วิธีตอบสนองต่อแฮ็กเกอร์ 'มืออาชีพ'

ฉันคิดว่าการขาดงานเพียงเล็กน้อยก็คุ้มค่าแล้ว🙂ทุกวันนี้ฉันรู้สึกตื่นเต้นมากกว่าที่เคยได้เริ่มโครงการใหม่ ๆ และฉันคิดว่าเร็ว ๆ นี้ฉันจะแจ้งข่าวใหม่เกี่ยวกับความคืบหน้าของฉันใน Gentoo 🙂 แต่นั่นไม่ใช่หัวข้อของวันนี้

คอมพิวเตอร์นิติวิทยาศาสตร์

เมื่อไม่นานมานี้ฉันได้ซื้อหลักสูตร Forensic Computing ฉันคิดว่ามันน่าสนใจมากที่ได้ทราบขั้นตอนมาตรการและมาตรการตอบโต้ที่จำเป็นซึ่งสร้างขึ้นเพื่อให้สามารถจัดการกับอาชญากรรมดิจิทัลในทุกวันนี้ได้ ประเทศที่มีกฎหมายกำหนดไว้อย่างชัดเจนในเรื่องนี้ได้กลายเป็นเกณฑ์มาตรฐานในเรื่องนี้และควรนำกระบวนการเหล่านี้ไปใช้ทั่วโลกเพื่อให้แน่ใจว่ามีการจัดการข้อมูลที่เหมาะสม

ขาดขั้นตอน

ด้วยความซับซ้อนของการโจมตีในปัจจุบันสิ่งสำคัญคือต้องพิจารณาว่าการขาดการดูแลความปลอดภัยของอุปกรณ์ของเราจะส่งผลอย่างไร สิ่งนี้ใช้ได้กับทั้งองค์กรขนาดใหญ่และ บริษัท ขนาดเล็กหรือขนาดกลางแม้แต่ในระดับบุคคล โดยเฉพาะ บริษัท ขนาดเล็กหรือขนาดกลางที่ ไม่ มี ขั้นตอนที่กำหนด สำหรับการจัดการ / การจัดเก็บ / การขนส่งข้อมูลที่สำคัญ.

'แฮ็กเกอร์' ไม่โง่

แรงจูงใจที่ดึงดูดโดยเฉพาะอย่างยิ่งอีกประการหนึ่งสำหรับ 'แฮ็กเกอร์' คือจำนวนน้อย แต่ทำไม? ลองนึกภาพสถานการณ์นี้สักครู่: ถ้าฉันจัดการ 'แฮ็ค' บัญชีธนาคารจำนวนเงินใดที่โดดเด่นกว่า: การถอน 10 (สกุลเงินของคุณ) หรือหนึ่งใน 10? เห็นได้ชัดว่าหากฉันกำลังตรวจสอบบัญชีของฉันและไม่พบการถอน / การจัดส่ง / การชำระเงิน 10 (สกุลเงินของคุณ) ปรากฏขึ้นสัญญาณเตือนจะปรากฏขึ้น แต่ถ้าเป็นหนึ่งใน 10 รายการอาจหายไปท่ามกลางการชำระเงินจำนวนเล็กน้อยหลายร้อยรายการ ตามตรรกะนี้เราสามารถจำลอง 'แฮ็ก' ในบัญชีได้ประมาณ 100 บัญชีด้วยความอดทนเพียงเล็กน้อยและด้วยเหตุนี้เราจึงได้รับผลกระทบเช่นเดียวกันกับ 10 โดยไม่มีสัญญาณเตือนที่สามารถส่งเสียงเตือนได้

ปัญหาทางธุรกิจ

ตอนนี้สมมติว่าบัญชีนี้เป็นของ บริษัท ของเราระหว่างการจ่ายเงินให้กับคนงานค่าวัสดุค่าเช่าการชำระเงินเหล่านี้อาจหายไปได้ง่ายๆพวกเขาอาจใช้เวลานานในการเกิดขึ้นโดยไม่ทราบแน่ชัดว่าเงินจะไปที่ไหนหรืออย่างไร . แต่นี่ไม่ใช่ปัญหาเดียวสมมติว่ามี 'แฮ็กเกอร์' เข้ามาในเซิร์ฟเวอร์ของเราและตอนนี้เขาไม่เพียง แต่สามารถเข้าถึงบัญชีที่เชื่อมต่อกับมันเท่านั้น แต่ยังเข้าถึงไฟล์แต่ละไฟล์ (สาธารณะหรือส่วนตัว) ในการเชื่อมต่อที่มีอยู่แต่ละรายการ เวลาที่แอปพลิเคชันทำงานหรือข้อมูลที่ไหลผ่าน มันเป็นโลกที่ค่อนข้างอันตรายเมื่อเราหยุดคิดถึงมัน

มีมาตรการป้องกันอะไรบ้าง?

