चेक प्वाइंट समाधान का उपयोग करते हुए शून्य-दिन के हमले, एपीटी हमले और उनके खिलाफ बचाव

कई सुरक्षा प्रणालियां आज मैचों (हस्ताक्षरों) की खोज और पहले से ही ज्ञात खतरों के व्यवहार के पैटर्न के लिए सिस्टम हैं। वे नए हमलों के खिलाफ शक्तिहीन हैं जिनके लिए निर्माता से कोई हस्ताक्षर और पैच नहीं हैं। इसके अलावा, नए हमले, एक नियम के रूप में, ध्यान देने योग्य क्षति पैदा करने का लक्ष्य नहीं रखते हैं, लेकिन स्पष्ट रूप से हानिकारक कार्यों को करने के लिए डिज़ाइन किए गए हैं।



यह आलेख आईटी इन्फ्रास्ट्रक्चर में मैलवेयर पैठ के शरीर रचना विज्ञान की जांच करेगा, साथ ही चेक प्वाइंट समाधान भी होगा जो इस तरह के हमलों से बचाने के लिए उपयोग किया जा सकता है।



तो, आईटी इन्फ्रास्ट्रक्चर में शून्य-दिन के हमले के प्रवेश के चरणों के बारे में क्या?



1. एक ईमेल लक्षित फ़िशिंग का उपयोग करते हुए एक विशिष्ट कर्मचारी के पास आता है, जिसमें एक अनुलग्नक (फ़ाइल, संग्रह) होता है, आमतौर पर एक एडोब रीडर फ़ाइल (क्योंकि सबसे कमजोर कॉर्पोरेट एप्लिकेशन एडोब रीडर है) या एमएस डीओसी फ़ाइल का उपयोग किए गए अनुप्रयोग के लिए वायर्ड शोषण के साथ होता है । जैसे ही उपयोगकर्ता इसे खोलता है या पूर्वावलोकन करता है, शोषण पहले से ही शुरू हो गया है। यह एप्लिकेशन पर एक बफर ओवरफ्लो करता है जो फ़ाइल को खोलता है और निष्पादन के लिए संबंधित कमांड संलग्न करके स्थानीय व्यवस्थापक विशेषाधिकार प्राप्त करता है।



2. उसके बाद, दुर्भावनापूर्ण कोड प्रबंधन सर्वर (कमांड एंड कंट्रोल सर्वर) को आउटबाउंड कॉलबैक करता है।



3. स्थापित सॉफ़्टवेयर और ओएस द्वारा उपयोग किए जाने वाले पीड़ित के बारे में जानकारी होने पर, दुर्भावनापूर्ण कोड को C & C सर्वर से wget पद्धति का उपयोग करके डाउनलोड किया जाता है, आमतौर पर एन्क्रिप्टेड रूप में और वेब गेटवे द्वारा हटाने से बचने के लिए एक jpg फ़ाइल में एकीकृत किया जाता है (ज्यादातर मामलों में, डाउनलोडिंग .exe फ़ाइलें निषिद्ध है। कॉर्पोरेट नीति)।



4. डाउनलोड की गई फ़ाइल को डिक्रिप्ट किया गया है, सिस्टम में इंस्टॉल किया गया है और डेटा एक्सफ़िलिएशन करना शुरू करता है, अर्थात। व्यक्तिगत डेटा (लॉगिन, पासवर्ड, व्यक्तिगत फ़ाइलें), कॉर्पोरेट डेटा (खाते, चालान आदि) ढूंढें और उन्हें एक विशिष्ट पते पर भेजें (आमतौर पर एन्क्रिप्ट किए गए चैनल के माध्यम से)



5. अंतिम चरण अन्य प्रणालियों का प्रसार और संक्रमण है। व्यक्तिगत संचार सेवाओं से पासवर्ड जानना (एक समझौता प्रणाली पर एक keylogger स्थापित करके), आप पीड़ित व्यक्ति की ओर से दुर्भावनापूर्ण लिंक भेज सकते हैं जो उसके साथ संवाद करता है।

इन सभी क्रियाओं को चित्र 1 में दिखाया गया है



चित्र 1। आईटी इन्फ्रास्ट्रक्चर में मैलवेयर के प्रवेश की प्रक्रिया

शून्य-दिन के हमलों और उन्नत लगातार खतरों की पहचान करें

आइए अब देखें कि चेक प्वाइंट समाधान ऐसे पैठ प्रयासों का कैसे पता लगाते हैं और ऐसे हमलों का विश्लेषण करने में प्रमुख कारक क्या हैं।



चलो मैलवेयर के निर्धारण के कार्य की जांच करके शुरू करते हैं।



जैसा कि पहले चर्चा की गई है, शुरू में उपयोगकर्ता को शोषण की सामग्री के साथ एक मेल संदेश में एक अनुलग्नक प्राप्त होता है। मुझे कैसे पता चलेगा कि कोई अनुलग्नक संक्रमित है या नहीं?



