🌆 ➖ 🥡 जंगली में सूचना सुरक्षा घटनाओं की जांच: सूचना के अप्रत्याशित स्रोत 🤱🏽 🥅 🔖

कंप्यूटर की घटनाओं, या डिजिटल फोरेंसिक की जांच के बारे में बहुत कुछ लिखा गया है, कई तैयार हार्डवेयर और सॉफ्टवेयर उपकरण हैं, ऑपरेटिंग सिस्टम की मुख्य कलाकृतियों को मैनुअल और पुस्तकों और लेखों में अच्छी तरह से जाना और वर्णित किया गया है। ऐसा लगता है कि यह मुश्किल है - मैनुअल पढ़ें और आवश्यक खोजें। लेकिन तकनीकी रूप से कठिन मामले हैं जब उन प्रसिद्ध कलाकृतियों का विश्लेषण घटनाओं की कालक्रम को पुनर्स्थापित करने के लिए पर्याप्त जानकारी प्रदान नहीं करता है। इस स्थिति में कैसे रहें? हम अपनी जांच के वास्तविक उदाहरणों के साथ इसका विश्लेषण करते हैं।

बुनियादी कलाकृतियों की सामान्य कमी क्यों है? इसके कई कारण हो सकते हैं:

बुनियादी ढांचा पूरी तरह से निगरानी और घटनाओं की प्रतिक्रिया के लिए तैयार नहीं है (हमने यहां इसके बारे में लिखा है )
, ( Digital Forensic)
, ( – , MFT-).

इस प्रकार, यदि अवसंरचना बड़ी और विविध है, तो घटना लंबे समय तक विकसित होती है, और हमलावर एक "कटा हुआ कलच" है, इसके सभी कार्यों को प्रकट करने और घटनाओं के कालक्रम को पुनर्स्थापित करने के लिए जानकारी के अतिरिक्त स्रोतों की आवश्यकता होती है।

स्थिति के आधार पर, सिएम सिस्टम, नेटफ्लो नेटवर्क फ्लो या रॉ ट्रैफिक का विश्लेषण (हालांकि वास्तव में यह संभव नहीं है 90% मामलों में), साथ ही असामान्य कलाकृतियों जो किसी भी तृतीय-पक्ष सॉफ़्टवेयर से संबंधित हैं, संयोग से बचाव में आ सकते हैं। ग्राहक के बुनियादी ढांचे में।

यह अंतिम प्रकार की कलाकृतियों पर है जिसे हम बंद कर देंगे।

Ivanti समापन बिंदु प्रबंधक (पूर्व LANDESK प्रबंधन सूट)। आईटी एसेट मैनेजमेंट सिस्टम

www.ivanti.ru/company/history/landesk

हमारे नए ग्राहकों में से एक की निगरानी से जुड़ते हुए , हमने उसके बुनियादी ढांचे में एक सर्वर पर ईवेंट लॉग्स की सफाई का पता लगाया, जबकि सिएम प्रणाली में दुर्भावनापूर्ण गतिविधि की कोई अन्य अभिव्यक्ति नहीं थी। विश्लेषण के दौरान, यह पाया गया कि सर्वर से छेड़छाड़ की गई थी, और हमलावर ने किसी विशेष उपकरण का उपयोग नहीं किया। इसमें निम्नलिखित शामिल थे:

सुरक्षा लॉग ईवेंट को एक अलग अस्थायी फ़ाइल पर पुनर्निर्देशित किया गया था,
एक हमलावर ने आवश्यक कार्रवाई की,
घटनाओं को सुरक्षा लॉग में वापस भेज दिया जाता है,
अस्थायी फ़ाइल हटा दी गई थी।
फायदा!

नतीजतन, इस तथ्य के बावजूद कि सुरक्षा पत्रिका को उचित रूप से स्थापित किया गया था, इसमें दुर्भावनापूर्ण गतिविधि से संबंधित कोई भी घटना नहीं थी, जबकि यह स्वयं अछूता दिख रहा था।

एक छोटे से विश्लेषण के बाद, हमें पता चला कि हमलावर लगभग 2-3 वर्षों से बुनियादी ढांचे में "जीवित" है, जिसने सभी प्रमुख सर्वरों से समझौता करना संभव बना दिया है। ऐसे मामलों में, सूचना के किसी भी अतिरिक्त स्रोत का मूल्य बढ़ जाता है, क्योंकि कुछ बुनियादी कलाकृतियां या तो भ्रामक या असंक्रामक हैं और घटना की पूरी तस्वीर की अनुमति नहीं देती हैं।

