🥓 🏇🏽 🧛🏾 कैसे ट्रैफिक एनालिसिस सिस्टम MITER ATT & CK, भाग 5 द्वारा हैकर रणनीति का पता लगाता है 👐🏼 😾 🍡

यह चक्र ( पहला , दूसरा , तीसरा और चौथा भाग) का अंतिम लेख है , जिसमें हम हैकर तकनीक और रणनीति को MITER ATT & CK के अनुसार मानते हैं, और यह भी दिखाते हैं कि नेटवर्क ट्रैफ़िक में संदिग्ध गतिविधि को पहचानना कैसे संभव है। अंतिम लेख में, हम कमांड और नियंत्रण, बहिष्कार और प्रभाव की तकनीकों पर विचार करेंगे।

प्रबंधन और नियंत्रण

कमांड और कंट्रोल तकनीक (C2 या C & C) का उपयोग पीड़ित के नेटवर्क में नियंत्रित सिस्टम के साथ हमलावरों को जोड़ने के लिए किया जाता है। हमलावर आमतौर पर पता लगाने से बचने के लिए सामान्य यातायात व्यवहार की नकल करते हैं। पीटी नेटवर्क अटैक डिस्कवरी (पीटी एनएडी) का

उपयोग कर यातायात विश्लेषण 18 सामान्य सी एंड सी तकनीकों का पता लगाता है।

1. T1043 : आमतौर पर इस्तेमाल किया जाने वाला बंदरगाह

हमलावर बंदरगाहों के माध्यम से कमांड सर्वर के साथ संवाद करते हैं, जिन्हें आमतौर पर एक आउटगोइंग कनेक्शन स्थापित करने की अनुमति होती है। ऐसे बंदरगाहों के उदाहरण हैं: TCP: 80 (HTTP), TCP: 443 (HTTPS), TCP: 25 (SMTP), TCP / UDP: 53 (DNS)। यह फ़ायरवॉल का पता लगाने में मदद करता है और मानक नेटवर्क गतिविधि होने का दिखावा करता है। इसके अलावा, घुसपैठिये कच्चे पोर्ट पर डेटा के हस्तांतरण तक एक विशिष्ट पोर्ट नंबर और किसी भी अन्य एप्लिकेशन स्तर प्रोटोकॉल को निर्दिष्ट संबंधित अनुप्रयोग प्रोटोकॉल का उपयोग कर सकते हैं।

पीटी एनएडी क्या करता है?: स्वचालित रूप से एक सामान्य अनुप्रयोग प्रोटोकॉल और इसके मानक पोर्ट के बीच एक बेमेल का पता लगाता है, उदाहरण के लिए, जब HTTP अनुरोध पोर्ट 53 को भेज रहा है। अधिक जटिल मामलों के लिए, एक सूचना सुरक्षा विशेषज्ञ पीटी एनएडी में संदिग्ध सत्र कार्ड की जांच कर सकता है, जो पोर्ट और नेटवर्क प्रोटोकॉल के बारे में जानकारी संग्रहीत करता है। यह कमांड सेंटर के साथ संचार के लिए मानक बंदरगाहों के उपयोग का खुलासा करता है।

2. T1090 : कनेक्शन प्रॉक्सी

हमलावर C & C सर्वर के साथ डेटा का आदान-प्रदान करने के लिए एक मध्यस्थ के रूप में एक प्रॉक्सी सर्वर का उपयोग कर सकते हैं। इसलिए वे अपने बुनियादी ढांचे से सीधे संपर्क से बचते हैं और अपनी खोज को जटिल बनाते हैं।

