“درب پشتی” و “آسیب‌پذیری” در دستگاه‌های ذخیره‌سازی (Storage Devices)
در خصوص ذخیره سازها مثل SAN، NAS، اکسترنال هارد، و حتی درایوهای SSD و HDD آسیب پذیری از نگاه امنیت سایبری چند بُعد دارد. در ادامه به نکات عملی، تجربیات واقعی و تهدیدات شناخته‌شده می‌پردازم که برای یک SOC یا تیم امنیت می‌تواند ارزشمند باشد:
۱. درب پشتی (Backdoor) در دستگاه‌های ذخیره‌سازی
الف. بک‌دورها در فریم‌ویر (Firmware Backdoors)
واقعیت: سازندگان، یا کمپانی‌های با سیاست ساخت ODM، گاهی عمداً یا سهواً دسترسی مخفی برای مدیریت، پشتیبانی یا مقاصد بدافزار (مانند Neutrality یا Cloud backend) باقی می‌گذارند.
نمونه واقعی:در سال ۲۰۱۴، شرکت Western Digital فریم‌ویری در برخی NAS ها داشت که درب‌پشتی آن، به ادمین اجازه Telnet دسترسی مخفی بدون لاگ را می‌داد.
ب. دستکاری و آسیب‌پذیری در میکروکنترلر SSD/HDD
در BadUSB و ابزارهایی مثل HIDD (Hacker’s HDD backdoor): مهاجم فریم‌ویر SSD/HDD را با یک بیلد آلوده جایگزین کرده و مثلاً کانال ارتباطی C2 پنهان یا حافظه رمزنگاری‌شده جاسازی می‌کند.
یادداشت: کشف این نوع بک‌دورها با ابزارهای متداول بسیار دشوار است و فقط با تحلیل کم‌لایه و ابزارهای Forensics مخصوص قابل انجام است.
۲. آسیب‌پذیری‌های رایج (Vulnerabilities)
الف. Remote Code Execution و Web-based Backdoor
اکثر Storageهای تحت شبکه (مثل QNAP، Synology، WD My Cloud) وب‌سرور یا SMB دارند، اغلب آسیب‌پذیر به RCE یا login bypass بوده‌اند.
نمونه واقعی:در اوایل ۲۰۲۴ چند آسیب‌پذیری بحرانی QNAP و Synology (CVE-2024-21899 و CVE-2024-2879) به هکر اجازه می‌داد بدون اعتبارسنجی، دستورات سیستمی اجرا و حتی فایل‌ها را پاک یا رمزگذاری کند.
ب. آسیب‌پذیری‌هایی مثل SMB Ghost، EternalBlue یا WebDAV
بسیاری از NASها از ماژول‌های قدیمی Samba استفاده می‌کنند و به‌شدت در معرض آسیب‌پذیری‌های اساسی‌اند که حملات wormable را فعال می‌کنند.
ج. ضعف در احراز هویت و مدیریت دسترسی
ذخیره‌سازی پیش‌فرض با پسورد ساده/تکراری (admin/admin یا guest/guest)
فعال بودن FTP/Telnet بدون رمزنگاری
۳. تجربیات شکار و تحلیل در SOC
لاگ‌های Storage اغلب از لاگ مرکزی سرور جداست و به همین دلیل بک‌دور در شبکه کمتر آشکار می‌شود مگر با Network Threat Hunting روی پورت‌ها و پروتکل‌های معمول دستگاه‌های ذخیره‌سازی (مانند SMB، NFS، iSCSI).
سناریوی واقعی: در یک حمله باج‌افزاری به شبکه سازمانی، یک NAS قدیمی به سر پل انتقال اولیه باج‌افزار تبدیل شده بود چون تنها این دستگاه به‌علت firmware قدیمی و تنظیمات پیش‌فرض قربانی RCE شده بود.
تیم Hunting با تحلیل پکت‌های مشکوک روی پورت‌های ۴۴۵ و ۸۰ و مقایسه رفتار ترافیکی با الگوهای عادی، فعالیت بدافزار و حتی ایجاد کانال ارتباطی پنهان (C2) از طریق آن دستگاه را کشف کرد.
