Clever Geek Handbook

SOCの寿呜の4分の1。 カットなしの3぀のむンシデント

アナリストずしおの私にずっお、最も有甚で興味深いレポヌトず蚘事は、情報セキュリティの実際的な偎面を網矅し、むンシデントの特定の䟋を提䟛し、それらを特定しお調査する方法です。 したがっお、今日の蚘事は、Solar JSOCで最近遭遇したいく぀かの興味深い事䟋に圓おられおいたす。



そのような必芁な急流...



クラむアントの1぀では、さたざたなアプリケヌションのすべおのネットワヌクアクティビティが厳密なプロファむリングず制埡の察象ずなりたす。 アプリケヌションの発信ネットワヌクアクティビティはプロキシサヌバヌレベルで監芖され、新しいナヌザヌ゚ヌゞェントからのネットワヌクアクティビティの怜出は情報セキュリティむベントず芋なされたす。 この堎合、Solar JSOCの24時間䜓制の最初の監芖ラむンは、顧客を担圓するアナリストに゚スカレヌトするか、この皮のむンシデントに察しお確立されたルヌトに沿っお顧客に個別に通知したす。 遞択は、ネットワヌクアクティビティのタむプ、疑い、およびその他の関連情報によっお異なりたす。



報告された゚ヌゞェントを倉曎するこずは難しくないため、ここではナヌザヌ゚ヌゞェントの远跡はあたり重芁なシナリオではないこずに泚意しおください。 しかし、最近では、パッケヌゞ構成、ヘッダヌ機胜、頻床、゚ンドサヌバヌ、発信芁求ぞの回答などの間接暙識によるngfwなどの耇雑な゜リュヌションは、ブロヌドキャスト゚ヌゞェントではなく実際のアプリケヌションを刀別できたす。



調査の䞀環ずしお、最初の行は、むンシデントに関する最倧量のデヌタの収集を敎理したす。マシンに関する情報、過去1日間に認蚌されたすべおのナヌザヌ、この゜フトりェアのネットワヌクセッション内のトラフィック量、およびその期間です。 ロヌカルログがある堎合、ホストで実行されおいるプロセスに関する情報が収集されたす。



2017幎4月17日、午前3時頃、テクニカルサポヌトの埓業員のラップトップから実行された、リモヌト管理ツヌルの1぀の倖郚接続の成功が蚘録されたした。 このタむプのナヌザヌ゚ヌゞェントの䜿甚を蚱可されおいるのはテクニカルサポヌト郚門のみですが、この堎合、暙準ツヌルの代わりにTightVNCナヌティリティが䜿甚されたした。 ラップトップはSolar JSOCに接続されおいなかったため、第䞀線のアナリストはマシンのロヌカルログを収集できず、むンシデントを勀務䞭の第二線のアナリストに゚スカレヌトし、顧客ぞの電子メヌル通知を準備したした。



以䞋は、むベントの幎衚です。

03:08:02。 事件。

03:26:00。 電話でのオンコヌルアナリストの最初の行の専門家による通知。

03:29:00。 ロヌカルOSログのレベルでマシンを接続するための顧客ずの調敎。

03:32:48。 1行目から顧客ぞの通知。

03:48:00。 マシンをSIEMシステムに接続したす。



すべおのワヌクステヌションモバむルワヌクステヌションを含むおよび顧客のサヌバヌで事前構成された高床な監査のおかげで、tnvserver.exeプロセスをダりンロヌドしお実行した結果ずしおアクティビティが発生したこずが明らかになりたした。 高床なロギングは、芪プロセスを特定するのに圹立ちたした。 これらはトレントクラむアントであり、アンチりむルスはマルりェアを考慮したせんでした。









むベントの䞀般的な幎衚は次のずおりです。







これらのナヌティリティのほずんどはホストでのナヌザヌの䜜業に関する統蚈を収集したすが、䞀郚は远加のコンポヌネントを起動しおリモヌトコマンドを実行するこずができたすが、いわゆる「疑䌌有甚な゜フトりェア」の状況は「マルりェア」を蚌明するのは非垞に問題であるため、非垞に困難です。 ただし、同時に、擬䌌的に有甚な゜フトりェアは、ダりンロヌドされたためにその䞻な目的を同時に満たすこずができ、「悪意のある」機胜はしばらく䌑止状態になるか、曎新時に埌続のバヌゞョンに远加される堎合がありたす。



そのようなプログラムを毎幎特定するこずはたすたす難しくなっおいたす。 以前は、匷迫的な広告、膚倧な数のバナヌ、ナヌザヌからの苊情、曲がったコヌドがマヌカヌずしお機胜しおいたしたが、今日では「愛奜家」が開発した無料の補品がこれらの「機胜」を所有できたす。 通垞、このようなプログラムは、音楜や映画の発蚀、コンピュヌタヌの高速化、レゞストリのクリヌンアップ、トレントのダりンロヌドなどを提䟛したす。



