#تبلیغات
#موقت
مرز باریک ابزار و تهدید
ابزارهای ادمینی (Remote Administration Tools, Scripting Engines, File Transfer Utilities و…) به دلیل نیازهای عملیاتی، روی بسیاری از سرورها و شبکه‌ها نصب‌اند. اما تاریخچه حملات موفق، بارها نشان داده مهاجمان همواره تلاش می‌کنند از همین ابزارهای مشروع به نفع خود بهره برداری کنند—دقیقاً مطابق روش “Living off the Land”.
واقعیت‌ها و نمونه‌های تاریخی
۱. استفاده مهاجمان از Remote Desktop و PsExec
در حملات باج‌افزاری بزرگی مانند WannaCry و NotPetya، بلافاصله پس از نفوذ اولیه، مهاجمین از ابزارهای ادمینی مثل PsExec (یک ابزار مایکروسافتی جهت اجرای دستورات از راه دور) برای حرکت جانبی (Lateral Movement) به سایر سرورها استفاده کردند.
حتی ابزارهایی چون PowerShell، WMIC و RDP بارها به وسیله مهاجمین برای اجرای اسکریپت‌های تخریبی و استخراج داده‌ها مورد سوءاستفاده قرار گرفته‌اند.
۲. هدایت حملات از طریق SCCM و Group Policy
در حمله مشهور SolarWinds (2020)، مهاجمان پس از نفوذ به محیط مدیریت مرکزی، کد مخرب را روی کل زیرساخت با استفاده از سیستم‌های مدیریت سازمانی (مثل MS SCCM، Group Policy Objects) پخش کردند—همان ابزارهایی که برای اعمال وصله‌ها و پیکربندی امن شبکه در نظر گرفته شده‌اند.
۳. سوءاستفاده از اسکریپت‌ها و کامند-لاین‌ها
در حمله به زیرساخت شرکت Target (۲۰۱۳)، مهاجمان با دسترسی یافتن به اکانت ادمینِ یک پیمانکار، ابزارها و اسکریپت‌های رایج مدیریت را برای استخراج مختصات کارت‌های بانکی مورد بهره‌برداری قرار دادند؛ کاری که در ظاهر یک عملیات ادمینی عادی به نظر می‌رسید.
چرا این اتفاق می‌افتد؟
ابزار ادمینی اغلب توسط سیاست‌های امنیتی مسدود نمی‌شوند؛ چرا که کسب‌و‌کار متکی به آن‌هاست.
لاگ این ابزار ها نویزی هستند.
به‌سختی می‌توان عملیات مخرب را از امور روزمره تمیز داد.
تهدید مدرن “Insider Threat”: وقتی اکانت ادمین توسط پرسنل ناراضی، مهاجم داخلی یا Credential Theft در دسترس قرار می‌گیرد، ابزار مشروع بدل به سلاح تهاجمی می‌شود.
درس‌های عملیاتی برای SOC و مدیران امنیت
مانیتور هویت، نه ابزار: اصل «کی از چی استفاده می‌کند» بالاتر از «چه ابزارهایی نصب است» اهمیت دارد.
انجام Least Privilege & Just-in-Time Access: کمترین سطح دسترسی و دسترسی لحظه‌ای، آسیب‌پذیری را به شدت کاهش می‌دهد.
لاگ‌برداری دقیق و هوشمند: حتما Monitor کنید چه کسانی، چه زمانی و چرا از ابزار ادمینی استفاده می‌کنند.
تهدیدی به نام سایه‌ادمین‌ها (Shadow Admins): ادمین مخفی و غیررسمی یا اکانت‌های با امتیاز مشکوک را مستند و محدود کنید.
