Влез в цифровата крепост SOC - демонстрация на живо

14:48↗презентация но пък не искам да ви е лесно искам да ви понатоваря а та съответно това което виждате на екрана е цялата постановка която имаме тази вещ имаме си да започнем малко по малко с слените неща имаме си една линия по средата която дели корпоративна мрежа и интернет имаме една хипотетична организация в която имаме някакъв хипотетичен корпоративен потребител това е зия в цялата картинка това ще бъде поето като роля от влади а съответно зли е просто потребител който без да искаш да зарази своята организация и своето устройство с потенциала ка много лични данни знаете това означава много хубаво а съответно що имаме жертва ето тук в центъра е той най-главния имаме си атакуваща най отдолу а това което ще разигравам като атака ще бъде с а нещо като бе usb тук малко по-късно ще може да видите в програмата ще има интересна практическа демонстрация която

15:52↗показва повече в детайли как изглежда този процес ние малко ще го претупам разбира се поди ограничение във времето аа а като това което ще се случи е че ето тази флашка флашка имаме атакуващ канал дом който пуска пред офиса на организацията и съответно нашият потребител се намира това устройство и любопитен ще си го запиши в компютър какво може да се обърка ще видим разбира се имаме защитна сцена като във всяка организация като която конкретно осъществяваме ще бъде с custom scp който използва dns g2 сървери клиент за да може да осъществи цета тунелна комуникация сс сървър dns сървър който е под контрол на атакуващия може би ето така корпоративен потребител в организацията се използва в primary dns с който е ето този тук в мрежата който от своя страна ще се свързва с дво намерен домейн за да извършва dns заявки с които да извършва cv traffic с който да получава някакви команди да може да

17:06↗се центрират данни да може да получава информация да се стартират команди ще вим какво може да се случва това е по отношение на атаката от друга гледна точка пък обаче ето тук отгоре имаме дефанзивен стек комбинация от три системи и чвек виктор а имаме сим система която ще събере информация от всички устройства които са под контрол на организацията имаме система която ще ни помогне да автоматизираме някаква реакция да задействаме няколко различни процеса имаме ин мениджмът система в която ще могат всички анализатори да се колаборират да проследят какво се случва когато настъпи някой инцидент това ще бъде тяхната отправна точка през която да могат да се колаборират и да действат срещу инциденти и анализаторите се хората които извършват това действие толко по тая картинка която е видял видел а продължаваме със следваща етап а разбира се като е всяка атака

18:09↗това сме го гледали на картинки много пъти първото нещо което се случва е че атакуващи стива в тъмна стая и се подготвя неговата атака в нашия случай

18:22↗владин има един сървър както виждате ние сме класици използваме кари а съответно върху този car linux стартираме dns k2 сървър това е сървър който е готов да приема заявки от клиенти които са стартирали намерни фал който след малко ще [музика] отворим и съответно като получат някаква заявка могат да изпратят на обратно някаква информация тъй като това е dns traffic предполагам тук няма нужда да задълбаваме много това си остава в голяма част от случаите на пълно скрито за организация това се изглежда като съвсем легитимна операция поради което избрахме и конкретно този сценарий а съответно а стартираме сървър и започваме да очакваме човека който е взел флашката която сме оставили така без неговия офис да я вземе да се сложи в средството и да погледне какво има вътре в случая както казах го играе и жертва и атакуващ така че това беше от страна на атакуващи от гледна точка на

19:27↗жертва обаче в момента слагаме usb-to отваряме го и вътре има интересно някакъв файл от сле 2022 финансова информация би трябвало да е интересна да я