सूचना के अतिरिक्त स्रोतों की तलाश में, हमने बुनियादी ढांचे में उपयोग की जाने वाली सेवाओं और प्रणालियों की एक मौखिक सूची का संचालन किया और पाया कि, हमारी निगरानी के कार्यान्वयन के साथ, ग्राहक ने एक आईटी परिसंपत्ति प्रबंधन प्रणाली को तैनात करना शुरू किया
इवंती एंडपॉइंट मैनेजर।

चूंकि सिस्टम अभी भी अस्थिर था (एजेंटों से घटनाओं को आंशिक रूप
से सर्वर पर नहीं भेजा गया था), हम सर्वर पर मेजबानों से केंद्रीय रूप से घटनाओं को देखने में असमर्थ थे। फिर भी, होस्ट पर सीधे Ivanti Endpoint द्वारा संग्रहीत कलाकृतियों की खोज करने का निर्णय लेते हुए, हमने पाया कि यह सॉफ़्टवेयर प्रक्रिया के बारे में जानकारी निम्न रजिस्ट्री शाखा में स्थानीय रूप से लॉन्च करता है:

HKLM \ SOFTWARE \ Wow6432Node] \ LANDI \ \ ManagementSuite \ WinClient \ SoftwareMonitoring \ MonitorLog \ <। निष्पादन योग्य फ़ाइल का पथ>

निम्नलिखित जानकारी संगत कुंजी में संग्रहीत है:

पहला प्रारंभ समय (FILETIME प्रारूप में)
अंतिम रन समय (FILETIME प्रारूप में)
प्रारंभ की संख्या
उपयोगकर्ता जिसके अधिकारों के साथ निष्पादन योग्य फ़ाइल लॉन्च की गई थी

इवंती एंडपॉइंट प्रक्रिया लॉन्च कलाकृतियों

इस जानकारी के लिए धन्यवाद, हम कुछ प्रणालियों पर हमलावर की उपस्थिति के समय को निर्धारित करने में सक्षम थे, जिनके बारे में हमें पहले नहीं पता था। इसके अलावा, उनके टूलकिट के हिस्से का खुलासा केवल निष्पादन योग्य फ़ाइलों के नाम पर किया गया था।

Citrix NetScaler कॉर्पोरेट संसाधनों और अनुप्रयोगों तक पहुंच प्रदान करने के लिए प्रणाली

www.citrix.com/en-us/products/citrix-adc

Citrix NetScaler Workflow

एक और रोचक जाँच। एक वीपीएन के माध्यम से एक हमलावर ने कंपनी के बुनियादी ढांचे में प्रवेश किया। उन्होंने UTC +8 समय क्षेत्र में काम किया। प्रमाणीकरण के बाद, यह काफी आक्रामक रूप से व्यवहार करता था (मुखौटा / 24 और / 16 का उपयोग करके आंतरिक रूप से स्कैन किए गए आंतरिक सबनेट), जिसके परिणामस्वरूप, वास्तव में, यह देखा गया था।

VPN को Citrix NetScaler Enterprise Resource and Application System पर कॉन्फ़िगर किया गया था। इसके लॉग का अध्ययन करने के बाद, हम पहले "विज़िट" (समझौता की तारीख पढ़ें), हमलावर द्वारा उपयोग किए गए कर्मचारी खातों (जिस तरह से, 5 से अधिक खातों से समझौता किया गया था) के समय को स्थापित करने में सक्षम थे और प्रॉक्सी सर्वर के आईपी पते, जिसमें उन्होंने काम किया था।

जांच स्वयं सफलतापूर्वक समाप्त हो गई: हम समझौते का एक स्रोत स्थापित करने में कामयाब रहे - यह पता चला कि इंटरनेट से सुलभ क्रेडेंशियल्स को रीसेट करने के लिए आंतरिक सिस्टम SQL इंजेक्शन के अधीन था।