पीटी एनएडी क्या करता है : ट्रैफ़िक को आगे बढ़ाने के लिए, हमलावर पीयर-टू-पीयर, पी 2 पी नेटवर्क का उपयोग कर सकते हैं। लोकप्रिय पी 2 पी प्रोटोकॉल पीटी एनएडी स्वचालित रूप से पता लगाता है। PT NAD ट्रैफ़िक में SOCKS5, HTTP और SSH प्रोटोकॉल के साथ सत्रों का पता लगाता है, जिसके माध्यम से हमलावर अक्सर आउटपुट जानकारी के लिए प्रॉक्सी चैनल बनाते हैं। यदि ऐसे प्रोटोकॉल का उपयोग करने वाले कनेक्शन संदिग्ध घटनाओं से जुड़े हैं, तो वे एक समझौता का संकेत दे सकते हैं।

3. T1094 : कस्टम कमांड और कंट्रोल प्रोटोकॉल

मौजूदा मानक अनुप्रयोग-स्तरीय प्रोटोकॉल में कमांडों को एनकैप्सुलेट करने के बजाय मालिकाना नियंत्रण और निगरानी प्रोटोकॉल का उपयोग करना।

पीटी एनएडी क्या करता है : एप्लिकेशन और नेटवर्क लेयर प्रोटोकॉल के माध्यम से स्वचालित रूप से लोकप्रिय प्रकार की सुरंगों का पता लगाता है, जैसे कि ICMP, DNS, POP3, SCTP, WebSocket सुरंग, साथ ही HTTP, SOCKS5 और पीयर-टू-पीयर गतिविधि पर SSH।

4. T1024 : कस्टम क्रिप्टोग्राफिक प्रोटोकॉल

एक तकनीक जिसमें हमलावर सी एंड सी ट्रैफिक को छिपाने के लिए एक प्रोटोकॉल या एन्क्रिप्शन एल्गोरिथ्म का उपयोग करते हैं।

पीटी एनएडी क्या करता है : एन्क्रिप्टेड ट्रैफ़िक में मैलवेयर गतिविधि के संकेतों का पता लगाता है। यह सूचना के पक्ष चैनलों के क्रिप्टोनालिसिस द्वारा कार्यान्वित किया जाता है । यह दृष्टिकोण आपको स्व-लिखित क्रिप्टोग्राफ़िक प्रोटोकॉल का उपयोग करते समय भी दुर्भावनापूर्ण ट्रैफ़िक का पता लगाने की अनुमति देता है।

5. T1132 : डेटा एन्कोडिंग

C & C चैनल पर जानकारी संचारित करते समय हमलावर मानक डेटा एन्क्रिप्शन एल्गोरिदम का उपयोग करते हैं।

पीटी एनएडी क्या करता है : दुर्भावनापूर्ण स्क्रिप्ट का पता लगाता है जब इसका पाठ वर्ण कोड से युक्त स्ट्रिंग के रूप में एन्कोड किया जाता है, और बेस 64 एल्गोरिदम के साथ एन्क्रिप्ट किए गए डेटा को डीकोड करता है। उदाहरण के लिए, यह बेस64 में एन्कोडेड कोबाल्ट स्ट्राइक एजेंट प्रतिक्रियाओं का पता लगाता है।

6. T1001 : डेटा अपव्यय

सी और सी संचार की जटिल पहचान। डेटा अपघटन विधियों में प्रोटोकॉल ट्रैफ़िक में अतिरिक्त डेटा जोड़ना, स्टेग्नोग्राफ़ी लागू करना, सी और सी ट्रैफ़िक को वैध लोगों के साथ मिलाना और एक गैर-मानक एन्कोडिंग प्रणाली का उपयोग करना शामिल है।

पीटी एनएडी क्या करता है : बेस -64 एल्गोरिथ्म का उपयोग करते हुए एनकोडेड डेटा का उपयोग करके गैर-मानक वर्णमाला, आक्षेपित लिपियों के हस्तांतरण, शेल कोड और शेल निर्देशों का उपयोग करते हुए एन्कोडेड डेटा ट्रांसफर के तथ्यों का पता लगा सकते हैं।