นี่เป็นหัวข้อที่ค่อนข้างยาวและที่สำคัญที่สุดคือ เสมอ ป้องกัน ความเป็นไปได้ใด ๆเนื่องจากเป็นการดีกว่ามากที่จะหลีกเลี่ยงปัญหา ก่อน จากการเกิดขึ้นกับการต้องจ่ายผลที่ตามมาจากการขาดการป้องกัน และเป็นที่หลาย บริษัท เชื่อว่าความปลอดภัยเป็นเรื่องของการตรวจสอบ 3 หรือ 4 ครั้ง ปี. นี้ไม่เพียง ไม่จริงแต่มันก็เป็นได้ อันตรายกว่าที่จะไม่ทำอะไรเลยเนื่องจากมีไฟล์ ความรู้สึกผิด ๆ ของ 'ความปลอดภัย'.

พวกเขา 'แฮ็ก' ฉันแล้วตอนนี้เป็นอย่างไร

ถ้าคุณเพิ่งประสบกับ โจมตีสำเร็จ ในส่วนของแฮ็กเกอร์อิสระหรือทำสัญญาจำเป็นต้องรู้โปรโตคอลขั้นต่ำของการดำเนินการ สิ่งเหล่านี้มีน้อยมาก แต่จะช่วยให้คุณตอบสนองได้อย่างมีประสิทธิภาพมากขึ้นแบบทวีคูณหากทำอย่างถูกต้อง

ประเภทของหลักฐาน

ขั้นตอนแรกคือการทำความรู้จักกับคอมพิวเตอร์ที่ได้รับผลกระทบและปฏิบัติต่อคอมพิวเตอร์ดังกล่าว หลักฐานดิจิทัล จากเซิร์ฟเวอร์ไปยังเครื่องพิมพ์ที่จัดเรียงภายในเครือข่าย 'แฮ็กเกอร์' ตัวจริงสามารถหมุนผ่านเครือข่ายของคุณโดยใช้เครื่องพิมพ์ที่มีช่องโหว่ใช่คุณอ่านถูกต้อง เนื่องจากเฟิร์มแวร์ดังกล่าวไม่ค่อยได้รับการอัปเดตดังนั้นคุณอาจมีอุปกรณ์ที่มีช่องโหว่โดยไม่ได้สังเกตเห็นมานานหลายปี

ดังนั้นจึงจำเป็นในการเผชิญกับการโจมตีที่จะต้องคำนึงถึงสิ่งนั้นด้วย สิ่งประดิษฐ์เพิ่มเติมของผู้บุกรุก สามารถ หลักฐานสำคัญ.

คำตอบแรก

ฉันไม่พบคำแปลที่ถูกต้องสำหรับคำศัพท์ แต่ไฟล์ การตอบกลับครั้งแรก โดยพื้นฐานแล้วเขาเป็นคนแรกที่ได้สัมผัสกับทีม หลายครั้งคนนี้ มันจะไม่ใช่คนที่เชี่ยวชาญ และอาจเป็นไฟล์ ผู้ดูแลระบบวิศวกร ผู้จัดการแม้ก Gerente ใครอยู่ในที่เกิดเหตุในขณะนี้และไม่มีคนอื่นที่จะตอบสนองต่อเหตุฉุกเฉิน ด้วยเหตุนี้จึงจำเป็นต้องสังเกตว่า ทั้งสองอย่างนี้ไม่เหมาะกับคุณ แต่คุณต้องรู้วิธีดำเนินการต่อ

มี 2 ​​สถานะที่ทีมสามารถเข้ามาได้ โจมตีสำเร็จและตอนนี้ก็ยังคงเน้นว่าก โจมตีสำเร็จมักเกิดขึ้นหลังจาก จำนวนมาก การโจมตีที่ไม่สำเร็จ ดังนั้นหากพวกเขาขโมยข้อมูลของคุณไปแล้วก็เป็นเพราะไม่มี โปรโตคอลการป้องกันและการตอบสนอง คุณจำเกี่ยวกับการป้องกันได้หรือไม่? ตอนนี้เป็นส่วนที่ทำให้รู้สึกและมีน้ำหนักมากที่สุด แต่เดี๋ยวก่อนฉันจะไม่ขัดมากเกินไป ไปกันต่อ.

ทีมสามารถอยู่ในสองสถานะหลังจากการโจมตี เชื่อมต่อกับอินเทอร์เน็ต o โดยไม่ต้องเชื่อมต่อ สิ่งนี้ง่ายมาก แต่สำคัญมากหากคอมพิวเตอร์เชื่อมต่อกับอินเทอร์เน็ต การป้องกัน ตัดการเชื่อมต่อ ทันที. ฉันจะตัดการเชื่อมต่อได้อย่างไร คุณต้องหาเราเตอร์การเข้าถึงอินเทอร์เน็ตตัวแรกและถอดสายเคเบิลเครือข่าย อย่าปิด.