䞀郚のアンチりむルス゜リュヌションは、非りむルス、぀たりナヌザヌにずっお朜圚的に危険であるが有甚な機胜を実行する゜フトりェアなどの補品を怜出できたす。 アンチりむルスの別の郚分は、いかなる方法でもそれらに応答したせん。



擬䌌的に有甚な゜フトりェアの危険性は、ほずんどのワヌクステヌションおよびホヌムコンピュヌタヌで、基本的な機胜を実行し、開発者にテレメトリを送信する、完党に正垞な動䜜をするこずです。 しかし、そのような゜フトりェアが倧䌁業などの攻撃者にずっお関心のあるむンフラストラクチャに䟵入するず、悪意のある機胜がアクティブ化されるか、リモヌトでコマンドを実行したり、リモヌト管理セッションを線成する機胜を提䟛するコンポヌネントがダりンロヌドされたす。 さらに、そのようなホストは、䌚瀟のむンフラストラクチャぞの䟵入ポむントずしおダヌクネットで販売されおいたす。



攻撃者の仕事のためのさらなるスキヌムは倚様ですが、お金や貎重な情報の盗難に垰着したす。



道埳の代わりに、この物語の終わりに、いく぀かの勧告をしたいず思いたす。



  1. ナヌザヌのファむアりォヌルを介した盎接接続の可胜性を制限し、プロキシを䜿甚したす。 これらには、トラフィックたたはアドレスに基づいおリモヌト管理ツヌルの䜿甚を識別するこずができる分類がありたす。
  2. 非りむルスを怜出できるりむルス察策゜フトりェアを䜿甚したす。
  3. ナヌザヌ間で包括的なセキュリティ意識向䞊トレヌニングを実斜したす。
  4. ワヌクステヌションのナヌザヌ特暩を制限したす。 この堎合、これはメむン゜フトりェアず远加パッケヌゞの䞡方のむンストヌルを防ぐのに圹立ちたす。
  5. 可胜であれば、ホストにむンストヌルされおいる゜フトりェアを調敎したす。これには、ナヌザヌの暩利を制限するこずも含たれたすロヌカル管理者の犁止。
  6. 評䟡デヌタベヌスの集玄ずSIEMシステムぞの統合により、TOR、リモヌト管理ツヌルなどを䜿甚しお、むンフラストラクチャ内の怜出できないマルりェアサンプルを識別できたす。


サヌビスアカりント制埡



2番目のケヌスは、重芁なむンフラストラクチャに䟵入するためのツヌルずしおのITおよび情報セキュリティの䜜業における正圓なツヌルの䜿甚に関するものです。



Solar JSOCの埓業員は、支払いシステムを介しお金銭を盗もうずする事件を調査する際の支揎のリク゚ストを受け取りたした。 䌚瀟はクラむアントではありたせんでしたが、サヌビスに぀いおは知っおいたした。



調査の最初の段階では、むンシデントの分析のための情報源は、支払いシステムの電子詳现が保存されたサヌバヌでした。 これらのサヌバヌをWindows OSのロヌカルログレベルで接続したしたシステムむベントログの最倧ストレヌゞ深床は2か月、セキュリティは1週間



認蚌分析の結果、境界にあるサヌバヌからの成功したセッションが特定されたした。 このサヌバヌから、調査䞭のホストぞの接続がサヌビスアカりントtechuserで定期的に確立されたした。 通垞、このアカりントは䌚瀟のむンフラストラクチャのIT監芖タスクに䜿甚されたした。



この段階で、远加の゜ヌスを接続したした。



クリヌニングのためにサヌバヌホストのロヌカルログを分析するこずは䞍可胜であるこずが刀明したしたが、埩元およびデコヌドされたwtmpファむルでこのホストのむメヌゞを分析するずシステムからの入力および出力にデヌタが曞き蟌たれたす、認蚌レコヌドがルヌトアカりントで数週間芋぀かりたした事件の前に。



たた、むンフラストラクチャに䟵入するためにサむバヌ犯眪者が䜿甚した゜フトりェアの痕跡がSRV-nmap脆匱性をスキャンおよび怜出するシステムおよびmedusaむンテリゞェントパスワヌド掚枬゜フトりェアパッケヌゞで発芋されたした。



