Цифрова крепост SOC /техническа демонстрация за реакция при инцидент със Информационната сигурност/

36:28↗що да стоя на тъмно предпочитам да съм на слънце на двора там също мога да си взема компютъра и отзад да си пусна буквите от матрицата пълна безумица има и жени има и жени да това не са хакерите хакерите са всеки един от вас най-малкото защото аз като малък чисто от любопитство пробвах да направя някакви неща за съжаление успях когато успеете започва малко по малко да ви увлича и когато ви увлече става опасно и ако няма кой да ви каже къде да сложите границата между нормалното и това на което казваме ненормалното става още по-страшно тогава пък започват да ви търсят едни хора и да питат що сте си поръчали това по интернет която тая карта кредитна карта пък изобщо не ваша и как точно се сдобихте с нея тука представителите на kbc ще ще ви разкажат повече по въпроса та ние сме в състояние на война противниците са абсолютно неясни не са такива каквито ви ги показват по

37:30↗телевизията и затова има хора като нас ние сме практиците които всъщност днеска ще ви покажат не от страната на атакуващия от страната на защитаващия какво трябва да се направи чухте преди малко също че атакуващите винаги са една стъпка преди нас някой може ли да ми каже защо не чух вярно е а а могат да направят и това всъщност те винаги са една стъпка преди нас защото за да атакуваш някой ти трябва само последния експлойт само последното парче с го вреден код който ти може да използваш преди няколко седмици в българия всички бяха банки бяха подложени на такава зверска атака с най-новите технологии които бяха много трудни за блокиране и много трудни за реакция за щастие се справиха та ако атакуващите трябва да знаят само новостите защитаващите трябва да познават всичко от зората на киберсигурността досега за да могат да обхванат всяка една атака мислите ли че

38:34↗можем абсурд абсолютно не не можем и аз затова не казвам че ние сме експерти ние сме хората които всеки ден правят това просто се опитваме да знаем малко повече та днес това което ще ви демонстрират колегите от не моника е свързано с нормалната дейност по един security operation цен и той как може да ви помогне вие да се предпазите и съответно да повишите нивото на киберсигурност някой знае ли какво прави security operation

39:09↗центъ помощ от

39:15↗публиката сш центъ се занимава с аларми с инвестиция с разследване на на тези аларми разбира се затваряне на инцидентите които мога споде от който може да с подем благодаря това беше въпрос за първа сигурна сума а да точно така security operations центъ най-общо казано както преди време имаше системни администратори и все още ги има които аутсорсват традиционното it от една организация ние със security operation центъра се опитваме да аутсорсне security от една организация тоест сигурността много е трудно и аз мога да ви направя съвсем проста кръчмарска сметка колко пари трябва да инвестирате за да си вдигнете при вас такъв център за да го накарате да работи и най-важното да намерите хора като вас които пък да са достатъчно обучени и да искат да го правят това нещо та security operation центъ е нещото което ще изнесе вашата сигурност хора като тях ще наблюдават всички събития

40:17↗които за добро или за лошо не се случват в 400 следобед се случват в 4 сутринта обикновено атаките се подбират във време в което хората спят и няма кой да реагира ето тези хора не спят те стоят и наблюдават ни аларми за щастие оставяме ги да спят от време на време имаме и системи които автоматизират тези аларми и просто ще ги събудят когато това се наложи но най-важното при реакцията на един инцидент е времето в което ще реагирате не колко сте подготвени не колко знаете колко бързо ще го разследвате въпросът е колко бързо вие ще отразите тоя инцидент и ще може да реагирате защото ако настъпи кибер събитие и ние реагираме след четири дни нещата са приключили хората са влезли изнесли са информацията са заминали и ние можем спокойно да си разследваме колкото си искаме ако обаче реагираме в първия половин час първите 30 минути системата вдигне аларма и каже ей в

41:11↗момента наблюдаваме необичаен трафик от вашата организация която който досега не сме виждали тогава имаме шанс все още да спрем ек сфия имаме шанс да изолираме заразените системи имаме шанс да помогнем извинявайте за лиричното отклонение давам думата на експертите които ще ви покажат как атакуваме и как защитаваме благодаря

41:48↗ви здравейте на всички много се радвам че имаме възможността да представим тази демонстрация пред вас а а аз ще ви представя червената страна на нещата виктор ще представи синята страна като червената ще се състои в команден контрол атака всъщност атаката ще бъде чрез тунел команден контрол чрез който се трансферират инструкции към атакуваната машина посредством dns протокол а да ще започнем на примера като всъщност поставяме флашка флашка която е намерена случайно да кажем от някой човек от някакъв отдел hr отдел или няма значение и оттук нататък ще ви демонстрирам директно какво се случва след това може да зададете каквито въпроси имате ито ще започнем моля само ако имате въпроси вдигнете ръка ще изтичам при вас с микрофона за да може да се чуе от всички

