Jak reagovat na „profesionálního“ hackera

Myslím, že ta malá absence stála za to 🙂 V dnešní době jsem více než kdy jindy nadšený z zahájení nových projektů a předpokládám, že brzy vám dám nové zprávy o mém pokroku v Gentoo 🙂 Ale to není dnešní téma.

Forenzní výpočty

Před nějakou dobou jsem si koupil kurz Forensic Computing, považuji za velmi zajímavé znát požadované postupy, opatření a protiopatření, která byla vytvořena, aby se dnes dokázaly vypořádat s digitálními zločiny. Země, které mají v tomto ohledu dobře definované zákony, se staly měřítky v této oblasti a mnoho z těchto procesů by mělo být aplikováno globálně, aby byla zajištěna správná správa informací.

Nedostatek postupů

Vzhledem ke složitosti dnešních útoků je důležité zvážit, jaké důsledky může mít nedostatek bezpečnostního dohledu nad naším vybavením. To platí jak pro velké společnosti, tak pro malé nebo střední společnosti, a to i na osobní úrovni. Obzvláště malé a střední společnosti, kde Ne tam jsou definované postupy pro manipulaci / skladování / přepravu důležitých informací.

„Hacker“ není hloupý

Dalším obzvláště lákavým motivem „hackera“ jsou malé částky, ale proč? Představme si na chvíli tento scénář: Pokud se mi podaří hacknout bankovní účet, která částka je nápadnější: výběr 10 tisíc (vaše měna) nebo jeden z 10? Je zřejmé, že pokud kontroluji svůj účet a z ničeho nic se objeví výběr / odeslání / platba 10 tisíc (vaše měna), objeví se alarmy, ale pokud to byla jedna z 10, možná zmizí mezi stovkami provedených malých plateb. Podle této logiky lze s trochou trpělivosti replikovat „hack“ asi na 100 účtech, a díky tomu máme stejný účinek jako 10 XNUMX, bez alarmů, které by to mohly znít.

Obchodní problémy

Nyní předpokládejme, že tento účet je účet naší společnosti, mezi platbami pracovníkům, materiálem, nájemným, tyto platby mohou být ztraceny jednoduchým způsobem, může to trvat i dlouho, aniž by si přesně uvědomily, kam a jak peníze směřují . To však není jediný problém, předpokládejme, že na náš server vstoupil „hacker“ a nyní má nejen přístup k účtům, které jsou k němu připojeny, ale také ke každému souboru (veřejnému nebo soukromému), ke každému existujícímu připojení, kontrolu nad čas, kdy aplikace běží, nebo informace, které jimi procházejí. Když přestaneme o tom přemýšlet, je to docela nebezpečný svět.

Jaká preventivní opatření existují?

Toto je docela dlouhé téma a ve skutečnosti je to nejdůležitější vždy předcházet jakákoli možnost, protože je mnohem lepší se problému vyhnout před stane se, že bude muset platit důsledky nedostatečné prevence. A je to tak, že mnoho společností věří, že bezpečnost je předmětem 3 nebo 4 auditů rok. To není jen neskutečnýale je to dokonce nebezpečnější nic nedělat, protože existuje falešný pocit „bezpečí“.

Už mě „hackli“, co teď?

Pokud jste právě utrpěli úspěšný útok na straně hackera, nezávislého nebo smluvního, je nutné znát minimální protokol akcí. Jsou zcela minimální, ale pokud budete postupovat správně, umožní vám reagovat exponenciálně efektivnějším způsobem.

Druhy důkazů

Prvním krokem je znát postižené počítače a zacházet s nimi jako s tímto digitální důkazy jde od serverů k tiskárnám uspořádaným v síti. Skutečný 'hacker' se může otáčet ve vašich sítích pomocí zranitelných tiskáren, ano, čtete správně. Je to proto, že takový firmware je velmi zřídka aktualizován, takže můžete mít zranitelné zařízení, aniž byste si ho roky všimli.

Proto je nutné čelit útoku na to vzít v úvahu více artefaktů kompromitovaných mohou být důležitý důkaz.

