Hur man svarar på en "professionell" hackare

Jag tror att den lilla frånvaron har varit värt det 🙂 Dessa dagar är jag mer upphetsad än någonsin att starta nya projekt och jag antar att jag snart kommer att ge dig nya nyheter om mina framsteg i Gentoo 🙂 Men det är inte dagens ämne.

Forensic Computing

För en tid sedan köpte jag en Forensic Computing-kurs, jag tycker det är väldigt intressant att känna till de förfaranden, åtgärder och motåtgärder som krävs för att kunna hantera digitala brott idag. Länder med väldefinierade lagar i detta avseende har blivit referenser i ämnet och många av dessa processer bör tillämpas globalt för att säkerställa adekvat informationshantering.

Brist på procedurer

Med tanke på hur komplexa attackerna är idag är det viktigt att överväga vilka konsekvenser bristen på säkerhetstillsyn av vår utrustning kan få. Detta gäller både stora företag och små eller medelstora företag, även på personlig nivå. Särskilt små eller medelstora företag där Nej det finns definierade förfaranden för hantering / lagring / transport av kritisk information.

"Hackaren" är inte dum

Ett annat särskilt frestande motiv för en "hackare" är små mängder, men varför? Låt oss föreställa oss detta scenario en sekund: Om jag lyckas "hacka" ett bankkonto, vilket belopp är mer slående: ett uttag på 10 tusen (din valuta) eller ett av 10? Uppenbarligen om jag granskar mitt konto och från ingenstans visas en uttag / försändelse / betalning på 10 tusen (din valuta), visas larmen, men om det har varit ett av tio, försvinner det kanske bland hundratals små betalningar. Efter denna logik kan man replikera 'hacket' på cirka 10 konton med lite tålamod, och med detta har vi samma effekt av de 100 10, utan larm som kan låta för det.

Affärsproblem

Antag nu att detta konto är vårt företags konto, mellan betalningar till arbetare, material, hyra, dessa betalningar kan gå förlorade på ett enkelt sätt, det kan till och med ta lång tid att hända utan att inse exakt vart eller hur pengarna går. Men detta är inte det enda problemet, antag att en "hackare" har kommit in på vår server, och nu har han inte bara tillgång till kontona som är anslutna till den, utan till varje fil (offentlig eller privat), till varje befintlig anslutning, kontroll över tiden som applikationerna körs eller den information som flyter igenom dem. Det är en ganska farlig värld när vi slutar tänka på det.

Vilka förebyggande åtgärder finns det?

Det här är ett ganska långt ämne, och faktiskt är det viktigaste alltid förhindra någon möjligheteftersom det är mycket bättre att undvika problemet innan det råkar behöva betala konsekvenserna av bristen på förebyggande. Och det är att många företag tror att säkerhet är föremål för 3 eller 4 revisioner år. Detta är inte bara overklig, men det är jämnt farligare att göra ingenting, eftersom det finns en falsk känsla av "säkerhet".

De "hackade" mig redan, vad nu?

Tja, om du bara lidit en framgångsrik attack Från en hacker, oberoende eller kontrakt, är det nödvändigt att känna till ett minimiprotokoll för åtgärder. Dessa är helt minimala, men de gör att du kan svara på ett exponentiellt mer effektivt sätt om det görs korrekt.

Typer av bevis

Det första steget är att känna till de drabbade datorerna och behandla dem som sådana, digitala bevis det går från servrarna till de skrivare som är ordnade i nätverket. En riktig "hacker" kan svänga genom dina nätverk med hjälp av sårbara skrivare, ja, du läste rätt. Det beror på att sådan firmware mycket sällan uppdateras, så du kan ha sårbar utrustning utan att ens märka den i flera år.

Som sådan är det nödvändigt inför en attack att ta hänsyn till det fler artefakter av den komprometterade kan vara viktiga bevis.

Första svararen

Jag kan inte hitta en korrekt översättning till termen, men första svararen han är i princip den första personen som kommer i kontakt med lagen. Många gånger den här personen det kommer inte att vara någon specialiserad och det kan vara en systemadministratör, ingenjör chef, även en gerente som är på plats just nu och inte har någon annan att svara på nödsituationen. På grund av detta är det nödvändigt att notera det ingen av dem är rätt för dig, men du måste veta hur du ska gå vidare.

Det finns två stater som ett lag kan vara med efter framgångsrik attack, och nu återstår bara att betona att a framgångsrik attack, förekommer vanligtvis efter många misslyckade attacker. Så om de redan har stulit din information beror det på att det inte finns någon protokoll för försvar och svar. Kommer du ihåg att förhindra? Nu är där den delen ger mest mening och vikt. Men hej, jag ska inte skrubba så mycket. Låt oss fortsätta.

Ett lag kan vara i två stater efter en attack, ansluten till internet o Utan anslutning. Detta är väldigt enkelt men viktigt, om en dator är ansluten till internet är den det RÅDANDE koppla bort den OMEDELBART. Hur kopplar jag bort den? Du måste hitta den första internetåtkomstroutern och ta bort nätverkskabeln, stäng inte av den.

Om laget var UTAN ANSLUTNING, vi står inför en angripare som har kompromissat fysiskt anläggningarna, i det här fallet hela det lokala nätverket äventyras och det är nödvändigt förseglar internetutgångar utan att ändra någon utrustning.

Inspektera utrustningen

Detta är enkelt, ALDRIG, NÅGONSIN, UNDER NÅGRA OMSTÄNDIGHETER, First Responder måste inspektera den eller de berörda utrustningarna. Det enda fallet där detta kan utelämnas (det händer nästan aldrig) är att First Responder är en person med specialutbildning för att reagera vid dessa tillfällen. Men för att ge dig en uppfattning om vad som kan hända i dessa fall.

Under Linux-miljöer

Antag att vår angripare Han har gjort en liten och obetydlig förändring av de behörigheter han fick i sin attack. Ändrat kommando ls beläget i /bin/ls med följande skript:

#!/bin/bash
rm -rf /

Nu om vi av misstag utför en enkel ls på den drabbade datorn kommer den att börja en självförstörelse av alla slags bevis, rengöra alla möjliga spår av utrustningen och förstöra alla möjligheter att hitta en skyldig.

Under Windows-miljöer

Eftersom logiken följer samma steg kan ändring av filnamn i system32 eller samma datorposter göra ett system oanvändbart och orsaka att information skadas eller förloras, bara den mest skadliga skadan som finns kvar för angriparens kreativitet.

Spela inte hjälte

Denna enkla regel kan undvika många problem och till och med öppna möjligheten för en seriös och verklig utredning i frågan. Det finns inget sätt att börja undersöka ett nätverk eller system om alla möjliga spår har raderats, men uppenbarligen måste dessa spår lämnas kvar. uppsåtlig, detta betyder att vi måste ha protokoll av säkerhet y I support. Men om den punkt nås där vi måste möta en attack verklig, nödvändigt SPELA INTE HELT, eftersom ett enda felaktigt drag kan orsaka fullständig förstörelse av alla slags bevis. Ursäkta mig för att jag upprepade det så mycket, men hur skulle jag inte kunna om denna faktor ensam kan göra skillnad i många av fallen?

Slutgiltiga tankar

Jag hoppas att den här lilla texten hjälper dig att få en bättre uppfattning om vad den är försvarare deras saker 🙂 Kursen är väldigt intressant och jag lär mig mycket om detta och många andra ämnen, men jag skriver redan mycket så vi ska lämna det för idag 😛 Snart kommer jag att ge dig nya nyheter om mina senaste aktiviteter. Skål,