تجربه هفته
بازخوانی طراحی Drift detection در ۴ ماه پیش
روزبه نوروزی
در سازمانی مجبور به طراحی کشف دریفت شدیم . اولین نشانه نیاز به این پروژه زمانی ظاهر شد که تیم امنیت چند رفتار غیرعادی در سرویس‌های حیاتی مثل Payment و Fraud مشاهده کرد؛ رفتارهایی که در Image اصلی وجود نداشتند و توسط ابزارهای کلاسیک مانند WAF یا IPS نیز قابل تشخیص نبودند. برای مثال، اجرای غیرمنتظره /bin/sh در یک کانتینر Nginx اولین هشدار جدی برای ما بود.
در قدم اول، با تیم DevSecOps فرآیند استانداردسازی Imageها را اصلاح کردیم و برای تمام سرویس‌ها Golden Baseline تعریف شد. سپس Agentهای سبک مبتنی بر eBPF روی Nodeهای Kubernetes مستقر کردیم که توانایی تشخیص تغییرات در لایه‌های Filesystem، Process، Network و Syscall را داشته باشند. در مرحله بعد، برای هر سرویس سیاست‌های رفتاری (Allowed Behavior) تعریف کردیم؛ به‌عنوان مثال، سرویس Payment مجاز نبود هیچ ابزاری خارج از باینری‌های اصلی خود اجرا کند و outbound غیرمجاز باید فوراً مسدود می‌شد.
حدود دو هفته بعد از استقرار، Drift Detection یک Incident واقعی را کشف کرد: ایجاد یک فایل ناشناس در /tmp، اجرای Bash، و تلاش برای برقراری ارتباط با یک IP مشکوک. Agentها به‌صورت خودکار کانتینر را قرنطینه کردند و نسخه سالم آن Deploy شد. تحلیل‌های بعدی نشان داد مهاجم تلاش داشته از طریق یک Webshell حرکت عرضی کند
در نهایت، این پروژه باعث کاهش محسوس ریسک‌های Runtime، افزایش شفافیت برای SOC و ایجاد یک چارچوب قابل ممیزی بر اساس اصول CISSP شد.
#آکادمی_روزبه
بازخوانی طراحی Drift detection در ۴ ماه پیش
روزبه نوروزی
در سازمانی مجبور به طراحی کشف دریفت شدیم . اولین نشانه نیاز به این پروژه زمانی ظاهر شد که تیم امنیت چند رفتار غیرعادی در سرویس‌های حیاتی مثل Payment و Fraud مشاهده کرد؛ رفتارهایی که در Image اصلی وجود نداشتند و توسط ابزارهای کلاسیک مانند WAF یا IPS نیز قابل تشخیص نبودند. برای مثال، اجرای غیرمنتظره /bin/sh در یک کانتینر Nginx اولین هشدار جدی برای ما بود.
در قدم اول، با تیم DevSecOps فرآیند استانداردسازی Imageها را اصلاح کردیم و برای تمام سرویس‌ها Golden Baseline تعریف شد. سپس Agentهای سبک مبتنی بر eBPF روی Nodeهای Kubernetes مستقر کردیم که توانایی تشخیص تغییرات در لایه‌های Filesystem، Process، Network و Syscall را داشته باشند. در مرحله بعد، برای هر سرویس سیاست‌های رفتاری (Allowed Behavior) تعریف کردیم؛ به‌عنوان مثال، سرویس Payment مجاز نبود هیچ ابزاری خارج از باینری‌های اصلی خود اجرا کند و outbound غیرمجاز باید فوراً مسدود می‌شد.
حدود دو هفته بعد از استقرار، Drift Detection یک Incident واقعی را کشف کرد: ایجاد یک فایل ناشناس در /tmp، اجرای Bash، و تلاش برای برقراری ارتباط با یک IP مشکوک. Agentها به‌صورت خودکار کانتینر را قرنطینه کردند و نسخه سالم آن Deploy شد. تحلیل‌های بعدی نشان داد مهاجم تلاش داشته از طریق یک Webshell حرکت عرضی کند
در نهایت، این پروژه باعث کاهش محسوس ریسک‌های Runtime، افزایش شفافیت برای SOC و ایجاد یک چارچوب قابل ممیزی بر اساس اصول CISSP شد.
#آکادمی_روزبه
Comments
Be the first to add a comment
Log in to comment