7. T1483 : डोमेन पीढ़ी के एल्गोरिदम

ऐसी तकनीक जिसमें स्टेटिक आईपी एड्रेस या डोमेन को सूचीबद्ध करने के बजाय, हमलावर वहां सी एंड सी ट्रैफिक को निर्देशित करने के लिए ऑटोमैटिक डोमेन जनरेशन (डीजीए) एल्गोरिदम का उपयोग करते हैं। यह रक्षकों के काम को जटिल बनाता है: संभवतः हजारों डोमेन हो सकते हैं जिनसे मैलवेयर कनेक्ट हो सकता है।

पीटी एनएडी क्या करता है : एक विशेष एल्गोरिथ्म का उपयोग करते हुए, पीटी एनएडी नेटवर्क सत्रों में स्वचालित रूप से उत्पन्न डोमेन नाम का पता लगाता है।

पीजी एनएडी का उपयोग करके डीजीए डोमेन की खोज की गई

8. T1008 : फ़ॉलबैक चैनल

हमलावर सी एंड सी सर्वर के साथ संचार की विश्वसनीयता बढ़ाने के लिए और संचारित डेटा की मात्रा के लिए सीमा से अधिक होने से बचने के लिए एक बैकअप या वैकल्पिक संचार चैनल का उपयोग करते हैं। ऐसे चैनल की जरूरत होती है जब मुख्य C & C चैनल समझौता या अप्राप्य हो।

पीटी एनएडी क्या करता है : एक सूचना सुरक्षा विशेषज्ञ पीटीएडी में सत्र कार्ड में संग्रहीत मैलवेयर कनेक्शन डेटा का विश्लेषण करके इस तरह की तकनीक के उपयोग का पता लगा सकता है। यदि मैलवेयर एक नेटवर्क नोड से अलग-अलग आईपी पते (सी एंड सी सर्वर) से जुड़ता है, तो यह संकेत दे सकता है कि हमलावर बैकअप संचार चैनल का उपयोग कर रहे हैं।

9. T1188 : बहु-हॉप प्रॉक्सी

हमलावर दुर्भावनापूर्ण ट्रैफ़िक के स्रोत को मास्क करने के लिए कई प्रॉक्सी सर्वरों से चेन बनाते हैं। इस प्रकार की बहुसंकेतनता स्रोत स्रोत की पहचान को जटिल करती है, जिसमें कई प्रॉक्सी सर्वरों के माध्यम से दुर्भावनापूर्ण ट्रैफ़िक की निगरानी के लिए बचाव पक्ष की आवश्यकता होती है।

पीटी एनएडी क्या करता है : यदि हमलावर पीड़ित के नेटवर्क के अंदर प्रॉक्सी की एक श्रृंखला बनाते हैं, तो सत्र डेटा का विश्लेषण करके पीटी एनएडी में इसका पता लगाया जा सकता है। नोड्स के बीच कनेक्शन नेत्रहीन नेटवर्क लिंक ग्राफ में प्रदर्शित होते हैं। यह परदे के पीछे के अनुक्रम को ट्रैक करने में मदद करता है।

10. T1104 : मल्टी-स्टेज चैनल

हमलावर मल्टी-स्टेज C & C चैनल का उपयोग करते हैं, जिससे उनका पता लगाना मुश्किल हो जाता है। वे हमले को चरणों (या चरणों) में विभाजित करके इसका एहसास करते हैं। प्रत्येक चरण अपने स्वयं के प्रबंधन सर्वर और अपने स्वयं के उपकरण (ट्रोजन, आरएटी) का उपयोग करता है। विभिन्न प्रबंधन सर्वर के साथ चरणों में कार्यक्षमता का ऐसा पृथक्करण हमलावरों का पता लगाना मुश्किल बनाता है।

पीटी एनएडी क्या करता है : मल्टी-स्टेज सी एंड सी चैनल पीटी एनएडी का उपयोग स्वचालित रूप से संबंधित मैलवेयर की गतिविधि के संकेतों से पता लगाता है। उदाहरण के लिए, यह MuddyWater समूह मॉड्यूल के संचालन को पता चलता है। प्रत्येक पहचाने गए C & C चैनल पर विस्तृत डेटा सत्र कार्ड में संग्रहीत किया जाता है - यह डेटा जांच और सक्रिय खतरे की खोजों के दौरान उपयोगी है।