लेकिन अब मैं कुछ और नोट करना चाहता हूं: Citrix NetScaler पर वीपीएन प्रमाणीकरण पारित करने के बाद, सभी HTTP उपयोगकर्ता अनुरोध सफलतापूर्वक लॉग इन किए गए थे। हमलावर को शायद या तो यह पता नहीं था, या उसने अपने नेटवर्क इंटरफेस को भ्रमित कर दिया था और ग्राहक के कॉर्पोरेट नेटवर्क के माध्यम से खोज इंजन के लिए अपने स्वयं के प्रश्न भेजे थे। इससे हमें हमलावर, उसकी दक्षताओं और उपयोग किए जाने वाले साधनों के बारे में जानकारी प्राप्त करने की अनुमति मिली।

Citrix NetScaler लॉग फ़ाइल

जानकारी है कि एक हमलावर Citrix NetScaler

सूचना के माध्यम से देख रहा था कि एक हमलावर Citrix NetScaler के माध्यम से देख रहा था

गुप्त नेट स्टूडियो। अनधिकृत पहुंच से जानकारी की सुरक्षा के लिए प्रणाली

www.securitycode.ru/products/secret_net

एक ठीक दिन, एक संदिग्ध प्रमाणीकरण घटना वाला एक टिकट रात में प्रशासन सर्वर पर कंपनी के एक आईटी कर्मचारी के खाते में हमारी पहली पंक्ति में गिर गया (कर्मचारी खुद उस समय छुट्टी पर था, उसके पास एक वीपीएन था। नहीं था)। वास्तुकला में, प्रशासन सर्वर कंपनी के कई अन्य प्रमुख सर्वरों (सीक्रेट नेट सर्वर सहित) के साथ एक अलग नेटवर्क सेगमेंट में स्थित था, जबकि सिएम केवल प्रशासन सर्वर से ही घटनाओं को प्राप्त करता था (दुर्भाग्य से, ग्राहक हमेशा सभी संभावित स्रोतों को जोड़ने के लिए सहमत नहीं होते हैं )

पहली पंक्ति, टिकट को संसाधित करना और प्रमाणीकरण के बाद क्या हुआ, इसके बारे में जानकारी एकत्र करना, विभिन्न संदिग्ध प्रक्रिया लॉन्च (एक मानक पत्र में गैर-मानक पथ, द्विआधारी फ़ाइल नाम) और mstsc.exe लॉन्च, एक संभावित आरडीपी सत्र का संकेत देता है।

यह महसूस करते हुए कि यह एक संभावित समझौता था, हमने सभी सर्वरों की छवियों का अनुरोध किया
और उनका विश्लेषण शुरू किया। पहली छवि (सीक्रेट नेट सर्वर) को खोलते हुए, हमें वर्तमान के रूप में एक "बड़ा आश्चर्य" प्राप्त हुआ: सिस्टम, सुरक्षा और अनुप्रयोग लॉग हटा दिए गए थे, और हटा दिए गए थे, ताकि पुनर्प्राप्ति प्रयास भी असफल रहे। केवल यह तुलना करना संभव था कि गुप्त रूप से प्रशासन सर्वर पर mstsc.exe के लॉन्च के साथ सीक्रेट सर्वर टर्मिनलसर्विसेज लॉग में प्रविष्टियां हुईं, जिसका अर्थ है कि हमलावर निश्चित रूप से सीक्रेट नेट पर था। शेष सर्वर का विश्लेषण भी विफल रहा।

नतीजतन, हमने खुद को ऐसी स्थिति में पाया जहां यह निश्चित रूप से जाना जाता है कि हमलावर वहां है (उसने निश्चित रूप से कुछ किया और इसे शुरू किया), लेकिन हमारे पास मेजबान लॉग नहीं हैं, क्योंकि निशान हटा दिए गए हैं,
और कोई नेटवर्क लॉग नहीं हैं, क्योंकि सभी सर्वर एक ही सबनेट पर हैं।

इस स्थिति से भी एक समाधान मिला। सीक्रेट नेट प्रणाली बहुत बहुमुखी है और इसमें कई घटक होते हैं, दोनों कर्नेल स्तर और उपयोगकर्ता स्तर। गुप्त नेट के विभिन्न घटकों द्वारा रिकॉर्ड और सहेजे गए प्रत्येक लॉग फ़ाइल का विश्लेषण करने के बाद, हम फ़ाइल नियंत्रण द्वारा छोड़ी गई कई उत्कृष्ट कलाकृतियों के पार आए। जब हमने सब कुछ एक साथ रखा, तो हमें हमलावर के कार्यों के बारे में जानकारी मिली (वह वास्तव में इस सबनेट से प्रत्येक सर्वर पर था), और अपने उपकरणों के बारे में।

