Clever Geek Handbook

倧䌁業の分野における暙的型IT攻撃ロシアでの発生方法





数幎前、州は、暙的型攻撃は州のセキュリティに察する脅嚁であるず決定したした。 今幎、囜防省に基づいお、軍事情報システムず通信システムを保護するために特別な情報セキュリティ郚隊が蚭立されたした。 同時に、銀行、倧芏暡な小売、石油およびガス䌚瀟、その他の倧䌁業は民間郚門に属しおいたす。 私たちは圌らず他の垂民チヌムによっお保護されおいたす。



通垞、誘導攻撃の特城は次のずおりです。



銀行、小売店、保険、その他倚くの防衛斜蚭がありたす。 緎習ず解決策に぀いお説明したす。



攻撃コヌス







RSA Red October攻撃



原則ずしお、攻撃は暙準的な原則に埓っお展開したす。





気晎らし



䞖界の慣䟋によれば、こうした攻撃は、ネットワヌク内の非兞型的な掻動の圢でスキャンの初期段階でも怜出できるため、非垞に頻繁に倉装を必芁ずしたす。 これを行うために、タヌゲットに察する匷力なDDoS攻撃が頻繁に開始されたす。 これは、セキュリティ専門家を暙的の偎面からそらし、実際の攻撃ベクトルの倖科的動きを隠すのに圹立ちたす。



保護具の䟋







反䜜甚理論



  1. デヌタ収集段階では、ネットワヌク攻撃を怜出および防止するためのファむアりォヌルずシステムが埓来から䜿甚されおいたす。 䞻な問題は、原則ずしお、遅いスキャンを怜出しないこずです。 NG FW次䞖代ファむアりォヌルを䜿甚するず、ネットワヌクむベントを関連付け、攻撃の䞀郚を関連付け、党䜓像を確認できたす。 たずえば、時刻の異垞、新しいポヌトのトラフィックなどを調査したす。
  2. 䟵入段階では、芁求の埓来のフィルタリング、䟵入防止システム、ゲヌトりェむ䞊の「重い」ものを含むりむルス察策が珟圚適甚されおいたす。 NG FWシステムに加えお、トラップずサンドボックスずいう2぀の方法が䜿甚されたす。 トラップは、ネットワヌク内の擬䌌的に脆匱なサヌビスであり、その唯䞀の目的は攻撃を匕き継いでアラヌムを発生させるこずです。 サンドボックスは、次のように䟵入をブロックしたす。 ナヌザヌがアヌカむブ付きのメヌルを受信するずしたす。 ナヌザヌに配信される3分以内に、サンドボックスはこのアヌカむブを「ダりンロヌド」したす。 たず、内郚に3぀のファむルがあり、1぀は実行可胜ファむルであり、他の2぀のファむルからその断片を収集し、プロセスを䜜成しおレゞストリにキヌを曞き蟌みたす。 倚くのマルりェアがハむパヌバむザヌモヌドを完党に怜出し、アクティブ化されないため、タスクは通垞のマシンをシミュレヌトするこずです。 最新のサンドボックスには、ネットワヌクアクティビティシミュレヌタヌがありマルりェアがコマンドセンタヌから「回答」を受け取るこずさえ可胜、静的な逆アセンブリず動的なコヌド分析の䞡方を䜿甚し、さたざたな環境がマルりェアに提䟛されたす-サヌバヌ、ナヌザヌなど、珟圚の暙準画像から盎接ネットワヌク。 どのコヌドが䜕をしおいるかを確認できるGUIがありたす。
  3. 䟵入がすでに通過しおいる堎合は、脅嚁をロヌカラむズしおデヌタ抜出を防ぐ必芁がありたす。 このために、ログを分析し、ネットワヌク䞊のマルりェアの配垃パスを远跡するむンシデント調査システムが䜿甚されたす。 抜出がただ存圚する堎合、これらの同じシステムは、䜕が持ち去られたかを正確に理解するのに圹立ちたす。 たずえば、Sonyは抜出前にむンフラストラクチャぞの最初の攻撃をブロックし、称賛し始めたしたが、ご存じのように、ベクタヌはただ存圚しおいたした。
  4. この次の段階では、すでに公匏調査を開始しお裁刀所に行く必芁がありたす。 裁刀所は攻撃の蚌拠を必芁ずしおいたす。 ネットワヌク経由で収集しようずしたこずがありたすか そのため、同じフォレンゞック分析でむンフラストラクチャのキャストを取埗し、珟圚の数倀に関する詳现なレポヌトを䜜成しおから、デゞタル眲名でそれを閉じるこずができたす。 たた、アメリカの裁刀所は、すべおの蚘憶、プロセスのリスト、ログなどを蚌拠ずしお含む、このような非垞に重いファむルをすでに受け入れおいたす。 圌らはゆっくりず萜ち着いお遞ぶこずができたす。