11. T1026: multiband communication

हमलावर अलग-अलग प्रोटोकॉल के बीच एक संचार चैनल साझा करते हैं। उदाहरण के लिए, आदेशों को एक प्रोटोकॉल का उपयोग करके प्रेषित किया जा सकता है, और उनके निष्पादन के परिणाम भिन्न हो सकते हैं। यह फ़ायरवॉल की सीमाओं को दरकिनार करने में मदद करता है और प्रेषित डेटा की सीमा से अधिक मूल्यों के बारे में सूचनाओं से बचता है।

पीटी एनएडी क्या करता है : यह स्वचालित रूप से संबंधित मैलवेयर के संकेतों के अनुसार संचार चैनल के पृथक्करण के उपयोग का पता लगाता है। उदाहरण के लिए, इस तरह, यह कोबाल्ट स्ट्राइक एजेंटों की गतिविधि का पता लगाता है, जो HTTP, HTTPS और DNS प्रोटोकॉल के बीच C & C सर्वर को आउटपुट चैनल साझा कर सकता है। इसी समय, पीटी एनएडी प्रत्येक सी एंड सी कनेक्शन पर इस्तेमाल किए गए प्रोटोकॉल के बारे में जानकारी के साथ डेटा संग्रहीत करता है, जो जांच या धमकी के शिकार के दौरान टी 1026 तकनीक के उपयोग का पता लगाने में मदद करता है।

12. T1079 : बहुपरत एन्क्रिप्शन

एन्क्रिप्शन सी और सी-संचार के कई स्तरों का उपयोग। एक विशिष्ट उदाहरण HTTPS या SMTPS जैसे सुरक्षित प्रोटोकॉल पर एन्क्रिप्टेड डेटा का स्थानांतरण है।

पीटी एनएडी क्या करता है : साइड क्रिप्टोग्राफिक चैनलों का विश्लेषण करके एन्क्रिप्शन की कई परतों के बावजूद , पीटी एनएडी नियमों का उपयोग करके कई मैलवेयर परिवारों का पता लगाता है। ज्ञात खतरों के उदाहरण: RTM और उर्सनिफ (Gozi-ISFB) परिवारों से मैलवेयर जो HTTPS प्रोटोकॉल का उपयोग करके पहले से एन्क्रिप्टेड डेटा संचारित करते हैं।

13. T1219 : रिमोट एक्सेस टूल

एक हमलावर वैध नियंत्रण सॉफ्टवेयर का उपयोग दूरस्थ रूप से नियंत्रित प्रणालियों तक करता है। ऐसे उपकरण आमतौर पर तकनीकी सहायता सेवाओं द्वारा उपयोग किए जाते हैं और इन्हें श्वेत किया जा सकता है। इस प्रकार, उसके कार्यों को ट्रस्टी की ओर से और अधिकृत संचार चैनल के माध्यम से किया जाएगा। लोकप्रिय उपयोगिताओं में टीमव्यूअर, VNC, Go2Assist, LogMeIn, Ammyy Admin हैं।

पीटी एनएडी क्या करता है:

पीटी एनएडी का पता लगाने का एक उदाहरण सभी सामान्य रिमोट एक्सेस उपयोगिताओं के नेटवर्क संचालन को निर्धारित करता है - इस तरह आप आरएटी का उपयोग करके स्थापित सभी रिमोट एक्सेस सत्रों का विश्लेषण कर सकते हैं और उनकी वैधता को सत्यापित कर सकते हैं।

उदाहरण के लिए, पीटी एनएडी ने मैलवेयर गतिविधि का पता लगाया जो बाहरी आईपी पते से कनेक्ट करने के लिए वीएनसी डेस्कटॉप रिमोट एक्सेस सिस्टम का उपयोग करता है। VNC के साथ-साथ अम्मी और TeamViewer हमलावर अन्य RAT की तुलना में अधिक बार उपयोग करते हैं।

