपकरण लगभग एक कॉर्पोरेट की तुलना में कमजोर संरक्षित होने की गारंटी है।

दूरस्थ कार्य के आयोजन की विधि के आधार पर, समझौता करने के प्रयासों की निगरानी और पहचान करने का जोर भी बदल जाता है। उदाहरण के लिए, WAF पतले ग्राहकों के लिए प्रकाशित सेवाओं पर हमलों की रक्षा और उनका पता लगाने का अच्छा काम करता है।। और वीपीएन के माध्यम से कॉर्पोरेट सूचना नेटवर्क तक पहुंच रखने वाले उपकरणों की गतिविधि की सुरक्षा और निगरानी के लिए, आपको सूचना सुरक्षा समाधानों की एक विस्तृत श्रृंखला की आवश्यकता है। यह ध्यान में रखा जाना चाहिए कि जिस इंटरनेट चैनल से कर्मचारी का डिवाइस अब जुड़ा हुआ है, वह आईएस सेवा के नियंत्रण में नहीं है, और इससे उपयोगकर्ता के क्रेडेंशियल्स (और कभी-कभी कंपनी डेटा अगर उपयोगकर्ता सक्रिय रूप से उनके साथ काम कर रहे हैं, तो रिसाव का एक अतिरिक्त खतरा पैदा होता है। और लगातार कंपनी के नेटवर्क के साथ बड़ी मात्रा में सूचनाओं का आदान-प्रदान करता है)।

कर्मचारियों के बड़े पैमाने पर दूरस्थ कार्य के मामले में, उनमें से कुछ संभवतः सभी सुरक्षा मानकों के अनुसार कॉन्फ़िगर किए गए कॉर्पोरेट उपकरण प्रदान किए जाएंगे। लेकिन संभावित बड़े पैमाने पर उल्लंघनों को बाहर करना असंभव है (विशेषकर यदि हम शाखाओं के व्यापक नेटवर्क के साथ एक संगठन के बारे में बात कर रहे हैं) और कंपनी के नेटवर्क को कॉर्पोरेट डिवाइस से नहीं एक्सेस करने का प्रयास करते हैं, लेकिन व्यक्तिगत रूप से उस पर उपयुक्त सॉफ़्टवेयर स्थापित करने के बाद, भले ही इस तरह के कार्यों पर सीधा प्रतिबंध हो । इस मामले में, कंपनी के नेटवर्क से जुड़े उपकरणों को वर्गीकृत करने और उन्हें कुछ मानदंडों के अनुसार अलग करने की संभावना की निगरानी करते समय यह विचार करना सार्थक है।

हुड के नीचे क्या है और इसका प्रभावी ढंग से उपयोग कैसे किया जाता है

पहली बात जिस पर आपको ध्यान देने की आवश्यकता है वह उपलब्ध सुरक्षात्मक उपकरणों की एक सूची है (यदि किसी कारण से आप आस्तीन के बाद इस मुद्दे से संबंधित थे, तो अब पूंछ को साफ करने का समय है)। तो, तकनीकी न्यूनतम में शामिल हैं:

सुरक्षा से समझौता किए बिना काम के साधनों के साथ कर्मचारियों को प्रदान करने के लिए डिज़ाइन किए गए नियंत्रण और डेटा सुरक्षा प्रणाली । सबसे पहले, हम आभासी निजी नेटवर्क (वीपीएन) के आयोजन के लिए फायरवॉल और साधनों के बारे में बात कर रहे हैं।
एक निगरानी "सूचना केंद्र" के रूप में एसईएम-प्रणाली , जो संरक्षित नेटवर्क के सभी नोड्स पर हो रही जानकारी को एकत्र करने के लिए डिज़ाइन किया गया है और जल्दी से असामान्य परिवर्तनों और पहचानी गई घटनाओं पर प्रतिक्रिया देता है।
Web application firewall, , . IT-, , , (, -).
NTA-, , , , .
DLP-, .
उपयोगकर्ता और संगठन व्यवहार का विश्लेषण (उपयोगकर्ता और इकाई व्यवहार विश्लेषण, यूईबीए) - चूंकि हम प्रोफाइलिंग के बारे में बात कर रहे हैं, हम इसके बिना भी नहीं कर सकते। हालांकि, इस मामले में, यह याद रखने योग्य है कि बड़े पैमाने पर दूरदराज के काम के लिए संक्रमण के साथ, सामान्य उपयोगकर्ता व्यवहार बदलता है, इसलिए फाइन-ट्यूनिंग प्रोफाइल के लिए समय रखना महत्वपूर्ण है।

