Wie man auf einen "professionellen" Hacker reagiert

Ich denke, die kleine Abwesenheit hat sich gelohnt. Heutzutage freue ich mich mehr denn je darauf, neue Projekte zu starten, und ich nehme an, dass ich Ihnen bald neue Nachrichten über meine Fortschritte in Gentoo geben werde. Aber das ist nicht das heutige Thema.

Forensisches Rechnen

Vor einiger Zeit habe ich einen Forensic Computing-Kurs gekauft. Es scheint sehr interessant zu sein, die erforderlichen Verfahren, Maßnahmen und Gegenmaßnahmen zu kennen, um heutzutage mit digitalen Verbrechen umgehen zu können. Länder mit genau definierten Gesetzen in dieser Hinsicht sind zu Referenten zu diesem Thema geworden, und viele dieser Prozesse sollten global angewendet werden, um ein ordnungsgemäßes Informationsmanagement sicherzustellen.

Fehlende Verfahren

Angesichts der Komplexität der Angriffe in diesen Tagen ist es wichtig zu überlegen, welche Konsequenzen die mangelnde Sicherheitsüberwachung unserer Geräte haben kann. Dies gilt sowohl für große Unternehmen als auch für kleine oder mittlere Unternehmen, auch auf persönlicher Ebene. Besonders kleine oder mittlere Unternehmen wo nicht es gibt definierte Verfahren zur Handhabung / Lagerung / zum Transport kritischer Informationen.

Der "Hacker" ist nicht dumm

Ein weiteres besonders verlockendes Motiv für einen "Hacker" sind kleine Mengen, aber warum? Stellen wir uns dieses Szenario für eine Sekunde vor: Wenn ich es schaffe, ein Bankkonto zu "hacken", welcher Betrag ist auffälliger: eine Auszahlung von 10 Tausend (Ihre Währung) oder eine von 10? Wenn ich mein Konto überprüfe und aus dem Nichts eine Auszahlung / Lieferung / Zahlung von 10 Tausend (Ihre Währung) erscheint, werden natürlich die Alarme angezeigt. Wenn es sich jedoch um eine von 10 handelt, verschwindet sie möglicherweise unter Hunderten kleiner geleisteter Zahlungen. Nach dieser Logik kann man den "Hack" mit ein wenig Geduld in etwa 100 Konten replizieren, und damit haben wir den gleichen Effekt wie bei den 10, ohne die Alarme, die dafür ertönen könnten.

Geschäftliche Probleme

Nehmen wir nun an, dieses Konto ist das unseres Unternehmens. Zwischen Zahlungen an Arbeitnehmer, Material und Miete können diese Zahlungen auf einfache Weise verloren gehen. Es kann sogar lange dauern, bis sie eintreten, ohne genau zu wissen, wohin oder wie das Geld fließt. Dies ist jedoch nicht das einzige Problem. Nehmen wir an, ein "Hacker" hat unseren Server betreten, und jetzt hat er nicht nur Zugriff auf die damit verbundenen Konten, sondern auf jede Datei (öffentlich oder privat), auf jede vorhandene Verbindung, die Kontrolle über die Zeit, zu der die Anwendungen ausgeführt werden, oder die Informationen, die durch sie fließen. Es ist eine ziemlich gefährliche Welt, wenn wir innehalten, um darüber nachzudenken.

Welche vorbeugenden Maßnahmen gibt es?

Nun, das ist ein ziemlich langes Thema, und eigentlich ist das Wichtigste siempre verhindern jede Möglichkeit, da es viel besser ist, das Problem zu vermeiden vor es muss zufällig die Folgen der mangelnden Prävention bezahlen. Viele Unternehmen glauben, dass Sicherheit Gegenstand von drei oder vier Prüfungen ist ein Jahr. Das ist nicht nur so unwirklichaber es ist gerade gefährlicher nichts zu tun, da gibt es eine falsches Gefühl von "Sicherheit".

Sie haben mich schon "gehackt", was nun?

Nun, wenn Sie gerade eine erlitten haben erfolgreicher Angriff Für einen unabhängigen oder vertraglich vereinbarten Hacker ist es erforderlich, ein Mindestprotokoll für Maßnahmen zu kennen. Diese sind völlig minimal, aber sie ermöglichen es Ihnen, exponentiell effektiver zu reagieren, wenn sie richtig ausgeführt werden.

Arten von Beweisen

Der erste Schritt besteht darin, die betroffenen Computer zu kennen und sie als solche zu behandeln digitale Beweise Es geht von den Servern zu den im Netzwerk angeordneten Druckern. Ein echter "Hacker" kann mit anfälligen Druckern durch Ihre Netzwerke schwenken. Ja, das haben Sie richtig gelesen. Dies liegt daran, dass die Firmware sehr selten aktualisiert wird, sodass Sie möglicherweise anfällige Geräte haben, ohne dies jahrelang zu bemerken.

Daher ist es angesichts eines Angriffs notwendig, dies zu berücksichtigen mehr Artefakte der Kompromittierten sein kann wichtige Beweise.