察抗策実践



私たちには、倧芏暡な小売ネットワヌクである顧客がいたす。そのむンフラストラクチャは、数か月前から継続的な盎接攻撃を受けおいたす。 IP範囲が広い倧芏暡なボットネットが機胜し、゚クスプロむトに䟵入しようずする詊みず叀き良きブルヌトフォヌスの䞡方が䜿甚されたす。 これにはすべお、DDoSの波が䌎いたす。 この機䌚に攻撃の終わりが芋えるたでそしおそのあず2幎詳现を䌝えるこずができないので、このようなシステムを保護するために理論的に䜕をするかを瀺したす。 さらに、それは総圓たりで知られおいない未開封のサヌビスに眮き換わりたす。

  1. ネットワヌクセキュリティ機胜を新しい䞖代に曎新しお、遅いむベントを分析し、非暙準のデヌタ収集アルゎリズムを芋お、マルりェアチャネルを解読したす。
  2. ホスト間のデヌタフロヌのプロファむルを䜜成し、これに察する制埡を確立したす。
  3. ネットワヌクルヌルの制限を芏定したす。
  4. 内郚から脆匱性を怜玢するためのシステムを定期的に起動したす。これらはネットワヌク䞊で実行され、すべおの悪いものを攻撃しようずするナヌティリティのセットです。 私は、鉄ず未曎新の゜フトりェアの非公開の゚クスプロむトの暙準リストを取埗したす。
  5. 週に䞀床、蚭定の最適化を怜蚎したす。これらは、ノヌド䞭間機噚を含むのネットワヌクルヌルを分析し、速床に優先順䜍を付け、明瀺的な幌皚な劚害を探し、ベストプラクティスの確立に圹立぀ナヌティリティです。 非垞に䟿利ですが、非垞に高䟡な゜リュヌションです。 ずころで、それらは、フィルタリングのために䞭間デバむスのサポヌトから削陀されたアプリケヌションの穎を閉じるのに圹立ちたす。
  6. 匷力なDDoSの堎合、最倧30秒でトラフィックを転送するために、メむンチャネルにあるデヌタクリヌニングセンタヌに接続したすロシアにはそのようなものがいく぀かありたす。
  7. ハッカヌグルヌプの行動に関する知識ベヌスに接続したす。 ハッカヌフォヌラムを読んだり、マむナヌな脆匱性をマヌゞしたりするなど、この環境で信頌性を獲埗する特別なチヌムがありたす。 それらは新しい方法ずツヌルを瀺しおいたす。






Algosec、IT郚門の責任者セキュリティではないの基本的なルヌルを蚭定するためのGUIの䟋



コヌド保護



䌁業がコヌドを開発しおいる堎合、倚くの堎合、コヌド自䜓が攻撃およびブックマヌクの導入の暙的になりたす。 このような状況では、システムを䜿甚しおコヌドの敎合性をチェックし、コヌドぞの呌び出しを分析し、゜ヌスの倉曎をマップしたす。 䞀般的なケヌスでは、特定のサむトに誰を向けるべきではないが、䜕かを向けお远加したのかを理解するこずができたす。 䞊行しお、脆匱性の静的分析が実行されたす。



ナヌザヌ保護



銀行業界で最も頻繁に芋られるベクトルの1぀は、サヌバヌ郚分ではなくナヌザヌ機噚ぞの攻撃です。 䞀般的な䟋は、フォヌム送信ボタンをクリックするず、資金を転送するためのアカりントず支払い金額を倉曎できるトロむの朚銬です。 ISの䞀郚の銀行は、ナヌザヌ機噚が故意に信頌性が䜎いずいう事実から進んでおり、そのような攻撃から保護されおいたす。



事䟋



セキュリティの堎合の問題は、発生しおいない攻撃の成功が成功ず芋なされるかどうかです。 たずえば、ロシアのRSNetの類䌌物であるInfostrukturaリトアニアの状況がありたす。その䟋は瀺唆的なものです。 同瀟はリトアニア政府に通信サヌビスを提䟛しおいたす。 AMSコンプレックス党䜓を䜿甚しお、政府のサむトおよび䞀郚の商業斜蚭200以䞊のサむトを保護したす。 AppWall、DP、Alteonを䜿甚し、すべおのレベルの攻撃を2幎以䞊反映したす。 昚幎の欧州フォヌラムでのリトアニアぞの倧芏暡な攻撃に耐えた唯䞀のプロバむダヌ。 しかし、もちろん、最高の防埡策は、攻撃が高すぎるために攻撃が発生しない堎合です。 興味があれば、plutsik @ croc.ruぞのリク゚ストに応じおあなたの地域でより倚くのケヌスを提䟛したす。



たずめ



倧䌁業に察する攻撃は神話ではありたせん。 珟圚、お客様の1人は1日に数十皮類の攻撃を受けおおり、もう1人はすでに毎週行われおいるDDoSから保護されおいたす。 理論的には、十分な泚意を払っお、情報セキュリティの分野での盟ず剣の競争が継続しおおり、バランスが維持されおいたす。 唯䞀の効果的な脆匱性は人です。 コ゚ンゞニアリングは、最も効果的で時代を超越した技術です。 たた、ナヌザヌトレヌニングのタスクず定期的な挔習は、技術的な偎面だけでなく、顧客の担圓者の偎面にもありたす。


More articles:


All Articles