रिमोट एक्सेस टूल्स का पता लगाना

14. T1105 : रिमोट फाइल कॉपी

हमलावर अपने उपकरण को तैनात करने या जानकारी चुराने के लिए एक सिस्टम से दूसरे सिस्टम में फाइल कॉपी करते हैं। फ़ाइलों को एक हमलावर द्वारा नियंत्रित बाहरी सिस्टम से कॉपी किया जा सकता है, एक कमांड सेंटर के साथ एक संचार चैनल के माध्यम से, या एफ़टीपी जैसे वैकल्पिक प्रोटोकॉल का उपयोग करके अन्य टूल का उपयोग किया जा सकता है।

पीटी एनएडी क्या करता है : यह मुख्य एप्लिकेशन प्रोटोकॉल का उपयोग करके फाइल ट्रांसफर का पता लगाता है और आगे के विश्लेषण के लिए उन्हें निकाल सकता है, उदाहरण के लिए, सैंडबॉक्स में।

15. T1071 : मानक अनुप्रयोग परत प्रोटोकॉल

हमलावर सामान्य एप्लिकेशन प्रोटोकॉल जैसे HTTP, HTTPS, SMTP, DNS का उपयोग करते हैं। इस प्रकार, उनकी गतिविधि मानक वैध यातायात के साथ मिश्रित होती है, जो पता लगाने में जटिल होती है।

पीटी एनएडी क्या करता है : लोकप्रिय एप्लिकेशन प्रोटोकॉल का उपयोग करके सभी सत्रों को देखता है। प्रत्येक सत्र के लिए, एक विस्तृत कार्ड संग्रहीत किया जाता है, जो उपयोगकर्ताओं को मैनुअल विश्लेषण के लिए उपलब्ध है।

16. T1032 : मानक क्रिप्टोग्राफिक प्रोटोकॉल

C & C ट्रैफ़िक को छुपाने के लिए प्रसिद्ध एन्क्रिप्शन एल्गोरिदम का उपयोग।

पीटी एनएडी क्या करता है : समझौता संकेतक या नियमों का उपयोग करते हुए, पीटी एनएडी स्वचालित रूप से साइबर अपराधियों के सर्वर से कनेक्शन का पता लगाता है। यदि उनके कनेक्शन टीएलएस प्रोटोकॉल द्वारा संरक्षित हैं, तो सूचना सुरक्षा विशेषज्ञ इसे पीटी एनएडी इंटरफेस (सिस्टम टीएलएस प्रोटोकॉल निर्धारित करता है) में देखेंगे और इस प्रकार मानक क्रिप्टोग्राफिक प्रोटोकॉल तकनीक का उपयोग करते हैं।

17. T1095 : मानक गैर-अनुप्रयोग परत प्रोटोकॉल

हमलावर नेटवर्क नोड और C & C सर्वर के बीच या समझौता किए गए नेटवर्क नोड्स के बीच संचार के लिए गैर-एप्लिकेशन-स्तरीय प्रोटोकॉल का उपयोग करते हैं।

पीटी एनएडी क्या करता है : चूंकि पीटी एनएडी कच्चे ट्रैफ़िक का विश्लेषण करता है, यह स्वचालित रूप से उन सामान्य मालवेयर परिवारों की गतिविधि का पता लगाता है जो कच्चे सॉकेट्स के माध्यम से डेटा को प्रसारित करते हैं, जो कि टीसीपी या यूडीपी प्रोटोकॉल के माध्यम से एप्लिकेशन लेयर प्रोटोकॉल का उपयोग किए बिना होता है। Metasploit TCP के गोले का भी पता लगाया जाता है।

18. T1065 : असामान्य रूप से इस्तेमाल किया जाने वाला बंदरगाह

प्रॉक्सी सर्वर और फायरवॉल को बायपास करने के लिए एक गैर-मानक पोर्ट के माध्यम से सी और सी संचार जो सही तरीके से कॉन्फ़िगर नहीं किए गए थे।

