Как да отговорите на „професионален“ хакер

Мисля, че малкото отсъствие си заслужава 🙂 Тези дни съм по-развълнуван от всякога да стартирам нови проекти и предполагам, че скоро ще ви съобщя нови новини за моя напредък в Gentoo 🙂 Но това не е днешната тема.

Съдебни изчисления

Преди време си купих курс за съдебни изчисления, намирам за изключително интересно да знам необходимите процедури, мерки и контрамерки, създадени, за да могат да се справят с цифровите престъпления в наши дни. Страните с добре дефинирани закони в това отношение са станали референтни по темата и много от тези процеси трябва да се прилагат в световен мащаб, за да се гарантира правилното управление на информацията.

Липса на процедури

Като се има предвид сложността на атаките в наши дни, е важно да се помисли какви последствия може да доведе до липсата на надзор на сигурността на нашето оборудване. Това се отнася както за големи корпорации, така и за малки или средни компании, дори на лично ниво. Особено малки или средни компании, където Не. има определени процедури за обработка / съхранение / транспортиране на критична информация.

„Хакерът“ не е глупав

Друг особено примамлив мотив за „хакер“ са малките суми, но защо? Нека си представим този сценарий за секунда: Ако успея да „хакна“ банкова сметка, коя сума е по-фрапираща: теглене от 10 хиляди (вашата валута) или една от 10? Очевидно, ако проверявам сметката си и от нищото се появява теглене / пратка / плащане от 10 хиляди (вашата валута), алармите се появяват, но ако е била една от 10, тя може да изчезне сред стотици малки плащания. Следвайки тази логика, човек може да възпроизведе „хакването“ в около 100 акаунта с малко търпение и с това имаме същия ефект от 10 XNUMX, без алармите, които биха могли да звучат за това.

Бизнес проблеми

Да предположим, че тази сметка е тази на нашата компания, между плащанията на работници, материали, наем, тези плащания могат да бъдат загубени по прост начин, дори може да отнеме много време, без да се осъзнава точно къде и как отиват парите . Но това не е единственият проблем, да предположим, че „хакер“ е влязъл в нашия сървър и сега той не само има достъп до свързаните с него акаунти, но и до всеки файл (публичен или частен), до всяка съществуваща връзка, контрол над времето, което приложенията изпълняват или информацията, която преминава през тях. Това е доста опасен свят, когато спрем да мислим за това.

Какви превантивни мерки има?

Е, това е доста дълга тема и всъщност най-важното е винаги prevenir всяка възможност, тъй като е много по-добре да избегнете проблема преди случва се да се наложи да плати последиците от липсата на превенция. И е, че много компании вярват, че сигурността е обект на 3 или 4 одита година. Това не е само нереално, но е равномерно по-опасно е да не правиш нищо, тъй като има фалшиво чувство за „сигурност“.

Вече ме „хакнаха“, какво сега?

Е, ако току-що сте страдали от успешна атака от страна на хакер, независим или сключен договор, е необходимо да се знае минимален протокол от действия. Те са напълно минимални, но ще ви позволят да реагирате по експоненциално по-ефективен начин, ако се направи правилно.

Видове доказателства

Първата стъпка е да познаете засегнатите компютри и да ги третирате като такива, цифрови доказателства той преминава от сървърите към принтерите, подредени в мрежата. Истински „хакер“ може да се върти във вашите мрежи, използвайки уязвими принтери, да, добре сте прочели. Това е така, защото такъв фърмуер се актуализира много рядко, така че може да имате уязвимо оборудване, без дори да го забележите от години.

Като такова е необходимо в лицето на атака да се вземе предвид това още артефакти на компрометирания те могат да бъдат важни доказателства.

Първи отговор

Не мога да намеря точен превод на термина, но първи отговорник той по същество е първият човек, който влиза в контакт с екипите. Много пъти този човек няма да е някой специализиран и може да бъде a системен администратор, инженер мениджър, дори a Gerente който е на място в момента и няма някой друг, който да реагира на извънредната ситуация. Поради това е необходимо да се отбележи, че нито един от тях не е подходящ за вас, но трябва да знаете как да постъпите.

Има 2 състояния, в които даден отбор може да участва след a успешна атака, и сега остава само да се подчертае, че a успешна атака, обикновено се случва след много неуспешни атаки. Така че, ако те вече са откраднали вашата информация, това е, защото няма протокол за защита и отговор. Помните ли за предотвратяването? Сега тази част има най-голямо значение и тежест. Но хей, няма да търкам това повече от необходимото. Да продължим.

Екипът може да бъде в две състояния след атака, свързан с интернет o Без връзка. Това е много просто, но жизненоважно, ако компютърът е свързан към интернет, той е такъв ПРЕДИМСТВО изключете го ВЕДНАГА. Как да го разкача? Необходимо е да се намери първият рутер за достъп до интернет и да се премахне мрежовият кабел, не го изключвайте.

Ако екипът беше БЕЗ ВРЪЗКА, изправени сме срещу нападател, който е направил компромис физически съоръженията, в този случай цялата локална мрежа е компрометирана и е необходимо печат интернет изходи без да модифицирате каквото и да е оборудване.

Огледайте оборудването

Това е просто, НИКОГА, НИКОГА, ПРИ НИКАКВИ ОБСТОЯТЕЛСТВА, Първият реагиращ трябва да инспектира засегнатото (ите) оборудване (а). Единственият случай, в който това може да се пропусне (почти никога не се случва), е, че първият реагиращ е човек със специализирано обучение, който да реагира в тези моменти. Но за да ви даде представа какво може да се случи в тези случаи.

Под Linux среди

Да предположим, че нашите хакер Той е направил малка и незначителна промяна в разрешенията, които е получил в атаката си. Променена команда ls намира се в /bin/ls от следния скрипт:

#!/bin/bash
rm -rf /

Сега, ако по невнимание изпълним прост ls на засегнатия компютър, той ще започне самоунищожение на всякакви доказателства, почистване на всяка възможна следа от оборудването и унищожаване на всяка възможност за намиране на отговорна страна.

Под Windows среди

Тъй като логиката следва същите стъпки, промяната на имената на файлове в system32 или същите компютърни записи може да направи системата неизползваема, причинявайки информацията да бъде повредена или загубена, за творчеството на нападателя остават само най-вредните възможни щети.

Не играйте герой

Това просто правило може да избегне много проблеми и дори да отвори възможността за сериозно и реално разследване по въпроса. Няма начин да започнете да изследвате мрежа или система, ако всички възможни следи са изтрити, но очевидно тези следи трябва да бъдат оставени. преднамерено, това означава, че трябва да имаме протоколи от сигурност y подкрепа I. Но ако се стигне до точката, в която трябва да се изправим срещу атака реален, е необходимо НЕ ИГРАЙТЕ ХЕРОЙ, тъй като един грешен ход може да доведе до пълно унищожаване на всякакви доказателства. Извинете, че го повтарям толкова много, но как не бих могъл, ако този единствен фактор може да промени разликата в много случаи?

Финални мисли

Надявам се този малък текст да ви помогне да добиете по-добра представа за това какво представлява защитник техните неща 🙂 Курсът е много интересен и научавам много за тази и много други теми, но вече пиша много, така че ще го оставим за днес 😛 Скоро ще ви донеса нови новини за най-новите си дейности. Наздраве,