19:50↗стартираме съответно потребителят вижда документа окей ама това не е точно финансова информация се трябва да го затворим за потребителя тука всичко свършва ако нямате security operation cent тук всичко свършва а повече не разбирате какво се случва всичко което ще покажем оттук нататък става не види в случа ние имаме security operation центъ готов да демонстрираме така че малко по-късно ще покажем какво виждаме от дефанзивната страна на нещата но всъщност това което направихме тук със стартирането на този файл това което направихме беше да тиране файл който сам е създаден това не присъства в никоя сигнатура никоя антивирусна съответно вие това ще да го видите като някакво злонамерено поведение използвайки някакъв антивирус единственият начин да го откриете е на база детайлния комплекс на а детайлен комплексен анализ на множество източници на данни които бяха показани малко

20:51↗по-рано в картинката а не вече в случая ни трябва сървър която е под наш контрол съответно веднъж като е стартиран тоя фал то освен себе си освен че стартира някакъв документ на за стартира и допълнителен клиент който вече започва да се комуникира с нашия злонамерен dn сървър и да започне да очаква команди обратно на нашия сървър вла това което показва в момента е че имаме списък с устройства с които с виде успешна връзка както виждате ето тук най отдолу къде вземе правилното нещо това което виждаме най-отдолу всъщност е хост нейм на компютърна в тоест това е хоней на жертвата имаме потвърждение някой говори с нас съответно ние можем да си говорим с него това което може да направим сега са много неща например най-базовото нещо което може да стартираме ако бяхме само за подигравка можеше да стартирам един калкулатор например първо компютъра за да покажем че имаме някаква връзка

22:07↗да калкулатор с появи а това не ни върши много работа а съответно друго нещо което може да направим например да проверим служителя от организация който си е отворил файла какви файлове има на компютъра може пък той да има финансови отчети това вече не интересува

22:38↗почу ни да увеличим шрифта ако някой все още не вижда вдигайте си

22:46↗ръката да продължим по-предно

22:54↗място добре съответно това което слуша в момента ние имаме командна у вивка с която може да разполагаме напълно на заразеното устройство това което правим в момента показваме че има някакви файлове може спокойно да видим какво е тяхното съдържание например пароли txt винаги може интересно и със сигурност имаме пароли следващото нещо а да кажем че няма никаква интересна информация а пък и да има един компютърен стил винаги иска още и винаги атакуващите искат още а следващото нещо което може да направим е да донесем нещо допълнително на компютъра с което да се въстанови някакво постоянно присъствие в мрежата съответно това което ди ще се опита да направи в момента е да прехвърли мике върху

23:54↗компютъра само че това го е това с сигурност ще отнема някакво време а в момента има доста заден трафик който не се вижда разбира се това ще го покаже малко по-късно как свежи от дефанзивна страна но също така имайте предвид че отново това не е точно филм нещата не се случват на секундата а използвайки dns канал за комуникация обикновено е много бавен метод за контрол на дадена машина а просто може да отнеме това което бихме искали да прехвърлим мимис дори и малък фал може да отнеме 15 20 повече минути за да се прехвърли но пък когато сме стат печелим нещо но пък губим скорост а съответно ние за демонстрацията малко по-рано сме си прехвърли мике върху целевата машина и съответно тъй като имаме отдалечен контрол върху нея спокойно може да си го стартираме и да изпълним

24:56↗нещо

25:04↗свърш антивирус веше и спря вече това е добре познат файл има си сигнатура не окей поведение и той свърши работата окей за атакуващ играта свърши оттук но сано защото използва кес може би ако беше използвал някакъв нов код нещо което спеше написа само може би атира нява що това е това обаче ще си го оставим за някой друг път и дотук всъщност бихме искали да приключим с демонстрацията от гледна точка на та кощи съответно следващото нещо което бихме искали да покажем е как всичко това изглежда от дефанзивна гледна точка когато имате security operation център правилния стек от дефанзивни системи и хора които могат да ги наблюдават и да работят с тези системи за да откриват лините заплахи във вашата

25:56↗организация

26:02↗техническо врене за

26:11↗смяна страхотно добре вече с на другия компютър това което извинявам се това което наблюдаваме в момента е екрана на един сок анализатор системите през които ще минем както споменахме по-рано са cm sl и ин мениджъ а гледайки процеса всичко започва от cm cm е мозък на един security о центъ където влиза цялата информация и който има xdr може да използва xdr там цялата информация от всички устройства в организацията всичко това се обработва смива се свърва се едно с друго и оттам нататък може да се правят някакви други неща теви неща при нас се правя с сла това пък е парчето което може да при логика върху дените веднъж като с наблюдавали няколко поведение може да го свържем това поведение с други неща да извърши някакво действие върху някоя система автоматично може да накараме някой да си погледне пощата и да види какво се случва така започва нашия сценарий

27:15↗първото нещо което се случва след като си получи цялата тази информация зафо която преди малко се генерира от пробата която направихме тази информация отива в нашата со система s системата свързва няколко компонента на заден фон което разчертано на диаграма изглежда по горе-долу ето този начин първо най-вляво постъпват някакви входни данни и тези входни данни съответно според това какъв колко критични са се създават в ит мениджмънт платформата в случая за ит мениджмънт използваме ф ако се интересуват с това е sh а съответно в the предполагам ного от ва се запознати с него а се създава или аларма или кейс за тези които не са запознати общо взето всеки може да си го тава по свой собствен начин както в много open source системи каквито са the sh но един начин да се тълкуват нещата е че аларм е нещо на което анализатор трябва да му обърне внимание да разследва и да потвърди дали това

28:23↗действително е някакъв проблем а пък кейс е нещо което има доста висока увереност че нещо се е случило има някакъв проблем има някакъв инцидент и съответно много хора трябва да си колаборират за да открият какъв проблем и да го поправят съответно това което се случва тук на база това каква информация е постъпила в системата си създаваме едно от двете неща като допълнително извършваме допълнителни проверки на заден фонд с които да си направим допълнителни автоматични преценки дали това което наблюдаваме е критично средно важно маловажно или пък не е важно но едно от нещата които правим е да алармираме нашия екип от сок анализатори в teams например може в hs който го ползвам съответно първото нещо което трябва да види анализатора това тук е само такава ф информация първото нещо което вижда един анализатор е че получава лично

29:30↗щение в което му се казва абе тука е нещо на оке има някакъв dns трафик който ми изглежда не много добре вероятно е с коман и контрол сървър съответно анализаторът може да натисне веднага бърза препратка с която да отиде в инт мениджмът системата и да разгледа повече подробности за инцидента

30:01↗ту виждаме списък с инциденти на първия ред беше първото което последното което се получи имаме бутон не отдясно с който може да видим малко повече информация за конкретната аларма задейства имаме дълбока интеграция между open системите в нашата сфера на за наш късмет съответно това ни позволява да помагаме на хората като им слагаме някакво полезно описание какво означава този критичен надпис гора и какво могат да направят за да разследват и да се проверят дали това наистина е проблем или не в съшия имаме някакво бело описание и малко по-надолу имаме повече информация за конкретните метаданни към този инцидент които се наблюдават в случая имаме само два ip адреса това е така защото това събитие се докладва от dns сървър съответно ни показва един адрес който е източник на dns заявките и един адрес който е получател на dns заявките от гледна точка нади сървър той

31:06↗си е получател така че това ек адреса а съответно имаме втори tab s cases в който може да помогнем на анализаторите и те автоматично с един клик на мишка да могат да открият всички подобни случая в нашата организация на база адреса на база други метаданни покрай инцидента тоест много лесно един анализатор може да се ориентира и да види какво друго се е случило сходно на това което

31:40↗наблюдаваме съответно едно от нещата които може да видим обратно в информацията за инцидента е че имаме един референтен номер отгоре този референтен номер е номер на събитие в cm система тъй като тук имаме едно единствено събитие ние искаме да видим малко повече информация да запознаем малко повече детайли с това което се случва съответно този референтен номер ни позволява да свържем това което виждаме тук с това което виждаме в cm системата наш сок анализатор взима този номер отива в c и използва номера за да намери събитието което се е генерирало и съответно повече информация за него

