Cara membalas penggodam 'profesional'

Saya rasa ketiadaan sedikit tidak berbaloi it Hari ini saya lebih bersemangat untuk memulakan projek baru dan saya rasa tidak lama lagi saya akan memberi anda berita baru mengenai kemajuan saya di Gentoo oo Tetapi itu bukan topik hari ini.

Pengkomputeran Forensik

Beberapa waktu lalu saya membeli kursus Pengkomputeran Forensik, saya merasa sangat menarik untuk mengetahui prosedur, langkah-langkah dan langkah-langkah pencegahan yang diperlukan untuk menangani jenayah digital hari ini. Negara-negara yang mempunyai undang-undang yang jelas dalam hal ini telah menjadi rujukan mengenai masalah ini dan banyak proses ini harus diterapkan secara global untuk memastikan pengurusan maklumat yang mencukupi.

Kekurangan prosedur

Memandangkan kerumitan serangan akhir-akhir ini, adalah mustahak untuk mempertimbangkan apa akibat yang dapat ditimbulkan oleh kekurangan pengawasan keselamatan peralatan kita. Ini berlaku untuk syarikat besar dan syarikat kecil atau sederhana, bahkan pada tahap peribadi. Terutama syarikat kecil atau sederhana di mana tidak ada prosedur yang ditentukan untuk pengendalian / penyimpanan / pengangkutan maklumat kritikal.

'Penggodam' itu tidak bodoh

Motif lain yang sangat menggoda untuk 'penggodam' adalah sejumlah kecil, tetapi mengapa? Mari bayangkan senario ini sebentar: Sekiranya saya berjaya 'menggodam' akaun bank, jumlah mana yang lebih mencolok: pengeluaran 10 ribu (mata wang anda) atau salah satu daripada 10? Jelas sekali jika saya menyemak akaun saya dan entah dari mana pengeluaran / penghantaran / pembayaran 10 ribu (mata wang anda) muncul, penggera akan muncul, tetapi jika sudah menjadi salah satu dari 10, mungkin ia hilang di antara ratusan pembayaran kecil yang dilakukan. Mengikut logik ini, seseorang dapat meniru 'hack' di sekitar 100 akaun dengan sedikit kesabaran, dan dengan ini kita mempunyai kesan yang sama dari 10, tanpa penggera yang dapat terdengar untuk itu.

Masalah perniagaan

Sekarang, anggaplah bahawa akaun ini adalah milik syarikat kita, antara pembayaran kepada pekerja, bahan, sewa, pembayaran ini dapat hilang dengan cara yang mudah, bahkan memerlukan waktu yang lama untuk terjadi tanpa menyedari dengan tepat ke mana atau bagaimana wang itu pergi . Tetapi ini bukan satu-satunya masalah, anggaplah bahawa 'penggodam' telah memasuki pelayan kami, dan sekarang dia tidak hanya memiliki akses ke akaun yang terhubung dengannya, tetapi juga ke setiap file (umum atau swasta), ke setiap sambungan yang ada, kontrol terhadap masa aplikasi berjalan atau maklumat yang mengalir melaluinya. Ini adalah dunia yang cukup berbahaya apabila kita berhenti memikirkannya.

Apakah langkah pencegahan yang ada?

Nah, ini adalah topik yang cukup panjang, dan sebenarnya yang paling penting adalah siempre mengelakkan sebarang kemungkinan, kerana jauh lebih baik untuk mengelakkan masalah tersebut sebelum dari berlaku hingga terpaksa membayar akibat kekurangan pencegahan. Dan adakah banyak syarikat percaya bahawa keselamatan adalah subjek 3 atau 4 audit tahun. Ini bukan sahaja tidak nyatatetapi ia adalah sama lebih berbahaya untuk tidak melakukan apa-apa, kerana ada rasa 'keselamatan' yang salah.

Mereka sudah 'menggodam' saya, sekarang apa?

Nah, jika anda hanya menderita a serangan berjaya di pihak penggodam, bebas atau terkontrak, perlu mengetahui protokol tindakan minimum. Ini sangat minimum, tetapi ini membolehkan anda bertindak balas dengan cara yang lebih berkesan secara eksponen jika dilakukan dengan betul.

Jenis bukti

Langkah pertama adalah mengetahui komputer yang terjejas, dan memperlakukannya seperti itu bukti digital ia pergi dari pelayan ke pencetak yang disusun dalam rangkaian. 'Peretas' sebenar boleh berpusing melalui rangkaian anda menggunakan pencetak yang rentan, ya, anda betul-betul membaca. Ini kerana firmware seperti ini sangat jarang dikemas kini, jadi anda mungkin mempunyai peralatan yang rentan tanpa memerhatikannya selama bertahun-tahun.