सूची चलती जाती है। यह प्रत्येक सुविकसित IT अवसंरचना में आवश्यक सूचना सुरक्षा प्रणालियों की सूची से बहुत भिन्न नहीं है - फ़ोकस अधिकतर बदलते रहते हैं: यदि बाहरी खतरों से सुरक्षा पहले से अधिक प्रासंगिक थी, तो अब सिस्टम के उपयोगकर्ता स्वयं को बाहरी खतरे से लैस कर सकते हैं। जब बुनियादी ढांचे से जुड़ा हो)।

उसी समय, यदि किसी कारण से आप सूचीबद्ध तकनीकी सूची से कुछ चूक गए हैं, तो स्थिति से बाहर का संभावित तरीका ओपन-सोर्स सूचना सुरक्षा प्रणालियों (अतिरिक्त के रूप में) का उपयोग करना या मौजूदा साधनों का उपयोग करके कुछ लापता कार्यों को लागू करना हो सकता है। आईबी समुदाय एक सामान्य संकट के बीच में रैली कर रहा है, और अब आप नेटवर्क उपकरण और SZI (दोनों घरेलू और विदेशी) के निर्माताओं से विशेष प्रस्तावों का लाभ उठा सकते हैं: वे उत्पाद और सेवाएं प्रदान करते हैं जो छूट और उपयोग की छूट अवधि के साथ सुरक्षित दूरस्थ कार्य के संगठन की सुविधा प्रदान करते हैं।

क्या पहले से ही फिर से विद्यमान होना संभव है

एक नई भूमिका में परीक्षण के लिए सबसे सफल सुरक्षा में से एक - सीएमजी। जो आश्चर्य की बात नहीं है: यह लगभग किसी भी सूचना सुरक्षा टीम के शस्त्रागार में है, और अगर हम एक एसओसी टीम के बारे में बात कर रहे हैं, तो यह एक बुनियादी उपकरण है। विभिन्न स्रोतों से घटनाओं के सहसंबंध के नियम लगभग किसी भी प्रकार के नियंत्रण और निगरानी को लागू करना संभव बनाते हैं, साथ ही स्वचालित सूचनाएं भी। उदाहरण के लिए, CRM सिस्टम का उपयोग करके, आप कुछ प्रकार के UEBA बना सकते हैं (जो ऊपर वर्णित आवश्यक तकनीकों के सेट में शामिल हैं)। स्रोतों के रूप में संगठन के बुनियादी ढांचे से बाहर किए गए नेटवर्क उपकरण और कार्यस्थलों को जोड़कर, आप एक दूरस्थ स्थान से कर्मचारियों द्वारा एक्सेस किए गए सूचना संसाधनों की निगरानी कर सकते हैं और उपयोग के प्रयासों का जवाब दे सकते हैं, उदाहरण के लिए, नेटवर्क सेगमेंट में जिसमें उपयोगकर्ताओं की इस श्रेणी के लिए कुछ भी नहीं करना है।

कंपनी के पास उपलब्ध एंटी-वायरस प्रोटेक्शन टूल्स को यूजर्स के होम डिवाइसेस (उनकी सहमति से) को वितरित करके, जिन्हें प्रकाशित सेवाओं का उपयोग करने का अधिकार दिया जाता है, कंपनी की सूचना सुरक्षा सेवा को इन सेवाओं से जुड़ने वाले नए एंडपॉइंट्स के बारे में अधिक जानकारी प्राप्त होती है, और इन उपकरणों की सुरक्षा भी बढ़ जाती है। कि, कॉर्पोरेट जानकारी के अतिरिक्त संरक्षण के अलावा, कर्मचारियों के संरक्षण और व्यक्तिगत डेटा प्रदान करता है।