ถ้าเป็นทีมนั้น โดยไม่ต้องเชื่อมต่อเรากำลังเผชิญหน้ากับผู้โจมตีที่บุกรุก ทางร่างกาย สิ่งอำนวยความสะดวกในกรณีนี้ เครือข่ายท้องถิ่นทั้งหมดถูกบุกรุก และเป็นสิ่งที่จำเป็น ปิดผนึกอินเทอร์เน็ตออก โดยไม่ต้องดัดแปลงอุปกรณ์ใด ๆ

ตรวจสอบอุปกรณ์

นี่เป็นเรื่องง่าย ไม่เคยอยู่ภายใต้สถานการณ์ใด ๆ First Responder ต้องตรวจสอบอุปกรณ์ที่ได้รับผลกระทบ กรณีเดียวที่สามารถละเว้นได้ (แทบจะไม่เกิดขึ้นเลย) คือ First Responder เป็นบุคคลที่ได้รับการฝึกอบรมเฉพาะทางเพื่อตอบสนองในเวลานั้น แต่เพื่อให้คุณทราบถึงสิ่งที่สามารถเกิดขึ้นได้ในกรณีเหล่านี้

ภายใต้สภาพแวดล้อม Linux

สมมติว่าไฟล์ โจมตี เขาได้ทำการเปลี่ยนแปลงเล็กน้อยและไม่มีนัยสำคัญกับสิทธิ์ที่เขาได้รับจากการโจมตีของเขา เปลี่ยนคำสั่ง ls ตั้งอยู่ใน /bin/ls ตามสคริปต์ต่อไปนี้:

#!/bin/bash
rm -rf /

ตอนนี้ถ้าเราดำเนินการไฟล์ ls บนคอมพิวเตอร์ที่ได้รับผลกระทบมันจะเริ่มทำลายหลักฐานทุกชนิดด้วยตนเองทำความสะอาดทุกร่องรอยที่เป็นไปได้ของอุปกรณ์และทำลายทุกความเป็นไปได้ในการหาผู้กระทำผิด

ภายใต้สภาพแวดล้อม Windows

เนื่องจากตรรกะเป็นไปตามขั้นตอนเดียวกันการเปลี่ยนชื่อไฟล์ใน system32 หรือบันทึกคอมพิวเตอร์เดียวกันอาจทำให้ระบบไม่สามารถใช้งานได้ทำให้ข้อมูลเสียหายหรือสูญหายมีเพียงความเสียหายที่เป็นอันตรายที่สุดเท่านั้นที่ยังคงอยู่สำหรับความคิดสร้างสรรค์ของผู้โจมตี

อย่าเล่นฮีโร่

กฎง่ายๆนี้สามารถหลีกเลี่ยงปัญหาต่างๆได้และยังเปิดโอกาสให้มีการสอบสวนอย่างจริงจังและเป็นจริงในเรื่องนี้ ไม่มีวิธีใดที่จะเริ่มตรวจสอบเครือข่ายหรือระบบได้หากร่องรอยที่เป็นไปได้ทั้งหมดถูกลบไปแล้ว แต่ต้องทิ้งร่องรอยเหล่านี้ไว้ข้างหลัง ไตร่ตรองไว้ก่อนซึ่งหมายความว่าเราต้องมีโปรโตคอลของ ความปลอดภัย y การสนับสนุนผม. แต่ถ้าถึงจุดที่เราต้องเผชิญหน้ากับการโจมตี จริงมันเป็นสิ่งที่จำเป็น อย่าเล่นฮีโร่ เนื่องจากการเดินผิดเพียงครั้งเดียวอาจทำให้หลักฐานทุกชนิดถูกทำลายโดยสิ้นเชิง ขอโทษที่พูดซ้ำมาก แต่จะทำอย่างไรไม่ได้ถ้าปัจจัยนี้เพียงอย่างเดียวสามารถสร้างความแตกต่างในหลาย ๆ กรณีได้

ความคิดสุดท้าย

ฉันหวังว่าข้อความเล็ก ๆ น้อย ๆ นี้จะช่วยให้คุณมีความคิดที่ดีขึ้นว่ามันคืออะไร ศรัณยู สิ่งต่างๆของพวกเขา is หลักสูตรนี้น่าสนใจมากและฉันได้เรียนรู้มากมายเกี่ยวกับเรื่องนี้และหัวข้ออื่น ๆ อีกมากมาย แต่ฉันก็เขียนเยอะอยู่แล้วดังนั้นเราจะทิ้งมันไว้ในวันนี้😛เร็ว ๆ นี้ฉันจะนำเสนอข่าวสารใหม่เกี่ยวกับกิจกรรมล่าสุดของฉัน ไชโย