وقتی سیستم قربانی به دروازه ورود مهاجم تبدیل می‌شود
در بسیاری از حملات، نفوذ به یک سیستم پایان عملیات نیست؛ بلکه آغاز مرحله حرکت جانبی (Lateral Movement) است. مهاجم پس از تسلط بر یک میزبان، ممکن است روی آن یک SOCKS Proxy راه‌اندازی کند. این سیستم آلوده حالا به واسطه‌ای میان مهاجم و شبکه داخلی تبدیل می‌شود و امکان دسترسی به سرورها و سرویس‌هایی را فراهم می‌کند که مستقیماً از اینترنت قابل مشاهده نیستند.
مهاجم با عبور دادن ابزارهای خود از این پراکسی می‌تواند سرویس‌های داخلی را شناسایی کند، پورت‌ها را اسکن کند، به سامانه‌های مدیریتی متصل شود و حملاتی مانند سرقت اعتبارنامه، سوءاستفاده از آسیب‌پذیری‌ها و دسترسی به فایل‌سرورها را انجام دهد. در این وضعیت، لاگ مقصد معمولاً IP سیستم آلوده را ثبت می‌کند، نه IP واقعی مهاجم؛ بنابراین فعالیت او ممکن است شبیه ارتباط عادی میان دو میزبان داخلی دیده شود.
برای کشف این رفتار، تیم SOC باید به نشانه‌هایی مانند ایجاد پورت شنونده غیرعادی، اجرای ابزارهای tunneling، ارتباطات خروجی طولانی‌مدت، اتصال ناگهانی یک Workstation به چندین سرور داخلی و افزایش اسکن یا خطاهای احراز هویت توجه کند. هم‌بستگی تله‌متری‌های Process، Network، Firewall، EDR و Identity در اینجا حیاتی است.
نکته اصلی این است: وقتی یک سیستم داخلی به SOCKS Proxy تبدیل می‌شود، مهاجم دیگر پشت دیوار شبکه نیست؛ او از داخل شبکه و با هویت یک میزبان قابل‌اعتماد حرکت می‌کند.
#آکادمی_روزبه
مرکز تخصصی آموزش تیم آبی
در بسیاری از حملات، نفوذ به یک سیستم پایان عملیات نیست؛ بلکه آغاز مرحله حرکت جانبی (Lateral Movement) است. مهاجم پس از تسلط بر یک میزبان، ممکن است روی آن یک SOCKS Proxy راه‌اندازی کند. این سیستم آلوده حالا به واسطه‌ای میان مهاجم و شبکه داخلی تبدیل می‌شود و امکان دسترسی به سرورها و سرویس‌هایی را فراهم می‌کند که مستقیماً از اینترنت قابل مشاهده نیستند.
مهاجم با عبور دادن ابزارهای خود از این پراکسی می‌تواند سرویس‌های داخلی را شناسایی کند، پورت‌ها را اسکن کند، به سامانه‌های مدیریتی متصل شود و حملاتی مانند سرقت اعتبارنامه، سوءاستفاده از آسیب‌پذیری‌ها و دسترسی به فایل‌سرورها را انجام دهد. در این وضعیت، لاگ مقصد معمولاً IP سیستم آلوده را ثبت می‌کند، نه IP واقعی مهاجم؛ بنابراین فعالیت او ممکن است شبیه ارتباط عادی میان دو میزبان داخلی دیده شود.
برای کشف این رفتار، تیم SOC باید به نشانه‌هایی مانند ایجاد پورت شنونده غیرعادی، اجرای ابزارهای tunneling، ارتباطات خروجی طولانی‌مدت، اتصال ناگهانی یک Workstation به چندین سرور داخلی و افزایش اسکن یا خطاهای احراز هویت توجه کند. هم‌بستگی تله‌متری‌های Process، Network، Firewall، EDR و Identity در اینجا حیاتی است.
نکته اصلی این است: وقتی یک سیستم داخلی به SOCKS Proxy تبدیل می‌شود، مهاجم دیگر پشت دیوار شبکه نیست؛ او از داخل شبکه و با هویت یک میزبان قابل‌اعتماد حرکت می‌کند.
#آکادمی_روزبه
مرکز تخصصی آموزش تیم آبی
Comments
Be the first to add a comment
Log in to comment