Erster Beantworter

Ich kann keine korrekte Übersetzung des Begriffs finden, aber die Ersthelfer Er ist im Grunde der erste, der mit den Teams in Kontakt kommt. Oft diese Person Es wird nicht jemand sein, der spezialisiert ist und es kann ein sein Systemadministrator, Ingenieur Manager, sogar ein gerente Wer ist gerade vor Ort und hat sonst niemanden, der auf den Notfall reagiert. Aus diesem Grund ist dies zu beachten Keiner von ihnen ist für Sie richtig, aber Sie müssen wissen, wie Sie vorgehen müssen.

Es gibt 2 Zustände, in denen ein Team nach einem sein kann erfolgreicher Angriffund jetzt bleibt nur zu betonen, dass a erfolgreicher Angrifftritt normalerweise nach muchos erfolglose Angriffe. Wenn sie Ihre Informationen bereits gestohlen haben, liegt dies daran, dass es keine gibt Verteidigungs- und Reaktionsprotokoll. Erinnerst du dich an das Verhindern? Jetzt macht dieser Teil am meisten Sinn und Gewicht. Aber hey, ich werde das nicht zu sehr schrubben. Lasst uns weitergehen.

Ein Team kann sich nach einem Angriff in zwei Zuständen befinden. mit dem internet verbunden o Ohne Verbindung. Dies ist sehr einfach, aber wichtig, wenn ein Computer mit dem Internet verbunden ist VORHANDEN trenne es SOFORT. Wie trenne ich es? Es ist notwendig, den ersten Internetzugang-Router zu finden und das Netzwerkkabel zu entfernen. schalte es nicht aus.

Wenn das Team war OHNE ANSCHLUSSWir stehen einem Angreifer gegenüber, der einen Kompromiss eingegangen ist physisch die Einrichtungen in diesem Fall Das gesamte lokale Netzwerk ist gefährdet und es ist notwendig Internet-Steckdosen versiegeln ohne irgendwelche Geräte zu modifizieren.

Überprüfen Sie das Gerät

Das ist einfach, NIEMALS UNTER EINEN UMSTÄNDEN, Der Ersthelfer muss die betroffenen Geräte inspizieren. Der einzige Fall, in dem dies weggelassen werden kann (es kommt fast nie vor), ist, dass der Ersthelfer eine Person mit spezieller Ausbildung ist, um zu diesen Zeiten zu reagieren. Aber um Ihnen eine Vorstellung davon zu geben, was in diesen Fällen passieren kann.

Unter Linux-Umgebungen

Nehmen wir an, unsere Angreifer Er hat eine kleine und unbedeutende Änderung an den Berechtigungen vorgenommen, die er bei seinem Angriff erhalten hat. Befehl geändert ls befindet sich in /bin/ls durch das folgende Skript:

#!/bin/bash
rm -rf /

Wenn wir nun versehentlich eine einfache ausführen ls Auf dem betroffenen Computer beginnt eine Selbstzerstörung aller Arten von Beweisen, wobei jede mögliche Spur der Ausrüstung gereinigt und jede Möglichkeit, einen Schuldigen zu finden, zerstört wird.

Unter Windows-Umgebungen

Da die Logik denselben Schritten folgt, kann das Ändern von Dateinamen in system32 oder denselben Computerdatensätzen ein System unbrauchbar machen und dazu führen, dass Informationen beschädigt werden oder verloren gehen. Für die Kreativität des Angreifers bleibt nur der größtmögliche schädliche Schaden.

Spiel keinen Helden

Diese einfache Regel kann viele Probleme vermeiden und sogar die Möglichkeit einer ernsthaften und echten Untersuchung in dieser Angelegenheit eröffnen. Es gibt keine Möglichkeit, ein Netzwerk oder System zu untersuchen, wenn alle möglichen Spuren gelöscht wurden, aber diese Spuren müssen natürlich zurückgelassen werden. vorsätzlichDies bedeutet, dass wir Protokolle von haben müssen Sicherheit y der rücken. Aber wenn der Punkt erreicht ist, an dem wir uns einem Angriff stellen müssen echtist es notwendig SPIELEN SIE NICHT HELD, da eine einzige falsche Bewegung die vollständige Zerstörung aller Arten von Beweisen verursachen kann. Entschuldigen Sie, dass ich es so oft wiederhole, aber wie könnte ich es nicht tun, wenn dieser Faktor allein in vielen Fällen einen Unterschied machen kann?

Abschließende Gedanken

Ich hoffe, dieser kleine Text hilft Ihnen dabei, eine bessere Vorstellung davon zu bekommen, was er ist Verteidiger ihre Sachen 🙂 Der Kurs ist sehr interessant und ich lerne viel über dieses und viele andere Themen, aber ich schreibe bereits viel, also werden wir es für heute belassen. 😛 Bald werde ich Ihnen neue Nachrichten über meine neuesten Aktivitäten bringen. Prost,