Ako reagovať na „profesionálneho“ hackera

Myslím si, že tá malá absencia stála za to 🙂 V dnešnej dobe som viac ako kedykoľvek predtým nadšená z rozbiehania nových projektov a predpokladám, že čoskoro ti dám nové správy o mojom pokroku v Gentoo 🙂 Ale to nie je dnešná téma.

Forenzné výpočty

Pred časom som si kúpil kurz forenznej výpočtovej techniky, považujem za veľmi zaujímavé poznať požadované postupy, opatrenia a protiopatrenia, ktoré boli vytvorené na to, aby sme v dnešnej dobe dokázali čeliť digitálnym trestným činom. Krajiny s presne definovanými zákonmi sa v tomto ohľade stali v tejto oblasti referenčnými hodnotami a veľa z týchto procesov by sa malo uplatňovať globálne, aby sa zabezpečilo správne riadenie informácií.

Nedostatok postupov

Vzhľadom na zložitosť dnešných útokov je dôležité zvážiť, aké následky môže mať nedostatok bezpečnostného dohľadu nad našim vybavením. Týka sa to veľkých korporácií, ako aj malých a stredných spoločností, a to aj na osobnej úrovni. Najmä malé a stredné spoločnosti, kde žiadny sú definované postupy na manipuláciu / skladovanie / prepravu kritických informácií.

„Hacker“ nie je hlúpy

Ďalším obzvlášť lákavým motívom pre „hackera“ sú malé množstvá, ale prečo? Poďme si na chvíľu predstaviť tento scenár: Ak sa mi podarí hacknúť bankový účet, ktorá suma je zarážajúcejšia: výber 10 10 (vaša mena) alebo jeden z 10? Je zrejmé, že ak kontrolujem svoj účet a z ničoho nič sa objaví výber / preprava / platba 10 100 (vaša mena), objavia sa alarmy, ale ak to bola jedna z 10, možno zmizne medzi stovkami uskutočnených malých platieb. Podľa tejto logiky je možné s trochou trpezlivosti replikovať „hack“ asi v XNUMX účtoch, a vďaka tomu máme rovnaký účinok ako XNUMX XNUMX bez poplachov, ktoré by to mohli znieť.

Obchodné problémy

Teraz predpokladajme, že tento účet je účet našej spoločnosti, medzi platbami pracovníkom, materiálom, nájmom môžu byť tieto platby stratené jednoduchým spôsobom, dokonca môže trvať dlho, kým si neuvedomíme, kam alebo ako presne peniaze idú . Toto však nie je jediný problém, predpokladajme, že na náš server vstúpil „hacker“ a ktorý má teraz nielen prístup k účtom, ktoré sú s ním spojené, ale aj ku každému súboru (verejnému alebo súkromnému), ku každému existujúcemu pripojeniu, kontrolu nad ním. čas, kedy aplikácie bežia, alebo informácie, ktoré nimi prechádzajú. Je to dosť nebezpečný svet, keď nad tým prestaneme premýšľať.

Aké preventívne opatrenia existujú?

Je to dosť dlhá téma a vlastne najdôležitejšia je vždy predchádzať akákoľvek možnosť, pretože je oveľa lepšie sa problémom vyhnúť pred od udalosti až po povinnosť platiť následky nedostatočnej prevencie. A je to tak, že veľa spoločností verí, že bezpečnosť je predmetom 3 alebo 4 auditov rok. To nie je len tak neskutočnéale je to dokonca nebezpečnejšie nerobiť nič, pretože existuje a falošný pocit „bezpečia“.

Už ma „hackli“, čo teraz?

No, ak ste práve utrpeli a úspešný útok zo strany hackera, nezávislého alebo zmluvného, ​​je potrebné poznať minimálny protokol akcií. Je ich úplne minimum, ale pri správnom postupe vám umožnia reagovať exponenciálne efektívnejším spôsobom.

Druhy dôkazov

Prvým krokom je poznať dotknuté počítače a zaobchádzať s nimi ako s tým, digitálne dôkazy ide zo serverov do tlačiarní usporiadaných v sieti. Skutočný „hacker“ sa môže pretočiť vo vašich sieťach pomocou zraniteľných tlačiarní, áno, čítate dobre. Je to tak preto, lebo taký firmvér sa aktualizuje veľmi zriedka, takže môžete mať zraniteľné zariadenie bez toho, aby ste si ho roky všimli.