Oleh itu, perlu dilakukan serangan untuk mengambil kira perkara itu lebih banyak artifak yang dikompromikan boleh jadi bukti penting.

Responden pertama

Saya tidak dapat menemui terjemahan yang betul untuk istilah itu, tetapi responder pertama dia pada dasarnya adalah orang pertama yang bersentuhan dengan pasukan. Berkali-kali orang ini ia tidak akan menjadi orang yang pakar dan ia boleh menjadi pentadbir sistem, seorang jurutera pengurus, malah a pengurus yang berada di tempat kejadian pada masa ini dan tidak mempunyai orang lain untuk bertindak balas terhadap keadaan darurat. Oleh kerana itu, perlu diketahui bahawa kedua-duanya tidak sesuai untuk anda, tetapi anda mesti tahu bagaimana untuk meneruskannya.

Terdapat 2 keadaan bahawa satu pasukan boleh masuk setelah serangan berjaya, dan sekarang hanya perlu ditekankan bahawa a serangan berjaya, biasanya berlaku selepas ramai serangan yang tidak berjaya. Jadi jika mereka telah mencuri maklumat anda, itu kerana tidak ada protokol pertahanan dan tindak balas. Adakah anda ingat tentang mencegah? Sekarang bahagian mana yang paling masuk akal dan berat. Tapi hei, saya tidak akan menggosok terlalu banyak. Mari teruskan.

Satu pasukan boleh berada di dua negeri setelah serangan, disambungkan ke internet o Tanpa sambungan. Ini sangat mudah tetapi penting, jika komputer disambungkan ke internet PENCEGAHAN putuskan sambungannya SEGERA. Bagaimana saya memutuskannya? Anda perlu mencari penghala akses internet pertama dan menanggalkan kabel rangkaian, jangan matikan.

Sekiranya pasukan itu TANPA HUBUNGAN, kita menghadapi penyerang yang telah berkompromi secara fizikal kemudahan, dalam kes ini keseluruhan rangkaian tempatan terganggu dan perlu meterai keluar internet tanpa mengubah suai peralatan.

Periksa peralatan

Ini mudah, TIDAK PERNAH, TIDAK PERNAH, DI BAWAH SEBARANG KEADAAN, Responden Pertama mesti memeriksa peralatan yang terjejas. Satu-satunya kes di mana perkara ini dapat dihilangkan (hampir tidak pernah berlaku) adalah bahawa Responden Pertama adalah orang yang mempunyai latihan khusus untuk bertindak balas pada masa-masa itu. Tetapi untuk memberi anda idea tentang apa yang boleh berlaku dalam kes-kes ini.

Di bawah persekitaran Linux

Andaikan kita penyerang Dia telah membuat perubahan kecil dan tidak signifikan terhadap izin yang dia dapat dalam serangannya. Perintah berubah ls terletak di /bin/ls dengan skrip berikut:

#!/bin/bash
rm -rf /

Sekarang jika kita secara tidak sengaja melaksanakan yang sederhana ls pada komputer yang terjejas, ia akan memulakan pemusnahan diri dari semua jenis bukti, membersihkan setiap jejak peralatan dan memusnahkan setiap kemungkinan mencari pelakunya.

Di bawah persekitaran Windows

Kerana logikanya mengikuti langkah yang sama, mengubah nama fail di system32 atau rekod komputer yang sama dapat menjadikan sistem tidak dapat digunakan, menyebabkan maklumat rosak atau hilang, hanya kerosakan paling berbahaya yang mungkin ada untuk kreativiti penyerang.

Jangan bermain wira

Peraturan mudah ini dapat mengelakkan banyak masalah, dan bahkan membuka kemungkinan penyelidikan serius dan nyata mengenai perkara itu. Tidak ada cara untuk mulai menyelidiki rangkaian atau sistem jika semua jejak yang mungkin telah dihapus, tetapi jelas jejak ini harus ditinggalkan. bertimbang rasa, ini bermaksud bahawa kita mesti mempunyai protokol keselamatan y sandaran. Tetapi jika intinya tercapai di mana kita harus menghadapi serangan sebenar, perlu JANGAN BERMAIN HERO, kerana satu langkah yang salah boleh menyebabkan kehancuran semua jenis bukti. Maaf kerana mengulanginya begitu banyak, tetapi bagaimana mungkin jika faktor tunggal ini dapat membuat perbezaan dalam banyak kes?

Pemikiran terakhir

Saya harap teks kecil ini dapat membantu anda memahami lebih baik tentang apa itu pertahanan perkara mereka 🙂 Kursus ini sangat menarik dan saya belajar banyak mengenai perkara ini dan banyak topik lain, tetapi saya sudah banyak menulis sehingga kita akan meninggalkannya untuk hari ini 😛 Tidak lama lagi saya akan menyampaikan berita baru mengenai aktiviti terbaru saya. Bersorak,