32:35↗тук имаме доста информация част от най-интересната информация обаче се намира ето тук в ето тази секция съответно натискайки я това което виждаме е че имаме dns заявка за сине dns запис към доста странно изглеждащ домейн искам да разберем малко повече информация за това това което може да направим е да видим този адрес за какво друго е питал освен за този

33:25↗адрес това което търсим е всички dns запитвания към поддомейни на mnemonica cloud което е домейна който използваме за мената dns

33:53↗комуникация и със сигурност това което виждаме е дъл списък с различни заявки към по-скоро лия с различни адреси и виждаме съответно че това което видяхме преди малко не е единствената такава d заявка има много такива което вече е повод за някакви притеснения междувременно вероятно докато търсим цялата тази информация на заден фон в teams където получаваме аларми тя сме получили още нещо интересно две съобщения потенциален трансферен файл през dns и открит заразен файл всичко тук виждаме че се касае една и съща машина отново може да отидем в нашия ин мениджмънт платформа и този път да открием че системата автоматично е категоризирала това събитие което преди малко получихме като инцидент вече вместо като аларма вече има доста голяма сигурност че това нещо е лошо не го очакваме трябва да се вземе нещо против него съответно едно от нещата които можем да направим и което направихме

35:19↗по-рано всъщност вие вероятно видяхте че след като а атакуващият прехвърли файла веднага връзката му с сървърът беше отрязан това което се случва на заден фон нашата сор система предприе някаква реакция извърши блокиране върху нашата фаро система с което ефективно изолира работната станция за да преврати последваща dns комуникация и да позволи някакво време на нашите анализатори да открият каква е шената на проблема да го поправят

35:55↗отстранят извинявам се и съответно след като анализаторите вече има тази информация имаме няколко инцидента които със сигурност са проблеми имаме една аларма която е трябвало да разследваме това което може да направим с цел да се запазим тая информация за бъдеще разбира се знаете една от най-важните стъпки по време на операции по сигурността е да документираме процесите и да се учим от това което сме видели и да подобряваме своите процеси съответно документирането е много важно следващото нещо което може да направим е да кажем че тази аларма е част от тези д

36:40↗инциден от гледна точка на blin тук нещата почти приключват следващото нещо което може да направим ако имаме всчки security operations cent с няколко нива на анализатори наши анализатор може да го ескалира към по-висш екип за да може да се а направят някакви допълнителни действия да се извърши сканиране на машината да се извърши блокиране на адреса в случая едно от нещата които бихме искали да направим тъй като в нашия солар сме разрешили блокиране за не повече от 15 минути все пак не може да приложим един и същи набор от логични правила за всяка ситуация съответно ако смело блокираме каквото си поискаме ние със сигурност чум някой бизнес процес нашата работа като се хора бизнес процеси съответно блокираме за съвсем кратко време колкото да даде малко време на анализаторите да открият какъв проблем след като те вече обаче имат повече информация могат да се върнат в нашата

37:49↗система и да извършат някакво допълнително действие с което вече да карантинират коса за по-дълго време и да кира с висше ниво на анализатори за да може проблемът да бъде отстранен да се открие какъв е причинителя на dns комуникацията и да се вземат превантивни действия за против бъдещото повтаряне на такава

38:25↗ситуация

38:45↗с което и нашата презентация

38:53↗приключва те имат няколко въпроса за ва към вас и правилното отговор на тези въпроси ще ви гарантира подарък от тях имате ли няколко думи които искате да кажете предварително преди да започ заповядайте заповядай на теб микрофон сега ще дам и на те заповядай благодаря колегите от ме моника ще ви разкажат повече за идеята здравейте подготвили сме ви няколко въпроса целящи да заинтригуват тези от вас които тепърва навлизат в киберсигурността първият въпрос е каква е разликата между сол и пипер в