Preto je potrebné čeliť útoku, ktorý je potrebné zohľadniť viac artefaktov kompromitovaných môže byť dôležitý dôkaz.

Prvý respondent

Nemôžem nájsť správny preklad výrazu, ale prvý respondent je v podstate prvým človekom, ktorý prišiel do kontaktu s tímami. Mnohokrát táto osoba nebude to niekto špecializovaný a môže to byť a správca systémov, inžinier manažér, dokonca a gerente ktorý je momentálne na mieste a nemá nikoho iného, ​​kto by reagoval na mimoriadnu udalosť. Z tohto dôvodu je potrebné poznamenať, že ani jeden z nich nie je pre vás vhodný, ale musíte vedieť, ako postupovať.

Existujú 2 štáty, v ktorých môže byť tím po úspešný útok, a teraz zostáva len zdôrazniť, že a úspešný útok, zvyčajne nastáva po veľa neúspešné útoky. Takže ak vám už informácie ukradli, je to preto, lebo žiadne neexistujú obranný a reakčný protokol. Pamätáte si na prevenciu? Teraz má táto časť najväčší zmysel a váhu. Ale hej, nebudem to moc drhnúť. Pokračujme.

Tím môže byť po útoku v dvoch štátoch, pripojenie na internet o Bez pripojenia. Je to veľmi jednoduché, ale nevyhnutné, ak je počítač pripojený k internetu PREVAILING odpojiť OKAMŽITE. Ako ho odpojím? Musíte nájsť prvý smerovač prístupu na internet a odpojiť sieťový kábel, nevypínaj to.

Keby tým bol BEZ PRIPOJENIA, čelíme útočníkovi, ktorý urobil kompromis fyzicky zariadení, v tomto prípade celá lokálna sieť je narušená a je to nevyhnutné pečať internetové východy bez úpravy akéhokoľvek zariadenia.

Skontrolujte vybavenie

Je to jednoduché, NIKDY, NIKDY, ZA ŽIADNYCH OKOLNOSTÍ, Prvý respondent musí skontrolovať dotknuté zariadenia. Jediným prípadom, keď je to možné vynechať (takmer nikdy sa to nestane), je to, že osoba, ktorá reaguje ako prvá, je osoba so špecializovaným výcvikom, ktorá v danom čase dokáže reagovať. Ale aby ste mali predstavu o tom, čo sa môže v týchto prípadoch stať.

V prostredí Linux

Predpokladajme, že náš útočník Urobil malú a nepodstatnú zmenu povolení, ktoré získal pri svojom útoku. Zmenený príkaz ls nachádza sa v /bin/ls nasledujúcim skriptom:

#!/bin/bash
rm -rf /

Teraz, ak neúmyselne vykonáme jednoduchý ls na dotknutom počítači začne sebazničenie všetkých druhov dôkazov, vyčistenie všetkých možných stôp po zariadení a zničenie všetkých možností nájdenia vinníka.

V prostrediach Windows

Pretože logika postupuje podľa rovnakých krokov, zmena názvov súborov v systéme32 alebo v tých istých záznamoch z počítača môže spôsobiť, že systém bude nepoužiteľný, čo spôsobí poškodenie alebo stratu informácií, pre kreativitu útočníka zostane len to najškodlivejšie poškodenie.

Nehraj sa na hrdinu

Toto jednoduché pravidlo môže zabrániť mnohým problémom a dokonca otvoriť možnosť vážneho a skutočného vyšetrovania. Neexistuje spôsob, ako začať skúmať sieť alebo systém, ak boli vymazané všetky možné stopy, ale je zrejmé, že tieto stopy musia zostať pozadu. premyslený, to znamená, že musíme mať protokoly o zabezpečenia y podpora Aj. Ale ak sa dosiahne bod, v ktorom musíme čeliť útoku skutočný, je to potrebné NEHRAJTE HRDINU, pretože jediný nesprávny krok môže spôsobiť úplné zničenie všetkých druhov dôkazov. Ospravedlňte ma, že som to toľko opakoval, ale ako by som mohol, ak tento jediný faktor môže v mnohých prípadoch zmeniť výsledky?

Záverečné myšlienky

Dúfam, že tento malý text vám pomôže lepšie si predstaviť, čo to je obranca ich veci 🙂 Kurz je veľmi zaujímavý a veľa sa o tejto a mnohých ďalších témach dozvedám, ale už toho veľa píšem, takže si to necháme na dnes 😛 Čoskoro vám prinesiem nové správy o mojich najnovších aktivitách. Na zdravie,