43:08↗са за едно кратко пояснение аз обърках малко ре на нещата ще започнем като пуснем сървъра на атакуващата

43:20↗машина и сега вече ще се придвижим към другата част с пашката [музика]

43:34↗колегите представят традиционна ситуация която ние сме наблюдавали в практиката си наистина случайно подхвърлена флашка в която някой намира дали на бюрото си и това което всички правят най-често слагате за да проверят какво има вътре такава проверка на сигурността правихме при наши клиенти съвсем наскоро на живо в в три от четири отдела е отворих така че добре а тук се наблюдава чрез командата windows че вече имаме отворен тунел само чрез отваряне на документа уърдовски документ ние вече разполагаме със криптирана връзка към нашата а машина която атакуваме демек локалната ни машинка този лаптоп аз атакувам от виртуална машина в нашата среда сега може да изпълняваме различни команди като да обикаляме и с директори да отваряме файлове да трансферираме файлове и още купче на неща още веднъж само да да да поясня това което се случи в момента служителят сложи заразена

44:39↗флашка отвори файл на нея който очевидно беше word файл и както вие всички знаете обикновено в съвременото не се случва така че а вирусът е там или зловредният код е там първото нещо което се случи файлът отвори връзка към така наречения command and control center това е сървър някъде в интернет пространството който вече започва да има достъп върху вашата машина тоест поемаме контрола върху вашата машина така се изграждат и бок в

45:14↗мрежата в момента демонстрират как от командния сървър ние можем да изпълним команда на клиентската машина реално сървърът който виждате се намира някъде в наш data ценър но на машината на владимир ние можем да отворим и традиция той ви показа най-широко срещаната команда отворихме един калкулатор можем да изпълняваме код можем да виждаме съдържание на

45:55↗директориите съответно можем да копираме файлове каквито и както намерим можем да стартираме софтуер за криптиране не го правим само казвам че

46:10↗можем да със сигурност може да манипулираме а защитите на компютъра да се спират антивирусни програми idr програми всичко което ви могло да ни разкрие по някакъв начин

46:41↗[музика] в случая просто пова причина не мога да премина на моя седял а но на флашката например могат да се разгледат файловете които са о sensitive information като най-вероятно има начин да се премине но в момента точно за демонстрацията няма да се получи а сега ще покажем качване на файл как се [музика] осъществява това е реално момента в който след като виждат че командният сървър може да манипулира клиентската машина това което се случва след това най-често вече зареждаме зловредния код върху нея така че самият компютър да може да изпълнява всякакви операции за наши

47:42↗нужди ето в случая не успяхме да маневрираме и директориите на компютъра но успяхме да качим файл качихме файла на десктопа на локалната ми машина не на флашката ето може може да го видите сич това е просто файлче което е с различни сигнатури които наподобяват а познати зловредни софтуери което бива разпознавано от антивирусните най-често и моята част почти свърши сега ще демонстрираме следващата атака която вече не е свързана с команден контрол тунела а по-скоро е свързан с големия брой заявки които се изпращат към а тестовата машина

48:35↗например и оттук започва тр здравейте и от

48:45↗мен до момента видяхте какво може да се направи от страна на атакуващата машина и командния сървър в момента ще видите как изглежда от страна на сети центъра от другата страна какви събития са регистрират какви нотификации се получават и как съответно ако имате такъв security operation центъ той може да ви защити гто обст

49:14↗[музика]

49:33↗[музика] така на първо време ще ви покажа това на екрана предварително създаден workflow по който нашия security operation центъ в момента работи като обикновено sec нте използват cm решение което служи security information мениджм който служи за наблюдение на евенти събития от различни видове устройства също така в security operation нте се използва и което служи за оркестрация и автоматизация на работата и също така инцидент мениджмът платформа която служи за наблюдение на инцидентите които изникват в организацията ни само вики да допълня и аз с две думи току-що чухте трите основни параметра на всеки един security център така наречената cm система security information event медж във всяка една организация има десетки или стотици компютри сървъри и всякакъв вид устройства които пълват логове тези логове могат да бъдат много говорящи тези метаданни на нас са ни