۴. اقدامات عملی و راهکارها
به‌روزرسانی مداوم فریم‌ویر و نظارت بر advisories شرکت سازنده
غیرفعال کردن سرویس‌های غیرضروری (FTP، Telnet، UPnP)
اجباری کردن MFA یا حداقل پسورد قوی، خصوصاً برای دسترسی مدیریت
یکپارچه‌سازی لاگ Storageها در SIEM
بررسی دوره‌ای دستگاه‌ها با ابزارهایی مثل Binwalk و firmware scanner برای شناسایی شِل یا بک‌دورهای مخفی
#آکادمی_روزبه
مرکز تخصصی CISSP
در دوره مدیریت بحران سایبری به این مقولات حاصل از تجربیات می‌پردازم
تماس با واتس اپ و بله 09902857290
در خصوص ذخیره سازها مثل SAN، NAS، اکسترنال هارد، و حتی درایوهای SSD و HDD آسیب پذیری از نگاه امنیت سایبری چند بُعد دارد. در ادامه به نکات عملی، تجربیات واقعی و تهدیدات شناخته‌شده می‌پردازم که برای یک SOC یا تیم امنیت می‌تواند ارزشمند باشد:
۱. درب پشتی (Backdoor) در دستگاه‌های ذخیره‌سازی
الف. بک‌دورها در فریم‌ویر (Firmware Backdoors)
واقعیت: سازندگان، یا کمپانی‌های با سیاست ساخت ODM، گاهی عمداً یا سهواً دسترسی مخفی برای مدیریت، پشتیبانی یا مقاصد بدافزار (مانند Neutrality یا Cloud backend) باقی می‌گذارند.
نمونه واقعی:در سال ۲۰۱۴، شرکت Western Digital فریم‌ویری در برخی NAS ها داشت که درب‌پشتی آن، به ادمین اجازه Telnet دسترسی مخفی بدون لاگ را می‌داد.
ب. دستکاری و آسیب‌پذیری در میکروکنترلر SSD/HDD
در BadUSB و ابزارهایی مثل HIDD (Hacker’s HDD backdoor): مهاجم فریم‌ویر SSD/HDD را با یک بیلد آلوده جایگزین کرده و مثلاً کانال ارتباطی C2 پنهان یا حافظه رمزنگاری‌شده جاسازی می‌کند.
یادداشت: کشف این نوع بک‌دورها با ابزارهای متداول بسیار دشوار است و فقط با تحلیل کم‌لایه و ابزارهای Forensics مخصوص قابل انجام است.
۲. آسیب‌پذیری‌های رایج (Vulnerabilities)
الف. Remote Code Execution و Web-based Backdoor
اکثر Storageهای تحت شبکه (مثل QNAP، Synology، WD My Cloud) وب‌سرور یا SMB دارند، اغلب آسیب‌پذیر به RCE یا login bypass بوده‌اند.
نمونه واقعی:در اوایل ۲۰۲۴ چند آسیب‌پذیری بحرانی QNAP و Synology (CVE-2024-21899 و CVE-2024-2879) به هکر اجازه می‌داد بدون اعتبارسنجی، دستورات سیستمی اجرا و حتی فایل‌ها را پاک یا رمزگذاری کند.
ب. آسیب‌پذیری‌هایی مثل SMB Ghost، EternalBlue یا WebDAV
بسیاری از NASها از ماژول‌های قدیمی Samba استفاده می‌کنند و به‌شدت در معرض آسیب‌پذیری‌های اساسی‌اند که حملات wormable را فعال می‌کنند.
ج. ضعف در احراز هویت و مدیریت دسترسی
ذخیره‌سازی پیش‌فرض با پسورد ساده/تکراری (admin/admin یا guest/guest)
فعال بودن FTP/Telnet بدون رمزنگاری
۳. تجربیات شکار و تحلیل در SOC
لاگ‌های Storage اغلب از لاگ مرکزی سرور جداست و به همین دلیل بک‌دور در شبکه کمتر آشکار می‌شود مگر با Network Threat Hunting روی پورت‌ها و پروتکل‌های معمول دستگاه‌های ذخیره‌سازی (مانند SMB، NFS، iSCSI).
سناریوی واقعی: در یک حمله باج‌افزاری به شبکه سازمانی، یک NAS قدیمی به سر پل انتقال اولیه باج‌افزار تبدیل شده بود چون تنها این دستگاه به‌علت firmware قدیمی و تنظیمات پیش‌فرض قربانی RCE شده بود.
تیم Hunting با تحلیل پکت‌های مشکوک روی پورت‌های ۴۴۵ و ۸۰ و مقایسه رفتار ترافیکی با الگوهای عادی، فعالیت بدافزار و حتی ایجاد کانال ارتباطی پنهان (C2) از طریق آن دستگاه را کشف کرد.
۴. اقدامات عملی و راهکارها
به‌روزرسانی مداوم فریم‌ویر و نظارت بر advisories شرکت سازنده
غیرفعال کردن سرویس‌های غیرضروری (FTP، Telnet، UPnP)
اجباری کردن MFA یا حداقل پسورد قوی، خصوصاً برای دسترسی مدیریت
یکپارچه‌سازی لاگ Storageها در SIEM
بررسی دوره‌ای دستگاه‌ها با ابزارهایی مثل Binwalk و firmware scanner برای شناسایی شِل یا بک‌دورهای مخفی
#آکادمی_روزبه
مرکز تخصصی CISSP
در دوره مدیریت بحران سایبری به این مقولات حاصل از تجربیات می‌پردازم
تماس با واتس اپ و بله 09902857290
Comments
Be the first to add a comment
Log in to comment