#تجربه
آخر هفته پیش در حال مرور فید لینکدین بودم که چندین پست درباره سختی تشخیص نفوذها، به‌خصوص حملات باج‌افزاری، دیدم. در بیشتر این پست‌ها گفته می‌شد چون مهاجمان از ابزارهای «معتبر» سیستم‌عامل یا همان LOLBins استفاده می‌کنند، شناسایی آن‌ها بسیار دشوار است. معمولاً مثال‌هایی مثل powershell.exe یا bitsadmin.exe هم مطرح می‌شود. اما تجربه‌ای که در یکی از بررسی‌های Incident داشتم باعث شد نگاه متفاوتی به این موضوع پیدا کنم.
در آن بررسی متوجه شدیم از powershell برای دانلود و اجرای یک فایل مشکوک استفاده شده است. در نگاه اول ممکن است تصور شود چون این ابزار بخشی از خود ویندوز است، تشخیص سوءاستفاده از آن کار سختی است. اما من معمولاً تحلیل را با یک سؤال ساده شروع می‌کنم: آیا اصلاً در زیرساخت‌مان از این ابزار استفاده می‌کنیم؟
اگر پاسخ «خیر» باشد، کار خیلی ساده می‌شود. اجرای ابزاری که در فرآیندهای عادی سازمان استفاده نمی‌شود، به‌تنهایی می‌تواند یک نشانه مهم برای بررسی باشد. اما اگر پاسخ «بله» باشد، باز هم موضوع غیرقابل تشخیص نیست؛ فقط باید دقیق‌تر نگاه کنیم. باید بدانیم چه کسانی از این ابزار استفاده می‌کنند، در چه سناریوهایی، روی کدام سیستم‌ها و با چه الگوی رفتاری.
برای مثال، اگر bitsadmin فقط روی چند سرور مشخص برای انتقال فایل‌های داخلی استفاده می‌شود، اجرای همان ابزار روی سیستم یک کاربر عادی باید فوراً توجه تیم امنیت را جلب کند. در واقع مسئله این نیست که ابزار «معتبر» است یا نه؛ مسئله این است که آیا استفاده از آن با الگوی معمول سازمان همخوانی دارد یا خیر.
در تجربه من، مهم‌ترین عامل در تشخیص بسیاری از تهدیدها شناخت دقیق رفتار نرمال زیرساخت است. وقتی بدانیم چه چیزی در محیط ما طبیعی است، هر رفتار غیرعادی- حتی اگر با ابزارهای کاملاً قانونی انجام شود-خیلی سریع قابل شناسایی خواهد بود.
**نام ابزارها عوض شده است.
آخر هفته پیش در حال مرور فید لینکدین بودم که چندین پست درباره سختی تشخیص نفوذها، به‌خصوص حملات باج‌افزاری، دیدم. در بیشتر این پست‌ها گفته می‌شد چون مهاجمان از ابزارهای «معتبر» سیستم‌عامل یا همان LOLBins استفاده می‌کنند، شناسایی آن‌ها بسیار دشوار است. معمولاً مثال‌هایی مثل powershell.exe یا bitsadmin.exe هم مطرح می‌شود. اما تجربه‌ای که در یکی از بررسی‌های Incident داشتم باعث شد نگاه متفاوتی به این موضوع پیدا کنم.
در آن بررسی متوجه شدیم از powershell برای دانلود و اجرای یک فایل مشکوک استفاده شده است. در نگاه اول ممکن است تصور شود چون این ابزار بخشی از خود ویندوز است، تشخیص سوءاستفاده از آن کار سختی است. اما من معمولاً تحلیل را با یک سؤال ساده شروع می‌کنم: آیا اصلاً در زیرساخت‌مان از این ابزار استفاده می‌کنیم؟
اگر پاسخ «خیر» باشد، کار خیلی ساده می‌شود. اجرای ابزاری که در فرآیندهای عادی سازمان استفاده نمی‌شود، به‌تنهایی می‌تواند یک نشانه مهم برای بررسی باشد. اما اگر پاسخ «بله» باشد، باز هم موضوع غیرقابل تشخیص نیست؛ فقط باید دقیق‌تر نگاه کنیم. باید بدانیم چه کسانی از این ابزار استفاده می‌کنند، در چه سناریوهایی، روی کدام سیستم‌ها و با چه الگوی رفتاری.
برای مثال، اگر bitsadmin فقط روی چند سرور مشخص برای انتقال فایل‌های داخلی استفاده می‌شود، اجرای همان ابزار روی سیستم یک کاربر عادی باید فوراً توجه تیم امنیت را جلب کند. در واقع مسئله این نیست که ابزار «معتبر» است یا نه؛ مسئله این است که آیا استفاده از آن با الگوی معمول سازمان همخوانی دارد یا خیر.
در تجربه من، مهم‌ترین عامل در تشخیص بسیاری از تهدیدها شناخت دقیق رفتار نرمال زیرساخت است. وقتی بدانیم چه چیزی در محیط ما طبیعی است، هر رفتار غیرعادی- حتی اگر با ابزارهای کاملاً قانونی انجام شود-خیلی سریع قابل شناسایی خواهد بود.
**نام ابزارها عوض شده است.
Comments
Be the first to add a comment
Log in to comment