50:56↗много мго полезни всички те влизат в така наречения cm и това което се случва не само ги записваме ние правим корелация между тях тоест когато получим събития от различни устройства ние ги корелира и казваме дали има проблем дали трябва да се вдигне аларма или не това което виждате на екрана е така наречената swar система или security orchestration системата която позволява да бъдат създавани workflow процеси когато настъпи инцидент какво да се случи тука говорим вече за автоматизацията коя система да реагира каква аларма да се вдигне кого да уведомим и накрая ще видите вече incident ме системата която стои пред екрана на всеки сети аналист извинява а на първо време в както и по-рано казахме най-важно е колко бързо ще бъде забелязан един инцидент в случая докато нашия колега задействаше атаките получаваме известие в teams като потенциална атака а за комуникация между

51:56↗c2 и dns като c2 както по-рано колегата каза а също така сме получили и за кейс отново аларма за че е намерен файл на първо време ще разгледаме алармата която аларма можем да достъпим от линк в teams можем да отворим и директно от инцидент менидж платформата която изглежда по този начин а отгоре от менюто alerts поглеждаме последната която е получена и за нея можем да отворим и да видим повече информация какво представлява проблема ip адрес и в общи линии това може да бъде забелязано в инцидент мениджмънт платформата като след като бъде забелязан даден проблем даден аларма даден инцидент а работата на security център аналистите да проверят този инцидент и това събитие с повече информация в cm решението като това представлява нашето c решение а в момента ще погледнем от преди малко копирах а [музика] р в него може да разгледаме допълнителна информация относно самото самото събитие

53:37↗а като по този начин съответно събираме повече информация още едно пояснение в момента в който се стартира зловредният файл и отвори тунела ако нямате сок нищо не разбирате спите си спокойно до момента в който ви откраднат информацията ако имате сок в него се регистрира е тази потенциална комуникация която в случая е вървяла по dns канал с въпросния команден център а за командния център главно като цяло оттук можем да разберем дали реално връзките и dns заявките представляват заплаха когато dn заявките обикновено са към насочени към нормален и легитимен домейн в случая виждаме вла гарно в влади 22 което на нас не ни говори нищо подобно на например google youtube или подобен вид легитимни всички знаещи се домейни а оттук можем да разберем че има нещо не както трябва следващата стъпка е да погледнем и кейс който е повдигнат а пак отново имаме тук бутон само че ако го натисна

54:54↗ще ме накара да си попълвам данни затова направо ще отворим а добре даже не ме накара супер а като отново виждаме повече информация рипън на събитието и тук вече имаме и възможност за наблюдение на таскове които отново предварително се задават а какво е нужно да бъде проверено за даденото събитие като се извършат проверките събира се информацията която е нужна за да установим дали то това събитие е за намерено или не а тук съответно са дадени тасковете които да извършим в observable можем да видим ip адреса от който произлиза това събитие като също сме автоматизирали така че да ни показва ас рекордите на това i на този ip адрес като ас рекордите ще значи че колко пъти е рапортува на ip адреса дали е зловреден или не а в този случай от отново пак се прехвърляме за да ако тук оттук информацията ни е достатъчна можем да задействаме някакъв респонс към този

56:05↗инцидент ако не ни е достатъчно отново можем да отворим c да видим а събитието което е задействано като можем и тук да го отворим можем да го добавим отново в филтър дали ip адреса или някакви други данни които са ни нужни само секунда отново понеже не знам колко успява да видите от толкова далече но това което всъщност се случи току-що системата автоматично откри заплаха в момента в който откри заплаха я регистрира като инцидент освен че я регистрира като инцидент създаде кейс събуди ана листа който предполагам че в 4 ча през нощта спи и му изпрати съобщение в teams че в момента има най-вероятно проблем някъде който той трябва да провери това което аналист се направи разгледа cm системата видя от кое ip тези неща се случват в incident мениджмът системата която виждате в момента на екрана на това ip автоматизацията допълнително която се случва е че ние сме го обогатили с

57:09↗източници които вие най-вероятно знаете bdb virus to и разни други такива неща и вместо вие да си играете това ip да го проверявате или това парче код да го проверявате всеки път реално системата вече ви го е подготвила като цялото съдържание на инцидента това е регистрирано толкова пъти в abus db смята се че от него са излизали вируси защото го проверихме ние можем да сложим тред фийдове колкото искате вътре така че всеки един аналист на готово да има предефиниран [музика] анализ м да благодаря а отново мога да се върна на тасковете и да започнем един по един като първият таск съответно е проверка на името на файла отново както казах ще видим този файл в cm като там виждаме повече информация и оттук можем да видим дестине на файла името на самия файл откъде е прихванат на кой хост е и различни видео информация за самия файл а оттук в случая както се вижда има