वैसे, प्राप्त जानकारी ने बुनियादी ढांचे में एक हमलावर की उपस्थिति से पूरी तरह से छुटकारा पाने में मदद की।

गुप्त नेट स्टूडियो सर्वर गुप्त लॉग स्टूडियो फ़ाइल नियंत्रण फ़ाइल के माध्यम से काम करने वाले हमलावर की योजना

KVRT। मुफ्त एंटीवायरस उपकरण

www.kaspersky.ru/downloads/thank-you/free-virus-removal-tool

हमें कंपनी के सार्वजनिक पते से निवर्तमान दुर्भावनापूर्ण गतिविधि (बॉटनेट और माइनर गतिविधि) से संबंधित एक घटना की जांच में मदद के लिए संपर्क किया गया था। सिस्टम की छवियां और लॉग प्राप्त करने के बाद, हमने विश्लेषण शुरू किया और कुछ कलाकृतियों को पाया जो संगठन की सार्वजनिक वेब सेवा और छोड़ी गई दुर्भावनापूर्ण फ़ाइलों के एक समझौते का संकेत देती हैं। दुर्भाग्य से, ग्राहक द्वारा पूछे गए सभी सवालों के जवाब देने के लिए यह पर्याप्त नहीं था: अन्य बातों के अलावा, हमें माइनर के फ़ाइल निशान नहीं मिले, हालांकि दुर्भावनापूर्ण गतिविधि और हमारी जांच को ठीक करने के बीच बहुत समय नहीं था।

एक बार फिर से कलाकृतियों और लॉग पर लौटते हुए, हमने कई मुफ्त एंटीवायरस स्कैनर के निशान पर ध्यान आकर्षित किया। यह स्पष्ट हो गया कि जिन फ़ाइलों को हम गायब कर रहे थे, वे एन्क्रिप्टेड और संगरोध थीं, और फ़ाइल सिस्टम के टाइमस्टैम्प सुरक्षित रूप से मिटा दिए गए थे।

उपयोग किए गए स्कैनर में केवीआरटी था, जिसने कुछ दुर्भावनापूर्ण फ़ाइलों का पता लगाया और उन्हें अलग किया। संगरोध फ़ाइलों का मानक स्थान C: \ KVRT_Data \ Quarantine है, और उन्हें डिक्रिप्ट करना बहुत आसान है: एक अच्छी तरह से ज्ञात कुंजी के साथ एक सरल XOR है e2 45 48 ec 69 0e 5c ac।

अस्वीकृत KVRT संगरोध

जैसा कि बाद में पता चला, IT व्यवस्थापक अभी भी हमारे आने से पहले मुफ्त एंटीवायरस स्कैनर के साथ सिस्टम को स्कैन करने में कामयाब रहे, इसके बावजूद कुछ भी नहीं छूने की सिफारिश की।
नतीजतन, संगरोधित फ़ाइलों ने घटनाओं के कालक्रम में करीब अंतरालों की मदद की और सभी सवालों के जवाब दिए।

प्रत्येक जांच हमेशा कुछ असामान्य, अद्वितीय और बहुमुखी होती है। हां, ऑपरेटिंग सिस्टम की ज्ञात कलाकृतियां हैं, लेकिन जांच शुरू होने से पहले, उनके विश्लेषण के बाद प्राप्त होने वाली जानकारी की पूर्णता की भविष्यवाणी करना मुश्किल है। इसलिए, घटना की तकनीकी जांच से पहले, हम अनुशंसा करते हैं कि आप सॉफ़्टवेयर और सिस्टम की एक सूची ले लें और जांच में संभावित स्रोत के रूप में उनका अध्ययन करने में आलसी न हों।

जंगली में सूचना सुरक्षा घटनाओं की जांच: सूचना के अप्रत्याशित स्रोत

Ivanti समापन बिंदु प्रबंधक (पूर्व LANDESK प्रबंधन सूट)। आईटी एसेट मैनेजमेंट सिस्टम

Citrix NetScaler कॉर्पोरेट संसाधनों और अनुप्रयोगों तक पहुंच प्रदान करने के लिए प्रणाली

गुप्त नेट स्टूडियो। अनधिकृत पहुंच से जानकारी की सुरक्षा के लिए प्रणाली

KVRT। मुफ्त एंटीवायरस उपकरण

More articles: