Sygnały włamania
Jak sprawdzić, czy ktoś jest w Twojej sieci
Ktoś jest w Twojej sieci, gdy atakujący ma działający dostęp do co najmniej jednej z Twoich maszyn lub kont i używa go, by się rozejrzeć, przejść do innych systemów albo wynieść dane. Rzadko włącza się przy tym alarm. Sygnałami są drobne zmiany zachowania: host, który regularnie łączy się z nowym celem, konto logujące się tam, gdzie nigdy się nie logowało, serwer wysyłający na zewnątrz dużo więcej danych niż zwykle. Większość z nich da się sprawdzić jeszcze dziś, za darmo, w logach, które administrator już ma.
Fakt, od którego warto zacząć
7 lutego 2024 r. CISA, NSA i FBI wraz z agencjami partnerskimi podały we wspólnym komunikacie AA24-038A, że aktorzy Volt Typhoon utrzymywali dostęp do środowisk IT części ofiar przez co najmniej pięć lat, opierając się głównie na narzędziach administracyjnych samych ofiar, a nie na złośliwym oprogramowaniu.
Co wychodzi z Twojej sieci po 18:00
Jedna przykładowa noc w sieci małej firmy: sześć rodzajów urządzeń, cztery rodzaje celów. Przesuń zegar, aby zobaczyć, co wychodzi, ile i które przepływy dałyby alert. Sam rozmiar nie jest sygnałem: duży transfer kopii zapasowej jest normalny, mały upload z komputera, który zwykle jest wyłączony, już nie.
Dane przykładowe, nie przechwycone wykrycie
| Urządzenie | Cel | Wolumen | Czy będzie alert? |
|---|---|---|---|
| Komputer księgowości | Nieznane cele | 180 MB | Tak: nietypowy wolumen danych wychodzących |
| Serwer ERP | Znane usługi biznesowe | 20 MB | Nie: normalne dla tego urządzenia |
| Telewizor w sali spotkań | Znane usługi biznesowe | 3 MB | Nie: normalne dla tego urządzenia |
| Rejestrator CCTV | Znane usługi biznesowe | 30 MB | Nie: normalne dla tego urządzenia |
| Laptop programisty | Nieznane cele | 1 MB | Tak: beaconing C2 (dowodzenie i kontrola) |
Pokaż zwykłą noc każdego urządzenia jako tabelę
| Urządzenie | Jego zwykła noc |
|---|---|
| Komputer księgowości | W godzinach pracy zajęty usługami biznesowymi i kilkoma narzędziami AI; w nocy cichy. |
| Serwer ERP | Trochę synchronizacji z usługami biznesowymi co godzinę, w dzień i w nocy. |
| Telewizor w sali spotkań | Drobne aktualizacje od producenta. |
| Rejestrator CCTV | Stały strumień do chmury producenta. |
| Laptop programisty | Usługi biznesowe i narzędzia AI w godzinach pracy; w nocy cichy. |
| Serwer kopii zapasowych | Jedna duża kopia do stałego dostawcy kopii każdej nocy. |
Czego czujnik sieciowy tu nie widzi: nazw plików i treści w zaszyfrowanych sesjach oraz tego, który program na urządzeniu wysłał dane. To widzi ochrona stacji końcowych (EDR).
Sygnały, na które warto patrzeć, i darmowe kontrole na dziś
Żaden z tych sygnałów sam w sobie nie dowodzi włamania. Każdy łatwo sprawdzić, a dwa lub więcej naraz wymagają dochodzenia.
01Nowe lub rzadkie cele połączeń wychodzących
Host, który zaczyna łączyć się z domeną lub adresem IP, z którego nikt inny w firmie nie korzysta, zwłaszcza niedawno zarejestrowaną. Kontrola: wyeksportuj z firewalla lub serwera DNS najczęstsze cele z ostatnich 30 dni i przejrzyj te, z którymi łączył się tylko jeden host.
02Połączenia w regularnych odstępach
Złośliwe oprogramowanie, które melduje się u operatora, często łączy się co kilka minut, dniem i nocą, wysyłając małe wiadomości podobnej wielkości. Kontrola: w logach firewalla lub proxy posortuj połączenia jednego hosta z jednym celem według czasu i szukaj stałego rytmu poza godzinami pracy.
03Logowania o dziwnych porach lub z dziwnych miejsc
Udane logowania w nocy, z krajów, w których nie masz pracowników, albo na konta, które zwykle nie logują się interaktywnie, np. konta usługowe. Kontrola: przejrzyj udane logowania z ostatnich 30 dni w katalogu lub u dostawcy tożsamości, z filtrem na godziny poza pracą.