दूरस्थ रूप से काम करते समय, कंपनी की सूचना और दूरसंचार नेटवर्क में डेटा सर्कुलेशन की मात्रा अनिवार्य रूप से बढ़ जाती है, इसलिए एनटीए श्रेणी के समाधान इस गतिविधि की निगरानी करने, कंप्यूटर हमलों और अन्य विसंगतियों का पता लगाने में एक अच्छी मदद बन जाते हैं। उनकी मदद से, वास्तविक समय में सीधे हानिकारक प्रभावों का पता लगाना, और घटनाओं और घटनाओं के पूर्वव्यापी विश्लेषण की समस्याओं को हल करना संभव है, यदि एनटीए प्रणाली यातायात रिकॉर्ड को संग्रहीत करने के लिए पर्याप्त मेमोरी प्रदान करती है।

मॉनिटर क्लासिक या एक ट्विंकल के साथ?

सभी प्रकार के मामलों को अलग करना और प्रयास करना असंभव है, और उचित नहीं है। लेकिन उनमें से एक निश्चित सेट है, जिसमें सबसे महत्वपूर्ण रूप से महत्वपूर्ण परिदृश्य शामिल हैं। इन परिदृश्यों को एक उचित समय में लागू किया जा सकता है और, महत्वपूर्ण रूप से, पर्याप्त मात्रा में संसाधनों की आवश्यकता होती है। उसी समय, वे आपको सबसे अधिक संभावित हमले वाले वैक्टर को कवर करने की अनुमति देते हैं, जिसके माध्यम से एक हमलावर कंपनी के सूचना नेटवर्क में घुसने की कोशिश कर सकता है।

सरल लेकिन स्वादिष्ट: गलत पासवर्ड, आईपी और डुप्लिकेट कनेक्शन

तो, आइए शैली के क्लासिक्स से शुरू करें, जो कर्मचारी गतिविधि के सरल मार्करों को ट्रैक करने के लिए तैयार है, जैसे कि आईपी बेमेल, पासवर्ड दर्ज करते समय त्रुटियों की एक अत्यधिक संख्या, आदि।

. , VPN-. , . , , , , .
IP . ( ). , . , .
( ). . , , . SIEM-, (VPN) ( , — ).

«» —

अधिक जटिल निगरानी और घटना का पता लगाने की योजनाओं का एक उद्देश्य शास्त्रीय परिदृश्यों के दौरान एकत्र किए गए डेटा को काफी समृद्ध करना है और कुल रिमोट एक्सेस के दौरान नेटवर्क पर उत्पन्न होने वाले अनुरोधों के द्रव्यमान में नाजायज कनेक्शनों की पहचान करने की सटीकता को बढ़ाता है। इसमें शामिल सभी परिदृश्यों में डेटा के संचय का भी अर्थ है जो घटना की सबसे त्वरित और प्रभावी जांच के लिए आवश्यक है।

रिमोट कनेक्शन के साथ डोमेन और गैर-डोमेन वर्कस्टेशन की पहचान. , , . , Microsoft, , AD, , , . ( ), «» , . , (FQDN) ― , , . NTA , , .
, . , , . , GeoIP- ( ) . , , , , .

उपयोगकर्ता के स्थान के बारे में संग्रहीत डेटा के पूर्वव्यापी विश्लेषण का उपयोग कम विशिष्ट विसंगतियों को प्रकट कर सकता है: उदाहरण के लिए, यह संभावना नहीं है कि एक वैध उपयोगकर्ता जिसे डेस्कटॉप कंप्यूटर का उपयोग करने की आवश्यकता होती है, वह विभिन्न शहरों से एक कॉर्पोरेट नेटवर्क से जुड़ा होगा।

उन पते की पूरी प्रतिष्ठा के आकलन के लिए जिनसे बाहरी उपयोगकर्ता कनेक्ट होते हैं, खतरे वाले खुफिया सिस्टम का उपयोग किया जा सकता है। वे दोनों संक्रमित मशीनों की पहचान करने में मदद करेंगे जो बोटनेट के सदस्य हैं और विभिन्न अज्ञात नेटवर्क (उदाहरण के लिए, टीओआर या एंटी-एब्यूज वीपीएन प्रदाताओं) के कनेक्शन के प्रयासों से हैं।

प्रशासकों के कनेक्शन की निगरानी करना और महत्वपूर्ण बुनियादी ढाँचा सेवाओं में विन्यास परिवर्तन करना. , , , , . , , . ( , ) , . ― , AD. .