رفتارشناسی (UEBA): هرگونه استفاده غیرعادی از ابزار مدیریت (خارج از تایم‌زون معمول، از IP ناشناس و…) باید بلافاصله بررسی شود
✅برای پایش این ابزار ها از دپارتمان SOC و برای تدوین راهکار؛ از خدمات vCISO شرکت هامون استفاده کنید
Www.haumoun.com
#تبلیغات
#موقت
#موقت
مرز باریک ابزار و تهدید
ابزارهای ادمینی (Remote Administration Tools, Scripting Engines, File Transfer Utilities و…) به دلیل نیازهای عملیاتی، روی بسیاری از سرورها و شبکه‌ها نصب‌اند. اما تاریخچه حملات موفق، بارها نشان داده مهاجمان همواره تلاش می‌کنند از همین ابزارهای مشروع به نفع خود بهره برداری کنند—دقیقاً مطابق روش “Living off the Land”.
واقعیت‌ها و نمونه‌های تاریخی
۱. استفاده مهاجمان از Remote Desktop و PsExec
در حملات باج‌افزاری بزرگی مانند WannaCry و NotPetya، بلافاصله پس از نفوذ اولیه، مهاجمین از ابزارهای ادمینی مثل PsExec (یک ابزار مایکروسافتی جهت اجرای دستورات از راه دور) برای حرکت جانبی (Lateral Movement) به سایر سرورها استفاده کردند.
حتی ابزارهایی چون PowerShell، WMIC و RDP بارها به وسیله مهاجمین برای اجرای اسکریپت‌های تخریبی و استخراج داده‌ها مورد سوءاستفاده قرار گرفته‌اند.
۲. هدایت حملات از طریق SCCM و Group Policy
در حمله مشهور SolarWinds (2020)، مهاجمان پس از نفوذ به محیط مدیریت مرکزی، کد مخرب را روی کل زیرساخت با استفاده از سیستم‌های مدیریت سازمانی (مثل MS SCCM، Group Policy Objects) پخش کردند—همان ابزارهایی که برای اعمال وصله‌ها و پیکربندی امن شبکه در نظر گرفته شده‌اند.
۳. سوءاستفاده از اسکریپت‌ها و کامند-لاین‌ها
در حمله به زیرساخت شرکت Target (۲۰۱۳)، مهاجمان با دسترسی یافتن به اکانت ادمینِ یک پیمانکار، ابزارها و اسکریپت‌های رایج مدیریت را برای استخراج مختصات کارت‌های بانکی مورد بهره‌برداری قرار دادند؛ کاری که در ظاهر یک عملیات ادمینی عادی به نظر می‌رسید.
چرا این اتفاق می‌افتد؟
ابزار ادمینی اغلب توسط سیاست‌های امنیتی مسدود نمی‌شوند؛ چرا که کسب‌و‌کار متکی به آن‌هاست.
لاگ این ابزار ها نویزی هستند.
به‌سختی می‌توان عملیات مخرب را از امور روزمره تمیز داد.
تهدید مدرن “Insider Threat”: وقتی اکانت ادمین توسط پرسنل ناراضی، مهاجم داخلی یا Credential Theft در دسترس قرار می‌گیرد، ابزار مشروع بدل به سلاح تهاجمی می‌شود.
درس‌های عملیاتی برای SOC و مدیران امنیت
مانیتور هویت، نه ابزار: اصل «کی از چی استفاده می‌کند» بالاتر از «چه ابزارهایی نصب است» اهمیت دارد.
انجام Least Privilege & Just-in-Time Access: کمترین سطح دسترسی و دسترسی لحظه‌ای، آسیب‌پذیری را به شدت کاهش می‌دهد.
لاگ‌برداری دقیق و هوشمند: حتما Monitor کنید چه کسانی، چه زمانی و چرا از ابزار ادمینی استفاده می‌کنند.
تهدیدی به نام سایه‌ادمین‌ها (Shadow Admins): ادمین مخفی و غیررسمی یا اکانت‌های با امتیاز مشکوک را مستند و محدود کنید.
رفتارشناسی (UEBA): هرگونه استفاده غیرعادی از ابزار مدیریت (خارج از تایم‌زون معمول، از IP ناشناس و…) باید بلافاصله بررسی شود
✅برای پایش این ابزار ها از دپارتمان SOC و برای تدوین راهکار؛ از خدمات vCISO شرکت هامون استفاده کنید
Www.haumoun.com
#تبلیغات
#موقت
Comments
Be the first to add a comment
Log in to comment