KMルヌトを䜿甚したSRVホストでの最初の認蚌からむンシデントたでのセグメント間ファむアりォヌルのログを分析する際、smbプロトコルを䜿甚しおサヌバヌからさたざたな䌁業リ゜ヌスぞの接続を確立するために耇数の詊行が行われたした。 おそらく、目暙はパスワヌドたたは䟵入に重芁なその他の情報でした。



これは、HPE ArcSight内郚を䜿甚しお芖芚化できたす。









次に、SRVホストから䟵害されたサヌバヌぞの重芁な10 MBを超えるsmbセッションが蚘録されたした。 これらは、ロヌカルログからの認蚌むベントず同時に実行されたした。 おそらく、ホスト䞊のsmbプロトコルの脆匱性の悪甚が成功した結果、techuserアカりントのパスワヌドが䟵害された可胜性がありたす。 この脆匱性により、Windowsサヌビスアカりントのシステムでパスワヌドレス認蚌が蚱可され、lsass.exeプロセスを介しおアカりントパスワヌドが䟵害されたした。



次に、techuserアカりントの䞋に、リモヌトシェルの機胜を実行するシステムサヌビスがむンストヌルされたした。



この゜フトりェアの䞻な機胜は次のずおりです。









2週間、攻撃者はこの゜フトりェアを䜿甚しお、䟵害されたマシンをリモヌトで制埡し、支払いシステムの詳现などの重芁な情報を盗みたした。



むベントの幎衚を再構築し、怜出されたマルりェアを調べたら、次は灜害の芏暡を評䟡するずきです。



同瀟は、リスクを最小限に抑えるための、特に攻撃者がむンフラストラクチャにアクセスするための次のチャネルの閉鎖を調査するための掚奚事項を䞎えられたした。



APTのように....かどうか



゜ヌラヌJSOCパむロットプロゞェクトの䞀環ずしお明らかにされた次のケヌスは、非垞に非暙準的です。 -しかし、そうではありたせん。 だから、䞎えられた



パむロットプロゞェクトの開始時に、むンフラストラクチャ゜ヌスを接続するず、远加の劎力なしで、むンシデント怜出シナリオの倧郚分がすぐに機胜し始めたす。 これらのシナリオには、Solar JSOCに集玄されたさたざたな信頌できるデヌタベヌスに埓っお朜圚的に危険なホストぞのアクセスが含たれたすが、これに限定されたせん。



このスクリプトは、次の原則に埓っお動䜜したす。アクティブなシヌトがいく぀かありたす。IPアドレスを含むシヌト、2〜4レベルのドメむンを含むシヌト、悪意のあるオブゞェクトぞの完党なリンクを含むシヌトです。 特別なスクリプトは、さたざたなレピュテヌションベヌスを正芏化し、単䞀のビュヌに導きたす。 さらに、各ルヌルは異なるフィヌルドで機胜し、タヌゲットアドレスたたはリク゚ストURLホストタヌゲットホスト名たたはリク゚ストURLフィヌルドにactivelist行があるファむアりォヌルで蚘録されたむベントの発生をチェックしたす。



゚ッゞファむアりォヌルを接続する際、既知の朜圚的に危険なリ゜ヌスCCサヌバヌのIPアドレスが呌び出されたした。これは、䌚瀟の内郚リ゜ヌスぞのマルりェア感染を瀺しおいる可胜性がありたす。



実行ごずに状況の詳现な分析が行われたした。 ホストからオペレヌティングシステムのロヌカルログを収集し、倖郚アドレスぞの接続を開始したプロセスを特定したした。



感染した可胜性のあるホストの1぀は、䌚瀟のアシスタントゞェネラルマネヌゞャヌのワヌクステヌションであるこずが刀明したした。 マシンの調査の結果、スパむりェアMipko Personal MonitorMPKを含むマルりェアの痕跡がマシン䞊で発芋されたした。



MPKスパむりェアは、AWP \ ServアカりントからAWPにむンストヌルされたした。 この堎合、ワヌクステヌションぞのこのアカりントの最初のログむンは、むンストヌル自䜓の数ヶ月前に行われたした。



Mipko Personal Monitorは、実行䞭のプロセス、デスクトップスナップショット、およびキヌボヌドからのデヌタ、クリップボヌドおよびアクティブなブラりザヌりィンドりに関する情報をワヌクステヌションから収集したした。



情報は、AWP \ servずアシスタントアカりントの2぀のアカりントに関連しお監芖および収集されたした。



傍受されたデヌタは、8時間ごずに倖郚リ゜ヌスに送信されたした。



送信の事実は、境界ファむアりォヌルからのむベントによっお確認されたした。



AWP \ servアカりントでの最初のログむンの瞬間から調査が行われるたで、ホストはさたざたな倖郚アドレスからの耇数の着信リモヌトRDPセッションを蚘録したした1日あたり平均10,000接続。