04Jedna maszyna łączy się z wieloma
Stacja robocza, która łączy się z dziesiątkami hostów wewnętrznych na portach administracyjnych, takich jak SMB (445), RDP (3389), SSH (22) czy WinRM (5985 i 5986), skanuje sieć albo porusza się lateralnie. Kontrola: w danych o przepływach z firewalla lub przełącznika policz unikalne cele wewnętrzne dla każdego hosta źródłowego na tych portach.
05Nietypowy wolumen danych wychodzących
Serwer, który nagle wysyła gigabajty, często w nocy albo do chmury, z której zwykle nie korzysta. Kontrola: porównaj bajty wysłane przez każdy host w tym tygodniu z jego własną średnią.
06Nowe konta administratorów, zadania i usługi
Konta dodane do grup administratorów, nowe zadania harmonogramu lub usługi i narzędzia zdalnego dostępu, których nikt nie zatwierdził. Kontrola: wylistuj członków grup uprzywilejowanych oraz ostatnio utworzone zadania i usługi na serwerach i ustal, kto dodał każde z nich.
Co NetSenX robi już dziś
- Obserwuje, jak zachowuje się każdy host w sieci, i oznacza beaconing C2, skanowanie, ruch lateralny oraz nietypowy wolumen danych wychodzących, w każdym planie, także Free.
- Widzi urządzenia bez agenta, takie jak drukarki, kamery i sterowniki, bo jeden agent na porcie SPAN lub TAP obserwuje cały segment.
- Wyjaśnia każdy alert prostym językiem i wymienia cechy sieciowe, które zdecydowały o jego ocenie, dzięki czemu mały zespół odróżni włamanie od nowego zadania kopii zapasowej.
- Zapisuje alerty, decyzje analityków i zmiany konfiguracji w dzienniku audytu i śledzi terminy z art. 23 NIS2, jeśli incydent okaże się poważny.
Czego NetSenX nie robi
NetSenX nie widzi tego, co dzieje się wewnątrz hosta bez udziału sieci, np. złośliwego procesu, który nigdzie się nie łączy; to zadanie ochrony urządzeń końcowych (EDR). Nigdy nie odszyfrowuje ruchu, więc nie odczyta treści szyfrowanej sesji. Nie zastępuje reagowania na incydenty: izolacja i odbudowa hosta pozostają po stronie Twojego zespołu lub dostawcy usług reagowania. Alert to powód do sprawdzenia, a nie dowód włamania.
Pytania kupujących
Jak sprawdzić, czy sieć firmowa została przejęta?
Szukaj zmian w zachowaniu: nowych celów połączeń wychodzących, połączeń w regularnych odstępach, logowań o dziwnych porach, jednej maszyny łączącej się z wieloma innymi i nietypowego wolumenu danych wychodzących. Każdy z tych sygnałów sprawdzisz w logach firewalla, DNS i katalogu. Dwa lub więcej naraz warto zbadać; ciągły monitoring sieci wypatruje ich codziennie, a nie tylko w dniu, w którym ktoś zajrzy do logów.
Czy atakujący może latami pozostawać w sieci niezauważony?
Tak. We wspólnym komunikacie AA24-038A z 7 lutego 2024 r. CISA, NSA i FBI podały, że aktorzy Volt Typhoon utrzymywali dostęp do środowisk IT części ofiar przez co najmniej pięć lat. Atakujący, którzy używają tych samych narzędzi administracyjnych co dział IT, zostawiają niewiele sygnatur, i dlatego liczy się zachowanie w sieci.
Jakie darmowe kontrole mogę zrobić już dziś?
Wyeksportuj z firewalla lub serwera DNS najczęstsze cele połączeń wychodzących i przejrzyj te rzadkie; sprawdź udane logowania poza godzinami pracy; policz, z iloma hostami wewnętrznymi łączy się każda stacja robocza na portach SMB, RDP, SSH i WinRM; porównaj wolumen danych wysyłanych przez każdy serwer z jego własną średnią.
Czy NetSenX zastępuje antywirusa lub EDR?
Nie. NetSenX dodaje widok sieci: widzi urządzenia bez agenta i ruch między hostami. Ochrona urządzeń końcowych nadal odpowiada za to, co dzieje się wewnątrz każdej maszyny. Plan Free nie ma limitu czasu i nie wymaga karty kredytowej, więc najpierw zobaczysz, co znajduje w Twojej sieci.
Źródła
- CISA, NSA, FBI and partners — Joint advisory AA24-038A (PRC state-sponsored actors, Volt Typhoon), 7 February 2024
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
Ta strona ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Swoje obowiązki warto potwierdzić we właściwym organie krajowym lub u doradcy prawnego.
Powiązane strony
Wypróbuj NetSenX we własnej sieci
Zacznij od planu Free dla maksymalnie 3 urządzeń albo umów 20-minutowe demo.