První respondent

Nemohu najít správný překlad výrazu, ale první respondent je v podstatě prvním člověkem, který přišel do kontaktu s týmy. Mnohokrát tato osoba nebude to někdo specializovaný a může to být správce systémů, inženýr manažer, dokonce a gerente který je v tuto chvíli na místě a nemá někoho jiného, ​​kdo by reagoval na mimořádnou událost. Z tohoto důvodu je nutné si to uvědomit žádný z nich není pro vás vhodný, ale musíte vědět, jak postupovat.

Existují 2 stavy, ve kterých může být tým po úspěšný útok, a nyní zbývá jen zdůraznit, že a úspěšný útok, obvykle nastává po mnoho neúspěšné útoky. Takže pokud již ukradli vaše informace, je to proto, že žádné neexistují obranný a reakční protokol. Pamatujete si na prevenci? Nyní je místo, kde tato část dává největší smysl a váhu. Ale hej, nebudu to moc drhnout. Pojďme dál.

Tým může být po útoku ve dvou státech, připojeno k internetu o Bez připojení. To je velmi jednoduché, ale zásadní, pokud je počítač připojen k internetu, je PŘEVLÁDAJÍCÍ odpojit IHNED. Jak jej odpojím? Je nutné najít první router pro přístup k internetu a odpojit síťový kabel, nevypínej to.

Pokud tým byl BEZ PŘIPOJENÍ, čelíme útočníkovi, který udělal kompromis fyzicky zařízení, v tomto případě celá místní síť je ohrožena a je to nutné těsnění východy z internetu bez úpravy jakéhokoli zařízení.

Zkontrolujte zařízení

To je jednoduché, NIKDY, NIKDY, ZA ŽÁDNÝCH OKOLNOSTÍ, První respondent musí zkontrolovat dotčené zařízení. Jediným případem, kdy to lze vynechat (téměř nikdy se to nestane), je to, že první respondent je osoba se specializovaným tréninkem reagovat v té době. Ale pro představu o tom, co se v těchto případech může stát.

V prostředí Linux

Předpokládejme naše útočník Udělal malou a nevýznamnou změnu oprávnění, která získal při svém útoku. Změněný příkaz ls se nachází v /bin/ls následujícím skriptem:

#!/bin/bash
rm -rf /

Nyní, pokud neúmyslně provedeme jednoduchý ls na postiženém počítači začne autodestrukce všech druhů důkazů, vyčistí všechny možné stopy zařízení a zničí všechny možnosti nalezení odpovědné strany.

V prostředí Windows

Protože logika postupuje podle stejných kroků, změna názvů souborů v systému32 nebo ve stejných počítačových záznamech může způsobit nepoužitelnost systému, což způsobí poškození nebo ztrátu informací, takže pro kreativitu útočníka zbývá jen nejnebezpečnější možné poškození.

Nehrajte na hrdinu

Toto jednoduché pravidlo může zabránit mnoha problémům a dokonce otevřít možnost seriózního a skutečného vyšetřování věci. Neexistuje způsob, jak začít vyšetřovat síť nebo systém, pokud byly vymazány všechny možné stopy, ale tyto stopy samozřejmě musí zůstat pozadu. předem promyšlený, to znamená, že musíme mít protokoly o zabezpečení y záloha. Ale pokud je dosaženo bodu, kde musíme čelit útoku skutečný, je to nutné NEHRAJTE HERO, protože jediný chybný krok může způsobit úplné zničení všech druhů důkazů. Omluvte mě, že to tolik opakuji, ale jak bych mohl, kdyby tento faktor sám o sobě mohl v mnoha případech změnit?

Závěrečné myšlenky

Doufám, že vám tento malý text pomůže lépe si představit, o co jde obránce jejich věci 🙂 Kurz je velmi zajímavý a hodně se o tomto a mnoha dalších tématech dozvídám, ale už toho hodně píšu, takže to necháme na dnes 😛 Brzy vám přinesu nové zprávy o mých nejnovějších aktivitách. Pozdravy,