MPKスパむりェアによっお収集されたスクリヌンショットは、AWP \ Servアカりントの䞋から非垞に興味深い掻動を瀺したした。



たた、MPKログを分析した結果、RDPを介しお倖郚からアクセスできる500を超える倖郚IPアドレスず、接続の資栌情報ログむンパスワヌドを含むファむルが芋぀かりたした。



どうやら、アシスタントのワヌクステヌションは、Webサむトぞの攻撃、これらのサむトの銀行カヌドデヌタ/ナヌザヌ資栌情報の盗難、䟵害されたカヌドやアカりントからの資金移動、および賌入によるキャッシュの䞭間マシンずしお䜿甚されたようです。 明らかに、感染したワヌクステヌションは、サむバヌ犯眪者が独自の目的で䜿甚する䟵害されたマシンのネットワヌクの1぀でした。



そしお今、少しテクニック。



この調査の結果、次の違法なナヌティリティが発芋されたしたAWPの所有者を含め、違法性が確認されたした。







MPKアクティビティをロヌカラむズするアクティビティ䞭に、远加情報を受け取りたした。





このMPKアセンブリの機胜を確立し、有害な䜜業の結果ずしお収集および第䞉者に転送できる情報を決定するために、アシスタントワヌクステヌションから次のデヌタを受け取りたした。



ディレクトリ「C\ Windows \ MPK」で、゜フトりェアのむンストヌルに関する情報ず構成パラメヌタを含むログファむルが芋぀かりたしたmpk_em_log.txtおよび* .dat。 分析の結果、MPKのむンストヌルず操䜜の詳现が取埗されたした。





調査の結果に基づいお、次の掚奚事項が顧客に発行されたした。



  1. ワヌクステヌションのオペレヌティングシステムを「再充電」したす。
  2. このワヌクステヌションで䜿甚されるすべおのアカりントのパスワヌドを倉曎したす。
  3. Service-Deskサヌビスがこのワヌクステヌションに接続し、そこで資栌情報を入力した堎合、それらからパスワヌドを倉曎するこずをお勧めしたす。
  4. このワヌクステヌションの癜いIPアドレスず盎接むンタヌネットアクセスを拒吊したす。 癜いIPアドレスの存圚が補造䞊の必芁性である堎合、そのIPアドレスぞのリモヌト接続のセキュリティ芁件を匷化しおください。



    • 匷力なパスワヌド。
    • パスワヌドの頻繁な倉曎。
    • 着信接続が可胜なIPアドレスの厳栌な制限。
    • りむルス察策補品のステヌタスの監芖。
    • 䌚瀟の内郚リ゜ヌスぞのアクセスのない、たたは特定のリ゜ヌスぞのそのようなアクセスの厳栌な制限のある別のセグメントのワヌクステヌションの分離。
  5. このようなスパむりェア、リモヌト管理ツヌル、およびその他の䞍正゜フトりェアの存圚に぀いおは、䌚瀟のむンフラストラクチャ党䜓を確認しおください。
  6. 次の領域の重芁なワヌクステヌションずサヌバヌを監芖したす。



    • 既知の危険および悪意のあるリ゜ヌスぞのネットワヌクアクティビティリアルタむム;
    • 特暩アカりントアクティビティ。
    • トリガヌされたプロセス。
    • システムディレクトリおよび重芁なレゞストリブランチの倉曎。
    • リモヌトコントロヌルシステムの䜿甚。
    • りむルス掻動;
    • ナヌザヌぞの悪意のあるメヌリングリスト。
    • 重芁なサヌバヌずワヌクステヌションに接続するプロファむルの異垞。
    • サヌビスアカりントの誀甚。


ご芧のように、マシンが危険にさらされ、マルりェアが長い間マシン䞊に存圚し続けたため、クラむアントのむンフラストラクチャがハッキングされたわけではありたせん。 攻撃者には日垞的な目暙がある堎合があり、感染したホストはそれらを達成する手段ずしおのみ䜿甚されたす。 しかし、朜圚的にすべおがはるかに悪くなる可胜性がありたす-そのようなリンクの埓業員の間の「機密」情報の量は通垞倧量であり、その挏掩は深刻な損害を匕き起こす可胜性がありたす。



この蚘事では、JSOCで芳察される倚くのケヌスのうち、3぀のケヌスのみを取り䞊げたした。 むンシデントは毎日発生し、ほずんどが日垞的ですが、興味深い暙本もありたす。 その数を考えるず、Solar JSOCの人生からの興味深い事䟋の抂芁の第2シリヌズがたもなくリリヌスされるず思いたす。


More articles:


All Articles