इसका जवाब एक स्थिर आचरण करना है और, यदि आवश्यक हो, तो सभी दस्तावेजों के गतिशील विश्लेषण और ईमेल में खतरों की सामग्री के बारे में संलग्नक।



स्थैतिक विश्लेषण में चेक प्वाइंट एंटीवायरस हस्ताक्षर के अनुपालन के लिए जाँच शामिल है।



यदि वेब ऑब्जेक्ट्स और दस्तावेज़ों में कोई खतरा नहीं पाया जाता है, तो उन्हें निम्नलिखित की मदद से संदेह के लिए जाँच की जाती है:

• अनुमानी विश्लेषण;

• SNORT और YARA नियमों का सत्यापन;

• दस्तावेज़ के एक विश्वसनीय डिजिटल हस्ताक्षर की उपलब्धता का सत्यापन;



यदि दस्तावेज़ संदिग्ध निकला, तो एक गतिशील विश्लेषण किया जाता है - एक उत्सर्जित उपयोगकर्ता वातावरण में लॉन्च करना, जो कि पूर्व-स्थापित मुख्य अनुप्रयोगों के साथ एक आभासी मशीन है। इसके बाद, चेक प्वाइंट सिस्टम रनिंग डॉक्यूमेंट के व्यवहार की निगरानी करता है (अतिरिक्त फाइलें बनाना, रजिस्ट्री में चाबी बदलना, C & C सर्वर के साथ संचार स्थापित करना)।



अगला, दस्तावेज़ की हानिकारकता पर एक निर्णय जारी किया जाता है। यदि यह संक्रमित हो गया है, तो ऐसा दस्तावेज अवरुद्ध है। नहीं - उपयोगकर्ता के लिए छोड़ दिया।



स्थिर और गतिशील विश्लेषण द्वारा जाँच करते समय विनियमित देरी - 2 मिनट तक।



चेक प्वाइंट में यह समाधान दो रूपों में प्रस्तुत किया गया है:

• क्लाउड सेवा

• साइट पर डिवाइस

सेवा

सेवा को कनेक्ट करते समय, कई प्रकार के कोटा होते हैं जो तालिका 1 में प्रदर्शित होते हैं।





तालिका 1। शून्य-दिवस के हमलों और APT हमलों की सामग्री के लिए चेक प्वाइंट के क्लाउड-आधारित ईमेल अनुलग्नक निरीक्षण सेवा का उद्धरण



सेवा को जोड़ने के लिए समर्थित चेक प्वाइंट प्लेटफॉर्म और ऑपरेटिंग वातावरण नीचे दी गई तालिका में दिखाए गए हैं।







इस सेवा का कनेक्शन मौजूदा आईटी अवसंरचना में चेक प्वाइंट गेटवे की संख्या पर निर्भर नहीं करता है।

ग्राहक साइट डिवाइस

यदि आप एक कारण या किसी अन्य के लिए क्लाउड सेवा से कनेक्ट नहीं करना चाहते हैं, तो आप विशेष रूप से इसके लिए डिज़ाइन किया गया चेक प्वाइंट डिवाइस ले सकते हैं।



इस कार्य के लिए दो चेक प्वाइंट डिवाइस हैं। प्रति माह निरीक्षण की गई फ़ाइलों की संख्या के अनुसार उद्धरण भी होता है। उपयोगकर्ताओं की संख्या अनुशंसित विकल्प है, लेकिन फाइलों की संख्या जितनी महत्वपूर्ण नहीं है। डिवाइस डेटा और उनके पैरामीटर छवि 2 में दिखाए गए हैं।





अंजीर। २। जीरो डे अटैक्स और एपीटी अटैक के लिए मेल अटैचमेंट्स के निरीक्षण के लिए प्वाइंट डिवाइसेस की जाँच करें



सेवा और डिवाइस दोनों में एक ही तकनीकी विनिर्देश हैं जो निरीक्षण की गई फ़ाइलों के प्रकार और समर्थित ऑपरेटिंग वातावरण के लिए समान हैं। इन मापदंडों के लिए विनिर्देश तालिका 2 में प्रस्तुत किया गया है।





तालिका 2। मेल अनुलग्नकों के निरीक्षण के लिए समर्थित फ़ाइल प्रारूप और आभासी वातावरण



एक परीक्षण ऑनलाइन सेवा भी है जिसके साथ आप दुर्भावनापूर्ण सॉफ़्टवेयर की उपस्थिति के लिए फ़ाइल का विश्लेषण कर सकते हैं और सकारात्मक स्थिति में, इसके कार्यों को एक उत्सर्जित उपयोगकर्ता वातावरण में प्रदर्शित किया जाएगा। यह सेवा नीचे दिए गए वेब लिंक पर उपलब्ध है।

threatemulation.checkpoint.com/teb/upload.jsp

परिणाम

सभी मामलों में, एक शोषण का उपयोग किया जाता है जो पीड़ित के पीसी पर नियंत्रण प्राप्त करता है और आउटगोइंग नेटवर्क संचार को एक C & C सर्वर पर स्थापित करता है, जो तब मालवेयर को स्थानांतरित करता है जो कई प्रकार की क्रियाएं करता है।



इस तरह के हमलों को नोटिस करना बेहद मुश्किल है, क्योंकि वे अभी तक उनके बारे में नहीं जानते हैं और लगभग सभी आधुनिक सुरक्षा प्रणालियां मैचों की खोज और व्यवहार के ज्ञात पैटर्न के सिद्धांत पर काम करती हैं। ज्यादातर मामलों में, यह पता लगाना भी मुश्किल है, क्योंकि वे स्पष्ट रूप से अपने कार्यों को नहीं दिखाते हैं, लेकिन चुपचाप हमलावर को डेटा भेजते हैं।