पीटी एनएडी क्या करता है : यह पैकेट की सामग्री द्वारा अनुप्रयोग प्रोटोकॉल निर्धारित करता है, न कि पोर्ट संख्याओं द्वारा, इसलिए यह स्वचालित रूप से मानक प्रोटोकॉल के लिए गैर-मानक पोर्ट के उपयोग का पता लगाता है।

exfiltration

घुसपैठ की रणनीति एक साथ तकनीक लाती है जो साइबर क्रिमिनल एक समझौता किए गए नेटवर्क से डेटा चोरी करने के लिए उपयोग करते हैं। पता लगाने से बचने के लिए, डेटा को अक्सर संपीड़न और एन्क्रिप्शन के साथ जोड़कर पैक किया जाता है। एक नियम के रूप में, हमलावर सी एंड सी या एक वैकल्पिक चैनल का उपयोग एक्सफ़िल्टरेशन के लिए करते हैं।

पीटी एनएडी दो डेटा एक्सफ़िल्टरेशन तकनीकों का पता लगाता है।

1. T1048 : वैकल्पिक प्रोटोकॉल पर बहिष्कार

हमलावर कमांड सेंटर के साथ संचार प्रदान करने वाले डेटा के अलावा अन्य डेटा चोरी करने के लिए प्रोटोकॉल का उपयोग करते हैं। वैकल्पिक प्रोटोकॉल में: FTP, SMTP, HTTP / S, DNS। क्लाउड स्टोरेज जैसी बाहरी वेब सेवाओं का इस्तेमाल एक्सफ़िलिएशन के लिए भी किया जा सकता है।

पीटी एनएडी क्या करता है: उदाहरण उदाहरण \

_ DNSCAT2 टूल का उपयोग हमलावरों द्वारा नेटवर्क नोड को दूरस्थ रूप से नियंत्रित करने के लिए किया जाता है और T1059: कमांड-लाइन इंटरफेस और T1048: वैकल्पिक प्रोटोकॉल तकनीकों पर एक्सफ़िल्टरेशन का उपयोग करके कमांड सर्वर पर डेटा को एक्सफ़िल्टर करता है।

PT NAD ने DNSTCAT2 ट्रैफ़िक गतिविधि का पता लगाया। उपकरण आपको DNS प्रोटोकॉल के माध्यम से सी एंड सी सर्वर पर नेटवर्क ट्रैफिक को सुरंग करने की अनुमति देता है। ट्रैफ़िक में, यह DNS प्रश्नों और प्रतिक्रियाओं की एक बड़ी धारा की तरह दिखता है।

T1048 तकनीक के अनुप्रयोग का पता लगाना: वैकल्पिक प्रोटोकॉल

DNS प्रश्नों पर छूट सत्र कार्ड में दिखाई देते हैं। एक अपठनीय और बहुत लंबे तीसरे स्तर के डोमेन के लिए एक TXT रिकॉर्ड के लिए एक अनुरोध था, एक समान अपठनीय चरित्र सेट प्रतिक्रिया में आया। इसी समय, पैकेट जीवनकाल (TTL) छोटा होता है। ये सभी एक DNS सुरंग के संकेतक हैं।

सत्र कार्ड में लंबे और अपठनीय DNS नामों को हल करने के लिए DNS अनुरोध दिखाई देते हैं

2. T1041 : कमांड एंड कंट्रोल चैनल पर एक्सफ़िलिएशन

हमलावर डेटा चोरी करने के लिए C & C चैनल का उपयोग करते हैं।

पीटी एनएडी एक हमलावर कमांड सेंटर के साथ मैलवेयर के संचार के लिए 18 सामान्य तकनीकों को देखता है। नेटवर्क पर इनमें से प्रत्येक विधि का उपयोग करने के संकेत नेटवर्क पर एक C & C चैनल की उपस्थिति को इंगित करते हैं जिसके माध्यम से चोरी किए गए डेटा को प्रसारित किया जा सकता है।

प्रभाव

अंतिम चरण में, हमलावर सिस्टम और डेटा को नियंत्रित करने की कोशिश करते हैं, अपने काम में हस्तक्षेप करते हैं या उन्हें नष्ट कर देते हैं। ऐसा करने के लिए, वे तकनीकों का उपयोग करते हैं जो आपको परिचालन और व्यावसायिक प्रक्रियाओं का प्रबंधन करके सिस्टम की उपलब्धता या अखंडता को बाधित करने की अनुमति देते हैं।

3. T1498 : सेवा से नेटवर्क का इनकार

उपयोगकर्ताओं के लिए लक्षित संसाधनों की उपलब्धता को कम करने या अवरुद्ध करने के लिए सेवा हमले से इनकार।

पीटी एनएडी क्या करता है : एक हमले के प्रवर्धन (प्रवर्धन) और उन कारनामों के उपयोग का पता लगाता है जो सेवा से वंचित करते हैं।

प्रवर्धन के दौरान (अंग्रेजी से। प्रवर्धन - प्रवर्धन), हमलावर पीड़ित के सर्वर की ओर से सार्वजनिक DNS सर्वर पर अनुरोध भेजता है। हमलावरों का लक्ष्य पीड़ितों के सर्वर चैनल को सार्वजनिक डीएनएस सर्वर से वॉल्यूमेट्रिक प्रतिक्रियाओं से भरना है।

4. T1496 : संसाधन अपहरण

संसाधन-गहन समस्याओं को हल करने के लिए सिस्टम संसाधनों का अनधिकृत उपयोग। यह सिस्टम की उपलब्धता या होस्ट की गई सेवा को प्रभावित कर सकता है।

पीटी एनएडी क्या करता है?

: नेटवर्क में क्रिप्टो खनन प्रोटोकॉल और टोरेंट की गतिविधि को देखता है, जो नेटवर्क और उपकरणों पर एक अतिरिक्त अनुचित भार को इंगित करता है।

5. T1489 : सेवा बंद करो

हमलावर वैध उपयोगकर्ताओं के लिए दुर्गम बनाने के लिए सिस्टम में सेवाओं को रोक या अक्षम कर सकते हैं।

पीटी एनएडी क्या पता लगाने का एक उदाहरण है : साइबर अपराधियों ने ग्राहक सेवा पोर्टल तक पहुंच को अवरुद्ध करने के लिए IIS वेब सर्वर सेवा को रोक दिया। पीटी एनएडी ने सेवा नियंत्रण प्रबंधक (एससीएम) को सेवा को रोकने के लिए एक कॉल का पता लगाया। यह एसएमबी ट्रैफिक के निरीक्षण के लिए संभव है।

एक हमले का पता लगाना जिसमें हमलावरों ने वेब सर्वर सेवाओं को डिस्कनेक्ट करने का अनुरोध भेजा था

पीटी एनएडी स्वचालित रूप से सेवाओं को बनाने, संशोधित करने, शुरू करने और रोकने के लिए एससीएम को कॉल का पता लगाता है।

हम आपको याद दिलाते हैं कि MITER ATT & CK मैट्रिक्स में PT NAD की पूरी मैपिंग Habré पर प्रकाशित होती है ।

निष्कर्ष के बजाय: हमें एनटीए प्रणाली की आवश्यकता क्यों है

हमलों का पता लगाने के लिए यातायात एक उपयोगी डेटा स्रोत है। इसमें, आप उन सभी 12 युक्तियों के संकेत देख सकते हैं जो APT समूहों का उपयोग करते हैं। एनटीए प्रणालियों का उपयोग करके ट्रैफ़िक का विश्लेषण करके, कंपनियां हमलावरों के हमले को सफलतापूर्वक विकसित करने और नेटवर्क से पूरी तरह से समझौता करने की संभावना को कम करती हैं। एनटीए वर्ग प्रणालियों का उपयोग करने के लिए अन्य परिदृश्य हैं।

नेटवर्क अनुपालन नियंत्रण

किसी कंपनी पर साइबर हमले की सफलता उसके कॉर्पोरेट बुनियादी ढांचे की सुरक्षा के स्तर पर निर्भर करती है। बड़ी रूसी कंपनियों के यातायात के विश्लेषण से पता चला कि 94% मामलों में, कर्मचारी सूचना सुरक्षा नीतियों का पालन नहीं करते हैं । कई संगठनों की सुरक्षा नीतियां कर्मचारियों को संदिग्ध संसाधनों पर जाने, टॉरेंट डाउनलोड करने, तत्काल संदेशवाहक स्थापित करने या रिमोट एक्सेस के लिए विभिन्न उपयोगिताओं का उपयोग करने से रोकती हैं।

नेटवर्क प्रोटोकॉल का विश्लेषण करते समय, एनटीए-सिस्टम स्पष्ट रूप में पासवर्ड के प्रसारण, अनएन्क्रिप्टेड मेल संदेशों, रिमोट एक्सेस के लिए सॉफ्टवेयर के उपयोग को देखता है। यह पासवर्ड नीतियों के कार्यान्वयन, RAT के उपयोग और असुरक्षित डेटा ट्रांसफर प्रोटोकॉल को नियंत्रित करने में मदद करता है।

यह जानने के लिए कि सूचना सुरक्षा नियमों का उल्लंघन सबसे आम है, क्योंकि वे पीटी एनएडी द्वारा पता लगाए जाते हैं और इस समस्या को ठीक करते हैं, वेबिनार की जांच करें या एक लेख सुरक्षा केंद्र विशेषज्ञ पीटी विशेषज्ञ सुरक्षा केंद्र पढ़ें ।

हमले की जांच

एनटीए सिस्टम जो सत्र मेटाडेटा और कच्चे यातायात को स्टोर करते हैं, घटनाओं की जांच करने में मदद करते हैं: खतरे का स्थानीयकरण करें, हमले के इतिहास को पुनर्स्थापित करें, बुनियादी ढांचे में कमजोरियों की पहचान करें और प्रतिपूरक उपायों को काम करें। एक बड़ी कंपनी के मूल कंपनी पर एक

मामले के हमले की जांच का एक उदाहरण देखें ।

शिकार करना

एनटीए उपकरण का उपयोग खतरे के शिकार के लिए भी किया जा सकता है। शिकार का खतरा - पारंपरिक सुरक्षा साधनों द्वारा नहीं पता चलने वाले खतरों की खोज की प्रक्रिया। विशेषज्ञ एक परिकल्पना को आगे रखता है, उदाहरण के लिए, नेटवर्क पर एक हैकर समूह की उपस्थिति के बारे में, एक आंतरिक घुसपैठिए या डेटा लीक की उपस्थिति के बारे में, और इसकी जांच करता है। यह विधि आपको बुनियादी ढांचे में समझौता और कमजोरियों की पहचान करने की अनुमति देती है, तब भी जब सुरक्षा प्रणालियां कोई संकेत नहीं देती हैं। पीटी एनएडी का उपयोग करके

तीन खतरा शिकार मामले के अध्ययन के साथ एक वेबिनार देखें ।

वे आपकी कंपनी पर कैसे हमला कर रहे हैं? नेटवर्क में, 97% कंपनियों में संदिग्ध यातायात गतिविधि है । जांचें कि आपके नेटवर्क पर क्या हो रहा है - पीटी एनएडी ट्रैफिक विश्लेषण प्रणाली के एक मुफ्त "पायलट" के लिए एक आवेदन भरें ।

लेखक : 

, (PT Expert Security Center) Positive Technologies
, Positive Technologies

कैसे ट्रैफिक एनालिसिस सिस्टम MITER ATT & CK, भाग 5 द्वारा हैकर रणनीति का पता लगाता है