कर्मचारियों के बड़े पैमाने पर दूरस्थ काम के मामले में, एक ही वीपीएन के माध्यम से कॉर्पोरेट नेटवर्क में प्रवेश के बिंदुओं तक पहुंच को सख्ती से नियंत्रित करना और उनके कॉन्फ़िगरेशन में परिवर्तन करना बिल्कुल आवश्यक है। इस डेटा को ट्रैक करना और लॉग इन करना क्रियाओं की वैधता की पुष्टि करने और आईएस की संभावित घटनाओं की जांच करने के लिए उपयोगी है। महत्वपूर्ण अवसंरचना सेवाओं पर प्रशासकों के कार्यों पर सामान्य नियंत्रण कर्मचारियों के बड़े पैमाने पर दूरस्थ कार्य के साथ स्थिति के लिए विशिष्ट नहीं है - यह एक सामान्य आवश्यकता है, लेकिन इसे नजरअंदाज नहीं किया जा सकता है।

. , , IP- VPN, . , . , , , ― .

सूचना सुरक्षा की निगरानी करते समय, पूरी तरह से गैर-मानक मामले कभी-कभी होते हैं। उपलब्ध उपकरणों का लाभ सबसे अधिक बार उन्हें सापेक्ष आसानी से निष्पादित करने की अनुमति देता है।
उदाहरण के लिए, किसी कारण से, कंपनी के पास DLP क्लास सिस्टम नहीं हो सकता है। क्या किया जा सकता है? RM का उपयोग करें और फ़ाइल भंडारण पहुंच की निगरानी करें। ऐसा करने के लिए, उन फ़ाइलों की एक सूची बनाएं, जिनके पास और वीपीएन उपयोगकर्ताओं के एक सेगमेंट से डाउनलोड करना, जो दूरस्थ रूप से काम कर रहे हैं, अवांछनीय या निषिद्ध हैं, और स्टोरेज पर उपयुक्त ऑडिट नीतियों को कॉन्फ़िगर करते हैं। जब इस तरह की कोशिशों को CRM सिस्टम में ठीक किया जाता है, तो एक घटना अपने आप शुरू हो जाती है। हालाँकि, ऐसा होता है कि फ़ाइल स्टोरेज के वॉल्यूम इतने आकार तक पहुँच जाते हैं कि सूची बनाने और उन पर डेटा के वर्गीकरण का कार्य व्यावहारिक रूप से अस्वीकार्य हो जाता है। इस मामले में, न्यूनतम कार्यक्रम स्टोरेज और फ़ाइल संचालन तक पहुंच की लॉगिंग स्थापित कर रहा है - यह जानकारी संभावित लीक की जांच में अच्छी तरह से काम करेगी।

लेकिन और भी अधिक परिष्कृत पहेलियाँ हैं। उदाहरण के लिए, वीपीएन या प्रकाशित सेवाओं से जुड़ने पर डेटा, सत्रों की अवधि के बारे में एक विश्लेषक दे सकता हैएक कंपनी में श्रम अनुशासन कैसे बदलता है (और यह बदलता है) बदलती परिस्थितियों के साथ। एक मजाक के रूप में मजाक किया जा रहा है, लेकिन सूचना सुरक्षा निगरानी के मामले में एक दूरस्थ साइट पर कर्मचारियों के लिए काम के घंटे को खींचना बहुत उपयोगी है: समय सीमा के बाहर किसी कंपनी के नेटवर्क से जुड़ना एक स्पष्ट आईएस घटना माना जा सकता है। यदि इस तरह के विनियमन को आकर्षित करना असंभव है, तो यह निगरानी सेवा के लिए स्पष्ट रूप से विसंगतिपूर्ण चीजों पर ध्यान देने के लिए समझ में आता है: कहते हैं, एक उपयोगकर्ता की गतिविधि जो रात में किसी भी कर्तव्य सेवा से संबंधित नहीं है। इस बात से सहमत हैं कि मानव संसाधन विभाग का कर्मचारी, जो सुबह तीन बजे दूर से जुड़ा है, कम से कम संदिग्ध है - यह कर्मचारी के खाते का उपयोग करके हमलावर होने की बात कर सकता है। नेटवर्क ट्रैफ़िक के गहन विश्लेषण का

