Czy napastnicy mogą ukryć komunikację C2 w zaufanych usługach chmurowych?

Tak i robią to, bo ruch do znanej usługi chmurowej rzadko jest blokowany czy kwestionowany. Malware może pobierać polecenia z pliku na publicznym koncie przechowywania w chmurze, ze współdzielonego dokumentu, z serwisu hostującego kod, z interfejsu bota komunikatora czy z sieci CDN i tą samą drogą odsyłać skradzione dane. Dla zapory oceniającej cele po reputacji wygląda to jak zwykły pracownik korzystający z popularnej usługi. Zdradza je nadal zachowanie. Program sprawdzający plik w chmurze w regularnych odstępach, dniem i nocą, z urządzenia, którego użytkownik nie pracuje, ma rytm, jakiego ludzie nie mają; wysyłki mogą być nietypowo duże dla tego urządzenia; a odcisk klienta w handshake'u TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS. może nie pasować do przeglądarki ani oficjalnej aplikacji usługi. Praktyczne kroki: dopuszczaj tylko te usługi chmurowe, z których korzysta firma, w miarę możliwości na poziomie dzierżawy (tenanta), i badaj urządzenia łączące się z prywatnymi kontami popularnych usług. NetSenX wykrywa beaconing i nietypową ilość danych wychodzących w każdym planie, niezależnie od celu, a odciski TLS od planu Starter tam, gdzie agent przechwytuje pakiety.

← Wszystkie pytania (25): Bezpieczeństwo chmury i SaaSWszystkie tematy