58:18↗един тест който би ни навела мисълта че явно самият фал е тестов но при положение че някакъв друг вид файл можем да го проверим дали съответно легитимен или не в 99% от случаите то няма да е легитимен а следващото отново да проверим за стартиран процес за дестинацията на файла както казах че има тук описана а и в общи линии това са тасковете които един анализатор и а след като вече разберем дали даден инцидент действително представлява заплаха можем да извършим инцидент респонс като в повечето случаи можем да карантиниране машината или да блокираме даден ip адрес ако извършва както в случая има комуникация можем да блокираме този ip адрес а това при нас отново се извършва чрез ето този workflow като за момента няма да блокираме ареса тъй като е на колегата не би било удачно но в случай че тази оценка тук в ето този ip адрес така е конфигурирано че ако ip db рекърд е повече от 20 като

59:43↗обикновено тогава вече представлява наистина заплаха а тогава следва автоматично блокиране на ip а идеята на л на този сор който сме показали е че всъщност чрез него може да се автоматизира всичко както да ни известява така и да блокира ip та а има изключително голям брой апликации които могат да се нагаждат с него и да се автоматизират изключително много процеси да в общи линии това представлява един едно базово разследване на инциденти в security operations центъ добре благодаря на колегите това което всъщност последно само да добавя това което видяхте един демонстрационен и тестови процес в който се предприемат ръчни действия в този work който виждате може да дефинираме стъпките така че когато даден прак е преминат автоматично се блокира комуникацията с това ip когато даден прак е преминат автоматично изолираме клиентската машина и тези неща се случват на мига ен час по-късно и точно

1:00:57↗в тая ситуация ние извършваме много бърз респонс и тогава security operation центъ е ефективен благодаря ви много и аз благодаря за демонстрацията на сцената въпрос от анонимен всъщност и въпросът е свързан с това този рад а не трябва ли да бъде засечен от fir и как примерно не го засича защото той стартира някакъв процес който се обръща към интернет в обще това е въпрос който беше задан ами тука е малко особено положението тъй като това е dns комуникация и d комуникацията рядко се блокира тъй като е трудно измеримо дали е зловредно а тъй че често се случват такива неща и dns комуникацията не е от най-защитените един вид използва се кавча а това което искам а да добавя както казах обичам да се включвам е че cm силната част на cm е възможността за корелиране или а как да кажа събиране на информация от различни източници анализиране на тази информация и на база метрики които са заложени се

1:02:15↗вдига даден инцидент информацията може да идва от от суичове от рутери от мрежово оборудване може да идва от крайни устройства от мобилни телефони таблети и сървъри и компютри в дадената инфраструктура и на на база цялата тази информация която събира от всички устройства в една инфраструктура и поведението на хората върху тези устройства се вдигат съответните аларми и на база пък вече тези аларми събраната информация соара се грижи за това да автоматизира процеса по унищожаване на този инцидент реално той има достъп и възможност зависи както конфигурира но има възможност да каже на рутера забрани комуникацията външна и вътрешна с този ip адрес на npo решението а карантиниран ми тази този компютър изключи ми интернета на на на даденото на дадения епо или сървър и по този начин да намали а щетата извинявам се на английски ми идват думите да намали щетата която

1:03:15↗съответната атака или аларма би могла да изнесе на да нанесе на дадената а организация или така пра см абсолютно да

1:03:29↗а няколко думи за финала аз мисля че няколко пъти завърших вече но щом трябва още веднъж а благодаря много надявам се да ви е било интересно това което виждате аз знам че в повече случаи тия команди на черен екран или бял екран са доста суха материя но зад тях стоят много познания и години опит в повечето случаи когато някой попита защо вашата услуга е толкова скъпа вие не плашите за едини час работа която ние ще извърша спрямо вас а плащате за 10те години назад през които ние сме се научили така че ние уважаваме вашия труд уважавайте вие нашия благодаря ви благодаря а благодаря на колегите владими виктов благодаря аз следва почивка 15 минути в 410 заповядайте очакват ни включително интересни теми и хора и разбира се още повече да се излагам пред вас с пак демонстрация на жи

1:04:28↗продължаваме с темите които ще представим пред вас във втората част на на форума днес благодаря на всички вас които останаха за тях а вярвам че следващият лектор ще представи един много интересен или по-скоро плеяда от теми интересни в сферата на киберсигурността а именно господин антон полински който е създател на на кибер клуб общността на общностите и тук ще остава малко ти да се да дадеш малко повече информация за теб защото няма да ми стигне един час само да описвам с какво се занимаваш и нали какъв си и кой си благодаря здравейте и от мен предполагам че никой не ме познава рядко се случва такава публика което означава че имам възможност за първи път да се излагам пред вас а основното нещо което бих искал да опитам първоначално и с това да започна съответно презентацията е колко от вас са се занимавали с технологии като дронове ръчичка божичко с виртуална реалност изкуствени