उल्लेख नहीं किया जा सकता है। एनटीए श्रेणी के समाधान को लागू करने और यह सुनिश्चित करने के बाद कि यह गेटवे से आंतरिक नेटवर्क से उपयोगकर्ताओं को दूर से कनेक्ट करने के लिए नेटवर्क ट्रैफिक चैनल से जुड़ा है, आप प्रभावी रूप से यह निर्धारित कर पाएंगे कि इंट्रानेट सेवाओं का उपयोग किया जा रहा है और उन्हें समझौता करने के प्रयासों की पहचान करें, जिसमें उनके उपयोगकर्ता भी शामिल हैं, जो वास्तव में घुसपैठिए या श्रमिक हैं। मैलवेयर से संक्रमित स्टेशन। इसके अलावा, एनटीए यह नियंत्रित करने के संदर्भ में आईएस कर्मियों के लिए जीवन आसान बना सकता है कि क्या कॉर्पोरेट नेटवर्क सेगमेंट की अनुमति दी गई है या रिमोट एक्सेस के लिए स्पष्ट रूप से निषिद्ध है।

***

वर्तमान तनावपूर्ण स्थिति में, आईटी और सूचना सुरक्षा सेवाओं के कर्मचारी बहुत सारी ऊर्जा और तंत्रिकाओं को खर्च कर सकते हैं यदि वे कंपनी के सुरक्षित संक्रमण को लापरवाही से या कुबड़े पर सुनिश्चित करने का प्रयास करते हैं। और जितना संभव हो उतना उनके काम को सरल बनाने के लिए, हमने आंदोलन की मुख्य दिशाओं को रेखांकित किया है। उदाहरण के लिए, यदि SZI और नेटवर्क उपकरण सहित एक कनेक्टेड CRM सिस्टम और इससे जुड़े स्रोत हैं, तो घटनाओं की सहसंबंध के लिए प्रासंगिक नियमों की निगरानी और कार्यान्वयन के लिए मुख्य क्षेत्रों का चयन स्रोतों की स्थापना के साथ दो से तीन दिन का समय लेगा। यही है, यह कार्य घर पर कर्मचारियों की नौकरियों के आंदोलन की पृष्ठभूमि के खिलाफ संभव है।

बहुत कुछ पर्दे के पीछे रहा: उदाहरण के लिए, हम व्यावहारिक रूप से सूचना सुरक्षा कंपनी की परिपक्वता के सामान्य स्तर पर नहीं छूते थे, जबकि आज के मामलों पर सुरक्षात्मक उपायों के क्रियान्वयन को पूरी तरह से हतोत्साहित किया जा सकता है जब रोजमर्रा की सुरक्षा प्रणाली में गंभीर कमियां हैं। मान लीजिए कि आपने दूर से जुड़े उपयोगकर्ताओं की अच्छी तरह से निगरानी की है, 100 प्रतिशत सटीकता के साथ नौकरियों को डोमेन और गैर-डोमेन के रूप में वर्गीकृत किया गया है, लेकिन साथ ही, एक प्रारंभिक रूप से पता लगाने योग्य आरसीई के साथ एक स्व-लिखित वेब सेवा कॉर्पोरेट नेटवर्क के बाहर प्रकाशित होती है, जिसके सर्वर में एक आंतरिक भी होता है। पता, और नेटवर्क आरेख क्लासिक स्टार के करीब है। प्रबलित कंक्रीट संरक्षण मौजूद नहीं है, और इसके सुधार में रचनात्मकता और विकास के लिए हमेशा जगह है। सूचना सुरक्षा निगरानी के प्रमुख, पावेल कुज़नेत्सोव

द्वारा पोस्टपीटी विशेषज्ञ सुरक्षा केंद्र , सकारात्मक प्रौद्योगिकी

दूर रहने के दौरान अपनी कंपनी को हैकर को कैसे नहीं देना चाहिए। एसओसी विशेषज्ञ के लिए युक्तियाँ